Chatbot ที่สอดคล้องกับ GDPR: คู่มือทีละขั้นตอน (2026)

แชตบอตที่สอดคล้องกับ GDPR ต้องอาศัยการนำไปใช้งานที่ชอบด้วยกฎหมาย ไม่ใช่เพียงการเลือกโมเดลหรือสถานที่โฮสต์บางแห่ง กำหนดวัตถุประสงค์และฐานทางกฎหมายสำหรับการใช้ข้อมูลส่วนบุคคลแต่ละอย่าง ทำแผนผังว่าข้อมูลไปที่ใด ระบุบทบาทและสัญญาของแต่ละฝ่าย จัดให้มีข้อมูลและกระบวนการใช้สิทธิ และใช้มาตรการรักษาความปลอดภัยที่เหมาะกับความเสี่ยง คำกล่าวอ้างเรื่องการปฏิบัติตามกฎหมายของผู้ขายไม่สามารถยืนยันได้ว่าการใช้งานของลูกค้าทุกรายเป็นไปตามข้อกำหนดเหล่านั้น

คุณไม่ได้จำเป็นต้องขอความยินยอมสำหรับทุกบทสนทนาฝ่ายสนับสนุน โฮสต์เฉพาะในสหภาพยุโรป หรือแยกโมเดลสำหรับผู้เข้าชมจากยุโรปโดยอัตโนมัติ แต่คุณต้องมีหลักฐานว่าทางเลือกสำหรับเวิร์กโฟลว์ของคุณเป็นไปตามกฎที่ใช้บังคับ การประเมินเดียวกันนี้ครอบคลุมผู้ให้บริการโมเดล CRM เครื่องมือวิเคราะห์ การเชื่อมต่อช่องทาง และบันทึกการปฏิบัติงานด้วย

คู่มือนี้ตรวจสอบกับแหล่งข้อมูลทางการเมื่อ 4 พฤศจิกายน 2026 โดยให้กรอบการประเมินและตัวอย่างการนำไปใช้ ไม่ได้รับรองการใช้งานใดหรือทดแทนคำแนะนำเกี่ยวกับข้อเท็จจริงทางกฎหมายเฉพาะกรณีนั้น

ตัวอย่างการตรวจสอบเพิ่มเติมที่เลือกใช้ได้

• ดูตัวอย่างคีย์เมทาดาทา ตรวจสอบว่าชื่อฟิลด์ที่ส่งเข้ามากลายเป็นคีย์ตัวแปรอย่างไร รวมถึงชื่อซ้ำและข้อผิดพลาดจากคีย์สงวน การตรวจสอบนี้ไม่ได้ตรวจค่าหรือสิทธิ์เฉพาะบัญชี
• ตรวจสอบชุดข้อมูลทดสอบ ตรวจสอบชุดข้อมูลขนาดเล็กที่ส่งเข้ามากับรูปแบบที่รองรับ โดยไม่เรียกใช้งาน AI Agent ของคุณ

การตรวจสอบเหล่านี้ไม่ได้ประเมินการปฏิบัติตามกฎหมาย

เช็กลิสต์ 10 ขั้นตอนก่อนเปิดตัวแชตบอตด้านความเป็นส่วนตัวและความปลอดภัย

กำหนดผู้รับผิดชอบให้แต่ละข้อและเก็บหลักฐานการตัดสินใจหรือการทดสอบ:

1. กำหนดเวิร์กโฟลว์ แยกข้อมูลสาธารณะ การสนับสนุนเฉพาะบัญชี ธุรกรรม การตลาด และการปรับปรุงโมเดลออกจากกัน
2. ทำแผนผังข้อมูลส่วนบุคคล รวมพรอมต์ คำตอบ เมทาดาทา ไฟล์ ระเบียนที่ค้นคืน บันทึก และระบบที่เชื่อมต่อ
3. เลือกฐานทางกฎหมาย ประเมินแต่ละวัตถุประสงค์ก่อนประมวลผล และเพิ่มกระบวนการขอความยินยอมที่ถูกต้องเมื่อจำเป็นต้องใช้ความยินยอม
4. ระบุบทบาทและสัญญา ระบุว่าใครกำหนดวัตถุประสงค์และใครประมวลผลตามคำสั่ง ตรวจสอบเงื่อนไขผู้ประมวลผลและการโอนที่เกี่ยวข้อง
5. ลดการเก็บรวบรวม ตัดฟิลด์ที่ไม่จำเป็นออก และหลีกเลี่ยงการส่งระเบียนลูกค้าทั้งหมดเมื่อผลลัพธ์ที่จำกัดเพียงพอแล้ว
6. กำหนดการเก็บรักษาและการจัดการสิทธิ รวมการตรวจสอบตัวตน การเข้าถึง การแก้ไข การลบ การโอนย้ายเมื่อใช้บังคับ และการติดตามให้ระบบปลายทางดำเนินการครบถ้วน
7. ประเมินความเสี่ยง พิจารณาว่าจำเป็นต้องทำการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) หรือไม่ และทำให้เสร็จก่อนเริ่มการประมวลผลที่เกี่ยวข้อง
8. รักษาความปลอดภัยของการเข้าถึงและการเชื่อมต่อ ใช้การเข้ารหัส การยืนยันตัวตน สิทธิ์ การติดตาม และขั้นตอนรับมือเหตุการณ์ที่เหมาะสม
9. แจ้งผู้ใช้ เผยแพร่ข้อมูลความเป็นส่วนตัวที่ถูกต้อง เปิดเผยการใช้ AI ตามที่กำหนด และประเมินการจัดเก็บของวิดเจ็ตแยกต่างหาก
10. ทดสอบและกำหนดความรับผิดชอบต่อเนื่อง ทดสอบกรณีล้มเหลว ฝึกอบรมพนักงาน และทบทวนการประเมินเมื่อวัตถุประสงค์ ผู้ให้บริการ หรือฟีเจอร์เปลี่ยนแปลง

หลักการ GDPR และผลต่อการออกแบบแชตบอต

GDPR ใช้กับการประมวลผลที่เกี่ยวข้องในบริบทของสถานประกอบการในเขตเศรษฐกิจยุโรป (EEA) และอาจครอบคลุมองค์กรนอก EEA เมื่อเสนอสินค้าหรือบริการให้บุคคลในเขตนั้น หรือติดตามพฤติกรรมของบุคคลในเขตนั้น เกณฑ์พิจารณาเกี่ยวข้องกับการประมวลผลและความเชื่อมโยงทางอาณาเขต ไม่ใช่เพียงสัญชาติของบุคคล EDPB อธิบายเรื่อง ขอบเขตทางอาณาเขตและหลักการสำคัญ

ชื่อ รายละเอียดติดต่อ ตัวระบุออนไลน์ และเนื้อหาบทสนทนาที่ระบุตัวบุคคลได้อาจเป็นข้อมูลส่วนบุคคล แม้แต่อินเทอร์เฟซ FAQ สาธารณะก็อาจเก็บตัวระบุหรือข้อความอิสระที่มีข้อมูลส่วนบุคคล

สำหรับการฝ่าฝืนในกลุ่มที่มีโทษสูงตามที่กำหนด ค่าปรับสูงสุดอาจถึง 20 ล้านยูโร หรือสำหรับกิจการ 4% ของรายได้รวมทั่วโลกต่อปีในปีการเงินก่อนหน้า แล้วแต่จำนวนใดสูงกว่า การบังคับใช้จริงขึ้นอยู่กับข้อเท็จจริงแต่ละกรณี ดู คำอธิบายของ EDPB เกี่ยวกับอำนาจกำกับดูแล

คำศัพท์ที่ใช้ในคู่มือนี้

• ผู้ควบคุมข้อมูล: องค์กรที่กำหนดวัตถุประสงค์และวิธีการสำคัญของการประมวลผล
• ผู้ประมวลผลข้อมูล: หน่วยงานแยกต่างหากที่ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุม บทบาทขึ้นอยู่กับกิจกรรมจริง ไม่ใช่เพียงชื่อที่ใช้ในสัญญา
• การใช้นามแฝง: การลดความสามารถในการเชื่อมโยงถึงบุคคลโดยตรง เช่น แทนชื่อด้วยตัวระบุ ไม่ได้ทำให้ข้อมูลเป็นข้อมูลนิรนามโดยอัตโนมัติ
• DPIA: การประเมินที่จำเป็นเมื่อการประมวลผลมีแนวโน้มก่อความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ปัจจัยที่เกี่ยวข้อง ได้แก่ ขนาด ข้อมูลอ่อนไหว บุคคลที่เปราะบาง และการตัดสินใจอัตโนมัติที่มีนัยสำคัญ การใช้ AI เพียงอย่างเดียวไม่ได้ชี้ขาดเกณฑ์นี้ ดู แนวทาง DPIA ของ EDPB และรายการของหน่วยงานกำกับดูแลที่ใช้บังคับ

แปลงข้อกำหนด GDPR เป็นเวิร์กโฟลว์การปฏิบัติงาน

เริ่มจากเส้นทางจริงตั้งแต่ข้อความของผู้เข้าชมจนถึงการลบขั้นสุดท้าย การออกแบบต่อไปนี้เป็นรูปแบบการนำไปใช้เพื่อประกอบความเข้าใจ ไม่ใช่รายการฟีเจอร์ที่มีอยู่ใน Quickchat AI

ใช้ข้อมูลเท่าที่จำเป็นตั้งแต่การออกแบบ

กำหนดสคีมา required_fields สำหรับแต่ละงาน การสอบถามนัดหมายอาจต้องการเวลาและวิธีติดต่อที่ต้องการ ส่วนคำถามสาธารณะเรื่องเวลาเปิดทำการไม่ควรต้องใช้โปรไฟล์ลูกค้า

คู่มือเก็บข้อมูลผู้สนใจผ่านแชตบอตบนเว็บไซต์ มีการตั้งค่าที่เป็นรูปธรรมให้ประเมิน โดยตอบคำถามทั่วไปก่อน แล้วจึงเก็บข้อมูลติดต่อสำหรับการติดตามที่ผู้เข้าชมร้องขอ ตรวจสอบช่องข้อมูลและผู้รับข้อมูลตามวัตถุประสงค์ของคุณก่อนนำไปใช้กับลูกค้า

ตรวจสอบมากกว่าแบบฟอร์มที่มองเห็น การค้นหาใน CRM อาจดึงระเบียนทั้งหมด แม้คำตอบต้องการเพียงสถานะคำสั่งซื้อ จำกัดฟิลด์ที่ส่งกลับและข้อมูลที่ส่งต่อให้โมเดล อย่าใส่ข้อมูลรับรองหรือข้อมูลลูกค้าที่ไม่เกี่ยวข้องในพรอมต์

การปิดบังค่าในช่องกรอกช่วยปกป้องสิ่งที่คนใกล้เคียงมองเห็น แต่ไม่ได้ยืนยันว่าค่าจริงไม่เคยถูกเก็บ บันทึก หรือส่งต่อ การปกปิดข้อมูลอาจลดการเปิดเผยโดยไม่ตั้งใจ แต่ต้องทดสอบสิ่งที่ตรวจไม่พบ รวมถึงตัวระบุที่แทรกอยู่ในประโยคทั่วไป

ความยินยอมและฐานทางกฎหมายอื่น

แนวทางฐานทางกฎหมายของคณะกรรมาธิการยุโรป ระบุฐานที่อาจใช้ได้หลายแบบ การประมวลผลที่จำเป็นต่อการปฏิบัติตามสัญญา ประโยชน์โดยชอบด้วยกฎหมายหลังการประเมินที่กำหนด และความยินยอม มีเงื่อนไขต่างกัน เลือกฐานก่อนประมวลผล แทนที่จะเพิ่มช่องยินยอมให้ทุกงาน

เมื่ออาศัยความยินยอม ต้องกำหนดวัตถุประสงค์ให้เฉพาะเจาะจง และให้การตัดสินใจเกิดโดยอิสระ หลังได้รับข้อมูล และไม่กำกวม ให้ถอนความยินยอมได้ง่ายเท่ากับตอนให้ แยกการตลาดที่เป็นทางเลือกออกจากการสนับสนุนที่ลูกค้าต้องการ การรับทราบว่าอ่านประกาศความเป็นส่วนตัวแล้วไม่ใช่ความยินยอมต่อทุกการใช้ที่ระบุอยู่ในประกาศนั้น

การยืนยันสมัครสองชั้นอาจช่วยสร้างหลักฐานในบางบริบท แต่ไม่ใช่ข้อกำหนดทั่วไปของ GDPR แนวทางความยินยอมของ EDPB แยกความยินยอมทั่วไปออกจากความยินยอมโดยชัดแจ้ง และอธิบายการยืนยันสองขั้นเป็นหนึ่งในวิธีที่อาจใช้ได้

หากใช้ความยินยอมเป็นฐาน ให้บันทึกวัตถุประสงค์ เวอร์ชันประกาศ การกระทำยืนยัน เวลา และตัวระบุที่เกี่ยวข้อง ปกป้องหลักฐานนั้นและใช้นโยบายเก็บรักษาที่มีเหตุผลรองรับ ข้อมูลประเภทพิเศษ เช่น ข้อมูลสุขภาพ ต้องมีเงื่อนไขที่ใช้ได้ตามมาตรา 9 เพิ่มเติมจากฐานตามมาตรา 6

จัดการคำขอเข้าถึง ลบ และโอนย้ายข้อมูล

จัดให้มีช่องทางยื่นคำขอที่เข้าถึงได้ และบุคคลหรือทีมที่รับผิดชอบดำเนินการให้เสร็จ คำสั่งที่พัฒนาเอง เช่น /my_data หรือ /delete_my_data อาจใช้เปิดคำขอได้ แต่ไม่มีคำสั่งใดในสองคำสั่งนี้ที่ได้รับการยืนยันว่าเป็นฟีเจอร์ในตัวของ Quickchat AI ข้อความรับทราบในบทสนทนาไม่ใช่หลักฐานว่าคำขอเสร็จสิ้นแล้ว

กระบวนการที่ใช้งานได้จริงคือยืนยันตัวตนอย่างได้สัดส่วน ค้นหาระเบียนที่เกี่ยวข้อง ประเมินสิทธิที่ขอและข้อยกเว้น ประสานงานกับผู้ประมวลผล ดำเนินการ และบันทึกการตอบกลับ ใช้ช่องทางส่งออกที่มีการยืนยันตัวตน และป้องกันไม่ให้ผู้เข้าชมคนหนึ่งขอข้อมูลของอีกคน

ผู้ควบคุมต้องดำเนินการโดยไม่ชักช้าเกินสมควร และโดยปกติภายในหนึ่งเดือนปฏิทิน การขยายเวลาที่อนุญาตได้อีกไม่เกินสองเดือนต้องแจ้งบุคคลนั้นพร้อมเหตุผลภายในเดือนแรก การลบมีเงื่อนไขและข้อยกเว้น รวมถึงหน้าที่เก็บรักษาบางอย่างตามกฎหมาย การเข้าถึงกับการโอนย้ายก็แตกต่างกัน: สิทธิโอนย้ายตามมาตรา 20 ใช้ภายใต้เงื่อนไขที่กำหนดกับการประมวลผลอัตโนมัติบนฐานความยินยอมหรือสัญญา สำหรับข้อมูลที่บุคคลนั้นเป็นผู้ให้ ดู คู่มือสิทธิของ EDPB

วิธีลบของ Quickchat AI มีผลแตกต่างกัน การลบ AI Agent ทำให้ไม่สามารถเข้าถึงบทสนทนาของเอเจนต์นั้นได้ แต่ไม่ได้ลบบทสนทนา การลบบัญชี ลบบทสนทนาของเอเจนต์ที่ยังอยู่ในบัญชีผ่านกระบวนการเบื้องหลัง เอกสารระบุข้อยกเว้น เช่น บทสนทนาของเอเจนต์ที่ลบไปก่อนแล้ว ไฟล์แนบ ไฟล์ส่งออก ดัชนีค้นหา และระเบียนภายนอก ติดต่อฝ่ายสนับสนุนเกี่ยวกับกระบวนการลบที่เหมาะสม การยกเลิกการเชื่อมต่อช่องทาง Meta หยุดการประมวลผลที่ได้รับอนุญาตในอนาคต แต่ไม่ได้ลบบทสนทนาในอดีตโดยอัตโนมัติ

สำหรับเวิร์กโฟลว์สนับสนุนที่กว้างขึ้น คู่มือตั้งค่าผู้ช่วยบริการลูกค้า ของเราเป็นคนละเรื่องกับกระบวนการคำขอใช้สิทธินี้

การจำกัดการเก็บรักษาและการตั้งกำหนดเวลา

GDPR ไม่ได้กำหนดเพดานทั่วไปที่ 30 หรือ 90 วันสำหรับบันทึกบทสนทนาแชตบอต กำหนดการเก็บรักษาตามวัตถุประสงค์และประเภทข้อมูล รวมถึงหน้าที่ตามกฎหมายที่เกี่ยวข้อง แยกบทสนทนาที่ใช้งานอยู่ ไฟล์ส่งออก หลักฐานความยินยอม บันทึกความปลอดภัย และข้อมูลสำรอง

รหัสเทียมเชิงแนวคิดนี้แสดงการตั้งเวลาและการตรวจสอบ ไม่ใช่การลบที่นำไปใช้ได้ครบถ้วนหรือการตั้งค่าที่มีอยู่ในผลิตภัณฑ์:

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

บันทึกผู้รับผิดชอบนโยบาย เกณฑ์การเก็บรักษา ข้อยกเว้นที่อนุญาต วิธีลบ และหลักฐานว่าดำเนินการเสร็จแล้ว ติดตามความล้มเหลว แทนที่จะสันนิษฐานว่างานตามกำหนดเวลาทำงานถึงทุกระบบ

ข้อมูลสำรองต้องมีแนวทางที่ชัดเจน รายงานการลบของ EDPB เดือนกุมภาพันธ์ 2026 ระบุปัญหาในทางปฏิบัติและความจำเป็นต้องคำนึงถึงการลบเมื่อกู้คืนระบบ รายงานไม่ได้ยืนยันว่าการลบออกจากข้อมูลสำรองทุกชุดทันที หรือการรอให้หมดอายุตามปกติใด ๆ จะถูกกฎหมายเสมอ อธิบายข้อจำกัดจริง กำหนดเวลาลบ และขั้นตอนกู้คืน โดยไม่รับประกันว่าจะลบทั้งหมดได้ภายในหนึ่งเดือนทุกกรณี

มาตรา 22 และการทบทวนโดยมนุษย์อย่างมีความหมาย

มาตรา 22 เกี่ยวข้องกับการตัดสินใจที่อาศัยการประมวลผลอัตโนมัติเพียงอย่างเดียวและก่อผลทางกฎหมายหรือผลที่มีนัยสำคัญใกล้เคียงกัน คำตอบ FAQ ทั่วไปไม่ได้เป็นการตัดสินใจประเภทนี้โดยอัตโนมัติ การพิจารณาสิทธิสินเชื่อ การรับเข้าเรียน หรือการเข้าถึงบริการจำเป็น ต้องประเมินละเอียดขึ้น

ระบุจุดตัดสินใจเหล่านี้ก่อนสร้างเวิร์กโฟลว์ เมื่อบทบัญญัตินี้ใช้บังคับ ให้ประเมินข้อยกเว้นและมาตรการคุ้มครองที่เกี่ยวข้อง สำหรับข้อยกเว้นเรื่องความจำเป็นตามสัญญาหรือความยินยอมโดยชัดแจ้ง มาตรการคุ้มครองรวมถึงความสามารถในการขอให้มนุษย์เข้ามาพิจารณา แสดงความเห็น และโต้แย้งการตัดสินใจ ข้อมูลประเภทพิเศษมีข้อจำกัดเพิ่มเติม

ผู้ทบทวนต้องมีข้อมูลและอำนาจในการพิจารณาผลใหม่ การเพิ่มปุ่มส่งต่อให้เจ้าหน้าที่ทั้งที่ผลลัพธ์ยังถูกกำหนดไว้แล้วในทางปฏิบัติไม่เพียงพอ บันทึกเกณฑ์ตัดสินใจ ข้อมูลเข้า และผลการทบทวนจริงอย่างได้สัดส่วน คำอธิบายที่โมเดลสร้างไม่ใช่หลักฐานว่าการตัดสินใจที่มีผลสำคัญเกิดขึ้นอย่างไร

มาตรการความปลอดภัยที่เหมาะกับความเสี่ยงของแชตบอต

มาตรา 32 กำหนดให้มีมาตรการทางเทคนิคและองค์กรที่เหมาะสม ไม่ได้ระบุอัลกอริทึมเข้ารหัสหรือผลิตภัณฑ์ยืนยันตัวตนหนึ่งเดียวสำหรับทุกกรณี ใช้ แนวทางความปลอดภัยของ EDPB เพื่อเชื่อมโยงมาตรการป้องกันกับความเสียหายที่อาจเกิดขึ้น บริบทการประมวลผล และเทคโนโลยีที่มีอยู่

การเข้ารหัสระหว่างส่งและขณะจัดเก็บ

ปกป้องการเชื่อมต่อเครือข่ายและระเบียนที่เก็บไว้ด้วยการเข้ารหัสและการจัดการคีย์ที่เหมาะสม ตรวจสอบการเชื่อมต่อระหว่างผู้เข้าชมกับวิดเจ็ต การเชื่อมต่อระบบ การเข้าถึงของผู้ดูแล ฐานข้อมูล ไฟล์ส่งออก และข้อมูลสำรองแยกกัน

TLS ปกป้องการเชื่อมต่อระหว่างส่ง ส่วนการเข้ารหัสขณะจัดเก็บปกป้องข้อมูลที่เก็บไว้ มาตรการเหล่านี้ไม่ได้ยืนยันด้วยตัวเองว่าเป็นการเข้ารหัสจากต้นทางถึงปลายทาง ซึ่งตัวกลางไม่สามารถอ่านเนื้อหาได้ บริการที่ประมวลผลเนื้อหาข้อความอาจจำเป็นต้องถอดรหัส หลีกเลี่ยงการอธิบายว่า TLS 1.3 หรือ AES-256 เป็นข้อกำหนดบังคับของ GDPR หรือเป็นหลักฐานการปฏิบัติตามกฎหมาย

การยืนยันตัวตน บทบาทการเข้าถึง และการเชื่อมต่อระบบตัวตน

ใช้การยืนยันตัวตนที่รัดกุม รวมถึง MFA เมื่อเหมาะสม สำหรับการเข้าถึงของผู้ดูแล สำหรับคำขอเฉพาะบัญชี ให้เลือกใช้เซสชันลูกค้าที่ผ่านการยืนยันตัวตนอยู่แล้ว แทนการให้พิมพ์ตัวระบุบัญชีลงในแชตสาธารณะ

ตรวจสอบการอนุญาตแยกต่างหาก: การเข้าสู่ระบบที่ถูกต้องต้องไม่เปิดเผยระเบียนของลูกค้ารายอื่น ให้พนักงานเข้าถึงตามหน้าที่และยกเลิกเมื่อไม่จำเป็นแล้ว Quickchat AI มีเอกสารเรื่อง บทบาทของทีม ให้ตรวจสอบว่าบทบาทที่มีตรงตามข้อกำหนดของคุณ

ประเมิน SSO สำหรับองค์กรเมื่อเกี่ยวข้อง แต่อย่าอนุมานว่ารองรับ SAML จากการลงชื่อเข้าใช้ Google แบบทั่วไป การระบุตัวตนด้วยชีวมิติอาจสร้างหน้าที่ด้านการคุ้มครองข้อมูลเพิ่มเติม และไม่ได้เป็นตัวเลือกที่ปลอดภัยที่สุดสำหรับทุกกรณี

ความปลอดภัย API และสิทธิ์การเชื่อมต่อที่จำกัด

ใช้ข้อมูลรับรองที่จำกัดขอบเขตและบังคับใช้การอนุญาตในแอปพลิเคชันที่เชื่อมต่อ คำสั่งให้โมเดลเข้าถึงเฉพาะข้อมูลลูกค้ารายหนึ่งไม่ใช่ขอบเขตควบคุมการเข้าถึง

ใช้การจำกัดอัตราที่เหมาะสม ตรวจสอบพารามิเตอร์และผลลัพธ์แบบมีโครงสร้าง และทบทวนว่าแต่ละ Action หรือการเชื่อมต่ออ่านหรือเปลี่ยนแปลงอะไรได้ ทดสอบการเข้าถึงข้ามลูกค้าและข้อมูลรับรองที่เพิกถอนแล้ว บันทึกว่าบุคคลที่สามใดได้รับข้อมูลส่วนบุคคล รวมถึงบริการรายงานข้อผิดพลาดและวิเคราะห์ข้อมูล

การติดตาม บันทึก และการรับมือเหตุการณ์

บันทึกให้เพียงพอสำหรับตรวจสอบการเข้าถึงและความล้มเหลว โดยไม่คัดลอกบทสนทนาเต็มทุกครั้งลงทุกระบบติดตามโดยอัตโนมัติ กำหนดการเข้าถึง การเก็บรักษา และการปกปิดข้อมูลสำหรับบันทึกการปฏิบัติงานแยกต่างหาก

ขั้นตอนรับมือเหตุการณ์ควรครอบคลุมการควบคุมเหตุ การตรวจสอบ การกู้คืน การบันทึก และการตัดสินใจแจ้งเหตุ ภายใต้ GDPR ผู้ควบคุมต้องแจ้งการละเมิดข้อมูลส่วนบุคคลที่เข้าเกณฑ์รายงานต่อหน่วยงานที่มีอำนาจโดยไม่ชักช้าเกินสมควร และหากทำได้ ภายใน 72 ชั่วโมงหลังทราบเหตุ เว้นแต่ไม่น่าจะก่อความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล หากมีแนวโน้มเป็นความเสี่ยงสูง อาจต้องแจ้งบุคคลที่ได้รับผลกระทบโดยไม่ชักช้าเกินสมควร ภายใต้ข้อยกเว้นของมาตรา 34 ผู้ประมวลผลต้องแจ้งผู้ควบคุมของตนโดยไม่ชักช้าเกินสมควร

หน้าที่และเกณฑ์เหล่านี้แตกต่างกัน แนวทางการละเมิดข้อมูลของ DPC ไอร์แลนด์ อธิบายความแตกต่างนั้น ข้อเสนอแก้ไข GDPR ใน Digital Omnibus ไม่ใช่เหตุผลให้ใช้กำหนดเวลารายงานที่ต่างออกไปในตอนนี้

เช็กลิสต์ประเมินความปลอดภัย

จัดการความเสี่ยงแชตบอตที่เฉพาะกับ AI

การประเมิน AI ควรครอบคลุมข้อมูลที่โมเดลได้รับและการกระทำที่ผลลัพธ์ของมันอาจสั่งให้เกิดขึ้น การควบคุมความปลอดภัยของซอฟต์แวร์ทั่วไปยังคงจำเป็น

การฉีดคำสั่งและการทดสอบเชิงโจมตี

การฉีดคำสั่งอาจมากับข้อความผู้เข้าชมหรือเนื้อหาที่ค้นคืนซึ่งพยายามเปลี่ยนทิศทางการทำงานของโมเดล เช่น เอกสารอาจสั่งให้เปิดเผยระเบียนส่วนตัวหรือเรียก Action ที่ไม่เกี่ยวข้อง

แยกคำสั่งที่เชื่อถือได้ออกจากเนื้อหาที่ไม่น่าเชื่อถือ จำกัดสิทธิ์ที่ใช้ได้ ตรวจสอบอาร์กิวเมนต์ของการกระทำ และทดสอบความพยายามเข้าถึงโดยไม่ได้รับอนุญาต ตัวกรองและคำสั่งช่วยได้ แต่ไม่รับประกันการป้องกัน แนวทางการฉีดคำสั่งของ OWASP ระบุชัดว่า RAG และการปรับจูนไม่สามารถลดช่องโหว่นี้ได้ทั้งหมด

ใช้ข้อมูลทดสอบสังเคราะห์หรือข้อมูลที่เตรียมอย่างเหมาะสม บันทึกว่าระบบปฏิเสธ เปิดเผยข้อมูล เรียกเครื่องมือ หรือส่งต่อหรือไม่ ประโยคปิดท้ายที่ดูน่าไว้วางใจเพียงอย่างเดียวไม่ยืนยันว่าพฤติกรรมปลอดภัย

การหลอนและการตรวจสอบคำตอบ

โมเดลอาจให้คำตอบที่ดูสมเหตุสมผลแต่ไม่มีหลักฐานที่มีอยู่รองรับ การค้นคืนจาก Knowledge Base ที่ดูแลเป็นปัจจุบันช่วยอิงคำตอบกับแหล่งข้อมูลได้ แต่ไม่รับประกันความถูกต้องของข้อเท็จจริงหรือบังคับใช้สิทธิ์ด้วยตัวเอง

ทดสอบนโยบายที่ล้าสมัย แหล่งข้อมูลที่ขัดแย้งกัน ระเบียนที่หายไป และคำขอที่อยู่นอกขอบเขตที่ตั้งใจไว้ จัดให้มีวิธีแจ้งข้อผิดพลาดและส่งกรณีที่ยังแก้ไม่ได้ให้มนุษย์ สำหรับคำตอบเฉพาะบัญชี ให้เทียบผลลัพธ์กับระเบียนต้นทางที่ได้รับอนุญาต แทนการเชื่อความมั่นใจของโมเดล คำอธิบายเรื่องการหลอนของ AI ของเรากล่าวถึงพฤติกรรมเบื้องหลังนี้

การรั่วไหลของข้อมูล การฝึกโมเดล และการปกปิดข้อมูล

การใช้เพื่อฝึกโมเดล การอนุมาน สถานะของแอปพลิเคชัน และบันทึก เป็นกิจกรรมประมวลผลที่แยกกัน อย่าสันนิษฐานว่าทุกข้อความใช้ฝึกโมเดล หรือคำมั่นว่าจะไม่ใช้ฝึกหมายถึงไม่มีการส่งหรือเก็บข้อมูล

คำถามที่พบบ่อยด้านกฎหมาย ของ Quickchat AI ระบุว่าไม่ใช้เนื้อหาของลูกค้าฝึก LLM และมีการล้างข้อมูลที่ระบุตัวบุคคลได้ (PII) เมื่อร้องขอ นี่ไม่ใช่คำรับรองว่าทุกข้อความผ่านการล้างข้อมูลหรือจะตรวจพบข้อมูลส่วนบุคคลทั้งหมด ยืนยันการตั้งค่าที่เลือกและเงื่อนไขผู้ให้บริการ

การปกปิดข้อมูลเข้าต้องเกิดก่อนการประมวลผลที่ต้องการป้องกัน ส่วนการปกปิดข้อมูลออกเกิดหลังสร้างคำตอบ การลบชื่อยังอาจเหลือบริบทที่ระบุตัวบุคคลได้ EDPB แยกการใช้นามแฝงออกจากการทำให้เป็นนิรนาม และ ความเห็นเรื่องโมเดล AI กำหนดให้ประเมินความเป็นนิรนามเป็นรายกรณี

หลักฐานสำหรับคำอธิบายและร่องรอยตรวจสอบ

เก็บหลักฐานแหล่งข้อมูลที่ค้นคืน การกระทำ การตั้งค่าที่เกี่ยวข้อง และการทบทวนโดยมนุษย์อย่างได้สัดส่วน อย่าถือว่าคำอธิบายที่สร้างขึ้น คะแนนความมั่นใจภายใน หรือเทคนิคอธิบาย เป็นหลักฐานการปฏิบัติตามกฎหมายโดยอัตโนมัติ

Why AI said that ใน Inbox ของ Quickchat AI สามารถแสดงแหล่งข้อมูลที่ค้นคืนและหลักฐานการทำงานได้ สิ่งนี้ช่วยตรวจสอบคำตอบ แต่ไม่ใช่คำอธิบายเหตุและผลของกลไกภายในโมเดลอย่างครบถ้วน หรือสิ่งทดแทนการประเมินหน้าที่ในการอธิบายสำหรับเวิร์กโฟลว์ที่ตัดสินใจเรื่องสำคัญ

การประมวลผลระหว่างประเทศและสถานที่ตั้งเซิร์ฟเวอร์

ทำแผนผังการจัดเก็บ การประมวลผลของโมเดล การเข้าถึงของฝ่ายสนับสนุน การเชื่อมต่อ และการโอนต่อ ภูมิภาคของฐานข้อมูลตอบคำถามเรื่องสถานที่ได้เพียงบางส่วน

การโฮสต์ใน EEA และการประมวลผลนอก EEA

GDPR ไม่ได้กำหนดกฎทั่วไปว่าต้องโฮสต์ในสหภาพยุโรปเท่านั้น การโอนออกนอก EEA ต้องมีช่องทางที่ใช้ได้ตามหมวด V ควบคู่กับข้อกำหนด GDPR อื่น คู่มือการโอนของ EDPB อธิบายการรับรองระดับการคุ้มครองที่เพียงพอ มาตรการคุ้มครองที่เหมาะสม และข้อยกเว้นที่จำกัด

คำถามที่พบบ่อยด้านกฎหมายของ Quickchat AI อธิบายการจัดเก็บบน GCP ในเบลเยียม ส่วน นโยบายความเป็นส่วนตัว กล่าวถึงการโอนไปสหรัฐฯ และมาตรการคุ้มครองตามสัญญาแยกต่างหาก ดังนั้นการจัดเก็บในเบลเยียมไม่ได้ยืนยันว่าประมวลผลเฉพาะในสหภาพยุโรป FAQ ยังอธิบายทางเลือกการติดตั้งสำหรับองค์กร ได้แก่ คลาวด์ส่วนตัว LLM ที่โฮสต์เอง และการติดตั้งภายในองค์กร โดยต้องตกลงสถาปัตยกรรม ความพร้อมให้บริการ และความรับผิดชอบสำหรับการใช้งานนั้นโดยเฉพาะ

ข้อสัญญามาตรฐานและกรอบความเป็นส่วนตัวข้อมูล EU-US

รายการการรับรองความเพียงพอปัจจุบัน ของคณะกรรมาธิการรวมองค์กรการค้าในสหรัฐฯ ที่เข้าร่วม EU-US Data Privacy Framework ตรวจสอบสถานะการเข้าร่วมที่ยังใช้งานอยู่ของผู้รับและขอบเขตที่ครอบคลุมการโอน การมีที่อยู่ในสหรัฐฯ เพียงอย่างเดียวไม่เพียงพอ

เมื่อใช้ข้อสัญญามาตรฐานหรือกลไกอื่นตามมาตรา 46 ให้ประเมินว่ากฎหมายและแนวปฏิบัติของประเทศปลายทางบั่นทอนมาตรการคุ้มครองหรือไม่ และจำเป็นต้องมีมาตรการเสริมหรือไม่ การโอนที่อยู่ภายใต้การรับรองความเพียงพอไม่ได้ต้องทำการประเมินการโอนเพิ่มเติมแบบเดียวกันโดยอัตโนมัติ ทั้งสองช่องทางไม่ได้ยกเว้นหน้าที่เรื่องวัตถุประสงค์ ฐานทางกฎหมาย ความปลอดภัย หรือสัญญาผู้ประมวลผล

อย่าสับสนสถานะของผู้ให้บริการคลาวด์กับผู้ขายแชตบอต FAQ ของ Quickchat AI อธิบายการดำเนินการเพื่อให้สอดคล้องกับ DPF ที่ยังดำเนินอยู่ ไม่ใช่การเข้าร่วมที่ตรวจสอบยืนยันแล้ว

ตัวอย่างผู้ให้บริการ: การควบคุมข้อมูล OpenAI API

เอกสารข้อมูล API ของ OpenAI ระบุว่าข้อมูลเข้าและออกของ API ไม่ใช้ในการฝึกโดยค่าเริ่มต้น เว้นแต่ลูกค้าเลือกเข้าร่วม เอกสารแยกอธิบายบันทึกติดตามการใช้งานที่ไม่เหมาะสมและสถานะของแอปพลิเคชัน บันทึกติดตามการใช้งานที่ไม่เหมาะสมตามมาตรฐานอาจเก็บไว้ได้ถึง 30 วัน โดยมีข้อยกเว้นด้านกฎหมายหรือความปลอดภัย

Zero Data Retention และ Modified Abuse Monitoring ต้องได้รับอนุมัติและมีข้อจำกัดตามเอนด์พอยต์ ยืนยันบัญชี เอนด์พอยต์ สัญญา และสถานที่ประมวลผลจริง การควบคุมประวัติของ ChatGPT สำหรับผู้ใช้ทั่วไปไม่ได้ยืนยันการตั้งค่าของการเชื่อมต่อ API เงื่อนไขทั่วไปของผู้ให้บริการเหล่านี้ไม่ได้พิสูจน์ว่าบัญชี Quickchat AI ใดบัญชีหนึ่งมีการเก็บรักษาเป็นศูนย์

สัญญาผู้ประมวลผลและความรับผิดชอบของผู้ขาย

เมื่อผู้ขายประมวลผลข้อมูลส่วนบุคคลในนามของคุณ มาตรา 28 กำหนดให้มีสัญญาผูกพันหรือการดำเนินการทางกฎหมายอื่นที่เข้าเกณฑ์ ประเมินการใช้ที่แยกต่างหาก เช่น ผู้ให้บริการประมวลผลเพื่อวัตถุประสงค์ของตนเอง แทนการสันนิษฐานว่าทุกกิจกรรมมีบทบาทเดียวกัน แนวทางผู้ควบคุมและผู้ประมวลผลของ EDPB อธิบายความแตกต่างและข้อกำหนดสัญญา

เงื่อนไขผู้ประมวลผลที่จำเป็นและคำถามเพิ่มเติมเรื่อง AI

ตรวจสอบว่าสัญญาครอบคลุม:

• เรื่อง ระยะเวลา ลักษณะและวัตถุประสงค์ของการประมวลผล ประเภทข้อมูล กลุ่มบุคคล และสิทธิและหน้าที่ของผู้ควบคุม
• คำสั่งที่เป็นเอกสาร รวมถึงการโอน พร้อมข้อยกเว้นตามกฎหมายสหภาพยุโรปหรือรัฐสมาชิกที่เกี่ยวข้อง
• การรักษาความลับและมาตรการความปลอดภัยที่เหมาะสมตามมาตรา 32
• การอนุญาตผู้ประมวลผลช่วงล่วงหน้าเป็นลายลักษณ์อักษรแบบเฉพาะหรือทั่วไป การแจ้งการเปลี่ยนแปลงและโอกาสคัดค้านเมื่อใช้การอนุญาตทั่วไป พร้อมส่งต่อหน้าที่ที่กำหนดให้ผู้ประมวลผลช่วง
• ความช่วยเหลือเรื่องสิทธิของบุคคล ความปลอดภัย การจัดการการละเมิด และการประเมินผลกระทบ
• การลบหรือคืนข้อมูลตามที่ผู้ควบคุมเลือกหลังบริการประมวลผลสิ้นสุด และการลบสำเนาที่มีอยู่ เว้นแต่กฎหมายสหภาพยุโรปหรือรัฐสมาชิกกำหนดให้เก็บ
• ข้อมูลที่จำเป็นต่อการแสดงการปฏิบัติตามกฎหมาย และข้อกำหนดเรื่องการตรวจสอบและการตรวจเยี่ยม

สอบถามเรื่องการฝึกโมเดล ข้อเสนอแนะ การเก็บรักษา และการใช้รองแยกต่างหาก GDPR ไม่ได้กำหนดเพียงให้ห้ามการใช้เพื่อฝึกทุกรูปแบบ แต่ละการใช้ต้องประเมินวัตถุประสงค์ บทบาท และเงื่อนไขทางกฎหมายอย่างเหมาะสม

Quickchat AI เผยแพร่ ข้อตกลงการประมวลผลข้อมูล ตรวจสอบเงื่อนไขที่ลงนามและใช้บังคับจริงพร้อมข้อมูลประกอบ การมีข้อตกลงเผยแพร่อยู่เพียงอย่างเดียวไม่ได้ยืนยันว่าสัญญาหรือการใช้งานใดเป็นไปตามข้อกำหนดข้างต้นทั้งหมด

ประเด็นเจรจากับผู้ให้บริการ AI

ขอคำตอบที่เฉพาะเจาะจงเกี่ยวกับสถานที่ประมวลผล ผู้ประมวลผลช่วง การเก็บรักษาเชิงปฏิบัติการ การควบคุมบัญชี การแจ้งการละเมิด และขั้นตอนเลิกใช้บริการ แยกการตั้งค่าผลิตภัณฑ์ที่มีเอกสารออกจากคำมั่นเฉพาะสัญญา

ถามว่าเกิดอะไรขึ้นเมื่อปิดฟีเจอร์ ยกเลิกการเชื่อมต่อช่องทาง ลบเอเจนต์ หรือยุติสัญญา ระบุขอบเขตการส่งออก หลักฐานการลบ ข้อมูลที่ยังต้องเก็บตามกฎหมาย และการจัดการข้อมูลสำรอง ข้อจำกัดความรับผิดและระดับบริการเป็นทั้งประเด็นเชิงพาณิชย์และส่วนหนึ่งของการประเมินผู้ขาย อย่ายอมรับคำแถลงความปลอดภัยทั่วไปแทนรายละเอียดทางเทคนิคที่ครบถ้วน

การปรับให้เหมาะกับบุคคลและการใช้ข้อมูลเท่าที่จำเป็น

เริ่มจากข้อมูลน้อยที่สุดที่จำเป็นต่อการตอบคำถามปัจจุบัน โปรไฟล์ที่เก็บต่อเนื่องต้องมีวัตถุประสงค์และการประเมินของตนเอง

ความเป็นส่วนตัวเชิงอนุพันธ์และการประมวลผลบนอุปกรณ์

ความเป็นส่วนตัวเชิงอนุพันธ์ช่วยจำกัดข้อมูลที่เปิดเผยเกี่ยวกับบุคคลในงานสถิติหรือการฝึกที่เหมาะสมได้ การปกป้องขึ้นอยู่กับการนำไปใช้และพารามิเตอร์ การกล่าวถึงเทคนิคไม่ได้ยืนยันการทำให้เป็นนิรนามหรือการประมวลผลที่ชอบด้วยกฎหมาย

การประมวลผลค่ากำหนดบนอุปกรณ์ของผู้เข้าชมอาจลดการเก็บข้อมูลฝั่งเซิร์ฟเวอร์ ตรวจสอบว่ายังมีอะไรออกจากอุปกรณ์บ้าง รวมถึงตัวระบุและข้อมูลการทำงาน การจัดเก็บหรือเข้าถึงบนอุปกรณ์อาจมีผลตาม ePrivacy แม้ข้อมูลนั้นไม่ใช่ข้อมูลส่วนบุคคล

คำตอบตามกลุ่มและการทำโปรไฟล์รายบุคคล

การปรับคำตอบให้ตรงกับหมวดสินค้าที่ผู้ใช้ระบุอาจใช้ข้อมูลน้อยกว่าการเก็บโปรไฟล์พฤติกรรมระยะยาว อย่างไรก็ตาม การจัดลูกค้าที่ทราบตัวตนเข้ากลุ่มยังอาจเป็นการประมวลผลข้อมูลส่วนบุคคล

ประเมินวัตถุประสงค์จริง ฐานทางกฎหมาย ประกาศ การเก็บรักษา และการควบคุมการเข้าถึง ไม่ใช่การปรับให้เหมาะกับบุคคลทุกรูปแบบที่ต้องมีความยินยอม และการตัดสินใจอัตโนมัติที่มีนัยสำคัญต้องประเมินมาตรา 22 แยกต่างหาก ให้บริการพื้นฐานที่มีประโยชน์เมื่อผู้ใช้ปฏิเสธการทำโปรไฟล์ที่เป็นทางเลือก

แชตบอตในภาคส่วนที่มีกฎกำกับ

กฎรายภาคส่วนขึ้นอยู่กับหน่วยงาน กิจกรรม และเขตอำนาจศาล แชตบอต AI สำหรับสำนักงานกฎหมาย และ แชตบอต AI สำหรับบริการการเงิน ต้องมีขอบเขตชัดเจนระหว่างข้อมูลทั่วไป การเข้าถึงบัญชี และคำแนะนำทางวิชาชีพ ข้อความปฏิเสธความรับผิดเพียงอย่างเดียวไม่ได้กำหนดขอบเขตเหล่านั้น

สุขภาพ: ข้อมูลอ่อนไหวและหน้าที่ HIPAA ที่เกี่ยวข้อง

ข้อมูลสุขภาพต้องมีเงื่อนไขที่ใช้ได้สำหรับข้อมูลประเภทพิเศษตาม GDPR เพิ่มเติมจากฐานตามมาตรา 6 การนัดหมาย งานธุรการ การประเมินอาการ และการตัดสินใจทางคลินิกมีความเสี่ยงต่างกัน แชตบอต AI สำหรับคลินิกทันตกรรม ควรมีช่องทางส่งต่อด้านคลินิกที่กำหนดไว้และเหมาะกับบทบาทที่ตั้งใจให้ทำ

ในสหรัฐฯ HIPAA ใช้กับหน่วยงานที่อยู่ภายใต้กฎหมายและผู้ร่วมธุรกิจ ไม่ได้ใช้กับข้อมูลสุขภาพในสหรัฐฯ ทุกชิ้นโดยอัตโนมัติ ความสัมพันธ์ผู้ร่วมธุรกิจที่เข้าเกณฑ์ต้องมีข้อตกลงตามที่กำหนด ตรวจสอบสิทธิ์ มาตรการคุ้มครอง และการเก็บรักษาเฉพาะชนิดระเบียนกับองค์กรที่รับผิดชอบ อย่าอนุมานความเหมาะสมตาม HIPAA จาก DPA ของ GDPR คำกล่าวเรื่องการเข้ารหัส หรือหน้าเว็บไซต์ด้านสุขภาพ

การเงิน: การเก็บระเบียนและการควบคุมการตัดสินใจ

ระบุกฎที่ใช้กับบริษัทและชนิดระเบียนก่อนกำหนดการเก็บรักษา ตัวอย่างเช่น FINRA Rule 4511 เกี่ยวข้องกับบริษัทสมาชิก และใช้ระยะเวลาหกปีสำหรับระเบียน FINRA ที่ไม่มีระยะเวลาอื่นกำหนดไว้ ไม่ใช่กฎการเก็บรักษาทั่วไปสำหรับบทสนทนาแชตบอตทุกชุด

แยกข้อมูลผลิตภัณฑ์สาธารณะ คำแนะนำเฉพาะบุคคล และการตัดสินใจที่มีผลต่อคุณสมบัติในการรับสิทธิ ประเมินการอนุญาต หน้าที่ทางวิชาชีพ การเก็บระเบียน และการทบทวนที่มีความหมายเมื่อกำหนดให้มี หลีกเลี่ยงการอาศัยทั้งข้อห้ามแบบเหมารวมต่อระบบการเงินอัตโนมัติ หรือข้อปฏิเสธความรับผิดทั่วไปที่ถือว่าอนุญาตให้ทำได้

บริการภาครัฐ: การประเมินและข้อมูลที่เข้าถึงได้

โดยทั่วไปหน่วยงานสาธารณะต้องมีเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ภายใต้ข้อยกเว้นที่เกี่ยวข้อง ส่วน DPIA แต่ละกรณีขึ้นอยู่กับความเสี่ยงของการประมวลผล แชตบอต FAQ สาธารณะกับระบบที่มีอิทธิพลต่อสิทธิรับสวัสดิการต้องประเมินต่างกัน

อธิบายว่าใครดำเนินบริการ ใช้ข้อมูลอย่างไร และจะขอความช่วยเหลือหรือใช้สิทธิได้อย่างไร พิจารณาผู้ใช้ที่เปราะบาง ทางเลือกที่เข้าถึงได้ และผลของคำตอบผิดหรือการส่งต่อที่ล้มเหลว ตรวจสอบข้อกำหนดด้านการเข้าถึงและกฎภาคส่วนที่ใช้บังคับ แทนการสันนิษฐานว่าอินเทอร์เฟซแชตบอตปฏิบัติตามอยู่แล้ว

ประเมินผู้ขายและเทคโนโลยีแชตบอต

ขอหลักฐานที่ผูกกับเวิร์กโฟลว์ที่ตั้งใจใช้ คู่มือเลือกซื้อแชตบอต AI ของเราให้บริบทการประเมินที่กว้างขึ้น แต่การประเมินความเป็นส่วนตัวยังต้องครอบคลุมการไหลของข้อมูลจริงของคุณ

ISO 27001, SOC 2 และ Cyber Essentials ยืนยันอะไร

ISO/IEC 27001 เกี่ยวข้องกับระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ ตรวจสอบองค์กร บริการ สถานที่ และอายุการรับรองในใบรับรอง แทนการมองว่าโลโก้ครอบคลุมทุกผลิตภัณฑ์

SOC 2 เป็นรายงานการให้ความเชื่อมั่น ไม่ใช่ใบรับรอง รายงาน Type 2 ตรวจประสิทธิผลในการปฏิบัติงานตลอดช่วงเวลาที่กำหนด ตรวจสอบระบบ เกณฑ์ ข้อยกเว้น และความรับผิดชอบของลูกค้าในรายงานจริง

Cyber Essentials เป็นโครงการของสหราชอาณาจักรที่ครอบคลุมการควบคุมทางเทคนิคพื้นฐานต่อภัยอินเทอร์เน็ตที่พบบ่อย ไม่มีรายการใดเพียงอย่างเดียวที่ยืนยันการปฏิบัติตาม GDPR สำหรับการใช้งานของคุณ คำถามที่พบบ่อยด้านกฎหมายของ Quickchat AI อธิบายว่ากำลังดำเนินการด้าน SOC 2 อย่าตีความข้อความนั้นว่าเป็นรายงานที่เสร็จสมบูรณ์แล้ว

15 คำถามสำหรับผู้ขายที่กำลังพิจารณา

1. พรอมต์ คำตอบ ไฟล์ บันทึก และข้อมูลสำรองจัดเก็บและประมวลผลที่ใด และใครเข้าถึงจากระยะไกลได้?
2. DPA ที่เสนอครอบคลุมบทบาทและกิจกรรมประมวลผลใด?
3. แยกการเข้าถึงข้อมูลลูกค้ารายหนึ่งจากอีกรายอย่างไร?
4. การเชื่อมต่อและระเบียนที่เก็บไว้ใดเข้ารหัส และจัดการคีย์อย่างไร?
5. กฎการเก็บรักษาและลบใดใช้กับข้อมูลแต่ละประเภท?
6. รองรับและตรวจสอบคำขอเข้าถึง แก้ไข ลบ และโอนย้ายอย่างไร?
7. มีผู้ประมวลผลช่วงรายใดเกี่ยวข้อง และแจ้งการเปลี่ยนแปลงอย่างไร?
8. ใช้ข้อมูลลูกค้าเพื่อฝึก ประเมิน หรือรับข้อเสนอแนะหรือไม่ และภายใต้เงื่อนไขใด?
9. ตรวจสอบเหตุการณ์และแจ้งการละเมิดที่เกี่ยวข้องอย่างไร?
10. ใบรับรองหรือรายงานการให้ความเชื่อมั่นปัจจุบันใดครอบคลุมบริการเฉพาะนี้?
11. การยืนยันตัวตน บทบาท และการเชื่อมต่อระบบตัวตนใดพร้อมใช้จริง?
12. หลักฐานใดครอบคลุมการฉีดคำสั่ง การกระทำที่ไม่ได้รับอนุญาต และการรั่วไหลของข้อมูล?
13. ทางเลือกความเป็นส่วนตัวและความปลอดภัยใดเป็นค่าเริ่มต้น การตั้งค่าที่ปรับได้ หรือข้อตกลงสำหรับองค์กร?
14. ลูกค้าเข้าถึงบันทึกและหลักฐานแหล่งข้อมูลหรือการกระทำใดได้ และมีข้อจำกัดอะไร?
15. เราจะตรวจหลักฐานการปฏิบัติตามกฎหมาย ส่งออกข้อมูล และยืนยันกระบวนการสิ้นสุดบริการได้อย่างไร?

ตารางเปรียบเทียบผู้ขาย

บันทึกหลักฐานและคำถามที่ยังไม่ตอบควบคู่กับคะแนน ข้อเท็จจริงทางสัญญาหรือการปฏิบัติงานที่ยังไม่ทราบควรคงสถานะไม่ทราบ แทนการให้คะแนนจากภาษาการตลาด เงื่อนไขจำเป็นที่ยังไม่ผ่านไม่ควรถูกกลบด้วยคะแนนรวมที่ดูดี

ดาวน์โหลดทะเบียนการไหลของข้อมูลในการนำไปใช้งาน

ดาวน์โหลดทะเบียนการไหลของข้อมูลที่แก้ไขได้ ชุดภาษาอังกฤษที่ใช้ร่วมกันประกอบด้วย CSV เปล่าสามไฟล์ ตัวอย่างสมมติที่แยกไว้ และคำแนะนำ ใช้บันทึกองค์ประกอบ การเคลื่อนย้ายข้อมูล หลักฐาน และคำถามที่ยังเปิดอยู่ของระบบที่เสนอ ชุดนี้ไม่ได้อธิบายสถาปัตยกรรม Quickchat AI ที่ผ่านการตรวจยืนยันแล้ว

1. ใน components.csv ให้ระบุเบราว์เซอร์ แอปพลิเคชัน แหล่งเก็บความรู้ ผู้ให้บริการโมเดล บริการที่เชื่อมต่อ บันทึก และข้อมูลสำรองที่เกี่ยวข้องจริง แยกสถานที่ประมวลผลออกจากสถานที่จัดเก็บ พร้อมบันทึกการใช้เพื่อฝึกโมเดล การเก็บรักษา ขอบเขตการลบ และผู้รับผิดชอบการเข้าถึง ปล่อยให้ข้อเท็จจริงที่ไม่ทราบยังเป็นเรื่องที่ต้องหาคำตอบ
2. ใน data-flows.csv เชื่อม ID ขององค์ประกอบและอธิบายวัตถุประสงค์ ประเภทข้อมูล และเงื่อนไขการเข้าถึงของแต่ละเส้นทาง บันทึกประเภทและเอกสารอ้างอิง ไม่ใช่บทสนทนาส่วนตัวหรือข้อมูลรับรอง
3. ใน evidence-register.csv เชื่อมแต่ละข้ออ้างกับแหล่งข้อมูลที่มีวันที่และขอบเขตของแหล่งนั้น แยกคำกล่าวของผู้ขาย สัญญา และการตั้งค่าออกจากแผนทดสอบและบันทึกการทดสอบที่สังเกตจริง การทดสอบที่วางแผนไว้ยังคงเป็น not_run กำหนดผู้รับผิดชอบคำถามที่ยังเปิดอยู่

นำเข้า CSV แบบ UTF-8 เป็นชีตแยกกันและคงตัวระบุเดิมไว้ ตัวตรวจออฟไลน์ที่เลือกใช้ได้ตรวจเฉพาะรูปแบบและการอ้างอิง ไม่สามารถยืนยันข้ออ้างของผู้ให้บริการหรือตัดสินการปฏิบัติตามกฎหมาย ใช้ทะเบียนควบคู่กับคำถามและตารางเปรียบเทียบด้านบน พร้อมการทบทวนที่จำเป็นสำหรับการใช้งานจริงของคุณ

แผนปฏิบัติสำหรับทีมขนาดเล็ก

จำกัดเวิร์กโฟลว์เริ่มต้นให้อยู่ในขอบเขตที่ทีมดำเนินงานและตรวจสอบได้ การเริ่มจากข้อมูลสาธารณะช่วยลดความซับซ้อนได้ แม้ข้อความอิสระและตัวระบุทางเทคนิคยังต้องประเมิน

ข้อแลกเปลี่ยนระหว่างซอฟต์แวร์โฮสต์เองกับ SaaS

การโฮสต์เองอาจให้การควบคุมสถาปัตยกรรมและการจัดการข้อมูลโดยตรงมากขึ้น แต่ต้องดำเนินงาน อัปเดตแพตช์ ติดตาม และรักษาความปลอดภัยของระบบด้วย ค่าใบอนุญาตและโครงสร้างพื้นฐานแตกต่างกัน การเป็นโอเพนซอร์สไม่ได้รับประกันว่าจะนำไปใช้ได้ฟรีหรือไม่มีผู้ประมวลผลภายนอก

SaaS อาจให้โครงสร้างพื้นฐานที่มีผู้ดูแลและการสนับสนุน แต่ลูกค้ายังต้องกำหนดวัตถุประสงค์ ฐานทางกฎหมาย การตั้งค่า และเงื่อนไขที่เหมาะสม เปรียบเทียบงานที่ทีมยังต้องทำ ไม่ใช่เพียงค่าสมัคร ตรวจสอบข้อเสนอคลาวด์ส่วนตัวหรือการโฮสต์เองเป็นข้อตกลงเฉพาะ แทนการสันนิษฐานว่ามีในทุกแพ็กเกจ

การควบคุมที่ทำได้ด้วยทรัพยากรจำกัด

ใช้ซอฟต์แวร์ที่มีการดูแล การส่งข้อมูลที่ปลอดภัย การยืนยันตัวตนที่เหมาะสม และการเข้าถึงที่จำกัด อย่าใส่ข้อมูลรับรองในพรอมต์หรือระเบียนที่ไม่จำเป็นใน Knowledge Base จัดกล่องรับคำขอใช้สิทธิพร้อมผู้รับผิดชอบ และทะเบียนการเก็บรักษาที่สะท้อนระบบจริง

ใช้แม่แบบของหน่วยงานกำกับเพื่อจัดโครงสร้างการประเมิน แต่เขียนข้อมูลความเป็นส่วนตัวจากการไหลของข้อมูลของคุณเอง เครื่องมือสร้างนโยบายทั่วไปไม่สามารถยืนยันสิ่งที่แชตบอตของคุณทำได้ ทดสอบการกู้คืนควบคู่กับการสำรอง บันทึกเหตุการณ์ และรักษาช่องทางส่งต่อให้มนุษย์ หากมาตรการคุ้มครองที่จำเป็นหรือการประเมินทางกฎหมายยังไม่เรียบร้อย ให้ลดขอบเขตก่อนเปิดตัว

ตัวอย่างการนำไปใช้สมมติสามกรณี

ตัวอย่างเหล่านี้เป็นแนวทางออกแบบ ไม่ใช่กรณีศึกษาลูกค้า ผลลัพธ์ที่วัดได้ หรือหลักฐานการอนุมัติจากหน่วยงานกำกับ

• ผู้ช่วยข้อมูลธนาคารรายย่อย จำกัดบอตไว้ที่ข้อมูลผลิตภัณฑ์สาธารณะที่อนุมัติแล้ว และส่งธุรกรรมบัญชีไปยังบริการที่ยืนยันตัวตน ประเมินฐานการประมวลผล ผู้ให้บริการ และระเบียน ทดสอบว่าผู้เข้าชมสามารถชักนำให้เปิดเผยข้อมูลบัญชีได้หรือไม่ การออกแบบนี้ยังต้องตรวจสอบกับกฎที่ใช้กับธนาคาร
• ผู้ช่วยรับสมัครมหาวิทยาลัย แยกแนวทางรับสมัครทั่วไปออกจากสถานะใบสมัครและการตัดสินใจรับเข้า พอร์ทัลใช้สิทธิที่พัฒนาเองอาจยืนยันตัวตนและรวบรวมระเบียนที่เกี่ยวข้องเพื่อทบทวนและส่งมอบอย่างปลอดภัย JSON อาจมีประโยชน์สำหรับคำขอโอนย้ายที่เข้าเกณฑ์ แต่การสร้างไฟล์เพียงอย่างเดียวไม่ได้ยืนยันว่าทำตามคำขอเข้าถึงครบถ้วนหรือทันกำหนด
• ผู้ช่วยงานธุรการสุขภาพ กำหนดงานจองและให้ข้อมูลที่อนุญาต ลดรายละเอียดที่ขอ และให้ช่องทางส่งต่อด้านคลินิกที่เหมาะสม ประเมินการปกปิดข้อมูลสุขภาพที่ไม่คาดคิดโดยยอมรับว่าอาจตรวจไม่พบ ข้อความปฏิเสธความรับผิดหรือชั้นปกปิดข้อมูลไม่ได้ยืนยันว่าบทสนทนาที่เหลือเป็นนิรนามหรือเหมาะกับการฝึกโดยไม่มีข้อจำกัด

EU AI Act ควบคู่กับ GDPR

AI Act มีผลใช้บังคับในเดือนสิงหาคม 2024 และทยอยใช้บทบัญญัติเป็นระยะ ไม่ได้แทนที่ GDPR ณ วันที่ทบทวนคู่มือนี้ กำหนดการบังคับใช้ปัจจุบันของคณะกรรมาธิการ สะท้อนการแก้ไขที่รับรองแล้ว ไม่ใช่เพียงกำหนดการเดิม

หน้าที่ความโปร่งใสปัจจุบันและวันที่ใช้ข้อกำหนดความเสี่ยงสูง

มาตรา 50 ใช้ตั้งแต่ 2 สิงหาคม 2026 โดยกำหนดให้ผู้ให้บริการทำให้บุคคลที่โต้ตอบกับ AI โดยตรงทราบข้อเท็จจริงนั้น เว้นแต่จะเห็นได้ชัดจากบริบท ข้อมูลที่ต้องแจ้งต้องชัดเจนและเข้าถึงได้ตั้งแต่การโต้ตอบครั้งแรก ตรวจสอบหน้าที่อื่นตามมาตรา 50 เมื่อเกี่ยวข้องกับเนื้อหาที่สร้างหรือระบบนั้น

AI Omnibus ที่รับรองแล้วมีผลใช้บังคับเมื่อ 27 กรกฎาคม 2026 ข้อกำหนดความเสี่ยงสูงที่เกี่ยวข้องปัจจุบันเริ่มใช้ตั้งแต่ 2 ธันวาคม 2027 สำหรับระบบตามภาคผนวก III และ 2 สิงหาคม 2028 สำหรับระบบที่เกี่ยวกับผลิตภัณฑ์ตามภาคผนวก I การจัดประเภทขึ้นอยู่กับวัตถุประสงค์การใช้และเกณฑ์ตามกฎหมาย แชตบอตในอุตสาหกรรมที่มีกฎกำกับไม่ได้เป็นความเสี่ยงสูงโดยอัตโนมัติเพียงเพราะอยู่ในอุตสาหกรรมนั้น

ประเมินความรับผิดชอบของผู้ให้บริการกับผู้นำไปใช้งานแยกกัน รวมถึงหน้าที่ด้านเอกสาร การกำกับดูแล การบันทึก และการประเมินความสอดคล้องที่เกี่ยวข้อง มาตรา 4 ที่แก้ไขแล้วยังกำหนดมาตรการสนับสนุนความรู้ความเข้าใจ AI ของพนักงาน โดยไม่กำหนดให้รับประกันระดับความสามารถของแต่ละบุคคล

กระบวนการ GDPR/ePrivacy Digital Omnibus ซึ่งเป็นอีกเรื่องหนึ่งยังอยู่ระหว่างพิจารณาเมื่อตรวจสอบวันที่ 4 พฤศจิกายน 2026 ไม่ควรถือข้อเสนอเปลี่ยนแปลงกฎเหล่านั้นเป็นกฎหมายปัจจุบัน

ISO/IEC 42001 และการกำกับดูแล AI

ISO/IEC 42001:2023 เผยแพร่ในเดือนธันวาคม 2023 และกำหนดกรอบระบบบริหารจัดการ AI ช่วยจัดระเบียบความรับผิดชอบ การประเมินความเสี่ยง และการทบทวนต่อเนื่องได้ การจัดให้สอดคล้องหรือได้รับการรับรองไม่ได้เป็นข้อสรุปอัตโนมัติว่าแชตบอตผ่าน GDPR หรือหน้าที่ AI Act ที่เกี่ยวข้องทั้งหมด

กำหนดการนำไปใช้และตารางความรับผิดชอบ

ใช้แผนเป็นระยะเพื่อระบุหลักฐานที่ขาดก่อนเปิดให้สาธารณะ กำหนดการนี้เป็นตัวอย่าง ไม่ใช่กำหนดเวลาตามกฎหมายหรือคำมั่นว่าทุกโครงการจะเสร็จได้ใน 90 วัน

แผน 90 วันพร้อมจุดทบทวน

• วันที่ 1-30: สำรวจ กำหนดงาน การไหลของข้อมูล ฐาน บทบาท และข้อกำหนดภาคส่วน คัดกรองความจำเป็นของ DPIA ระบุผู้รับผิดชอบการตัดสินใจ และรวบรวมหลักฐานผู้ขาย
• วันที่ 31-60: นำไปใช้ ตกลงเงื่อนไขผู้ประมวลผลที่เกี่ยวข้อง ตั้งค่าประกาศ การเข้าถึง การเชื่อมต่อ และการเก็บรักษา สร้างเวิร์กโฟลว์สิทธิและเหตุการณ์ที่จำเป็น ทำงานประเมินให้ครบเมื่อการออกแบบมีรายละเอียดชัดเจน
• วันที่ 61-90: ตรวจสอบ ทดสอบงานทั่วไป คำขอที่ไม่ได้รับอนุญาต คำตอบผิด ขอบเขตการลบ และการกู้คืน ฝึกทีม จัดการมาตรการคุ้มครองที่จำเป็น และทบทวน DPIA ที่ต้องทำก่อนเริ่มการประมวลผลที่เกี่ยวข้อง แม้โครงการนำร่องที่จำกัดก็ยังต้องมีการคุ้มครองที่เหมาะสม

เลือกเวลาเปิดตัวจากความพร้อม ไม่ใช่ปฏิทินเพียงอย่างเดียว คู่มือแพลตฟอร์ม AI สนทนา ให้บริบทเพิ่มเติมในการประเมินแพลตฟอร์ม

ตัวอย่าง RACI พร้อมคำแนะนำอิสระจาก DPO

R หมายถึงผู้รับผิดชอบทำงาน A หมายถึงเจ้าของโครงการขององค์กรที่รับผิดชอบผล C หมายถึงผู้ให้คำปรึกษา และ I หมายถึงผู้ที่ต้องรับทราบ ตัวอย่างเชิงปฏิบัติการนี้ไม่ได้โอนความรับผิดตามกฎหมายออกจากผู้ควบคุมหรือผู้ประมวลผล

DPO ให้คำแนะนำและกำกับติดตามอย่างเป็นอิสระ แนวทาง DPO กำหนดความรับผิดชอบด้านการปฏิบัติตามกฎหมายและ DPIA ไว้ที่ผู้ควบคุม และเตือนเรื่องบทบาทที่ขัดกันซึ่งกำหนดวัตถุประสงค์และวิธีประมวลผล ไม่ใช่ทุกองค์กรต้องแต่งตั้ง DPO

ก่อนอนุมัติการนำไปใช้งาน

ตรวจแผนผังข้อมูล สัญญาที่เกี่ยวข้อง กฎการเก็บรักษา และผลทดสอบการปฏิบัติงานร่วมกัน ยืนยันว่าใครรับคำขอใช้สิทธิหรือรายงานเหตุการณ์ และจะเกิดอะไรขึ้นเมื่อผู้ให้บริการ การเชื่อมต่อ หรือวัตถุประสงค์เปลี่ยน

สำหรับ Quickchat AI ให้แยกการควบคุมที่มีเอกสารออกจากข้อกำหนดที่ต้องตกลงเฉพาะ การลบบัญชีหรือเอเจนต์ ข้อความแจ้งความเป็นส่วนตัว การล้างข้อมูลเมื่อร้องขอ และภูมิภาคจัดเก็บที่ระบุ ต่างมีขอบเขตจำกัด จัดการข้อกำหนดของการใช้งานจริงให้ชัดเจนก่อนอาศัยสิ่งเหล่านี้

คำถามที่พบบ่อยเกี่ยวกับความเป็นส่วนตัวของแชตบอต

แชตบอตที่ใช้ GPT สามารถสอดคล้องกับ GDPR ได้หรือไม่?

เป็นส่วนหนึ่งของการนำไปใช้งานที่ชอบด้วยกฎหมายได้ ขึ้นอยู่กับวัตถุประสงค์ ข้อมูล บทบาท สัญญา ความปลอดภัย การจัดการสิทธิ และการโอน ชื่อโมเดล การตั้งค่าไม่ใช้ฝึก หรือเซิร์ฟเวอร์ในสหภาพยุโรปเพียงอย่างเดียวไม่เพียงพอ การใช้นามแฝงลดความเสี่ยงได้โดยที่ข้อมูลยังอยู่ในขอบเขต GDPR

จะลบข้อมูลผู้ใช้ตามคำขออย่างไร?

ยืนยันตัวตนอย่างได้สัดส่วน ระบุระเบียนที่เกี่ยวข้อง ประเมินเหตุและข้อยกเว้นการลบ ประสานผู้ประมวลผล และตรวจสอบผล ดำเนินการโดยไม่ชักช้าเกินสมควรและโดยปกติภายในหนึ่งเดือนปฏิทิน พร้อมแจ้งการขยายเวลาที่อนุญาตให้ทันกำหนด รวมบันทึก ไฟล์ส่งออก และข้อมูลสำรองในการประเมิน การลบ Quickchat AI Agent ไม่เท่ากับการลบบทสนทนาของเอเจนต์นั้น

แชตบอตควรใช้วิธียืนยันตัวตนแบบใด?

เลือกให้เหมาะกับงาน FAQ สาธารณะอาจไม่ต้องยืนยันตัวตนผู้เข้าชม แต่รายละเอียดบัญชีหรือธุรกรรมต้องมีช่องทางที่ยืนยันตัวตนและอนุญาตอย่างเหมาะสม ปกป้องการเข้าถึงของผู้ดูแล พิจารณา MFA และตรวจข้อจำกัดตามบทบาท ทั้ง SSO และชีวมิติไม่ใช่คำตอบเดียวสำหรับทุกเวิร์กโฟลว์

ภายใต้ GDPR เก็บบันทึกแชตได้นานเท่าใด?

เก็บได้เท่าที่มีเหตุผลรองรับสำหรับวัตถุประสงค์ที่เกี่ยวข้อง ภายใต้หน้าที่ตามกฎหมายที่ใช้บังคับ กำหนดระยะเวลาหรือเกณฑ์ตามประเภทข้อมูลและอธิบายในข้อมูลความเป็นส่วนตัว ระยะเวลาตัวอย่าง 30 หรือ 90 วันไม่ใช่ค่าเริ่มต้นของ GDPR และการเก็บหลักฐานความยินยอมก็ต้องมีเหตุผลรองรับเช่นกัน

หากโฮสต์โมเดลเองยังต้องมี DPA หรือไม่?

ประเมินว่ามีหน่วยงานอื่นประมวลผลข้อมูลส่วนบุคคลในนามของคุณหรือไม่ การรันซอฟต์แวร์เองไม่ได้สร้างความสัมพันธ์ผู้ประมวลผลกับผู้เผยแพร่โดยอัตโนมัติ แต่การโฮสต์ การสนับสนุน การวิเคราะห์ หรือบริการอื่นอาจสร้างความสัมพันธ์นั้น เงื่อนไขตามมาตรา 28 ที่เกี่ยวข้องยังจำเป็นสำหรับผู้ประมวลผล และการโฮสต์เองไม่ได้ยกเว้นหน้าที่ของคุณ

แชตบอตตัดสินใจอัตโนมัติทั้งหมดภายใต้มาตรา 22 ได้หรือไม่?

ข้อจำกัดของมาตรา 22 เกี่ยวกับการตัดสินใจอัตโนมัติเพียงอย่างเดียวที่มีผลทางกฎหมายหรือผลที่มีนัยสำคัญใกล้เคียงกัน เมื่อใช้บังคับ ให้ประเมินข้อยกเว้นที่เกี่ยวข้องและมาตรการคุ้มครองที่กำหนด รวมถึงการแทรกแซงโดยมนุษย์อย่างมีความหมายเมื่อจำเป็น คำตอบสนับสนุนทั่วไปไม่ได้อยู่ใต้ข้อจำกัดนี้โดยอัตโนมัติ ส่วนการตัดสินใจสำคัญเกี่ยวกับคุณสมบัติหรือการเข้าถึงต้องทบทวนละเอียดขึ้น

ประกาศความเป็นส่วนตัวของแชตบอตควรมีอะไรบ้าง?

อธิบายผู้ควบคุมและข้อมูลติดต่อ วัตถุประสงค์และฐาน ผู้รับและการโอนที่เกี่ยวข้อง การเก็บรักษา สิทธิที่ใช้ได้ และช่องทางร้องเรียน รวมข้อมูลอื่นตามมาตรา 13 หรือ 14 สำหรับการเก็บจริง รวมถึงการถอนเมื่ออาศัยความยินยอม และข้อมูลการตัดสินใจอัตโนมัติที่เกี่ยวข้อง ทำให้เข้าถึงง่ายและถูกต้อง เปิดเผยการโต้ตอบกับ AI ตามที่กำหนดแยกจากการขอความยินยอม

จะลดความเสี่ยงการฉีดคำสั่งได้อย่างไร?

ถือว่าข้อความผู้เข้าชมและเนื้อหาที่ค้นคืนไม่น่าเชื่อถือ จำกัดสิทธิ์ บังคับใช้การอนุญาตนอกโมเดล ตรวจพารามิเตอร์การกระทำ และทดสอบความพยายามเข้าถึงข้อมูลที่ไม่ได้รับอนุญาตหรือทำสิ่งที่ไม่เกี่ยวข้อง คำสั่ง ตัวกรอง และ RAG ไม่รับประกันการป้องกัน รักษาช่องทางตรวจสอบและส่งต่อให้มนุษย์

วิดเจ็ตแชตต้องขอความยินยอมคุกกี้หรือไม่?

ประเมินการจัดเก็บหรือเข้าถึงแต่ละอย่างและวัตถุประสงค์ภายใต้กฎหมายที่นำ ePrivacy ไปใช้ในเขตนั้น แนวทาง EDPB ครอบคลุมมากกว่าคุกกี้ การทำงานที่จำเป็นอย่างเคร่งครัดต่อบริการที่ผู้เข้าชมร้องขอชัดเจนอาจได้รับยกเว้น ส่วนการทำงานอื่นอาจต้องมีความยินยอมล่วงหน้า วิดเจ็ต Quickchat AI ใช้พื้นที่จัดเก็บภายในเบราว์เซอร์เพื่อความต่อเนื่องของบทสนทนาและค่ากำหนด อย่าสันนิษฐานว่าการจัดเก็บของวิดเจ็ตทั้งหมดได้รับยกเว้น หรือว่าทุกวิดเจ็ตต้องถูกบล็อกทั้งหมดก่อนผู้ใช้ตัดสินใจเรื่องความยินยอม

EU AI Act แทนที่ GDPR สำหรับแชตบอตหรือไม่?

ไม่ GDPR ยังคงกำกับการประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้อง ส่วน AI Act เพิ่มหน้าที่ตามระบบ บทบาท และการใช้ หน้าที่ความโปร่งใสตามมาตรา 50 ใช้แล้วตั้งแต่ 2 สิงหาคม 2026 ตรวจสอบกำหนดการแก้ไขปัจจุบันสำหรับข้อกำหนดความเสี่ยงสูง แทนการอาศัยความคาดหมายเดิมในปี 2025/2026

เมื่อต้องการประเมิน แพลตฟอร์ม Quickchat AI ให้เริ่มจากเวิร์กโฟลว์ที่กำหนดชัดเจนและข้อมูลที่ต้องใช้ แล้วเทียบการควบคุมที่มีเอกสารและเงื่อนไขที่เกี่ยวข้องกับข้อกำหนดของคุณ