Svaka organizacija koja obrađuje osobne podatke, pa i one koje se bave razvojem AI tehnologija, mora moći dokazati usklađenost s GDPR-om.
Na mail adrese nekolicine domaćih tvrtki koje se u svom poslovanju intenzivno bave i umjetnom inteligencijom nedavno je sletio upitnik nazvan Evaluacijska provjera Agencije za zaštitu osobnih podataka vezano za obradu osobnih podataka u modelima umjetne inteligencije.
AI pod povećalom ove godine
Iz AZOP-a na naš upit jesu li upitnici poslani samo određenim tvrtkama ili se radi o široj akciji odgovaraju da se radi o kontrolnoj provjeri sektora, a u skladu s njihovim godišnjim planom nadzornih aktivnosti:
Ove godine provode se kontrolne provjere u financijskom sektoru vezano za članak 15. Opće uredbe o zaštiti podataka, kontrolne provjere u agencijama za naplatu potraživanja i tvrtkama koje se bave razvojem modela umjetne inteligencije.
Kako su upitnici kod nekih tvrtki dočekani sa zabrinutošću – a nisu nam ih ni željeli komentirati iz straha od kazni – bitno je odmah reći kako iz AZOP-a napominju da cilj tih evaluacijskih provjera nisu kazne.
Za početak žele utvrditi razinu znanja o zaštiti podataka u tvrtkama koje se bave AI-jem i saznati koje su ima potrebe kad je u pitanju usklađivanje s GDPR-om:
Sve to kako bismo mogli izraditi sveobuhvatne smjernice vezano za usklađivanje aktivnosti obrade osobnih podataka u kontekstu razvoja i uporabe AI tehnologija. Cilj Opće uredbe o zaštiti podataka nije sprječavanje razvoja tehnologije, već osigurati da se tehnologija razvija na siguran i etičan način.
Novčane kazne nisu jedino
Osim toga, žele osvijestiti tvrtke da svaka obrada osobnih podataka u bilo kojoj fazi razvoja i uporabe tehnologije mora biti u skladu s s Općom uredbom o zaštiti podataka, a sve “u svrhu zaštite temeljnih ljudskih prava pojedinaca i smanjenja rizika koje sa sobom nosi razvoj i uporaba umjetne inteligencije”.
Zbog toga, ističu iz AZOP-a, dosad nisu imali postupak, niti izdali kaznu vezanu za obradu osobnih podataka u modelima umjetne inteligencije, ali dodaju da su novčane kazne samo jedna od korektivnih mjera koje imaju na raspolaganju:
Agencija može naložiti i zabranu obrade osobnih podataka, izdati upozorenje ili opomenu voditelju obrade.
Podsjećaju da se Opća uredba o zaštiti podataka odnosi se na obradu osobnih podataka pojedinaca automatiziranim sredstvima, kao i na ručnu obradu. U slučaju ručne obrade Uredba se primjenjuje ako su osobni podaci pohranjeni ili ih se namjerava pohraniti u sustav pohrane.
Dakle, ako tvrtka koja se bavi razvojem AI tehnologija prikuplja osobne podatke pojedinaca, primjerice u svrhu razvoja i treniranja algoritma – Opća uredba o zaštiti podataka se primjenjuje. Napominju da se uredba primjenjuje i u slučajevima obrade osobnih podataka automatiziranim sredstvima, čak i kada se osobni podaci pojedinaca ne pohranjuju.
Samo prikupljanje osobnih podataka i njihova uporaba predstavlja obradu osobnih podataka na koju se Opća uredba o zaštiti podataka primjenjuje.
Na što AI tvrtke moraju paziti
Agencija posebno naglašava da svaka obrada osobnih podataka u svim fazama razvoja, evaluacije, testiranja i uporabe osobnih podataka u sustavima umjetne inteligencije mora biti u skladu s odredbama Opće uredbe o zaštiti podataka te da sve organizacije koje obrađuje osobne podatke, pa i bez iznimke one koje se bave razvojem AI tehnologija, moraju biti u mogućnosti dokazati da:
- se osobni podaci obrađuju zakonito, pošteno i transparentno;
- je svrha njihove obrade definirana i ograničena;
- se primjenjuje načelo smanjenja količine osobnih podataka;
- su osobni podaci koje obrađuju točni;
- su definirani rokovi pohrane osobnih podataka;
- je zajamčena njihova cjelovitost i povjerljivost.
Domaće poduzetnike koji su u nedoumici oko toga obrađuju li osobne podatke u skladu s propisima upućuju na web alat, odnosno virtualnu asistenticu Oliviju te na svoju web stranicu.
