Confiança: el que necessites per aprovar EuroWork

Aquesta pàgina no està escrita per a qui ha d'utilitzar EuroWork. Està escrita per a qui ha d'aprovar que algú altre ho faci: el delegat de protecció de dades, el cap d'IT, la persona encarregada de la contractació, o qui rep la pregunta divendres a la tarda i necessita una resposta abans de dilluns.

Hem intentat respondre a tot això en un sol lloc, incloent-hi el que no tenim.

On es guarden realment les dades

La base de dades i l'aplicació s'executen totes dues a Frankfurt, a la mateixa regió de centre de dades. El processament d'IA es fa, per defecte, amb Mistral AI a Europa, amb zero data retention: les vostres preguntes i respostes no es guarden al proveïdor d'IA ni s'utilitzen per entrenar els seus models.

ChatGPT i Claude estan disponibles com a opció i impliquen processament als Estats Units. Només s'utilitzen quan un usuari individual els tria activament per a un missatge concret, i l'administrador pot desactivar aquesta opció completament. Abans que un missatge d'aquest tipus s'enviï, passa per la revisió de sensibilitat, i el que sembla informació personal o confidencial sempre es redirigeix al model de la UE.

Tot això també consta al document de polítiques, que és el text jurídicament vinculant. Aquesta pàgina n'és el resum.

Que una organització mai vegi les dades d'una altra

L'aïllament està a la base de dades, no al codi que hi ha a sobre. Cada consulta a la base de dades porta la identitat de l'organització, i sense aquesta identitat no es retorna cap fila. Si un error a l'aplicació oblida una condició, el resultat és que no es veu res, no que es vegi res que no toca. Això s'anomena fail closed, i és l'únic tipus de protecció en què es pot confiar a llarg termini.

El contingut mai es registra al registre de decisions. Allà s'indica quin model ha respost, quan, quant ha costat i per què s'ha triat el model. No què ha preguntat ningú.

El contracte

El contracte de subcontractació de dades personals està inclòs al contracte de servei, amb la vostra organització com a responsable del tractament i EuroWork AB com a subcontractista pel contingut que introdueixen els vostres empleats. Podeu demanar el text del contracte abans de registrar-vos, només cal que ens ho feu saber.

Els subcontractistes, és a dir, els proveïdors que nosaltres alhora contractem per a l'operació i el processament d'IA, estan identificats al document de polítiques. Si canviem algun, us ho farem saber amb antelació.

El que no tenim

No estem certificats amb ISO 27001. No tenim cap prova de penetració externa realitzada per mostrar, ni cap pàgina d'estat amb l'historial d'operacions. Tot això arribarà, però no volem donar a entendre que ja existeix.

Preferim que ho descobriu aquí, a la nostra pròpia pàgina, que no pas en un procés de contractació.

Accessibilitat

El servei s'està desenvolupant segons els estàndards WCAG 2.2 AA. S'han revisat els nivells de contrast, la navegació per teclat i el suport per a lectors de pantalla, però no afirmem que cada superfície sigui perfecta. Si trobeu alguna cosa que no funcioni, ens ho dieu i ho arreglem. Aquesta és l'única manera honesta de treballar amb accessibilitat: un servei mai no està acabat, simplement es va tornant menys dolent.

Si alguna cosa surt malament

Si detectem un incident de protecció de dades, us ho farem saber sense demora innecessària, amb el que sabem en aquell moment i què estem fent per solucionar-ho. Us proporcionarem el que necessiteu per a la vostra pròpia notificació a l'autoritat de control, incloent-hi les dates i les categories de dades afectades.

Portar-vos el vostre material

Els documents es poden descarregar com a Word, Excel o PowerPoint directament des del servei. Si voleu treure-ho tot junt, per exemple si decidiu deixar de fer servir EuroWork, ens encarreguem de preparar-ho. No ho considerem una posició de negociació fer que una baixa sigui complicada.

El Reglament d'Intel·ligència Artificial

Tot el que genera el servei està marcat. Les imatges porten el marcatge dins del mateix fitxer, de manera que es manté quan es descarreguen i s'envien. Les respostes d'IA estan marcades a la interfície. Això compleix l'article 50 sobre transparència, i els informes del servei es poden fer servir com a base per a la vostra pròpia documentació.

Plantilla preparada per a l'avaluació d'impacte

Si una entitat pública vol implantar IA, normalment cal fer una avaluació d'impacte relativa a la protecció de dades, i escriure-la des de zero pot ocupar una tarda que ningú no té. Aquí teniu una plantilla on hem respost tot el que fa referència a nosaltres. El que queda és el que fa referència a vosaltres, i això només ho podeu respondre vosaltres.

1. Descripció del tractament. EuroWork l'utilitzen els empleats per fer preguntes, resumir i crear documents, transcriure reunions, traduir fitxers i executar tasques recurrents. Les dades que es tracten són les dades del compte i el contingut de treball que introdueixen els mateixos empleats.

2. Finalitat i base jurídica. Ompliu la vostra finalitat. La base jurídica sol ser l'interès públic o l'exercici de potestats públiques per a entitats públiques, i l'interès legítim per al sector privat.

3. Categories de persones afectades. Els empleats que utilitzen el servei, així com les persones que apareixen al material que els empleats decideixen introduir. Preciseu quines són a la vostra organització.

4. Necessitat i proporcionalitat. El servei no recull més informació que la que l'empleat escriu o puja. La connexió amb Microsoft 365 és personal i voluntària: cada usuari connecta el seu propi compte, la connexió només és de lectura (calendari, encapçalaments de correu, missatges individuals i fitxers a petició expressa de l'usuari), les dades es recuperen en el moment de la consulta sense sincronització contínua, cada lectura queda registrada al registre de revisions, i l'usuari pot desconnectar el seu compte en qualsevol moment.

5. On es fa el tractament. Emmagatzematge dins la UE i l'EEE: base de dades i aplicació a Frankfurt, a la mateixa regió de centre de dades. Processament d'IA amb un proveïdor europeu amb zero data retention. La transferència a tercers països només es produeix si un usuari tria activament un model extern, una opció que es pot desactivar per a tota l'organització.

6. Riscos i mesures de protecció. Aïllament a nivell de fila per organització que falla tancat, revisió automàtica de sensibilitat que pot augmentar però mai reduir el nivell de protecció, classificació de la informació per pregunta, registre de revisions de les accions, aprovació humana abans que un esborrany d'IA es converteixi en un document vàlid, i límit mensual de cost.

7. Risc residual. El principal risc residual és que un empleat introdueixi material més sensible del que requereix la finalitat. Mesures de contenció: classificació de la informació, la revisió de sensibilitat i el fet que el curs integrat tracta precisament aquest aspecte. Avalueu el nivell segons la vostra activitat.

8. Consulta amb el delegat de protecció de dades. Ompliu la data i els comentaris.

Si voleu aquesta plantilla en format Word, digueu-nos-ho i us l'enviarem.

Pregunteu-nos en lloc d'endevinar

Si no trobeu la resposta aquí, escriviu-nos. Us respondrà una persona, i si la resposta és que no tenim el que necessiteu, us ho direm.