Politika dwar il-Privatezza tal-AI u t-Teħid Awtomatizzat ta’ Deċiżjonijiet

Il-Politika dwar il-Privatezza tal-AI u t-Teħid Awtomatizzat ta’ Deċiżjonijiet tiddefinixxi rekwiżiti obbligatorji tal-privatezza għall-attivitajiet ta’ intelliġenza artifiċjali (AI), tfassil ta’ profili, punteġġjar, rakkomandazzjoni, appoġġ għad-deċiżjonijiet u teħid awtomatizzat ta’ deċiżjonijiet li jinvolvu PII. Il-kamp ta’ applikazzjoni tagħha jinkludi sistemi, applikazzjonijiet, mudelli, servizzi, flussi tax-xogħol, magni tad-deċiżjonijiet, mudelli ta’ analitika u proċessi ta’ teħid awtomatizzat ta’ deċiżjonijiet abilitati mill-AI li jużaw, jiddeduċu, jiġġeneraw, jiżvelaw jew b’xi mod ieħor jipproċessaw PII fil-kamp ta’ applikazzjoni tal-PIMS. Tkopri wkoll PII użata għat-taħriġ, l-ittestjar, il-verifika, l-irfinar, il-monitoraġġ, l-inferenza fil-produzzjoni, ir-rieżami tal-output, il-kejl tal-prestazzjoni, l-investigazzjoni tal-inċidenti u l-irtirar tal-mudelli. Il-politika tapplika f’kuntesti ta’ kontrollur, kontrollur konġunt, proċessur u subproċessur, inklużi fornituri, proċessuri, subproċessuri, riċevituri tal-qsim tad-data u rotot ta’ trasferiment internazzjonali relatati mal-AI. L-għan tal-politika huwa li tiżgura li l-attivitajiet ta’ AI, tfassil ta’ profili u teħid awtomatizzat ta’ deċiżjonijiet li jinvolvu PII jiġu identifikati, dokumentati, ivvalutati għar-riskju, magħmula trasparenti, magħmula kontestabbli, immonitorjati u kkontrollati permezz tal-PIMS mingħajr ma jinħolqu artefatti duplikati ta’ governanza speċifiċi għall-AI. Tistabbilixxi b’mod espliċitu li ma toħloqx qafas sħiħ ta’ governanza tal-AI, sistema ta’ ġestjoni tal-AI, inventarju tal-AI, inventarju tal-mudelli, reġistru tar-riskju tal-mudelli, reġistru tal-ġustizzja, reġistru tal-algoritmi, reġistru tal-inċidenti tal-AI, kumitat tal-AI, rwol ta’ sid tal-mudell, rwol ta’ sid tas-sistema tal-AI, fluss tax-xogħol ta’ parir legali jew formola separata ta’ approvazzjoni tal-AI. Minflok, teħtieġ li l-obbligi tal-privatezza relatati mal-AI jintwerew permezz ta’ oġġetti kanoniċi ta’ evidenza eżistenti: REG02, REG04, REG06, REG07, REG08, REG09, REG10 u REG12. Operazzjonalment, il-politika teħtieġ li s-Sidien tal-Proċessi / Sidien tan-Negozju jiddeterminaw jekk sistemi, flussi tax-xogħol jew proċessi tan-negozju ġodda jew mibdula materjalment jużawx AI, tfassil ta’ profili, punteġġjar, rakkomandazzjoni, appoġġ għad-deċiżjonijiet jew teħid awtomatizzat ta’ deċiżjonijiet li jinvolvu PII, u jirreġistraw id-determinazzjoni f’REG02. Qabel ma jibda l-ipproċessar tal-PII relatat mal-AI, il-politika teħtieġ dokumentazzjoni tal-għan tal-ipproċessar, il-kategoriji tal-PII, il-kategoriji tal-prinċipali tal-PII, is-sorsi tad-data, il-kategoriji tad-data inferita jew derivattiva, il-kategoriji tal-output, il-kategoriji tar-riċevituri, il-bażi legali u r-rabta maż-żamma. Għat-tfassil ta’ profili, il-punteġġjar, ir-rakkomandazzjoni, l-appoġġ għad-deċiżjonijiet jew it-teħid awtomatizzat ta’ deċiżjonijiet użati fil-produzzjoni, il-kuntest tad-deċiżjoni, l-effett mistenni fuq il-prinċipali tal-PII, l-involviment ta’ persuna u r-rotta tad-drittijiet għandhom jiġu dokumentati f’REG02 u REG04. Il-governanza tar-riskju hija parti ċentrali mill-politika. Qabel it-tnedija jew bidla materjali fl-ipproċessar tal-PII relatat mal-AI, ir-Responsabbli għall-Privatezza / Maniġer tal-PIMS għandu jlesti skrining tar-riskju tal-privatezza u jirreġistra d-deċiżjoni tad-DPIA f’REG04. Fejn l-ipproċessar jinvolvi tfassil ta’ profili, deċiżjonijiet awtomatizzati, evalwazzjoni fuq skala kbira, data ta’ kategorija speċjali, data dwar reati kriminali, prinċipali tal-PII vulnerabbli, evalwazzjoni tal-impjegati, tfal, monitoraġġ tal-imġiba, data tal-post, data bijometrika, punteġġjar b’impatt għoli jew effetti sinifikanti, id-Data Protection Officer (DPO) / Konsulent tal-Privatezza għandu jirrieżamina r-riskju tal-privatezza u jirreġistra l-parir f’REG04. Jekk jibqa’ riskju residwu għoli għall-privatezza wara t-trattament ippjanat, it-Tmexxija Għolja għandha tapprova, tirrifjuta jew teħtieġ trattament ulterjuri qabel l-użu fil-produzzjoni, bid-deċiżjoni rreġistrata f’REG04 u REG12. Il-politika tistabbilixxi wkoll kontrolli għat-trasparenza, informazzjoni sinifikanti, minimizzazzjoni, immaniġġjar tad-drittijiet, monitoraġġ, fornituri u osservanza tal-politika. Il-kontenut tal-avviż ta’ privatezza għandu jiddeskrivi l-għan relatat mal-AI, il-kategoriji tad-data, il-kategoriji tal-output, il-kategoriji tar-riċevituri, ir-rotta tad-drittijiet u r-rotta ta’ kuntatt, bil-verżjonijiet tal-avviż irreġistrati f’REG07. Rotot għal rieżami minn persuna, oġġezzjoni u kontestabbiltà huma meħtieġa għal deċiżjonijiet relatati mal-AI b’effetti legali, ta’ eliġibbiltà, ta’ aċċess, ta’ impjieg, finanzjarji, edukattivi, ta’ servizz, ta’ sikurezza jew effetti sinifikanti simili. Il-fornituri u l-proċessuri għandhom jiġu rregolati permezz ta’ REG08, bit-trasferimenti internazzjonali diretti permezz ta’ REG09. Il-kriterji tal-monitoraġġ għandhom ikopru bidliet fl-input, bidliet fl-output, kwistjonijiet tad-drittijiet, riżultati avversi għall-privatezza, użu mhux awtorizzat u xejriet tal-ilmenti, b’rieżami kull tliet xhur għall-ipproċessar attiv tal-PII relatat mal-AI b’impatt għoli u b’nuqqasijiet ta’ konformità jew azzjonijiet korrettivi rreġistrati f’REG12.