Isikuandmete kaitse üldmäärus, kui AI võtab ülesande üle

Miks on automatiseerimine ka andmeküsimus

Kui ülesanne läheb inimeselt süsteemile üle, muutub sageli mitte ainult see, kes tööd teeb, vaid ka see, kuidas isikuandmeid töödeldakse. Töötaja, kes hindab kliendipäringut, loeb andmeid, kaalub neid ja langetab otsuse. Süsteem, mis võtab sama ülesande üle, töötleb neid andmeid teisel viisil: struktureeritult, korratavalt, mõnikord säilitamise või edastamisega, mida varem ei olnud. Isikuandmete kaitse üldmäärus vaatab töötlemist, mitte seda, kas ülesanne kõlab 'automatiseerituna'. See teeb automatiseerimisest sisuliselt andmekaitseõigusliku sündmuse, isegi kui tulemus kliendi jaoks näib sama.

See kehtib igal automatiseerimise tasandil, lihtsast skriptist kuni AI-süsteemini, mis teeb iseseisvalt järeldusi. Ülesande hindamisel AI-le sobivuse osas käib seetõttu kaasas ka küsimus, milliseid andmeid see hõlmab ja kas selle töötlemine mahub veel eesmärgi raamesse, milleks andmeid kord kogutud. Sellepärast käsitleb lehekülg kuidas me ülesannet hindame andmetöötluse olemust, lisaks küsimusele, kas ülesanne on sisuliselt sobiv süsteemile üleandmiseks.

Mis täpselt muutub

Ülesande automatiseerimisel nihkub tavaliselt kolm elementi:

Töötlemisviis. Süsteem võib andmeid kombineerida, profileerida või säilitada kauem kui inimene seda praktikas tegi. See, mis varem oli pilk ühte toimikusse, võib muutuda automatiseeritud seoseks mitme allika vahel.
Inimliku sekkumise määr. Otsustab süsteem iseseisvalt, või jääb alles inimene, kes kiidab heaks või lükkab tagasi põhjendusega? See vahe on oluline mitte ainult otsuse kvaliteedi seisukohalt, vaid ka küsimuse jaoks, kas tegemist on isikuandmete kaitse üldmääruse tähenduses automatiseeritud otsustusprotsessiga, millega kaasnevad täiendavad nõuded.
Eesmärgid. Andmeid, mis on kogutud ühe ülesande jaoks, kasutatakse mõnikord uuesti, et treenida süsteemi või lasta see toimida teise ülesande jaoks. See on uus eesmärk, ja uus eesmärk vajab eraldi hindamist.

Mitte ükski neist nihetest ei ole iseenesest probleem. Need on aga hetk, mil töötlust tuleb uuesti vaadata, selle asemel et eeldada, et olemasolev õiguslik alus liigub automaatselt kaasa uude töötamisviisisse.

Millal on vajalik uus õiguslik alus

Iga isikuandmete töötlemine vajab õiguslikku alust, näiteks nõusolek, leping, seadusest tulenev kohustus või õigustatud huvi. Kõnealune õiguslik alus on seotud töötlusega, nagu see sel ajal kujundatud ja hinnatud oli. Kui töötlus muutub sisuliselt, ei saa algne õiguslik alus enam katvust pakkuda.

See juhtub sagedamini kui tundub. Õigustatud huvi, mis on kaalutud käsitsi tehtava töötluse jaoks, ei kehti automaatselt edasi, kui töötluse maht, kiirus või ulatus automatiseerimise tõttu tugevalt kasvab. Nõusolek, mis on küsitud ühe konkreetse eesmärgi jaoks, ei kata teist eesmärki, mis AI-rakenduse kaudu lisandub. Ja automatiseeritud otsustusprotsessi puhul, millel on õiguslikud tagajärjed asjaomastele isikutele, kehtivad täiendavad tingimused, sõltumata sellest, milline õiguslik alus muidu kehtib.

Selle, kas ülesanne kuulub kategooriasse üks, kaks või kolm — AI võib selle üle võtta, AI võib selle osaliselt teha järelevalve all, või jääb see inimtööks —, kohta ei ütle see midagi selle kohta, kas alusandmete töötlus on kaetud. Need on kaks eraldi hindamist, mis on siiski omavahel seotud: ülesanne, mis jääb andmeriskide tõttu kategooriasse kaks või kolm, teeb seda sageli just seetõttu, et õiguslikku alust või mõju asjaomastele isikutele ei ole veel välja selgitatud.

Kust see leidub

Isikuandmete kaitse üldmäärus ise, Andmekaitse Ameti (Autoriteit Persoonsgegevens) selgitused ja Euroopa andmekaitseasutuste suunised on kohad, kus on kirjas kehtivad nõuded, sealhulgas võimalikud erireeglid AI-rakenduste kohta, mis võivad selle lehekülje avaldamise järel muutuda. Me nimetame siin tahtlikult ei artikli numbreid ega tähtaegu: need võivad muutuda ja kuuluvad algtekstisse, mitte ülevaatesse, mis ei ole enam ajakohane hetkel, mil te seda loete.

See lehekülg kirjeldab mehhanismi, mitte kohandatud nõuannet. Kas konkreetne automatiseerimine vajab uut õiguslikku alust, õigustab andmekaitse mõjuhinnangut (DPIA) või puutub kokku automatiseeritud otsustusprotsessiga, on juriidiline küsimus, millele tuleb vastata iga olukorra puhul eraldi, tavaliselt koos juristi või andmekaitseametnikuga.

Kus see kokku puutub teiste protsessidega

Kui automatiseerimine mõjutab ülesannet, mida täidavad mitmed inimesed, ei ole andmekaitseküsimus tavaliselt ainuke. Kaasa võib tulla ka töötajate kaasamise küsimus: millal on see töönõukogu pädevuses selgitab, millistel juhtudel on vajalik nõusolek või nõuandev arvamus, kui töökorraldus muutub. Mõlemad protsessid — andmekaitsehindamine ja töötajate kaasamine — toimuvad paralleelselt ja ei asenda teineteist.

Mida saate praegu teha

See lehekülg kirjeldab, mis muutub isikuandmete kaitse üldmääruse kohases töötluses automatiseerimisel; see ei vasta küsimusele, kas teie enda ülesanded on õiguslikult kaetud või sobivad üleandmiseks AI-le. Esmase, mittesiduva näitaja saamiseks selle kohta, kui suur osa teie profiili tundidest on täna AI-le üleantav, saate täita ftetoai tasuta kiirtesti: kaksteist küsimust, kontot vajamata. Test käsitleb ülesande sisu, mitte selle ümber toimuvat andmetöötlust — see hindamine on eraldi ja jääb vajalikuks. Täielik töötest, mis käsitleb üksikuid protsesse sügavamalt, on veel valmimisel.