GDPR для AI-систем: DPIA, мінімізація даних і права суб’єктів у Ваших AI-продуктах
Розбираємо, які персональні дані проходять через Ваш AI-продукт, і вбудовуємо в нього захист: маскування, терміни зберігання, видалення за запитом. Готуємо технічну частину DPIA для Вашого DPO.
Що болить
Ваш голосовий бот записує розмови, чат-бот зберігає телефони, а аналітика дзвінків відправляє тексти в модель. Ніхто не може сказати, де ці дані лежать і скільки.
Клієнт з ЄС просить видалити його дані. Ви видаляєте з CRM, але копії лишаються в логах моделі, векторній базі і транскриптах.
Європейський партнер просить DPIA і перелік субпроцесорів перед підписанням договору. Юрист готовий допомогти, але технічних фактів у нього немає.
Що будуємо
- Карта персональних даних: звідки приходять, куди йдуть, де зберігаються
- Перелік субпроцесорів і постачальників моделей з місцем обробки
- Технічна частина DPIA для Вашого DPO або юриста
- Маскування персональних даних перед відправкою в модель
- Терміни зберігання записів, транскриптів і логів з автоматичним видаленням
- Видалення даних за запитом суб’єкта з усіх сховищ, включно з векторною базою
- Повідомлення користувачам про обробку даних AI
Що Ви отримуєте
- Карта потоків персональних даних у Вашому AI-продукті
- Технічний розділ DPIA і перелік субпроцесорів
- Маскування, терміни зберігання і видалення, вбудовані в код
- Процедура виконання запитів суб’єктів даних
- Шаблони DPA з постачальниками для перевірки Вашим юристом
Як міряємо результат
- Час виконання запиту на видалення даних
- Частка сховищ з налаштованим терміном зберігання
- Кількість субпроцесорів з підписаним DPA
- Кількість персональних полів, що потрапляють у модель без маскування
Системи і стек
Галузі
Питання
Ви замінюєте нашого DPO чи юриста?
Ні. Ми готуємо технічні факти і вбудовуємо захист у продукт. Оцінку законності обробки, підстави і фінальний текст DPIA затверджує Ваш DPO або юрист. Ми працюємо разом, щоб документи відповідали тому, що система справді робить.
Скільки коштує і скільки триває?
Від $5 000 за 3–6 тижнів. Ціна залежить від кількості AI-сервісів, сховищ і постачальників. Більше роботи, коли дані розкидані по кількох системах без єдиного ідентифікатора клієнта.
Чи можна користуватися OpenAI чи Gemini за GDPR?
Часто так, за умов: DPA з постачальником, відповідний регіон обробки, вимкнене навчання на Ваших даних і мінімізація того, що відправляється. Для чутливих даних, як медичні, надійніше власна модель на vLLM у Вашому контурі.
Що потрібно від нас?
Доступ до коду і архітектури AI-продукту, перелік постачальників, наявні політики конфіденційності і контакт DPO. NDA і DPA підписуємо до доступу. Ми працюємо за ISO/IEC 27001:2022.
Чи стосується це українських компаній?
GDPR застосовується, якщо Ви обробляєте дані людей у ЄС, наприклад продаєте туди чи маєте клієнтів у Польщі. Для решти діє український закон про захист персональних даних. Багато технічних заходів однакові для обох випадків.
Що після впровадження?
Кожен новий постачальник чи сценарій змінює карту даних. Можемо оновлювати її за SLA або навчити Вашу команду. Механізми видалення і маскування лишаються в коді.
Пов’язані послуги
Інші послуги розділу
Опишіть задачу. Відповімо протягом робочого дня, перший дзвінок з фаундером.
Опишіть задачу. Перший дзвінок з фаундером.
Відповімо протягом робочого дня. 30 хвилин, щоб сказати, чи варто це робити і скільки це коштує.