Головне
- Стаття 35 GDPR вимагає DPIA до обробки, що ймовірно створює високий ризик. Оцінюйте кожен випадок використання ШІ окремо.
- Стаття 35(3) називає три випадки: автоматизовані рішення зі значними наслідками, чутливі дані у великому масштабі та систематичний моніторинг громадських місць у великому масштабі.
- Настанови Робочої групи зі статті 29 перелічують дев'ять критеріїв, і виконання двох чи більше зазвичай означає, що DPIA потрібна.
- DPIA має описати обробку, перевірити необхідність і пропорційність, оцінити ризики для людей і визначити заходи, що їх зменшують. Оцінка впливу на фундаментальні права за Законом про ШІ може спиратися на неї.
Що таке DPIA і чому її запускають проєкти зі ШІ
Оцінка впливу на захист даних (DPIA) описує, як запланована обробка вплине на людей і як ви зменшите ризики. Стаття 35 GDPR вимагає її до обробки, що ймовірно створює високий ризик. Сам факт використання ШІ не визначає обов’язок. Оцініть дані, масштаб, людей і рішення та перевірте перелік національного регулятора.
Коли DPIA обов'язкова?
Стаття 35(3) перелічує три ситуації, у яких DPIA потрібна завжди.
- Систематична й комплексна оцінка особистих аспектів на основі автоматизованої обробки, зокрема профілювання, на якій ґрунтуються рішення з правовими чи подібними суттєвими наслідками для особи.
- Обробка у великому масштабі особливих категорій даних (як-от дані про здоров'я, біометричні чи політичні погляди) або даних про судимості.
- Систематичний моніторинг публічно доступного місця у великому масштабі.
Стаття 35(4) додає, що кожен національний наглядовий орган публікує перелік операцій з обробки, які також її вимагають, і більшість переліків згадують ШІ, профілювання чи дані про здоров'я. Перевірте перелік вашої країни, перш ніж вирішити, що вас це не стосується.
Дев'ять критеріїв, що вказують на високий ризик
Робоча група зі статті 29, попередниця Європейської ради із захисту даних, опублікувала критерії, які допомагають вирішити, чи обробка ймовірно має високий ризик. За загальним правилом, виконання двох чи більше означає, що слід провести DPIA.
| Критерій | Як його може виконати проєкт зі ШІ |
|---|---|
| Оцінювання чи скоринг, зокрема профілювання | Ранжування кандидатів, кредитний скоринг, прогнозування відтоку чи поведінки |
| Автоматизовані рішення з правовими чи подібними наслідками | Модель, що схвалює, відхиляє чи пріоритизує людей без рішення людини |
| Систематичний моніторинг | Безперервний аналіз дзвінків, повідомлень чи відео з камер |
| Чутливі або дуже особисті дані | Аудіо консультацій, медичні записи, фінансові документи |
| Обробка у великому масштабі | Увесь список пацієнтів, уся клієнтська база, тисячі дзвінків на день |
| Зіставлення чи поєднання наборів даних | Об'єднання даних CRM, підтримки й використання для навчання чи підказки моделі |
| Вразливі суб'єкти даних | Пацієнти, працівники, діти, одержувачі допомоги |
| Інноваційне використання чи нова технологія | Використання мовної моделі чи розпізнавання мовлення по-новому |
| Обробка, що перешкоджає здійсненню права чи користуванню послугою | Модель, що вирішує, хто отримує доступ до послуги |
Що має містити DPIA
| Обов'язковий елемент | Що писати для системи ШІ |
|---|---|
| Систематичний опис обробки та її цілей | Потоки даних від входу до виходу, моделі й постачальники, де працює кожен крок, зберігання і хто що бачить |
| Оцінка необхідності та пропорційності | Навіщо вам взагалі персональні дані, що ви видаляєте чи приховуєте до моделі та яка ваша правова підстава |
| Оцінка ризиків для людей | Хибні чи вигадані результати, упередженість, витоки через запити чи журнали, запам'ятовування, повторне використання даних для навчання, несправедливі рішення |
| Заходи для усунення ризиків | Видалення даних, хостинг в ЄС, контроль доступу, журналювання, людська перевірка, тести точності, договірні обмеження для постачальника |
Просіть поради у відповідального за захист даних, поки готуєте оцінку, як вимагає стаття 35(2), і підтримуйте її живою. Оновлення моделі, новий постачальник чи новий випадок використання: привід переглянути її.
Як це поєднується із Законом про ШІ
Розгортачі систем ШІ високого ризику мають використовувати інформацію, яку надає провайдер, щоб виконати власний обов'язок щодо DPIA. Стаття 27 Закону про ШІ також вимагає оцінки впливу на фундаментальні права до використання певних систем високого ризику публічними органами, приватними організаціями, що надають публічні послуги, та розгортачами деяких систем кредитування й страхування. Якщо DPIA уже покриває частину цього, оцінка фундаментальних прав її доповнює, тож одна спільна робота зазвичай коштує менше, ніж дві окремі.
Якщо ризик залишається високим після ваших заходів
За статтею 36, якщо DPIA показує високий ризик, який ви не можете достатньо зменшити, ви повинні проконсультуватися з наглядовим органом до початку. У багатьох проєктах цього уникають переробкою: збирати менше, видаляти більше, залишити людину в процесі чи змінити місце роботи системи.
Опишіть процес ШІ та типи даних. Допоможемо задокументувати потоки даних, постачальників і технічні засоби контролю для DPIA.
Обговорити потоки даних ШІFAQ
Чи потрібна нам DPIA для чат-бота?
Не автоматично. Це залежить від того, які дані надходять, хто користувачі та що вирішує бот. Чат-бот, що працює з питаннями здоров'я, фінансів чи працевлаштування або профілює користувачів, зазвичай виконає щонайменше два з дев'яти критеріїв.
Хто пише DPIA, постачальник чи ми?
Контролер, тобто ви. Постачальник як обробник має допомогти вам за статтею 28, і ви можете використати його документацію, але оцінка й рішення: ваші.
Чи можна використати один документ для DPIA та оцінки фундаментальних прав за Законом про ШІ?
Часто, частково. Стаття 27 Закону про ШІ каже, що оцінка впливу на фундаментальні права доповнює DPIA, коли деякі обов'язки вже виконано. Ведіть їх як один файл із чітко підписаними розділами.
Джерела
- Регламент (ЄС) 2016/679 (GDPR), статті 35 і 36, Офіційний вісник ЄС
- Робоча група зі статті 29, Настанови щодо оцінки впливу на захист даних (WP248 rev.01)
- Європейська рада із захисту даних, Висновок 28/2024 щодо моделей ШІ
- Регламент (ЄС) 2024/1689 (Закон про ШІ), статті 26 і 27, Офіційний вісник ЄС
Про автора
Artem Synytskyi · Співзасновник · ШІ
Artem очолює напрям ШІ в ESADEX і створює LLM, RAG та системи транскрипції для галузей із нормативними вимогами.