Poza RODO obowiązuje drugie prawo europejskie, które stopniowo wchodzi w życie: rozporządzenie o AI, zwane również AI Act. Prawo to nie reguluje samej prywatności, lecz wykorzystanie sztucznej inteligencji i w ten sposób dotyka dokładnie tych narzędzi, które wiele firm z sektora MŚP używa już na co dzień: chatbota do kontaktu z klientami, skanera CV podczas rekrutacji lub oprogramowania analizującego nagrania z kamer. Dla firm wdrażających takie narzędzia w tym roku i w następnych latach będą sukcesywnie pojawiały się nowe obowiązki, oprócz tego, co już wymaga RODO.
To, czy ma to znaczenie dla Twojej firmy, zależy od tego, co dokładnie robi aplikacja AI i jakie dane wykorzystuje. Jeśli używasz AI wyłącznie do pisania tekstów lub planowania harmonogramów, dla Ciebie prawdopodobnie niewiele się zmieni. Jeśli jednak używasz AI do wspierania decyzji dotyczących osób — wyboru kandydatów, oceny pracowników, klasyfikacji klientów do kategorii ryzyka — większa jest szansa, że nowe przepisy Cię dotkną i będą one razem z RODO patrzeć na to samo przetwarzanie danych osobowych.
Co się zmienia w tym roku
Rozporządzenie o AI nie weszło w życie jednocześnie. Prawo ma różne daty wejścia w życie dla poszczególnych części, rozłożone na kilka lat. Tak więc istnieją bardziej rygorystyczne zasady dla systemów AI klasyfikowanych jako obarczone ryzykiem i oddzielne obowiązki dla dostawców ogólnych modeli AI. Która dokładnie data ma zastosowanie do którego elementu, wyszczególniono w samym rozporządzeniu; ponieważ jest to fazowy proces, zalecamy zapoznanie się z oficjalnym tekstem, aby ustalić dokładne daty mające zastosowanie do Twojej sytuacji, zamiast polegać na podsumowaniu.
To, co jest pewne, to kierunek: im większy wpływ aplikacji AI na ludzi — przy rekrutacji, ocenie, dostępie do usług — tym bardziej rygorystyczne są wymogi. Jest to zgodne z tym, jak RODO od dłuższego czasu patrzy na podejmowanie decyzji w sposób zautomatyzowany, ale rozporządzenie o AI dodaje do tego własne obowiązki, takie jak wymogi dotyczące dokumentacji, przejrzystości wobec osoby, której dane dotyczą i, w niektórych przypadkach, obowiązkowa ocena przed uruchomieniem systemu.
Dla kogo zmiany te niosą się za sobą
Rozporządzenie rozróżnia role: kto opracowuje lub wprowadza system AI na rynek, ma inne obowiązki niż kto go jako przedsiębiorstwo jedynie stosuje. Większość firm z sektora MŚP znajduje się w drugiej kategorii, jako użytkownik narzędzia zbudowanego przez dostawcę oprogramowania. Także w tym przypadku obowiązki istnieją, chociaż są one zwykle mniej uciążliwe niż dla twórcy systemu. Myśl o informowaniu pracowników lub klientów, że używana jest sztuczna inteligencja, i o ocenie, czy użycie mieści się w granicach ustawy.
Działy HR, które używają AI przy rekrutacji lub ocenie, oraz firmy, które pozwalają oprogramowaniu analizować nagrania z kamer, powinny już teraz inventaryzować, które dokładnie to narzędzia i co robią z danymi. Jest to ta sama inventaryzacja, którą RODO już wymaga dla rejestru przetwarzania, i te dwie linie — RODO i rozporządzenie o AI — w praktyce często idą ze sobą w parze.
Co to oznacza oprócz RODO
Rozporządzenie o AI nie zastępuje RODO i nie czyni go zbędnym. Jeśli narzędzie AI przetwarza dane osobowe, RODO pozostaje stosowalne do tego przetwarzania, w tym wymóg podstawy prawnej, obowiązek informacji wobec osoby, której dane dotyczą i, gdzie to właściwe, umowa przetwarzania danych z dostawcą narzędzia. Rozporządzenie o AI w określonych przypadkach to uzupełnia, z własnymi wymogami dotyczącymi konkretnie systemu AI, niezależnie od pytania, czy dane osobowe są zaangażowane.
Jeśli coś pójdzie nie tak z danymi osobowymi podczas korzystania z narzędzia AI — chatbot, który przypadkowo udostępnia dane klientów złej osobie, lub system, który przechowuje dane bez bezpieczeństwa — obowiązek zgłoszenia wynikający z RODO pozostaje w pełnej mocy. Jeśli nie masz pewności, czy incydent z narzędziem AI podlega temu obowiązkowi zgłoszenia, możesz to pokazać w kilku pytaniach, czy chodzi o obowiązkowe zgłoszenie naruszenia danych.
Co możesz zrobić już teraz
Bez czekania na każdą datę, możesz już teraz zmapować, które narzędzia AI są wykorzystywane w Twojej firmie, do czego, i czy przetwarzane są w nich dane osobowe. Ten wykaz jest również podstawą rejestru przetwarzania danych, o który już prosi RODO, i oba cele — rejestr RODO i przegląd AI — możesz osiągnąć w jednym ruchu. Gdpria.eu utrzymuje w bazie wiedzy na temat każdego zagadnienia co się dzieje wokół AI i ochrony prywatności, ze wskazaniem miejsca w oficjalnym tekście, abyś mógł sam sprawdzić, co ma zastosowanie do Twojej sytuacji.
Jeśli masz pytania dotyczące tego, jak korzystanie z AI odnosi się do istniejących już obowiązków wynikających z RODO, znajdziesz wiele odpowiedzi w Często zadawane pytania. Aby dowiedzieć się, jak uzyskaliśmy informacje i dlaczego celowo pozostają one przy źródle, przeczytaj to na stronie gdzie pochodzą informacje.
To, czy i jak dokładnie zasady te mają zastosowanie do Twojej firmy, najlepiej jest ocenić za pośrednictwem prawnika lub, w przypadku wątpliwości dotyczących strony RODO, zapytać u Autorytet Ochrony Danych Osobowych. Jeśli chcesz najpierw sami uzyskać obraz sytuacji, możesz bez zobowiązania do czegokolwiek przeprowadzić bezpłatną szybką ocenę lub przejrzeć tematy w bazie wiedzy.