Chatboți AI și datele clienților: lista de verificare GDPR și KVKK pentru echipele de mesagerie

Pentru ca un chatbot AI să respecte GDPR și KVKK, cartografiați toate sistemele prin care trec mesajele clienților, aveți un temei legal și o notă de informare clară, semnați un acord de prelucrare a datelor cu fiecare furnizor, folosiți un mecanism valid de transfer atunci când datele părăsesc UE sau Turcia, păstrați datele personale în afara prompturilor acolo unde puteți, stabiliți perioade de stocare și spuneți oamenilor că vorbesc cu un AI. Conformitatea ține de modul în care implementați chatbotul, nu de chatbot în sine.

Partea dificilă este că un singur răspuns pe WhatsApp poate implica patru sau cinci companii: Meta, platforma dumneavoastră de mesagerie, un furnizor LLM, o bază de date vectorială și CRM-ul în care agentul caută informații. Această listă le parcurge pe fiecare. Este un ghid practic pentru echipele de mesagerie, nu consultanță juridică, așa că verificați detaliile cu responsabilul dumneavoastră cu protecția datelor sau cu un consilier juridic.

Unde ajung datele clienților când răspunde un agent AI

Începeți prin a trasa drumul unui singur mesaj. Un flux tipic arată astfel:

Pas	Sistem	Date implicate	Întrebarea dumneavoastră
1	Canal de mesagerie (WhatsApp, Instagram, Messenger)	Număr de telefon sau nume de utilizator, conținutul mesajului, fișiere media	Ce termeni și reguli de stocare se aplică?
2	Platforma de mesagerie	Istoricul conversației, profilul contactului, etichete, notițe	Cine are acces, unde sunt stocate datele, pentru cât timp?
3	Baza de cunoștințe și baza de date vectorială	Conținutul dumneavoastră; date personale doar dacă le-ați încărcat	Există date personale în index?
4	Furnizor LLM	Prompt: instrucțiuni, text regăsit, istoric, ultimul mesaj	Datele sunt păstrate, folosite pentru antrenare, prelucrate unde?
5	Instrumente conectate (CRM, rezervări, magazin)	Date despre comenzi, programări, detalii de cont	Ce poate citi și scrie agentul?
6	Agenți umani	Conversația completă după predare	Cine vede ce și este înregistrat în jurnal?

Fiecare rând este un loc în care se prelucrează date personale și în care aveți nevoie de un contract, de o regulă de stocare și de control al accesului. Dacă nu puteți completa un rând, aceasta este prima dumneavoastră sarcină.

Lista de verificare pentru confidențialitatea chatbotului AI

1. Alegeți un temei legal și consemnați-l în scris

Conform GDPR (articolul 6), fiecare scop al prelucrării are nevoie de un temei legal. Răspunsul către un client care v-a scris se bazează de obicei pe contract sau pe interes legitim. Mesajele de marketing se bazează de obicei pe consimțământ. Folosirea conversațiilor pentru a vă îmbunătăți agentul este un scop separat și trebuie evaluat separat, fără a presupune că temeiul inițial îl acoperă.

KVKK are propria listă de condiții de prelucrare. Dacă deserviți atât clienți din UE, cât și din Turcia, documentați temeiul în baza fiecărei legi.

2. Informați oamenii despre AI și despre datele lor

Nota dumneavoastră de confidențialitate ar trebui să precizeze că conversațiile pot fi gestionate de un sistem AI, ce furnizori prelucrează datele, unde, pentru cât timp și cum se poate ajunge la un om. Articolele 13 și 14 din GDPR stabilesc ce trebuie inclus, iar KVKK prevede o obligație similară de informare.

În UE, obligațiile de transparență din AI Act se aplică de la 2 august 2026. Ele prevăd că persoanele trebuie informate atunci când interacționează cu un sistem AI, cu excepția cazului în care acest lucru reiese clar din context. Un scurt prim mesaj rezolvă atât cerința legală, cât și așteptările clienților:

Bună, sunt asistentul virtual Northwind Home, un AI. Vă pot ajuta cu
comenzi, retururi și livrare. Scrieți „agent” oricând pentru a vorbi cu echipa noastră.
Nota de confidențialitate: northwindhome.example/privacy

3. Semnați un acord de prelucrare a datelor cu fiecare persoană împuternicită

Platforma dumneavoastră de mesagerie, furnizorul LLM, găzduitorul bazei de date vectoriale și orice furnizor de instrumente care gestionează date personale în numele dumneavoastră este o persoană împuternicită de operator. Articolul 28 din GDPR cere un contract scris care limitează prelucrarea la instrucțiunile dumneavoastră, impune confidențialitate și securitate și acoperă subcontractanții, ștergerea și auditurile. Păstrați o listă a subcontractanților și verificați-o atunci când furnizorii se schimbă.

4. Verificați transferurile în afara UE sau a Turciei

Mulți furnizori LLM prelucrează date în alte țări. Conform capitolului V din GDPR, transferurile în afara SEE necesită o decizie de adecvare sau garanții adecvate, precum clauzele contractuale standard.

Regulile KVKK privind transferurile în străinătate s-au schimbat în iunie 2024. Transferurile se bazează acum pe o decizie de adecvare, pe garanții adecvate, precum contractele standard publicate de Consiliul pentru Protecția Datelor cu Caracter Personal, sau pe excepții limitate. Contractele standard trebuie notificate Autorității în termen de cinci zile lucrătoare de la semnare. Verificați unde prelucrează datele fiecare furnizor și alegeți regiuni sau furnizori care corespund obligațiilor dumneavoastră.

Pe WhatsApp, Cloud API de la Meta oferă stocare locală: puteți alege unde sunt stocate datele mesajelor în repaus pentru fiecare număr de telefon al afacerii. Conținutul poate fi totuși prelucrat în centrele de date Meta la nivel internațional cât timp este în uz, până la 60 de minute pe Cloud API, înainte de a fi păstrat doar în regiunea selectată.

5. Alegeți cu grijă furnizorul LLM

Furnizorul modelului vede tot ce puneți în prompt. Înainte de a conecta unul, verificați:

• Utilizarea pentru antrenare. Folosește furnizorul datele din API pentru a antrena modele și puteți renunța la acest lucru?
• Stocarea. Cât timp sunt păstrate prompturile și răspunsurile, inclusiv pentru monitorizarea abuzurilor?
• Regiunea. Unde sunt prelucrate și stocate datele și puteți alege?
• Contractul. Este disponibil un acord de prelucrare a datelor pentru planul dumneavoastră?
• Găzduire proprie. Ar fi potrivit un model open-source pe serverele dumneavoastră pentru cazurile de utilizare sensibile?

Folosirea contului propriu la furnizor (bring your own key) înseamnă că aveți controlul asupra contractului, setărilor de regiune și opțiunilor de stocare, în loc să le moșteniți din contul unui furnizor de platformă.

6. Reduceți la minimum ce ajunge în prompturi și instrumente

Minimizarea datelor (articolul 5 din GDPR) este cel mai eficient control de confidențialitate pentru agenții AI.

• Nu încărcați în baza de cunoștințe fișe de clienți, documente de identitate sau notițe interne.
• Trimiteți modelului doar istoricul de care are nevoie, nu întregul profil al contactului.
• Dați instrumentelor cel mai restrâns acces posibil: un instrument de stare a comenzii are nevoie de un număr de comandă, nu de întreaga bază de date de clienți.
• Mascați sau evitați câmpuri precum CNP-ul, numerele de card și parolele.
• Instruiți agentul să nu ceară niciodată date sensibile de care nu are nevoie.

Regulă pentru agent: Nu cere niciodată în chat numere de card, parole sau
numere de identificare. Dacă un client le trimite, nu le repeta și oferă în schimb
linkul de plată securizat sau un apel cu echipa noastră.

Dacă agentul dumneavoastră se conectează la sistemele afacerii prin protocoale precum MCP, aceeași regulă se aplică fiecărui sistem conectat. Consultați MCP pentru mesageria cu clienții pentru riscuri.

7. Tratați cu atenție sporită datele de sănătate și alte date speciale

Datele privind sănătatea, religia, datele biometrice și categoriile similare primesc o protecție suplimentară conform articolului 9 din GDPR și KVKK. Clinicile, farmaciile și asigurătorii ar trebui să limiteze ce gestionează AI-ul, să evite sfaturile medicale date de AI și să direcționeze întrebările clinice către personal calificat. Luați în considerare o evaluare a impactului asupra protecției datelor (articolul 35 din GDPR) înainte de a lansa un agent AI care prelucrează astfel de date la scară largă.

8. Stabiliți perioada de stocare pentru fiecare depozit de date

Limitarea stocării (articolul 5 din GDPR) înseamnă că păstrați datele personale doar cât este necesar. Stabiliți și documentați o perioadă pentru:

• istoricul conversațiilor din platforma dumneavoastră de mesagerie,
• jurnalele de la furnizorul LLM,
• transcrierile exportate și datele de analiză,
• orice date personale dintr-o bază de date vectorială sau o bază de cunoștințe.

Apoi asigurați-vă că ștergerea chiar se produce, inclusiv în copiile de siguranță, acolo unde este posibil.

9. Fiți pregătiți pentru cereri de acces și de ștergere

Clienții pot cere să știe ce date dețineți despre ei și vă pot cere să le ștergeți (articolele 15 și 17 din GDPR, cu drepturi similare conform KVKK). Aflați cum puteți găsi conversațiile unei persoane în toate sistemele din harta dumneavoastră de date și cum le puteți șterge din fiecare.

10. Evitați deciziile luate exclusiv de AI

Articolul 22 din GDPR restricționează deciziile bazate exclusiv pe prelucrare automată care afectează semnificativ persoanele. Lăsați AI-ul să răspundă, să colecteze informații și să direcționeze, iar aprobările, refuzurile, deciziile de creditare și excepțiile păstrați-le la nivel de oameni. O predare de la AI la om fiabilă este atât o funcție de servicii, cât și una de conformitate.

11. Securizați accesul și păstrați jurnale

Limitați cine poate citi conversațiile, folosiți acces bazat pe roluri, cereți autentificare multifactor și păstrați jurnale de audit care arată cine a făcut ce. Articolul 32 din GDPR cere o securitate adecvată riscului, iar articolul 33 stabilește un termen de 72 de ore pentru notificarea autorității de supraveghere în cazul unei încălcări a securității datelor cu caracter personal, atunci când încălcarea prezintă un risc pentru persoane.

12. Respectați regulile proprii ale canalului

Politica Meta privind mesageria WhatsApp Business are cerințe proprii privind opt-in-ul, utilizarea datelor și AI-ul. Ghidul nostru despre politica WhatsApp pentru chatboți AI în 2026 prezintă ce permite Meta, iar opt-in-ul WhatsApp tratează consimțământul pentru mesajele proactive.

Referință rapidă: GDPR și KVKK comparate

Subiect	GDPR	KVKK (Legea nr. 6698)
Informarea utilizatorilor	Articolele 13 și 14	Obligația de informare
Contracte cu persoanele împuternicite	Articolul 28	Operatorul răspunde împreună cu persoana împuternicită pentru securitate (articolul 12)
Transferuri în străinătate	Capitolul V: adecvare, clauze contractuale standard	Adecvare, contracte standard notificate Autorității, excepții limitate
Categorii speciale	Articolul 9	Categorii speciale de date cu caracter personal
Stocare	Limitarea stocării, articolul 5	Ștergere, distrugere sau anonimizare la încetarea scopului
Drepturile persoanei vizate	Acces, ștergere și altele	Drepturi similare, inclusiv acces și ștergere

Cum vă ajută MonoChat să păstrați controlul asupra AI-ului și a datelor

MonoChat este construit astfel încât părțile sensibile ale arhitecturii să rămână sub controlul dumneavoastră. Iată ce oferă produsul, așa cum este descris pe pagina noastră de securitate și conformitate:

• Propriile chei LLM. Cu LLM-uri personalizate conectați propriul cont la OpenAI, Anthropic, Google, Azure, AWS sau la alt furnizor, astfel încât păstrați propriile tarife și acorduri privind datele și decideți ce asistent folosește ce model.
• Modele găzduite propriu. Puteți conecta modele care rulează pe serverele dumneavoastră prin Ollama sau prin propriul API de model, atunci când prompturile trebuie să rămână pe infrastructura dumneavoastră.
• Propria bază de date vectorială. Integrarea VectorDB păstrează vectorii bazei de cunoștințe în baza de date vectorială aleasă de dumneavoastră, cu propriile politici de stocare și retenție, în regiunea sau în cloud-ul pe care îl alegeți.
• Cunoștințe cu domeniu de acces. Baza de cunoștințe AI împarte conținutul în domenii cu propriul control al accesului, astfel încât fiecare agent regăsește doar ce ar trebui.
• Acțiuni AI controlate. Instrumentele de funcții AI rulează cu validare, permisiuni, endpoint-uri din lista de permisiuni și jurnale, astfel încât un asistent poate face doar ce permiteți.
• Control al accesului și jurnale. Acces bazat pe roluri, izolarea spațiilor de lucru, jurnale de audit și credențiale ale furnizorilor criptate și limitate la spațiul de lucru.
• API-uri oficiale ale canalelor. WhatsApp se conectează prin platforma oficială WhatsApp Business Platform (Cloud API), iar MonoChat este Meta Business Partner oficial.
• Certificări și politică. MonoChat deține certificările ISO 27001 și ISO 9001, iar politica sa de confidențialitate este elaborată conform KVKK (Legea nr. 6698). Cererile de acces, rectificare sau ștergere a datelor cu caracter personal primesc răspuns în termen de 30 de zile.
• Opțiune on-premise. Planul Enterprise oferă implementare on-prem pentru cerințe mai stricte.

Puteți evalua produsul pe planul Basic gratuit (un agent, un canal) la app.monochat.ai și puteți citi politica de confidențialitate completă înainte de analiza dumneavoastră.

Surse

• Regulamentul (UE) 2016/679 (GDPR), EUR-Lex
• Regulamentul (UE) 2024/1689 (AI Act), EUR-Lex
• KVKK: Legea nr. 6698 privind protecția datelor cu caracter personal
• Meta for Developers: stocarea locală în Cloud API
• Politica WhatsApp Business Messaging