AZOP u nadzoru AI tvrtki: Cilj nije kažnjavati, nego educirati

Na mail adrese nekolicine domaćih tvrtki koje se u svom poslovanju intenzivno bave i umjetnom inteligencijom nedavno je sletio upitnik nazvan Evaluacijska provjera Agencije za zaštitu osobnih podataka vezano za obradu osobnih podataka u modelima umjetne inteligencije.

AI pod povećalom ove godine

Iz AZOP-a na naš upit jesu li upitnici poslani samo određenim tvrtkama ili se radi o široj akciji odgovaraju da se radi o kontrolnoj provjeri sektora, a u skladu s njihovim godišnjim planom nadzornih aktivnosti:

Ove godine provode se kontrolne provjere u financijskom sektoru vezano za članak 15. Opće uredbe o zaštiti podataka, kontrolne provjere u agencijama za naplatu potraživanja i tvrtkama koje se bave razvojem modela umjetne inteligencije.

Kako su upitnici kod nekih tvrtki dočekani sa zabrinutošću  – a nisu nam ih ni željeli komentirati iz straha od kazni – bitno je odmah reći kako iz AZOP-a napominju da cilj tih evaluacijskih provjera nisu kazne.

Za početak žele utvrditi razinu znanja o zaštiti podataka u tvrtkama koje se bave AI-jem i saznati koje su ima potrebe kad je u pitanju usklađivanje s GDPR-om:

Sve to kako bismo mogli izraditi sveobuhvatne smjernice vezano za usklađivanje aktivnosti obrade osobnih podataka u kontekstu razvoja i uporabe AI tehnologija. Cilj Opće uredbe o zaštiti podataka nije sprječavanje razvoja tehnologije, već osigurati da se tehnologija razvija na siguran i etičan način.

Novčane kazne nisu jedino

Osim toga, žele osvijestiti tvrtke da svaka obrada osobnih podataka u bilo kojoj fazi razvoja i uporabe tehnologije mora biti u skladu s s Općom uredbom o zaštiti podataka, a sve “u svrhu zaštite temeljnih ljudskih prava pojedinaca i smanjenja rizika koje sa sobom nosi razvoj i uporaba umjetne inteligencije”.

Zbog toga, ističu iz AZOP-a, dosad nisu imali postupak, niti izdali kaznu vezanu za obradu osobnih podataka u modelima umjetne inteligencije, ali dodaju da su novčane kazne samo jedna od korektivnih mjera koje imaju na raspolaganju:

Agencija može naložiti i zabranu obrade osobnih podataka, izdati upozorenje ili opomenu voditelju obrade.

Podsjećaju da se  Opća uredba o zaštiti podataka odnosi se na obradu osobnih podataka pojedinaca automatiziranim sredstvima, kao i na ručnu obradu. U slučaju ručne obrade Uredba se primjenjuje ako su osobni podaci pohranjeni ili ih se namjerava pohraniti u sustav pohrane.

Dakle, ako tvrtka koja se bavi razvojem AI tehnologija prikuplja osobne podatke pojedinaca, primjerice u svrhu razvoja i treniranja algoritma – Opća uredba o zaštiti podataka se primjenjuje. Napominju da se uredba primjenjuje i u slučajevima obrade osobnih podataka automatiziranim sredstvima, čak i kada se osobni podaci pojedinaca ne pohranjuju.

Samo prikupljanje osobnih podataka i njihova uporaba predstavlja obradu osobnih podataka na koju se Opća uredba o zaštiti podataka primjenjuje.

Na što AI tvrtke moraju paziti

Agencija posebno naglašava da svaka obrada osobnih podataka u svim fazama razvoja, evaluacije, testiranja i uporabe osobnih podataka u sustavima umjetne inteligencije mora biti u skladu s odredbama Opće uredbe o zaštiti podataka te da sve organizacije koje obrađuje osobne podatke, pa i bez iznimke one koje se bave razvojem AI tehnologija, moraju biti u mogućnosti dokazati da:

• se osobni podaci obrađuju zakonito, pošteno i transparentno;
• je svrha njihove obrade definirana i ograničena;
• se primjenjuje načelo smanjenja količine osobnih podataka;
• su osobni podaci koje obrađuju točni;
• su definirani rokovi pohrane osobnih podataka;
• je zajamčena njihova cjelovitost i povjerljivost.

Domaće poduzetnike koji su u nedoumici oko toga obrađuju li osobne podatke u skladu s propisima upućuju na web alat, odnosno virtualnu asistenticu Oliviju te na svoju web stranicu.