Millal nõuab tehisintellekt DPIA-d ja millal andmekaitseasutusega konsulteerimist

Alljärgnev on praktiline juhend, mitte konkreetse juhtumi õiguslik lahendus. Suuremate summade puhul tasub see kooskõlastada oma nõustajaga. Poznańi lähedal asuvas 170 töötajaga tootmisettevõttes jõudis kandideerimisavalduste esmase hindamise tööriista juurutamine andmekaitseametniku lauale reede pärastlõunal. Varem tähendas iga värbamine CV-de käsitsi läbivaatamist tabelis. Ühele ametikohale laekus 60 avaldust ja esmane eelvalik võttis 6–7 tundi. Tööriist pidi hindama töökogemust, staaži ja keeleoskust ning personaliosakond soovis pilootprojektiga alustada esmaspäeval. Küsimus oli järgmine: kas sellest tuleb kuhugi teatada? Vastus on lühike: tehisintellekti juurutamine iseenesest ei nõua UODO teavitamist. Küll aga nõuab see kontrollimist, kas tuleb läbi viia andmekaitsealane mõjuhinnang.

AIPilt on genereeritud tehisintellekti poolt.

Kuidas see kokku pandi

Esimesel nädalal kaardistas andmekaitseametnik toimingud: andmeallikad (CV-d, ankeedid, testid), mudeli tarnija, hindamisviis, säilitamine. Tööriist oli ettevõtte jaoks uus tehnoloogia, mistõttu nõudis isikuandmete kaitse üldmääruse artikli 35 lõige 1 kontrollimist, kas risk on suur. Teisel nädalal selgus, et tööriist teeb isiklike tegurite automatiseeritud hindamist, sest tulemus otsustab vestlusele kutsumise. See käivitab isikuandmete kaitse üldmääruse artikli 35 lõike 3 punkti a ning Poola UODO presidendi 17.06.2019 teadaande kohaselt on selline profiilianalüüs otseselt DPIA-d nõudvate töötluste nimekirjas. Kolmas nädal kulus tarnija dokumentatsioonile: millised treeningandmed, kus neid töödeldakse, kas hindamist saab välja lülitada. Neljandal nädalal valmis DPIA esimene versioon: töötlemise kirjeldus, vajalikkuse ja proportsionaalsuse hinnang, riskianalüüs (kallutatus, läbipaistvuse puudumine, kontrolli kaotamine), maandamismeetmed ja otsus. Lisaks seitse operatiivset küsimust: andmeallikad, mudeli treenimine, automatiseeritud otsused, diskrimineerimisoht, läbipaistvus, inimese järelevalve, säilitamine. Ettevõtte poolt panustasid andmekaitseametnik (28 tundi), personalijuht (6 tundi), IT-osakond (4 tundi) ja juhatus (2 tundi).

Arve

Ühe värbamisprotsessi DPIA ettevalmistamise väliskulu jäi vahemikku 8 000–14 000 PLN neto. Ettevõtte sees kulus 40 töötundi, peamiselt andmekaitseametnikul. Kui meeskond teinuks seda üksi, olnuks otsene rahaline kulu nullilähedane, kuid andmekaitseametniku ajakulu kasvanuks 60–80 tunnini ning eeldanuks kogemust riskianalüüsis. Pilootprojekti järgne sääst on värbamistöös 5–7 tundi nädalas, eeldusel, et tööriist jääb pärast pilooti kasutusse. Tasuvuspunkt saabub värbaja umbes 6 000 PLN suuruse kuukulu juures 3–4 kuu pärast. Need on meie projektide reaalsed näitajad: need sõltuvad protsesside arvust, tarnija dokumentatsioonist ja sellest, kas DPIA hõlmab ühte tööriista või kogu värbamisvaldkonda.

Mis läks valesti

Esimene probleem: tarnija keeldus treeningandmete infot jagamast, viidates ärisaladusele. Ilma selleta polnud võimalik hinnata erapoolikuse riski. Pärast kahenädalasi läbirääkimisi allkirjastati konfidentsiaalsusleping (NDA) ning tarnija esitas mudeli mõõdikud ja allikate nimekirja sünteetilisel kujul. See lisas 6 töötundi. Teine probleem: DPIA esimene versioon kirjeldas profiilianalüüsi ühe sündmusena. Seetõttu oli diskrimineerimisoht alahinnatud. Parandus nõudis protsessi jagamist viieks alamprotsessiks: alates CV laekumisest ja punktiarvestusest kuni tagasilükkamisotsuseni. Kolmas probleem: personaliosakond soovis lahenduse kasutusele võtta enne juhatuse heakskiitu. Dokument ootas 11 päeva ühe juhatuse liikme allkirja taga, sest ametlik kord ei näinud ette asendamist.

AIPilt on genereeritud tehisintellekti poolt.

Mida teeksime teisiti

Alustaksime tarnija eelselektsioonist juba enne pilootprojekti ostmist. Küsimused treeningandmete, säilitamise, alamvolitatud töötlejate ja töötlemise asukoha kohta peaksid jõudma lepingusse või lisasse enne käivitamist. Teine muudatus: DPIA koostatakse paralleelselt tööriista valikuga, mitte pärast PoC allkirjastamist. Kolmas: ajakavas peab olema varu juhatuse allkirja jaoks. Meie praktikas võtab allkirjastamine 50–250 töötajaga ettevõttes 3–5 tööpäeva, kuid puhkused pikendavad seda kahe nädalani. AI Acti mõistes kõrge riskiga süsteemide puhul lisanduks artikli 27 kohane põhiõiguste mõjuhinnang. Antud juhul ei olnud tööriist kõrge riskiga süsteem, mistõttu piisas DPIA-st, kuid teiste klientide puhul ühendame mõlemad dokumendid ühte protsessi.

Stsenaarium sobib ettevõttele, kes võtab kasutusele tehisintellekti tööriista värbamiseks, meelsusanalüüsiga klienditeeninduseks, näotuvastusega videovalveks või riske hindavaks ennustavaks analüütikaks. See ei sobi isikuandmeteta sisugeneraatorile ega anonüümsetele siseandmetele. Tehisintellekti juurutamine iseenesest ei nõua andmekaitseasutuse teavitamist. Küll aga eeldab see ausat hindamist: kas tegemist on uue tehnoloogia, süstemaatilise hindamise või ulatusliku seirega. Keskmise suurusega ettevõtte täielik DPIA kestab tavaliselt 2–6 töönädalat ja võtab 40–80 tundi. Dokumendi kinnitab vastutav töötleja, enamasti juhatus, pärast andmekaitseametniku arvamuse saamist, ning jääkriski korral lisandub konsultatsioon andmekaitseasutusega GDPR artikli 36 alusel.