„Verifică acest contract”, „compară salariile”, „redactează un răspuns pentru client” sunt sarcini utile pentru ChatGPT. Dar, odată cu cererea, angajatul poate transmite unui serviciu extern reducerile oferite, poziția de negociere și datele personale ale altor persoane. Conducerea are nevoie de reguli clare de lucru, nu de o alegere între interzicerea totală a IA și încărcarea necontrolată a documentelor.
ChatGPT poate fi folosit, dar permisiunea trebuie să fie concretă
- Un abonament personal Plus sau Pro, chiar dacă este plătit, nu echivalează cu un mediu corporativ în care condițiile de prelucrare a documentelor au fost convenite.
- Dezactivarea folosirii datelor pentru antrenare nu elimină transmiterea lor către furnizor, stocarea și accesul prevăzut de condițiile serviciului.
- Decizia trebuie să țină cont de patru elemente: ce informații transmitem, în ce scop, către ce serviciu și în ce condiții.
- Eliminarea numelui dintr-un contract nu anonimizează întotdeauna documentul. Ștergerea conversației nu anulează transmiterea deja efectuată.
- Dacă un fișier confidențial a fost deja încărcat, stabiliți mai întâi faptele și limitați accesul ulterior. Nu orice încărcare constituie o încălcare, dar situația trebuie evaluată fără întârziere.
Ce transmite compania odată cu un singur document
Un fișier poate conține simultan date cu caracter personal, informații sensibile din punct de vedere comercial și informații pe care compania s-a obligat prin contractul cu clientul să nu le divulge terților. Aceste riscuri trebuie verificate separat.
Să luăm o sarcină obișnuită: un manager îi cere ChatGPT să îmbunătățească o ofertă comercială și atașează corespondența. Pentru redactarea mesajului nu sunt necesare numele responsabilului de achiziții, telefonul său, istoricul reclamațiilor, reducerea individuală și prețul minim acceptat de directorul dumneavoastră. Totuși, toate acestea se pot regăsi într-un singur atașament.
Datele cu caracter personal se referă la o persoană identificată sau identificabilă: reprezentantul unui client, un candidat ori un angajat. În Moldova, Legea nr. 195/2024 se aplică din 23 august 2026. Transmiterea unor astfel de informații către un serviciu extern reprezintă o prelucrare a datelor, chiar dacă modelul nu este antrenat pe baza lor. Sunt necesare un temei legal, un scop determinat, un volum de date limitat la ceea ce este necesar și măsuri de protecție adecvate. Argumentul „așa lucrăm mai repede” nu rezolvă, de unul singur, aceste aspecte.
Confidențialitatea contractuală se verifică indiferent dacă există sau nu date personale. Un contract anonimizat poate păstra prețuri nepublice, o formulă de calcul, condițiile unei tranzacții viitoare sau o soluție tehnică. Verificați cui îi pot fi divulgate informațiile, în ce scopuri și dacă este necesară aprobarea unui nou prestator. Nu orice informație a companiei constituie automat un secret comercial, dar absența numelui nu înlătură restricțiile contractuale.
Controlul asupra documentului este o altă chestiune: unde va fi stocat, ce aplicații suplimentare îl vor primi, cine va putea deschide un link partajat și ce se va întâmpla la plecarea angajatului din companie. Un cont personal plătit cu un card al firmei nu asigură, prin el însuși, reguli de acces și ștergere controlate de companie.
De ce un abonament ChatGPT plătit nu înseamnă protecție corporativă
Condițiile depind de produs, de spațiul de lucru și de setări, nu doar de faptul că firma a plătit abonamentul.
| Cum este folosit serviciul | Ce trebuie să aibă în vedere conducerea |
|---|---|
| ChatGPT Free, Plus sau Pro într-un cont personal | Potrivit condițiilor OpenAI, conținutul poate fi folosit pentru antrenare. Această utilizare poate fi dezactivată pentru conversațiile noi, dar setarea nu șterge istoricul și nu conferă dreptul de a încărca documentele altor persoane. |
| ChatGPT Business sau Enterprise | Datele introduse și răspunsurile nu sunt folosite implicit pentru antrenare. Trebuie totuși verificate contractul, dreptul de a transmite datele, accesul, stocarea și aplicațiile conectate. Funcționalitățile Business și Enterprise nu sunt identice. |
| O aplicație care folosește OpenAI API | Datele nu sunt folosite implicit pentru antrenare, dar pot fi păstrate în funcție de funcționalitate și de modul de utilizare. Verificați separat ce stochează dezvoltatorul aplicației. |
Abonamentele personale au o particularitate ușor de trecut cu vederea: dacă evaluează un răspuns, de exemplu prin „îmi place” sau „nu îmi place”, utilizatorul poate permite folosirea conversației asociate pentru antrenare, chiar și după ce a dezactivat această utilizare. Potrivit explicației actuale a OpenAI, o evaluare obișnuită în Business și Enterprise nu acordă o asemenea permisiune.
O conversație temporară lasă mai puține urme în anumite privințe: cât timp rămâne temporară, nu este folosită pentru antrenare și nu creează o memorie nouă. Dar aceasta nu înseamnă că datele nu sunt transmise: OpenAI prevede posibilitatea păstrării unei copii timp de până la 30 de zile, în scopuri de securitate. Nu considerați modul temporar o permisiune generală de a încărca fișiere confidențiale.
Verificați separat GPT-urile terților și aplicațiile conectate. Dacă un GPT folosește interfețe externe sau aplicații, părțile relevante ale cererii pot ajunge la un alt furnizor. Permisiunea „puteți folosi ChatGPT” nu trebuie să însemne automat „puteți folosi orice instrument din interiorul său”.
Echipa folosește IA, dar nu aveți reguli pentru transmiterea documentelor?
Verificăm scenariile de lucru, contractele cu clienții și condițiile serviciilor. Vă ajutăm să stabiliți ce date pot fi transmise, ce necesită aprobare și de ce reguli au nevoie angajații.
Ce fișiere să permiteți, să restricționați sau să nu încărcați
Ca punct de plecare, puteți aproba tabelul de mai jos. Este o regulă internă recomandată, nu o clasificare stabilită prin lege și nici o autorizare a unei transmiteri concrete.
| Sarcină sau material | O regulă rezonabilă pentru companie |
|---|---|
| Un proiect de descriere publică a unui produs, fără date personale și condiții confidențiale | Permiteți utilizarea într-un serviciu aprobat. Verificați faptele și promisiunile înainte de publicare. |
| Un contract de exercițiu, cu părți și condiții complet fictive | Permiteți utilizarea pentru pregătirea întrebărilor sau a unor variante de formulare. Nu tratați răspunsul drept o opinie juridică. |
| O clauză dintr-un contract real | Obțineți aprobarea, eliminați contextul inutil și verificați obligațiile de confidențialitate. Uneori este suficient să reformulați întrebarea fără a cita clauza. |
| Baza de date a clienților, corespondență, CV-uri, stat de plată | Nu le încărcați în servicii personale sau neaprobate. Pentru un proces de lucru, verificați separat temeiurile, necesitatea, contractele și accesul. |
| Documente medicale ale angajaților, copii ale actelor de identitate, materiale privind fapte ilicite | Excludeți-le din sarcinile obișnuite. Orice excepție necesită o evaluare juridică separată și un proces protejat. |
| Parole, chei de acces, coduri de rezervă, date secrete pentru plăți | Interziceți transmiterea lor în cereri. Dacă un secret a fost deja divulgat, organizați înlocuirea sau revocarea lui. |
| Cod-sursă, calculul costului de producție, ofertă confidențială pentru o licitație | Verificați drepturile și obligațiile indiferent dacă există sau nu date personale. |
Anonimizați materialul înainte de încărcare, nu cerând aceluiași serviciu „mai întâi elimină informațiile confidențiale”. Altfel, originalul a fost deja transmis.
Verificați nu doar textul principal, ci și comentariile, istoricul modificărilor, foile suplimentare ale tabelului, semnăturile și proprietățile fișierului. Înlocuirea numelui cu „angajatul A” nu ajută dacă persoana poate fi identificată ușor după funcție, departament și descrierea situației.
În loc să încărcați întreaga corespondență cu clientul, puteți formula sarcina astfel:
Redactează un răspuns politicos pentru un cumpărător care solicită o reducere de preț. Nu promite o reducere. Propune să discutați despre o cantitate mai mică a comenzii. Folosește exemple fictive și nu solicita datele clientului.
Pentru această sarcină, serviciul nu are nevoie de baza dumneavoastră reală de date, de istoricul negocierilor sau de marja minimă.
Ce să stabiliți în regulile companiei înainte de următoarea încărcare
Începeți cu un document scurt, pe care angajatul îl poate aplica fără a cere sfatul cuiva pentru fiecare mesaj. Acesta trebuie să prevadă permisiuni concrete și o modalitate clară de aprobare a excepțiilor.
- Indicați serviciile și spațiile de lucru permise. Precizați cine le administrează, cui acordă acces și ce sarcini sunt permise. Nu folosiți un singur cont comun pentru întregul departament.
- Definiți categoriile de informații. Ce este permis, ce necesită aprobare și ce este interzis. Desemnați persoana care poate aproba o excepție și modul în care se consemnează decizia.
- Stabiliți regula fragmentului minim. Mai întâi, o întrebare fără document; dacă nu este suficient, un fragment pregătit în prealabil. Fișierul integral se folosește doar dacă există o necesitate justificată și un proces autorizat.
- Aprobați separat integrările și distribuirea. Conectarea e-mailului, a unui spațiu de stocare în cloud, a unui GPT al unui terț sau crearea unui link partajat trebuie să aibă reguli proprii.
- Descrieți stocarea și încetarea accesului. Cine șterge conversațiile care nu mai sunt necesare, fișierele salvate separat și memoria; ce se întâmplă cu proiectele și accesul la schimbarea funcției sau la plecarea angajatului. Nu le promiteți angajaților că administratorii nu pot accesa datele corporative: posibilitățile depind de produs și de drepturile acordate.
- Desemnați cine verifică rezultatul și cum se raportează o eroare. Contractul, calculul, mesajul către client și decizia de personal sunt verificate de o persoană responsabilă. Angajatul trebuie să știe cui să raporteze imediat o încărcare greșită.
Înainte de a permite folosirea datelor personale reale, juristul și responsabilul IT ar trebui să întocmească o fișă scurtă a procesului:
- Scop și temei: de ce sunt necesare exact aceste date și dacă sarcina poate fi îndeplinită fără ele. Înainte de lansare, verificați cum veți îndeplini cerințele de informare a persoanelor despre scop, destinatari și stocare, ținând cont de excepțiile aplicabile. Consimțământul nu este singurul temei legal, dar nici semnătura directorului nu înlocuiește această verificare.
- Roluri și contract: operatorul stabilește scopurile și mijloacele prelucrării, iar persoana împuternicită de operator acționează în numele acestuia. Verificați instrucțiunile, securitatea, ștergerea și implicarea altor persoane împuternicite. Dacă firma prelucrează date în numele clientului, clientul poate fi operatorul: verificați autorizarea sa prealabilă, în scris, specifică sau generală, pentru implicarea unei alte persoane împuternicite.
- Țări și transferuri ulterioare: unde sunt prelucrate datele și din ce țări pot fi accesate. Pentru transferurile către statele Spațiului Economic European (SEE), legea Moldovei exclude aplicarea capitolului special privind transferurile internaționale și nu cere autorizații speciale. Celelalte cerințe rămân aplicabile; fluxurile ulterioare în afara SEE se verifică separat. Pentru alte țări trebuie stabilit mecanismul aplicabil, de exemplu o decizie a Centrului privind caracterul adecvat al nivelului de protecție sau garanții adecvate.
Acordul OpenAI privind prelucrarea datelor pentru organizații este un document important, dar existența sa nu înseamnă că o anumită schemă de lucru respectă deja dreptul moldovenesc. Sunt necesare condiții aplicabile, părți, garanții și setări efective, nu doar mențiunea „datele sunt stocate în Europa”.
Dacă un contract sau o bază de date a ajuns deja în chat
Nu începeți prin a cere „ștergeți tot și uitați”. Mai întâi, păstrați informațiile necesare despre incident, cu acces restricționat, și opriți în paralel răspândirea lor.
- Opriți încărcările noi și transmiterea linkurilor. Informați responsabilul de incidente; dacă este necesar, implicați juristul și echipa IT. Nu trimiteți fișierul problematic întregii echipe pentru a-l discuta.
- Stabiliți faptele. Ce s-a trimis, când, din ce cont și spațiu de lucru, către ce GPT, dacă au fost implicate aplicații, linkuri partajate și alți destinatari. Consemnați când a aflat compania despre situație.
- Limitați accesul ulterior. După consemnarea informațiilor necesare, ștergeți copiile și linkurile pe care le puteți controla, verificați fișierele salvate separat, proiectele și memoria. Dacă este necesar, cereți furnizorului să confirme măsurile luate. Ștergerea conversației nu șterge automat un fișier salvat separat și nu retrage copiile deținute de alte persoane.
- Evaluați natura încălcării și riscurile. Prelucrarea legală, aprobată, și divulgarea neautorizată sunt situații diferite. Nu trebuie să așteptați publicarea fișierului pe internet pentru a verifica dacă a avut loc o încălcare a securității datelor cu caracter personal.
- Stabiliți obligațiile de notificare și informare. Potrivit articolului 33 din Legea nr. 195/2024, operatorul notifică Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care a luat cunoștință de încălcare. Sunt exceptate cazurile în care este puțin probabil să apară un risc pentru drepturile și libertățile persoanelor. Persoana împuternicită de operator îl informează pe operator fără întârzieri nejustificate. Persoanele vizate sunt informate fără întârzieri nejustificate în cazul unui risc ridicat, potrivit articolului 34 și ținând cont de excepțiile prevăzute; nu există o regulă universală de tipul „toată lumea, în 72 de ore”. Verificați separat obligațiile contractuale față de client.
- Documentați decizia și eliminați cauza. În cazul unei încălcări a securității, păstrați informații despre circumstanțe, consecințe și măsurile luate, inclusiv atunci când notificarea Centrului nu a fost necesară. Apoi corectați regulile, accesul sau procesul de lucru în cauză.
Utilizarea controlată a IA începe cu o listă scurtă de sarcini permise, date pregătite și persoane responsabile. Astfel, echipa poate beneficia de serviciu fără a decide asupra confidențialității informațiilor altor persoane chiar în momentul apăsării butonului de trimitere.
Surse
- Legea Republicii Moldova nr. 195/2024 privind protecția datelor cu caracter personal, versiunea în vigoare
- OpenAI: utilizarea datelor pentru îmbunătățirea modelelor și diferențele dintre abonamente
- OpenAI: păstrarea și ștergerea conversațiilor și fișierelor
- OpenAI: acordul privind serviciile pentru organizații
- OpenAI: acordul privind prelucrarea datelor cu caracter personal
- OpenAI: GPT-urile terților și aplicațiile externe
- OpenAI: gestionarea datelor la utilizarea API