- Il GDPR si applica a tutti i chatbot che raccolgono o elaborano dati personali degli utenti dell'UE, richiedendo trasparenza, diritti degli utenti e rigorose misure di salvaguardia dei dati.
- È necessario informare chiaramente gli utenti su quali dati il chatbot raccoglie, perché, come vengono archiviati o condivisi e sui diritti degli utenti di accedere o cancellare i propri dati.
- I dati possono essere trattati solo per finalità specifiche e dichiarate, con una base giuridica come il consenso, l'adempimento del contratto o gli interessi legittimi.
- Gli utenti devono essere in grado di esercitare i diritti previsti dal GDPR, come accedere, correggere o cancellare i propri dati, possibilmente direttamente attraverso i flussi dei chatbot.
Se state pensando di implementare un chatbot per un'azienda, questo articolo è per voi.
Mentre il GDPR(General Data Protection Regulation) getta la sua ombra sulle aziende che gestiscono i dati dei clienti, cresce l'urgenza di affrontare gli aspetti tecnologici delle imprese.
Una domanda che ci viene posta spesso dai nostri clienti è: come faccio a rendere il mio chatbot Botpress conforme al GDPR? Sebbene la conformità al GDPR possa essere complicata, siamo qui per aiutarvi.
Se il GDPR si applica alla vostra azienda, ecco alcuni suggerimenti e trucchi per garantire la conformità del vostro chatbot.
Corso accelerato sul GDPR
Che cos'è il GDPR?
Il GDPR è un regolamento dell'UE incentrato sulla protezione dei dati e sulla privacy. Ha un impatto su individui e aziende nell'UE e nello Spazio economico europeo (SEE), compreso il trasferimento di dati al di fuori dell'UE e del SEE.
Il suo scopo è quello di dare alle persone il controllo sui propri dati personali e di fornire una regolamentazione unificata in tutta l'UE. Se la vostra azienda opera in questi settori, dovete essere conformi al GDPR.
La mancata conformità al GDPR ha un costo. Potrebbe portare a sanzioni sostanziali, che possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale dell'anno finanziario precedente, a seconda di quale sia il valore più alto.
L'obiettivo è dimostrare ai vostri utenti che elaborerete i loro dati esattamente come promesso. In questo modo, la fiducia dei clienti nel vostro sito chatbots aumenterà sicuramente la redditività e il successo della vostra azienda.
Cosa si intende per dati personali?
Secondo il GDPR, i dati personali sono definiti come "qualsiasi informazione che si riferisce a un individuo vivente identificato o identificabile". Ciò include:
- Numeri di telefono
- Numeri di carta di credito
- Numero di persone
- Dati del conto
- Targhe
- Aspetto
- Numeri clienti
- Indirizzi
Tuttavia, la definizione del GDPR è ampia: se non si è sicuri che le informazioni siano da considerarsi dati personali, è meglio presumere che debbano essere trattate come tali.
1. Essere trasparenti
Se state raccogliendo i dati dei clienti attraverso il vostro chatbot - e questi dati sono considerati dati personali ai sensi del GDPR - dovete essere trasparenti con gli utenti del chatbot. Dovete spiegare "chi, cosa, dove, quando e perché" della raccolta dei loro dati.
Ciò significa informare i vostri utenti su quali dati dei clienti raccogliete, come li utilizzate e con chi li condividete. Questi elementi devono sempre essere presentati all'utente prima di raccogliere i dati dei clienti.
Informare l'utente prima della raccolta
È necessario fornire un avviso chiaro e facilmente comprensibile prima di gestire i dati dei clienti attraverso il chatbot.
Spesso si presentano come pop-up che spiegano agli utenti quali dati raccoglierete da loro, perché li state raccogliendo e i loro diritti sulla raccolta dei dati personali.
Pubblicare una dichiarazione pubblica sulla privacy
Dovreste anche specificare le vostre pratiche di trattamento dei dati in una politica o dichiarazione sulla privacy online e aggiornarla se necessario. A titolo di esempio, si può fare riferimento alla dichiarazione sulla privacy diBotpress.
L'informativa sulla privacy deve includere:
- Quali informazioni vengono raccolte dall'utente
- Perché state trattando i loro dati personali (cioè lo scopo della raccolta dei dati)
- Come conservate e trasferite i dati personali
- Come proteggete e gestite i loro dati personali
- I diritti alla privacy degli utenti
La trasparenza sull'uso e la gestione dei dati dei clienti favorisce un senso di fiducia e di buona volontà, che porta a relazioni più forti e durature con i clienti e, in ultima analisi, a un'attività più sostenibile e rispettabile.
2. Essere sinceri
Dovete trattare i dati solo per gli scopi dichiarati. Ciò implica che la vostra azienda e i suoi dipendenti elaborino i dati dei clienti solo per gli scopi dichiarati.
Ad esempio, se dichiarate che utilizzerete i dati dei clienti per l'invio di comunicazioni commerciali, la formazione di algoritmi, l'analisi dei dati per il miglioramento dei prodotti, l'assistenza tecnica, il servizio clienti o la personalizzazione dei servizi, potrete utilizzare i dati solo per tali scopi e nient'altro.
3. Essere intelligenti
Dovete trattare i dati solo con un'adeguata giustificazione legale.
Fate un passo indietro e valutate internamente la vostra base giuridica per il trattamento dei dati dei clienti. Questa analisi è richiesta dal GDPR.
È possibile gestire i dati dei clienti solo se sono soddisfatte una o più delle seguenti condizioni:
- Si basa sul consenso esplicito dell'utente del chatbot.
- Fa parte di un contratto con l'utente e il trattamento è indispensabile
- Si tratta di adempiere a un obbligo legale
- Si tratta di salvaguardare gli interessi vitali dell'utente (leggi: situazione di vita o di morte!).
- Svolge un compito di interesse pubblico .
- Fa parte della vostra autorità ufficiale
- Per perseguire interessi legittimi (a meno che tali interessi non siano superati dagli interessi degli utenti o dai diritti e dalle libertà fondamentali).
I motivi più comuni per il trattamento dei dati dei clienti sono il consenso, l'esecuzione di un contratto o gli interessi legittimi.
4. Essere orientati al cliente
Dovete consentire agli utenti di esercitare i loro diritti in materia di privacy.
Uno dei punti della lista di controllo del GDPR per il sito chatbots riguarda la garanzia che gli utenti dei chatbot siano in grado di esercitare uno o più dei vari diritti sulla privacy dei dati previsti dal GDPR.
Gli utenti dei chatbot devono poter accedere ai dati dei clienti raccolti dal chatbot su di loro, correggerli, limitarne l'elaborazione e opporsi ad essa, richiedere la cancellazione dei propri dati o ottenerli in un formato portatile.
L'ideale sarebbe che gli utenti potessero esercitare questi diritti direttamente nel flusso di conversazione di chatbots , attraverso un processo interattivo di domande e risposte. Fortunatamente, Botpress offre questa possibilità.
5. Essere umani
Cercate di dimostrare che le decisioni automatizzate hanno un coinvolgimento umano.
I chatbot di Botpress utilizzano la tecnologia AI. In particolare, si tratta di agenti AI alimentati da LLMs.
A meno che non siano soddisfatte determinate condizioni, non è possibile strutturare il chatbot in modo che l'IA prenda decisioni critiche solo su un utente: le decisioni prese sugli utenti non possono produrre effetti legali o influenzare in modo significativo l'utente.
Ciò significa che la supervisione umana deve essere presente in ogni fase dell'implementazione di un chatbot che utilizza l 'IA agenziale per garantire la conformità al GDPR. È essenziale essere in grado di dimostrare agli utenti che il coinvolgimento umano ha avuto un ruolo nella definizione di queste decisioni.
6. Essere avversi ai log
Valutate che tipo di registri state mantenendo attraverso il vostro chatbot. Avete registri degli errori? Registri di accesso? Registri di controllo della sicurezza?
In tal caso, è necessario determinare se questi registri contengono dati dei clienti, come indirizzi IP, informazioni identificative o nomi completi. Se la risposta è "sì", potreste dover mettere in atto un processo per eliminare i dati dei clienti. Il GDPR vi vieta di mantenere e conservare questi dati senza un'adeguata giustificazione.
Quando la conservazione non è giustificata, cancellare tutti i dati personali ottenuti attraverso i log.
Su Botpress, cancelliamo automaticamente i dati personali ottenuti attraverso i log dopo un periodo di tempo esplicitamente definito.
7. Essere sicuri
Oltre a tutti gli altri elementi, dovete anche assicurarvi di implementare misure tecniche, organizzative, fisiche e amministrative per proteggere le informazioni trattate dal vostro chatbot.
Questo potrebbe significare assicurarsi che:
- Crittografia dei dati dei clienti a riposo e in transito
- Anonimizzare o pseudonimizzare i dati dei clienti
- Gestite in modo appropriato l'accesso dei vostri dipendenti ai dati dei clienti sulla base della necessità di sapere
- Tra le altre considerazioni, disporre di back-up appropriati
Queste sono tutte misure appropriate per proteggere i dati che vi vengono affidati, ma variano in base allo scopo del vostro chatbot e ai dati che raccoglie.
Per altri esempi, è possibile consultare l'Allegato 2 dell'Accordo sul trattamento dei dati di Botpressper un elenco delle misure di sicurezza che mettiamo in atto quando costruite un chatbot con il nostro aiuto.
Costruire chatbot conformi
Garantire che il vostro chatbot sia conforme al GDPR non è importante solo per motivi legali o finanziari. Stabilire fiducia e trasparenza con gli utenti è fondamentale per l'immagine pubblica dell'azienda e per le relazioni con i singoli clienti. In caso di dubbio, assicuratevi che i vostri prodotti e servizi seguano una lista di controllo GDPR per garantire la conformità.
Saremo lieti di aiutarvi a garantire che il vostro chatbot AI sia conforme alle normative necessarie. Molte caratteristiche di conformità al GDPR sono integrate direttamente in Botpress , in modo che possiate concentrarvi sulla creazione del bot.
Per qualsiasi domanda, potete contattare l'indirizzo legal@botpress.com.
Domande frequenti
1. La conformità al GDPR è obbligatoria per le aziende non UE che utilizzano i chatbot?
Sì, la conformità al GDPR è obbligatoria se il vostro chatbot interagisce con utenti nell'UE o tratta dati di residenti nell'UE, indipendentemente dalla sede della vostra azienda.
2. Come posso condurre una valutazione d'impatto sulla protezione dei dati (DPIA) per il mio chatbot?
Per condurre una valutazione d'impatto sulla protezione dei dati (DPIA) per il vostro chatbot, iniziate con l'identificare i dati personali che il vostro chatbot elabora, i rischi connessi e le misure che adotterete per mitigarli. È un modo strutturato per dimostrare che avete pensato all'impatto sulla privacy e a come gestirlo.
3. Come posso garantire che il mio chatbot non registri dati sensibili durante il debug o l'analisi?
Per garantire che il vostro chatbot non registri dati sensibili durante il debug o l'analisi, disabilitate la registrazione dei contenuti delle conversazioni, anonimizzate i log conservati e assicuratevi che gli strumenti di debug escludano o riducano i dati personali. Esaminare sempre ciò che i log catturano e applicare controlli di accesso rigorosi.
4. Devo localizzare il mio chatbot per regioni diverse con leggi sui dati diverse?
Sì, è necessario localizzare il chatbot per le diverse regioni. Mentre il GDPR è severo, altre regioni come la California o il Brasile hanno le loro regole, quindi adattare le pratiche di trattamento dei dati del vostro chatbot a ogni regione vi aiuta a rimanere conformi a livello globale.
5. La profilazione degli utenti in tempo reale tramite LLMs è considerata conforme al GDPR?
Se la profilazione degli utenti in tempo reale tramite LLMs è considerata conforme al GDPR o meno, dipende. La profilazione è consentita, ma se influisce in modo significativo sugli utenti o prende decisioni automatizzate senza l'apporto umano, è necessaria una forte giustificazione e un consenso esplicito. La trasparenza e la supervisione umana sono fondamentali.
.png)
