GDPR ve chvíli, kdy úkol převezme AI

Proč je automatizace otázkou dat

Když úkol přejde z člověka na systém, mění se často nejen to, kdo práci vykonává, ale i to, jak se zpracovávají osobní údaje. Zaměstnanec, který posuzuje dotaz klienta, čte údaje, zvažuje je a rozhoduje. Systém, který stejný úkol převezme, zpracovává tyto údaje jiným způsobem: strukturovaně, opakovatelně, někdy s uložením nebo předáváním, které dříve neexistovalo. GDPR se dívá na zpracování, nikoli na to, zda úkol zní „automatizovaně“. To dělá z automatizace v jádru záležitost práva na ochranu osobních údajů, i když se výsledek pro klienta zdá stejný.

Toto platí na každé úrovni automatizace, od jednoduchého skriptu až po systém AI, který samostatně vyvozuje závěry. Při posouzení, zda je úkol vhodný pro AI, tedy patří i otázka, jaké údaje jsou v tom zapojeny a zda jejich zpracování ještě zapadá do účelu, pro který byly údaje jednou shromážděny. Jak posuzujeme úkol se z tohoto důvodu věnuje povaze zpracování údajů, kromě otázky, zda je úkol obsahově vhodný pro převedení na systém.

Co se přesně mění

Při automatizaci úkolu se obvykle posouvají tři prvky:

Způsob zpracování. Systém může údaje kombinovat, profilovat nebo uchovávat déle, než to v praxi dělal člověk. Co dříve byl pohled do jedné složky, se může stát automatizovaným propojením mezi více zdroji.
Míra lidského zásahu. Rozhoduje systém samostatně, nebo zůstává člověk, který schvaluje nebo zamítá s odůvodněním? Tento rozdíl je relevantní nejen pro kvalitu rozhodnutí, ale i pro otázku, zda se jedná o automatizované rozhodování ve smyslu GDPR, s dodatečnými požadavky, které k tomu patří.
Účely. Údaje, které byly shromážděny pro jeden úkol, se někdy znovu použijí k trénování systému nebo k jeho fungování pro jiný úkol. To je nový účel, a nový účel vyžaduje vlastní posouzení.

Žádný z těchto posunů není sám o sobě problémem. Jsou ale okamžikem, kdy je třeba zpracování znovu posoudit, místo předpokladu, že stávající právní základ automaticky přechází i na nový způsob práce.

Kdy je potřeba nový právní základ

Každé zpracování osobních údajů potřebuje právní základ, například souhlas, smlouvu, zákonnou povinnost nebo oprávněný zájem. Tento základ je vázán na zpracování tak, jak bylo tehdy koncipováno a posouzeno. Pokud se zpracování podstatně změní, nemusí být původní základ dostatečný.

To se stává častěji, než se zdá. Oprávněný zájem, který byl zvážen pro manuální zpracování, automaticky neplatí, pokud objem, rychlost nebo rozsah zpracování výrazně vzroste díky automatizaci. Souhlas, který byl vyžádán pro jeden konkrétní účel, nekryje druhý účel, který přibude díky aplikaci AI. A u automatizovaného rozhodování s právními účinky pro dotčené osoby platí dodatečné podmínky, bez ohledu na to, jaký další právní základ se použije.

Zda úkol spadá do kategorie jedna, dva nebo tři — AI to může převzít, AI to může dělat částečně pod dohledem, nebo to zůstává lidskou prací — tedy ještě neříká nic o tom, zda je podkladové zpracování údajů zajištěno. Jsou to dva samostatné testy, které spolu ovšem souvisejí: úkol, který zůstává v kategorii dva nebo tři z důvodu rizik spojených s údaji, tak zůstává právě proto, že právní základ nebo dopad na dotčené osoby ještě není objasněn.

Kde to najdete

Samotné GDPR, výklad Úřadu pro ochranu osobních údajů a pokyny evropských dozorových orgánů pro ochranu osobních údajů jsou místa, kde jsou uvedeny aktuální požadavky, včetně případných zvláštních pravidel pro aplikace AI, které se mohou po zveřejnění této stránky změnit. Zde vědomě neuvádíme čísla článků ani lhůty: ty se mohou změnit a patří do primárního textu, nikoli do přehledu, který již v okamžiku, kdy jej čtete, nemusí být aktuální.

Tato stránka popisuje mechanismus, nikoli poradenství na míru. Zda konkrétní automatizace vyžaduje nový právní základ, odůvodňuje DPIA nebo se týká automatizovaného rozhodování, je právní otázka, kterou je třeba zodpovědět případ od případu, zpravidla s právníkem nebo pověřencem pro ochranu osobních údajů.

Kde se to setkává s jinými procesy

Pokud automatizace zasáhne úkol, který vykonává více lidí, nebývá otázka ochrany osobních údajů jediná. Do hry může vstoupit i spolurozhodování zaměstnanců: kdy o tom rozhoduje podniková rada vysvětluje, ve kterých případech je při změně pracovních procesů nutný souhlas nebo poradní stanovisko. Oba procesy — posouzení ochrany osobních údajů a spolurozhodování zaměstnanců — probíhají souběžně a nenahrazují se navzájem.

Co můžete udělat nyní

Tato stránka popisuje, co se při automatizaci mění ve zpracování podle GDPR; neodpovídá na to, zda jsou vaše vlastní úkoly právně zajištěny nebo vhodné k převedení na AI. Pro první, nezávaznou indikaci toho, jakou část hodin ve vašem profilu lze dnes převést na AI, můžete vyplnit bezplatný quickscan ftetoai: dvanáct otázek, bez nutnosti účtu. Scan se zaměřuje na obsah úkolu, nikoli na zpracování údajů kolem něj — toto posouzení je stále třeba provést samostatně. Kompletní pracovní scan, který se hlouběji zaměřuje na jednotlivé procesy, se zatím připravuje.