Kad AI prasa DPIA un kad konsultāciju ar UODO

Zemāk sniegts praktisks ceļvedis, nevis konkrētas lietas atrisinājums: pie lielākām summām vērts to saskaņot ar savu padomdevēju. Ražošanas uzņēmumā ar 170 darbiniekiem netālu no Poznaņas rīka ieviešana pieteikumu sākotnējai izvērtēšanai nonāca pie datu aizsardzības speciālista piektdienas pēcpusdienā. Iepriekš katra atlase balstījās uz manuālu CV caurskati izklājlapā. Uz vienu vakanci saņēma 60 pieteikumus, un sākotnējā atlase aizņēma 6–7 stundas. Rīkam vajadzēja piešķirt punktus par pieredzi, stāžu un valodu prasmēm, un personāla nodaļa vēlējās sākt pilotprojektu pirmdienā. Jautājums bija: vai par to ir kaut kur jāziņo? Atbilde ir īsa: pati AI ieviešana neprasa ziņošanu UODO. Tomēr tā prasa pārbaudīt, vai ir jāveic novērtējums par ietekmi uz datu aizsardzību.

AIAttēls ģenerēts ar AI.

Kā viņi to salika kopā

Pirmajā nedēļā datu aizsardzības speciālists sastādīja darbību inventarizāciju: datu avots (CV, veidlapas, testi), modeļa piegādātājs, novērtēšanas veids, glabāšana. Šis rīks uzņēmumam bija jauna tehnoloģija, tāpēc VDAR 35. panta 1. punkts prasīja pārbaudīt, vai risks ir augsts. Otrajā nedēļā atklājās, ka rīks veic automatizētu personisko faktoru novērtēšanu, jo rezultāts nosaka uzaicināšanu uz interviju. Tas aktivizē VDAR 35. panta 3. punkta a) apakšpunktu, un Polijas UODO priekšsēdētāja 17.06.2019. paziņojumā šāda profilēšana ir tieši iekļauta to apstrādes darbību sarakstā, kurām nepieciešams DPIA. Trešā nedēļa pagāja piegādātāja dokumentācijas izpētē: kādi apmācības dati, kur tie tiek apstrādāti, vai vērtēšanu var atslēgt. Ceturtajā nedēļā tapa pirmā DPIA versija: apstrādes apraksts, nepieciešamības un samērīguma novērtējums, riska analīze (neobjektivitāte, pārskatāmības trūkums, kontroles zudums), risku mazināšanas pasākumi un lēmums. Papildus tam septiņi operatīvie jautājumi: datu avoti, modeļa apmācība, automatizēti lēmumi, diskriminācijas risks, pārskatāmība, cilvēka uzraudzība, glabāšana. No uzņēmuma puses tika iesaistīts datu aizsardzības speciālists (28 stundas), personāla vadītāja (6 stundas), IT nodaļa (4 stundas) un valde (2 stundas).

Rēķins

Ārējās izmaksas DPIA sagatavošanai vienam personāla atlases procesam iekļāvās robežās 8 000–14 000 PLN neto. Uzņēmuma iekšienē tika patērētas 40 darba stundas, galvenokārt no DPA puses. Ja komanda to darītu pati, tiešās izmaksas būtu tuvu nullei, taču DPA darba laiks pieaugtu līdz 60–80 stundām un prasītu pieredzi risku analīzē. Ietaupījums pēc pilotprojekta ieviešanas ir 5–7 stundas nedēļā atlases speciālistu darbā, pieņemot, ka rīks paliek lietošanā arī pēc pilota. Atdeves brīdis pie personāla atlases speciālista darba izmaksām ap 6 000 PLN mēnesī tiek sasniegts pēc 3–4 mēnešiem. Šie rādītāji ir balstīti uz mūsu īstenotajiem projektiem: tie ir atkarīgi no procesu skaita, piegādātāja dokumentācijas un tā, vai DPIA aptver vienu rīku vai visu personāla atlases jomu.

Kas nogāja greizi

Pirmā problēma: piegādātājs atteicās sniegt informāciju par treniņdatiem, atsaucoties uz komercnoslēpumu. Bez tā nebija iespējams novērtēt neobjektivitātes risku. Pēc divu nedēļu sarunām tika parakstīts NDA, un piegādātājs nodeva modeļa metriku un avotu sarakstu apkopotā veidā. Tas prasīja papildu 6 darba stundas. Otrā problēma: DPIA sākotnējā versijā profilēšana tika aprakstīta kā viens notikums. Tāpēc diskriminācijas risks tika novērtēts par zemu. Labojums prasīja sadalīt procesu piecos apakšprocesos: no CV saņemšanas līdz punktu piešķiršanai un lēmumam par noraidīšanu. Trešā problēma: personāla nodaļa vēlējās sākt ieviešanu pirms valdes apstiprinājuma. Dokuments gaidīja viena valdes locekļa parakstu 11 dienas, jo oficiālajā procedūrā nebija paredzēta aizvietošana.

AIAttēls ģenerēts ar AI.

Ko mēs darītu citādi

Mēs sāktu ar piegādātāja sākotnējo pārbaudi vēl pirms pilotprojekta iegādes. Jautājumiem par treniņdatiem, saglabāšanu, apakšapstrādātājiem un apstrādes vietu jābūt iekļautiem līgumā vai pielikumā pirms palaišanas. Otrā izmaiņa: DPIA tiek izstrādāts vienlaikus ar rīka izvēli, nevis pēc PoC parakstīšanas. Trešā: laika grafikā jāparedz rezerve valdes parakstam. Mūsu praksē uzņēmumos ar 50–250 darbiniekiem parakstīšana prasa 3–5 darba dienas, bet atvaļinājumi to pagarina līdz divām nedēļām. Augsta riska sistēmām AI Act izpratnē nāktu klāt pamattiesību ietekmes novērtējums saskaņā ar 27. pantu. Šajā gadījumā rīks nebija augsta riska sistēma, tāpēc pietika ar DPIA, taču citiem klientiem abus dokumentus apvienojam vienā procesā.

Scenārijs ir piemērots uzņēmumam, kas ievieš MI rīku personāla atlasei, klientu apkalpošanai ar noskaņojuma analīzi, videonovērošanai ar sejas atpazīšanu vai prognozējošajai analītikai risku novērtēšanai. Tam nav nozīmes satura ģeneratoram bez personas datiem vai anonīmiem iekšējiem datiem. Pati MI ieviešana neprasa paziņojumu DVI. Taču ir nepieciešama godīga atlase: vai mums ir darīšana ar jaunu tehnoloģiju, sistemātisku novērtēšanu vai novērošanu plašā mērogā. Visa DPIA vidējam uzņēmumam parasti aizņem 2–6 darba nedēļas un 40–80 stundas. Dokumentu apstiprina pārzinis: visbiežāk valde: pēc DPA atzinuma saņemšanas, un atlikušā riska gadījumā tiek veikta apspriešanās ar DVI, pamatojoties uz VDAR 36. pantu.