Ocena skutków dla ochrony danych przy AI. Bez dostawcy jej nie zrobimy

Art. 35 RODO wymaga oceny skutków dla ochrony danych, gdy przetwarzanie, zwłaszcza z użyciem nowych technologii, może powodować wysokie ryzyko dla praw lub wolności osób. Prezes UODO opublikował wykaz rodzajów operacji, przy których ocena jest wymagana. Co do zasady trzeba ją przeprowadzić, gdy przetwarzanie spełnia co najmniej dwa kryteria z wykazu, a wdrożenie AI zwykle spełnia już jedno: innowacyjne zastosowanie technologii. Często dochodzą do tego ewaluacja, scoring i profilowanie albo zautomatyzowane decyzje o istotnych skutkach. Wśród przykładów UODO wymienia ocenę zdolności kredytowej przy użyciu algorytmów sztucznej inteligencji, a wśród obszarów ryzyka serwisy z ofertami pracy, które dopasowują kandydatów do preferencji pracodawców

Co dodaje AI Act

Według art. 26 ust. 9 AI Act podmiot stosujący system wysokiego ryzyka w stosownych przypadkach korzysta z informacji przekazanych przez dostawcę na podstawie art. 13, aby przeprowadzić ocenę skutków dla ochrony danych. Ten przepis zacznie się stosować razem z wymogami dla systemów wysokiego ryzyka. 7 maja Parlament Europejski i Rada wstępnie uzgodniły, że dla systemów z załącznika III nastąpi to 2 grudnia 2027 roku. RODO stosuje się jednak już dziś, więc informacji od dostawcy potrzeba od razu

Czego uczy opinia EROD

W opinii 28/2024 z grudnia 2024 roku Europejska Rada Ochrony Danych wskazała, że model AI wytrenowany na danych osobowych nie zawsze jest anonimowy i trzeba to oceniać w każdym przypadku osobno. Organizacja, która wdraża cudzy model, powinna w ramach rozliczalności sprawdzić, czy przy tworzeniu modelu nie przetwarzano danych osobowych niezgodnie z prawem. Dlatego warto zapytać dostawcę, jak to zapewnił

Co wpisać do umowy

Radzę wymagać informacji potrzebnych do oceny skutków już na etapie zamówienia: opisu danych i ich przepływów, miejsca przetwarzania, podwykonawców, ograniczeń modelu i wyników testów. Umowa powierzenia z art. 28 RODO powinna jasno rozstrzygać, czy dostawca może używać danych organizacji do trenowania modeli. Jeśli robi to we własnym celu, przestaje być wyłącznie podmiotem przetwarzającym

Aleksandra Albera

Prawniczka specjalizująca się w prawie nowych technologii: AI Act, systemy zarządzania AI według ISO/IEC 42001, cyberbezpieczeństwo i ochrona danych. Audytor wiodący ISO/IEC 42001. Czuwa nad prawną stroną zamówień, umów i dokumentacji AI