Πολιτική Ιδιωτικότητας για Τεχνητή Νοημοσύνη και Αυτοματοποιημένη Λήψη Αποφάσεων

Η Πολιτική Ιδιωτικότητας για Τεχνητή Νοημοσύνη και Αυτοματοποιημένη Λήψη Αποφάσεων καθορίζει υποχρεωτικές απαιτήσεις ιδιωτικότητας για δραστηριότητες τεχνητής νοημοσύνης, κατάρτισης προφίλ, βαθμολόγησης, σύστασης, υποστήριξης αποφάσεων και αυτοματοποιημένης λήψης αποφάσεων που αφορούν δεδομένα προσωπικού χαρακτήρα. Το πεδίο εφαρμογής της περιλαμβάνει συστήματα, εφαρμογές, μοντέλα, υπηρεσίες, ροές εργασίας, μηχανές λήψης αποφάσεων, αναλυτικά μοντέλα και διαδικασίες αυτοματοποιημένης λήψης αποφάσεων με χρήση τεχνητής νοημοσύνης, τα οποία χρησιμοποιούν, συνάγουν, παράγουν, κοινολογούν ή με άλλον τρόπο επεξεργάζονται δεδομένα προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής του PIMS. Καλύπτει επίσης δεδομένα προσωπικού χαρακτήρα που χρησιμοποιούνται για εκπαίδευση, δοκιμές, επικύρωση, ρύθμιση, παρακολούθηση, συναγωγή συμπερασμάτων σε περιβάλλον παραγωγής, ανασκόπηση εξόδων, μέτρηση επιδόσεων, διερεύνηση περιστατικών και απόσυρση μοντέλων. Η πολιτική εφαρμόζεται σε πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, συμπεριλαμβανομένων προμηθευτών, εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας, αποδεκτών κοινοχρησίας δεδομένων και διαδρομών διεθνών διαβιβάσεων που σχετίζονται με τεχνητή νοημοσύνη. Σκοπός της πολιτικής είναι να διασφαλίζει ότι οι δραστηριότητες τεχνητής νοημοσύνης, κατάρτισης προφίλ και αυτοματοποιημένης λήψης αποφάσεων που αφορούν δεδομένα προσωπικού χαρακτήρα αναγνωρίζονται, τεκμηριώνονται, αξιολογούνται ως προς τον κίνδυνο, είναι διαφανείς, μπορούν να αμφισβητηθούν, παρακολουθούνται και ελέγχονται μέσω του PIMS, χωρίς τη δημιουργία διπλών τεχνουργημάτων διακυβέρνησης ειδικών για την τεχνητή νοημοσύνη. Ορίζει ρητά ότι δεν δημιουργεί πλήρες πλαίσιο διακυβέρνησης τεχνητής νοημοσύνης, σύστημα διαχείρισης τεχνητής νοημοσύνης, αποθετήριο τεχνητής νοημοσύνης, αποθετήριο μοντέλων, μητρώο κινδύνων μοντέλων, μητρώο δικαιοσύνης, μητρώο αλγορίθμων, μητρώο περιστατικών τεχνητής νοημοσύνης, επιτροπή τεχνητής νοημοσύνης, ρόλο ιδιοκτήτη μοντέλου, ρόλο ιδιοκτήτη συστήματος τεχνητής νοημοσύνης, ροή εργασίας νομικής συμβουλής ή χωριστό έντυπο έγκρισης τεχνητής νοημοσύνης. Αντίθετα, απαιτεί οι υποχρεώσεις ιδιωτικότητας που σχετίζονται με τεχνητή νοημοσύνη να τεκμηριώνονται μέσω υφιστάμενων κανονικών αντικειμένων τεκμηρίων: REG02, REG04, REG06, REG07, REG08, REG09, REG10 και REG12. Σε επιχειρησιακό επίπεδο, η πολιτική απαιτεί από τους Ιδιοκτήτες Διεργασιών / Ιδιοκτήτες της επιχείρησης να καθορίζουν αν νέα ή ουσιωδώς τροποποιημένα συστήματα, ροές εργασίας ή επιχειρησιακές διαδικασίες χρησιμοποιούν τεχνητή νοημοσύνη, κατάρτιση προφίλ, βαθμολόγηση, σύσταση, υποστήριξη αποφάσεων ή αυτοματοποιημένη λήψη αποφάσεων που αφορά δεδομένα προσωπικού χαρακτήρα και να καταγράφουν τον καθορισμό στο REG02. Πριν αρχίσει η επεξεργασία δεδομένων προσωπικού χαρακτήρα που σχετίζεται με τεχνητή νοημοσύνη, η πολιτική απαιτεί τεκμηρίωση του σκοπού επεξεργασίας, των κατηγοριών δεδομένων προσωπικού χαρακτήρα, των κατηγοριών υποκειμένων των δεδομένων προσωπικού χαρακτήρα, των πηγών δεδομένων, των κατηγοριών συναγόμενων ή παράγωγων δεδομένων, των κατηγοριών εξόδων, των κατηγοριών αποδεκτών, της νομικής βάσης και της σύνδεσης με τη διατήρηση. Για κατάρτιση προφίλ, βαθμολόγηση, σύσταση, υποστήριξη αποφάσεων ή αυτοματοποιημένη λήψη αποφάσεων που χρησιμοποιείται σε περιβάλλον παραγωγής, το πλαίσιο απόφασης, η αναμενόμενη επίδραση στα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, η ανθρώπινη συμμετοχή και η διαδρομή διαχείρισης δικαιωμάτων πρέπει να τεκμηριώνονται στα REG02 και REG04. Η διακυβέρνηση κινδύνων αποτελεί κεντρικό μέρος της πολιτικής. Πριν από την έναρξη ή την ουσιώδη αλλαγή επεξεργασίας δεδομένων προσωπικού χαρακτήρα που σχετίζεται με τεχνητή νοημοσύνη, ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS πρέπει να ολοκληρώνει έλεγχο κινδύνου ιδιωτικότητας και να καταγράφει την απόφαση DPIA στο REG04. Όταν η επεξεργασία περιλαμβάνει κατάρτιση προφίλ, αυτοματοποιημένες αποφάσεις, αξιολόγηση μεγάλης κλίμακας, δεδομένα ειδικής κατηγορίας, δεδομένα ποινικών αδικημάτων, ευάλωτα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, αξιολόγηση εργαζομένων, παιδιά, παρακολούθηση συμπεριφοράς, δεδομένα τοποθεσίας, βιομετρικά δεδομένα, βαθμολόγηση υψηλού αντικτύπου ή σημαντικά αποτελέσματα, ο Υπεύθυνος Προστασίας Δεδομένων / Σύμβουλος Ιδιωτικότητας πρέπει να ανασκοπεί τον κίνδυνο ιδιωτικότητας και να καταγράφει τη συμβουλή στο REG04. Εάν παραμένει υψηλός υπολειπόμενος κίνδυνος ιδιωτικότητας μετά την προγραμματισμένη αντιμετώπιση, η Ανώτατη Διοίκηση πρέπει να εγκρίνει, να απορρίψει ή να απαιτήσει περαιτέρω αντιμετώπιση πριν από τη χρήση σε περιβάλλον παραγωγής, με την απόφαση να καταγράφεται στα REG04 και REG12. Η πολιτική θεσπίζει επίσης ελέγχους για τη διαφάνεια, τις ουσιαστικές πληροφορίες, την ελαχιστοποίηση, τον χειρισμό δικαιωμάτων, την παρακολούθηση, τους προμηθευτές και την εφαρμογή. Το περιεχόμενο των ειδοποιήσεων ιδιωτικότητας πρέπει να περιγράφει τον σκοπό που σχετίζεται με τεχνητή νοημοσύνη, τις κατηγορίες δεδομένων, τις κατηγορίες εξόδων, τις κατηγορίες αποδεκτών, τη διαδρομή δικαιωμάτων και τη διαδρομή επικοινωνίας, με τις εκδόσεις ειδοποιήσεων να καταγράφονται στο REG07. Διαδρομές ανθρώπινης ανασκόπησης, αντίρρησης και δυνατότητας αμφισβήτησης απαιτούνται για αποφάσεις που σχετίζονται με τεχνητή νοημοσύνη και έχουν νομικά αποτελέσματα ή σημαντικά αποτελέσματα ως προς την επιλεξιμότητα, την πρόσβαση, την απασχόληση, τα χρηματοοικονομικά θέματα, την εκπαίδευση, τις υπηρεσίες, την ασφάλεια ή παρόμοια θέματα. Οι προμηθευτές και οι εκτελούντες την επεξεργασία πρέπει να διέπονται μέσω του REG08, ενώ οι διεθνείς διαβιβάσεις δρομολογούνται μέσω του REG09. Τα κριτήρια παρακολούθησης πρέπει να καλύπτουν αλλαγές εισόδων, αλλαγές εξόδων, ζητήματα δικαιωμάτων, δυσμενή αποτελέσματα για την ιδιωτικότητα, μη εξουσιοδοτημένη χρήση και τάσεις παραπόνων, με τριμηνιαία ανασκόπηση για ενεργή επεξεργασία δεδομένων προσωπικού χαρακτήρα υψηλού αντικτύπου που σχετίζεται με τεχνητή νοημοσύνη και με μη συμμορφώσεις ή διορθωτικές ενέργειες να καταγράφονται στο REG12.