Az GDPR mellett egy másik európai jogszabály lép fokozatosan életbe: a Mesterséges Intelligencia Rendelet, más néven AI-törvény. Ez a jogszabály nem közvetlenül az adatvédelemre vonatkozik, hanem a mesterséges intelligencia használatára, és így közvetlenül érinti azokat az eszközöket, amelyeket számos kkv-vállalat naponta használ: ügyfélszolgálati chatbot, önéletrajz-szűrő a toborzásnál, vagy olyan szoftver, amely kameraképeket elemez. Az ilyen eszközöket használó vállalatok számára az idén és a következő években fokozatosan új kötelezettségek lépnek életbe, az GDPR által már megkötötteken felül.
Az, hogy ez az Ön vállalata számára releváns-e, attól függ, hogy a mesterséges intelligencia alkalmazása pontosan mit csinál és milyen adatokkal dolgozik. Ha az AI-t csak szövegek összeállítására vagy naptárak tervezésére használja, akkor az Ön számára valószínűleg nem sok változás következik be. Ha az AI-t az emberekre vonatkozó döntések támogatására használja — jelölteket választ ki, alkalmazottakat értékel, ügyféleket kockázati kategóriákba sorol — akkor nagyobb az esélye annak, hogy az új szabályok Önre vonatkoznak, és az GDPR-val egyidejűleg ugyanazon személyes adatok feldolgozásait vizsgálják.
Mi változik az idén
A Mesterséges Intelligencia Rendelet nem egyszerre lépett hatályba. A jogszabálynak különböző dátumai vannak, amelyeken annak részei hatályba lépnek, több éven keresztül szétszórva. Így szigorúbb szabályok vonatkoznak a kockázatosnak minősített mesterséges intelligencia rendszerekre, és külön kötelezettségek vonatkoznak az általános mesterséges intelligencia modellek szolgáltatóira. Mely dátum mely részre vonatkozik pontosan, az magában a rendeletben szerepel; mivel ez egy fázisokra osztott folyamat, azt javasoljuk, hogy az Ön helyzetére vonatkozó pontos dátumokért az alábbiak helyett az officiális szöveget tanulmányozza át.
Az, ami megállapított, az az irány: minél nagyobb befolyása van a mesterséges intelligencia alkalmazásának az emberekre — a toborzásnál, az értékelésnél, a szolgáltatásokhoz való hozzáférésnél — annál súlyosabbak a követelmények. Ez összhangban van azzal, ahogyan az GDPR már hosszabb ideje az automatizált döntéshozatalt vizsgálja, de a Mesterséges Intelligencia Rendelet saját kötelezettségeket ad hozzá, például a dokumentáció követelményeit, az átláthatóságot az érintett felé és bizonyos esetekben a kötelező értékelést, mielőtt a rendszer használatba lépne.
Akik számára ez változást hoz
A rendelet szerepeket különböztet meg: aki egy mesterséges intelligencia rendszert fejleszt vagy piacra hoz, más kötelezettségei vannak, mint annak, aki azt egy vállalat csupán felhasználójaként használja. A legtöbb kkv-vállalat a második kategóriában van, mint egy szoftverszállító által készített eszköz felhasználója. Ez esetben is vannak kötelezettségek, bár ezek általában kevésbé szigorúak, mint a rendszer építőjének. Gondoljon arra, hogy tájékoztatja az alkalmazottakat vagy ügyfeleit arról, hogy az AI-t használja, és annak értékelésére, hogy a használat a törvény keretein belül esik-e.
Az emberi erőforrások osztályok, akik az AI-t a toborzásnál vagy értékelésnél használják, és azok a vállalatok, akik kameraképeket elemeztetnek szoftverrel, jól teszik, ha most már megkezdik annak felsorolását, hogy mely eszközök azok pontosan és mit csinálnak az adatokkal. Ez ugyanaz a felsorolás, amelyet az GDPR már követel meg az adatfeldolgozási nyilvántartáshoz, és ez a két vonal — GDPR és Mesterséges Intelligencia Rendelet — a gyakorlatban gyakran megy együtt.
Mit jelent ez az GDPR mellett
A Mesterséges Intelligencia Rendelet nem helyettesíti az GDPR-t, és nem teszi azt szükségtelenné sem. Ha egy mesterséges intelligencia eszköz személyes adatokat dolgoz fel, akkor az GDPR továbbra is alkalmazandó az adott feldolgozásra, beleértve a jogalap követelményét, az érintetteknek szóló tájékoztatási kötelezettséget, és ahol releváns, az adatfeldolgozási szerződést az eszköz szállítójával. A Mesterséges Intelligencia Rendelet bizonyos esetekben erre kerül, saját követelményeivel, amelyek kifejezetten a mesterséges intelligencia rendszerre vonatkoznak, függetlenül attól, hogy személyes adatok játszanak-e szerepet.
Ha egy mesterséges intelligencia eszköz használata során személyes adatokkal valami baj történik — egy chatbot véletlenül az ügyfél adatait megosztja a nem megfelelő személlyel, vagy egy rendszer az adatokat bizonytalan módon tárja fel — akkor az GDPR-ból eredő bejelentési kötelezettség teljes mértékben érvényben marad. Ha kétségei vannak azzal kapcsolatban, hogy egy mesterséges intelligencia eszközzel történt incidens a bejelentési kötelezettség alá tartozik-e, akkor azt néhány kérdéssel bemutatni, hogy egy bejelentendő adatvédelmi incidenséről van-e szó.
Mit tehet már most
Anélkül, hogy minden dátumra várnod kellene, már most feltérképezheted, hogy mely mesterséges intelligencia-eszközöket használnak a vállalkozásodon belül, milyen célokra, és hogy feldolgoznak-e személyes adatokat azok során. Ez a leltár egyben az alapja az adatkezelési nyilvántartásnak is, amelyet az AVG már kér, és e két célt — az AVG-nyilvántartást és a mesterséges intelligencia-áttekintést — egy lépésben teljesítheted. A Gdpria.eu a tudásbázisban témánként nyomon követi amit a mesterséges intelligencia és az adatvédelem körül játszódik, a megfelelő forráshellyel az eredeti szövegben, hogy magad ellenőrizhesd, mi vonatkozik a helyzetedre.
Ha kérdéseid vannak azzal kapcsolatban, hogy a mesterséges intelligencia használata hogyan viszonyul a meglévő adatvédelmi kötelezettségeidhez, választ találsz a gyakran feltett kérdésekben. Arról, hogy honnan szerezünk információt és miért marad az tudatosan a forrásnál, erről az oldalon olvashatod el: honnan származnak az információk.
Hogy és mennyire vonatkoznak ezek a szabályok pontosan a vállalkozásodra, azt egy jogász vagy az adatvédelmi szabályokkal kapcsolatos kétség esetén az Adatvédelmi Hatóság szívesen értékeli. Ha előbb saját képet szeretnél kapni arról, hogy hol tartasz, ingyenesen elvégezhetted a gyorsteszt vagy áttekintheted a tudásbázis témáit.