Okrem GDPR platí druhý európsky zákon, ktorý sa postupne uplatňuje: Nariadenie o AI, tiež známe ako AI Act. Tento zákon neupravuje samotný ochran súkromia, ale používanie umelej inteligencie a tým priamo postihuje nástroje, ktoré väčšina malých a stredných podnikov dnes denne používa: chatbot na komunikáciu so zákazníkmi, skener CV pri nábore zamestnancov alebo softvér, ktorý analyzuje záznamy z kamier. Pre podniky, ktoré takéto nástroje používajú, vznikajú v tomto roku a v nasledujúcich rokoch postupne nové povinnosti navyše k tomu, čo už vyžaduje GDPR.
Či je to pre váš podnik relevantné, závisí od toho, čo presne aplikácia AI robí a s akými údajmi. Ak používate AI len na vytvárame textov alebo plánovanie harmonogramov, pre vás sa pravdepodobne veľa nezmení. Ak používate AI na podporu rozhodnutí o ľuďoch — výber uchádzačov, hodnotenie zamestnancov, klasifikácia zákazníkov do kategórií rizika — je väčšia šanca, že vás nové pravidlá ovplyvnia a že budú spolu s GDPR pozerať na rovnaké spracúvanie osobných údajov.
Čo sa mení v tomto roku
Nariadenie o AI nevstúpilo v platnosť naraz. Zákon má rôzne dátumy, kedy sa jednotlivé časti začínajú uplatňovať, rozdelené na niekoľko rokov. Takže existujú prísnejšie pravidlá pre systémy AI klasifikované ako riziková a samostatné povinnosti pre poskytovateľov všeobecných modelov AI. Ktorý dátum sa vzťahuje na ktorú časť, je uvedený v samotnom nariadení; keďže ide o postupný proces, odporúčame vám poradiť si so samotným oficiálnym textom, aby ste zistili presné dátumy vzťahujúce sa na vašu situáciu, namiesto toho, aby ste sa spoliehali na zhrnutie.
Čo je isté, je smer: čím väčší vplyv má aplikácia AI na ľudí — pri nábore, hodnotení, prístupe k službám — tým ťažšie sú požiadavky. To je v súlade s tým, ako GDPR už dlhšie pozerá na automatizované rozhodovanie, ale Nariadenie o AI pridáva vlastné povinnosti, ako sú požiadavky na dokumentáciu, transparentnosť voči dotknutej osobe a v určitých prípadoch povinné posúdenie pred uvedením systému do prevádzky.
Pre koho to prináša zmeny
Nariadenie rozlišuje úlohy: kto vyvíja alebo uvedie na trh systém AI, má iné povinnosti ako podnik, ktorý ho len používa. Väčšina malých a stredných podnikov spadá do druhej kategórie, ako používatelia nástroja vytváraného softvérovým dodávateľom. Aj v tom prípade existujú povinnosti, aj keď sú zvyčajne menej náročné ako pre tvorcov systému. Myslite na informovanie zamestnancov alebo zákazníkov o tom, že sa používa AI, a na posúdenie, či je používanie v súlade so zákonom.
Personálne oddelenia, ktoré používajú AI pri nábore alebo hodnotení, a podniky, ktoré nechávajú analyzovať záznamy z kamier softvérom, by teraz mali inventarizovať, ktoré presne nástroje to sú a čo robia s údajmi. Je to rovnaká inventarizácia, ktorú GDPR už vyžaduje pre register spracúvania, a tieto dve línie — GDPR a Nariadenie o AI — sa v praxi často spájajú.
Čo to znamená okrem GDPR
Nariadenie o AI nenahrádzuje GDPR a ani ho nespochybňuje. Ak spracúvava nástroj AI osobné údaje, GDPR naďalej platí na toto spracúvanie, vrátane požiadavky na právny základ, oznamovacej povinnosti voči dotknutej osobe a v prípade potreby zmluvu o spracúvaní s dodávateľom nástroja. Nariadenie o AI sa v určitých prípadoch pripája, s vlastnými požiadavkami, ktoré konkrétne sa vzťahujú na systém AI, nezávisle od otázky, či sú osobné údaje zapojené.
Ak sa pri používaní nástroja AI niečo pokazí s osobnými údajmi — napríklad chatbot, ktorý omylom zdieli údaje zákazníka so zlou osobou, alebo systém, ktorý uchovávam údaje nezabezpečene — naďalej sa uplatňuje povinnosť oznámiť podľa GDPR. Ak si nie ste istí, či incident s nástrojom AI spadá pod túto oznamovaciu povinnosť, môžete to v niekoľkých otázkach ukázať, či ide o hlásením povinný incident ochrany údajov.
Čo môžete urobiť hneď teraz
Bez toho, aby ste čakali na každý dátum, môžete si teraz premapovať, ktoré nástroje umelej inteligencie sa v rámci vášho podniku používajú, na aké účely a či sa pri tom spracúvajú osobné údaje. Tento zoznam je tiež základom registra spracovateľských aktivít, ktorý už GDPR vyžaduje, a tieto dva ciele — registra GDPR a prehľad AI — môžete dosiahnuť jedným ťahom. Gdpria.eu sleduje v znalostnej banke podľa témy čo sa deje okolo AI a ochrany súkromia, s odkazom na pôvodný text, aby ste si mohli sami overiť, čo sa vzťahuje na vašu situáciu.
Máte otázky o tom, ako sa používanie AI vzťahuje na vaše existujúce povinnosti podľa GDPR, odpovede nájdete na často kladené otázky. Zistite na stránke, ako sme sa k svojim informáciám dostali a prečo vedome zostávajú pri zdroji. kde sa informácie berú.
Či a ako presne sa tieto pravidlá vzťahujú na váš podnik, je niečo, čo si môžete nechať posúdiť právnikom, alebo ak budete pochybovať o aspekte GDPR, sa môžete poradiť s orgánom na ochranu údajov. Ak si chcete najprv urobiť predstavu o tom, kde stojíte, môžete bezplatne absolvovať bezplatný rýchly test alebo si preštudovať témy v znalostnej banke.