Listy pytań UODO przed wdrożeniem AI. Jak ich użyć przy zakupie

To pierwsze tak konkretne podpowiedzi polskiego organu ochrony danych dla organizacji, które chcą korzystać z AI. Listy przygotował prof. Dominik Lubasz z Uniwersytetu Łódzkiego ze Społecznym Zespołem Ekspertów przy Prezesie UODO. Nie są wiążącą wykładnią przepisów i nie przesądzają o zgodności z RODO, ale dobrze pokazują, jak organ patrzy na wdrożenia AI

Cztery listy dla różnych organizacji

• dla małych i średnich firm, 26 pytań: gotowe narzędzia bez trenowania, na przykład asystent tekstu, obsługa klienta czy wsparcie rekrutacji
• dla sektora publicznego, 35 pytań: z zasadą legalizmu, czyli pytaniem o przepis, który pozwala użyć AI w danym zadaniu, i z regułami postępowania administracyjnego
• wersja 0, 48 pytań: dla pozostałych organizacji, także tych, które budują albo dotrenowują własne modele
• wersja rozszerzona, 73 pytania: gdy lista wejściowa pokaże na przykład dotrenowanie modelu, wpływ na sytuację prawną osób, dane szczególnych kategorii albo możliwe wysokie ryzyko według AI Act

Jak je stosować

Listę wypełnia się przed wdrożeniem i osobno dla każdego procesu, nawet jeśli to samo narzędzie służy w kilku miejscach: w marketingu, obsłudze klienta i rekrutacji niesie ono inne ryzyko. W wypełnianiu uczestniczy inspektor ochrony danych, a w podmiotach publicznych jego udział jest obowiązkowy. Odpowiedzi nie trzeba wysyłać do UODO, ale wypełnioną listę warto przechowywać w dokumentacji jako dowód rozliczalności. Listy nie zastępują analizy ryzyka, oceny skutków dla ochrony danych ani oceny wpływu na prawa podstawowe

Pytania, na które odpowiada dostawca

Część pytań dotyczy dostawcy: czy jest umowa powierzenia przetwarzania (art. 28 RODO), czy dostawca może wykorzystywać dane do własnych celów, czy da się wyłączyć uczenie na danych klienta, czy dane trafiają poza Europejski Obszar Gospodarczy i jaka jest dokumentacja modelu. Organizacja sama na nie nie odpowie. Dlatego warto wpisać je do zapytania ofertowego albo opisu przedmiotu zamówienia, a odpowiedzi z dowodami traktować jak część oferty

Co radzę

Wypełnić listę w dwóch krokach. Przed opisem zamówienia odpowiedzieć na pytania o cel, dane i podstawę prawną, bo od nich zależą wymagania. Przy wyborze oferty uzupełnić pytania o dostawcę jego odpowiedziami. Taka lista, razem z oceną skutków dla ochrony danych (art. 35 RODO), to gotowy materiał na rozmowę z inspektorem ochrony danych i na ewentualną kontrolę

Wymaganie o odpowiedziach dostawcy dodaliśmy do strony Czego wymagać od systemu AI i jego dostawcy, w obszarze danych i jurysdykcji

Hasła ze Słownika zakupów AI: lista pytań inicjalnych UODO, ocena skutków dla ochrony danych (DPIA), opis przedmiotu zamówienia (OPZ), AI Act

Aleksandra Albera

Prawniczka specjalizująca się w prawie nowych technologii: AI Act, systemy zarządzania AI według ISO/IEC 42001, cyberbezpieczeństwo i ochrona danych. Audytor wiodący ISO/IEC 42001. Czuwa nad prawną stroną zamówień, umów i dokumentacji AI