Fra gratis rapport til dokumentation: tre nye dokumenter til AI-forordningen og GDPR

Har I allerede besvaret Komplyas gratis spørgeskema om anvendelighed, har I fået et svar i almindeligt sprog på, om AI-forordningen eller GDPR gælder for det, jeres virksomhed gør med AI. Det spørgeskema forbliver gratis og ændrer sig ikke. Det, der ændrer sig, er, hvad der sker efter det svar. At vide, hvilke forpligtelser der gælder, og at kunne bevise det over for en anden, er to forskellige ting — og indtil nu betød det hul, at I selv skulle skrive et resultat fra skærmen af i et eget dokument, i håb om at det så troværdigt nok ud. Det hul er nu lukket: tre nye engangskøb omdanner den gratis rapport til dokumenter, der er bygget til at blive udleveret til en bank, en kunde, en investor eller en revisor.

Hvad er nyt

Risikoklassifikationsrapport for AI-forordningen — 49 euro

Det er jeres gratis anvendelighedsrapport, blot omformateret til en brandet eksport med kildehenvisninger indbygget. Samme underliggende analyse, samme motor, men struktureret og dokumenteret som et selvstændigt dokument frem for en side på en skærm. Den findes til det øjeblik, hvor nogen uden for virksomheden beder jer om at bevise en klassificering i stedet for blot at fortælle om den: en bank, der kreditvurderer et lån, en investors due diligence-tjekliste, en kundes udbudsspørgeskema, eller jeres egen interne revisionsakt. I stedet for et skærmbillede vedlægger I et dokument med lovhenvisningerne allerede indbygget.

DPIA-generator — 69 euro

En konsekvensanalyse vedrørende databeskyttelse (DPIA), udkastet af en sprogmodel og struktureret efter artikel 35, stk. 7, i GDPR: en systematisk beskrivelse af behandlingen, en vurdering af nødvendighed og proportionalitet, en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder, samt de risikobegrænsende foranstaltninger, I allerede har indført eller planlægger at indføre. Udkastet er forankret i triggerkriterierne i artikel 35, stk. 3, i GDPR og WP248-retningslinjerne, så dokumentet faktisk forholder sig til jeres egen behandling frem for at udfylde en generisk skabelon. Hvem der typisk beder om det: Datatilsynet, et samarbejdsudvalg, større kunder der laver leverandørgennemgange, og jeres egen databeskyttelsesrådgiver, hvis I har en.

Komplet pakke — 99 euro

Begge politikdokumenter (AI-brugspolitik og privatlivspolitik), risikoklassifikationsrapporten, DPIA'en, og et nyt forsideark, Evidence & Audit Pack, der indekserer det hele i én samlet pakke. Det forsideark findes, så den, der modtager pakken — en revisor, en investor, en tilsynsmyndighed — ikke selv skal regne ud, hvilket dokument der besvarer hvilket spørgsmål; det er allerede struktureret for dem.

Hvornår har I egentlig brug for en DPIA?

Det er værd at forstå i sig selv, uanset om I køber noget eller ej. Artikel 35 i GDPR kræver en DPIA, når en type behandling, navnlig ved brug af nye teknologier, sandsynligvis indebærer en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Artikel 35, stk. 3, i GDPR og WP248-retningslinjerne fra den tidligere Artikel 29-gruppe opstiller de kriterier, tilsynsmyndighederne rent faktisk bruger til at vurdere, om den tærskel er nået. Opfylder jeres behandling to eller flere af nedenstående kriterier, er en DPIA med meget stor sandsynlighed obligatorisk; flere AI-systemer opfylder mere end ét af dem helt af sig selv:

• Evaluering eller scoring, herunder profilering der har en retsvirkning eller tilsvarende betydelig indvirkning på en person, som automatiseret kreditvurdering eller CV-screening der frasorterer kandidater.
• Storstilet behandling af særlige kategorier af personoplysninger (helbred, biometri, etnicitet, politisk overbevisning og lignende) eller oplysninger om strafbare forhold.
• Systematisk overvågning af personer, herunder overvågning af et offentligt tilgængeligt område eller løbende adfærdsobservation.
• Behandling der involverer sårbare registrerede, såsom medarbejdere, børn eller personer i et økonomisk eller socialt afhængighedsforhold til den dataansvarlige.
• Innovativ brug af teknologi eller organisatoriske løsninger, herunder nye AI-anvendelser, hvor risiciene for de registrerede endnu ikke er velforståede eller etableret praksis.
• Sammenkobling eller kombination af datasæt fra forskellige kilder, ud over hvad en person med rimelighed ville forvente.

I praksis opfylder en virksomhed, der bruger et AI-system, som screener, scorer eller overvåger mennesker, ofte allerede ved første gennemgang mindst to af disse kriterier. Det er præcis den gruppe, det gratis spørgeskema er bygget til at fange, og det er derfor en DPIA typisk er et af de første stykker papirarbejde, der følger efter et "det her gælder for jer"-resultat, frem for noget rart at gøre senere.

Regnestykket holder, uanset hvilket dokument der haster mest for jer denne uge. Har I kun brug for risikorapporten til en bankansøgning, så køb den alene for 49 euro. Er en DPIA det umiddelbare krav fra en kunde eller Datatilsynet, er det 69 euro for sig selv. Men ved I, at I med tiden vil få brug for mere end ét af disse dokumenter — hvilket gælder de fleste virksomheder, der håndterer forpligtelser under AI-forordningen og GDPR — er pakken den billigere vej til samme dokumentation, ikke et premium-tilkøb.

Intet af dette erstatter det gratis spørgeskema om anvendelighed, og det er ikke juridisk rådgivning om jeres specifikke situation. Spørgeskemaet svarer stadig på, om noget gælder for jer, og forbliver gratis. Disse tre køb besvarer et andet spørgsmål: når I først ved, hvad der gælder, hvad udleverer I så rent faktisk til den, der beder om bevis.