Sztuczna inteligencja (AI) odgrywa coraz większą rolę w tworzeniu oprogramowania. W artykule przedstawiono niewielki katalog kontroli zapewniających zgodność z ważnymi zasadami RODO dotyczącymi systemów AI. Nacisk położony jest na zasadę określenia celu, zasadę przejrzystości i zasadę ograniczenia przechowywania.

Dlaczego audyt AI?

Identyfikuj komponenty oparte na sztucznej inteligencji

– Przywiązanie do zasady odpowiedzialności Artykuł 5 ust. 2 ogólnego rozporządzenia o ochronie danych Aby zapewnić sprawiedliwość, należy najpierw zapewnić identyfikowalność. Zapewnia to prawidłową identyfikację komponentów opartych na sztucznej inteligencji wykorzystywanych w kontrolowanym przetwarzaniu.

Zapewni to m.in.:

• Utrzymuj historię wersji na potrzeby rozwoju komponentów AI. Powinno zawierać wszystkie parametry używane podczas uczenia komponentów, a także wszystkie informacje niezbędne do śledzenia rozwoju i zmian wprowadzanych w komponentach.

Przezroczystość

Przestrzeganie zasady przejrzystości i obowiązku informowania osób, których dane dotyczą, o procesie przetwarzania wymaga, aby źródło danych i logika komponentu opartego na sztucznej inteligencji były dostępne, zrozumiałe i możliwe do interpretacji.

Zapewni to m.in.:

• Źródła danych są udokumentowane.
• Charakterystyka danych wykorzystywanych do szkolenia komponentu AI jest odpowiednio zdefiniowana, udokumentowana i uzasadniona.
• Logika komponentu opartego na sztucznej inteligencji jest dobrze udokumentowana, więc można ją zrozumieć. Można śledzić Twoje zachowanie dotyczące danych wejściowych, wykorzystania danych i danych wyjściowych.
• Jeżeli nieprawidłowe zachowanie komponentu opartego na sztucznej inteligencji może wyrządzić szkodę osobom, których to dotyczy, wprowadzono mechanizmy minimalizujące tę szkodę i zapewniające kanały komunikacji odpowiednim zainteresowanym stronom.
• Uwzględniany jest aktualny stan rozwoju komponentu AI. W tym kontekście należy zawsze zasięgnąć porady specjalisty ds. danych.

Dostosowywanie

Zgodnie z zasadą definicji celu cele, do jakich będą wykorzystywane dane przetwarzane przez komponent AI, muszą być jasno, jednoznacznie i prawnie określone.

Zapewni to m.in.:

• Zamierzony cel odpowiedniego komponentu AI jest udokumentowany zarówno ilościowo, jak i jakościowo, opisując dokładnie, co ma zostać osiągnięte poprzez jego zastosowanie w kontekście przetwarzania danych.
• Zidentyfikowano różne procesy, działania i/lub procesy w organizacji, w których wykorzystywany jest komponent AI, a zakres jego zastosowania został maksymalnie zawężony.
• Potencjalnych użytkowników komponentu opartego na sztucznej inteligencji można sklasyfikować.

W kontekście zasady określenia celu należy uwzględnić także zasadę proporcjonalności. Jeżeli komponent oparty na sztucznej inteligencji jest poddawany audytowi w ramach procedury przetwarzania i wymaga oceny skutków dla ochrony danych, należy ocenić konieczność i proporcjonalność wykorzystania tego komponentu opartego na sztucznej inteligencji w odniesieniu do jego zamierzonego celu.

Można to zapewnić poprzez:

• Zbadaj, czy wykorzystanie elementu sztucznej inteligencji do przetwarzania danych odpowiednio uwzględnia prawa i wolności osób, których dane dotyczą, w porównaniu z innymi możliwymi opcjami.
• Udokumentuj motywacje i powody (w przypadku rozwiązywania nowego problemu) wykorzystania komponentu opartego na sztucznej inteligencji do rozwiązania problemu.

Ogranicz przechowywanie danych

Z zastrzeżeniem zasady ograniczenia przechowywania i przewidzianych wyjątków, dane wykorzystywane przez komponent oparty na sztucznej inteligencji, czy to do celów szkoleniowych, czy też dane przez niego wygenerowane, nie mogą być przechowywane dłużej, niż jest to konieczne do celów, do których zostały przeznaczone.

• Podstawy prawne przechowywania danych osobowych przetwarzanych przez komponent sztucznej inteligencji przez okres wykraczający poza okres wskazany celom przetwarzania powinny być szczegółowo określone.
• Należy określić i uzasadnić cały cykl życia komponentu opartego na sztucznej inteligencji, w którym będą przechowywane przetwarzane dane osobowe.
• Należy ustanowić procedury sprawdzające, czy rzeczywiście przestrzegano tych okresów przechowywania.