Kedy AI vyžaduje DPIA a kedy konzultáciu s UODO

Nižšie nájdete praktického sprievodcu, nie záväzné právne posúdenie konkrétneho prípadu. Pri vyšších rozpočtoch sa oplatí prekonzultovať ho s vlastným poradcom. V výrobnej firme so 170 zamestnancami pri Poznani pristálo nasadenie nástroja na predbežné hodnotenie žiadostí o prácu u zodpovednej osoby v piatok popoludní. Dovtedy každý nábor znamenal manuálne prechádzanie životopisov v tabuľke. Na jednu pozíciu prichádzalo 60 žiadostí a počiatočný výber trval 6–7 hodín. Nástroj mal bodovať skúsenosti, dĺžku praxe a jazykové znalosti. HR oddelenie chcelo spustiť pilotný projekt už v pondelok. Otázka znela: treba to niekde nahlásiť? Odpoveď je stručná: samotné nasadenie AI si oznámenie úradu UODO nevyžaduje. Vyžaduje si však overenie, či je nutné vykonať posúdenie vplyvu na ochranu údajov.

AIObraz vygenerovaný cez AI.

Ako to poskladali

V prvom týždni spísala zodpovedná osoba inventár operácií: zdroj údajov (životopisy, formuláre, testy), dodávateľ modelu, spôsob hodnotenia, retenčná lehota. Nástroj bol pre firmu novou technológiou, takže čl. 35 ods. 1 GDPR vyžadoval overenie, či je riziko vysoké. V druhom týždni sa ukázalo, že nástroj vykonáva automatizované hodnotenie osobných aspektov, pretože výsledok rozhoduje o pozvaní na pohovor. To aktivuje čl. 35 ods. 3 písm. a) GDPR a v poľskom Oznámení predsedu UODO zo dňa 17. 6. 2019 je takéto profilovanie priamo na zozname spracovateľských operácií vyžadujúcich DPIA. Tretí týždeň patril dokumentácii od dodávateľa: aké trénovacie dáta, kde sa spracúvajú, či je možné hodnotenie vypnúť. V štvrtom týždni vznikla prvá verzia DPIA: opis spracovania, posúdenie nevyhnutnosti a primeranosti, analýza rizík (zaujatosť, nedostatok transparentnosti, strata kontroly), opatrenia na minimalizáciu a rozhodnutie. K tomu sedem prevádzkových otázok: zdroje údajov, trénovanie modelu, automatizované rozhodovanie, riziko diskriminácie, transparentnosť, ľudský dohľad, retencia. Na strane firmy sa zapojili zodpovedná osoba (28 hodín), vedúca HR (6 hodín), IT oddelenie (4 hodiny) a vedenie spoločnosti (2 hodiny).

Účet

Externé náklady na prípravu DPIA pre jeden náborový proces sa pohybovali v rozmedzí 8 000–14 000 PLN net. Vnútri firmy to predstavovalo 40 človekohodín, prevažne na strane zodpovednej osoby. Ak by to tím robil sám, priame finančné náklady by boli takmer nulové, no čas zodpovednej osoby by narástol na 60–80 hodín a vyžadoval by skúsenosti s analýzou rizík. Úspora po pilotnom nasadení predstavuje 5–7 hodín týždenne v práci náborového tímu za predpokladu, že nástroj zostane nasadený aj po pilote. Návratnosť investície pri mzdových nákladoch náborára okolo 6 000 PLN mesačne prichádza po 3–4 mesiacoch. Ide o hodnoty z našich realizácií. Závisia od počtu procesov, dokumentácie od dodávateľa a toho, či DPIA pokrýva jeden nástroj, alebo celú oblasť náboru.

Čo sa pokazilo

Prvý problém: dodávateľ odmietol sprístupniť informácie o trénovacích dátach s odvolaním sa na obchodné tajomstvo. Bez toho nebolo možné posúdiť riziko zaujatosti. Po dvoch týždňoch vyjednávania sa podpísala zmluva NDA a dodávateľ odovzdal metriku modelu aj zoznam zdrojov v syntetickej podobe. To pridalo 6 človekohodín. Druhý problém: prvá verzia DPIA opisovala profilovanie ako jednu udalosť. Riziko diskriminácie tým bolo podhodnotené. Náprava si vyžiadala rozdelenie na päť čiastkových procesov: od prijatia životopisu cez bodovanie až po rozhodnutie o zamietnutí. Tretí problém: HR chcelo nasadiť systém ešte pred schválením vedením. Dokument čakal 11 dní na podpis jedného člena predstavenstva, pretože formálny postup nepočítal so zastupovaním.

AIObraz vygenerovaný cez AI.

Čo by sme urobili inak

Začali by sme predbežným preverením dodávateľa ešte pred nákupom pilotného projektu. Otázky týkajúce sa trénovacích dát, uchovávania, subdodávateľov a miesta spracovania by mali byť súčasťou zmluvy alebo dodatku pred spustením. Druhá zmena: vypracovanie DPIA paralelne s výberom nástroja, nie až po podpise PoC. Tretia: harmonogram musí zahŕňať časovú rezervu na schválenie vedením. V našej praxi pri 50–250 zamestnancoch trvá podpis 3–5 pracovných dní, dovolenky to však dokážu predĺžiť na dva týždne. Pri vysokorizikových systémoch podľa AI Act by pribudlo posúdenie vplyvu na základné práva podľa článku 27. V tomto prípade nešlo o vysokorizikový systém, takže DPIA postačovala, u iných klientov však oba dokumenty spájame do jedného procesu.

Scenár je vhodný pre firmu, ktorá zavádza AI nástroj na nábor, zákaznícku podporu s analýzou sentimentu, kamerový systém s rozpoznávaním tváre alebo prediktívnu analytiku vyhodnocujúcu riziko. Nemá význam pre generátor obsahu bez osobných údajov ani pre anonymné interné dáta. Samotná implementácia AI nevyžaduje ohlásenie na úrad na ochranu osobných údajov. Vyžaduje však poctivé posúdenie: či ide o novú technológiu, systematické hodnotenie alebo monitorovanie vo veľkom rozsahu. Celá DPIA pre stredne veľkú firmu zvyčajne trvá 2–6 pracovných týždňov a 40–80 hodín. Dokument schvaľuje prevádzkovateľ, najčastejšie vedenie, po vyjadrení zodpovednej osoby (DPO), a pri zostatkovom riziku nasleduje konzultácia s dozorným úradom podľa článku 36 GDPR.