Integritetspolicy för AI och automatiserat beslutsfattande

Integritetspolicyn för AI och automatiserat beslutsfattande definierar obligatoriska integritetskrav för artificiell intelligens, profilering, poängsättning, rekommendation, beslutsstöd och automatiserat beslutsfattande som omfattar PII. Omfattningen inkluderar AI-aktiverade system, applikationer, modeller, tjänster, arbetsflöden, beslutsmotorer, analysmodeller och processer för automatiserat beslutsfattande som använder, härleder, genererar, lämnar ut eller på annat sätt behandlar PII inom PIMS-omfattningen. Den omfattar även PII som används för utbildning, testning, validering, finjustering, övervakning, produktionsinferens, granskning av utdata, prestationsmätning, incidentutredning och avveckling av modeller. Policyn gäller i sammanhang som personuppgiftsansvarig, gemensamt personuppgiftsansvarig, personuppgiftsbiträde och underbiträde, inklusive AI-relaterade leverantörer, personuppgiftsbiträden, underbiträden, mottagare i upplägg för datadelning och rutter för internationell överföring. Syftet med policyn är att säkerställa att AI, profilering och automatiserat beslutsfattande som omfattar PII identifieras, dokumenteras, riskbedöms, görs transparenta, kan bestridas, övervakas och kontrolleras genom PIMS utan att dubbla AI-specifika styrningsartefakter skapas. Den anger uttryckligen att den inte skapar ett fullständigt styrningsramverk för AI, ett ledningssystem för AI, en AI-förteckning, en modellförteckning, ett modellriskregister, ett rättviseregister, ett algoritmregister, ett AI-incidentregister, en AI-kommitté, en roll som modellägare, en roll som AI-systemägare, ett arbetsflöde för juridisk rådgivning eller en separat blankett för AI-godkännande. I stället kräver den att AI-relaterade integritetsförpliktelser styrks genom befintliga kanoniska underlagsobjekt: REG02, REG04, REG06, REG07, REG08, REG09, REG10 och REG12. Operativt kräver policyn att processägare/verksamhetsägare fastställer om nya eller väsentligt ändrade system, arbetsflöden eller verksamhetsprocesser använder AI, profilering, poängsättning, rekommendation, beslutsstöd eller automatiserat beslutsfattande som omfattar PII och att bedömningen dokumenteras i REG02. Innan AI-relaterad behandling av PII inleds kräver policyn dokumentation av behandlingsändamål, PII-kategorier, kategorier av registrerade, datakällor, kategorier av härledda uppgifter eller härledda data, utdatakategorier, mottagarkategorier, rättslig grund och bevarandekoppling. För profilering, poängsättning, rekommendation, beslutsstöd eller automatiserat beslutsfattande som används i produktion ska beslutskontext, förväntad effekt på registrerade, mänsklig medverkan och rättighetsväg dokumenteras i REG02 och REG04. Riskstyrning är en central del av policyn. Innan AI-relaterad behandling av PII lanseras eller ändras väsentligt ska dataskyddsansvarig/PIMS-ansvarig genomföra screening av integritetsrisker och dokumentera DPIA-beslutet i REG04. När behandlingen omfattar profilering, automatiserade beslut, storskalig utvärdering, särskilda kategorier av personuppgifter, uppgifter om lagöverträdelser, sårbara registrerade, bedömning av anställda, barn, beteendeövervakning, platsdata, biometriska data, poängsättning med hög påverkan eller betydande effekter ska dataskyddsombud/integritetsrådgivare granska integritetsrisken och dokumentera rådgivningen i REG04. Om hög kvarstående integritetsrisk kvarstår efter planerad riskbehandling ska högsta ledningen godkänna, avslå eller kräva ytterligare riskbehandling före produktionsanvändning, och beslutet ska dokumenteras i REG04 och REG12. Policyn fastställer även kontroller för transparens, meningsfull information, minimering, hantering av rättigheter, övervakning, leverantörer och tillämpning. Innehållet i integritetsmeddelanden ska beskriva AI-relaterat ändamål, datakategorier, utdatakategorier, mottagarkategorier, rättighetsväg och kontaktväg, och versioner av meddelanden ska dokumenteras i REG07. Vägar för mänsklig granskning, invändning och möjlighet att bestrida krävs för AI-relaterade beslut med rättsliga effekter eller effekter på behörighet, åtkomst, anställning, ekonomi, utbildning, tjänster, säkerhet eller liknande betydande effekter. Leverantörer och personuppgiftsbiträden ska styras via REG08, med internationella överföringar styrda via REG09. Övervakningskriterier ska omfatta ändringar i indata, ändringar i utdata, rättighetsfrågor, negativa integritetsutfall, obehörig användning och klagomålstrender, med kvartalsvis granskning för aktiv AI-relaterad behandling av PII med hög påverkan samt avvikelser eller korrigerande åtgärder dokumenterade i REG12.