Osim GDPR-a, postoji drugi europski zakon koji se primjenjuje korak po korak: Uredba o AI-u, poznata i kao AI Act. Taj zakon ne uređuje samu privatnost, već korištenje umjetne inteligencije, te na taj način direktno zahvaća alate koje mnoga mala i srednja poduzeća sada svakodnevno koriste: chatbot za kontakt s kupcima, skener CV-a tijekom zapošljavanja ili softver koji analizira snimke s kamera. Za poduzeća koja koriste takve alate, ove godine i u nadolazećim godinama postepeno dolaze nove obaveze, iznad onoga što GDPR već zahtijeva.
Relevantna li je ova Uredba za vaše poduzeće ovisi o tome što točno AI-aplikacija radi i s kojim podacima. Ako AI koristite samo za izradu tekstova ili planiranje agenda, vjerojatno se za vas neće puno promijeniti. Ako AI koristite za podršku odlukama o ljudima — odabir kandidata, vrednovanje zaposlenika, kategorizaciju kupaca prema rizičnim kategorijama — veća je mogućnost da vas novi propisi zahvate, i da zajedno s GDPR-om gledaju na istu obradu osobnih podataka.
Što se ove godine mijenja
Uredba o AI-u nije stupila na snagu odjednom. Zakon ima različite datume na koje dijelovi istog stupaju na snagu, raspoređene tijekom nekoliko godina. Na primjer, stroži se propisi primjenjuju na AI-sustave koji se smatraju rizičnima, a odvojene obaveze postoje za davatelje opće AI-modele. Koja točno datum za koji dio vrijedi, navedeno je u samoj Uredbi; budući da je ovo postupno uvodenje, preporučujemo da konzultirate službeni tekst za točne datume koje se primjenjuju na vašu situaciju, umjesto da se oslanjate na sažetak.
Ono što je sigurno je smjer: što više AI-aplikacija ima utjecaja na ljude — pri zapošljavanju, vrednovanju, pristupu uslugama — to su zahtjevi stroži. To je u skladu s time kako GDPR već duže vremena gleda na automatizirano donošenje odluka, ali Uredba o AI-u dodaje svoje obaveze, kao što su zahtjevi za dokumentaciju, transparentnost prema subjektu podataka i, u određenim slučajevima, obavezna procjena prije nego što se sustav počne koristiti.
Za koje se ova promjena odnosi
Uredba razlikuje uloge: onaj koji razvija ili stavlja AI-sustav na tržište ima drugačije obaveze od onoga koji ga kao poduzeće samo koristi. Većina malih i srednjih poduzeća nalazi se u drugoj kategoriji, kao korisnik alata koju je izgradio dobavljač softvera. Čak i tada postoje obaveze, premda su doorgaans manje teške nego za graditelja sustava. Mislite na obavješćivanje zaposlenika ili kupaca da se koristi AI, i na procjenu jesu li korištenje u dozvoljenim granicama zakona.
HR-odjeli koji koriste AI pri zapošljavanju ili vrednovanju, i poduzeća koja snimke s kamera analiziraju softverom, trebali bi sada inventarizirati koji su to točno alati i što s podacima rade. To je ista inventarizacija koju GDPR već traži za register obrade, i ta dva kola — GDPR i Uredba o AI-u — u praksi se često poklapaju.
Što to znači osim GDPR-a
Uredba o AI-u ne zamjenjuje GDPR niti ga čini nepotrebnim. Ako AI-alat obrađuje osobne podatke, GDPR ostaje primjenjiv na tu obradu, uključujući zahtjev za pravnom osnovom, obavezu informiranja subjekta podataka i, gdje je relevantno, ugovor o obradi s dobavljačem alata. Uredba o AI-u u određenim slučajevima dolazi na vrh toga, s vlastitim zahtjevima specifičnim za AI-sustav, neovisno od pitanja jesu li osobni podaci uključeni.
Ako nešto krene po zlu s osobnim podacima pri korištenju AI-alata — chatbot koji versehentlich dijeli podatke o kupcima s krivom osobom, ili sustav koji podatke sprema nezaštićeno — obveza prijave iz GDPR-a i dalje u potpunosti vrijedi. Ako niste sigurni jesu li incident s AI-alatom obuhvaćen tom obvezom prijave, možete to pokazati u nekoliko pitanja radi li se o prijavnoj povredu podataka.
Što već sada možete učiniti
Bez čekanja na svaki rok, već sada možete sustavno pregledati koje AI-alate koristi vaše poduzeće, za što, i obrađuju li se pri tome osobni podaci. Taj pregled je ujedno temelj registra obrade podataka koji već traži Uredba, a ta dva cilja — registar prema Uredbi i AI-pregled — možete ostvariti u jednom koraku. Gdpria.eu prati u bazi znanja po tematici što se trenutno događa oko AI-a i zaštite privatnosti, s navodom izvora u službenom tekstu, kako biste sami mogli provjeriti što se primjenjuje na vašu situaciju.
Ako imate pitanja kako AI-korištenje stoji u odnosu prema vašim postojećim obvezama prema Uredbi, odgovore ćete pronaći kod često postavljanim pitanjima. O tome kako dolazimo do naših informacija i zašto one ostaju namjerno vezane uz izvor, čitajte na stranici odakle dolaze informacije.
Jesu li i kako se ta pravila točno primjenjuju na vaše poduzeće, najbolje je da procijeni pravnik ili, ako ste nesigurni glede Uredbe, da se raspitate kod Agencije za zaštitu podataka. Želite li prvo sami steći pregled gdje se nalazite, tada možete bez obveze obaviti besplatnu brzinu procjenu ili pregledati tematike u bazi znanja.