Flyweight: använda en AI Chatbot för Shopify i linje med GDPR och AI-Act

Personuppgiftsbiträdesavtal, märkningskrav, integritetspolicy, GDPR, AI Act - va? 🤯🤯

Checklistan och mallen för integritetspolicy nedan utgår från att ni driver en Shopify-butik och vill lägga till en GDPR-compliant AI chatbot. Vill ni ha hela bilden av vad vår Shopify chatbot kan göra? Kika in huvudguiden. Den här artikeln är inte juridisk rådgivning och ska inte ses som ett konstaterande av någon rättslig skyldighet.

Terminologi

1. General Data Protection Regulation (GDPR)
   GDPR är den centrala integritetslagstiftningen i Europa. Den sätter ramarna för hur företag får hantera personuppgifter, till exempel att bara samla in det som faktiskt behövs och att lagra uppgifterna på ett säkert sätt. Den ger också individer rättigheter kring sina data, som rätt till tillgång, rättelse och radering. För chatbots betyder det i praktiken: ingen bred eller onödig datainsamling, och tydlig information om hur data används.

2. Artificial Intelligence Act (AI Act)
   AI Act är ett föreslaget EU-regelverk för artificiell intelligens. Målet är att AI-system, som chatbots, ska användas på ett säkrare och mer rättvist sätt. Lagen delar in AI-system i olika risknivåer, från låg till hög. Varje nivå har sina egna krav, till exempel att det ska vara tydligt att användaren interagerar med AI och att diskriminerande utfall ska motverkas. Chatbots i känsligare användningsfall kan hamna i högre riskklasser och då omfattas av striktare krav.

3. Data Processing Agreement (DPA)
   Ett Data Processing Agreement är ett avtal mellan företaget som använder chatboten och leverantören som driver den. Det slår fast att leverantören bara behandlar användardata enligt företagets instruktioner och i linje med dataskyddsreglerna. Om ni använder en extern chatbotleverantör behövs oftast ett DPA för att dokumentera GDPR-compliant behandling.

4. Privacy Policy
   En integritetspolicy förklarar vilka uppgifter som samlas in, varför de samlas in och hur länge de lagras. Den ska också beskriva användarens rättigheter, till exempel rätten att begära radering eller få tillgång till lagrade uppgifter. När det gäller chatbots ska den informationen vara enkel att förstå och enkel att hitta.

5. Labeling Obligation
   Utifrån GDPR-principerna, och särskilt enligt den planerade AI Act, ska användare kunna förstå att de interagerar med AI och inte en människa. Det är det märkningskravet handlar om. Poängen är transparens och färre missförstånd.

Roller och ansvar

Rollerna spelar roll eftersom de avgör vem som ansvarar för vad.

Processor

Chatbotleverantören är vanligtvis processor. Det betyder att leverantören behandlar data för butikens räkning och utifrån butikens instruktioner. Leverantören sköter den tekniska Setupen och driften av chatboten, men bestämmer inte varför uppgifterna behandlas. Uppdraget är att följa controllerns krav och införa tekniska och organisatoriska åtgärder för att skydda personuppgifter. Kort sagt: chatbotleverantören är avtalsmässigt bunden att behandla data enligt instruktion, inte för egna självständiga syften.

Controller

Här blir det ofta lite bakvänt: butiksägaren är controller. Som controller avgör butiken varför och hur data behandlas, till exempel vad chatboten samlar in och om den används för support, leadgenerering eller något annat. Controllern ansvarar för att datainsamling och behandling uppfyller integritetskraven och att användarnas rättigheter respekteras. I praktiken betyder det att butiken bestämmer hur chatboten används och ansvarar för dataskyddet kring den användningen. Det låter större än det är. Ofta börjar det bara med att vara tydlig i integritetspolicyn.

Ett praktiskt exempel

Säg att Shopify-butiken "GarlicPress24" vill använda en AI chatbot för leadgenerering. En kund frågar om specifikationerna för en vitlökspress, och AI:n ger vägledning som en expert. Under det flödet samlar chatboten in kundens kontaktuppgifter, som namn och e-post, och skickar dem vidare till experten.

Butiken måste bestämma hur det här ska fungera. Ska leadet samlas in via AI? Eller ska chatboten bara visa ett meddelande i stil med: "Kontakta våra experter på e-postadress X"? Shopify-butiken är controller eftersom den bestämmer vad som händer och ser till att kunderna informeras korrekt i integritetspolicyn. Leverantören av AI chatboten sköter den tekniska Setupen och behandlar data enligt butikens instruktioner, vilket gör leverantören till processor.

Så använder ni en AI chatbot i linje med dataskyddskraven: en checklista

Om ni vill använda en chatbot i linje med GDPR och AI Act är det rollerna ovan som sätter ramarna för ansvaret.

1. Samla bara in nödvändig data
   Chatboten ska bara samla in den data som faktiskt behövs. Det här är i första hand leverantörens ansvar. På Flyweight strävar vi efter att behandla minsta möjliga mängd personuppgifter. Om en kund till exempel frågar om orderstatus behandlar vi bara postnummer och ordernummer, inte extra adressuppgifter eller bredare orderdata. Personuppgifter hanteras också separat från AI:n.

2. Var transparenta
   Användare ska förstå vilken data chatboten samlar in och vad den används till. Integritetspolicyn är rätt plats att förklara detta tydligt, särskilt för er som driver en Shopify-butik. Eftersom butiken är controller bör policyn uppdateras så att kunderna får korrekt information. En mall finns längre ner som hjälp.

3. Se till att ha ett Data Processing Agreement (DPA) på plats
   Om chatboten kommer från en extern leverantör bör det finnas ett avtal som täcker GDPR-compliant databehandling. Kontrollera om leverantören erbjuder ett DPA, ofta som en del av standardavtalet.

4. Se över säkerhet och dataskydd regelbundet
   AI Act pekar också mot att AI-relaterade risker bör följas upp löpande, så att chatbotupplägget fortsätter vara compliant över tid. Det här hanteras vanligtvis av chatbotleverantören. Vi håller den här guiden uppdaterad och delar relevanta förändringar.

5. Märk chatboten tydligt
   Även om uttrycklig märkning ännu inte är ett hårt lagkrav i alla lägen, är transparens fortfarande rätt väg att gå. Användare ska förstå att de pratar med AI. Vår AI chatbot har en standardfooter som säger: "AI powered by Flyweight", och vi rekommenderar att ni behåller den. Vill ni vara extra försiktiga kan ni också nämna AI i välkomstmeddelandet eller i chatbotens namn.

⭐️ Mall för integritetspolicy

Som vi sett är det främst Shopify-butiker som agerar controller som ansvarar för att tydligt förklara hur data behandlas.

Och bästa platsen för det? Er integritetspolicy.

💡 Om vi drev en butik och använde Flyweight AI Chatbot hade vi lagt till följande avsnitt i integritetspolicyn (utan att konstatera någon rättslig skyldighet eller ge juridisk rådgivning):

👇👇👇👇👇👇👇👇👇👇

---

Användning av chatbot med formulär
Vi erbjuder er en AI-baserad chatbot från Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Tyskland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) på vår webbplats för att besvara era frågor. När ni använder chatboten kombineras era frågor med den databas som skapats utifrån information som lästs in från vår egen webbplats samt en språkmodell, för att ge er svar på era frågor. Chatboten är instruerad att inte be om personuppgifter. Bra att veta: Om separata formulär visas som följd av era frågor, där ni kan behöva ange personuppgifter beroende på ärendet, behandlas den informationen separat och skickas därför inte vidare till AI.

Kategorier av behandlade uppgifter: Vilka kategorier som behandlas beror på era frågor när ni anger personuppgifter i er fråga.

• Till exempel: om ni frågar "Var är min order?" visas ett formulär där ni kan ange ert ordernummer och postnummer.

• Om ni till exempel vill veta mer om en produkt och få rådgivning, visas ett formulär där ni kan ange relevant information, till exempel namn, telefonnummer, e-postadress osv.

Syfte med behandlingen: Att behandla den information ni lämnar för att skapa svar på era förfrågningar med hjälp av chatboten.

• Exempel: Om ni frågar "Var är min order?" och fyller i ert ordernummer och postnummer i formuläret används den informationen för att göra en direkt förfrågan till butikssystemet (Shopify), så att leveransinformationen kan hämtas och ni kan informeras om orderstatus.

• Exempel: Om ni vill ha rådgivning om en produkt skickas er förfrågan vidare till butiksägaren, tillsammans med de uppgifter ni lämnar i formuläret och hela chatthistoriken, så att butiken kan kontakta er.

Datakälla: Vi samlar in dessa uppgifter direkt från er.

Rättslig grund: Vi behandlar uppgifterna för att fullgöra avtalsenliga eller prekontraktuella skyldigheter enligt artikel 6.1 b i General Data Protection Regulation (GDPR).

Lagringstid: Uppgifterna lagras tills er förfrågan är löst eller under avtalets löptid, och därefter så länge lagstadgade lagringsperioder gäller (6 till 10 år).

Mottagarnas plats: EU och länder utanför EU.

Skyddsåtgärder vid överföring till tredjeland: EU Standard Contractual Clauses (SCC), adequacy decision

---

👆👆👆👆👆👆👆👆👆👆

Installera den integritetsanpassade chatboten för europeiska Shopify-butiker ✌️