To ja przeczytałem. Wszystkie trzy: Claude, ChatGPT, Gemini. Od deski do deski, ze świadomością, że za pół roku te dokumenty i tak będą inne, bo branża AI zmienia zasady gry mniej więcej tak często jak ja zdanie o diecie.
Zacznijmy od plotki, która krąży po internecie, że Anthropic od lipca oddaje dane organom ścigania na zawołanie. Sprawdziłem. To nadinterpretacja, choć rozumiem skąd się bierze, bo prawnicze sformułowania brzmią złowieszczo nawet wtedy, gdy mówią o niczym szczególnym. Anthropic zastrzega sobie prawo do ujawnienia danych, gdy w dobrej wierze uzna to za konieczne, żeby spełnić prawo albo zapobiec poważnej szkodzie. Taką samą klauzulę ma OpenAI, ma ją Google. To nie jest haczyk wymyślony specjalnie przeciwko tobie, to standardowy zapis, który każda firma wkleja do regulaminu, żeby prawnicy mogli spać spokojnie.
Za to od 8 lipca Claude wprowadza nową kategorię w polityce prywatności: Verification Data. Ładna nazwa na coś, co w praktyce oznacza, że przy weryfikacji wieku czy tożsamości Anthropic może zbierać skan twojego dowodu, twoje zdjęcie albo wideo, a do tego szablon geometrii twarzy. Sama firma przyznaje w dokumencie, że te dane mogą zostać uznane za biometryczne. W Europie to nie „mogą zostać uznane”, to po prostu są, na mocy artykułu 9 RODO, czyli najwyższej kategorii ochrony, jaką prawo w ogóle przewiduje. I teraz najlepsze: w sekcji o retencji nie ma podanego konkretnego terminu przechowywania tych danych. Jest formułka „tak długo, jak jest to racjonalnie niezbędne”, czyli w praktyce tak długo, jak firma sama uzna, że jest to racjonalnie niezbędne. Dla zwykłych danych może i przejdzie. Dla biometrii, gdzie RODO wymaga konkretnego okresu i osobnej oceny skutków dla ochrony danych z artykułu 35, to jest dziura, przez którą przejedzie ciężarówka.
Sprawdziłem konkurencję, licząc, że ktoś w końcu wypadnie lepiej. Nikt nie wypadł lepiej, każdy po prostu zepsuł coś innego. OpenAI twierdzi, że w ogóle nie dotyka twojego skanu dokumentu, bo weryfikację zleca zewnętrznej firmie, Personie, która kasuje przesłane zdjęcie w ciągu tygodnia. Do OpenAI trafia tylko wynik i ewentualnie data urodzenia. Na papierze brzmi to lepiej niż rozwiązanie Claude, bo wrażliwe dane w ogóle nie lądują u administratora modelu. Gemini twarzy nie skanuje, za to trzyma rozmowy poddane przeglądowi przez ludzi nawet trzy lata, mimo skasowania aktywności. A jak dorzucisz do tego pełną integrację z kontem Google, model od razu wie, co masz w skrzynce, w kalendarzu i gdzie ostatnio byłeś. Więc owszem, twarzy nie ma, za to reszty twojego życia jest sporo.
RODO każe pytać o zgodę na dane biometryczne, i to zgodę dobrowolną. Dobrowolność w prawie nie jest sloganem, oznacza konkretnie, że masz realny wybór i nic ci się nie stanie, jeśli odmówisz. Tylko że jak firma stawia sprawę: zeskanuj twarz albo nie masz konta, to jaki to wybór? Formalnie klikasz zgodę, faktycznie masz nóż na gardle. A skoro czat da się obsłużyć bez zdjęcia twojej twarzy, to uzależnianie dostępu od biometrii jest prawnie mocno naciągane. Zresztą pomyśl chwilę: hasło wyciekło, zmieniasz w pięć minut. Twarz wyciekła, i co, chodzisz teraz w kominiarce?
Ostatnia sprawa, dla tych, którzy wklejają do AI fragmenty pracy. Tryb agentowy, w którym asystent samodzielnie wysyła twoje dane do podłączonych aplikacji, oraz przeglądanie części rozmów przez ludzi, to realny problem, jeśli masz cokolwiek objętego tajemnicą firmy. Podpięcie Gemini pod Gmaila jest wygodne, tylko że tę skrzynkę i tak czyta Google. Teraz dorzucasz jeszcze jednego gościa do tego samego pokoju, bo chcesz, żeby ktoś odpisał za ciebie na maila.
Płacisz za plan premium czy nie, dane, które wklejasz do czatu, nie znikają razem z historią rozmowy. Ryzyko wycieku zostaje, zawsze. Więc zanim wrzucisz tam zdjęcie dziecka albo coś, czego nie chciałbyś zobaczyć w cudzych rękach, zastanów się dwa razy.
Ilustracja: chatgpt