أين تذهب بيانات شركتك عند استخدام AI: إجابة واضحة لمجلس الإدارة

عندما يستخدم فريقك AI، تنتقل بياناتك إلى أي مكان يتم تشغيل النموذج فيه. من خلال الخدمة العامة المستضافة (إصدار المستهلك من chatbot)، تنتقل المطالبات وأي ملفات تلصقها إلى خوادم البائع، وعلى طبقات المستهلك، يمكن الاحتفاظ بها واستخدامها لتدريب النماذج المستقبلية ما لم تقم بإيقاف تشغيل ذلك. مع النشر المؤسسي أو الخاص، تظل البيانات داخل الحدود المتعاقد عليها. تتم معالجتها للرد على طلبك، ولا يتم الاحتفاظ بها للتدريب، ويمكن تثبيتها في مراكز بيانات الاتحاد الأوروبي للإقامة. السؤال الوحيد الذي يحدد تعرضك هو ما إذا كان العقد ينص على أن مدخلاتنا ومخرجاتنا لن تُستخدم أبدًا لتدريب نماذج البائع، ومكان تخزينها فعليًا. احصل على ذلك كتابيًا، وستتحول معظم المخاوف على مستوى مجلس الإدارة بشأن خصوصية بيانات AI إلى عملية شراء عادية.

أين تذهب بياناتنا فعليًا عندما نستخدم AI؟

يعتمد ذلك على أي من الأنماط الثلاثة التي تستخدمها.

تقوم خدمة المستهلك العامة بإرسال مطالبتك عبر الإنترنت إلى البائع، وإنشاء رد، وإعادته. في المستويات المجانية والشخصية، قد يتم تسجيل هذا المحتوى ومراجعته من قبل الأشخاص للتأكد من جودته وإدراجه في التدريب المستقبلي ما لم تقم بإلغاء الاشتراك.

ترسل طبقة الأعمال أو المؤسسة من نفس الخدمة البيانات إلى نفس النوع من البنية التحتية، ولكن بموجب عقد يحظر عادةً التدريب على بياناتك، ويحد من الاحتفاظ بها، ويوفر منطقة للتخزين.

يقوم النشر الخاص أو المستضاف ذاتيًا بتشغيل النموذج داخل حسابك السحابي الخاص بك أو مستأجر مخصص. البيانات لا تترك هذه الحدود على الإطلاق. هذا هو الخيار الأكثر تحكمًا وعادةً ما يكون الأكثر تكلفة في التشغيل.

التكنولوجيا متشابهة في جميع الثلاثة. العقد والنشر، وليس النموذج، هو الذي يحدد مكان وجود بياناتك.

ماذا يعني التدريب على بياناتك، وهل يجب على مجلس الإدارة القلق؟

التدريب على بياناتك يعني أن البائع يحتفظ بمطالباتك وتحميلاتك ويستخدمها كأمثلة لتحسين النموذج الذي يستخدمه بقية العالم أيضًا. القلق ذو شقين. قد تظهر نسخة مستقبلية من النموذج أجزاء من المدخلات الحساسة، وقد خرجت المواد السرية الخاصة بك عن سيطرتك لغرض لم تكن تقصده.

بالنسبة لرسالة بريد إلكتروني واحدة، يعد هذا أمرًا منخفض المخاطر. بالنسبة للعقود، أو سجلات المرضى، أو كشوف المرتبات، أو كود المصدر، أو أي شيء يغطيه GDPR أو شرط السرية، فهي مشكلة حقيقية، لأن الموافقة وتحديد الغرض هما واجبات قانونية، وليست تفضيلات.

الجواب ليس حظر AI. إنه توجيه العمل الحساس إلى مستوى يستبعد تعاقديًا التدريب والمراجعة البشرية. تقوم طبقات المؤسسات ذات السمعة الطيبة بذلك بشكل افتراضي. تأكيد ذلك بدلا من افتراضه.

هل يمكن أن تبقى بياناتنا في الاتحاد الأوروبي، وهل الإقامة تعني الامتثال؟

نعم الإقامة متاحة ولكنها ضرورية وليست كافية.

يقدم معظم مقدمي الخدمات الرئيسيين الآن إقامة بيانات في الاتحاد الأوروبي، مما يعني أن البيانات تتم معالجتها وتخزينها في المناطق الأوروبية. بالنسبة لشركة تتعامل مع البيانات الشخصية الأوروبية، فإن هذا يزيل أحد الأسئلة الأصعب حول GDPR، وهو الأساس القانوني للتحويل الدولي، ويتوافق بشكل طبيعي جنبًا إلى جنب مع الالتزامات التي يفرضها قانون الاتحاد الأوروبي AI على الشركات التي تشحن AI](/blog/the-eu-ai-act-what-it-actually-means-for-businesses-shipping-ai).

الإقامة وحدها لا تجعلك متوافقاً. لا تزال بحاجة إلى اتفاقية معالجة البيانات، وأساس قانوني واضح، وحدود الاحتفاظ، وسجل الأنظمة التي تلامس البيانات الشخصية. تجيب الإقامة أين، وليس ما إذا كان مسموحًا لك بذلك. تعامل معها كعنصر تحكم واحد من بين عدة عناصر تحكم، وليس الإجابة الكاملة.

ما الذي يجب أن نطلبه من بائع AI قبل التوقيع؟

قائمة قصيرة مكتوبة تحسم معظمها.

سؤال	كيف تبدو الإجابة الآمنة
هل تقوم بتدريب نماذجك على مدخلاتنا أو مخرجاتنا؟	لا، ليس على بيانات مستوى الأعمال، بشكل افتراضي وفي العقد.
ما هي مدة الاحتفاظ ببياناتنا؟	نافذة قصيرة معلنة (غالبًا ما تكون من صفر إلى 30 يومًا لمراقبة إساءة الاستخدام)، ثم يتم حذفها.
أين تتم معالجة بياناتنا وتخزينها؟	منطقة محددة، مع توفر الإقامة في الاتحاد الأوروبي.
هل يراجع الناس مطالباتنا؟	فقط بموافقة، أو لا يتم ذلك مطلقًا على مستوى الأعمال.
هل ستوقع على DPA وتعمل كمعالج؟	نعم، مع إدراج المعالجات الفرعية.
ماذا يحدث لبياناتنا إذا غادرنا؟	تم الحذف في جدول زمني محدد، مع التأكيد.

إذا لم يتمكن البائع من الإجابة على هذه الأسئلة بوضوح، فهذا هو الجواب بحد ذاته. نفس النظام الذي يبقي الهلوسة خارج مسار المستندات، معرفة ما يفعله النظام بالضبط وإثباته، ينطبق على المكان الذي تذهب إليه البيانات. معرفة أي مستوى يناسب أي مهمة، والتعاقد على شروط الإقامة في الاتحاد الأوروبي وعدم التدريب التي تحتاجها، هو جزء من عملنا في استشارات AI.

الوجبات العملية للمجلس

لا تحتاج إلى إحاطة فنية عميقة للتحكم في هذا بشكل جيد. أنت بحاجة إلى معرفة المستوى الذي تستخدمه كل أداة AI، وما إذا كان عقدها يستثني التدريب على بياناتك، ومكان تخزين تلك البيانات، ومن يملك اتفاقية معالجة البيانات. ينتمي العمل الحساس إلى مؤسسة أو نشر خاص مع إقامة في الاتحاد الأوروبي وبند عدم التدريب. يمكن أن يتم العمل منخفض المخاطر على مستويات أبسط. قم بتدوين المخزون، وتعيين مالك، ثم قم بزيارته مرة أخرى عند ظهور أداة جديدة. معظم مخاطر بيانات AI ليست مشكلة تقنية. إنها مشكلة شراء وحوكمة تعرف بالفعل كيفية إدارتها.