Главное
- Статья 35 GDPR требует DPIA до обработки, которая, вероятно, создаёт высокий риск. Оценивайте каждый случай использования ИИ отдельно.
- Статья 35(3) называет три случая: автоматизированные решения со значимыми последствиями, чувствительные данные в большом масштабе и систематический мониторинг общественных мест в большом масштабе.
- Руководство Рабочей группы по статье 29 перечисляет девять критериев, и выполнение двух или более обычно означает, что DPIA нужна.
- DPIA должна описать обработку, проверить необходимость и соразмерность, оценить риски для людей и определить меры, которые их снижают. Оценка воздействия на основные права по Закону об ИИ может опираться на неё.
Что такое DPIA и почему её запускают проекты с ИИ
Оценка воздействия на защиту данных (DPIA) описывает, как запланированная обработка повлияет на людей и как вы снизите риски. Статья 35 GDPR требует её до обработки, которая, вероятно, создаёт высокий риск. Сам факт использования ИИ не определяет обязанность. Оцените данные, масштаб, людей и решения и проверьте перечень национального регулятора.
Когда DPIA обязательна?
Статья 35(3) перечисляет три ситуации, в которых DPIA нужна всегда.
- Систематическая и комплексная оценка личных аспектов на основе автоматизированной обработки, в том числе профилирования, на которой основаны решения с правовыми или аналогичными существенными последствиями для лица.
- Обработка в большом масштабе особых категорий данных (таких как данные о здоровье, биометрические или о политических взглядах) или данных о судимостях.
- Систематический мониторинг общедоступного места в большом масштабе.
Статья 35(4) добавляет, что каждый национальный надзорный орган публикует перечень операций обработки, которые тоже её требуют, и большинство перечней упоминают ИИ, профилирование или данные о здоровье. Проверьте перечень вашей страны, прежде чем решить, что вас это не касается.
Девять критериев, указывающих на высокий риск
Рабочая группа по статье 29, предшественница Европейского совета по защите данных, опубликовала критерии, которые помогают решить, вероятно ли, что обработка несёт высокий риск. По общему правилу, выполнение двух или более означает, что следует провести DPIA.
| Критерий | Как его может выполнить проект с ИИ |
|---|---|
| Оценивание или скоринг, включая профилирование | Ранжирование кандидатов, кредитный скоринг, прогнозирование оттока или поведения |
| Автоматизированные решения с правовыми или аналогичными последствиями | Модель, которая одобряет, отклоняет или приоритизирует людей без решения человека |
| Систематический мониторинг | Непрерывный анализ звонков, сообщений или видео с камер |
| Чувствительные или очень личные данные | Аудио консультаций, медицинские записи, финансовые документы |
| Обработка в большом масштабе | Весь список пациентов, вся клиентская база, тысячи звонков в день |
| Сопоставление или объединение наборов данных | Объединение данных CRM, поддержки и использования для обучения или подсказки модели |
| Уязвимые субъекты данных | Пациенты, работники, дети, получатели пособий |
| Инновационное использование или новая технология | Использование языковой модели или распознавания речи по-новому |
| Обработка, которая мешает осуществлению права или пользованию услугой | Модель, которая решает, кто получает доступ к услуге |
Что должна содержать DPIA
| Обязательный элемент | Что писать для системы ИИ |
|---|---|
| Систематическое описание обработки и её целей | Потоки данных от входа до выхода, модели и поставщики, где работает каждый шаг, хранение и кто что видит |
| Оценка необходимости и соразмерности | Зачем вам вообще персональные данные, что вы удаляете или скрываете до модели и каково ваше правовое основание |
| Оценка рисков для людей | Ошибочные или выдуманные результаты, предвзятость, утечки через запросы или журналы, запоминание, повторное использование данных для обучения, несправедливые решения |
| Меры для устранения рисков | Удаление данных, хостинг в ЕС, контроль доступа, журналирование, человеческая проверка, тесты точности, договорные ограничения для поставщика |
Просите совета у ответственного за защиту данных, пока готовите оценку, как требует статья 35(2), и поддерживайте её живой. Обновление модели, новый поставщик или новый случай использования: повод пересмотреть её.
Как это сочетается с Законом об ИИ
Пользователи систем ИИ высокого риска должны использовать информацию, которую предоставляет провайдер, чтобы выполнить собственную обязанность по DPIA. Статья 27 Закона об ИИ также требует оценки воздействия на основные права до использования определённых систем высокого риска публичными органами, частными организациями, оказывающими публичные услуги, и пользователями некоторых систем кредитования и страхования. Если DPIA уже покрывает часть этого, оценка основных прав её дополняет, поэтому одна совместная работа обычно стоит меньше, чем две отдельные.
Если риск остаётся высоким после ваших мер
По статье 36, если DPIA показывает высокий риск, который вы не можете достаточно снизить, вы должны проконсультироваться с надзорным органом до начала. Во многих проектах этого избегают переработкой: собирать меньше, удалять больше, оставить человека в процессе или изменить место работы системы.
Опишите процесс ИИ и типы данных. Поможем документировать потоки данных, поставщиков и технические средства контроля для DPIA.
Обсудить потоки данных ИИFAQ
Нужна ли нам DPIA для чат-бота?
Не автоматически. Это зависит от того, какие данные поступают, кто пользователи и что решает бот. Чат-бот, работающий с вопросами здоровья, финансов или трудоустройства или профилирующий пользователей, обычно выполнит как минимум два из девяти критериев.
Кто пишет DPIA, поставщик или мы?
Контролёр, то есть вы. Поставщик как обработчик обязан помочь вам по статье 28, и вы можете использовать его документацию, но оценка и решение: ваши.
Можно ли использовать один документ для DPIA и оценки основных прав по Закону об ИИ?
Часто, частично. Статья 27 Закона об ИИ говорит, что оценка воздействия на основные права дополняет DPIA, когда некоторые обязанности уже выполнены. Ведите их как один файл с чётко подписанными разделами.
Источники
- Регламент (ЕС) 2016/679 (GDPR), статьи 35 и 36, Официальный вестник ЕС
- Рабочая группа по статье 29, Руководство по оценке воздействия на защиту данных (WP248 rev.01)
- Европейский совет по защите данных, Заключение 28/2024 по моделям ИИ
- Регламент (ЕС) 2024/1689 (Закон об ИИ), статьи 26 и 27, Официальный вестник ЕС
Об авторе
Artem Synytskyi · Сооснователь · ИИ
Artem возглавляет направление ИИ в ESADEX и создаёт LLM, RAG и системы транскрипции для отраслей с нормативными требованиями.