Flyweight: Använda en AI-chatbot för Shopify i enlighet med GDPR och AI Act

Personuppgiftsbiträdesavtal, märkningsskyldighet, integritetspolicy, GDPR, AI Act – VA? 🤯🤯

Checklistan och mallen för integritetspolicy som presenteras här förutsätter att vi driver en Shopify-butik och vill implementera en GDPR-kompatibel AI-chatbot. För en komplett översikt av funktionerna i vår Shopify-chatbot, besök vår huvudguide. Denna artikel presenteras utan erkännande av juridisk skyldighet eller juridisk rådgivning.

Terminologi

1. Dataskyddsförordningen (GDPR) GDPR är den primära dataskyddsförordningen i Europa, med syfte att skydda användares personuppgifter. Den fastställer hur företag måste hantera data — till exempel genom att bara samla in det som verkligen är nödvändigt och lagra data säkert. GDPR ger också användare rättigheter, såsom åtkomst, radering och korrigering av sina uppgifter. För chatbotar innebär detta att de inte får samla in användardata urskillningslöst och måste vara transparenta om datahantering.

2. Förordningen om artificiell intelligens (AI Act) AI Act är en ny, föreslagen EU-lag som fastställer riktlinjer för artificiell intelligens. Målet är att säkerställa säker och rättvis användning av AI-system som chatbotar. AI Act kategoriserar AI-system efter risknivåer, från låg till hög risk. Beroende på riskkategorin finns specifika krav, som att göra det tydligt för användare att de interagerar med AI och säkerställa att AI inte fattar diskriminerande beslut. Chatbotar som utför känsliga uppgifter hamnar i högre riskkategorier och måste uppfylla striktare krav.

3. Personuppgiftsbiträdesavtal (DPA) Ett personuppgiftsbiträdesavtal är ett avtal mellan ett företag (som vill använda chatboten) och en leverantör (som erbjuder eller driver chatboten). Avtalet säkerställer att leverantören behandlar användardata enligt företagets instruktioner och följer dataskyddskraven. Detta bidrar till att säkerställa att data används säkert och ansvarsfullt. Om ett företag använder en extern chatbot-tjänst behövs ett DPA för att bevisa att leverantören också respekterar GDPR.

4. Integritetspolicy En integritetspolicy är en informationssida för chatbot-användare. Den förklarar vilka uppgifter som samlas in, varför de behövs och hur länge de kommer att lagras. Integritetspolicyn förklarar också användarrättigheter, som rätten att radera data eller ta reda på vilka uppgifter som har lagrats. Det är viktigt att presentera denna information tydligt, så att användare förstår vad de samtycker till när de använder chatboten.

5. Märkningsskyldighet Enligt GDPR och särskilt den planerade AI Act måste användare alltid veta att de interagerar med AI — en chatbot — och inte en riktig person. Detta kallas märkningsskyldighet. Företag bör göra det tydligt att chatboten inte är en människa. Denna märkning främjar transparens och undviker missförstånd.

Roller och ansvar

Att förstå roller är avgörande eftersom de definierar ansvar.

Personuppgiftsbiträde

Chatbot-leverantören agerar vanligtvis som personuppgiftsbiträde. I denna roll behandlar leverantören data på uppdrag av butiksoperatören och enligt deras instruktioner. Leverantören hanterar chatbotens tekniska implementering och drift utan att fatta beslut om ändamålen med databehandlingen. Leverantörens uppgift är att tillämpa de dataskyddsstandarder som fastställts av den personuppgiftsansvarige och implementera tekniska och organisatoriska åtgärder för att skydda personuppgifter. Som ett resultat är chatbot-leverantören avtalsmässigt skyldig att behandla data endast enligt instruktioner och inte för egna ändamål.

Personuppgiftsansvarig

Det kan verka förvirrande i början, men butiksoperatören tar rollen som personuppgiftsansvarig. Som personuppgiftsansvarig beslutar de om ändamålen och metoderna för databehandling, som vilka uppgifter chatboten samlar in och i vilket syfte (t.ex. för kundsupport eller marknadsföring). De ansvarar för att säkerställa att datainsamling och -behandling uppfyller dataskyddskraven och att de registrerades rättigheter upprätthålls. Butiksoperatören är den enhet som bestämmer och hanterar chatbotens användning och ansvarar därför för dataskyddsefterlevnad i detta sammanhang. Det kan låta omfattande, men det kräver helt enkelt en tydlig definition i integritetspolicyn.

Praktiskt exempel

Shopify-butiken "GarlicPress24" vill använda en AI-chatbot för att generera leads: när en kund frågar om specifikationerna för en vitlökspress ska AI:n ge vägledning från en vitlökspressexpert, samla in kundens kontaktuppgifter (namn och e-post) och vidarebefordra dem till experten.

Shopify-butiken har ett val — samlar de in leadet genom AI, eller visar de helt enkelt kunderna en notis: "kontakta våra experter på e-post X"? Shopify-butiken är den personuppgiftsansvarige (beslutar vad som ska hända och säkerställer att kunder informeras i integritetspolicyn). AI-chatbot-leverantören hanterar den tekniska uppsättningen och säkerställer att data behandlas på ett sätt som uppfyller dataskyddskraven — och agerar som personuppgiftsbiträde.

Hur du använder en AI-chatbot i enlighet med dataskyddskrav: En checklista

Roller definierar ansvar för drift av en GDPR- och AI Act-kompatibel chatbot.

1. Samla bara nödvändiga uppgifter Chatboten bör bara samla in viktig information och inget mer. Detta ansvar ligger hos chatbot-leverantören. Hos Flyweight strävar vi efter att behandla bara det minimum nödvändiga av personuppgifter. Om en kund till exempel frågar om orderstatus behandlar vi bara postnummer och ordernummer och undviker ytterligare personliga adress- eller orderuppgifter. Dessutom behandlas personuppgifter separat från AI.

2. Var transparent Användare bör förstå exakt vilka uppgifter chatboten samlar in och hur de kommer att användas. Integritetspolicyn kan klargöra detta, vilket är särskilt viktigt för Shopify-butiksoperatörer. Som personuppgiftsansvarig måste integritetspolicyn anpassas för att informera kunder korrekt. Oroa dig inte; en mall för att förbättra integritetspolicyn för kompatibel chatbot-användning tillhandahålls nedan.

3. Upprätta ett personuppgiftsbiträdesavtal (DPA) Om chatboten är från en extern leverantör bör ett avtal säkerställa att leverantören hanterar data enligt GDPR. Se till att chatbot-leverantören erbjuder ett DPA (ofta en del av avtalet).

4. Kontrollera säkerhet och dataskydd regelbundet AI Act kräver också regelbundna kontroller av AI-risker för att säkerställa att chatboten förblir kompatibel. Vanligtvis hanteras detta av chatbot-leverantören. Vi uppdaterar denna guide regelbundet och informerar dig om relevanta ändringar.

5. Märkningsskyldighet Även om uttrycklig märkning kanske ännu inte är ett juridiskt krav rekommenderas alltid transparent kommunikation för att informera användare om att de interagerar med AI. Vår AI-chatbot levereras med en standardsidfot som lyder: "AI powered by Flyweight", som vi rekommenderar att behålla. För extra försiktighet kan du också nämna AI i startmeddelandet eller chatbotens namn.

⭐️ Mall för integritetspolicy

Som vi har sett är Shopify-butiker, i rollen som personuppgiftsansvariga, primärt ansvariga för att tydligt kommunicera hur data behandlas.

Var är den bästa platsen för detta? Integritetspolicyn, förstås!

💡 Om vi var butiksoperatören som använder Flyweight AI Chatbot, skulle vi lägga till följande avsnitt i vår integritetspolicy (utan erkännande av juridisk skyldighet eller juridisk rådgivning):

👇👇👇👇👇👇👇👇👇👇

---

Användning av chatboten med formulär Vi erbjuder dig en AI-baserad chatbot från Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Tyskland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) på vår webbplats för att besvara dina frågor. Vid användning av chatboten kombineras dina förfrågningar med databasen som skapats från webbplatsinformationen som lästs från vår egen webbplats och en stor språkmodell för att ge dig svar på din förfrågan. Chatboten är instruerad att inte be om personuppgifter. Bra att veta: Om separata formulär visas som ett resultat av dina förfrågningar, där du eventuellt behöver ange personuppgifter baserat på din förfrågan, kommer informationen du anger där att behandlas separat och kommer därför inte att skickas till AI.

Behandlade datakategorier: Datakategorierna är ett resultat av dina förfrågningar när du anger personuppgifter inom din fråga.

• Om du till exempel frågar: "Var är min beställning?", visas ett formulär där du kan ange ditt ordernummer och postnummer.

• Om du till exempel vill veta mer om en produkt och få lämplig rådgivning, visas ett formulär där du kan ange relevant information (t.ex. namn, telefon, e-post etc.).

Ändamål med behandlingen: Behandling av informationen du anger för att skapa svar på dina förfrågningar med hjälp av chatboten.

• Exempel: Om du till exempel frågar: "Var är min beställning?" och anger ditt ordernummer och postnummer i formuläret, används denna information för att göra en direkt förfrågan till butikssystemet (Shopify) så att leveransinformationen kan skickas och du kan informeras om beställningens status.

• Exempel: Om du vill ha rådgivning om en produkt kommer din förfrågan (med de uppgifter du anger i formuläret och hela chatthistoriken) att vidarebefordras till butiksoperatören så att de kan kontakta dig.

Datakälla: Vi samlar in dessa uppgifter direkt från dig.

Rättslig grund: Vi behandlar data för att uppfylla avtalsenliga eller föravtalsenliga skyldigheter i enlighet med artikel 6, punkt 1, led (b) i dataskyddsförordningen (GDPR).

Datalagring: Data lagras tills din förfrågan är löst eller under avtalets varaktighet och därutöver tills lagstadgade lagringsperioder (6 till 10 år) har löpt ut.

Mottagarnas placering: EU och utanför EU.

Garantier för överföringar till tredjeland: EU:s standardavtalsklausuler (SCC), beslut om adekvat skyddsnivå

---

👆👆👆👆👆👆👆👆👆👆

Installera den integritetskompliant chatboten för europeiska Shopify-butiker ✌️