AI ჩატბოტის უსაფრთხოება და პერსონალურ მონაცემთა დაცვა საქართველოში

TL;DR: საქართველოს კანონმდებლობასთან პერსონალურ მონაცემთა დაცვის შესახებ შესაბამისობა მოითხოვს მომხმარებლის ინფორმირებას ავტომატური დამუშავების შესახებ, თანხმობის მიღებას, კორპორატიული Zero Data Retention API-ების გამოყენებასა და მონაცემთა დაცულ შენახვას.

რა მოთხოვნებს აწესებს საქართველოს კანონმდებლობა AI ჩატბოტებისთვის?

პერსონალურ მონაცემთა დაცვის სტანდარტებთან შესაბამისობა გულისხმობს ჩატბოტის მუშაობის მორგებას „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონთან. კანონის თანახმად, კომპანია ვალდებულია მკაფიოდ შეატყობინოს მომხმარებელს ხელოვნური ინტელექტის გამოყენების შესახებ, ჰქონდეს მონაცემთა დამუშავების სამართლებრივი საფუძველი და დაიცვას მიმოწერის ჩანაწერები.

ისეთი პლატფორმები, როგორიცაა aiCHATS-ის კორპორატიული არქიტექტურა, უზრუნველყოფს სრულ შესაბამისობას TLS დაშიფვრით, მკაცრი წვდომის კონტროლითა და კორპორატიული API ხელშეკრულებებით 5 საკომუნიკაციო არხზე, 10-დიალოგიანი მეხსიერებითა და 7-დღიანი სატესტო პერიოდით.

წესების დარღვევა იწვევს პერსონალურ მონაცემთა დაცვის სამსახურის შემოწმებებს, სავალდებულო მითითებებსა და ფინანსურ ჯარიმებს.

რომელ სფეროებშია განსაკუთრებით მკაცრი უსაფრთხოების ნორმები?

მონაცემთა დაცვის მკაცრი წესები მოქმედებს სამ ძირითად მიმართულებაში: სამედიცინო მომსახურებაში, ფინანსურ სექტორსა და ელექტრონულ კომერციაში. კლინიკებში ჩატბოტმა უნდა გამოიყენოს მონაცემთა ავტომატური დაფარვა, რათა ჯანმრთელობის შესახებ ინფორმაცია გარე სერვერებზე არ გადაიცეს.

ფინანსურ და სადაზღვევო სფეროში პირადი ნომრებისა და საბანკო რეკვიზიტების შეგროვება მოითხოვს პირდაპირ თანხმობასა და დაშიფრულ შენახვას. რითეილში მომხმარებლის მისამართი და ტელეფონის ნომერი საიმედოდ უნდა იყოს დაცული გარეშე პირთა წვდომისგან.

ავტომატური ფილტრების დაყენება უზრუნველყოფს კანონმდებლობასთან მუდმივ შესაბამისობას.

როგორ შეედრება კორპორატიული ღრუბლოვანი API ლოკალურ სერვერებს?

ღრუბლოვანი კორპორატიული API უზრუნველყოფს სწრაფ გაშვებას, მოწინავე ანალიტიკურ შესაძლებლობებსა და დაბალ ხარჯს, ხოლო ლოკალური სერვერები გამოიყენება საბანკო და სახელმწიფო სექტორში მონაცემთა სრული იზოლაციისთვის.

არქიტექტურული მოდელი	მონაცემთა კონტროლი	ინფრასტრუქტურის ხარჯი	მოდელის აზროვნების ხარისხი	შესაბამისობის სირთულე
კორპორატიული API (Zero Retention)	მაღალი (კონტრაქტით დაცული)	დაბალი (გამოყენების მიხედვით)	მოწინავე (GPT-4 / Claude)	სტანდარტული ხელშეკრულებით
ლოკალური სერვერი (On-Premise)	სრული (მონაცემი არ ტოვებს ქსელს)	ძალიან მაღალი (GPU სერვერები)	საშუალო (ტექნიკურად შეზღუდული)	დაბალი (სრული ლოკალური კონტროლი)

ქართული ბიზნესის აბსოლუტური უმრავლესობისთვის კორპორატიული ღრუბლოვანი API საუკეთესო ბალანსს ქმნის უსაფრთხოებასა და ხარისხს შორის.

როგორ უზრუნველვყოთ კონფიდენციალურობა ოთხ ეტაპად?

სრული შესაბამისობის მისაღწევად გადადგით შემდეგი ოთხი ნაბიჯი:

1. კონფიდენციალურობის პოლიტიკის განახლება: ასახეთ საიტზე AI-ით ავტომატური დამუშავების წესები, შენახვის ვადები და მომხმარებლის უფლებები.
2. Zero Data Retention-ის შემოწმება: დარწმუნდით, რომ პროვაიდერი იყენებს კორპორატიულ API-ს, სადაც საუბრები მოდელის დასატრენინგებლად არ ინახება.
3. პერსონალური მონაცემების დაფარვა: დააყენეთ ფილტრები, რომლებიც ამოიცნობს და ფარავს პირად ნომრებსა და ბარათის მონაცემებს.
4. ინფორმირების ბანერის გამართვა: პირველივე შეტყობინებაში აცნობეთ მომხმარებელს, რომ მას AI ასისტენტი პასუხობს.

რა პრაქტიკული მაგალითი ადასტურებს უსაფრთხოების სტანდარტების დაცვას?

თბილისში მოქმედმა მრავალპროფილურმა კლინიკამ დანერგა AI ჩატბოტი, რომელშიც ჩააშენა მონაცემთა ავტომატური დაფარვის მოდული თვეში დაახლოებით 600 პაციენტის მომსახურებისთვის. როდესაც პაციენტი პირად ნომერს ან სიმპტომს წერს, ფილტრი მას უსაფრთხო ანონიმური კოდით ანაცვლებს.

AI ასისტენტი ამუშავებს მოთხოვნას ისე, რომ გარე სერვერებზე პირადი მონაცემები არ გადაიცემა. ვიზიტის დადასტურების შემდეგ შიდა სისტემა ლოკალურ სერვერზე აკავშირებს კოდს პაციენტის დაშიფრულ ბარათთან.

ამ სისტემამ სრულად დაიცვა სამედიცინო კონფიდენციალურობა და შეინარჩუნა 24/7 ავტომატური ჯავშნების უპირატესობა.

როგორ ხდება AI დიალოგების კრიპტოგრაფიული აღრიცხვა?

თანამედროვე მმართველობა მოითხოვს ყველა AI მოვლენის, ბაზაში ჩანაწერისა და ოპერატორზე გადართვის უსაფრთხო ჟურნალის წარმოებას. კრიპტოგრაფიული აღრიცხვა ადასტურებს თითოეული შეტყობინების დროსა და შინაარსს, რაც მონაცემთა შემდგომ შეცვლას გამორიცხავს.

გარდა ამისა, სისტემა ავტომატურად შლის ვადაგასულ საუბრებს კომპანიის მიერ დადგენილი გრაფიკის მიხედვით, რაც სამართლებრივ რისკებს სრულად ანეიტრალებს.

რა შეზღუდვები ახასიათებს ღრუბლოვანი სისტემების უსაფრთხოებას?

ღრუბლოვანი სისტემების მთავარი თავისებურება ის არის, რომ უსაფრთხოების გარანტიები ეფუძნება მომწოდებელთან გაფორმებულ მონაცემთა დამუშავების ხელშეკრულებას (DPA). თუმცა, ტექნიკური დაშიფვრა ვერ დაიცავს ინფორმაციას, თუ კომპანიის თანამშრომლები დაუდევრად მოექცევიან შიდა წვდომის პაროლებს.

შიდა როლებისა და უფლებების მკაცრი განაწილება იცავს ორგანიზაციას ადამიანური შეცდომებისგან.

რა შეცდომებს უშვებენ ქართული კომპანიები უსაფრთხოების კუთხით?

ყველაზე გავრცელებული შეცდომა ჩვეულებრივი სამომხმარებლო ChatGPT ანგარიშების გამოყენებაა კორპორატიული API-ს ნაცვლად, რაც მოდელის მფლობელს უფლებას აძლევს გამოიყენოს მიმოწერა მოდელის გასაწვრთნელად. მეორე შეცდომაა მომხმარებლის გაუფრთხილებლობა, რომ ის ხელოვნურ ინტელექტს ესაუბრება.

საჯარო პოლიტიკის განახლება და კორპორატიულ API-ზე გადასვლა ამ რისკებს გამორიცხავს.

რა არის ის 15 საკონტროლო პუნქტი, რაც უნდა შემოწმდეს?

შეამოწმეთ თქვენი ჩატბოტი ამ 15 საკვანძო პუნქტის მიხედვით:

1. მკაფიო გაფრთხილება AI-ს შესახებ პირველივე შეტყობინებაში.
2. საიტზე განახლებული კონფიდენციალურობის პოლიტიკა.
3. კორპორატიული Zero Data Retention ხელშეკრულება.
4. საბანკო ბარათების მონაცემების ავტომატური დაფარვა.
5. პირადი ნომრების ავტომატური ფილტრაცია.
6. HTTPS/TLS დაშიფვრა ყველა ვებჰუკზე.
7. თანამშრომლებისთვის როლებზე დაფუძნებული წვდომა.
8. საუბრების ისტორიის ავტომატური წაშლის გრაფიკი.
9. თანხმობის მექანიზმი მგრძნობიარე მონაცემების შეგროვებისას.
10. მონაცემთა ექსპორტის შესაძლებლობა სტანდარტულ ფორმატში.
11. API გასაღებების უსაფრთხო შენახვა სერვერზე.
12. CRM ვებჰუკების უსაფრთხოების მუდმივი აღრიცხვა.
13. ბიომეტრიული მონაცემების შეგროვების აკრძალვა.
14. მონაცემთა დაცვაზე პასუხისმგებელი პირის დანიშვნა.
15. უსაფრთხოების დარღვევაზე რეაგირების გეგმის არსებობა.

ხშირად დასმული კითხვები

იყენებენ თუ არა OpenAI და Anthropic ჩვენი კლიენტების საუბრებს მოდელების დასატრენინგებლად?

არა, კორპორატიული API ხელშეკრულებები პირდაპირ კრძალავს კლიენტის შეტყობინებების გამოყენებას მოდელის გაწვრთნისთვის.

რა სახის შეტყობინება უნდა გამოუჩნდეს მომხმარებელს ჩატის დაწყებისას?

მისალმებისას მომხმარებელს უნდა ეცნობოს, რომ ის ესაუბრება AI ასისტენტს და მიეთითოს ბმული კონფიდენციალურობის პოლიტიკაზე.

რა სანქციები მოქმედებს პერსონალურ მონაცემთა კანონის დარღვევისთვის?

სახელმწიფო სამსახურს შეუძლია გასცეს სავალდებულო მითითებები, შეაჩეროს სისტემის მუშაობა და დააკისროს ფინანსური ჯარიმები.

რამდენ ხანს შეიძლება ინახებოდეს მომხმარებელთან მიმოწერის ისტორია?

ჩანაწერები უნდა ინახებოდეს მხოლოდ იმ მინიმალური ვადით, რაც აუცილებელია მომსახურების გასაწევად, რის შემდეგაც ისინი უნდა წაიშალოს ან გაუპიროვნდეს.

დაკავშირებული გზამკვლევები

გაეცანით ჩვენს სხვა სტატიებს უსაფრთხოებისა და სტანდარტების შესახებ:

• AI ჩატბოტის ფასი საქართველოში
• როგორ შევარჩიოთ AI ჩატბოტის მომწოდებელი საქართველოში
• მრავალარხიანი AI ჩატბოტის ინტეგრაციები
• AI ჩატბოტის დანერგვა ბიზნესში 7 ნაბიჯად
• როდის და როგორ უნდა გადაერთოს AI ჩატბოტი ოპერატორზე
• როდის არ ღირს AI ჩატბოტის გაკეთება

როგორ შეედრება უსაფრთხოების სხვადასხვა პროტოკოლი ერთმანეთს?

მონაცემთა დაცვის სხვადასხვა დონე უზრუნველყოფს როგორც ტრანზიტში მყოფი ინფორმაციის დაშიფვრას, ისე ბაზებში შენახული ჩანაწერების სრულ ანონიმიზაციას.

დაცვის დონე	ტექნოლოგიური მექანიზმი	სამართლებრივი გარანტია
მონაცემები ტრანზიტში	TLS 1.3 და HTTPS დაშიფვრა	გამორიცხავს ქსელურ ჩაჭერას
მონაცემები მოსვენებულ მდგომარეობაში	AES-256 დაშიფრული ბაზები	იცავს სერვერულ ჩანაწერებს
AI დამუშავების ფაზა	Zero Data Retention API ხელშეკრულება	მოდელი არ სწავლობს კლიენტის მონაცემებზე

ამ სამივე დონის ერთობლივი დაცვა უზრუნველყოფს სრულ სამართლებრივ უსაფრთხოებას.

რა შეზღუდვები და პასუხისმგებლობები ეკისრება კომპანიას კანონით?

მთავარი სამართლებრივი მოთხოვნაა ის, რომ კომპანია რჩება მონაცემთა დამუშავების პასუხისმგებელ პირად (Data Controller). მაშინაც კი, როდესაც გამოიყენება გარე AI პლატფორმა, კომპანიამ უნდა უზრუნველყოს თანამშრომელთა შიდა ინსტრუქტაჟი და მომხმარებელთა უფლებების დაცვა.

თუ კლიენტი მოითხოვს თავისი პირადი მონაცემების წაშლას, კომპანია ვალდებულია გონივრულ ვადაში წაშალოს მიმოწერის ჩანაწერები CRM და სარეზერვო ბაზებიდან.