Flyweight: Bruk av AI Chatbot for Shopify i tråd med GDPR og AI-Act

Databehandleravtale, merkeplikt, personvernerklæring, GDPR, AI-Act - hva betyr alt dette? 🤯🤯

Sjekklisten og malen for personvernerklæring under tar utgangspunkt i at dere driver en Shopify-butikk og vil legge til en GDPR-kompatibel AI chatbot. Vil dere ha hele bildet av hva vår Shopify chatbot kan gjøre? Gå til hovedguiden. Denne artikkelen er ikke juridisk rådgivning og innebærer ikke en vurdering av om dere har en konkret rettslig plikt.

Begreper

1. General Data Protection Regulation (GDPR)
   GDPR er den sentrale personvernloven i Europa. Den setter rammene for hvordan selskaper skal håndtere personopplysninger, for eksempel å bare samle inn det som faktisk trengs og lagre det på en sikker måte. Den gir også folk rettigheter knyttet til egne data, som innsyn, retting og sletting. For chatbots betyr det blant annet at man bør unngå bred eller unødvendig datainnsamling, og være tydelig på hvordan data brukes.

2. Artificial Intelligence Act (AI Act)
   AI Act er et foreslått EU-regelverk for kunstig intelligens. Målet er tryggere og mer rettferdig bruk av AI-systemer som chatbots. Regelverket deler AI-systemer inn etter risikonivå, fra lav til høy. Hver kategori har egne krav, som å gjøre det tydelig at brukeren snakker med AI og å redusere risikoen for diskriminerende utfall. Chatbots som brukes i sensitive sammenhenger kan falle i kategorier med høyere risiko og dermed møte strengere krav.

3. Data Processing Agreement (DPA)
   En Data Processing Agreement er en avtale mellom selskapet som bruker chatboten og leverandøren som drifter den. Den slår fast at leverandøren bare behandler brukerdata etter instruks fra selskapet og i tråd med personvernreglene. Hvis dere bruker en ekstern chatbot-leverandør, vil det som regel være behov for en DPA for å dokumentere GDPR-kompatibel behandling.

4. Privacy Policy
   En personvernerklæring forklarer hvilke data som samles inn, hvorfor de samles inn, og hvor lenge de lagres. Den bør også forklare hvilke rettigheter brukerne har, som retten til å be om sletting eller innsyn i lagrede data. Når dere bruker chatbot, bør denne informasjonen være enkel å forstå og lett å finne.

5. Labeling Obligation
   Etter prinsippene i GDPR, og særlig etter den planlagte AI Act, bør brukere kunne forstå at de samhandler med AI og ikke et menneske. Det er dette merkeplikten handler om. Målet er å skape åpenhet og redusere misforståelser.

Roller og ansvar

Rollene er viktige fordi de avgjør hvem som har ansvar for hva.

Processor

Chatbot-leverandøren er som regel processor. Det betyr at leverandøren behandler data på vegne av butikkdriveren og etter deres instruksjoner. Leverandøren står for det tekniske oppsettet og driften av chatboten, men bestemmer ikke hvorfor dataene behandles. Oppgaven er å følge kravene fra controller og ha tekniske og organisatoriske tiltak på plass for å beskytte personopplysninger. Kort sagt er chatbot-leverandøren kontraktsmessig bundet til å behandle data bare etter instruks, ikke til egne uavhengige formål.

Controller

Her blir mange litt overrasket: butikkdriveren er controller. Som controller er det butikken som bestemmer hvorfor og hvordan data behandles, for eksempel hva chatboten skal samle inn og om den brukes til support, leadgenerering eller noe annet. Controller har ansvar for at innsamling og behandling av data skjer i tråd med personvernkravene, og at brukernes rettigheter blir ivaretatt. I praksis betyr det at butikkdriveren definerer hvordan chatboten brukes og har ansvar for personvern rundt denne bruken. Det høres større ut enn det er. Ofte starter det med å være tydelig i personvernerklæringen.

Et praktisk eksempel

La oss si at Shopify-butikken "GarlicPress24" vil bruke en AI chatbot til leadgenerering. En kunde spør om spesifikasjoner for en hvitløkspresse, og AI gir faglig veiledning. I dette løpet samler chatboten inn kundens kontaktinformasjon, som navn og e-post, og sender den videre til eksperten.

Butikken må bestemme hvordan dette skal fungere. Skal leaden samles inn via AI? Eller skal chatboten bare vise en melding som: "Kontakt ekspertene våre på e-post X"? Shopify-butikken er controller fordi det er den som bestemmer hva som skal skje og sørger for at kundene får riktig informasjon i personvernerklæringen. Leverandøren av AI chatboten håndterer det tekniske oppsettet og behandler data etter butikkens instruksjoner, og er derfor processor.

Slik bruker dere en AI chatbot i tråd med personvernkrav: En sjekkliste

Hvis dere vil bruke en chatbot i tråd med GDPR og AI Act, er det rollene over som definerer ansvaret.

1. Samle bare inn nødvendige data
   Chatboten bør bare samle inn data som faktisk trengs. Dette er først og fremst et leverandøransvar. Hos Flyweight prøver vi å behandle minst mulig persondata. Hvis en kunde for eksempel spør om ordrestatus, behandler vi bare postnummer og ordrenummer, ikke ekstra adressedetaljer eller bredere ordredata. Personopplysninger håndteres også separat fra AI.

2. Vær åpne
   Brukerne bør forstå hvilke data chatboten samler inn og hva de brukes til. Personvernerklæringen er riktig sted å forklare dette tydelig, spesielt for Shopify-butikker. Siden butikken er controller, bør erklæringen oppdateres slik at kundene får riktig informasjon. Under finner dere en mal som gjør det enklere.

3. Ha en Data Processing Agreement (DPA) på plass
   Hvis chatboten kommer fra en ekstern leverandør, bør det finnes en avtale som dekker GDPR-kompatibel databehandling. Sjekk om leverandøren tilbyr en DPA, ofte som del av standardavtalen.

4. Gå jevnlig gjennom sikkerhet og personvern
   AI Act peker også i retning av jevnlige vurderinger av AI-relatert risiko, slik at chatbot-oppsettet holder seg i tråd med kravene over tid. Dette håndteres vanligvis av chatbot-leverandøren. Vi holder denne guiden oppdatert og deler relevante endringer.

5. Merk chatboten tydelig
   Selv om eksplisitt merking ikke alltid er et absolutt lovkrav ennå, er det fortsatt lurt å være tydelig. Brukerne bør forstå at de snakker med AI. Vår AI chatbot har en standard footer med teksten: “AI powered by Flyweight”, og vi anbefaler å beholde den. Hvis dere vil være ekstra tydelige, kan dere også nevne AI i velkomstmeldingen eller i navnet på chatboten.

⭐️ Mal for personvernerklæring

Som vi har sett, er Shopify-butikker som opptrer som controller hovedsakelig ansvarlige for å forklare tydelig hvordan data behandles.

Og det beste stedet for det? Personvernerklæringen deres.

💡 Hvis vi hadde vært butikkdriver og brukt Flyweight AI Chatbot, ville vi lagt til følgende avsnitt i personvernerklæringen deres (uten å ta stilling til en rettslig plikt eller gi juridisk rådgivning):

👇👇👇👇👇👇👇👇👇👇

---

Bruk av chatbot med skjemaer
Vi tilbyr dere en AI-basert chatbot fra Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Germany (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) på nettsiden vår for å svare på spørsmålene deres. Når dere bruker chatboten, kombineres spørsmålene deres med databasen som er bygget opp fra informasjon hentet fra vår egen nettside, samt en stor språkmodell, for å gi svar på forespørslene deres. Chatboten er instruert til ikke å be om personopplysninger. Greit å vite: Hvis det som følge av forespørslene deres vises egne skjemaer der dere må oppgi personopplysninger, vil informasjonen dere legger inn der behandles separat og blir derfor ikke sendt til AI.

Kategorier av behandlede data: Datakategoriene avhenger av forespørslene deres når dere skriver inn personopplysninger i spørsmålet.

• Hvis dere for eksempel spør: “Hvor er ordren min?”, vil det vises et skjema der dere kan legge inn ordrenummer og postnummer.

• Hvis dere for eksempel vil vite mer om et produkt og få relevant veiledning, vil det vises et skjema der dere kan oppgi relevant informasjon, som navn, telefon, e-post osv.

Formål med behandlingen: Behandling av informasjonen dere oppgir for å lage svar på forespørslene deres ved hjelp av chatboten.

• Eksempel: Hvis dere spør: “Hvor er ordren min?” og skriver inn ordrenummer og postnummer i skjemaet, brukes denne informasjonen til å sende en direkte forespørsel til butikksystemet (Shopify), slik at leveringsinformasjonen kan hentes og dere kan få beskjed om status på ordren.

• Eksempel: Hvis dere ønsker rådgivning om et produkt, vil forespørselen deres, sammen med dataene dere legger inn i skjemaet og hele chathistorikken, videresendes til butikkdriveren slik at vedkommende kan kontakte dere.

Datakilde: Vi samler inn disse dataene direkte fra dere.

Rettslig grunnlag: Vi behandler data for å oppfylle kontraktsmessige eller prekontraktuelle forpliktelser i samsvar med artikkel 6 nr. 1 bokstav b i General Data Protection Regulation (GDPR).

Lagringstid: Data lagres til forespørselen deres er løst, eller så lenge kontrakten varer, og deretter frem til lovpålagte oppbevaringsfrister på 6 til 10 år har utløpt.

Mottakernes plassering: EU og land utenfor EU.

Garantier ved overføring til tredjeland: EU Standard Contractual Clauses (SCC), Adequacy Decision

---

👆👆👆👆👆👆👆👆👆👆

Installer den personvernvennlige chatboten for europeiske Shopify-butikker ✌️