Procjena uticaja kod novog softvera i AI-ja: Kada preduzeće mora provjeriti obradu unaprijed

Novi softver ili AI-sistem ne treba pravno provjeravati tek nakon puštanja u rad. Odlučujuće je da li planirana obrada vjerovatno predstavlja visok rizik za prava i slobode fizičkih lica. Ako takav rizik postoji, procjena uticaja na zaštitu podataka mora se sprovesti prije početka obrade.

Ovaj tekst objašnjava prag i praktični postupak. Pokazuje koji su elementi važni kod nove tehnologije, kako preduzeće može organizovati procjenu i zašto opis proizvoda ili opšti registar obrada sami po sebi nisu dovoljni.

Član 35 stav 1 GDPR-a primjenjuje se kada obrada, naročito pri upotrebi novih tehnologija, zbog svoje prirode, obima, okolnosti i svrhe vjerovatno predstavlja visok rizik za prava i slobode fizičkih lica. Procjena je prethodni korak. Preduzeće ne treba prvo unijeti produkcijske podatke u sistem, a tek zatim pokušavati da opravda odluku.

Procjena uticaja nije sertifikat proizvoda niti opšta ocjena dobavljača. Ona se odnosi na konkretnu upotrebu: koji podaci se obrađuju, u koju svrhu, ko može biti pogođen, koji sistemi i primaoci učestvuju i kakve posljedice mogu nastati. Isti softver može se drugačije ocijeniti zavisno od podešavanja i grupe lica.

Nabavka, IT, stručna služba i odgovorno lice za zaštitu podataka moraju zato sarađivati dovoljno rano. Projektna kontrolna tačka treba da odobri produkcijsku upotrebu tek kada je provjera praga, a po potrebi i puna procjena, završena u potrebnom obimu.

Član 35 stav 3 GDPR-a posebno navodi sistematsku i sveobuhvatnu procjenu ličnih aspekata, uključujući profilisanje, obimnu obradu posebnih kategorija podataka i sistematsko obimno praćenje javno dostupnih prostora. To su važna polazišta, ali ne zamjenjuju procjenu konkretnog slučaja.

Kod softvera i AI-ja mogu se udružiti i drugi faktori: veliki broj lica, kriteriji koje je teško razumjeti, stalno posmatranje, spajanje više izvora podataka, mala mogućnost uticaja pogođenih lica ili odluke sa značajnim posljedicama. Jedan faktor ne odlučuje uvijek sam. Više faktora zajedno može bitno povećati rizik.

Ne procjenjujte samo tehnički učinak. Pitajte da li lica mogu očekivati obradu, da li se rezultati mogu kontrolisati, da li se greške mogu ispraviti i da li ljudska kontrola postoji stvarno, a ne samo formalno. U središtu treba da budu ljudi na koje obrada utiče.

Prezentacija proizvoda nije dovoljna za procjenu uticaja. Dokumentacija treba opisati stvarni slučaj upotrebe: koji ulazni podaci se koriste, kakav rezultat sistem proizvodi, ko ga vidi i koja radnja slijedi. Kod AI-ja treba razjasniti da li sistem stvara, razvrstava, boduje, predviđa ili procjenjuje sadržaj i da li rezultat utiče na odluku.

Posebno je važna granica između pomoći i odlučivanja. Alat koji zaposlenima pomaže pri pretraživanju razlikuje se od sistema koji odbacuje prijave, dodjeljuje rizik klijentima ili ocjenjuje zaposlene na osnovu podataka o ponašanju. Odlučuje stvarna upotreba, a ne naziv „asistent“.

Tekst o AI-ju na radnom mjestu i radnom sporazumu obrađuje radnopravno učešće. Pitanje procjene uticaja je odvojeno: riječ je o procjeni rizika konkretne obrade prije upotrebe.

1. Razjasnite svrhu i pravni osnov: Opišite poslovni problem i zašto je obrada potrebna. Nejasna svrha skoro uvijek vodi nejasnoj procjeni rizika.

2. Evidentirajte podatke i lica: Navedite kategorije podataka, izvore, primaoce, rok čuvanja i grupe lica. Provjerite posebne kategorije, podatke o krivičnim djelima i podatke djece.

3. Prikažite tokove podataka: Zabilježite module, interfejse, hosting, pristup podrške, izvršioce obrade i moguće prenose u treće zemlje. Stranica o izvršiocima obrade i pružaocima usluga pomaže pri provjeri uloga i lanca.

4. Provjerite nužnost i srazmjernost: Pitajte da li se svrha može postići sa manje podataka, kraćim čuvanjem ili manje invazivnom tehnologijom.

5. Procijenite posljedice: Razmotrite povjerljivost, integritet i dostupnost, ali i diskriminaciju, gubitak kontrole, pogrešnu klasifikaciju ili uskraćivanje usluge.

6. Odredite mjere: To mogu biti razdvajanje pristupa, zapisivanje aktivnosti, rokovi brisanja, ljudska kontrola, testiranje, obuka i postupak ispravke pogrešnih rezultata.

7. Dokumentujte odluku i kontrolu: Zabilježite preostale rizike, odgovornosti i razloge za novu procjenu. Procjena uticaja nije dokument koji se nakon odobrenja više nikada ne otvara.

Član 35 stav 7 GDPR-a traži, između ostalog, sistematski opis planirane obrade i svrha, procjenu nužnosti i srazmjernosti, procjenu rizika za prava i slobode i mjere za otklanjanje rizika. Dubina mora odgovarati riziku. Jednostavan postupak ne treba opterećivati vještačkom dokumentacijom, ali složen sistem bodovanja ne može se odobriti sa dvije stranice.

Ako je imenovan službenik za zaštitu podataka, odgovorni rukovalac prema članu 35 stav 2 GDPR-a traži njegov savjet. Odgovornost za odluku ostaje na rukovaocu. Savjet zato treba zabilježiti i uzeti u obzir u projektnoj odluci. Kod podataka zaposlenih treba uključiti i odgovarajuća radnopravna tijela.

Austrijska Datenschutzbehörde može zahtijevati procjenu ili utvrditi da određene obrade vjerovatno ne stvaraju visok rizik. Kod pojedinačne nove AI-upotrebe ipak nije dovoljna opšta izjava dobavljača ili tuđi obrazac. Odlučujuća je upotreba u vašem preduzeću.

Dobavljač može biti izvršilac obrade kada podatke obrađuje prema dokumentovanim uputstvima za svrhe preduzeća. Za vlastite svrhe, na primjer određenu analitiku proizvoda ili naplatu sopstvene usluge, može imati drugu ulogu. Ta analiza uloga jeste dio projektne provjere, ali ne zamjenjuje procjenu uticaja.

Tekst o AI-ugovorima, odgovornosti dobavljača i GDPR-u obrađuje ugovornu stranu. Za procjenu uticaja dodatno provjerite koje podatke model stvarno prima, da li se ulazi čuvaju, koji podizvođači učestvuju i kako funkcionišu brisanje, pristup i zahtjevi ispitanika.

Ugovor može smanjiti rizik, ali ne može ozakoniti nedopuštenu obradu. Prije potpisivanja i prije produkcijske upotrebe preduzeće mora znati koje se tehničke i organizacione mjere stvarno mogu sprovesti.

Procjena rizika ne završava nužno puštanjem u rad. Novi izvor podataka, model, grupa lica, primalac ili svrha mogu učiniti prvobitnu procjenu zastarjelom. Incident ili nova saznanja o greškama takođe mogu biti razlog za novu provjeru.

U projektu definišite postupak za promjene. Stručna služba ne treba samostalno aktivirati nova polja, analize ili automatizacije bez procjene posljedica po zaštitu podataka. Kod AI-ja to obuhvata testiranje pogrešne klasifikacije, nedopuštenih izlaza i stvarne funkcionalnosti ljudske kontrole.

Stranica o usklađenosti i upravljanju privatnošću treba odrediti ko vodi procjenu, ko odobrava promjene i kada se dokument ponovo otvara. Provjera uloga pomaže pri prvoj raspodjeli između rukovaoca i izvršioca obrade.

Procjena uticaja mora odgovarati stvarnoj upotrebi: svrsi, podacima, licima, dobavljačima i posljedicama. Pomažemo vam da procijenite prag, uredite postupak i povežete potrebne tehničke, organizacione i ugovorne mjere. Obratite nam se sa opisom projekta, tokom podataka, informacijama o dobavljaču i planiranom upotrebom kako bi se naredni koraci odredili prije početka produkcije.