Vai klientu datus drīkst apstrādāt ar mākslīgo intelektu? GDPR ceļvedis Baltijas uzņēmumiem

Iedomājies vienkāršu plānu: MI asistents sagatavo atbildes klientu e-pastiem vai nolasa piegādātāju rēķinus un ieraksta tos grāmatvedības sistēmā. Tad projektu aptur viens jautājums: vai tas vispār ir atļauts saskaņā ar GDPR?

Īsā atbilde: parasti jā, jo GDPR mākslīgo intelektu neaizliedz. Regula uzdod tos pašus jautājumus, ko jebkurai programmatūrai, kas skar personas datus: vai tev ir pamatots iemesls, vai esi informējis cilvēkus, vai dati ir aizsargāti un vai zini, kurp tie nonāk. Reālie riski ir praktiski: dati nonāk pie pakalpojuma sniedzēja nepareizā tarifā, bez līguma vai reģionā, ko neviens nav pārbaudījis.

Ietvars un ierobežojumi. Šī ir vispārīga informācija uzņēmējiem, nevis juridiska konsultācija, un tā aptver ES Vispārīgo datu aizsardzības regulu (GDPR, oficiālais teksts EUR-Lex) uz 2026. gada 19. oktobri, bet ne ES Mākslīgā intelekta aktu. Zemāk minētie pantu numuri attiecas uz šo tekstu; ērtības labad dažus no tiem esam sasaistījuši ar pantu pa pantam pieejamu kopiju vietnē gdpr-info.eu (angļu valodā). Iestādes un tiesas dažus jautājumus skaidro atšķirīgi, tāpēc jutīgu vai lielu datu apjomu gadījumā konsultējies ar juristu vai savu datu aizsardzības speciālistu.

Kas ir personas dati MI darbplūsmā?

Personas dati ir jebkāda informācija par identificētu vai identificējamu dzīvu cilvēku (4. panta 1. punkts). Vārds vai e-pasta adrese ir acīmredzams piemērs, taču personas dati ir arī tālruņa numurs, piegādes adrese, klienta numurs, kas norāda uz vienu cilvēku, vai individuālā komersanta bankas konts. "Apstrāde" ir tikpat plašs jēdziens: datu lasīšana, glabāšana, sūtīšana vai apkopošana - tas viss ir apstrāde.

Kur dati atrodas	Kas tur ir	Viegli palaist garām
E-pasti	Vārdi, adreses, tālruņa numuri, ziņas teksts, pielikumi	Adreses kā vards.uzvards@uznemums.lv joprojām identificē cilvēku, tāpat kā vecākas ziņas, kas citētas sarakstes apakšā
Rēķini	Kontaktpersonas, individuālo komersantu vārdi un adreses, privātpersonu bankas konti	Arī rēķinos uzņēmumiem ir minēta kontaktpersona
CRM ieraksti (tava klientu datubāze)	Vārdi, tālruņi, e-pasti, darījumu vēsture, piezīmes	Brīvā teksta piezīmes, kurās var būt ziņas par veselību, sūdzības vai ģimenes jautājumi
Veidlapas un tērzēšanas logi	Viss, ko cilvēks ieraksta, un tehniskie identifikatori	Informācija, ko cilvēki paši pastāsta, lai gan tu to nejautāji

Der paturēt prātā trīs lietas:

• Uzņēmuma dati nav personas dati, bet tajos minētie cilvēki ir.
• Pseidonimizēti dati joprojām ir personas dati. Vārdu aizstāšana ar kodiem samazina risku, taču, ja kodus var saistīt ar cilvēkiem, GDPR joprojām piemērojams. Ārpus regulas ir tikai patiesi anonīmi dati (26. apsvērums), un ar brīvo tekstu to panākt ir grūti.
• Dažiem datiem ir īpašs statuss. Dati par veselību, reliģisko pārliecību, dalību arodbiedrībā, seksuālo orientāciju un dažas citas kategorijas pēc noklusējuma ir aizliegts apstrādāt, ja nav piemērojams izņēmums, piemēram, skaidra piekrišana (9. pants). Brīvā teksta laukos šādas ziņas var nonākt arī tad, ja tu tās nekad neesi prasījis.

Kurš ir atbildīgs: tu vai MI pakalpojuma sniedzējs?

Tu. GDPR izpratnē tu esi pārzinis, jo tu nosaki, kāpēc un kā klientu dati tiek izmantoti (4. panta 7. punkts). MI pakalpojuma sniedzējs un uzņēmums, kas mitina tavu darbplūsmas rīku, parasti ir apstrādātāji: tie apstrādā datus tavā uzdevumā un pēc taviem norādījumiem.

Apstrādātāja izmantošanai vajadzīgs rakstisks līgums, ko parasti sauc par datu apstrādes līgumu (DPA). Tajā jābūt noteikumam, ka pakalpojuma sniedzējs darbojas tikai pēc tavām instrukcijām, saglabā datu konfidencialitāti un drošību, pirms apakšapstrādātāju (citu uzņēmumu, kurus tas izmanto pakalpojuma sniegšanai) piesaistes lūdz tavu piekrišanu, palīdz izpildīt cilvēku pieprasījumus un pēc pakalpojuma beigām dzēš vai atdod datus (28. pants). Lielie MI pakalpojumu sniedzēji publicē standarta DPA, ko vari apstiprināt vai parakstīt tiešsaistē.

Arī labs līgums neatceļ divus pienākumus, kas paliek tev:

• Pamatots iemesls katram izmantojuma veidam. GDPR nosaka sešus likumīgos pamatus, tostarp līgumu, juridisku pienākumu, leģitīmās intereses un piekrišanu (6. panta 1. punkts). Datus drīkst izmantot arī tikai mērķiem, kas atbilst tam, kāpēc tos vāca (5. panta 1. punkta b) apakšpunkts). Atbildēt klientam uz viņa paša pasūtījuma e-pastu ir saprātīgi; visu klientu sarakstu iedot MI, lai profilētu pircējus mārketingam, ir cits mērķis, un tam vajadzīga atsevišķa pārbaude.
• Cilvēku informēšana. Privātuma paziņojumā jānorāda datu saņēmēji (arī MI pakalpojuma sniedzējs), pārsūtīšana ārpus EEZ (ES plus Islande, Lihtenšteina un Norvēģija) un glabāšanas ilgums (13. pants).

Kurp dati patiesībā nonāk?

Vairumā MI darbplūsmu personas dati iet cauri piecām pieturvietām. Katra no tām ir vieta, kur var tikt saglabāta kopija vai kur dati var tikt aizsūtīti uz ārzemēm.

Pieturvieta	Kas tur notiek	Ko pārbaudīt
1. Avots (pastkaste, grāmatvedības rīks, CRM)	Dati sākas šeit, tavā kontrolē	Kam ir piekļuve un vai tev vajadzīgi visi lauki
2. Darbplūsmas rīks (programmatūra, kas savieno tavas lietotnes un izpilda automātiskus soļus, piemēram, n8n)	Nolasa datus, nodod tālāk un var saglabāt kopiju izpildes vēsturē	Kur tas darbojas, kas var redzēt vēsturi un cik ilgi tā tiek glabāta
3. MI modeļa pakalpojuma sniedzējs	Saņem tavu nosūtīto tekstu, apstrādā to un uz ierobežotu laiku var to žurnalēt	Līgums, izmantošana apmācībai, reģions, glabāšanas ilgums
4. Citas lietotnes (e-pasts, ziņojumapmaiņa, tabulas)	Saņem MI rezultātu, kurā var būt personas dati	Katra ir atsevišķs apstrādātājs ar saviem noteikumiem
5. Žurnāli un rezerves kopijas	Kopijas izpildes vēsturē, kļūdu paziņojumos un rezerves kopijās	Cik ilgi tās pastāv un kas tās var lasīt

Daudzi uzņēmumi pārbauda 3. pieturvietu un aizmirst 2. un 5.

Ko pārbaudīt, pirms pieslēdz MI modeli?

Izej cauri šiem septiņiem soļiem, pirms pa sistēmu iet pirmais īstais klienta ieraksts.

1. Uzraksti datu plūsmu uz vienas lapas. Norādi datus, to avotu, katru rīku, caur kuru tie iet, un mērķi. GDPR prasa rakstisku apstrādes darbību uzskaiti (30. pants). Atbrīvojums organizācijām ar mazāk nekā 250 darbiniekiem nav spēkā, ja apstrāde ir regulāra, riskanta vai ietver īpašo kategoriju datus, tāpēc uzņēmumam, kas ar klientu datiem strādā katru dienu, tas reti noder.
2. Sūti mazāk datu. Datu minimizēšana ir viens no pamatprincipiem (5. panta 1. punkta c) apakšpunkts). Noņem parakstus, aizsedz bankas kontu un personas kodu numurus, un sūti tikai to daļu, kas MI vajadzīga. Automatizācija to var izdarīt, pirms dati pamet tavu sistēmu.
3. Izmanto uzņēmumu vai API tarifu, nevis bezmaksas vai privātpersonu tarifu. API ir savienojums, pa kuru programmatūra sūta pieprasījumus MI modelim, un pakalpojuma sniedzēji to parasti pārdod ar atsevišķiem uzņēmumu noteikumiem, kā rāda zemāk redzamā tabula.
4. Apstiprini DPA un izlasi apakšapstrādātāju sarakstu. Pārbaudi, vai vari iebilst, kad pakalpojuma sniedzējs piesaista jaunu apakšapstrādātāju.
5. Pārbaudi atrašanās vietu un datu pārsūtīšanu. Noskaidro, kur dati tiek apstrādāti un, ja tas notiek ārpus EEZ, kāds ir juridiskais pamats (skat. sadaļu par pārsūtīšanu zemāk).
6. Pārbaudi glabāšanas ilgumu katrā pieturvietā. Tas attiecas uz MI pakalpojuma sniedzēja žurnāliem, darbplūsmas rīka izpildes vēsturi un rezerves kopijām. Glabā datus pēc iespējas īsāku laiku, kas tomēr ļauj izlabot kļūdas.
7. Svarīgās vietās saglabā cilvēku kontroli. Pilnībā automatizēti lēmumi ar tiesiskām vai līdzīgi būtiskām sekām cilvēkam, piemēram, atteikums slēgt līgumu, ir ierobežoti (22. pants). Atbildes melnraksts, ko apstiprina cilvēks, ir cits un daudz mazāk riskants lietojums. MI arī vienkārši var kļūdīties, un nepareizi fakti atbildē klientam var pārkāpt precizitātes principu (5. panta 1. punkta d) apakšpunkts).

Pēc tam atjauno privātuma paziņojumu, pastāsti darbiniekiem, kuri MI rīki ir apstiprināti, un vienojieties, kurš rīkojas, ja kaut kas noiet greizi.

Ko par uzņēmumu datiem saka lielākie MI pakalpojumu sniedzēji?

Pakalpojumu sniedzēju noteikumi mainās bieži, un tie atšķiras bezmaksas, privātpersonu un uzņēmumu produktiem. Šī tabula ir stāvoklis uz 2026. gada 19. oktobri, balstoties uz katra pakalpojuma sniedzēja oficiālajām lapām. Pirms parakstīšanas pārbaudi aktuālo lapu.

Pakalpojuma sniedzējs	Vai tiek izmantoti modeļu apmācībai?	Atrašanās vieta un glabāšana
OpenAI (API un uzņēmumu produkti)	Pēc noklusējuma nē, un klienti var piekrist paši. Ir pieejams DPA (OpenAI business data).	API klienti atbalstītajiem galapunktiem var izvēlēties apstrādi Eiropā vai ASV. Eiropa jāizvēlas, veidojot projektu, un esošam projektam to pievienot nevar (ES datu rezidence). Ļaunprātīgas izmantošanas uzraudzības žurnāli pēc noklusējuma tiek glabāti līdz 30 dienām, un nulles datu glabāšana ir pieejama pēc apstiprinājuma (API datu kontrole).
Anthropic (Claude API, komerciālie noteikumi)	Komerciālie noteikumi, kas spēkā no 2025. gada 17. jūnija, paredz, ka Anthropic neapmāca modeļus uz klientu ievades vai izvades datiem. DPA ir iekļauts noteikumos (commercial terms).	API ievade un izvade no Anthropic aizmugursistēmas pēc noklusējuma tiek dzēsta 30 dienu laikā, ar izņēmumiem, piemēram, juridiskām prasībām, lietošanas politikas ievērošanas kontroli un atsevišķiem nulles glabāšanas līgumiem (glabāšanas lapa, atjaunināta 2026. gada 1. jūlijā). Apstrādes vietu pārbaudi DPA.
Google (Gemini API)	Maksas pakalpojumi: netiek izmantoti Google produktu uzlabošanai, un piemērojams DPA. Bezmaksas līmenis: var tikt izmantots produktu uzlabošanai, un to var lasīt cilvēki-recenzenti (Gemini API noteikumi, atjaunināti 2026. gada 28. aprīlī).	Maksas pakalpojumi uz ierobežotu laiku žurnalē pieprasījumus un atbildes, lai atklātu ļaunprātīgu izmantošanu, un var tos glabāt vai kešot jebkurā valstī, kur darbojas Google vai tā aģenti.
Microsoft (Azure OpenAI Foundry)	Pieprasījumi un atbildes netiek kopīgoti ar citiem klientiem vai OpenAI un netiek izmantoti pamatmodeļu apmācībai bez tavas atļaujas (Microsoft Learn, atjaunināts 2026. gada 19. maijā).	Dati miera stāvoklī paliek tavā izvēlētajā ģeogrāfiskajā zonā. "Standard" izvietojumi apstrādā datus šajā zonā, "Global" - jebkur, kur modelis darbojas, bet "DataZone" - kādā zonā, piemēram, ES. Ļaunprātīgas izmantošanas uzraudzībai var tikt pārskatīts paraugs, ja vien neesi apstiprināts mainītai uzraudzībai.

Likumsakarība ir tāda, ka viens un tas pats uzņēmums bieži izmanto atsevišķus noteikumus bezmaksas vai privātpersonu lietotnēm un uzņēmumu vai API produktiem. Google paša noteikumi šo atšķirību izceļ skaidri: bezmaksas līmeņa pieprasījumus var lasīt cilvēki. Vienkāršākais noteikums - nekādu klientu datu personīgajos vai bezmaksas MI kontos.

Vai problēma, ja MI sniedzējs ir amerikāņu?

Ne automātiski, taču vajadzīgs juridiskais pamats. GDPR ļauj personas datus nosūtīt ārpus EEZ tikai uz dažiem pamatiem: ES lēmums par aizsardzības pietiekamību, atbilstoši aizsardzības pasākumi, piemēram, standarta līguma klauzulas (SCC), vai šauri izņēmumi (44.-49. pants).

ASV uzņēmumiem galvenais ceļš ir ES un ASV datu privātuma regulējums (Data Privacy Framework). Eiropas Komisija lēmumu par aizsardzības pietiekamību sertificētiem ASV uzņēmumiem pieņēma 2023. gada 10. jūlijā (Eiropas Komisija). ES Vispārējā tiesa 2025. gada 3. septembrī noraidīja prasību pret to (IAPP), taču Tiesā ir iesniegta apelācijas sūdzība un, cik mēs varējām noskaidrot, tā vēl nav izskatīta (StreamLex izsekotājs).

Tāpēc izvēlies pakalpojuma sniedzēju, kas balstās uz šo regulējumu un savā DPA piedāvā arī SCC, un, ja ir izvēle, dod priekšroku ES reģionam. Datu izvietošana ES samazina jautājumus par pārsūtīšanu, taču neaizstāj citas pārbaudes: tev joprojām vajadzīgs likumīgs pamats, DPA un datu minimizēšana.

Vai n8n uzstādīšana uz sava servera atrisina problēmu?

Pašu uzstādīts n8n palīdz vienā līmenī - darbplūsmas rīkā. Tas neko nemaina MI solī, un drošība kļūst par tavu darbu.

Kur pašu uzstādīts n8n palīdz

• Darbplūsmas dati paliek uz tava servera. Pašu uzstādītām instancēm n8n privātuma dokumentācija norāda, ka caur tavām darbplūsmām plūstošie dati paliek tavā infrastruktūrā un n8n tos nekad nesaņem. Telemetrija (lietošanas dati, ko sūta atpakaļ izstrādātājam) pēc noklusējuma ir ieslēgta, bet šos datus neietver, un N8N_DIAGNOSTICS_ENABLED=false izslēdz diagnostiku (telemetrijas iestatījumi). Lietošanas ziņošanu maksas licencēm izslēgt nevar.
• Tu kontrolē izpildes vēsturi. n8n katram palaidienam saglabā izpildes datus. Veiksmīgos palaidienus vari nesaglabāt ar EXECUTIONS_DATA_SAVE_ON_SUCCESS, un tīrīšana ir ieslēgta pēc noklusējuma, dzēšot palaidienus, kas vecāki par 336 stundām (14 dienām) (izpildes datu dokumentācija).
• Tu izvēlies valsti un mitinātāju. Darbplūsmas datiem ķēdē ir arī par vienu uzņēmumu mazāk, jo n8n par pašu uzstādītām instancēm norāda, ka šiem datiem tas nav ne pārzinis, ne apstrādātājs.
• To var apvienot ar modeli uz tava servera. Ja arī MI modelis darbojas tavā infrastruktūrā, personas dati to nekad nepamet. Tam vajadzīga aparatūra un prasmes, un kvalitāte dažādos uzdevumos atšķiras.

Kur tas nepalīdz

• MI izsaukums tik un tā pamet tavu serveri. Ja darbplūsma sūta tekstu uz mitinātu modeli, risku joprojām nosaka šī pakalpojuma sniedzēja DPA, reģions un glabāšanas ilgums.
• Drošība kļūst par tavu darbu. Tev jārūpējas par atjauninājumiem, rezerves kopijām, šifrēšanu, piekļuves kontroli un testēšanu (32. pants). Novārtā atstāts serveris var būt riskantāks par cienījamu mākoņpakalpojumu.
• Pārkāpumu apstrāde gulstas uz tevi. Par ziņojamu pārkāpumu uzraudzības iestādei jāpaziņo 72 stundu laikā pēc tam, kad par to uzzini (33. pants). Serverī, ko tu uztur pats, neviens cits tev nepateiks, ka tas noticis.
• Izpildes vēsture joprojām ir personas dati. Ja to uz sava servera atstāj uz visiem laikiem, datus glabā ilgāk, nekā vajag.
• n8n Cloud pats par sevi nav problēma. n8n piedāvā DPA, kas pēc tā privātuma lapas ietver SCC, un uzticamības centru. Dokumentācijā, ko pārbaudījām, nav norādīts, kur Cloud dati tiek mitināti, tāpēc pirms izvēles to noskaidro.

	Pašu uzstādīts n8n	n8n Cloud
Kas uztur serverus	Tu	n8n
Kur atrodas darbplūsmas dati	Tavs serveris	n8n mitināšana (noskaidro reģionu)
Līgums par darbplūsmas datiem	Ar n8n nav	DPA ar n8n
Atjauninājumi un drošība	Tu	n8n rūpējas par mitināšanu un atjauninājumiem (n8n dokumentācija)
Piemērotāks, ja	Apstrādā jutīgus datus un ir kāds, kas serveri uztur un atjaunina	Nav IT kapacitātes, dati ir zema riska, un DPA, reģions un izpildes vēstures iestatījumi ir pārbaudīti

Tā vai citādi lielākais ieguvums rodas, sūtot mazāk datu un sakārtojot MI soli.

Kā izskatās droša konfigurācija?

Iedomājies nelielu Rīgas uzņēmumu (hipotētisks piemērs), kas vēlas, lai MI nolasa piegādātāju rēķinus.

Drošākajā variantā darbplūsma nolasa rēķinus no atsevišķas pastkastes un noņem visu, izņemot piegādātāja nosaukumu, rēķina numuru, datumu, summas un rēķina rindas. Tā sūta tikai to uz MI API ar uzņēmuma tarifu, parakstītu DPA un ES reģionu. Veiksmīgie palaidieni netiek saglabāti, neparasti rēķini nonāk pie cilvēka apstiprināšanai, un uzņēmums datu plūsmu apraksta uz vienas lapas un privātuma paziņojumam pievieno "MI pakalpojumu sniedzēji".

Riskantajā variantā kāds pārsūta veselus e-pastus ar parakstiem un bankas datiem uz bezmaksas čatbota kontu, un neviens nezina, cik ilgi tie tiek glabāti. Uzdevums ir tas pats, bet nav ne līguma, ne kontroles, ne uzskaites. Atšķirība ir konfigurācijā, nevis tehnoloģijā.

Kad MI nav īstā atbilde?

Dažkārt godīgākā atbilde ir turēt MI ārpus procesa vai prom no noteiktiem datiem.

• Īpašo kategoriju dati brīvajā tekstā. Klīnikām, skaistumkopšanas salonām, terapeitiem un personāla lietām bieži ir ziņas par veselību vai līdzīgi dati. Tiem vajadzīgs 9. panta izņēmums un rūpīgs izvērtējums, un bieži labāk šos datus turēt ārpus MI soļa vai apstrādāt uz sava servera.
• Lēmumi par cilvēkiem. Kredīts, pieņemšana darbā un pakalpojuma atteikums lai paliek cilvēka ziņā, kurš var lēmumu izskaidrot.
• Iespējami augsta riska apstrāde. Liela mēroga vai jaunu tehnoloģiju izmantošanai pirms sākšanas var būt vajadzīgs novērtējums par ietekmi uz datu aizsardzību (NIDA) (35. pants). Datu valsts inspekcija (DVI) publicē apstrādes veidu sarakstu, kam tas jāveic (apstiprināts 2018. gada 18. decembrī), un NIDA lapu. Neliela e-pastu melnrakstu automatizācija bieži ir zema riska, taču tas ir spriedums, kas jāpieņem un jāpieraksta.
• Neskaidri pakalpojuma sniedzēja noteikumi. Ja nevari atrast līgumu, reģionu vai glabāšanas ilgumu, vēl nepieslēdz.
• Darbs, kur svarīga precizitāte. MI melnrakstos var būt kļūdas, tāpēc visu, kas nonāk pie klienta, lai pārskata cilvēks.

Ko darīt, ja kaut kas noiet greizi?

Ja personas dati ir pazuduši, noplūduši vai tiem piekļuvis kāds bez atļaujas, uzraudzības iestādei parasti jāpaziņo bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tam, kad par to uzzināji. Paziņojums nav vajadzīgs, ja pārkāpums, visticamāk, neapdraud cilvēku tiesības un brīvības (33. pants). Tavam apstrādātājam tev jāpaziņo bez nepamatotas kavēšanās.

Latvijā DVI pieņem paziņojumus par pārkāpumiem tiešsaistes veidlapā (pieteikšanās caur Latvija.lv), e-adresē vai e-pastā (DVI). Igaunijas iestādei ir sava paziņošanas lapa (igauniski), un Lietuvas Valsts datu aizsardzības inspekcija savā vietnē publicē norādījumus.

Naudas sodiem ir divi griesti: līdz 10 miljoniem eiro vai 2 % no kopējā pasaules gada apgrozījuma par tādiem pienākumiem kā drošība, uzskaite un paziņošana par pārkāpumiem, un līdz 20 miljoniem eiro vai 4 % par pamatprincipu, cilvēku tiesību vai pārsūtīšanas noteikumu pārkāpumiem - piemēro to, kas ir lielāks (83. pants). Tie ir maksimālie apmēri, nevis tipiskas summas.

GDPR ir viens un tas pats regulējums visās trijās Baltijas valstīs, bet iestādes un nacionālie papildu noteikumi atšķiras. Latvijas Fizisko personu datu apstrādes likums, piemēram, nosaka papildu nosacījumus īpašo kategoriju datu apstrādei un norāda DVI kā uzraudzības iestādi.

Galvenie secinājumi

• GDPR mākslīgo intelektu neaizliedz. Tā prasa pamatotu iemeslu, caurskatāmību, drošību un kontroli pār to, kurp dati nonāk.
• E-pastos, rēķinos un CRM ierakstos gandrīz vienmēr ir personas dati, arī brīvā teksta laukos.
• MI pakalpojuma sniedzējs ir tavs apstrādātājs: izmanto uzņēmumu vai API tarifu, apstiprini DPA un pārbaudi apakšapstrādātājus, reģionu un glabāšanas ilgumu. Klientu datus netur bezmaksas un privātpersonu kontos.
• Pašu uzstādīts n8n dod kontroli pār darbplūsmas slāni un tā izpildes vēsturi, bet nemaina to, ko saņem MI pakalpojuma sniedzējs, un padara drošību un pārkāpumu apstrādi par tavu darbu.
• Sūti mazāk datu, saglabā cilvēka kontroli pār lēmumiem, kas ietekmē cilvēkus, un visu plūsmu pieraksti uz vienas lapas.

Biežāk uzdotie jautājumi

Vai vajag klientu piekrišanu, lai izmantotu MI viņu datiem?

Ne vienmēr. Piekrišana ir tikai viens no sešiem likumīgajiem pamatiem, un bieži der līgums vai leģitīmās intereses (6. panta 1. punkts). Tev joprojām vajadzīgs derīgs pamats un jāinformē cilvēki, bet īpašo kategoriju datiem vajadzīgs 9. panta izņēmums.

Vai klientu e-pastus drīkst ielīmēt publiskā čatbota rīkā?

Ne personīgajos vai bezmaksas kontos. To noteikumi atšķiras no uzņēmumu tarifiem, un bezmaksas līmenis var pieļaut izmantošanu produktu uzlabošanai un cilvēku veiktu pārskatīšanu. Izmanto uzņēmumu tarifu ar DPA un izņem personas datus, kas tev nav vajadzīgi.

Vai vajag NIDA?

Tikai tad, ja apstrāde, visticamāk, rada augstu risku cilvēkiem (35. panta 1. punkts), piemēram, liela mēroga īpašo kategoriju dati vai būtiski automatizēti lēmumi. Daudzām nelielām automatizācijām tā nebūs vajadzīga, taču pārbaudi DVI sarakstu un pieraksti savu argumentāciju.

Vai ar MI modeļa mitināšanu ES pietiek?

Nē. Tas risina jautājumu par to, kur dati tiek apstrādāti, bet tev joprojām vajadzīgs likumīgs pamats, DPA, datu minimizēšana, glabāšanas ierobežojumi un atjaunināts privātuma paziņojums.

Vai ES "Digitālais omnibuss" mainīs šos noteikumus?

Eiropas Komisija GDPR izmaiņas piedāvāja 2025. gada novembrī. Politikas izsekotājs 2026. gada 24. septembrī ziņo, ka GDPR daļa joprojām tiek apspriesta bez galīgā teksta, tāpēc šodien spēkā ir esošais GDPR.

Neesi drošs, kam tavā uzņēmumā pieskartos MI automatizācija? Pieraksties bezmaksas 20 minūšu zvanam vai atsūti mums īsu procesa aprakstu, un mēs pateiksim, ko var automatizēt un ko vispirms pārbaudīt datu jomā.