Osobné údaje v AI systémoch (GDPR)

Osobné údaje v AI systémoch (GDPR) v praxi

Chatbot na webe aj program, ktorý triedi životopisy, pracujú s osobnými údajmi. GDPR sa vás preto týka, aj keď ste AI nástroj iba kúpili od dodávateľa. Treba vedieť, na akom právnom základe údaje spracúvate, čo poviete ľuďom, ktorých sa to týka, a či o nich nerozhoduje stroj bez človeka. Aj údaje, ktoré vyzerajú anonymne, môžu byť osobnými údajmi, ak sa dá človek spätne rozpoznať.

Najprv zmapujeme, odkiaľ údaje do systému prichádzajú a kam odchádzajú. Potom určíme právny základ podľa čl. 6 GDPR, pripravíme informačné texty a pri vysokom riziku vypracujeme posúdenie vplyvu na ochranu údajov (DPIA). Ak sa na systém vzťahuje aj AI Act, zladíme obe posúdenia, aby sa tá istá práca nerobila dvakrát. Pri kontrole alebo sťažnosti vás zastúpime pred Úradom na ochranu osobných údajov SR.

S čím pomáhame

Audit tokov osobných údajov v AI systéme
Určenie právneho základu podľa čl. 6 GDPR vrátane testu oprávneného záujmu
Posúdenie vplyvu (DPIA) podľa čl. 35 GDPR pre konkrétny AI systém
Informačné texty podľa čl. 13 a 14 GDPR pre chatboty a automatizované rozhodovanie
Smernica o používaní AI nástrojov a preverenie dodávateľov
Zastupovanie pred Úradom na ochranu osobných údajov SR

Čo je dobré vedieť

Rozhodnutie bez človeka

Čl. 22 GDPR dáva človeku právo, aby o ňom nerozhodoval výlučne automat, ak má rozhodnutie právne účinky alebo ho podobne významne ovplyvní. Typicky ide o automatické zamietnutie úveru alebo filtrovanie uchádzačov pred pohovorom. Ak konečné rozhodnutie robí človek so skutočnou možnosťou rozhodnúť inak, čl. 22 sa spravidla neuplatní.

DPIA pri vysokom riziku

Čl. 35 GDPR vyžaduje posúdenie vplyvu, ak spracúvanie pravdepodobne vedie k vysokému riziku pre práva ľudí. Pri AI je to časté, napríklad pri profilovaní, biometrii alebo zdravotných údajoch. Pri zmene systému, tréningových dát alebo účelu sa DPIA aktualizuje.

Verejné údaje nie sú voľné

To, že sú údaje verejne dostupné, ešte neznamená, že na nich smiete trénovať model. Aj pri údajoch získaných z internetu treba právny základ a informovanie ľudí podľa čl. 14 GDPR.

Časté otázky

Samotnej prevádzky nie. GDPR sa však uplatní hneď, ako AI osobné údaje spracuje, vytvorí alebo upraví. Aj zdanlivo anonymné dáta sú osobnými údajmi, ak sa dá človek s primeranou pravdepodobnosťou znovu identifikovať (čl. 4 ods. 1 GDPR).
Keď rozhodnutie vzniká výlučne automatizovane vrátane profilovania a má pre človeka právne účinky alebo ho podobne významne ovplyvní. Príkladom je automatický scoring úveru. Ak AI len odporúča a rozhoduje kvalifikovaný človek so skutočnou právomocou, čl. 22 sa spravidla neuplatní.
Platia súbežne. AI Act upravuje samotný AI systém, napríklad klasifikáciu rizika, dokumentáciu a ľudský dohľad. GDPR upravuje spracúvanie osobných údajov v ňom. Vysokorizikový systém podľa AI Act spravidla vyžaduje aj DPIA podľa GDPR.

Súvisiace články

Prebrať vašu vec s advokátom

Na konzultácii posúdime vašu situáciu, navrhneme postup a povieme, s akými nákladmi počítať.

90 € s DPH, 30 minút, osobne alebo online

Text má informatívny charakter, vychádza z predpisov platných v čase prípravy a nenahrádza posúdenie vašej konkrétnej veci.

Osobné údaje v AI systémoch (GDPR)