AL+

RO EN

Scrieți-ne

Vă folosește furnizorul de software datele firmei pentru antrenarea AI?

Cazul Slack arată de ce trebuie citite împreună contractul și politicile SaaS. Șase întrebări despre antrenarea AI, excluderea datelor și exportul lor.

. De . AI și programare cu agenți

Read this article in English

În mai 2024, multe firme au aflat în aceeași săptămână că aplicația de chat în care își țineau conversațiile interne analiza acele conversații ca să construiască modele și că, pentru a opri asta, trebuiau să trimită un e-mail. Slack nu schimbase nimic înainte să apară discuția. Condițiile stăteau de luni de zile pe o pagină de politici pe care puțini o citiseră.

După doi ani și jumătate, lecția utilă privește locul în care se află răspunsul, mai mult decât intențiile Slack. Cazurile Slack și Zoom arată de ce trebuie citite împreună contractul și politicile la care trimite. Două cazuri nu arată cât de des este activată implicit antrenarea în aplicațiile SaaS. De aceea, condițiile privind folosirea datelor pentru AI trebuie verificate când alegeți furnizorul. Cereți răspunsul în scris și aflați dinainte cum ați pleca. Un e-mail de opt-out este o cerere a cărei executare nu o puteți vedea, așa că nu ține locul unui mecanism de control.

Ce scria pe pagină

Pe 16 mai 2024, cineva a publicat pe Hacker News doar un link către principiile de confidențialitate ale Slack, cu titlul „Slack AI Training with Customer Data”. Pagina, așa cum a fost arhivată în acea zi, spunea că, pentru a dezvolta modele AI și ML, sistemele Slack analizează „Customer Data” (mesaje, conținut și fișiere), dar și alte informații, inclusiv date de utilizare. Ca să fie exclus din modelele globale ale Slack, clientul trebuia să ceară proprietarilor organizației sau ai workspace-ului să scrie echipei de suport la feedback@slack.com, cu un anumit subiect al mesajului.

A doua zi, TechCrunch scria că, potrivit Internet Archive, condițiile se aplicau cel puțin din septembrie 2023. Adam Engst, de la TidBITS, a găsit ulterior și o versiune din octombrie 2020 a documentului, cu titlul „Privacy principles: search, learning and intelligence”, scrisă înainte de valul AI generativ.

Slack a răspuns pe 17 mai printr-un articol pe blog, în care recunoștea că formulările puteau crea neînțelegeri. Potrivit companiei, modelele clasice de machine learning, folosite din 2017 pentru ordonarea rezultatelor la căutare, recomandări de canale și emoji și completare automată, lucrează cu date agregate, fără elemente de identificare, și nu au acces la conținutul mesajelor. Modelele lingvistice mari din Slack AI, suplimentul plătit, nu erau antrenate pe datele clienților. Iar fraza cea mai importantă pentru acest articol: workspace-urile nu sunt excluse în mod implicit („workspaces are not opted out by default”).

Contraargumentul merită luat în serios

Cel mai bun argument împotriva indignării a apărut chiar atunci și este solid. În articolul de pe TidBITS, Engst susținea că oamenii au reacționat la un link și la o captură de ecran, fără să citească documentul. Într-o corectură adăugată în comentarii, a recunoscut că citise mai întâi versiunea revizuită de Slack pe 18 mai. Chiar și așa, versiunea care a pornit scandalul descria sugestii de canale, ordonarea rezultatelor la căutare, completare automată și sugestii de emoji, niciuna generativă, și preciza deja că modelele globale nu sunt antrenate astfel încât să poată învăța, memora sau reproduce date ale clienților. Explicația lui: nimeni nu construise o setare pentru că nimeni nu se aștepta ca vreun client să vrea să renunțe la sugestiile de emoji.

Probabil că Engst avea dreptate în privința intențiilor Slack. Totuși, asta nu răspunde la întrebarea unei firme, din trei motive.

Primul: protecția era o descriere scrisă de furnizor. „Date agregate, fără elemente de identificare” sau „nu avem acces la conținut” sunt afirmații despre o implementare pe care nu o puteți inspecta. Pot fi adevărate, dar trebuie să le acceptați pe încredere.

Al doilea: domeniul s-a lărgit fără ca clientul să facă ceva. Pagina care în 2020 vorbea despre sugestii de emoji devenise, în 2024, locul unde oamenii căutau ce face un produs AI cu mesajele lor. TechCrunch îl cita pe un inginer Slack care admitea că pagina trebuia actualizată ca să arate cum se aplică principiile la Slack AI. Condițiile rămăseseră aceleași, dar ce trebuiau ele să acopere crescuse.

Al treilea: ieșirea era slabă. Doar anumiți proprietari puteau cere excluderea, prin e-mail, iar clientul afla că cererea a fost executată când primea răspuns de la Slack. Un utilizator Hacker News a publicat răspunsul primit: o confirmare, urmată de același paragraf pe care Slack îl trimisese și presei.

Un al doilea exemplu: Zoom

Cu nouă luni înainte, Zoom trecuse prin același ciclu. În august 2023, The Record scria că termenii Zoom, modificați, se pare, în martie, îi dădeau companiei drepturi largi asupra datelor generate de serviciu, inclusiv pentru antrenarea AI. Zoom a adăugat apoi, cu caractere îngroșate, o frază potrivit căreia nu va folosi conținutul audio, video sau din chat pentru antrenarea modelelor fără consimțământul clientului. Un jurist citat în articol, David Brody, de la Lawyers' Committee for Civil Rights Under Law, observa că termenii nu spuneau cum ar arăta acel consimțământ.

În ambele cazuri, lucrurile s-au petrecut la fel: condițiile stăteau pe o pagină controlată de furnizor, publicul le-a citit abia după ce cineva le-a făcut cunoscute, iar remedierea a fost o frază revizuită pe aceeași pagină.

Unde suntem acum

Pagina cu principiile de confidențialitate ale Slack, citită pe 8 noiembrie 2026, arată două schimbări și un lucru rămas la fel. Acum, Slack spune că nu dezvoltă modele de AI generativ cu datele clienților și că nu le va folosi pentru antrenarea acestor modele fără consimțământul explicit al clientului (opt-in). Pentru modelele generative, regula a devenit deci opt-in. Modelele predictive au rămas pe opt-out, iar calea documentată de ieșire este tot un e-mail trimis de un proprietar al workspace-ului la feedback@slack.com.

Această împărțire, opt-in pentru antrenarea generativă și opt-out pentru modelele predictive globale descrise aici, este un compromis rezonabil pentru un furnizor. Este însă și distincția despre care majoritatea cumpărătorilor nu știu să întrebe.

O verificare pe care o puteți face pe baza condițiilor publicate

Majoritatea sfaturilor pe această temă sunt scrise pentru firme care negociază contracte enterprise. O firmă de douăsprezece persoane cu un abonament Slack Pro nu negociază nimic. Poate doar să aleagă între furnizori după ce publică aceștia. Pentru fiecare aplicație în care țineți date ale clienților sau ale angajaților, notați răspunsurile la șase întrebări.

  1. Unde sunt scrise condițiile privind AI? Citiți împreună contractul, acordul de prelucrare a datelor și politicile la care trimit. Verificați ce politici fac parte din acord, cum sunt anunțate schimbările și ce drepturi aveți. Principiile actuale Slack trimit explicit la contractele clienților și la obligațiile de confidențialitate; o pagină de politici poate face parte din contract.
  2. Ce fel de modele? Modele generative, care produc text, sau modele predictive, pentru ordonare și recomandări? Cereți un răspuns pentru fiecare. O promisiune despre un tip nu spune nimic despre celălalt.
  3. Ce acoperă excepția pentru date agregate? Aproape toate condițiile îi permit furnizorului să folosească date „agregate” sau „fără elemente de identificare”. Aflați ce intră aici și dacă e vorba de conținutul mesajelor sau doar de statistici de utilizare.
  4. Cine trebuie să ceară excluderea (opt-out) și cum? Printr-o setare pe care o puteți verifica sau printr-un e-mail trimis de o anumită persoană? Dacă e un e-mail, păstrați răspunsul și repetați cererea pentru fiecare workspace nou.
  5. Ce spune acordul de prelucrare a datelor? Potrivit articolului 28 din GDPR (textul în engleză), persoana împuternicită de operator prelucrează datele personale pe baza instrucțiunilor documentate ale operatorului, cu excepția cerințelor contrare din dreptul Uniunii sau al unui stat membru, iar dacă încalcă GDPR stabilind scopurile și mijloacele prelucrării, este considerată operator pentru acea prelucrare, potrivit articolului 28 alineatul (10). Dacă antrenarea unui model folosit pentru toți clienții intră în instrucțiunile date de firmă e o întrebare pentru contract și pentru consultantul juridic, nu pentru o pagină de politici. Cereți-i furnizorului să precizeze în scris ce rol juridic își asumă pentru această prelucrare.
  6. Cum ați pleca? Aflați din timp ce puteți exporta pe abonamentul actual. Pe planurile Free și Pro ale Slack, proprietarii și administratorii pot exporta doar mesajele din canalele publice. Exportul complet, cu canale private și mesaje directe, necesită planul Business+, cu o cerere aprobată, sau un plan Enterprise.

Răspunsurile rareori decid singure alegerea. Vă arată ce ați acceptat și ce furnizor e dispus să vă spună lucrurile în scris.

Când concluzia nu se aplică

Verificarea merită timpul pentru aplicațiile în care țineți conversații cu clienții, contracte, date medicale sau financiare ori cod sursă. Nu merită pentru un instrument care vede doar site-ul public al firmei. Dacă aveți deja un contract enterprise negociat, contractul are prioritate și pagina de politici contează mai puțin, deși merită verificat că spun același lucru. Uneori, toți furnizorii dintr-o categorie au condiții asemănătoare, iar verificarea doar confirmă că nu aveți o variantă mai bună. Și asta e util: aflați ce nu trebuie să puneți în aplicația respectivă.

E-mailul de opt-out trebuie totuși trimis. E mai bun decât nimic, iar la Slack este singura cale documentată. Doar nu îl considerați un mecanism de control. Un mecanism de control este ceva ce puteți verifica oricând că funcționează. Pentru sistemele unde aveți nevoie de această verificare, variantele oneste sunt un contract cu clauze reale sau un software dezvoltat la comandă, pe care îl dețineți și îl administrați, ceea ce vă poate da mai mult control asupra fluxurilor de date. Proprietatea sau găzduirea proprie nu împiedică singure antrenarea de către furnizori externi: verificați condițiile furnizorilor de modele, integrările, telemetria și controalele instalate.

Surse