Încredere: ce vă trebuie pentru a aproba EuroWork

Pagina aceasta nu este scrisă pentru cel care va folosi EuroWork. Este scrisă pentru cel care trebuie să aprobe ca altcineva să o facă: responsabilul cu protecția datelor, șeful IT, persoana care face achizițiile, sau cel care primește întrebarea pe genunchi într-o vineri și are nevoie de un răspuns până luni.

Am încercat să răspundem la toate aceste aspecte într-un singur loc, inclusiv la ce nu avem.

Unde sunt stocate datele, de fapt

Baza de date și aplicația rulează ambele în Frankfurt, în aceeași regiune de centru de date. Procesarea AI se face în mod implicit la Mistral AI în Europa, cu zero retenție de date: întrebările și răspunsurile voastre nu sunt salvate la furnizorul AI și nu sunt folosite pentru a antrena modelele lor.

ChatGPT și Claude sunt disponibile ca opțiuni și implică procesare în SUA. Sunt folosite doar atunci când un utilizator individual le alege în mod activ pentru un mesaj individual, iar administratorul vostru poate dezactiva complet opțiunea. Înainte ca un astfel de mesaj să fie trimis, trece prin verificarea de sensibilitate, iar ceea ce pare a fi date cu caracter personal sau informații confidențiale este întotdeauna trimis către modelul din UE.

Toate acestea sunt menționate și în documentul de politică, care este textul juridic obligatoriu. Această pagină este doar un rezumat.

Faptul că o organizație nu vede niciodată datele alteia

Izolarea este implementată la nivelul bazei de date, nu în codul de deasupra. Fiecare interogare către baza de date poartă identitatea organizației, iar fără această identitate nu se returnează niciun rând. Dacă o eroare în aplicație uită o condiție, rezultatul este că nu se vede nimic, nu că se văd date greșite. Acest lucru se numește fail closed și este singurul tip de protecție în care poți avea încredere pe termen lung.

Conținutul nu este niciodată înregistrat în jurnalul de decizii. Acolo este specificat ce model a răspuns, când, cât a costat și de ce a fost ales modelul. Nu și ce a întrebat cineva.

Contractul

Contractul de procesare a datelor cu caracter personal este inclus în contractul de servicii, cu organizația voastră ca responsabil de protecția datelor și EuroWork AB ca procesator pentru conținutul introdus de angajații voștri. Puteți primi textul contractului înainte de a vă înregistra, trebuie doar să ne contactați.

Subprocesatorii, adică furnizorii pe care îi folosim la rândul nostru pentru operare și procesare AI, sunt menționați în documentul de politică. Dacă schimbăm pe cineva, vă anunțăm din timp.

Ce nu avem

Nu suntem certificați ISO 27001. Nu avem un test de penetrare extern finalizat pe care să vi-l arătăm și nici o pagină de stare cu istoricul operațional. Acestea vor veni, dar nu vrem să sugerăm că există deja.

Preferăm să descoperiți aceste lucruri pe pagina noastră decât într-un proces de achiziție.

Accesibilitate

Serviciul este construit conform WCAG 2.2 AA. Nivelurile de contrast, navigarea cu tastatura și suportul pentru cititoare de ecran au fost verificate, dar nu susținem că fiecare suprafață este perfectă. Dacă întâlniți ceva care nu funcționează, vrem să știm, și vom remedia. Este și singura modalitate onestă de a lucra cu accesibilitatea: un serviciu nu devine niciodată complet, ci devine treptat mai puțin problematic.

Dacă ceva nu merge bine

Dacă descoperim un incident legat de date cu caracter personal, vă vom contacta fără întârziere inutilă, cu ceea ce știm la momentul respectiv și ce facem în legătură cu asta. Veți primi ceea ce aveți nevoie pentru propria voastră notificare către autoritatea de supraveghere, inclusiv momentele și categoriile de date afectate.

Să vă luați materialul cu voi

Documentele pot fi descărcate ca Word, Excel sau PowerPoint direct din serviciu. Dacă doriți să exportați totul împreună, de exemplu pentru că alegeți să renunțați la serviciu, vom aranja acest lucru. Nu considerăm că este o poziție de negociere să facem rezilierea dificilă.

Regulamentul privind inteligența artificială

Tot ceea ce generează serviciul este marcat. Imaginile poartă marcajul în interiorul fișierului, astfel încât acesta rămâne atașat când imaginea este descărcată și trimisă mai departe. Răspunsurile AI sunt marcate în interfață. Acest lucru îndeplinește articolul 50 privind transparența, iar rapoartele din serviciu pot fi folosite ca suport în propria voastră documentație.

Șablon gata făcut pentru evaluarea impactului

Dacă o instituție publică dorește să implementeze AI, este de obicei necesară o evaluare a impactului asupra protecției datelor, iar scrierea uneia de la zero durează o după-amiază pe care nimeni nu și-o permite. Iată un șablon în care am completat tot ce ține de noi. Ce rămâne este ceea ce ține de voi, și doar voi puteți răspunde la asta.

1. Descrierea procesării. EuroWork este folosit de angajați pentru a pune întrebări, a rezuma și a crea documente, a transcrie întâlniri, a traduce fișiere și a rula sarcini recurente. Datele procesate sunt informații de cont, precum și conținutul de lucru introdus de angajați.

2. Scop și bază legală. Completați scopul vostru. Baza legală este de obicei interesul public sau exercitarea autorității pentru instituțiile publice, interes legitim pentru sectorul privat.

3. Categorii de persoane înregistrate. Angajații care folosesc serviciul, precum și persoanele care apar în materialul pe care angajații aleg să îl introducă. Precizați care sunt acestea la voi.

4. Necesitate și proporționalitate. Serviciul nu colectează mai mult decât ceea ce introduce angajatul. Conexiunea la Microsoft 365 este personală și opțională: fiecare utilizator își conectează propriul cont, conexiunea este doar de citire (calendar, anteturi de e-mail, scrisori individuale și fișiere la cererea expresă a utilizatorului), datele sunt preluate în momentul întrebării fără sincronizare continuă, fiecare acces este înregistrat în jurnalul de revizie, iar utilizatorul poate deconecta contul oricând.

5. Unde are loc procesarea. Stocarea în UE și SEE: baza de date și aplicația în Frankfurt, în aceeași regiune de centru de date. Procesarea AI la un furnizor european cu zero retenție de date. Transferul în țări terțe are loc doar dacă un utilizator alege în mod activ un model extern, o opțiune care poate fi dezactivată pentru întreaga organizație.

6. Riscuri și măsuri de protecție. Izolare la nivel de rând per organizație, care eșuează închis, verificare automată a sensibilității care poate crește, dar nu scădea nivelul de protecție, clasificarea informațiilor per întrebare, jurnal de revizie al acțiunilor, aprobare umană înainte ca un proiect AI să devină un document valabil, precum și un plafon lunar pentru costuri.

7. Risc rămas. Principalul risc rămas este că un angajat introduce mai multe informații sensibile decât necesită scopul. Măsuri de contracarare: clasificarea informațiilor, verificarea sensibilității și faptul că cursul încorporat abordează exact acest aspect. Evaluați nivelul în funcție de activitatea voastră.

8. Consultarea responsabilului cu protecția datelor. Completați data și observațiile.

Dacă doriți acest șablon ca document Word, spuneți-ne și vi-l trimitem.

Întrebați-ne în loc să ghiciți

Dacă nu găsiți răspunsul aici, scrieți-ne. Veți primi răspuns de la o persoană, iar dacă răspunsul este că nu avem ceea ce aveți nevoie, vă vom spune.