Politika privatnosti za umjetnu inteligenciju i automatizirano donošenje odluka

Politika privatnosti za umjetnu inteligenciju i automatizirano donošenje odluka definira obvezne zahtjeve privatnosti za umjetnu inteligenciju, profiliranje, bodovanje, preporučivanje, podršku odlučivanju i aktivnosti automatiziranog donošenja odluka koje uključuju osobne podatke (PII). Njezin opseg uključuje sustave, aplikacije, modele, usluge, tijekove rada, sustave za donošenje odluka, analitičke modele i procese automatiziranog donošenja odluka omogućene AI-jem koji upotrebljavaju, izvode, generiraju, otkrivaju ili na drugi način obrađuju osobne podatke (PII) unutar opsega PIMS-a. Obuhvaća i osobne podatke (PII) koji se koriste za obuku, testiranje, validaciju, podešavanje, praćenje, produkcijsko zaključivanje, pregled izlaznih rezultata, mjerenje uspješnosti, istragu incidenata i povlačenje modela iz uporabe. Politika se primjenjuje u kontekstima voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade, uključujući dobavljače, izvršitelje obrade, podizvršitelje obrade, primatelje u okviru dijeljenja podataka i putove međunarodnog prijenosa povezane s AI-jem. Svrha politike jest osigurati da se aktivnosti povezane s AI-jem, profiliranjem i automatiziranim donošenjem odluka koje uključuju osobne podatke (PII) identificiraju, dokumentiraju, procijene prema riziku, učine transparentnima, omogući njihovo osporavanje, prate i kontroliraju kroz PIMS bez stvaranja dupliciranih artefakata upravljanja specifičnih za AI. Politika izričito navodi da ne uspostavlja cjelovit okvir upravljanja AI-jem, sustav upravljanja AI-jem, AI-popis, popis modela, registar rizika modela, registar pravednosti, registar algoritama, registar AI-incidenata, AI-odbor, ulogu vlasnika modela, ulogu vlasnika AI-sustava, tijek rada za pravni savjet ni zaseban obrazac odobrenja za AI. Umjesto toga, zahtijeva da se obveze privatnosti povezane s AI-jem dokazuju kroz postojeće kanonske objekte dokaza: REG02, REG04, REG06, REG07, REG08, REG09, REG10 i REG12. Operativno, politika zahtijeva da vlasnici procesa / vlasnici poslovanja utvrde upotrebljavaju li novi ili značajno izmijenjeni sustavi, tijekovi rada ili poslovni procesi AI, profiliranje, bodovanje, preporučivanje, podršku odlučivanju ili automatizirano donošenje odluka koje uključuju osobne podatke (PII) te da to utvrđenje evidentiraju u REG02. Prije početka obrade osobnih podataka (PII) povezane s AI-jem, politika zahtijeva dokumentiranje svrhe obrade, kategorija osobnih podataka (PII), kategorija ispitanika, izvora podataka, izvedenih ili deriviranih kategorija podataka, kategorija izlaznih rezultata, kategorija primatelja, pravne osnove i povezanosti s pravilima zadržavanja. Za aktivnosti profiliranja, bodovanja, preporučivanja, podrške odlučivanju ili automatiziranog donošenja odluka koje se koriste u produkciji, kontekst odluke, očekivani učinak na ispitanike, ljudska uključenost i put za ostvarivanje prava moraju se dokumentirati u REG02 i REG04. Upravljanje rizicima središnji je dio politike. Prije pokretanja ili značajne promjene obrade osobnih podataka (PII) povezane s AI-jem, voditelj privatnosti / voditelj PIMS-a mora dovršiti provjeru rizika za privatnost i evidentirati odluku o DPIA-i u REG04. Kada obrada uključuje profiliranje, automatizirane odluke, opsežno vrednovanje, posebne kategorije osobnih podataka, podatke o kaznenim djelima, ranjive ispitanike, procjenu zaposlenika, djecu, praćenje ponašanja, lokacijske podatke, biometrijske podatke, bodovanje s visokim utjecajem ili značajne učinke, službenik za zaštitu podataka / savjetnik za zaštitu privatnosti mora pregledati rizik za privatnost i evidentirati savjet u REG04. Ako visok preostali rizik za privatnost ostane nakon planirane obrade rizika, najviše rukovodstvo mora odobriti, odbiti ili zahtijevati daljnju obradu rizika prije produkcijske uporabe, pri čemu se odluka evidentira u REG04 i REG12. Politika također uspostavlja kontrole za transparentnost, smislene informacije, minimizaciju, postupanje s pravima, praćenje, dobavljače i poštivanje politike. Sadržaj obavijesti o privatnosti mora opisati svrhu povezanu s AI-jem, kategorije podataka, kategorije izlaznih rezultata, kategorije primatelja, put za ostvarivanje prava i kontaktni put, a verzije obavijesti evidentiraju se u REG07. Putovi za ljudsko preispitivanje, prigovor i mogućnost osporavanja potrebni su za odluke povezane s AI-jem koje imaju pravne učinke ili značajne učinke na prihvatljivost, pristup, zaposlenje, financije, obrazovanje, uslugu, sigurnost ili slična područja. Dobavljačima i izvršiteljima obrade mora se upravljati kroz REG08, a međunarodni prijenosi usmjeravaju se kroz REG09. Kriteriji praćenja moraju obuhvatiti promjene ulaznih podataka, promjene izlaznih rezultata, pitanja povezana s pravima, nepovoljne ishode za privatnost, neovlaštenu uporabu i trendove pritužbi, uz tromjesečni pregled za aktivnu obradu osobnih podataka (PII) povezanu s AI-jem s visokim utjecajem te evidentiranje nesukladnosti ili korektivnih radnji u REG12.