هوش مصنوعی
چتباتهای هوش مصنوعی و دادههای مشتری: چک‌لیست حریم خصوصی GDPR و KVKK برای تیم‌های پیام‌رسانی
یک عامل هوش مصنوعی در واتساپ یا اینستاگرام پیام‌های مشتریان را از چند شرکت عبور می‌دهد. این چک‌لیست نشان می‌دهد چگونه این داده‌ها را ترسیم کنید، ارائه‌دهندگان را انتخاب کنید، مدت نگهداری را تعیین کنید و رضایت را طبق GDPR و قانون KVKK ترکیه مدیریت کنید.
تیم MonoChat به‌روزرسانی: 9 دقیقه مطالعه
در این صفحه
برای اینکه یک چتبات هوش مصنوعی با GDPR و KVKK سازگار باشد، هر سامانه‌ای را که پیام‌های مشتری از آن عبور میکند ترسیم کنید، مبنای قانونی و اطلاعیه حریم خصوصی روشن داشته باشید، با هر ارائهدهنده قرارداد پردازش داده امضا کنید، هنگام خروج داده از اتحادیه اروپا یا ترکیه از سازوکار انتقال معتبر استفاده کنید، تا جایی که می‌توانید دادههای شخصی را از پرامپت‌ها دور نگه دارید، مدت نگهداری تعیین کنید و به افراد بگویید که با یک هوش مصنوعی گفتگو می‌کنند. انطباق از شیوه به‌کارگیری چتبات به دست می‌آید، نه از خود چتبات.
نکته دشوار این است که یک پاسخ واتساپ می‌تواند چهار یا پنج شرکت را درگیر کند: Meta، پلتفرم پیام‌رسانی شما، ارائهدهنده LLM، پایگاه داده برداری و CRMای که عامل در آن اطلاعات را جست‌وجو میکند. این چک‌لیست هر یک را مرور میکند. این راهنما یک راهنمای عملی برای تیم‌های پیام‌رسانی است و مشاوره حقوقی نیست؛ جزئیات را با مسئول حفاظت از داده یا مشاور حقوقی خود تأیید کنید.
داده مشتری هنگام پاسخ عامل هوش مصنوعی به کجا می‌رود
با ترسیم مسیر یک پیام واحد شروع کنید. یک جریان معمول به این شکل است:
| مرحله | سامانه | داده درگیر | پرسش شما |
|---|---|---|---|
| 1 | کانال پیام‌رسانی (واتساپ، اینستاگرام، Messenger) | شماره تلفن یا نام کاربری، محتوای پیام، رسانه | کدام شرایط و قواعد ذخیرهسازی اعمال میشود؟ |
| 2 | پلتفرم پیام‌رسانی | تاریخچه گفتگو، پروفایل مخاطب، برچسب‌ها، یادداشت‌ها | چه کسی دسترسی دارد، کجا ذخیره میشود و تا چه مدت؟ |
| 3 | پایگاه دانش و پایگاه داده برداری | محتوای شما؛ داده شخصی فقط در صورتی که خودتان بارگذاری کرده باشید | آیا داده شخصی در ایندکس وجود دارد؟ |
| 4 | ارائهدهنده LLM | پرامپت: دستورالعمل‌ها، متن بازیابی‌شده، تاریخچه، آخرین پیام | آیا داده نگهداری میشود، برای آموزش استفاده میشود و کجا پردازش میشود؟ |
| 5 | ابزارهای متصل (CRM، رزرو، فروشگاه) | داده سفارش، قرار ملاقات، جزئیات حساب | عامل چه چیزی را می‌تواند بخواند و بنویسد؟ |
| 6 | اپراتورهای انسانی | کل گفتگو پس از انتقال | چه کسی چه چیزی را می‌بیند و آیا ثبت میشود؟ |
هر ردیف جایی است که داده شخصی در آن پردازش میشود و شما به قرارداد، قاعده نگهداری و کنترل دسترسی نیاز دارید. اگر نتوانید یکی از ردیف‌ها را پر کنید، همان نخستین کار شماست.
چک‌لیست حریم خصوصی چتبات هوش مصنوعی
1. مبنای قانونی را انتخاب کنید و مکتوب کنید
طبق GDPR (ماده 6)، هر هدف پردازش به یک مبنای قانونی نیاز دارد. پاسخ دادن به مشتری‌ای که به شما پیام داده معمولاً بر پایه قرارداد یا منفعت مشروع است. پیام‌های بازاریابی معمولاً بر پایه رضایت‌اند. استفاده از گفتگوها برای بهبود عامل شما هدفی جداست و باید آن را جداگانه ارزیابی کنید، نه اینکه فرض کنید مبنای اولیه آن را هم پوشش می‌دهد.
KVKK فهرست شرایط پردازش خودش را دارد. اگر هم به مشتریان اروپایی و هم به مشتریان ترکیه‌ای خدمات می‌دهید، مبنا را برای هر دو قانون مستند کنید.
2. درباره هوش مصنوعی و داده‌هایشان به افراد اطلاع دهید
اطلاعیه حریم خصوصی شما باید بگوید که گفتگوها ممکن است توسط یک سامانه هوش مصنوعی مدیریت شوند، کدام ارائه‌دهندگان داده را پردازش می‌کنند، کجا، تا چه مدت و چگونه می‌توان با یک انسان تماس گرفت. مواد 13 و 14 GDPR مشخص می‌کنند چه مواردی را باید بگنجانید و KVKK نیز تکلیف مشابهی برای اطلاعرسانی دارد.
در اتحادیه اروپا، تعهدات شفافیت قانون هوش مصنوعی از 2 اوت 2026 اجرایی میشود. این تعهدات الزام می‌کنند وقتی افراد با یک سامانه هوش مصنوعی تعامل می‌کنند، به آنها اطلاع داده شود، مگر اینکه از بافت گفتگو آشکار باشد. یک پیام اول کوتاه هم نکته حقوقی را پوشش می‌دهد و هم انتظار مشتری را:
سلام، من دستیار مجازی Northwind Home هستم، یک هوش مصنوعی. می‌توانم در
مورد سفارش‌ها، مرجوعی‌ها و ارسال کمک کنم. هر زمان «اپراتور» را بنویسید تا
با تیم ما صحبت کنید.
اطلاعیه حریم خصوصی: northwindhome.example/privacy3. با هر پردازنده قرارداد پردازش داده امضا کنید
پلتفرم پیام‌رسانی، ارائهدهنده LLM، میزبان پایگاه داده برداری و هر ارائهدهنده ابزاری که از طرف شما داده شخصی را مدیریت میکند، یک پردازنده است. ماده 28 GDPR یک قرارداد کتبی را الزام میکند که پردازش را به دستورهای شما محدود کند، رازداری و امنیت را الزامی کند و زیرپردازنده‌ها، حذف داده و ممیزی‌ها را پوشش دهد. فهرستی از زیرپردازنده‌ها نگه دارید و هنگام تغییر ارائه‌دهندگان آن را بررسی کنید.
4. انتقال به خارج از اتحادیه اروپا یا ترکیه را بررسی کنید
بسیاری از ارائه‌دهندگان LLM داده را در کشورهای دیگر پردازش می‌کنند. طبق فصل پنجم GDPR، انتقال به خارج از EEA به تصمیم کفایت یا تضمین‌های مناسب، مانند بندهای قراردادی استاندارد، نیاز دارد.
قواعد KVKK درباره انتقال به خارج در ژوئن 2024 تغییر کرد. انتقال‌ها اکنون بر تصمیم کفایت، تضمین‌های مناسب مانند قراردادهای استانداردی که هیئت حفاظت از دادههای شخصی منتشر کرده، یا استثناهای محدود تکیه دارند. قراردادهای استاندارد باید ظرف پنج روز کاری پس از امضا به مرجع اطلاع داده شوند. بررسی کنید هر ارائهدهنده داده را کجا پردازش میکند و منطقه‌ها یا ارائه‌دهندگانی را انتخاب کنید که با تعهدات شما سازگار باشند.
در واتساپ، Cloud API شرکت Meta ذخیرهسازی محلی ارائه می‌دهد: می‌توانید برای هر شماره تلفن کسب‌وکار انتخاب کنید داده پیام‌ها در حالت ذخیره‌شده کجا نگهداری شود. محتوا همچنان ممکن است هنگام استفاده، تا 60 دقیقه در Cloud API، در دیتاسنترهای Meta در سطح بین‌المللی پردازش شود و پس از آن فقط در منطقه انتخاب‌شده نگهداری میشود.
5. ارائهدهنده LLM را آگاهانه انتخاب کنید
ارائهدهنده مدل همه چیزهایی را که در پرامپت می‌گذارید می‌بیند. پیش از اتصال یکی، این موارد را بررسی کنید:
- استفاده برای آموزش. آیا ارائهدهنده از داده API برای آموزش مدل‌ها استفاده میکند و آیا می‌توانید انصراف دهید؟
- نگهداری. پرامپت‌ها و خروجی‌ها تا چه مدت نگه داشته می‌شوند، از جمله برای پایش سوءاستفاده؟
- منطقه. داده کجا پردازش و ذخیره میشود و آیا می‌توانید انتخاب کنید؟
- قرارداد. آیا قرارداد پردازش داده برای طرح شما در دسترس است؟
- میزبانی شخصی. آیا یک مدل متن‌باز روی سرورهای خودتان برای موارد استفاده حساس مناسب است؟
استفاده از حساب ارائهدهنده خودتان (کلید شخصی) یعنی قرارداد، تنظیمات منطقه و گزینه‌های نگهداری متعلق به شماست و از حساب یک فروشنده به ارث نمی‌رسد.
6. آنچه وارد پرامپت‌ها و ابزارها میشود را به حداقل برسانید
حداقل‌سازی داده (ماده 5 GDPR) مؤثرترین کنترل حریم خصوصی برای عامل‌های هوش مصنوعی است.
- سوابق مشتری، مدارک شناسایی یا یادداشت‌های داخلی را در پایگاه دانش بارگذاری نکنید.
- فقط تاریخچه‌ای را که مدل نیاز دارد برای آن بفرستید، نه کل پروفایل مخاطب را.
- کمترین دسترسی ممکن را به ابزارها بدهید: ابزار وضعیت سفارش به شماره سفارش نیاز دارد، نه کل پایگاه داده مشتریان.
- فیلدهایی مانند شماره ملی، شماره کارت و رمز عبور را پنهان کنید یا از آنها پرهیز کنید.
- به عامل دستور دهید هرگز داده حساسی را که نیاز ندارد درخواست نکند.
قاعده عامل: هرگز در چت شماره کارت، رمز عبور یا شماره شناسایی نخواه.
اگر مشتری یکی از آنها را فرستاد، آن را تکرار نکن و به‌جای آن لینک
پرداخت امن یا تماس با تیم ما را پیشنهاد بده.اگر عامل شما از طریق پروتکل‌هایی مانند MCP به سامانه‌های کسب‌وکار متصل میشود، همین قاعده برای هر سامانه متصل صدق میکند. برای آشنایی با ریسک‌ها، MCP برای پیام‌رسانی با مشتری را ببینید.
7. با دادههای سلامت و سایر دادههای خاص با دقت بیشتری رفتار کنید
سلامت، مذهب، دادههای زیست‌سنجی و دستههای مشابه در ماده 9 GDPR و KVKK حفاظت بیشتری دارند. کلینیک‌ها، داروخانه‌ها و بیمه‌گران باید آنچه را هوش مصنوعی مدیریت میکند محدود کنند، از توصیه پزشکی توسط هوش مصنوعی پرهیز کنند و پرسش‌های بالینی را به کارکنان صلاحیت‌دار ارجاع دهند. پیش از راه‌اندازی عامل هوش مصنوعی‌ای که چنین داده‌هایی را در مقیاس بزرگ پردازش میکند، ارزیابی تأثیر حفاظت از داده (ماده 35 GDPR) را در نظر بگیرید.
8. برای هر محل ذخیرهسازی مدت نگهداری تعیین کنید
محدودیت ذخیرهسازی (ماده 5 GDPR) یعنی داده شخصی را فقط تا زمانی که لازم است نگه دارید. برای موارد زیر مدتی تعیین و مستند کنید:
- تاریخچه گفتگو در پلتفرم پیام‌رسانی شما،
- لاگ‌ها در ارائهدهنده LLM،
- رونوشت‌ها و تحلیل‌های خروجی‌گرفته‌شده،
- هر داده شخصی در پایگاه داده برداری یا پایگاه دانش.
سپس مطمئن شوید حذف واقعاً انجام میشود، در صورت امکان از جمله در پشتیبان‌ها.
9. برای درخواستهای دسترسی و حذف آماده باشید
مشتریان می‌توانند بپرسند چه داده‌ای از آنها دارید و بخواهند آن را حذف کنید (مواد 15 و 17 GDPR، با حقوق مشابه در KVKK). بدانید چگونه گفتگوهای یک فرد را در همه سامانه‌های نقشه داده خود پیدا کنید و چگونه آنها را در هر یک حذف کنید.
10. از تصمیم‌هایی که فقط با هوش مصنوعی گرفته می‌شوند پرهیز کنید
ماده 22 GDPR تصمیم‌هایی را که صرفاً بر پردازش خودکار تکیه دارند و به‌طور معناداری بر افراد اثر می‌گذارند محدود میکند. بگذارید هوش مصنوعی پاسخ دهد، اطلاعات جمع کند و مسیریابی کند، اما تأییدها، رد کردن‌ها، تصمیم‌های اعتباری و استثناها را به انسان‌ها بسپارید. یک انتقال گفتگو از هوش مصنوعی به انسان قابل‌اعتماد هم یک قابلیت خدمت‌رسانی است و هم یک قابلیت انطباق.
11. دسترسی را ایمن کنید و لاگ نگه دارید
محدود کنید چه کسی می‌تواند گفتگوها را بخواند، از دسترسی مبتنی بر نقش استفاده کنید، احراز هویت چندعاملی را الزامی کنید و لاگهای ممیزی از اینکه چه کسی چه کاری کرده نگه دارید. ماده 32 GDPR امنیت متناسب با ریسک را الزام میکند و ماده 33 مهلت 72 ساعته‌ای برای اطلاعرسانی به مرجع نظارتی درباره نقض داده شخصی تعیین میکند، در مواردی که آن نقض برای افراد ریسک ایجاد کند.
12. از قواعد خود کانال پیروی کنید
خط‌مشی پیام‌رسانی WhatsApp Business شرکت Meta الزامات خودش را درباره opt-in، استفاده از داده و هوش مصنوعی دارد. راهنمای ما درباره خط‌مشی چتبات هوش مصنوعی واتساپ در 2026 توضیح می‌دهد Meta چه چیزی را مجاز می‌داند و opt-in واتساپ رضایت برای پیام‌های فعالانه را پوشش می‌دهد.
مرجع سریع: مقایسه GDPR و KVKK
| موضوع | GDPR | KVKK (قانون شماره 6698) |
|---|---|---|
| اطلاعرسانی به کاربران | مواد 13 و 14 | تکلیف اطلاعرسانی |
| قراردادهای پردازنده | ماده 28 | مسئول داده به‌طور مشترک مسئول امنیت پردازنده است (ماده 12) |
| انتقال به خارج | فصل پنجم: کفایت، بندهای قراردادی استاندارد | کفایت، قراردادهای استاندارد با اطلاع به مرجع، استثناهای محدود |
| دستههای خاص | ماده 9 | دستههای خاص دادههای شخصی |
| نگهداری | محدودیت ذخیرهسازی، ماده 5 | حذف، نابودسازی یا ناشناس‌سازی پس از پایان هدف |
| حقوق صاحب داده | دسترسی، پاک‌سازی و موارد دیگر | حقوق مشابه، از جمله دسترسی و حذف |
MonoChat چگونه به شما کمک میکند کنترل هوش مصنوعی و داده را حفظ کنید
MonoChat طوری ساخته شده که بخش‌های حساس زیرساخت می‌توانند تحت کنترل شما بمانند. آنچه محصول ارائه می‌دهد، همان‌طور که در صفحه امنیت و انطباق ما توضیح داده شده، این است:
- کلیدهای LLM خودتان. با LLMهای سفارشی حساب ارائهدهنده OpenAI، Anthropic، Google، Azure، AWS یا ارائهدهنده دیگر خودتان را متصل می‌کنید، بنابراین قیمت‌گذاری و توافق‌های داده خودتان را حفظ می‌کنید و تعیین می‌کنید کدام دستیار از کدام مدل استفاده کند.
- مدل‌های میزبانی‌شده شخصی. می‌توانید مدل‌هایی را که روی سرورهای خودتان اجرا می‌شوند، از طریق Ollama یا API مدل خودتان، متصل کنید، وقتی پرامپت‌ها باید روی زیرساخت شما بمانند.
- پایگاه داده برداری خودتان. یکپارچه‌سازی VectorDB بردارهای پایگاه دانش را در پایگاه داده برداری‌ای که انتخاب می‌کنید نگه می‌دارد، با سیاست‌های ذخیرهسازی و نگهداری خودتان، در منطقه یا ابری که انتخاب می‌کنید.
- دانش دامنه‌بندی‌شده. پایگاه دانش هوش مصنوعی محتوا را در دامنه‌هایی با کنترل دسترسی مجزا جدا میکند، تا هر عامل فقط آنچه را باید بازیابی کند.
- اقدام‌های کنترل‌شده هوش مصنوعی. ابزارهای تابعی هوش مصنوعی با اعتبارسنجی، مجوزها، نقاط انتهایی مجاز و لاگ‌ها اجرا می‌شوند، تا یک دستیار فقط کاری را انجام دهد که شما اجازه می‌دهید.
- کنترل دسترسی و لاگ‌ها. دسترسی مبتنی بر نقش، جداسازی فضای کاری، لاگهای ممیزی و اعتبارنامه‌های رمزنگاری‌شده ارائهدهنده در سطح فضای کاری.
- APIهای رسمی کانال. واتساپ از طریق WhatsApp Business Platform رسمی (Cloud API) متصل میشود و MonoChat یک Meta Business Partner رسمی است.
- گواهینامه‌ها و سیاست. MonoChat دارای گواهینامه‌های ISO 27001 و ISO 9001 است و سیاست حریم خصوصی آن بر اساس KVKK (قانون شماره 6698) تهیه شده است. به درخواستهای دسترسی، اصلاح یا حذف داده شخصی ظرف 30 روز پاسخ داده میشود.
- گزینه On-premise. طرح Enterprise برای الزامات سخت‌گیرانه‌تر، استقرار on-prem ارائه می‌دهد.
می‌توانید محصول را در طرح رایگان Basic (یک عامل، یک کانال) در app.monochat.ai ارزیابی کنید و پیش از بررسی خود، سیاست حریم خصوصی کامل را بخوانید.
منابع
این را با MonoChat عملی کنید