Poleg GDPR velja še drugi evropski zakon, ki se postopoma uporablja: Uredba o umetni inteligenci, znana tudi kot AI Act. Ta zakon ne ureja same zasebnosti, temveč uporabo umetne inteligence, in zato neposredno vpliva na orodja, ki jih mnoga MSP-podjetja že zdaj redno uporabljajo: chatbot za stik s strankami, skener življenjepisov pri zaposlovanju ali programska oprema, ki analizira posnetke kamer. Za podjetja, ki ta orodja uporabljajo, letos in v prihodnjih letih postopoma nastanejo nove obveznosti, poleg tega, kar zahteva že GDPR.
Ali je to za vaše podjetje relevantno, je odvisno od tega, kaj natančno počne uporaba umetne inteligence in s kakšnimi podatki. Če uporabljate umetno inteligenco le za sestavljanje besedil ali načrtovanje urnike, se za vas verjetno malo spremeni. Če uporabljate umetno inteligenco za podporo pri odločitvah o ljudeh — izbor kandidatov, ocena zaposlenih, razvrščanje strank v kategorije tveganja — je večja verjetnost, da vas nove pravile zadevajo in da skupaj z GDPR gledajo na isto obdelavo osebnih podatkov.
Kaj se letos spremeni
Uredba o umetni inteligenci ni stopila v veljavo naenkrat. Zakon ima različne datume, ko različni deli postanejo uporabni, razporejeni v več let. Veljajo se strožja pravila za sisteme umetne inteligence, ki so razvrščeni kot tvegani, in veljajo ločene obveznosti za ponudnike splošnih modelov umetne inteligence. Kateri točni datum velja za kateri del, je navedeno v sami uredbi; ker gre za postopno nalogo, vam priporočamo, da se posvetujete z uradno besedilo za točne datume, ki veljajo za vašo situacijo, namesto da bi se zanašali na povzetek.
Kar je zagotovo, je smer: čim več kot aplikacija umetne inteligence vpliva na ljudi — pri zaposlovanju, oceni, dostopu do storitev — tem težje so zahteve. To je v skladu s tem, kako GDPR že dalj časa gleda na avtomatizirano odločanje, vendar Uredba o umetni inteligenci k temu dodaja svoje obveznosti, kot so zahteve za dokumentacijo, preglednost do osebe, na katero se podatki nanašajo, in v določenih primerih obvezna ocena pred začetkom uporabe sistema.
Za koga to prinaša spremembe
Uredba razlikuje vloge: tisti, ki razvija ali na trg pripelje sistem umetne inteligence, ima drugačne obveznosti kot podjetje, ki ga le uporablja. Večina MSP-podjetij je v drugi kategoriji, kot uporabniki orodja, ki ga je zgradil ponudnik programske opreme. Tudi v tem primeru veljajo obveznosti, le da so te običajno lažje kot za graditelja sistema. Pomislite na obveščanje zaposlenih ali strank, da se uporablja umetna inteligenca, in na presojo, ali je uporaba v skladu z zakonom.
Oddelki za človeške vire, ki uporabljajo umetno inteligenco pri zaposlovanju ali oceni, in podjetja, ki dajo analizirati posnetke kamer s programsko opremo, bi morala takoj inventarizirati, katera orodja so to in kaj počnejo s podatki. To je ista inventarizacija, ki jo GDPR že zahteva za register obdelovanja podatkov, in ti dve liniji — GDPR in Uredba o umetni inteligenci — se v praksi pogosto prepletata.
Kaj to pomeni poleg GDPR
Uredba o umetni inteligenci GDPR ne nadomešča in ga tudi ne odpravi. Če orodje umetne inteligence obdeluje osebne podatke, GDPR ostane veljaven za to obdelavo, vključno s zahtevo po pravni podlagi, obveščanjem oseb, na katere se podatki nanašajo, in, kjer je relevantno, pogodbo obdelovalca s ponudnikom orodja. Uredba o umetni inteligenci v določenih primerih k temu dodaja lastne zahteve, ki se nanašajo posebej na sistem umetne inteligence, neodvisno od vprašanja, ali so osebni podatki vpleteni.
Če pri uporabi orodja umetne inteligence kaj narobe s podatki — chatbot, ki po naključju deli podatke strank z napačno osebo, ali sistem, ki podatke shranjuje nevarno — obveščanja iz GDPR ostane nespremenjeno veljavna. Če ste negotovi, ali se incident z orodjem umetne inteligence pod to obveznost prijave uvršča, lahko to v nekaj vprašanjih pokazati, ali gre za obvezno sporočanje o kršitvi podatkov.
Kaj lahko naredite že zdaj
Brez čakanja na vsak rok lahko že zdaj kartitiate, kateri orodja umetne inteligence se v vašem podjetju uporabljajo, za kaj in ali se pri tem obdelujejo osebni podatki. Ta inventarizacija je tudi osnova registra obdelav podatkov, ki ga zahteva GDPR, in ti dve nameni — register GDPR in pregled umetne inteligence — lahko dosežete naenkrat. Gdpria.eu pripravlja v bazi znanja po temah kaj se dogaja okrog umetne inteligence in zasebnosti, s citati iz uradnega besedila, da si lahko sami preverite, kaj velja za vašo situacijo.
Imate vprašanja o tem, kako se uporaba umetne inteligence ujema z vašimi obstoječimi obveznostmi po GDPR, odgovore najdete pri pogosto postavljena vprašanja. O tem, kako dobivamo naše informacije in zakaj jih namerno ohranjamo pri viru, preberite to na strani od koder izvirajo informacije.
Ali in kako se ta pravila natanko nanašajo na vaše podjetje, je stvar, ki jo je najbolje, da jo oceni pravnik ali, v primeru dvoma glede GDPR, vprašate Urad za nadzor. Če želite najprej sami dobiti predstavo o tem, kje ste, lahko brezplačno naredite hitri pregled ali pregledate teme v bazi znanja.