Kdy AI vyžaduje DPIA a kdy konzultaci s ÚOOÚ

Níže najdete praktického průvodce, nikoli řešení konkrétního případu. U větších rozpočtů doporučujeme konzultaci s vlastním poradcem. Ve výrobní firmě se 170 zaměstnanci u Poznaně dorazil požadavek na nasazení nástroje pro předběžné hodnocení náborových přihlášek k pověřenci pro ochranu osobních údajů v pátek odpoledne. Dříve každý nábor znamenal ruční procházení životopisů v tabulce. Na jednu pozici přicházelo 60 přihlášek a předběžné třídění zabralo 6–7 hodin. Nástroj měl bodovat zkušenosti, praxi i jazyk a personální oddělení chtělo pilotní provoz spustit v pondělí. Otázka zněla: je nutné to někam hlásit? Odpověď je prostá: samotné nasazení AI hlášení na ÚOOÚ nevyžaduje. Vyžaduje však prověření, zda je nutné provést posouzení vlivu na ochranu osobních údajů.

AIObraz vygenerovaný přes AI.

Jak to poskládali

V prvním týdnu DPO sestavil inventář operací: zdroj dat (životopisy, formuláře, testy), dodavatel modelu, způsob hodnocení, retence. Nástroj byl pro firmu novou technologií, proto čl. 35 odst. 1 GDPR vyžadoval ověření, zda je riziko vysoké. Ve druhém týdnu se ukázalo, že nástroj provádí automatizované hodnocení osobních aspektů, protože výsledek rozhoduje o pozvání na pohovor. To aktivuje čl. 35 odst. 3 písm. a GDPR a v polském Sdělení předsedy UODO ze dne 17. 6. 2019 je takové profilování přímo na seznamu zpracování vyžadujících DPIA. Třetí týden patřil dokumentaci od dodavatele: jaká trénovací data, kde jsou zpracovávána, zda lze hodnocení vypnout. Ve čtvrtém týdnu vznikla první verze DPIA: popis zpracování, posouzení nezbytnosti a přiměřenosti, analýza rizik (předpojatost, netransparentnost, ztráta kontroly), nápravná opatření a rozhodnutí. K tomu sedm operativních otázek: zdroje dat, trénování modelu, automatizovaná rozhodnutí, riziko diskriminace, transparentnost, lidský dohled, retence. Na straně firmy se zapojili DPO (28 hodin), vedoucí HR (6 hodin), IT oddělení (4 hodiny) a vedení (2 hodiny).

Účet

Externí náklady na přípravu DPIA pro jeden náborový proces se pohybovaly v rozmezí 8 000–14 000 PLN netto. Interně si projekt vyžádal 40 člověkohodin, převážně na straně DPO. Pokud by tým postupoval sám, přímé finanční náklady by byly téměř nulové, ale čas DPO by vzrostl na 60–80 hodin a vyžadoval by zkušenosti s analýzou rizik. Úspora po pilotním nasazení činí 5–7 hodin týdně v práci náborového týmu za předpokladu, že nástroj zůstane i po pilotu. Návratnost při mzdových nákladech na recruitera kolem 6 000 PLN měsíčně vychází na 3–4 měsíce. Jde o hodnoty z našich realizací, závisí na počtu procesů, dokumentaci dodavatele a na tom, zda DPIA pokrývá jeden nástroj, nebo celou oblast náboru.

Co se pokazilo

První problém: dodavatel odmítal zpřístupnit informace o trénovacích datech s odkazem na obchodní tajemství. Bez toho nebylo možné posoudit riziko předpojatosti. Po dvou týdnech vyjednávání došlo k podpisu NDA a dodavatel poskytl metriky modelu i přehled zdrojů v syntetické podobě. To si vyžádalo 6 člověkohodin navíc. Druhý problém: první verze DPIA popisovala profilování jako jednu událost. Riziko diskriminace tím bylo podhodnocené. Úprava vyžadovala rozpad na pět dílčích procesů: od příjmu životopisu přes bodování až po rozhodnutí o zamítnutí. Třetí problém: HR chtělo nástroj nasadit ještě před schválením vedením. Dokument čekal 11 dní na podpis jednoho člena představenstva, protože formální postup nepočítal se zastupováním.

AIObraz vygenerovaný přes AI.

Co bychom udělali jinak

Začali bychom předběžným prověřením dodavatele ještě před nákupem pilotního projektu. Otázky na trénovací data, retenci, další zpracovatele a lokalitu zpracování musí být součástí smlouvy nebo dodatku před spuštěním. Druhá změna: posouzení vlivu na ochranu osobních údajů (DPIA) vypracujte souběžně s výběrem nástroje, ne až po podpisu PoC. Třetí: harmonogram musí obsahovat časovou rezervu na podpis vedení. V naší praxi u firem s 50–250 zaměstnanci trvá podpis 3–5 pracovních dnů, dovolené však tuto dobu prodlužují až na dva týdny. U vysoce rizikových systémů podle AI Act by přibylo posouzení dopadů na základní práva podle čl. 27. V tomto případě nástroj nebyl vysoce rizikovým systémem, proto DPIA stačila, u jiných klientů však oba dokumenty spojujeme do jednoho procesu.

Scénář dává smysl pro firmu, která zavádí AI nástroj pro nábor, zákaznický servis s analýzou sentimentu, kamerový dohled s rozpoznáváním obličejů nebo prediktivní analytiku hodnotící riziko. Nemá smysl pro generátor obsahu bez osobních údajů ani pro anonymní interní data. Samotné zavedení AI nevyžaduje ohlášení na ÚOOÚ. Vyžaduje však pečlivé posouzení: zda jde o novou technologii, systematické hodnocení nebo rozsáhlé monitorování. Celá DPIA pro střední firmu obvykle trvá 2–6 pracovních týdnů a 40–80 hodin. Dokument schvaluje správce, nejčastěji vedení společnosti, po vyjádření pověřence pro ochranu osobních údajů (DPO). Při zbytkovém riziku následuje konzultace s ÚOOÚ podle čl. 36 GDPR.