Från gratis rapport till dokument: tre nya dokument för AI-förordningen och GDPR

Har ni redan svarat på Komplyas gratis frågeformulär om tillämplighet har ni fått ett svar i klarspråk på om AI-förordningen eller GDPR gäller för det er verksamhet gör med AI. Det formuläret förblir gratis och ändras inte. Det som ändras är vad som händer efter det svaret. Att veta vilka skyldigheter som gäller och att kunna bevisa det för någon annan är två olika saker — och fram tills nu innebar det glappet att ni fick skriva av ett resultat från skärmen för hand till ett eget dokument, i hopp om att det såg tillräckligt trovärdigt ut. Det glappet är nu täppt till: tre nya engångsköp omvandlar den gratis rapporten till dokument byggda för att lämnas till en bank, en kund, en investerare eller en revisor.

Vad är nytt

Riskklassificeringsrapport för AI-förordningen — 49 euro

Det här är er gratis tillämplighetsrapport, omformaterad till en varumärkt export med källhänvisningar inbyggda. Samma underliggande analys, samma motor, men strukturerad och referensbelagd som ett fristående dokument snarare än en sida på en skärm. Den finns till för stunden när någon utanför företaget ber er bevisa en klassificering i stället för att bara berätta om den: en bank som kreditprövar ett lån, en investerares due diligence-checklista, en kunds upphandlingsformulär, eller er egen interna revisionsakt. I stället för en skärmdump bifogar ni ett dokument med lagrummen redan inbyggda.

DPIA-generator — 69 euro

En konsekvensbedömning avseende dataskydd (DPIA), utkastad av en språkmodell och strukturerad enligt artikel 35.7 GDPR: en systematisk beskrivning av behandlingen, en bedömning av nödvändighet och proportionalitet, en bedömning av riskerna för registrerades rättigheter och friheter, samt de riskreducerande åtgärder ni har infört eller planerar att införa. Utkastet grundas i triggerkriterierna i artikel 35.3 GDPR och WP248-riktlinjerna, så att dokumentet faktiskt resonerar kring er egen behandling i stället för att fylla i en generisk mall. Vilka som brukar be om detta: IMY, ett skyddsombud eller fackligt organ, större kunder som gör leverantörsgranskningar, och ert eget dataskyddsombud om ni har ett.

Komplett paket — 99 euro

Båda policydokumenten (AI-användningspolicy och integritetspolicy), riskklassificeringsrapporten, DPIA:n, och ett nytt försättsblad, Evidence & Audit Pack, som indexerar allt i ett samlat paket. Försättsbladet finns till för att den som tar emot paketet — en revisor, en investerare, en tillsynsmyndighet — inte ska behöva räkna ut själv vilket dokument som besvarar vilken fråga; det är redan strukturerat åt dem.

När behöver ni faktiskt en DPIA?

Det här är värt att förstå på egna meriter, oavsett om ni köper något eller inte. Artikel 35 GDPR kräver en DPIA när en typ av behandling, särskilt med användning av ny teknik, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Artikel 35.3 GDPR och WP248-riktlinjerna från den tidigare artikel 29-gruppen anger de kriterier tillsynsmyndigheter faktiskt använder för att avgöra om den tröskeln är nådd. Uppfyller er behandling två eller fler av nedanstående kriterier är en DPIA med mycket stor sannolikhet obligatorisk; flera AI-system uppfyller mer än ett av dem på egen hand:

• Utvärdering eller poängsättning, inklusive profilering som ger en rättslig effekt eller på liknande sätt betydande påverkan på en person, som automatiserad kreditbedömning eller CV-screening som filtrerar bort kandidater.
• Storskalig behandling av särskilda kategorier av personuppgifter (hälsa, biometri, etnicitet, politisk uppfattning och liknande) eller uppgifter om fällande domar i brottmål.
• Systematisk övervakning av individer, inklusive övervakning av en allmänt tillgänglig plats eller pågående beteendeobservation.
• Behandling som involverar sårbara registrerade, till exempel anställda, barn eller personer i ett ekonomiskt eller socialt beroendeförhållande till den personuppgiftsansvarige.
• Innovativ användning av teknik eller organisatoriska lösningar, inklusive nya AI-tillämpningar, där riskerna för individer ännu inte är väl förstådda eller etablerad praxis.
• Sammanslagning eller kombination av dataset från olika källor, utöver vad en person rimligen skulle förvänta sig.

I praktiken uppfyller ett företag som använder ett AI-system som screenar, poängsätter eller övervakar människor ofta redan vid första genomgången minst två av dessa kriterier. Det är precis den grupp det gratis frågeformuläret är byggt för att flagga, och det är därför en DPIA ofta är ett av de första dokumenten som följer på ett "det här gäller er"-resultat, snarare än något trevligt att göra senare.

Kalkylen håller oavsett vilket dokument som är mest akut för er den här veckan. Behöver ni bara riskrapporten till en bankansökan, köp den fristående för 49 euro. Är en DPIA det omedelbara kravet från en kund eller IMY, är det 69 euro på egen hand. Men vet ni att ni med tiden kommer att behöva mer än ett av dessa dokument — vilket gäller de flesta företag som hanterar skyldigheter enligt AI-förordningen och GDPR — är paketet den billigare vägen till samma dokumentation, inte en premiumvariant.

Inget av detta ersätter det gratis frågeformuläret om tillämplighet, och det är ingen juridisk rådgivning om er specifika situation. Frågeformuläret svarar fortfarande på om något gäller för er, och förblir gratis. Dessa tre köp svarar på en annan fråga: när ni väl vet vad som gäller, vad lämnar ni faktiskt över till den som ber om bevis.