Lisaks GDPR-ile kehtib teine Euroopa seadus, mis kehtestub samm-sammult: tehisintellekti määrus, mida nimetatakse ka AI aktiks. See seadus ei reguleeri privaatsust ennast, vaid tehisintellekti kasutamist, ja see puudutab seega just neid vahendeid, mida paljud väike- ja keskmise suurusega ettevõtted praegu iga päev kasutavad: chatbot kliendikontaktiks, CV-skanner värbamisel või tarkvara, mis analüüsib kaamerapilte. Ettevõtete jaoks, kes selliseid vahendeid kasutavad, tekivad sel ja järgmistel aastatel järk-järgult uued kohustused, lisaks sellele, mida GDPR juba nõuab.
Kas see on teie ettevõtte jaoks asjakohane, sõltub sellest, mida tehisintellekti rakendus täpselt teeb ja milliste andmetega töötab. Kui kasutate tehisintellekti ainult tekstide koostamiseks või ajakaavade planeerimiseks, siis tõenäoliselt ei muutu teie jaoks palju. Kui kasutate tehisintellekti inimeste kohta otsuste toetamiseks — kandidaatide valimine, personali hindamine, klientide kategoriseerimine riskikategooriatesse — siis on suurem tõenäosus, et uued reeglid teid puudutavad, ja nad vaatavad koos GDPR-iga sama isikuandmete töötlemise juurde.
Mis muutub sel aastal
Tehisintellekti määrus ei astunud kehtima ühe korraga. Seadus kätkeb erinevaid kuupäevi, millal selle osad kehtestuvad, jaotatuna mitme aasta peale. Nii kehtivad rangemad reeglid tehisintellekti süsteemidele, mida käsitletakse riskantsetena, ja eraldi kohustused üldiste tehisintellekti mudelite pakkujatele. Milline kuupäev millise osa jaoks kehtib, on määruses ise; kuna see on järkjärguline protsess, soovitame teil ametliku teksti konsulteerida täpsete kuupäevade osas, mis teie olukorra jaoks kehtivad, selle asemel, et tugineda kokkuvõttele.
See aga on selge: mida rohkem mõju omab tehisintellekti rakendus inimestele — värbamisel, hindamisel, teenuste juurdepääsu puhul — seda rangemad on nõudmised. See on kooskõlas sellega, kuidas GDPR on juba ammu automatiseeritud otsuseid vaatanud, kuid tehisintellekti määrus lisab sellele omad kohustused, näiteks nõudmised dokumentatsiooni, läbipaistvuse ja teatud juhtudel kohustuslike hindamiste kohta enne süsteemi kasutusele võtmist.
Kellele toob see muutusi
Määrus eristab rolle: kellel on tehisintellekti süsteem arendatud või turule viidud, neil on erinevad kohustused kui ettevõttel, kes seda ainult kasutab. Enamik väike- ja keskmise suurusega ettevõtteid kuuluvad teise kategooria alla, vahendi kasutajana, mille on koostanud tarkvara pakkuja. Ka siis kehtivad kohustused, kuigi need on tavaliselt vähem ranged kui süsteemi looja jaoks. Mõelge töötajate või klientide informeerimisele, et kasutatakse tehisintellekti, ja hindamisele, kas kasutus jääb seaduse piiridesse.
Personaliosakondade, kes värbamisel või hindamisel tehisintellekti kasutavad, ja ettevõtetele, kes laste kaamerapilte tarkvara abil analüüsida, teevad tark otsuse juba nüüd inventeerida, millised vahendid need täpselt on ja mida nad andmete abil teevad. See on sama inventuur, mida GDPR juba küsib töötlemisregistrile, ja need kaks joont — GDPR ja tehisintellekti määrus — käivad praktikas sageli paralleelselt.
Mida see tähendab lisaks GDPR-ile
Tehisintellekti määrus ei asenda GDPR-i ega tee teda tarbetust. Kui tehisintellekti vahend töötleb isikuandmeid, kehtib GDPR-i see töötlemine siiski, sealhulgas õiguslik alus, teabepflicht andmete omanikule ja vajaduse korral töötleja leping vahendi pakkujaga. Tehisintellekti määrus lisandub teatavatel juhtudel omaette nõudmistega, mis käsitlevad spetsiifiliselt tehisintellekti süsteemi, olenemata sellest, kas andmete töötlemine toimub.
Kui midagi läheb valesti tehisintellekti vahendiga isikuandmete töötlemisel — chatbot, kes kogemata jagab kliendi andmeid valele isikule, või süsteem, mis salvestab andmed turvaliselt — kehtib GDPR-i teatamiskohustus endiselt täielikult. Kui teil on kahtlused, kas juhtum tehisintellekti vahenditega kuulub selle teatamiskohustuse alla, võite seda kontrollida näidata paar küsimusega, kas tegemist on teatamiskohustusega andmekaitseavariiega.
Mida saate juba nüüd teha
Ilma iga kuupäeva ootamata saate juba nüüd üle vaadata, milliseid tehisintellekti vahendeid teie ettevõttes kasutatakse, milleks ja kas nendega töödeldakse isikuandmeid. See inventuur on ka aluseks töötlemisandmete registrile, mida käsitleja määrus juba nõuab, ja need kaks eesmärki — GDPR-register ja tehisintellekti ülevaade — saate korraldada ühes käigus. Gdpria.eu jälgib teadmistebaasis teemade kaupa mis toimub tehisintellekti ja privaatsusega, koos viitega ametlikule tekstile, et saaksite ise kontrollida, mis teie olukorrale kehtib.
Kui teil on küsimusi selle kohta, kuidas tehisintellekti kasutamine on seotud teie olemasolevate GDPR-kohustuste, leiate paar vastust korduma kippuvad küsimused. Küsimuse kohta, kuidas me oma teavet saame ja miks see jääb teadlikult allikale, leiate selle kohta kust teave pärineb.
Kas ja kuidas need reeglid täpselt teie ettevõttele kehtivad, on asi, mida on kõige parem lasta juristil hinnata, või kahtluse korral GDPR aspektist arvata Andmekaitse Inspektsioonile. Kui soovite kõigepealt ise oma seisundist aru saada, saate tasuta kiirülevaatuse teha või käsitleja määrust käsitlevate teemade kohta lugeda.