Освен GDPR, има втора европейска директива, която се прилага постепенно: Регламентът за изкуствен интелект, известен също като AI Act. Този закон не регулира самата приватност, а използването на изкуствения интелект и по този начин засяга точно инструментите, които много МСП в момента използват ежедневно: чатбот за контакт с клиенти, скенер за CV при вербуване или софтуер, който анализира видеозаснимки от камери. За компании, които използват такива инструменти, тази година и в следващите години ще има постепенно нарастващи нови задължения, в допълнение към това, което вече изисква GDPR.
Дали това е релевантно за вашата компания, зависи от това точно какво прави приложението на изкуствения интелект и с какви данни работи. Ако използвате AI само за съставяне на текстове или планиране на график, то вероятно няма да се промени много за вас. Ако използвате AI, за да поддържате решения за хора — избиране на кандидати, оценяване на персонал, категоризиране на клиенти по рискови нива — то е по-вероятно новите правила да влияят на вас и те да разглеждат същата обработка на лични данни заедно с GDPR.
Какво се променя тази година
Регламентът за изкуствен интелект не влезе в сила наведнъж. Законът определя различни дати, в които части от него стават приложими, разпръснати в продължение на няколко години. Така че има по-строги правила за системи на изкуствен интелект, които се считат за рискови, и отделни задължения за доставчиците на генерални модели на изкуствен интелект. Кои точно дати се отнасят до кои части е посочено в самия регламент; тъй като това е постепенен процес, ние препоръчваме да консултирате официалния текст за точните дати, които се отнасят до вашата ситуация, вместо да разчитате на обобщение.
Това, което е известно, е посоката: колкото повече влияние има приложението на изкуствен интелект върху хората — при вербуване, оценяване, достъп до услуги — толкова по-строги са изискванията. Това отговаря на начина, по който GDPR вече дълго време разглежда автоматизирано вземане на решения, но Регламентът за изкуствен интелект добавя свои собствени задължения, като изисквания за документация, прозрачност към засегнатия субект и, в определени случаи, задължителна оценка преди системата да бъде пуснат в експлоатация.
За кого тази промяна носи последствия
Регламентът разграничава роли: който разработва или пуска на пазара система на изкуствен интелект, има различни задължения от компания, която я използва само като инструмент. Повечето МСП се намират в втората категория, като потребители на инструмент, изграден от софтуерен доставчик. И тогава имат задължения, макар че обикновено те са по-леки, отколкото за строителя на системата. Мислете на информирането на служители или клиенти, че се използва изкуствен интелект, и на оценката дали използването попада в границите на закона.
HR отделенията, които използват AI при вербуване или оценяване, и компании, които пускат видеозаснимки да бъдат анализирани чрез софтуер, биха направили добре да инвентаризират вече кои са точно тези инструменти и какво правят с данните. Това е същата инвентаризация, която GDPR вече изисква за регистъра на обработващите дейности, и тези два пътя — GDPR и Регламентът за изкуствен интелект — в практиката често вървят паралелно.
Какво означава това в допълнение към GDPR
Регламентът за изкуствен интелект не замества GDPR и не го прави излишен. Ако инструмент на изкуствения интелект обработва лични данни, GDPR остава приложим към тази обработка, включително изискването за законно основание, задължението да информирате засегнатия субект и, където е уместно, договор за обработка с доставчика на инструмента. Регламентът за изкуствен интелект идва отгоре в определени случаи, с собствени изисквания, които са специфични за системата на изкуствения интелект, независимо от въпроса дали има включени лични данни.
Ако нещо се обърка при използването на инструмент на изкуствения интелект с лични данни — чатбот, който случайно дели клиентски данни с грешното лице, или система, която съхранява данни без защита — задължението за докладване от GDPR остава в пълна сила. Ако се съмнявате дали инцидент с инструмент на изкуствения интелект попада под това задължение за докладване, можете да покажете в няколко въпроса дали е налице задължение да се докладва нарушение на данни.
Какво вече можете да направите сега
Без да чакате всеки краен срок, вече сега можете да направите инвентаризация кои AI-инструменти се използват във вашата компания, за какво и дали при това се обработват перsoални данни. Тази инвентаризация е и основата на регистъра на дейностите по обработка, който GDPR вече изисква, и тези две цели — регистър по GDPR и преглед на AI — можете да постигнете в едно действие. Gdpria.eu поддържа в conhecimento по тема какво се случва с AI и приватност, със сочване на официалния текст, за да можете сами да проверите какво важи за вашата ситуация.
Ако имате въпроси как използването на AI се отнася към вашите съществуващи задължения по GDPR, ще намерите брой отговори на често задавани въпроси. За въпроса как добиваме информацията и защо съзнателно я съхраняваме при източника, прочетете това на страницата откъде идва информацията.
Дали и как точно тези правила важат за вашата компания, е нещо, което най-добре можете да оцените чрез юрист или, ако се съмнявате по отношение на GDPR страната, можете да попитате Органа за защита на данните. Ако първо искате да си направите представа къде стойте, можете безобвързващо да направите безплатния бърз преглед или да преминете през темите в базата от знания.