Nyereség:
- Annak értékelése, hogy egy mesterséges intelligencia használatához szükséges-e DPIA
- A hét lépésből álló DPIA-folyamat alkalmazása mesterséges intelligencia-projektre
- Részesítse a kockázatokat valószínűség-hatás mátrixszal, és tervezzen mérséklő intézkedéseket
A mesterséges intelligencia egyes felhasználási módjai komoly kockázatot jelentenek az egyének számára: nagy léptékű megfigyelés, érzékeny adatfeldolgozás, automatizált döntések. Az ilyen projekteknél mind a KVKK/GDPR, mind az EU AI-törvény strukturált kockázatértékelést vár el a munka megkezdése előtt. Ennek az értékelésnek a neve Data Protection Impact Assessment (DPIA). Ebben az egységben megtanuljuk, hogyan állapítható meg, hogy egy felhasználáshoz DPIA-ra van-e szükség, hogyan alkalmazzuk a hét lépésből álló DPIA-folyamatot egy mesterségesintelligencia-projektre, és hogyan rangsoroljuk a kockázatokat egy valószínűség-hatás mátrix segítségével.
Mi az a DPIA és mikor van rá szükség?
Az adatvédelmi hatásvizsgálat (DPIA) egy strukturált elemzés, amely előre értékeli a feldolgozási tevékenységnek az egyének jogaira és szabadságaira vonatkozó kockázatait, és meghatározza a mérséklő intézkedéseket. A kritikus pont: A DPIA-t a tervezési szakaszban, a feldolgozás megkezdése előtt végzik el – nem a probléma fellépése után.
A DPIA-ra általában akkor van szükség, ha:
- Új technológia alkalmazása (a mesterséges intelligencia gyakran szerepel benne).
- Személyes adatok nagyarányú feldolgozása.
- Szisztematikus nyomon követés vagy profilalkotás.
- Speciális adatfeldolgozás.
- Automatizált döntések, amelyek jelentős hatással vannak az emberekre.
Tipp: Ha nem biztos benne, végezzen "szűrést": ha a fenti öt közül kettő vagy több van, akkor alapértelmezés szerint végezzen DPIA-t. A DPIA elvégzésének költsége alacsony; Ennek elmulasztásának költsége egy szabálysértés esetén nagyon magas.
Hétlépéses DPIA folyamat
A DPIA-t a következő hét lépésben alkalmazhatja egy AI-projektben:
lépést
mit csinálsz?
1. Leírás
Ismertesse az adatkezelést: milyen adatok, cél, hatókör, folyamat
2. Szükségszerűség és arányosság
Valóban szükséges az AI? Van kevésbé tolakodó módszer?
3. Az érintettek véleménye
Kérje ki az érintett személyek/képviselők véleményét
4. Kockázat azonosítás
Sorolja fel az egyéneket érő lehetséges károkat
5. Kockázatértékelés
Pontozzon minden kockázatot valószínűség és hatás alapján
6. Mérséklő intézkedések
Tervezze meg az óvintézkedéseket minden kockázatra, azonosítsa a fennmaradó kockázatot
7. Jóváhagyás és felülvizsgálat
Dokumentálja az eredményt, nyújtsa be jóváhagyásra, rendszeresen frissítse
A kockázat priorizálása: valószínűség-hatás mátrix
Az egyes kockázatokat két dimenzióban értékeli: a bekövetkezésének valószínűsége és a hatás, ha megtörténik. A kettő kombinációja ad elsőbbséget.
<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>Csekély hatás
közepes hatású
nagy hatás
nagy valószínűséggel
közepes
magas
kritikus
közepes valószínűséggel
alacsony
közepes
magas
kicsi a valószínűsége
alacsony
alacsony
közepes
A kritikus és magas kockázatok olyan kockázatok, amelyek esetében a projektet nem szabad óvintézkedések megtétele nélkül folytatni. A cél nem minden kockázat kiküszöbölése; Az egyes kockázatok elfogadható szintre csökkentése és a fennmaradó (maradék) kockázat tudatos elfogadása.
három mini tok
1. eset – Kihagyott DPIA. A kiskereskedelmi láncok olyan rendszert valósítanak meg, amely nyomon követi a vásárlók bolti viselkedését mesterséges intelligencia segítségével, DPIA nélkül. Hónapokkal később egy panaszból kiderül, hogy a rendszer konkrét következtetéseket vont le (egészségügyi, terhességi előrejelzés). A „miért nem végzett DPIA-t” kérdésre az ellenőrzésben nincs válasz. A DPIA a kezdetektől fogva felfogta volna ezt a kockázatot a tervezési szakaszban, és biztonságossá tette volna a projektet.
2. eset – A DPIA által megmentett projektet. A DPIA a toborzást támogató mesterséges intelligencia céljából történik egy bankban. A kockázatazonosítási szakaszban a korábbi adatok miatti nemi torzítás kockázata „magasnak” bizonyul. Enyhítésként a csapat eltávolítja a nemre vonatkozó információkat a modellből, a kimenetet rendszeres torzításteszthez rendeli, és emberi ellenőrzést igényel. Most a kockázat "mérsékeltre" csökken, és a projekt elfogadhatóvá válik. A DPIA biztonságossá teszi a projektet ahelyett, hogy megölné.
3. eset – Arányossági teszt. Egy vállalat át akarja vizsgálni az alkalmazottak e-mailjeit „hűségelemzés” céljából mesterséges intelligencia segítségével. A DPIA szükséges/arányossági lépésében ez a célhoz képest túlzottan tolakodónak tűnik; Vannak kevésbé tolakodó alternatívák. A projektet jelenlegi formájában nem hagyták jóvá. Az arányossági teszt különbséget tesz a „lehet” és a „meg kell” között.
Figyelem: A DPIA nem olyan űrlap, amelyet egyszer kitöltenek és félretesznek. Változások feldolgozásakor (új adatok, új cél, új eszköz) a DPIA-t frissíteni kell. A halott DPIA félrevezetőbb, mint a DPIA hiánya, mert hamis bizalmat ad.
Ki tartja a DPIA-val és a kockázati nyilvántartási kapcsolatot a DPIA-val
Egyetlen személy nem töltheti ki az adatvédelmi nyilatkozatot az asztalánál; A helyes DPIA csapatmunka. Jellemzően az adatvédelmi tisztviselő hajtja végre a folyamatot (Cselekvő), a megfelelőségi vezető a végső felelősség (Elszámoltatható), az érintett üzleti egység ismerteti a feldolgozást, értékeli az informatikai/biztonsági technikai intézkedéseket és megerősíti a jogalapot. Nem szabad elhanyagolni az érintett személyek véleményének kikérését (harmadik lépés); Ez azonban a gyakorlatban leginkább kihagyott lépés.
A DPIA kimenete nem áll légüres térben: az azonosított kockázatokat rögzítik a szervezet kockázati nyilvántartásában. A kockázati regiszter egy élő diagram, amely rögzíti az összes nyitott kockázatot, azok prioritásait, mérséklését, a tetteseket és az utolsó felülvizsgálati dátumokat. Ily módon egy AI-projekt kockázatai ugyanazt a nyelvet beszélik, mint a szervezet általános kockázatkezelése, és rendszeresen figyelemmel kísérik őket.
Kockázati nyilvántartási terület
példa
Kockázat meghatározása
Nemi elfogultság a toborzási AI-ban
prioritás
magas
Mérséklő intézkedés
Helyettesítő változó kinyerése + torzítás tesztelése
Felelős
Adatvédelmi tisztviselő
felülvizsgálatát
3 havonta
Tipp: Kezelje a DPIA-t „kockázati naplózás és nyomon követés” mentalitással, nem pedig „kész, és felejtsd el” megközelítéssel. Bevezették-e a kockázatcsökkentést, elfogadható szinten van-e a fennmaradó kockázat – ezek nyilvántartása nélkül a DPIA ablakdokumentummá válik.
Másolható sablonok
1. SABLON – DPIA előszűrés: "Szükséges-e DPIA ehhez a mesterséges intelligencia használathoz? [a felhasználás leírása]. Értékeljen öt triggerrel: új technológia, nagy léptékű feldolgozás, szisztematikus megfigyelés, érzékeny adatok, jelentős automatizált döntéshozatal. Hány trigger van, ajánlja a DPIA-t, indoklással."
2. SABLON – Kockázat-azonosítási ötletbörze: "Sorolja fel az embereket érő lehetséges károkat ebben az AI-projektben [írja le a projektet]: adatszivárgás, diszkrimináció, téves megítélés, a magánélet megsértése, az átláthatóság hiánya, a célok eltolódása. Írjon egy mondatos forgatókönyvet minden egyes kárhoz. Csak észlelje, de ne tegyen ellensúlyozást."
3. SABLON – Valószínűség-hatás pontozás: "A következő kockázatok pontozása [kockázatok listázása] valószínűségként (alacsony/közepes/magas) és hatásként (alacsony/közepes/magas); prioritás (alacsony/közepes/magas/kritikus) jelenik meg minden sorban. A kritikus és a magas listát felül.
4. SABLON – Mérséklési terv: "A következő kockázathoz [írja meg a kockázatot], javasoljon legalább 3 mérséklő intézkedést (műszaki, folyamatbeli, szervezeti). Minden intézkedés után becsülje meg a „fennmaradó kockázat” szintjét. Ha a kockázat az intézkedés után is magas, jelezze, hogy a projektet újra kell tervezni."
Gyenge felszólítás / Erős felszólítás
GYENGE: „Kockázatos ez az AI-projekt?”-> A modell homályos „talán” választ ad; nem osztályozza a kockázatokat, nem rangsorolja a kockázatokat, nem készít intézkedéseket.STRONG: "Készítsen mini DPIA-t a következő AI-projekthez: (1) írja le a feldolgozást, (2) értékelje a DPIA szükségességét 5 triggerrel, (3) sorolja fel 6 lehetséges személyi kárt, (4) értékelje mindegyiket valószínűségi hatás alapján, (5) javasoljon mérséklést a kritikus döntések tervezetéhez. jogi jóváhagyás."-> A modell egy strukturált, végrehajtható DPIA tervezetét készíti el.
Gyakori hibák
- A DPIA elvégzése a tranzakció megkezdése után (vagy akár a probléma fellépése után is).
- A DPIA-t igénylő, magas kockázatú feldolgozás kihagyása „nem nagy dolog”.
- Nem sorolja fel a kockázatokat, és rangsorolja őket valószínűség és hatás alapján.
- A DPIA-t „teljesnek” tekintve anélkül, hogy minden kockázatra vonatkozó intézkedéseket készítenének.
- A szükségesség/arányosság lépésének kihagyása és a „meg tudjuk csinálni, hát tegyük meg” kimondása.
- A DPIA egyszeri kitöltése, és nem frissítése, amikor a folyamat megváltozik.
- A projekt jóváhagyása a fennmaradó (fennmaradó) kockázat egyértelmű dokumentálása nélkül.
Összefoglalva
- A DPIA egy strukturált elemzés, amely a magas kockázatú feldolgozás egyénekre gyakorolt hatását értékeli, mielőtt elkezdené.
- A DPIA-ra új technológia, nagy léptékű feldolgozás, szisztematikus megfigyelés, érzékeny adatok vagy jelentős automatizált döntéshozatal esetén van szükség.
- A folyamat hét lépésből áll: azonosítás, szükségesség/arányosság, érintettek véleménye, kockázatazonosítás, értékelés, cselekvés, jóváhagyás/felülvizsgálat.
- A kockázatok rangsorolása valószínűség-hatás mátrixszal történik; A kritikus/magas kockázatokat óvintézkedések nélkül nem fogadják el.
- A DPIA nem öli meg a projektet, hanem biztonságossá teszi; Ez egy élő dokumentum, amelyet frissíteni kell a feldolgozás változásaival.
Pályázati feladat
Válasszon olyan AI alkalmazást, amelyet a szervezete esetleg használ, és amely nagy kockázatot jelenthet (például toborzási támogatás, viselkedéskövetés vagy kreditpontszámítás). Először fontolja meg, hogy szükséges-e a DPIA öt triggerrel. Ezután végezzen mini DPIA-t erre a célra: írja le a feldolgozást, soroljon fel legalább hat lehetséges kárt az egyének számára, mindegyiket pontozza a valószínűség-hatás mátrixon, és rendeljen prioritást. Tervezzen három mérséklő intézkedést két kritikus és magas kockázatra, és becsülje meg a fennmaradó kockázati szintet az intézkedés után. Végül jegyezze meg, mikor kell ezt a DPIA-t frissíteni.
ellenőrző lista
- [ ] A DPIA követelményt öt triggerrel értékeltem.
- [ ] Meghatároztam az adatkezelést (adat, cél, terjedelem, folyamat).
- [ ] Megkérdőjeleztem a szükségességet és az arányosságot.
- [ ] Felsoroltam az egyéneket érő lehetséges károkat.
- [ ] A valószínűség-hatás mátrixban a kockázatokat rangsoroltam.
- [ ] Csökkentő intézkedéseket terveztem a kritikus/magas kockázatokra.
- [ ] Most dokumentáltam a kockázatot és meghatároztam a felülvizsgálati feltételeket.