Vedle GDPR platí druhá evropská právní úprava, která se postupně uplatňuje: nařízení o umělé inteligenci, nazývané také zákon o AI. Tato právní úprava neupravuje samotnou ochranu osobních údajů, ale používání umělé inteligence, a právě proto se týká nástrojů, které mnoho malých a středních podniků v současné době denně používá: chatbot pro kontakt se zákazníky, skener CV při náboru, nebo software, který analyzuje záznamy z kamer. U podniků, které tyto nástroje používají, se letos a v příštích letech postupně přidávají nové povinnosti vedle toho, co již vyžaduje GDPR.
Zda je to pro váš podnik relevantní, závisí na tom, co přesně daná aplikace umělé inteligence dělá a s jakými údaji pracuje. Pokud AI používáte pouze k vytváření textů nebo k plánování kalendáře, pravděpodobně se pro vás moc změní. Pokud AI používáte k podpoře rozhodování o jednotlivcích — výběr uchazečů, hodnocení zaměstnanců, zařazování zákazníků do kategorií rizika — je větší pravděpodobnost, že vás nová pravidla postihnou a že se společně s GDPR budou zabývat stejným zpracováním osobních údajů.
Co se mění letos
Nařízení o umělé inteligenci nevstoupilo v platnost najednou. Zákon má různá data, kdy se jednotlivé části uplatňují, rozložená na více let. Takže existují přísnější pravidla pro systémy umělé inteligence, které jsou klasifikovány jako rizikové, a existují samostatné povinnosti pro poskytovatele obecných modelů AI. Jaké konkrétní datum platí pro kterou část, je uvedeno v samotném nařízení; jelikož se jedná o postupný proces, doporučujeme vám konzultovat oficiální text, abyste zjistili přesná data platná pro vaši situaci, spíše než spoléhat se na shrnutí.
Co je jisté, je směr: čím více má aplikace umělé inteligence vliv na lidi — při náboru, hodnocení, přístupu ke službám — tím přísnější jsou požadavky. To odpovídá tomu, jak se GDPR již delší dobu zabývá automatizovaným rozhodováním, ale nařízení o umělé inteligenci přidává vlastní povinnosti, jako jsou požadavky na dokumentaci, transparentnost vůči subjektům údajů a v určitých případech povinné posouzení před spuštěním systému.
Pro koho to přináší změny
Nařízení rozlišuje role: kdo vyvíjí nebo uvádí na trh systém umělé inteligence, má jiné povinnosti než kdo ho jako podnik pouze používá. Většina malých a středních podniků spadá do druhé kategorie, jako uživatelé nástroje vytvořeného poskytovatelem softwaru. I v takovém případě existují povinnosti, ačkoli jsou obvykle méně náročné než pro tvůrce systému. Myslí se tím například informování zaměstnanců nebo zákazníků o tom, že se používá umělá inteligence, a posouzení, zda je jeho použití v souladu se zákonem.
Personální oddělení, která využívají AI při náboru nebo hodnocení, a podniky, které používají software na analýzu záznamů z kamer, by měly už nyní inventarizovat, které konkrétní nástroje to jsou a co s údaji dělají. Jedná se o stejnou inventarizaci, kterou již GDPR vyžaduje pro registr zpracování, a tyto dvě linie — GDPR a nařízení o umělé inteligenci — se v praxi často prolínají.
Co to znamená vedle GDPR
Nařízení o umělé inteligenci nenahrazuje GDPR a nedělá jej zbytečným. Pokud nástroj umělé inteligence zpracovává osobní údaje, GDPR se na toto zpracování stále vztahuje, včetně požadavku na právní základ, informační povinnosti vůči subjektům údajů a, je-li relevantní, smlouvy o zpracování s poskytovatelem nástroje. Nařízení o umělé inteligenci v určitých případech přichází na vrch s vlastními požadavky, které se konkrétně týkají systému umělé inteligence, bez ohledu na to, zda jsou zahrnuty osobní údaje.
Dojde-li při používání nástroje umělé inteligence k problému s osobními údaji — chatbot, který omylem sdílí údaje zákazníků se špatnou osobou, nebo systém, který údaje ukládá bez ochrany — zůstává povinnost hlášení podle GDPR plně platná. Pokud si nejste jisti, zda incident s nástrojem umělé inteligence spadá pod tuto hlášenou povinnost, můžete to v několika otázkách ukázat, zda jde o oznamovací povinnost při porušení dat.
Co už teď zvládnete
Aniž byste čekali na každé datum, můžete si hned zmapovat, které nástroje AI se ve vaší firmě používají, k čemu slouží a zda se při tom zpracovávají osobní údaje. Tento inventář je také základem registru zpracování, který již AVG vyžaduje, a obě cíle — registr AVG a přehled AI — můžete splnit jedním tahem. Gdpria.eu sleduje v znalostní bázi podle tématu co se děje kolem AI a ochrany osobních údajů, přičemž součástí je také odkaz na oficiální text, takže si sami můžete ověřit, co se vztahuje na vaši situaci.
Máte-li dotazy na to, jak používání AI souvisí s vašimi stávajícími povinnostmi dle AVG, najdete si řadu odpovědí v často kladených otázkách. Chcete-li se dozvědět, jak jsme k informacím dospěli a proč je vědomě zůstávají u zdroje, přečtěte si to na stránce kde informace pocházejí.
Zda a jak se tato pravidla přesně vztahují na vaši firmu, je nejlépe nechat posoudit právníka nebo si jej v případě pochybností ohledně stránky AVG mohou položit otázku Úřadu na ochranu osobních údajů. Chcete-li si nejdřív udělat představu o tom, kde stojíte, můžete bezplatně a bez závazku provést rychlou kontrolu nebo projít témata v znalostní bázi.