Flyweight: Bruk av AI-chatbot for Shopify i samsvar med GDPR og AI Act

Databehandleravtale, merkeforpliktelse, personvernerklæring, GDPR, AI Act – HVA? 🤯🤯

Sjekklisten og personvernerklæringsmalen som presenteres her, forutsetter at vi driver en Shopify-butikk og ønsker å implementere en GDPR-kompatibel AI-chatbot. For en fullstendig oversikt over funksjonene til vår Shopify-chatbot, besøk hovedguiden vår. Denne artikkelen presenteres uten anerkjennelse av juridisk forpliktelse eller juridisk rådgivning.

Terminologi

1. Personvernforordningen (GDPR) GDPR er den viktigste personvernforordningen i Europa, med mål om å beskytte brukernes personopplysninger. Den fastsetter hvordan selskaper må håndtere data — for eksempel ved å samle inn bare det som er absolutt nødvendig og lagre data sikkert. GDPR gir også brukere rettigheter, som innsyn, sletting og retting av data. For chatboter betyr dette at de ikke må samle inn brukerdata vilkårlig og må være transparente om datahåndtering.

2. Forordningen om kunstig intelligens (AI Act) AI Act er en ny, foreslått EU-lov som fastsetter retningslinjer for kunstig intelligens. Målet er å sikre trygg og rettferdig bruk av AI-systemer som chatboter. AI Act kategoriserer AI-systemer etter risikonivåer, fra lav til høy risiko. Avhengig av risikokategorien er det spesifikke krav, som å gjøre det klart for brukere at de samhandler med AI og sikre at AI ikke tar diskriminerende beslutninger. Chatboter som utfører sensitive oppgaver faller i høyere risikokategorier og må oppfylle strengere krav.

3. Databehandleravtale (DPA) En databehandleravtale er en kontrakt mellom et selskap (som ønsker å bruke chatboten) og en leverandør (som tilbyr eller drifter chatboten). Denne avtalen sikrer at leverandøren behandler brukerdata i henhold til selskapets instruksjoner og overholder personvernkrav. Dette bidrar til å sikre at data brukes trygt og ansvarlig. Hvis et selskap bruker en ekstern chatbot-tjeneste, er en DPA nødvendig for å bevise at leverandøren også respekterer GDPR.

4. Personvernerklæring En personvernerklæring er en informasjonsside for chatbot-brukere. Den forklarer hvilke data som samles inn, hvorfor de trengs, og hvor lenge de vil bli lagret. Personvernerklæringen forklarer også brukerrettigheter, som retten til å slette data eller finne ut hvilke data som er lagret. Det er viktig å presentere denne informasjonen tydelig, slik at brukerne forstår hva de samtykker til når de bruker chatboten.

5. Merkeforpliktelse I henhold til GDPR og spesielt den planlagte AI Act, må brukere alltid vite at de samhandler med AI — en chatbot — og ikke en ekte person. Dette kalles en merkeforpliktelse. Selskaper bør gjøre det klart at chatboten ikke er et menneske. Denne merkingen fremmer åpenhet og unngår misforståelser.

Roller og ansvar

Å forstå roller er avgjørende da de definerer ansvar.

Databehandler

Chatbot-leverandøren fungerer vanligvis som databehandler. I denne rollen behandler leverandøren data på vegne av butikkoperatøren og i henhold til deres instruksjoner. Leverandøren håndterer den tekniske implementeringen og driften av chatboten uten å ta beslutninger om formålene med databehandlingen. Leverandørens oppgave er å anvende personvernstandardene satt av den behandlingsansvarlige og implementere tekniske og organisatoriske tiltak for å beskytte personopplysninger. Som et resultat er chatbot-leverandøren kontraktsmessig forpliktet til å behandle data kun som anvist og ikke for egne formål.

Behandlingsansvarlig

Det kan virke forvirrende i begynnelsen, men butikkoperatøren påtar seg rollen som behandlingsansvarlig. Som behandlingsansvarlig bestemmer de formålene med og metodene for databehandling, som hvilke data chatboten samler inn og for hvilket formål (f.eks. for kundeservice eller markedsføring). De er ansvarlige for å sikre at datainnsamling og -behandling oppfyller personvernkravene og at berørte personers rettigheter ivaretas. Butikkoperatøren er enheten som bestemmer og administrerer chatbotens bruk og er derfor ansvarlig for personvernsamsvar i denne sammenhengen. Dette kan høres omfattende ut, men det krever ganske enkelt tydelig definisjon i personvernerklæringen.

Praktisk eksempel

Shopify-butikken «GarlicPress24» ønsker å bruke en AI-chatbot for å generere leads: når en kunde spør om spesifikasjonene til en hvitløkspresse, skal AI gi veiledning fra en hvitløkspresseekspert, samle inn kundens kontaktdetaljer (navn og e-post) og videresende dem til eksperten.

Shopify-butikken har et valg — samler de inn leadet gjennom AI, eller viser de rett og slett kundene en melding: «kontakt ekspertene våre på e-post X»? Shopify-butikken er den behandlingsansvarlige (bestemmer hva som skal skje og sikrer at kunder informeres i personvernerklæringen). AI-chatbot-leverandøren håndterer det tekniske oppsettet og sikrer at data behandles på en måte som overholder personvernkravene — og fungerer som databehandler.

Slik bruker du en AI-chatbot i samsvar med personvernkravene: En sjekkliste

Roller definerer ansvar for drift av en GDPR- og AI Act-kompatibel chatbot.

1. Samle bare nødvendige data Chatboten bør bare samle inn viktig informasjon og ikke mer. Dette ansvaret ligger hos chatbot-leverandøren. Hos Flyweight ønsker vi å behandle bare det minimum nødvendige av personopplysninger. Hvis en kunde for eksempel spør om ordrestatus, behandler vi bare postnumre og ordrenumre, og unngår ytterligere personlige adresse- eller ordredata. Videre behandles personopplysninger separat fra AI.

2. Vær transparent Brukere bør forstå nøyaktig hvilke data chatboten samler inn og hvordan de vil bli brukt. Personvernerklæringen kan klargjøre dette, noe som er spesielt viktig for Shopify-butikkoperatører. Som behandlingsansvarlig må personvernerklæringen tilpasses for å informere kunder ordentlig. Ikke bekymre deg; en mal for å forbedre personvernerklæringen for kompatibel chatbot-bruk er gitt nedenfor.

3. Opprett en databehandleravtale (DPA) Hvis chatboten er fra en ekstern leverandør, bør en kontrakt sikre at leverandøren håndterer data i henhold til GDPR. Sørg for at chatbot-leverandøren tilbyr en DPA (ofte en del av kontrakten).

4. Kontroller sikkerhet og personvern regelmessig AI Act krever også regelmessige kontroller av AI-risiko for å sikre at chatboten forblir kompatibel. Vanligvis håndteres dette av chatbot-leverandøren. Vi oppdaterer denne guiden regelmessig og informerer deg om relevante endringer.

5. Merkeforpliktelse Selv om eksplisitt merking kanskje ennå ikke er et juridisk krav, anbefales transparent kommunikasjon alltid for å informere brukere om at de samhandler med AI. Vår AI-chatbot leveres med en standard bunntekst som lyder: «AI powered by Flyweight», som vi anbefaler å beholde. For å være ekstra forsiktig kan du også nevne AI i startmeldingen eller chatbotens navn.

⭐️ Personvernerklæringsmal

Som vi har sett, er Shopify-butikker, i rollen som behandlingsansvarlige, primært ansvarlige for å kommunisere tydelig hvordan data behandles.

Hvor er det beste stedet for dette? Personvernerklæringen, selvfølgelig!

💡 Hvis vi var butikkoperatøren som bruker Flyweight AI Chatbot, ville vi lagt til følgende seksjon i personvernerklæringen vår (uten anerkjennelse av juridisk forpliktelse eller juridisk rådgivning):

👇👇👇👇👇👇👇👇👇👇

---

Bruk av chatboten med skjemaer Vi tilbyr deg en AI-basert chatbot fra Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Tyskland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) på nettstedet vårt for å svare på spørsmålene dine. Ved bruk av chatboten kombineres forespørslene dine med databasen opprettet fra nettstedsinformasjonen lest fra vårt eget nettsted og en stor språkmodell for å gi deg svar på forespørselen din. Chatboten er instruert til ikke å be om personopplysninger. Godt å vite: Hvis det som følge av dine henvendelser vises separate skjemaer der du eventuelt må oppgi personopplysninger basert på forespørselen din, vil informasjonen du oppgir der bli behandlet separat og vil derfor ikke bli sendt til AI.

Behandlede datakategorier: Datakategoriene er et resultat av henvendelsene dine når du oppgir personopplysninger i spørsmålet ditt.

• Hvis du for eksempel spør: «Hvor er bestillingen min?», vises et skjema der du kan oppgi ordrenummeret og postnummeret ditt.

• Hvis du for eksempel ønsker å finne ut mer om et produkt og motta passende rådgivning, vises et skjema der du kan oppgi relevant informasjon (f.eks. navn, telefon, e-post osv.).

Formål med behandlingen: Behandling av informasjonen du oppgir for å opprette svar på forespørslene dine ved hjelp av chatboten.

• Eksempel: Hvis du for eksempel spør: «Hvor er bestillingen min?» og oppgir ordrenummeret og postnummeret ditt i skjemaet, brukes denne informasjonen til å sende en direkte forespørsel til butikksystemet (Shopify) slik at leveringsinformasjonen kan sendes og du kan bli informert om statusen til bestillingen.

• Eksempel: Hvis du ønsker rådgivning om et produkt, vil forespørselen din (med dataene du oppgir i skjemaet og hele chathistorikken) videresendes til butikkoperatøren slik at de kan kontakte deg.

Datakilde: Vi samler inn disse dataene direkte fra deg.

Rettslig grunnlag: Vi behandler data for å oppfylle kontraktsmessige eller prekontraktuelle forpliktelser i samsvar med artikkel 6, paragraf 1, bokstav (b) i personvernforordningen (GDPR).

Datalagring: Data lagres til forespørselen din er løst eller for kontraktens varighet og utover til lovbestemte oppbevaringsperioder (6 til 10 år) er utløpt.

Plassering av mottakere: EU og utenfor EU.

Garantier for overføringer til tredjeland: EUs standard kontraktsbestemmelser (SCC), tilstrekkelighetsbeslutning

---

👆👆👆👆👆👆👆👆👆👆

Installer den personvernkompatible chatboten for europeiske Shopify-butikker ✌️