AI i ochrona danych

RODO stosuje się w pełni

Gdy system AI przetwarza dane osobowe – w danych treningowych, promptach, wynikach lub logach – zastosowanie mają wszystkie zasady RODO. Opinia 28/2024 Europejskiej Rady Ochrony Danych potwierdziła, że prawnie uzasadniony interes może stanowić podstawę rozwoju i wdrażania modeli AI tylko po udokumentowanym trzyetapowym teście oraz że model wytrenowany na danych osobowych nie jest automatycznie anonimowy. Szczególnej uwagi wymagają ograniczenie celu, minimalizacja, prawidłowość i przejrzystość, ponieważ modele mogą zapamiętywać i odtwarzać dane oraz generować nieprawdziwe informacje o osobach.

Co sprawdza IOD

• Podstawę prawną i cel każdego zastosowania AI, w tym ponownego wykorzystania danych do trenowania.
• DPIA, gdy zastosowanie AI może powodować wysokie ryzyko – częstymi powodami są nowe technologie, profilowanie i monitorowanie pracowników.
• Warunki dostawcy: czy prompty i wyniki są przechowywane, wykorzystywane do trenowania modeli lub przekazywane poza EOG.
• Przejrzystość i prawa: informowanie o korzystaniu z AI oraz obsługę żądań dostępu, sprostowania i sprzeciwu dotyczących wyników AI.
• Zabezpieczenia z art. 22, gdy decyzje są wyłącznie zautomatyzowane i istotne.

Miejsce AI Act

AI Act reguluje systemy AI według ryzyka i roli. Dostawcy wprowadzają systemy do obrotu; podmioty stosujące korzystają z nich w ramach swoich uprawnień. Niektóre praktyki są zakazane od 2 lutego 2025 r., w tym rozpoznawanie emocji w miejscu pracy i w instytucjach edukacyjnych (z wąskimi wyjątkami) oraz scoring społeczny. Obowiązki przejrzystości z art. 50 stosuje się od 2 sierpnia 2026 r., a obowiązki dotyczące systemów wysokiego ryzyka wchodzą w życie według harmonogramu zmienionego pakietem Omnibus z 2026 r. Niektóre podmioty stosujące AI wysokiego ryzyka muszą przeprowadzić ocenę skutków dla praw podstawowych, która może opierać się na DPIA. AI Act nie zastępuje RODO: stosuje się oba akty.