Kada AI reikalauja DPIA, o kada konsultacijų su priežiūros institucija

Pateikiame praktinį vadovą, o ne teisinę konkretaus atvejo išvadą. Valdant didesnius biudžetus, verta pasitarti su savo teisiniu konsultantu. 170 darbuotojų gamybos įmonėje šalia Poznanės įrankio, skirto pirminiam kandidatų vertinimui, diegimas duomenų apsaugos pareigūnui (DAP) ant stalo atsidūrė penktadienio popietę. Prieš tai kiekviena atranka rėmėsi rankine CV peržiūra skaičiuoklėje. Į vieną poziciją ateidavo 60 paraiškų, o pirminė atranka užtrukdavo 6–7 valandas. Įrankis turėjo vertinti patirtį, darbo stažą bei kalbų žinias, o personalo skyrius bandomąjį projektą norėjo pradėti pirmadienį. Kilo klausimas: ar apie tai reikia kam nors pranešti? Atsakymas trumpas: pats AI diegimas nereikalauja pranešimo UODO. Tačiau būtina patikrinti, ar nereikia atlikti poveikio duomenų apsaugai vertinimo (DPIA).

AIPaveikslėlis sugeneruotas DI.

Kaip tai surinkta

Pirmą savaitę DAP parengė operacijų sąrašą: duomenų šaltinis (CV, anketos, testai), modelio tiekėjas, vertinimo būdas, duomenų saugojimas. Įmonei šis įrankis buvo nauja technologija, todėl BDAR 35 straipsnio 1 dalis reikalavo įvertinti, ar rizika yra didelė. Antrą savaitę paaiškėjo, kad įrankis atlieka automatizuotą asmeninių savybių vertinimą, nes rezultatas lemia kvietimą į pokalbį. Tai aktyvuoja BDAR 35 straipsnio 3 dalies a punktą, o Lenkijos UODO pirmininko 2019-06-17 pranešime toks profiliavimas tiesiogiai įtrauktas į operacijų, kurioms privalomas DPIA, sąrašą. Trečią savaitę analizuota tiekėjo dokumentacija: kokie mokymo duomenys, kur jie apdorojami, ar galima atjungti vertinimą. Ketvirtą savaitę paruošta pirmoji DPIA versija: duomenų tvarkymo aprašymas, būtinumo ir proporcingumo vertinimas, rizikos analizė (šališkumas, skaidrumo trūkumas, kontrolės praradimas), rizikos mažinimo priemonės ir sprendimas. Taip pat atsakyti septyni operaciniai klausimai: duomenų šaltiniai, modelio mokymas, automatizuoti sprendimai, diskriminacijos rizika, skaidrumas, žmogaus atliekama priežiūra, saugojimas. Įmonės viduje procese dalyvavo DAP (28 valandos), personalo vadovė (6 valandos), IT skyrius (4 valandos) ir valdyba (2 valandos).

Sąskaita

Išorinės DPIA parengimo išlaidos vienam atrankos procesui siekė 8 000–14 000 PLN neto. Įmonės viduje skirta 40 darbo valandų, daugiausia DAP laiko. Jei komanda viską darytų pati, tiesioginės išlaidos būtų artimos nuliui, tačiau DAP laiko sąnaudos išaugtų iki 60–80 valandų ir pareikalautų rizikos analizės patirties. Po bandomojo etapo sutaupoma 5–7 valandos per savaitę atrankos specialistų darbo laiko, jei įrankis lieka naudojamas ir toliau. Esant maždaug 6 000 PLN mėnesinėms atrankos specialisto darbo vietos išlaidoms, investicija atsiperka per 3–4 mėnesius. Tai mūsų įgyvendintų projektų skaičiai. Jie priklauso nuo procesų kiekio, tiekėjo dokumentacijos ir to, ar DPIA apima vieną įrankį, ar visą atrankų sritį.

Kas nepavyko

Pirma problema: tiekėjas atsisakė pateikti informaciją apie mokymo duomenis, remdamasis komercine paslaptimi. Be to buvo neįmanoma įvertinti šališkumo rizikos. Po dviejų savaičių derybų pasirašyta NDA, o tiekėjas pateikė modelio metriką ir apibendrintą šaltinių sąrašą. Tai pridėjo 6 darbo valandas. Antra problema: pirmoji DPIA versija profiliavimą aprašė kaip vieną įvykį. Dėl to diskriminacijos rizika buvo nuvertinta. Pataisymui prireikė išskaidyti procesą į penkis paprocesius: nuo CV gavimo iki vertinimo balais ir sprendimo atmesti. Trečia problema: personalo skyrius norėjo pradėti diegimą prieš valdybos patvirtinimą. Dokumentas laukė vieno valdybos nario parašo 11 dienų, nes formalioje procedūroje nebuvo numatytas pavadavimas.

AIPaveikslėlis sugeneruotas DI.

Ką darytume kitaip

Pradėtume nuo tiekėjo išankstinės patikros dar prieš įsigyjant bandomąją versiją. Klausimai apie mokymo duomenis, saugojimą, pagalbinius tvarkytojus ir tvarkymo vietą turi patekti į sutartį arba priedą prieš paleidimą. Antras pakeitimas: DPIA rengiama lygiagrečiai su įrankio pasirinkimu, o ne po PoC pasirašymo. Trečias: grafike privalomas laiko rezervas valdybos parašui. Mūsų praktikoje, esant 50–250 darbuotojų, pasirašymas užtrunka 3–5 darbo dienas, tačiau atostogos šį terminą prailgina iki dviejų savaičių. Didelės rizikos sistemoms pagal AI Act dar prisidėtų poveikio pagrindinėms teisėms vertinimas pagal 27 straipsnį. Šiuo atveju įrankis nebuvo didelės rizikos sistema, todėl pakako DPIA, tačiau dirbdami su kitais klientais abu dokumentus suderiname vienu etapu.

Scenarijus naudingas įmonei, diegiančiai DI įrankį įdarbinimui, klientų aptarnavimui su nuotaikos analize, vaizdo stebėjimui su veido atpažinimu arba prognozuojamajai rizikos vertinimo analitikai. Tai neturi prasmės turinio generatoriams be asmens duomenų ar anoniminiams vidiniams duomenims. Pats DI diegimas nereikalauja pranešti VDAI. Tačiau reikalauja tikslaus vertinimo: ar tai nauja technologija, sistemingas vertinimas ar stebėjimas dideliu mastu. Visa vidutinės įmonės DPIA paprastai trunka 2–6 darbo savaites ir 40–80 valandų. Dokumentą tvirtina valdytojas, dažniausiai valdyba, pasikonsultavus su DAP, o likutinės rizikos atveju atliekama konsultacija su VDAI pagal BDAR 36 straipsnį.