DPIA pre AI: dve rizikové kritériá môžu stačiť na povinné posúdenie

Ak plánované AI spracúvanie osobných údajov spĺňa dve rizikové kritériá, vo väčšine prípadov si vyžaduje posúdenie vplyvu na ochranu údajov (DPIA). Slovenské znenie usmernení WP29 uvádza deväť kritérií a vysvetľuje, že dve z nich vo väčšine prípadov postačujú na predpoklad potreby DPIA. Nejde o pevný zákonný prah: posúdenie môže byť potrebné aj pri jednom kritériu.

Úrad na ochranu osobných údajov SR vymedzuje DPIA ako posúdenie, ktoré prevádzkovateľ vykoná pred spracúvaním, ak je vzhľadom na povahu, rozsah, kontext a účel pravdepodobné vysoké riziko pre práva a slobody ľudí. Pri AI projekte preto rozhoduje spôsob použitia osobných údajov a možný dosah na človeka, nie samotné označenie technológie.

Rozhodnutie začína konkrétnou operáciou

Najprv určte, či systém vôbec spracúva osobné údaje. Opíšte, odkiaľ prichádzajú vstupy, čo sa s nimi deje, komu sa poskytuje výstup a či môže ovplyvniť rozhodnutie o človeku. Pomoc pri písaní všeobecných textov bez osobných údajov má iné postavenie než nástroj, ktorý hodnotí životopisy uchádzačov. Do opisu zahrňte aj údaje odosielané dodávateľovi systému, údaje použité pri jeho úpravách a uchovávané výstupy, ak sú súčasťou plánovaného spracúvania.

Potom skontrolujte výslovne uvedené prípady v GDPR: rozsiahle automatizované hodnotenie osôb, na ktorom stoja rozhodnutia s právnym alebo podobne závažným účinkom; rozsiahle spracúvanie osobitných kategórií údajov alebo údajov o trestných činoch; a rozsiahle systematické monitorovanie verejne prístupných priestorov. Popri nich treba zohľadniť slovenský zoznam operácií podliehajúcich DPIA. Uvádza okrem iného hodnotenie ovplyvňujúce kvalitu alebo dostupnosť služby, vybrané profilovanie a monitorovanie práce zamestnancov za opísaných podmienok. Pri biometrickej identifikácii a využití novej či inovatívnej technológie pracuje aj so súbehom ďalšieho rizikového kritéria. Zoznam je demonštratívny, takže operácia mimo neho môže stále predstavovať vysoké riziko.

Ak povinnosť nevyplýva priamo z uvedených prípadov, posúďte rizikové kritériá. Viaceré splnené body sú silným signálom pre DPIA; pri jedinom bode záleží na závažnosti možného zásahu. Rozhodnutie nevykonať posúdenie si vyžaduje zdokumentovaný dôvod založený na skutočnom návrhu spracúvania.

Kontrola deviatich rizikových kritérií

Pri každom bode zaznamenajte odpoveď „áno“, „nie“ alebo „treba zistiť“ a stručný dôvod. Hodnoťte celú operáciu vrátane údajov, ktoré AI systém prijíma na vstupe:

1. Hodnotenie alebo predpovedanie: systém boduje ľudí alebo odhaduje napríklad ich pracovný výkon, spoľahlivosť, finančnú situáciu či správanie.
2. Automatizované rozhodovanie so závažným účinkom: spracúvanie vedie k rozhodnutiu s právnym alebo podobne závažným vplyvom na človeka.
3. Systematické monitorovanie: spracúvanie podľa vopred určeného postupu sleduje činnosť, komunikáciu alebo pohyb ľudí.
4. Citlivé alebo veľmi osobné údaje: vstupom sú napríklad zdravotné údaje, údaje o trestných činoch či obsah súkromnej komunikácie.
5. Veľký rozsah: zohľadnite počet ľudí, objem a rozmanitosť údajov, trvanie spracúvania aj územný dosah. Jednotná číselná hranica nie je určená.
6. Spájanie súborov: systém kombinuje údaje získané na rozdielne účely alebo od rôznych prevádzkovateľov nad rámec rozumného očakávania človeka.
7. Zraniteľné dotknuté osoby: údaje sa týkajú napríklad zamestnancov, detí alebo pacientov, ktorých postavenie voči prevádzkovateľovi je slabšie.
8. Inovatívne riešenie: nové technologické alebo organizačné použitie prináša nový spôsob získavania či využitia údajov. Označenie „AI“ samo osebe odpoveď neurčuje.
9. Prekážka pri uplatnení práva alebo získaní služby: spracúvanie môže človeku obmedziť prístup k službe, zmluve alebo výkonu práva.

Ako sa kritériá prejavia pri AI projektoch

V hypotetickom nábore systém prideľuje uchádzačom skóre a podľa neho ich automaticky vyraďuje. Zjavné je hodnotenie osôb; zároveň treba posúdiť účinok vyradenia a spôsob, akým sa prijíma konečné rozhodnutie. Ak personalista výstup nezávisle preskúma, treba opísať jeho skutočnú právomoc. Formálna prítomnosť človeka v procese sama osebe neodstraňuje riziká hodnotenia.

Pri hypotetickom profilovaní klientov rozhoduje najmä to, či skóre mení prístup k službe alebo jej podmienky a či systém spája údaje pôvodne získané na iné účely. Pri rozpoznávaní tváre na identifikáciu osôb pri vstupe treba preveriť biometrické údaje, konkrétny spôsob použitia a príslušnú položku slovenského zoznamu. Pri AI analýze pracovnej komunikácie sa stretáva systematické monitorovanie s postavením zamestnancov; obsah správ môže navyše predstavovať veľmi osobné údaje. Každý záver závisí od navrhnutej operácie, nie od všeobecného názvu produktu.

Vzor záznamu „DPIA áno/nie“

Krátky záznam umožní vysvetliť rozhodnutie ešte pred spustením spracúvania. Môže byť súčasťou projektovej dokumentácie a obsahovať tieto položky:

• Operácia: účel, používaný systém, zdroje a kategórie osobných údajov, dotknuté osoby, príjemcovia výstupov a spôsob rozhodovania o človeku.
• Právne prípady: výsledok kontroly GDPR a slovenského zoznamu vrátane položky, ktorá na operáciu dopadá, alebo dôvodu, prečo nedopadá.
• Rizikové kritériá: odpoveď a stručné odôvodnenie pri každom relevantnom bode; chýbajúce informácie označené ako otvorené.
• Záver: „DPIA áno“ alebo „DPIA nie“, dôvod, meno osoby, ktorá rozhodnutie schválila, dátum a stanovisko zodpovednej osoby, ak bola určená.
• Podmienky preskúmania: zmeny účelu, zdrojov údajov, skupiny ľudí alebo použitia výstupu, pri ktorých sa riziko posúdi znova.

Ak chýba rozhodujúca informácia o fungovaní systému, výsledok ešte nie je podložený. Prevádzkovateľ ju má získať od dodávateľa alebo vlastného tímu a rozhodnutie dokončiť pred spracúvaním.

Obsah DPIA a zodpovednosť zaň

Za DPIA zodpovedá prevádzkovateľ, ktorý určuje účel a prostriedky spracúvania. Podklady môže pripraviť interný tím alebo externý odborník. Ak je určená zodpovedná osoba (DPO), prevádzkovateľ sa s ňou musí poradiť; jej radu a prijaté rozhodnutie je vhodné zachytiť v posúdení. Dodávateľ v úlohe sprostredkovateľa má pomôcť informáciami o spracúvaní, ktoré vykonáva v mene prevádzkovateľa.

Posúdenie má systematicky opísať plánovanú operáciu a jej účel, vyhodnotiť nevyhnutnosť a primeranosť, pomenovať riziká pre dotknuté osoby a priradiť opatrenia na ich zvládnutie. Pri AI projekte môže ísť podľa povahy rizika o obmedzenie vstupných údajov, prístupov a uchovávania, kontrolu chybných výstupov alebo postup na preskúmanie rozhodnutia o človeku. Pri každom riziku treba uviesť, čo zostáva po prijatí opatrení; samotný zoznam bezpečnostných funkcií nevysvetľuje ich účinok.

DPIA je vhodné začať pri návrhu a dokončiť pred spracúvaním. Ak sa neskôr podstatne zmení účel, zdroj údajov, okruh dotknutých ľudí alebo spôsob použitia výstupu, prevádzkovateľ má posúdenie primerane preskúmať a aktualizovať.

Kedy nasleduje konzultácia s úradom

Ak DPIA ukáže, že ani plánované opatrenia nedokážu znížiť riziko na prijateľnú úroveň a zvyškové riziko zostáva vysoké, prevádzkovateľ musí pred spracúvaním konzultovať dozorný orgán. Predloží mu posúdenie a informácie o operácii i plánovaných opatreniach. Ak opatrenia vysoké riziko dostatočne znížia, predchádzajúca konzultácia z tohto dôvodu potrebná nie je; záznam o DPIA však zostáva súčasťou dokumentácie spracúvania.

Prečítajte si aj:

• AI Act pre slovenské firmy: povinnosti už platia, dohľad sa začal
• USA navrhli Číne núdzový kanál pre incidenty umelej inteligencie
• AI obsah v EÚ treba označovať: logo však nie je jediná povinnosť