GDPR in Akt o umetni inteligenci: obveznosti podjetij

Kadrovska agencija v Ljubljani že leta vodi urejeno evidenco dejavnosti obdelave osebnih podatkov, ima izvedeno oceno učinka v zvezi z varstvom podatkov (DPIA) za orodje, ki razvršča prijave kandidatov, in imenovano pooblaščeno osebo za varstvo podatkov. Ko eno od bank, s katero sodelujejo pri izbiri kandidatov za finančna delovna mesta, med preverjanjem dobaviteljev vpraša, ali je orodje usklajeno tudi z Aktom o umetni inteligenci, v podjetju najprej pomislijo, da to vprašanje že pokriva obstoječi GDPR spis. Ni tako. GDPR in Akt o umetni inteligenci sprašujeta po dveh različnih stvareh, in obstoječa DPIA sama po sebi ne odgovori na vprašanje, ali gre za sistem z visokim tveganjem po Aktu o umetni inteligenci.

GDPR in Akt o umetni inteligenci sprašujeta različni vprašanji

GDPR sprašuje ozko: ali podjetje osebne podatke obdeluje zakonito, za določen namen in na ustrezni pravni podlagi. Akt o umetni inteligenci sprašuje širše: ali sistem, ne glede na to, ali sploh obdeluje osebne podatke, prinaša tveganje za zdravje, varnost ali temeljne pravice ljudi. Orodje za razvrščanje prijav kandidatov skoraj vedno spada pod obe vprašanji hkrati, vendar odgovora nista enaka. GDPR v Sloveniji velja od leta 2018 in deluje neodvisno od Akta o umetni inteligenci – ta dodaja novo plast obveznosti, ne nadomešča in ne ukinja nobene obstoječe.

Člen 22 GDPR in Priloga III Akta o UI: dva različna testa

Člen 22 GDPR daje vsakomur pravico, da zanj ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi, vključno z oblikovanjem profilov, če ima taka odločitev zanj pravne učinke ali podobno znatno vpliva nanj. Če kadrovnik vsak izpis orodja ročno pregleda in šele nato povabi kandidata na razgovor, odločitev ni izključno avtomatizirana in člen 22 se ne uporabi. Priloga III Akta o umetni inteligenci pa deluje drugače – sisteme razvršča med sisteme visokega tveganja glede na namen uporabe, ne glede na stopnjo človeškega posredovanja. Sistemi, ki se uporabljajo za zaposlovanje ali izbor kandidatov, torej za objavljanje ciljno usmerjenih oglasov za delo, analizo in filtriranje prijav ter ocenjevanje kandidatov, spadajo med sisteme visokega tveganja, ne glede na to, da končno odločitev podpiše človek. Orodje kadrovske agencije lahko tako brez težav zaobide člen 22, hkrati pa izpolnjuje merila za sistem visokega tveganja po Prilogi III – ker o razvrstitvi odloča namen uporabe, ne to, kdo pritisne gumb.

DPIA in ocena učinka na temeljne pravice: dopolnitev, ne podvajanje

Ocena učinka v zvezi z varstvom podatkov po členu 35 GDPR je obvezna, kadar obdelava zaradi svoje narave, obsega ali namena verjetno prinaša veliko tveganje za pravice posameznikov – razvrščanje kandidatov z umetno inteligenco to mejo praviloma preseže, zato ima večina slovenskih kadrovskih agencij DPIA za takšna orodja že danes. Akt o umetni inteligenci v členu 27 dodaja oceno učinka na temeljne pravice (FRIA), ki pa ne velja za vsakega uvajalca sistema visokega tveganja. Obveznost FRIA je naložena predvsem organom javne oblasti in izbranim zasebnim subjektom, na primer bankam in zavarovalnicam, kadar sistem visokega tveganja uvajajo za odločanje o svojih strankah. Kadrovska agencija, ki uporablja kupljeno orodje za izbor kandidatov, praviloma neposredne obveznosti FRIA nima – lahko pa jo pridobi, če postane ponudnik v smislu Akta o UI, na primer tako, da si funkcije umetne inteligence prilagodi po meri.

Kdo v Sloveniji nadzoruje kaj, ko podjetje doda orodje UI

Informacijski pooblaščenec ostaja nadzorni organ za varstvo osebnih podatkov ne glede na to, kako se bo dokončno razdelil nadzor po Aktu o umetni inteligenci. Orodje, ki obdeluje osebne podatke kandidatov ali zaposlenih, torej ostaja pod nadzorom Informacijskega pooblaščenca po GDPR, neodvisno od tega, kateri organ bo v Sloveniji določen za nadzor trga po členu 70 Akta o UI za širšo uporabo, ki ne vključuje nujno osebnih podatkov. V času nastanka tega članka natančna razdelitev pristojnosti med organi za nadzor trga po Aktu o UI v Sloveniji še ni dokončno objavljena, zato priporočamo, da trenutno stanje preverite neposredno pri Informacijskem pooblaščencu ali na spletni strani pristojnega ministrstva. Za vsakodnevno prakso to pomeni: Informacijski pooblaščenec je organ, ki že danes sprašuje po osebnih podatkih v orodjih UI, ne glede na izid razprave o razdelitvi pristojnosti za nadzor trga.

Zakaj napaka na majhnem trgu, kot je slovenski, hitro postane vidna

Slovenski poslovni prostor je majhen in tesno povezan – banke, zavarovalnice in večje kadrovske agencije se med seboj poznajo in pri izbiri dobaviteljev vse pogosteje zahtevajo dokazila o skladnosti tako z GDPR kot z Aktom o umetni inteligenci. Odločba Informacijskega pooblaščenca ali opažena pripomba v postopku nadzora trga se v takem okolju med partnerji razširi hitreje kot na velikem trgu, kjer se posamezen primer lažje izgubi. Za slovensko podjetje to pomeni, da se cena neurejene dokumentacije ne meri le v morebitni globi, temveč tudi v izgubljenem poslu, ko partner pri naslednjem preverjanju izbere podjetje, ki ima odgovore že pripravljene.

Kaj preveriti, če podjetje že ima urejen GDPR program

Večina slovenskih podjetij, ki uporablja orodja UI pri zaposlovanju, ocenjevanju strank ali podpori pri odločanju, ima DPIA za ta orodja že pripravljeno, ker jo je GDPR zahteval že ob prvi uvedbi. Vprašanje zdaj je, ali ta dokumentacija še ustreza temu, kar orodje danes dejansko počne, in ali pokriva tudi zahteve Akta o UI. Pred naslednjim pregledom dobaviteljev ali notranjo revizijo velja preveriti naslednje:

• Je dobavitelj v zadnjem letu dodal funkcijo, ki temelji na strojnem učenju ali umetni inteligenci, ne da bi bila ta sprememba formalno ocenjena kot sprememba obdelave?
• Ali obstoječa DPIA vsebinsko pokriva tudi to novo funkcijo, ali opisuje le prvotno obdelavo brez elementov umetne inteligence?
• Ali je končna odločitev do kandidata ali stranke izključno avtomatizirana (člen 22 GDPR), ali gre za sistem, ki po Prilogi III spada med sisteme visokega tveganja ne glede na stopnjo človeškega posredovanja?
• Je podjetje glede tega orodja le uvajalec gotove rešitve, ali se približuje vlogi ponudnika, ker si funkcije umetne inteligence prilagaja po meri?
• Ali ima dobavitelj programske opreme na voljo dokumentacijo o skladnosti z Aktom o UI, ali je podjetje doslej dobilo le splošno zagotovilo brez podlage?
• Ali je bila pooblaščena oseba za varstvo podatkov seznanjena z novo funkcijo umetne inteligence, ali je zanjo izvedela šele naknadno?

Kaj je v igri, če podjetje obveznosti ne izpolni

Kršitve GDPR se po členu 83 GDPR kaznujejo z globo do 20 milijonov evrov ali do 4 % svetovnega letnega prometa, kar je višje. Akt o umetni inteligenci v členu 99 določa ločeno lestvico: do 35 milijonov evrov ali 7 % prometa za prepovedane prakse, do 15 milijonov evrov ali 3 % prometa za kršitve obveznosti sistemov visokega tveganja, in do 7,5 milijona evrov ali 1 % prometa za netočne informacije nadzornim organom. Gre za dve ločeni lestvici, ki se lahko za isto orodje uporabita hkrati, če to krši oba predpisa.

Splošna informacija, ne pravni nasvet

Navedeno je splošna usmeritvena informacija, ne pravni nasvet za konkretno situacijo vašega podjetja. Sočasna uporaba GDPR in Akta o umetni inteligenci je odvisna od natančnega namena obdelave, vloge vašega podjetja glede na konkreten sistem in tega, kaj dejansko dobavlja vaš ponudnik programske opreme – od podrobnosti, ki jih en članek ne more zajeti. Komplya pri tovrstni vsebini jasno loči med pravno preverjenim gradivom in delovnim osnutkom, tako da vedno veste, s kakšno stopnjo zanesljivosti delate.

Najhitrejša pot do jasnega odgovora je, da orodja umetne inteligence v podjetju pregledate eno za drugim in ugotovite, katera osebna podatka kandidatov, zaposlenih ali strank posamezno obdeluje. Izpolnite kratek vprašalnik o uporabi umetne inteligence v vašem podjetju in dobite pregled, kje se vaša obstoječa GDPR dokumentacija že prekriva s tem, kar danes zahteva Akt o umetni inteligenci, in kje je treba dodati manjkajoči del.