AI projekt s osobnim podacima: DPIA možda treba prije prvog retka koda

Prije razvoja ili uvođenja AI sustava hrvatska organizacija treba utvrditi obrađuje li osobne podatke, za koju svrhu, tko odlučuje o obradi i koja je pravna osnova. Zatim treba procijeniti rizik za pojedince: ako je visok rizik vjerojatan, voditelj obrade mora provesti procjenu učinka na zaštitu podataka (DPIA) prije početka obrade.

Rok za DPIA-u nije vezan uz pisanje koda. Ipak, izbor podataka, načina treniranja i dobavljača određuje rizike koje će projekt kasnije teško ukloniti. Zato potrebu za procjenom utvrdite u fazi planiranja, a obveznu procjenu dovršite prije treniranja, testiranja ili slanja stvarnih osobnih podataka u planirani sustav.

Popišite podatke kroz cijeli životni ciklus

Prvo nacrtajte put podataka od izvora do brisanja. Popis treba obuhvatiti skupove za treniranje i testiranje, korisničke upite, izlaze sustava, zapisnike i sigurnosne kopije. Uz svaku kategoriju zabilježite čiji su podaci, zašto se koriste, tko im pristupa, gdje se čuvaju i kada se brišu. Osobni podatak nije samo ime: sadržaj poruke ili kombinacija drugih zapisa također može omogućiti prepoznavanje osobe.

Za svaki ulaz provjerite može li se ista svrha postići s manje podataka. AZOP-ove smjernice za AI sustave uspoređuju procjenu broja osoba koje stoje u tramvaju prema zauzetim i slobodnim sjedalima s analizom držanja tijela svih putnika. Ako je prva metoda dovoljna za statistiku popunjenosti, manje zadire u privatnost; detaljnija analiza osoba zahtijeva dodatno opravdanje i snažnije mjere zaštite. Takav se izbor donosi prije sastavljanja skupa za treniranje.

Ako projekt polazi od pretpostavke da su skup podataka ili model anonimni, tu pretpostavku treba obrazložiti zasebno. EDPB-ovo mišljenje o AI modelima traži procjenu za konkretan slučaj: vjerojatnost identificiranja osoba čiji su podaci korišteni u razvoju i izdvajanja njihovih podataka upitima modelu mora biti zanemariva. Samo uklanjanje imena iz tablice ili pretvaranje podataka u parametre modela ne dokazuje anonimnost.

Odredite uloge i pravnu osnovu za svaku svrhu

Voditelj obrade određuje svrhu i bitna sredstva obrade. Organizacija koja odlučuje koje će podatke zaposlenika ili korisnika unijeti u AI sustav i kako će koristiti rezultat u pravilu je voditelj te uporabe, iako je sustav kupila. Dobavljač koji obrađuje podatke prema njezinim uputama može biti izvršitelj obrade. Ako dobavljač podatke koristi i za vlastito treniranje, njegovu ulogu u toj zasebnoj obradi treba ponovno utvrditi; naziv u ugovoru ne rješava pitanje sam po sebi.

Za razvoj modela i njegovu kasniju uporabu zapišite odvojene svrhe te pravnu osnovu za svaku obradu osobnih podataka. Osnova na kojoj su podaci prikupljeni radi postojeće usluge ne pokriva automatski njihovu naknadnu uporabu za treniranje. Pozivanje na legitimni interes zahtijeva konkretno opisan interes, provjeru je li obrada nužna za njegovo ostvarenje i usporedbu s pravima i razumnim očekivanjima pojedinaca. Kod posebnih kategorija podataka, poput zdravstvenih, treba utvrditi i primjenjiv uvjet za njihovu obradu.

Provjere ovise o tome gradite li model ili koristite dobavljača

Nakon utvrđivanja podataka i svrha slijedi odluka o načinu izvedbe. Ista organizacija može biti voditelj obrade u sva tri slučaja, ali se tok podataka i mogućnost njegove daljnje uporabe razlikuju:

• Vlastiti model: prije prikupljanja ili ponovne uporabe podataka za treniranje odredite koje su kategorije nužne, podrijetlo podataka i rokove čuvanja. U procjenu uključite mogućnost da model zapamti ili otkrije podatke iz skupa za treniranje. Obuhvatite i podatke nastale tijekom validacije i testiranja.
• Vanjski API: utvrdite sadrže li upiti, privici, izlazi ili zapisnici osobne podatke. Prije slanja provjerite koristi li ih dobavljač za vlastite svrhe, tko su podizvršitelji, koliko se podaci čuvaju i odakle im se može pristupiti. Ako dobavljač djeluje kao izvršitelj, uredite odnos ugovorom o obradi; prijenose i udaljeni pristup izvan Europskoga gospodarskog prostora procijenite zasebno.
• Gotov alat za internu uporabu: odredite dopuštene zadatke i vrste podataka koje zaposlenici smiju unositi. Provjerite postavke čuvanja razgovora i daljnje uporabe sadržaja te mogućnosti brisanja. Interna namjena alata ne mijenja odgovornost organizacije za osobne podatke koje u njega unese.

Kada je DPIA obvezna

Procijenite prirodu, opseg, kontekst i svrhu obrade te moguće posljedice za prava pojedinaca. Prema AZOP-ovim uputama o DPIA-i, voditelj mora provesti procjenu prije obrade kada je vjerojatan visok rizik; upute upućuju i na hrvatski popis vrsta obrada za koje je procjena obvezna. Sama uporaba AI-ja nije dovoljan zaključak o obvezi, ali je razlog da se rizik ocijeni prema stvarnoj namjeni sustava.

Posebnu pozornost zahtijevaju sustavna i opsežna procjena osobnih aspekata na kojoj se temelje odluke sa značajnim učinkom na pojedinca, opsežna obrada posebnih kategorija podataka te sustavno praćenje javno dostupnog prostora u velikoj mjeri. Primjerice, procjena kandidata za posao i chatbot koji pristupa internim dokumentima s podacima zaposlenika traže pažljiviju analizu od alata koji radi samo s podacima bez mogućnosti identifikacije. Zaključak o potrebi za DPIA-om treba zabilježiti i kada je odgovor negativan.

Ako je DPIA potrebna, opišite planiranu obradu i svrhu, ocijenite nužnost i razmjernost, utvrdite rizike za pojedince te mjere kojima se oni smanjuju. Nalaz može promijeniti izbor podataka, ograničenja pristupa ili način uporabe rezultata. Procjenu treba ažurirati kada se bitno promijene svrha, podaci, dobavljač ili način rada sustava.

Što treba biti spremno prije uporabe stvarnih podataka

Prije početka obrade pripremite provjerljiv zapis o tokovima podataka, ulogama sudionika, svrhama, pravnim osnovama i odluci o DPIA-i. Odredite kako će pojedinci dobiti informacije o obradi i ostvariti svoja prava. Kod vanjskog dobavljača ugovorne upute i tehničke postavke trebaju odgovarati njegovoj stvarnoj ulozi i dopuštenoj uporabi podataka.

Početni razvoj može se provoditi na podacima bez osobnih podataka ako takav skup odgovara zadatku. Prije prelaska na stvarne podatke ponovno provjerite zaključke: novi izvor, povezivanje baza ili promjena dobavljača može promijeniti svrhu obrade, raspodjelu uloga i razinu rizika. Tako se odluka o DPIA-i donosi dok još može utjecati na projekt, a obvezna procjena završava prije obrade koju treba obuhvatiti.

Pročitajte i:

• AI agent prije plaćanja mora stati — odobrenje čuva i stanje zadatka
• Manjak tehnoloških vještina zaustavio je projekte u 69% organizacija
• GA4 ili Matomo: integracije protiv vlasništva nad podacima