E-mail, AI i prawo: co treści generowane przez AI i personalizacja oznaczają w świetle RODO i AI Act
Zlecenie napisania newslettera modelowi AI samo w sobie nie stanowi problemu w świetle RODO ani AI Act. Liczy się natomiast to, czym Państwo model karmią (danymi klientów?), jak automatyzują Państwo decyzje dotyczące poszczególnych odbiorców (profilowanie) i czy są Państwo przejrzyści co do tego, co się dzieje. W praktyce sprowadza się to do trzech pytań: jakie dane osobowe trafiają do jakiego systemu, na jakiej podstawie Państwo personalizują i czy odbiorca może to zrozumieć i wnieść sprzeciw. Ten artykuł przedstawia stronę praktyczną; nie jest poradą prawną, a dokładne obowiązki zależą od Państwa sytuacji.
Dwa akty prawne, dwa pytania
RODO dotyczy danych osobowych: wszystkiego, co przetwarzają Państwo o możliwej do zidentyfikowania osobie. AI Act dotyczy samych systemów AI, podzielonych według poziomu ryzyka. Pisanie tekstów marketingowych i rekomendowanie produktów mieści się, o ile dobrze to rozumiemy, w kategorii z ograniczonymi lub minimalnymi obowiązkami. W przypadku poczty e-mail główną pracę wykonuje więc zwykle RODO, a AI Act uzupełnia je w kwestii przejrzystości.
Treści generowane przez AI
Co się nie zmienia
Temat wiadomości czy opis produktu napisany przez model to po prostu Państwa tekst. Odpowiadają Państwo za niego tak samo jak za tekst copywritera. Żaden przepis nie nakazuje umieszczania pod newsletterem informacji, że współtworzył go model, o ile tekst sprawdził człowiek, a przekaz pochodzi od Państwa. Zasady przejrzystości AI Act dotyczą przede wszystkim systemów, które bezpośrednio wchodzą w interakcję z ludźmi (chatbot musi się jako taki przedstawić), oraz syntetycznych obrazów, dźwięku i wideo.
Co się zmienia
Dane wejściowe. Kto prosi zewnętrzną usługę AI „napisz maila do tego klienta” i wkleja do tego imię i nazwisko, historię zakupów i adres, przekazuje dane osobowe podmiotowi przetwarzającemu. Wolno to robić tylko na podstawie umowy powierzenia, podstawy prawnej oraz, jeśli usługa przetwarza dane poza UE, ważnej podstawy przekazania. Wiele usług AI domyślnie wykorzystuje ponadto dane wejściowe do trenowania swoich modeli, chyba że się to wyłączy. Praktyczna zasada: proszę pisać teksty z AI bez danych klientów (za pomocą symboli zastępczych), a personalizację zostawić własnemu narzędziu do kampanii, które już przetwarza te dane na podstawie umowy.
Automatyczna personalizacja
Tu zaczyna się prawdziwa praca. Gdy tylko system decyduje dla każdego odbiorcy, jaką treść, jaką ofertę lub jaką cenę zobaczy, na podstawie jego zachowania, jest to profilowanie w rozumieniu RODO. Nie jest ono zakazane, ale wymaga:
- Podstawy prawnej. W przypadku obecnych klientów i prostej segmentacji (kupił meble ogrodowe, dostaje wiadomości o ogrodzie) prawnie uzasadniony interes zwykle da się obronić. Przy rozbudowanych profilach łączących zachowania w różnych kanałach bezpieczniejszą drogą staje się raczej zgoda.
- Przejrzystości. Polityka prywatności musi informować, że Państwo profilują, w jakim celu i że odbiorca może wnieść sprzeciw. W marketingu to prawo sprzeciwu jest bezwzględne: kto mówi „przestańcie mnie profilować do celów marketingowych”, temu trzeba się podporządkować.
- Granic dla w pełni zautomatyzowanych decyzji. RODO chroni ludzi przed decyzjami podejmowanymi bez udziału człowieka, które istotnie na nich wpływają. Inna rekomendacja produktu w newsletterze zwykle nie wpływa na nikogo istotnie; system, który określonym klientom automatycznie pokazuje wyższą cenę albo nie pokazuje opcji kredytu, już może. W razie wątpliwości: niech człowiek zatwierdzi regułę, a nie każdą pojedynczą wiadomość.
Szczególne kategorie danych: tu jest granica
Proszę nigdy nie pozwalać modelowi segmentować według tego, co RODO nazywa szczególnymi kategoriami danych: zdrowia, religii, poglądów politycznych, orientacji seksualnej, pochodzenia etnicznego. Również pośrednio: apteka, która na podstawie zakupów każe wyznaczyć segment „prawdopodobnie cukrzyca”, przetwarza dane o zdrowiu bez wiedzy klienta. Modele AI są dobre właśnie w takich wnioskowaniach i dlatego dane wejściowe trzeba świadomie ograniczać.
Wykonalne podejście dla przeciętnej firmy
- Pisać z AI, ale bez danych osobowych w prompcie. Symbole zastępcze, takie jak {imie} i {ostatni_produkt}, są uzupełniane dopiero przy wysyłce, w narzędziu do kampanii.
- Każdy tekst przed wysyłką powinien sprawdzić człowiek. Modele zmyślają cechy produktów, ceny i warunki.
- Ograniczyć personalizację do segmentów, które da się klientowi wyjaśnić: „kupili Państwo X, więc otrzymują Państwo wiadomości o X”. Nasza strona o segmentacji listy opisuje, jak to zorganizować bez czarnej skrzynki.
- Zaktualizować politykę prywatności: jakie dane, jaki cel, jacy podmioci przetwarzający, jakie prawo sprzeciwu.
- Wybierać podmioty przetwarzające, które przetwarzają dane w UE i oferują umowę powierzenia. W przypadku samej wysyłki europejska platforma e-mail to najprostszy sposób, by uniknąć kwestii przekazywania danych.
Przykład
Sklep internetowy z częściami rowerowymi chce dla każdego klienta innego akapitu otwierającego. Zły sposób: wysłać każdego klienta z imieniem i historią zamówień do zewnętrznej usługi AI i generować tekst dla każdej osoby. Wykonalny sposób: napisać z AI pięć wariantów (rower szosowy, górski, miejski, elektryczny, nieznany), dać je do sprawdzenia człowiekowi, a narzędzie do kampanii wybiera wariant dla każdego klienta na podstawie segmentu, do którego należy. Żadne dane osobowe nie wychodzą na zewnątrz, reguła jest możliwa do wyjaśnienia, a w ustawieniach preferencji jest możliwość rezygnacji z treści personalizowanych.
Najczęściej zadawane pytania
Czy muszę informować, że maila napisała AI?
W przypadku zwykłego tekstu marketingowego sprawdzonego przez człowieka, według naszej wiedzy, nie jest to obowiązkowe. Mogą Państwo to jednak robić. W przypadku chatbota rozmawiającego z klientami sytuacja wygląda inaczej.
Czy AI Act zmienia coś w moim narzędziu do newsletterów?
O ile to narzędzie pomaga pisać teksty lub proponuje segmenty, mieści się w lekkiej kategorii. Warto jednak zapytać dostawcę, jakich danych używają funkcje AI i gdzie są one przetwarzane. Więcej o odpowiedzialnym zarządzaniu kampaniami przeczytają Państwo na naszej stronie o e-mail marketingu.