AA adoptatzen duen edozein enpresaren kezka ulergarria: zer gertatzen da nire datuekin OpenAI, Anthropic edo Googleren hodeira bidaltzen ditudanean? Erantzuna erabiltzen duzun tresnaren, erabilera moduaren eta duzun konfigurazioaren araberakoa da.
Benetako arriskuak
Zure datuekin entrenamendua: lehenespenez, API batzuek erabiltzen zituzten (eta batzuek oraindik erabiltzen dituzte) bidaltzen dizkiezun datuak etorkizuneko modeloak entrenatzeko. Horrek esan nahi izan dezake zure enpresako informazioa beste erabiltzaileen erantzunetan ager daitekeela.
Datuen ihesak: hodei-zerbitzu ororen moduan, AA plataformek ihesak jasan ditzakete. Hornitzaile handiek segurtasun sendoa duten arren, zero arriskua ez da existitzen.
Hornitzailearen langileen sarbidea: zenbait kasutan, hornitzailearen langileek datuetara sartu daitezke arazo teknikoak konpontzeko. Politikak hornitzailearen arabera aldatzen dira.
RGPD betetzea: zure bezeroen datu pertsonalak EBtik kanpo prozesatzen badira, RGPD-ren baldintza zehatz batzuk bete behar dira.
Zer informazio da arriskutsuena pyme batentzat?
Enpresa txiki askok ez dute ohartzen zer motatako datuak partekatzen dituzten AArekin eguneroko lan-fluxuetan. Arriskurik handieneko informazioa ez da beti ikustezkoa: bezero-zerrenda bat, eskaintza konfidentzial baten zirriborroa, langile baten errendimenduzko txosten bat edo prezioen eskema bat AA-eredu batera irits daitezke, inork horrela erabaki gabe.
Bereziki kontuz ibili behar da informazio mota hauekin:
- Bezeroen datu pertsonalak: izenak, helbide elektronikoak, telefono-zenbakiak, erosketa-historia.
- Barne-estrategia eta prezio-egitura: konkurentziak balioa lezakeen edozein datu.
- Pertsonal-informazioa: lan-kontratuak, soldatak, ebaluazioen oharrak.
- Dokumentazio juridikoa eta finantziarioa: fakturak, kontratuak, zerga-datuak.
Sektorearen araberako arauketa are zorrotzagoa da osasun-arreta, kontabilitate edo legezko aholkularitzako enpresentzat: hirugarrenen datu pertsonalak kudeatzen dituzte eta lege-esparruak tratamendu-kontratu espezifikoak eskatzen dizkie hornitzaile guztiekin.
Segurtasuneko oinarrizko jardunbideak
Printzipio hauek ez dira soilik IT arloko teknikarientzat: enpresa txiki bateko edozein langileri aplika dakizkioke eguneroko erabilera arruntean, prestakuntzarik berezirik behar gabe.
Ez bidali informazio konfidentzialik beharrik gabe: lehen printzipioa. Minimizatu IAri bidalitako datuak.
Anonimizatu ahal duzunean: izenak, zenbakiak, identifikatzaileak. Ordezkatu itzazu placeholder-ekin bidali aurretik eta berreskuratu ondoren.
Erabili SLAak dituzten API komertzialak: Claude, GPT eta Gemini-ren bertsio komertzialek zure datuak entrenamenduetarako ez erabiltzeko akordio esplizituak dituzte. Doako edo kontsumitzaileentzako bertsioek, oro har, berme gutxiago izaten dituzte.
Kontuan hartu auto-ostatatzea datu kritikoetarako: arauketa zorrotza duten sektoreetan (medikuntza, finantza, defentsa), azpiegitura propioko modeloek (Ollama eta LLaMA) datuak irteteko arriskua ezabatzen dute.
Auditatu logak: monitorizatu zer bidaltzen den APIetara eta nork. Ikusgarritasun hori gabe, ezin dituzu abusuak edo akatsak detektatu.
Anonimizazioa praktikan: urrats errazak
Imajina ezazu bezero baten erreklamazio-mezu bat laburtu nahi duzula. Bidalketaren aurretik, izen pertsonalak (“Miren Etxeberria” → “BEZERO_A”), kontu-erreferentziak (“PED-2026-00145” → “ESKAERA_X”) eta helbide edo datu identifikatzaileak ordezka daitezke testu generiko batekin. AAk laburpena sortzen du datu sentikorrik jaso gabe, eta gero barne-sistemak informazio errealarekin lotzen du berriro. Prozesu hau kalkulu-orri soil batekin edo makro txiki batekin automa daiteke, eta lantaldeak lasaiago erabil dezake tresna.
Barne-erabilera arautu: arau argiak nahikoa dira hasieran
Langileek ez dakite beti zer datu dauden sailkatuta konfidentzialtzat: horretarako, nahikoa da orri bat idaztea non zehazten den zein tresnarekin lan egin daitekeen, zer mota kontsulta daitezkeen eta zer informazio ezin den partekatu inoiz AArekin. Enpresa txiki batean, arau idatzi hori taldean partekatzea eta biltegiratzea nahikoa da hasierako etapa honetan; ez da sistema konplexurik behar.
DPA akordioa: ez ahaztu
Datu Prozesamendu Akordio bat (DPA) sinatzea ez da aukera juridikoa, baldintza da: RGPD-rekin bat etorriz, datu pertsonalak prozesatzen dituzten hornitzaile guztiekin ezinbestekoa da. OpenAI, Anthropic eta Google-k dokumentu hori eskaintzen dute beren kontsola komertzialaren bidez. Eskatu, sinatu eta artxibatu; auditoria baten aurrean erantzukizunak argi mugatzen ditu eta babes juridikoa ematen du enpresari.
Hornitzaileak eta haien politikak
Anthropic (Claude): ez du API datuen erabiltzen entrenamendurako. Consumer bertsioak (Claude.ai) politika ezberdina du.
OpenAI (ChatGPT/GPT-4): ez ditu API datuak erabiltzen entrenamendurako 2023.tik. Consumer bertsioak datuak erabil ditzake konfigurazioaren arabera.
Google (Gemini): produktuaren arabera aldatzen diren politikak. Gemini Enterprise-k berme zorrotzagoak ditu.
Datu oso sentikorrak dituzten enpresentzat, BAI Marketing-en hibridoa gomendatzen dugu: erabilera orokorrerako SLA-dun API komertzialak, eta datu sentikorrentzat autohostatutako ereduak (LLaMA norberaren zerbitzarian).
Microsoft Azure OpenAI: aukera gehigarria sektore erregulatuetarako
Microsoft Azure-ren bidez eskuratutako GPT modeloek isolamendu-maila handiagoa eskaintzen dute: zure enpresaren datuak ez dira Microsoft-en beste bezeroekin partekatzen, eta datu-geruza Europan kokatuta egon daiteke araudiaren arabera. Aukera hau kostu handiagoa dakar, baina sektore erregulatuek behar duten ingurune kontrolatu eta auditargarria eskaintzen du. Zure sektoreak halako baldintza bereziak baditu, kontsultatu zure IT hornitzailearekin inplementazio honen bideragarritasuna ebaluatzeko.