Od darmowego raportu do dokumentacji: trzy nowe dokumenty AI Act i RODO

Jeśli wypełnili już Państwo darmowy kwestionariusz Komplya dotyczący stosowania przepisów, mają Państwo w prostym języku odpowiedź na pytanie, czy Akt o sztucznej inteligencji albo RODO dotyczy tego, co Państwa firma robi z AI. Ten kwestionariusz pozostaje darmowy i się nie zmienia. Zmienia się to, co dzieje się po uzyskaniu takiej odpowiedzi. Wiedzieć, jakie obowiązki mają Państwo zastosowanie, a móc to komuś udowodnić, to dwie różne sprawy — i do tej pory ta różnica oznaczała ręczne przepisywanie wyniku z ekranu do własnego dokumentu, w nadziei, że wygląda wystarczająco wiarygodnie. Ta luka właśnie się domknęła: trzy nowe jednorazowe zakupy zamieniają darmowy raport w dokumenty gotowe do przekazania bankowi, klientowi, inwestorowi albo audytorowi.

Co nowego

Raport klasyfikacji ryzyka AI Act — 49 euro

To Państwa darmowy raport o stosowaniu przepisów, tyle że przeformatowany na markowy eksport z pełnymi odniesieniami do przepisów. Ta sama analiza, ten sam silnik, ale ustrukturyzowany i udokumentowany jako samodzielny dokument, a nie strona na ekranie. Powstał na moment, w którym ktoś spoza Państwa firmy prosi o udowodnienie klasyfikacji, a nie tylko o jej zadeklarowanie: bank oceniający wniosek kredytowy, lista due diligence inwestora, kwestionariusz zakupowy klienta albo Państwa własne wewnętrzne dossier audytowe. Zamiast zrzutu ekranu dołączają Państwo dokument z wbudowanymi odniesieniami prawnymi.

Generator DPIA — 69 euro

Ocena skutków dla ochrony danych (DPIA), przygotowana przez model językowy i ustrukturyzowana zgodnie z art. 35 ust. 7 RODO: systematyczny opis operacji przetwarzania, ocena niezbędności i proporcjonalności, ocena ryzyka dla praw i wolności osób, których dane dotyczą, oraz środki zaradcze, które Państwo wdrożyli lub planują wdrożyć. Treść opiera się na kryteriach wyzwalających z art. 35 ust. 3 RODO oraz wytycznych WP248, dzięki czemu dokument faktycznie odnosi się do Państwa rzeczywistego przetwarzania, a nie wypełnia ogólny szablon. Kto o to pyta: UODO, rada pracownicza, więksi klienci przeprowadzający przegląd bezpieczeństwa dostawców, oraz Państwa własny inspektor ochrony danych, jeśli taki jest wyznaczony.

Pełny pakiet — 99 euro

Oba dokumenty polityk (polityka użycia AI i polityka prywatności), raport klasyfikacji ryzyka, DPIA oraz nowa strona tytułowa Evidence & Audit Pack, która indeksuje wszystko w jednym pakiecie. Ta strona tytułowa istnieje po to, by odbiorca pakietu — audytor, inwestor, organ nadzorczy — nie musiał sam ustalać, który dokument odpowiada na które pytanie; to już jest uporządkowane.

Kiedy DPIA jest naprawdę wymagana?

To warto zrozumieć samo w sobie, niezależnie od tego, czy zdecydują się Państwo na zakup. Artykuł 35 RODO wymaga DPIA, gdy dany rodzaj przetwarzania — w szczególności z użyciem nowych technologii — może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. Artykuł 35 ust. 3 RODO oraz wytyczne WP248 dawnej Grupy Roboczej Art. 29 określają kryteria, którymi organy nadzorcze faktycznie posługują się przy ocenie, czy ten próg został osiągnięty. Jeśli Państwa przetwarzanie spełnia dwa lub więcej z poniższych kryteriów, DPIA jest bardzo prawdopodobnie wymagana; niejeden system AI spełnia więcej niż jedno z nich sam z siebie:

• Ocena lub scoring, w tym profilowanie wywołujące skutek prawny lub podobnie istotny wpływ na osobę — na przykład automatyczna ocena zdolności kredytowej albo selekcja CV, która odrzuca kandydatów.
• Przetwarzanie na dużą skalę danych szczególnych kategorii (zdrowie, dane biometryczne, pochodzenie etniczne, poglądy polityczne i podobne) albo danych o wyrokach skazujących.
• Systematyczne monitorowanie osób, w tym monitorowanie miejsc dostępnych publicznie albo ciągła obserwacja zachowań.
• Przetwarzanie dotyczące osób wymagających szczególnej ochrony, takich jak pracownicy, dzieci czy osoby w sytuacji zależności ekonomicznej lub społecznej wobec administratora.
• Innowacyjne wykorzystanie technologii lub rozwiązań organizacyjnych, w tym nowe zastosowania AI, w przypadku których ryzyko dla osób nie jest jeszcze dobrze rozpoznane ani utrwalone w praktyce.
• Łączenie lub zestawianie zbiorów danych z różnych źródeł w sposób wykraczający poza to, czego osoba mogłaby się rozsądnie spodziewać.

W praktyce firma korzystająca z systemu AI, który selekcjonuje, ocenia albo monitoruje ludzi, już przy pierwszym przejściu spełnia zwykle co najmniej dwa z tych kryteriów. To dokładnie ta grupa, którą darmowy kwestionariusz ma za zadanie wychwycić — dlatego DPIA jest zwykle jednym z pierwszych dokumentów, które pojawiają się po wyniku „to Państwa dotyczy”, a nie miłym dodatkiem na później.

Ta matematyka działa niezależnie od tego, który dokument jest Państwu najpilniej potrzebny w tym tygodniu. Jeśli potrzebują Państwo tylko raportu ryzyka do wniosku bankowego, można kupić go osobno za 49 euro. Jeśli bezpośrednim żądaniem klienta lub UODO jest DPIA, to 69 euro samo w sobie. Ale jeśli wiedzą Państwo, że prędzej czy później będą potrzebować więcej niż jednego z tych dokumentów — a dotyczy to większości firm mierzących się z obowiązkami AI Act i RODO — pakiet jest tańszą drogą do tej samej dokumentacji, a nie premium dodatkiem.

Nic z powyższego nie zastępuje darmowego kwestionariusza dotyczącego stosowania przepisów i nie stanowi porady prawnej dla Państwa konkretnej sytuacji. Ten kwestionariusz nadal odpowiada na pytanie, czy coś Państwa dotyczy, i pozostaje darmowy. Te trzy zakupy odpowiadają na inne pytanie: skoro już wiedzą Państwo, co ma zastosowanie, co konkretnie przekazują Państwo osobie, która prosi o dowód.