DBEO eta AAren Erregelamendua: enpresen betebeharrak

Zure enpresak DBEOren araberako betebeharrak beteta ditu aspaldidanik: tratamendu-jardueren erregistroa eguneratuta duzue, oinarri juridikoak identifikatuta, eta arrisku handiko tratamenduetarako EBAA batzuk ere egin dituzue banan-banan. Orain, ordea, giza baliabideetako edo bezeroarentzako arretako taldeak adimen artifizialeko tresna berri bat sartu nahi du —hautagaien curriculumak lehen bahetzeko, edo bezeroen kontsultei automatikoki erantzuteko— eta norbaitek galdetu du ea horrek proiektu berri oso bat ireki behar duen konplientzian, DBEOtik erabat bereizita. Galdera zentzuzkoa da, baina erantzuna ez da "bai" edo "ez" soila: zati bat DBEOren lanetik berrerabil daiteke, eta beste zati bat, ez.

Testuingurua: bi araudi, sistema bera

AAren Erregelamendua (2024/1689 (EB) Erregelamendua) ez da DBEOren ordezko bat, ezta hura biguntzen duen araudi bat ere: DBEOren gainean gehitzen den geruza bat da, datu pertsonalak tratatzen dituen adimen artifizialeko sistema bakoitzarentzat. Praktikan, datu pertsonalak tratatzen dituen edozein AA sistemak bi araudiak aldi berean bete behar ditu, txandaka aplikatu ordez. Zein erakundek zainduko duen bete-betetzea —AEPD, AESIA edo Euskadiko Datuak Babesteko Bulegoa (AVPD)— beste galdera bat da, eta blog honetako beste artikulu batek jorratzen du sakonago; artikulu honen helburua bestelakoa da: DBEOren lana zenbateraino balio dizun AAren Erregelamendurako, eta zein puntutan ez.

DBEOren lana asko balio du AAren Erregelamendurako

Datuak Babesteko Erregelamendu Orokorra (DBEO) urteak daramatza indarrean, eta hori abantaila handia da adimen artifizialeko proiektu berri bati aurre egiteko orduan. Tratamendu-jardueren erregistroa (RAT) da abiapuntu naturala: AA tresna berri bat ebaluatzen hastean, jadanik dokumentatuta duzue zer datu pertsonal tratatzen dituzuen, zein helbururekin eta zein oinarri juridikorekin (DBEOren 6. artikulua). Informazio hori ez da berridatzi behar; zabaldu egin behar da, AA sistema berriak datu horiei zer egiten dien jasotzeko.

Metodologia mailan ere badago berrerabiltzeko materiala. DBEOren 35. artikuluak eskatzen duen Eraginaren Ebaluazioa (EBAA) —arrisku handiko tratamenduetarako nahitaezkoa— jada egin baduzue beste prozesu batzuetarako, prozedura hori bera egokitu dezakezue AA sistema berri baterako: arriskuak identifikatzeko modua, interesdunekin kontsultatzeko ohitura, arintze-neurriak zehazteko lan-fluxua. Datuen minimizazio-printzipioa, DPOaren papera eta oinarri juridikoen azterketa ere ez dira desagertzen AA sartzeagatik; kontrara, oinarri sendo bat dira gainean eraikitzeko. Enpresa askorentzat, hemen dago aurrezki nagusia: hutsetik hasi beharrean, dagoeneko badagoen egiturari eransten diote AA atala.

Non doa harago AAren Erregelamendua

Baina puntu honetan hasten dira desberdintasun garrantzitsuak, eta enpresa askok hemen egiten dute akatsa: DBEOren araberako ebaluazioa gainditu izana ez da nahikoa AAren Erregelamenduaren ikuspegitik segurtasuna ziurtatzeko. DBEOren 22. artikuluak pertsonarengan ondorio juridikoak edo antzeko eragin nabarmena duten erabaki erabat automatizatuei eusten die, eta esku-hartze humanorako, azalpenerako eta erreklamaziorako eskubidea ematen dio pertsonari. AAren Erregelamenduak, ordea, beste irizpide bat erabiltzen du: III. Eranskineko zerrendan dauden erabilera-eremuak —langile hautaketa, kreditu-gaitasunaren ebaluazioa, funtsezko prestazioetarako sarbidea, besteak beste— arrisku handikotzat jotzen ditu, azken erabakia pertsona batek berrikusten duen edo ez kontuan hartu gabe. Sistema batek 22. artikulutik kanpo gera daiteke —langile batek emaitza bakoitza berrikusten duelako—, eta hala ere arrisku handikoa izan AAren Erregelamenduaren arabera, jorratzen duen gaia dela-eta. Bi proba juridiko independente dira, eta bata gainditzeak ez du bestea automatikoki gainditzen.

Antzeko zerbait gertatzen da eragin-ebaluazioekin. AAren Erregelamenduaren 27. artikuluak Oinarrizko Eskubideen gaineko Eragin-Ebaluazioa (EEBB, ingelesez FRIA) eskatzen die arrisku handiko sistemak ezartzen dituzten erabiltzaile jakin batzuei, batez ere erakunde publikoei edo funtsezko zerbitzuak ematen dituzten entitateei. DBEOren 35. artikuluko EBAA pribatutasunean eta datu-babesean zentratzen da nagusiki; 27. artikuluko EEBB, aldiz, zabalagoa da: EBren Oinarrizko Eskubideen Gutunak babesten dituen eskubide guztiak hartzen ditu barne, diskriminazio-eza eta duintasuna barne. AAren Erregelamenduaren 27.4 artikuluak berak dio jadanik egindako EBAA batek estaltzen badu zati bat, EEBBk osatu egin behar duela, ez errepikatu hutsetik; hori seinale argia da legegileak bi lanak elkarrekin egitea espero zuela, ez bi prozesu paralelo gisa.

Bi araudiak nahasteak zenbat kostatzen duen

Zehaztasun-falta honek kostu erreala du, eta bi bide nagusitatik iristen da: administrazio-zigorretatik eta lan bikoiztutik. Zigorren zenbatekoak berak ere ez dira berdinak: DBEOren arau-hausteek 20 milioi euro artekoak izan daitezke, edo negozio-bolumen globalaren %4 arte (zenbatekorik handiena aplikatzen da). AAren Erregelamenduaren 99. artikuluak eskala bereizia dakar: debekatutako AA praktiketarako, 35 milioi euro arte edo negozio-bolumen globalaren %7 arte; gainerako betebehar gehienetarako —hornitzaile eta zabaltzaileen betebeharrak barne, arrisku handiko sistemetan—, 15 milioi euro arte edo %3 arte.

Zenbaki horiek beren horretan ez dute esan nahi zure enpresak hori jasoko duenik: AAren Erregelamenduaren 99.6 artikuluak berak muga baxuagoak jasotzen ditu ETE eta start-upentzat, enpresa handientzat baino. Baina zenbaki-eskala desberdinak berak erakusten du araudi bakoitzak logika propioa duela. Bestalde, AEPDk 2020tik gutxi gorabehera argitaratzen ditu AA tratamenduak DBEOra egokitzeko gidalerroak; artikulu honetan ez da dokumentu edo data zehatz bat aipatzen, azken bertsioa ziur ez dagoelako, baina jarraipen hori berak adierazten du autoritateak berak ere gai honetan interpretazio-lana etengabe eguneratzen ari dela, eta iaz argitaratutako gida bat baliogabetuta gera daitekeela hurrengo urtean.

Zer egiaztatu behar duzun, kasuz kasu

AA erabilera-kasu bakoitzeko, bere aldetik erantzun beharreko galdera multzo bat dago, DBEOren araberako azterketa gaindituta izanda ere:

• AA sistema hori III. Eranskineko erabilera-eremu batean sartzen da (langile hautaketa, kreditua, funtsezko prestazioak) DBEOren 22. artikuluko azterketatik at ere?
• Erabakian esku-hartze humanoa badago, benetakoa da eta emaitza aldatzeko gai da, edo forma hutseko berrikuspena besterik ez?
• Egindako EBAAk (35. art.) EEBB (27. art.) baterako eskatzen den zabaltasuna al du, edo pribatutasunera mugatuta dago?
• AA hornitzailea EBtik kanpokoa bada, DBEOren V. kapituluko datu-transferentzia nazioartekoen bermeak (klausula tipoak, adekuazio-erabakia) berrikusi al dira, AAren Erregelamenduaren araberako sailkapenaz gain?
• Sistema hori langileek edo bezeroek erabiltzen dute? Kasu horretan, gardentasun-betebeharrak (adibidez, chatbot bat AA dela jakinaraztea) DBEOtik at daude, eta bereizita bete behar dira.
• AA erabilera-kasu berrien inbentario bakarra al duzue, ala bi zerrenda paralelo —DBEOrena eta AArena— elkarrengandik bereizita?

Hurrengo urratsa

Testu hau orientazio orokorrerako da, eta ez da zure enpresaren kasu zehatzerako aholkularitza juridikoa: DBEOren eta AAren Erregelamenduaren arteko elkarrekintza errealak zehaztasunez baloratzeko, zure enpresak erabiltzen dituen sistema, hornitzaile eta datu zehatzak aztertu behar dira. Komplyak argi bereizten du zein eduki dagoen juridikoki berrikusia eta zein den oraindik zirriborroa, horrela informazioa zer maila duen jakin dezazun.

Praktikan, orokortasunetik zure kasu zehatzera pasatzeko bide azkarrena zure enpresak erabiltzen dituen AA kasuen errepaso egituratua egitea da. Galdetegi labur bat betez, zure erabilera-kasu bakoitza DBEOren eta AAren Erregelamenduaren aurrean non dagoen ikusiko duzu, eta zein pausu falta zaizkizun jakingo duzu, zeuk kalkulatu beharrean.