Pe lângă RGPD, există o a doua lege europeană care se aplică pas cu pas: Regulamentul privind IA, cunoscut și sub denumirea de AI Act. Acea lege nu reglementează confidențialitatea în sine, ci utilizarea inteligenței artificiale, și afectează exact instrumentele pe care multe IMM-uri le folosesc zilnic: un chatbot pentru contactul cu clienții, un scanner de CV-uri la recrutare, sau software care analizează imagini de cameră. Pentru companiile care utilizează aceste instrumente, vor exista obligații noi treptat în acest an și în anii următori, peste ceea ce solicită deja RGPD.
Dacă aceasta este relevantă pentru compania dvs. depinde de ceea ce face exact aplicația IA și cu ce date lucrează. Dacă utilizați IA doar pentru a redacta texte sau pentru a planifica agende, atunci s-ar putea să se schimbe puțin pentru dvs. Dacă utilizați IA pentru a susține decizii cu privire la oameni — selectarea candidaților, evaluarea personalului, clasificarea clienților în categorii de risc — atunci este mai probabil ca noile reguli să vă afecteze, și vor privi aceeași prelucrare de date cu caracter personal din perspectiva atât a RGPD cât și a Regulamentului privind IA.
Ce se schimbă în acest an
Regulamentul privind IA nu a intrat în vigoare dintr-o dată. Legea are diferite date în care părți din ea devin aplicabile, răspândite pe mai mulți ani. De exemplu, reguli mai stricte se aplică sistemelor de IA clasificate ca fiind riscante, și există obligații separate pentru furnizorii modelelor de IA generale. Data exactă pentru fiecare parte este prevăzută în regulament; deoarece acesta este un proces trecut, vă recomandăm să consultați textul oficial pentru datele exacte care se aplică situației dvs., în loc să vă bazați pe un rezumat.
Ceea ce este sigur este direcția: cu cât o aplicație de IA are mai multă influență asupra oamenilor — la recrutare, evaluare, acces la servicii — cu atât cerințele sunt mai stricte. Aceasta se aliniază cu modul în care RGPD privește deja luarea deciziilor automatizate de mult timp, dar Regulamentul privind IA adaugă obligații proprii, cum ar fi cerințe de documentare, transparență către persoană și, în anumite cazuri, o evaluare obligatorie înainte ca sistemul să fie pus în funcțiune.
Pentru cine aceasta aduce schimbări
Regulamentul distinge roluri: cine dezvoltă sau pune pe piață un sistem de IA are obligații diferite decât o companie care îl folosește doar ca utilizator. Majoritatea IMM-urilor se încadrează în a doua categorie, ca utilizatori ai unui instrument construit de un furnizor de software. Și în acel caz, se aplică obligații, deși acestea sunt de obicei mai puțin stricte decât pentru constructorul sistemului. Gândiți-vă la informarea angajaților sau a clienților că se utilizează IA, și la evaluarea dacă utilizarea se încadrează în limitele legii.
Departamentele de resurse umane care utilizează IA la recrutare sau evaluare, și companiile care lasă software-ul să analizeze imagini de cameră, ar trebui să inventarieze acum exact ce instrumente sunt și ce fac cu datele. Aceasta este aceeași inventariere pe care RGPD o solicită deja pentru registrul de prelucrare, și cele două linii — RGPD și Regulamentul privind IA — se desfășoară adesea în paralel în practică.
Ce înseamnă aceasta pe lângă RGPD
Regulamentul privind IA nu înlocuiește RGPD și nici nu îl face inutil. Dacă un instrument de IA prelucrează date cu caracter personal, atunci RGPD rămâne aplicabil asupra acestei prelucrări, inclusiv cerința unei baze legale, obligația de informare a persoanei și, acolo unde este relevant, un acord de prelucrare cu furnizorul instrumentului. Regulamentul privind IA se adaugă în anumite cazuri, cu cerințe proprii care vizează specific sistemul de IA, independent de întrebarea dacă sunt implicate date cu caracter personal.
Dacă ceva merge prost cu datele cu caracter personal la utilizarea unui instrument de IA — un chatbot care accidental împărtășește date de client cu persoana greșită, sau un sistem care stochează datele nesecurizat — obligația de notificare din RGPD rămâne în vigoare integral. Dacă vă îndoiți dacă un incident cu un instrument de IA se încadrează sub această obligație de notificare, puteți arătați în câteva întrebări dacă este vorba despre o încălcare de date care trebuie raportată.
Ce puteți face deja acum
Fără a aștepta fiecare dată, puteți deja să cartografiați ce instrumente de inteligență artificială sunt utilizate în cadrul companiei dumneavoastră, în ce scop și dacă sunt procesate date cu caracter personal. Această inventariere este, de asemenea, baza registrului de activități de prelucrare pe care GDPR-ul cere deja, iar aceste două obiective — registrul GDPR și prezentarea generală a inteligenței artificiale — le puteți realiza într-o singură mișcare. Gdpria.eu menține în banca de cunoștințe per subiect ceea ce se întâmplă în jurul inteligenței artificiale și protecției datelor, cu locul în textul oficial alături, astfel încât să puteți verifica ce se aplică situației dumneavoastră.
Dacă aveți întrebări cu privire la modul în care utilizarea inteligenței artificiale se raportează la obligațiile dumneavoastră existente conform GDPR, veți găsi o serie de răspunsuri la întrebări frecvente. Pentru întrebarea cum ajungem la informațiile noastre și de ce alegem în mod deliberat să rămânem la sursă, citiți despre asta pe pagina de unde provin informațiile.
Dacă și cum se aplică exact aceste reguli companiei dumneavoastră este ceva pe care cel mai bine o puteți face să fie evaluat de un jurist sau, dacă aveți îndoieli cu privire la GDPR, puteți întreba Autoritatea de Protecție a Datelor. Dacă doriți mai întâi să vă faceți o imagine a poziției dumneavoastră, puteți efectua gratuit o scanare rapidă fără obligații sau puteți parcurge subiectele din banca de cunoștințe.