Tehisintellekti ja automatiseeritud otsuste tegemise privaatsuspoliitika

Tehisintellekti ja automatiseeritud otsuste tegemise privaatsuspoliitika määratleb kohustuslikud privaatsusnõuded tehisintellekti, profiilianalüüsi, skoorimise, soovituste, otsustustoe ja automatiseeritud otsuste tegemise tegevustele, mis hõlmavad isikut tuvastavat teavet. Selle kohaldamisala hõlmab tehisintellekti toega süsteeme, rakendusi, mudeleid, teenuseid, töövooge, otsustusmootoreid, analüütikamudeleid ja automatiseeritud otsuste tegemise protsesse, mis kasutavad, järeldavad, genereerivad, avalikustavad või muul viisil töötlevad isikut tuvastavat teavet PIMS-i kohaldamisalas. See hõlmab ka isikut tuvastavat teavet, mida kasutatakse koolituseks, testimiseks, valideerimiseks, häälestamiseks, seireks, tootmiskeskkonna järelduste tegemiseks, väljundi läbivaatamiseks, toimivuse mõõtmiseks, intsidendi uurimiseks ja mudeli kasutuselt kõrvaldamiseks. Poliitika kohaldub vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstides, sealhulgas tehisintellektiga seotud tarnijatele, volitatud töötlejatele, alltöötlejatele, andmete jagamise saajatele ja rahvusvaheliste edastuste marsruutidele. Poliitika eesmärk on tagada, et tehisintellekti, profiilianalüüsi ja automatiseeritud otsuste tegemise tegevused, mis hõlmavad isikut tuvastavat teavet, oleksid tuvastatud, dokumenteeritud, riskihinnatud, läbipaistvad, vaidlustatavad, jälgitavad ja kontrollitud PIMS-i kaudu, ilma dubleerivaid tehisintellektispetsiifilisi juhtimise artefakte loomata. Poliitikas on sõnaselgelt sätestatud, et see ei loo täielikku tehisintellekti juhtimisraamistikku, tehisintellekti haldussüsteemi, tehisintellekti registrit, mudeliregistrit, mudeliriski registrit, õigluse registrit, algoritmiregistrit, tehisintellekti intsidentide registrit, tehisintellekti komiteed, mudeli omaniku rolli, tehisintellektisüsteemi omaniku rolli, õigusnõu töövoogu ega eraldi tehisintellekti heakskiitmise vormi. Selle asemel nõuab see, et tehisintellektiga seotud privaatsuskohustusi tõendataks olemasolevate kanooniliste tõendusmaterjali objektide kaudu: REG02, REG04, REG06, REG07, REG08, REG09, REG10 ja REG12. Operatiivsel tasandil nõuab poliitika, et protsessiomanikud / ettevõtte omanikud määraksid kindlaks, kas uued või oluliselt muudetud süsteemid, töövood või äriprotsessid kasutavad tehisintellekti, profiilianalüüsi, skoorimist, soovitusi, otsustustuge või automatiseeritud otsuste tegemist, mis hõlmab isikut tuvastavat teavet, ning dokumenteeriksid selle määratluse REG02-s. Enne tehisintellektiga seotud isikut tuvastava teabe töötlemise algust nõuab poliitika töötlemise eesmärgi, isikut tuvastava teabe kategooriate, isikuandmesubjekti kategooriate, andmeallikate, järeldatud või tuletatud andmete kategooriate, väljundikategooriate, saajakategooriate, õigusliku aluse ja säilitamise seose dokumenteerimist. Tootmiskeskkonnas kasutatava profiilianalüüsi, skoorimise, soovituste, otsustustoe või automatiseeritud otsuste tegemise puhul tuleb otsuse kontekst, eeldatav mõju isikuandmesubjektidele, inimese osalus ja õiguste marsruut dokumenteerida REG02-s ja REG04-s. Riskijuhtimine on poliitika keskne osa. Enne tehisintellektiga seotud isikut tuvastava teabe töötlemise käivitamist või olulist muutmist peab privaatsusvaldkonna juht / PIMS-i juht tegema privaatsusriski vajaduse hindamise ja dokumenteerima DPIA otsuse REG04-s. Kui töötlemine hõlmab profiilianalüüsi, automatiseeritud otsuseid, suuremahulist hindamist, eriliiki andmeid, süüteoandmeid, haavatavaid isikuandmesubjekte, töötajate hindamist, lapsi, käitumise seiret, asukohaandmeid, biomeetrilisi andmeid, suure mõjuga skoorimist või olulisi mõjusid, peab andmekaitseametnik / andmekaitsenõustaja privaatsusriski läbi vaatama ja nõuande REG04-s dokumenteerima. Kui suur privaatsuse jääkrisk püsib pärast kavandatud riskikäsitlust, peab tippjuhtkond enne tootmiskeskkonnas kasutamist selle heaks kiitma, tagasi lükkama või nõudma täiendavat riskikäsitlust; otsus dokumenteeritakse REG04-s ja REG12-s. Poliitika kehtestab ka kontrollimeetmed läbipaistvuse, sisulise teabe, andmete minimaalsuse, õiguste käsitlemise, seire, tarnijate ja rakendamise jaoks. Privaatsusteate sisu peab kirjeldama tehisintellektiga seotud eesmärki, andmekategooriaid, väljundikategooriaid, saajakategooriaid, õiguste marsruuti ja kontaktmarsruuti ning teate versioonid tuleb dokumenteerida REG07-s. Inimese tehtava läbivaatamise, vastuväidete ja vaidlustatavuse marsruudid on nõutavad tehisintellektiga seotud otsuste puhul, millel on õiguslikud, abikõlblikkuse, juurdepääsu, tööhõive, finants-, haridus-, teenuse-, ohutus- või sarnaselt olulised mõjud. Tarnijaid ja volitatud töötlejaid tuleb hallata REG08 kaudu ning rahvusvahelised edastused suunatakse läbi REG09. Seirekriteeriumid peavad hõlmama sisendimuutusi, väljundimuutusi, õigustega seotud probleeme, ebasoodsaid privaatsustulemusi, loata kasutust ja kaebuste suundumusi; aktiivse suure mõjuga tehisintellektiga seotud isikut tuvastava teabe töötlemise puhul tuleb teha kvartaalne läbivaatamine ning mittevastavused või parandusmeetmed dokumenteerida REG12-s.