AI a GDPR: Čo potrebujete vedieť

Gregor FatulZakladateľ & CEO

Zdieľať

GDPR nezakazuje umelú inteligenciu. Zakazuje spracúvať osobné údaje bez právneho dôvodu, bez prehľadu o tom, kam putujú, a bez možnosti, aby sa človek proti výsledku ozval.

Kľúčový dôsledok: nariadenie sa spúšťa spracúvaním osobných údajov, nie použitím AI. Veľká časť firemných automatizácií žiadne osobné údaje neobsahuje.

Nižšie je postup, ktorý prechádzame pri AI auditoch vo Feight AI. Nie je to právne poradenstvo — je to poradie otázok, ktoré treba zodpovedať pred návrhom riešenia.

Najprv rozdeľte úlohy na dve kôpky

Osobný údaj je čokoľvek, čím viete identifikovať konkrétneho človeka: meno, e-mail, telefón, IP adresa, číslo zamestnanca, alebo kombinácia údajov, z ktorej je zrejmé, o koho ide.

• Bez osobných údajov: triedenie objednávok podľa kódu výrobku, porovnávanie dodacích listov, sumarizácia technickej dokumentácie. GDPR sa vás v tejto úlohe prakticky netýka.

• S osobnými údajmi: čítanie e-mailov od zákazníkov, podklady pre personálne rozhodnutia, práca so záznamami o klientoch. Tu platí všetko nižšie.

Štyri otázky, na ktoré musíte vedieť odpovedať

• Prečo tie údaje spracúvate. Musí to byť dôvod, ktorý zákon uznáva — plnenie zmluvy, zákonná povinnosť, oprávnený záujem alebo súhlas. „Aby sme boli efektívnejší“ dôvod nie je.

• Ktoré presne to sú. Spracúvajte len tie, ktoré na úlohu naozaj potrebujete. Automatizácia triediaca reklamácie podľa typu problému nepotrebuje rodné číslo.

• Kam putujú. Konkrétne: ktorý dodávateľ, ktorá služba, na ktorom serveri. Nie „do cloudu“.

• Ako dlho ich držíte a kedy ich zmažete. Tu sa láme najviac firiem, lebo odpoveď býva „navždy, lebo to nikto nerieši“.

Za dodávateľa zodpovedáte vy

Keď externá služba spracúva osobné údaje vašich zákazníkov alebo zamestnancov, zodpovedáte za to stále vy. Tá služba je v postavení sprostredkovateľa.

• Vedieť, ktorý dodávateľ to je.

• Mať s ním uzavretú zmluvu o spracúvaní údajov.

• Vedieť, či údaje ležia v EÚ alebo mimo nej — prenos mimo EÚ má vlastné pravidlá.

Zoznam týchto dodávateľov je najužitočnejší dokument, aký k AI môžete mať. Bez neho neviete odpovedať na otázku, kam sa vaše dáta rozliezli.

Nechajte AI pripravovať podklad, nie rozhodovať

GDPR osobitne rieši rozhodnutia urobené výlučne automatizovane s podstatným dopadom na človeka — zamietnutie žiadosti, vyradenie uchádzača, zmena podmienok. Vzniká právo na ľudský zásah, na vysvetlenie a na napadnutie rozhodnutia.

• Pomôcka: AI zoradí prichádzajúce žiadosti a ku každej pripíše, čo v nej našla.

• Automatizované rozhodovanie: AI žiadosť sama zamietne a odošle oznámenie.

Prvý variant býva rovnako užitočný, lacnejší na zavedenie a nemá právny chvost. Väčšina firiem, ktoré chcú to druhé, v skutočnosti chce to prvé.

Kedy treba posúdenie vplyvu (DPIA)

Vtedy, keď je spracúvanie pravdepodobne spojené s vysokým rizikom pre ľudí — pri systematickom monitorovaní, pri citlivých kategóriách údajov alebo pri rozhodovaní s väčším dopadom na jednotlivca.

Bežná kancelárska automatizácia, ktorá prepisuje objednávky do systému alebo skladá report z výrobných čísel, sem nespadá.

Posúďte to pred stavbou. Ak vyjde vysoké riziko, je oveľa lacnejšie zmeniť návrh než hotové riešenie.

Keď majú dáta zostať doma

Veľká časť firemnej automatizácie sa dá postaviť tak, aby citlivý obsah zostal vo vašej infraštruktúre alebo v rámci EÚ.

Pre regulované odvetvia, výrobné know-how a firmy s prísnou zmluvnou mlčanlivosťou to býva rozdiel medzi „nemôžeme“ a „môžeme“.

Rozhodujte po vrstvách. Pri väčšine úloh stačí bežná služba; prísnejší variant si nechajte na tú menšinu, kde ide o skutočne citlivý obsah. „Všetko alebo nič“ býva drahšie.

Čo spraviť tento týždeň

• Spíšte úlohy, ktoré chcete automatizovať, a označte tie s osobnými údajmi.

• Pri označených doplňte prečo, ktoré, kam a dokedy.

• Spíšte dodávateľov, ktorí sa toho dotýkajú, a či s nimi máte zmluvu.

• Pri každom návrhu overte, či AI pripravuje podklad, alebo rozhoduje. Ak rozhoduje, prekreslite to.

• Napíšte jednu stranu pravidiel: aké údaje nikdy nevkladať do externých nástrojov.

Je to práca na jedno popoludnie, nie projekt. Ak chcete vedieť, ktoré procesy sa dajú automatizovať bez zbytočného rizika, ozvite sa nám.