Naudojant DI su Odoo, duomenų saugumo neužtikrina vienas nustatymas. Svarbūs trys klausimai: kokie įrašai išsiunčiami kalbos modelio tiekėjui, kokias teises turi DI, kai juos pasiekia, ir ar lieka veiksmų žurnalas. Teisinį pagrindą Europoje sudaro BDAR ir DI aktas (Reglamentas (ES) 2024/1689). Šis puslapis yra informacinis, jame neteikiama teisinė konsultacija. Jautriais atvejais kreipkitės į duomenų apsaugos pareigūną ar teisininką.
Kur keliauja duomenys, kai Odoo naudoja DI?
Duomenys keliauja trimis skirtingais keliais, ir su kiekvienu jų susijusi skirtinga rizika.
Įtaisytos Odoo DI funkcijos
Odoo siunčia užklausą ir reikiamą įrašo kontekstą kalbos modelio tiekėjui per Odoo integraciją arba naudodama jūsų įvestą API raktą. Ką tiksliai siunčia, lemia funkcija, o ne naudotojas.
Skaitmeninimo (OCR) paslauga
Sąskaitos ar kvito failas išsiunčiamas Odoo IAP paslaugai, kuri grąžina atpažintus laukus. Failas palieka jūsų serverį, net jei Odoo laikote patys.
Išoriniai DI agentai
DI asistentas per MCP serverį ar API skaito Odoo duomenis ir perduoda juos savo modeliui. Duomenų kiekį lemia klausimas ir Odoo naudotojo, kurio vardu asistentas jungiasi, teisės.
Praktinė išvada paprasta. Prieš įjungdami DI funkciją, užsirašykite, kuris tiekėjas gauna duomenis, kurioje šalyje jie tvarkomi ir kokios jo sąlygos taikomos. Tai bus jūsų duomenų tvarkymo veiklos įrašų (BDAR 30 straipsnis) dalis.
Ar DI tiekėjai mokosi iš jūsų duomenų?
2026 m. spalio duomenimis, pagal verslo API numatytąsias nuostatas duomenys modeliams mokyti nenaudojami:
- OpenAI dokumentacijoje nurodyta, kad per API siunčiami duomenys nenaudojami modeliams mokyti, nebent klientas pats sutinka. Piktnaudžiavimo stebėsenos žurnalai saugomi iki 30 dienų. Duomenis laikyti Europoje galima laikantis papildomų sąlygų.
- Anthropic privatumo centre nurodyta, kad komercinių produktų, įskaitant API, įvestys ir atsakymai pagal numatytąsias nuostatas nenaudojami modeliams mokyti, o API duomenys ištrinami per 30 dienų, išskyrus numatytas išimtis.
Asmeninių ir nemokamų pokalbių planų sąlygos gali būti kitokios. Jei darbuotojai įklijuoja iš Odoo eksportuotus duomenis į asmeninę pokalbių paskyrą, įmonė šių sąlygų nekontroliuoja. Duomenys dažniausiai nuteka būtent čia, o ne per pačią integraciją.
Ko reikalauja BDAR?
Teisinis pagrindas ir tikslas
Duomenų tvarkymas turi turėti teisinį pagrindą (6 straipsnis) ir būti suderinamas su tikslu, kuriam duomenys buvo surinkti. Sąskaitų apdorojimas apskaitos tikslais paprastai atitinka šias sąlygas, bet klientų laiškų analizė rinkodaros tikslais jų gali nebeatitikti.
Duomenų kiekio mažinimas
Pagal 5 straipsnio 1 dalies c punktą siųskite tik tai, ko reikia užduočiai. Tam reikia techninių priemonių: atskiros Odoo naudotojo paskyros DI agentui, prieigos tik prie reikalingų modulių, neįtraukiant darbo užmokesčio ir sveikatos duomenų, jei jų nereikia.
Duomenų tvarkymo sutartis
DI tiekėjas, dirbantis jūsų vardu, yra duomenų tvarkytojas. Reikia sutarties pagal 28 straipsnį. Dažniausiai tai tiekėjo DPA, su kurios sąlygomis reikia sutikti verslo paskyroje.
Perdavimas už EEE ribų
Jei duomenys tvarkomi JAV, reikia V skyriuje numatyto pagrindo, pavyzdžiui, tiekėjo dalyvavimo ES ir JAV duomenų apsaugos sistemoje arba standartinių sutarčių sąlygų. Kai įmanoma, rinkitės duomenų laikymą ES.
Automatizuoti sprendimai
22 straipsnis riboja vien automatizuotu duomenų tvarkymu grindžiamus sprendimus, turinčius teisinių ar panašiai reikšmingų pasekmių žmogui. DI gali parengti juodraštį, bet sprendimą dėl kliento kredito limito ar darbuotojo turi priimti žmogus.
BDAR tekstą rasite Reglamente (ES) 2016/679 EUR-Lex svetainėje. Lietuvos priežiūros institucija yra Valstybinė duomenų apsaugos inspekcija.
Ką DI aktas reiškia Odoo naudotojui?
Reglamentas (ES) 2024/1689 nustato DI sistemų tiekėjų ir diegėjų pareigas. Įmonė, kuri naudoja DI savo Odoo procesuose, dažniausiai yra diegėja. Svarbiausi punktai:
- DI raštingumas (4 straipsnis). Reikalavimas taikomas nuo 2025 m. vasario 2 d. 2026 m. liepą jį pakeitė Reglamentas (ES) 2026/1744 (vadinamasis skaitmeninis omnibusas). Reikia imtis priemonių, kad su DI dirbantys žmonės suprastų jo galimybes ir ribas.
- Skaidrumas (50 straipsnis). Jei klientas kalbasi su DI pokalbių robotu svetainėje, jis turi tai žinoti. Diegėjų skaidrumo pareigos taikomos nuo 2026 m. rugpjūčio.
- Didelės rizikos sritys (III priedas). DI naudojimas atrenkant kandidatus, vertinant darbuotojus ar kliento kreditingumą priskiriamas didelės rizikos sričiai. Pagal Reglamentą (ES) 2026/1744 šie reikalavimai taikomi nuo 2027 m. gruodžio 2 d.
Įprasti Odoo DI naudojimo atvejai, tokie kaip sąskaitų skaitmeninimas, tekstų juodraščių rengimas ar klausimai apie ataskaitas, į III priedą nepatenka. Personalo modulyje (Įdarbinimas, Vertinimai) DI naudokite atsargiai ir pasitarkite su teisininku.
Datos nurodytos pagal 2026 m. spalio informaciją. DI akto taikymo grafikas jau kartą keistas, todėl prieš priimdami sprendimą patikrinkite galiojančią redakciją EUR-Lex svetainėje.
Kaip techniškai apriboti DI prieigą Odoo sistemoje?
Odoo turi veiksmingų įrankių prieigai riboti, tik juos reikia naudoti tikslingai.
- Atskira naudotojo paskyra DI agentui. Nenaudokite administratoriaus paskyros. Sukurkite naudotojo paskyrą, kuriai priskirtos tik reikalingos grupės, pavyzdžiui, „Pardavimai: tik savo dokumentai“.
- API raktas su galiojimo terminu. Odoo API raktai kuriami naudotojo nustatymuose, skiltyje „Account Security“. Naujesnėse versijose nustatoma rakto galiojimo trukmė, todėl pamirštas raktas automatiškai nustoja veikti.
- Įrašų taisyklės ir kelios įmonės. Odoo įrašų taisyklės (record rules) ir įmonių priskyrimas galioja ir API užklausoms. DI agentas, prisijungęs per vienos įmonės naudotojo paskyrą, nemato kitos įmonės duomenų.
- Rašymo veiksmai su patvirtinimu. Pradėkite nuo prieigos, leidžiančios tik skaityti. Kai įjungiate rašymą, reikalaukite, kad žmogus patvirtintų kiekvieną kūrimo ar keitimo veiksmą, ir neleiskite trinti.
- Žurnalas. Turi būti užfiksuotas kiekvienos DI užklausos ir veiksmo laikas, naudotojas, parametrai ir rezultatas. Odoo pokalbių srautas rodo stebimų laukų pakeitimus, o išsamesnį žurnalą tvarko MCP serveris ar integracijos sluoksnis.
Plačiau apie teisių modelį, patvirtinimą ir atšaukimą rašome puslapyje DI agentai Odoo.
Kontrolinis sąrašas prieš įjungiant DI
| Klausimas | Kur rasti atsakymą |
|---|---|
| Kuris tiekėjas gauna duomenis ir kurioje šalyje jie tvarkomi? | Funkcijos dokumentacija, tiekėjo DPA |
| Ar tiekėjas naudoja duomenis modeliams mokyti? | Verslo paskyros duomenų nustatymai |
| Ar pasirašyta duomenų tvarkymo sutartis? | Tiekėjo DPA, BDAR 28 straipsnis |
| Per kurią Odoo naudotojo paskyrą jungiasi DI? | Odoo nustatymai, Vartotojai |
| Ar DI gali rašyti ar trinti? | Naudotojo grupės, integracijos nustatymai |
| Ar yra veiksmų žurnalas ir kas jį peržiūri? | MCP serveris ar integracija, atsakingas asmuo |
| Ar DI naudojamas sprendimams dėl personalo ar kreditingumo priimti? | DI akto III priedas, teisininkas |
| Ar darbuotojai žino, kaip naudotis DI ir ko nesiųsti? | DI naudojimo taisyklės, mokymai |
Kokias konkrečias DI funkcijas turi Odoo 19 ir kurios jų siunčia duomenis už sistemos ribų, aprašome puslapyje Odoo 19 DI funkcijos.
Aptarkime DI ir duomenų saugą jūsų Odoo sistemoje
Parašykite, kokius DI įrankius naudojate ar planuojate naudoti ir kokie duomenys jūsų Odoo sistemoje yra jautriausi.
Dažniausi klausimai
Ar Odoo duomenys, išsiųsti į DI modelį, naudojami jam mokyti?
Naudojant verslo API, pagrindiniai tiekėjai pagal numatytąsias nuostatas to nedaro. OpenAI ir Anthropic dokumentacijoje nurodyta, kad API duomenys nenaudojami modeliams mokyti, nebent klientas pats sutinka. Asmeninių pokalbių planų sąlygos gali skirtis, todėl jas reikia tikrinti atskirai.
Ar DI tiekėjas yra duomenų tvarkytojas pagal BDAR?
Dažniausiai taip, kai jo paslauga naudojama įmonės vardu ir pagal jos nurodymus. Tada reikia duomenų tvarkymo sutarties pagal BDAR 28 straipsnį ir, jei duomenys perduodami už EEE ribų, teisėto perdavimo pagrindo pagal V skyrių.
Ar naudojant DI su Odoo reikia poveikio duomenų apsaugai vertinimo?
Ne visada. BDAR 35 straipsnis jį numato, kai duomenų tvarkymas gali kelti didelį pavojų žmonių teisėms, pavyzdžiui, kai DI vertina darbuotojus ar kandidatus. Skaitmeninant sąskaitas ar rengiant pasiūlymų juodraščius, to paprastai neprireikia, bet sprendimą verta užfiksuoti raštu.
Kada DI aktas taikomas įmonei, kuri tik naudoja DI su Odoo?
Įmonė, naudojanti DI sistemą savo veikloje, pagal Reglamentą (ES) 2024/1689 yra diegėja. Jai aktualūs DI raštingumo ir skaidrumo reikalavimai. Jei DI naudojamas didelės rizikos srityje, pavyzdžiui, atrenkant darbuotojus, aktualūs ir papildomi reikalavimai.
Kaip sužinoti, ką DI agentas padarė Odoo sistemoje?
Odoo pokalbių srautas (chatter) rodo stebimų laukų pakeitimus ir nurodo naudotoją. Jei DI veikia per atskirą Odoo naudotojo paskyrą ir MCP serverį su veiksmų žurnalu, matote kiekvieną užklausą ir galutinį pakeitimą.