GDPR & AI — Zrozumienie ochrony danych

DSGVO i AI — podstawy

Co jest danymi osobowymi?

Dane osobowe = wszelkie informacje dotyczące możliwej do zidentyfikowania osoby.

Nie tylko imię i e-mail. Również: adres IP, dane lokalizacyjne, zachowania zakupowe, wzorce klikania, identyfikatory urządzeń — i wszelkie kombinacje, które mogą prowadzić do identyfikacji.

Systemy AI prawie zawsze przetwarzają dane osobowe. DSGVO ma zastosowanie.

6 zasad — w skrócie

Twoje prawa jako osoby, której dane dotyczą

Art. 22 jest szczególnie istotny dla AI: Zautomatyzowane decyzje o istotnym wpływie na osoby (odmowa kredytu, odmowa pracy, cena ubezpieczenia) muszą być możliwe do zakwestionowania.

Szczególne kategorie danych — zwiększona ochrona

Te dane zasadniczo nie mogą być przetwarzane — chyba że za wyraźną zgodą:

• Dane zdrowotne
• Pochodzenie etniczne
• Poglądy polityczne
• Przekonania religijne
• Przynależność do związków zawodowych
• Dane biometryczne
• Orientacja seksualna

Dla deweloperów AI: Jeśli dane szkoleniowe nawet pośrednio umożliwiają wnioskowanie o tych kategoriach — zwiększone ryzyko.

Dalej: Obowiązki dla operatorów →

Obowiązki wynikające z DSGVO przy zastosowaniu AI

Przed rozpoczęciem: Trzy obowiązki

1. Ustalenie podstawy prawnej

Brak przetwarzania danych bez podstawy. Najważniejsze dla AI:

Uwaga: „Chcemy poprawić AI" to nie jest automatycznie uzasadniony interes. Wymaga to udokumentowanego wyważenia interesów.

2. Sprawdzenie DPIA — kiedy jest obowiązkowa?

Ocena skutków dla ochrony danych (DPIA) jest obowiązkowa zgodnie z Art. 35 DSGVO w przypadku:

• Systematycznego profilowania osób
• Przetwarzania szczególnych kategorii danych (→ Moduł 1)
• Zautomatyzowanych decyzji o znaczącym wpływie
• Monitorowania pracowników wspieranego przez AI

Jak obszerna? DPIA dokumentuje: Co jest przetwarzane? Dlaczego? Jakie ryzyka powstają? Jakie środki ochrony są stosowane?

3. Informowanie osób, których dane dotyczą

Przed przetwarzaniem osoby, których dane dotyczą, muszą wiedzieć:

1. Kto przetwarza dane (nazwa, kontakt)
2. Dlaczego (cel i podstawa prawna)
3. Jak długo
4. Komu są przekazywane
5. Czy mają miejsce zautomatyzowane decyzje (Art. 13 ust. 2 f)

W trakcie działania: Dwa krytyczne obowiązki

Zgłaszanie naruszeń danych (Art. 33)

W przypadku utraty danych, kradzieży lub nieuprawnionego dostępu:

• 72 godziny na zgłoszenie do organu nadzorczego ds. ochrony danych
• W przypadku wysokiego ryzyka dla osób, których dane dotyczą: również bezpośrednie poinformowanie tych osób (Art. 34)

Brak wyjątku dla systemów AI. Wycieki danych z systemu AI wywołują te same obowiązki.

Przestrzeganie polityk retencji

Dane treningowe AI podlegają tym samym obowiązkom usuwania jak wszystkie inne dane osobowe. „Potrzebujemy danych do ponownego treningu" nie jest nieograniczonym powodem przechowywania.

Przypadek praktyczny: Uczący się chatbot

Chatbot obsługi klienta rejestruje wszystkie rozmowy „aby się poprawić". W rozmowach czasami wspominane są dane zdrowotne.

Naruszenia DSGVO:

1. Brak zgody na dane zdrowotne (Art. 9 — szczególna kategoria)
2. Naruszenie celowości: rozmowa w celu obsługi klienta ≠ zgoda na trening AI
3. Osoby, których dane dotyczą, nie zostały poinformowane o wykorzystaniu AI

Co należy zrobić:

• Natychmiast usunąć dane zdrowotne z danych treningowych
• Poinformować organ ds. ochrony danych (w przypadku znaczącego ryzyka)
• Dostosować proces: uzyskać zgodę przed wykorzystaniem do treningu

Podsumowanie: Lista kontrolna DSGVO dla AI

Przed zastosowaniem:
  ☐ Podstawa prawna udokumentowana
  ☐ DPIA sprawdzona (i ewentualnie przeprowadzona)
  ☐ Osoby, których dane dotyczą, poinformowane
  ☐ Kategorie danych sprawdzone (szczególne kategorie?)

W trakcie działania:
  ☐ Polityka retencji zdefiniowana i wdrożona
  ☐ Kontrole dostępu aktywne
  ☐ Proces na wypadek naruszeń danych istnieje (termin 72h!)
  ☐ Proces praw osób, których dane dotyczą, zdefiniowany

Powrót: Podstawy DSGVO | Rozpocznij ocenę →