GDPR u trenutku kada AI preuzima zadatak

Zašto je automatizacija pitanje podataka

Kada zadatak prelazi s čovjeka na sustav, često se ne mijenja samo tko obavlja posao, nego i način na koji se obrađuju osobni podaci. Zaposlenik koji procjenjuje upit klijenta čita podatke, procjenjuje ih i odlučuje. Sustav koji preuzima isti zadatak obrađuje te podatke na drugi način: strukturirano, ponovljivo, ponekad uz pohranu ili prosljeđivanje koje prije nije postojalo. GDPR promatra obradu, a ne pitanje zvuči li zadatak 'automatiziran'. To u svojoj srži čini automatizaciju događajem s posljedicama za zaštitu podataka, i onda kada je ishod za klijenta naizgled isti.

Ovo se javlja na svakoj razini automatizacije, od jednostavne skripte do AI sustava koji samostalno donosi zaključke. Prilikom procjene prikladnosti zadatka za AI stoga treba postaviti i pitanje koji su podaci uključeni i uklapa li se njihova obrada još u svrhu za koju su podaci nekad prikupljeni. Kako procjenjujemo zadatak zbog toga posvećuje pažnju prirodi obrade podataka, uz pitanje je li zadatak sadržajno prikladan za prijenos na sustav.

Što se konkretno mijenja

Tri se elementa uglavnom mijenjaju kada se zadatak automatizira:

Način obrade. Sustav može kombinirati podatke, profilirati ih ili čuvati dulje nego što je to čovjek u praksi radio. Ono što je prije bio pogled u jedan dosje, može postati automatizirano povezivanje između više izvora.
Razina ljudske intervencije. Odlučuje li sustav samostalno, ili postoji čovjek koji odobrava ili odbija s razlogom? Ta razlika nije relevantna samo za kvalitetu odluke, nego i za pitanje je li riječ o automatiziranom donošenju odluka u smislu GDPR-a, s dodatnim zahtjevima koji uz to idu.
Svrhe. Podaci prikupljeni za jedan zadatak ponekad se ponovno koriste za treniranje sustava ili za njegovo funkcioniranje u vezi s drugim zadatkom. To je nova svrha, a nova svrha zahtijeva vlastitu provjeru.

Nijedna od ovih promjena nije po definiciji problem. One su, međutim, trenutak za ponovno razmatranje obrade, umjesto pretpostavke da postojeća pravna osnova automatski prelazi na novi način rada.

Kada je potrebna nova pravna osnova

Svaka obrada osobnih podataka zahtijeva pravnu osnovu, na primjer privolu, ugovor, zakonsku obvezu ili legitimni interes. Ta je osnova povezana s obradom kako je bila osmišljena i procijenjena u to vrijeme. Ako se obrada suštinski promijeni, izvorna osnova možda više ne pruža dovoljno pokriće.

To se događa češće nego što se čini. Legitimni interes koji je odmjeren za ručnu obradu ne ostaje automatski valjan ako se opseg, brzina ili doseg obrade znatno povećaju zbog automatizacije. Privola tražena za jednu konkretnu svrhu ne pokriva drugu svrhu koja se dodaje putem AI primjene. A kod automatiziranog donošenja odluka s pravnim posljedicama za osobe na koje se podaci odnose vrijede dodatni uvjeti, nezavisno od pitanja koja se osnova inače primjenjuje.

Spada li zadatak u kategoriju jedan, dva ili tri — AI ga može preuzeti, AI ga može djelomično obavljati pod nadzorom, ili ostaje ljudski posao — dakle još ništa ne govori o tome je li osnovna obrada podataka pokrivena. To su dvije zasebne provjere koje su međusobno povezane: zadatak koji zbog rizika povezanih s podacima ostaje u kategoriji dva ili tri, često to ostaje baš zato što osnova ili utjecaj na osobe na koje se podaci odnose još nije istražen.

Gdje to potražiti

Sam GDPR, objašnjenja nadležnog tijela za zaštitu podataka i smjernice europskih tijela za zaštitu privatnosti mjesta su na kojima se nalaze aktualni zahtjevi, uključujući eventualna posebna pravila za AI primjene koja se mogu mijenjati nakon objave ove stranice. Ovdje svjesno ne navodimo brojeve članaka ili rokove: oni se mogu mijenjati i pripadaju izvornom tekstu, a ne pregledu koji možda više nije aktualan u trenutku kada ga čitate.

Ova stranica opisuje mehanizam, a ne prilagođen savjet. Zahtijeva li konkretna automatizacija novu pravnu osnovu, opravdava li DPIA ili se odnosi na automatizirano donošenje odluka, pravno je pitanje koje se mora odgovoriti za svaku situaciju posebno, obično uz pravnika ili službenika za zaštitu podataka.

Gdje se to susreće s drugim procesima

Ako automatizacija utječe na zadatak koji obavlja više osoba, pitanje zaštite podataka obično nije jedino pitanje. U obzir može doći i sudjelovanje radničkog vijeća: kada je radničko vijeće nadležno objašnjava u kojim je slučajevima potrebna suglasnost ili savjetovanje kada se mijenjaju radni procesi. Oba procesa — provjera zaštite podataka i sudjelovanje radničkog vijeća — teku paralelno i ne zamjenjuju jedan drugi.

Što možete učiniti sada

Ova stranica opisuje što se mijenja u obradi podataka prema GDPR-u kod automatizacije; ne odgovara na pitanje jesu li vaši vlastiti zadaci pravno pokriveni ili prikladni za prijenos na AI. Za prvu, neobvezujuću procjenu koji dio sati u vašem profilu danas može preuzeti AI, možete ispuniti besplatni brzi test tvrtke ftetoai: dvanaest pitanja, bez potrebe za računom. Test se odnosi na sadržaj zadatka, a ne na obradu podataka oko njega — ta provjera i dalje je potrebna zasebno. Potpuni radni test, koji dublje ulazi u pojedinačne procese, još je u izradi.