От безплатната анкета до документ в ръка: доклад за риска, DPIA и пакет с доказателства
Ако сте попълвали безплатната ни анкета за приложимост на Акта за ИИ и ОРЗД, вече знаете кои задължения важат за компанията Ви — тя остава напълно безплатна и няма да се промени. Проблемът, на който отговаряме сега, е следващият: знанието какво важи не е документ, който можете да подадете. Когато банка иска обезпечение по кредит, инвеститор прави due diligence преди инвестиция, или голям клиент изпраща процедурен въпросник, никой от тях не приема резюме на екрана — иска се файл с подпис, дата и позоваване на конкретния член от регламента. Затова добавяме три нови еднократни покупки, които превръщат резултата от безплатната анкета в документ, който можете да предадете на трета страна.
Какво е новото
Доклад за класификация на риска по Акта за ИИ — 49 €
Това е брандиран, позоваващ се на конкретни членове износ на резултата от безплатната анкета — същият анализ на приложимия двигател, но форматиран като официален документ: с дата, обхват и цитирани разпоредби от Регламент (ЕС) 2024/1689. Използва се, когато банков служител, одитор или партньор по due diligence иска писмено доказателство за класификацията на риска на компанията Ви, а не устно уверение.
DPIA генератор — 69 €
Оценка на въздействието върху защитата на данните, изготвена с помощта на ИИ модел, структурирана точно по изискванията на член 35, параграф 7 от ОРЗД: систематично описание на операциите по обработване, оценка на необходимостта и пропорционалността, оценка на риска за правата и свободите на субектите на данни и мерките за неговото ограничаване. Документът се основава на конкретните отговори, които вече сте дали в безплатната анкета, а не на общ шаблон.
Пълен пакет — 99 €
Пакетът включва двата политически документа (Политика за използване на ИИ и Политика за поверителност), доклада за класификация на риска, DPIA и нова придружаваща корица — Пакет за доказателства и одит, — която индексира всички документи на едно място, за да не се налага на одитора да търси кой файл отговаря на кое изискване.
Кога наистина Ви трябва DPIA?
Това е въпросът, който повечето МСП погрешно смятат за риторичен. Член 35, параграф 3 от ОРЗД и насоките на бившата Работна група по член 29 (документ WP248) очертават конкретни критерии, а не общо усещане за 'чувствителност'. DPIA е задължителна, когато обработването отговаря на един или повече от следните признаци:
- Профилиране или систематична оценка на физически лица с правно действие или сходно значително въздействие върху тях — напр. автоматизирано одобрение или отказ на кредит, застраховка или наемане на работа.
- Мащабна обработка на специални категории данни по член 9 от ОРЗД — здравни данни, биометрични данни, данни за етнически произход или сексуална ориентация, обработвани систематично и в голям обем.
- Систематично наблюдение на достъпна за обществеността зона или на поведението на физически лица — видеонаблюдение с аналитика, проследяване на служители, поведенчески анализ на клиенти.
- Обработване, засягащо уязвими субекти на данни — деца, служители в йерархична зависимост, пациенти или лица, търсещи убежище, при които балансът на властта ограничава реалната свобода на съгласие.
- Използване на нова или иновативна технология, или на високорискова по смисъла на Акта за ИИ система — тук двата регламента буквално се пресичат, защото системата с висок риск по Приложение III почти винаги задейства и този критерий за DPIA.
На практика WP248 препоръчва DPIA винаги когато присъстват два или повече от тези признаци едновременно — а системи с ИИ, вградени в HR софтуер, чатботове за обслужване или инструменти за кредитен скоринг, обичайно покриват поне два от тях наведнъж. Именно затова DPIA не е формалност, добавена 'за всеки случай', а конкретно изискване на закона, което много компании с активни ИИ инструменти вече покриват, без да го знаят — или изобщо не покриват, без да съзнават риска.
Ако вече сте попълнили безплатната анкета, преминаването към конкретен документ отнема минути — резултатът се използва директно за генерирането на доклада за риска или на DPIA, без да въвеждате информацията отново.