Fitimet:
- Vlerësimi nëse një përdorim i AI kërkon DPIA
- Zbatimi i procesit DPIA me shtatë hapa në një projekt të AI
- Jepni përparësi rreziqeve me një matricë probabiliteti-ndikim dhe hartoni masa zbutëse
Disa përdorime të AI paraqesin rreziqe serioze për individët: monitorim në shkallë të gjerë, përpunim të ndjeshëm të të dhënave, vendime të automatizuara. Në projekte të tilla, si KVKK/GDPR ashtu edhe Ligji i BE-së për UA presin një vlerësim të strukturuar të rrezikut përpara se të fillojë puna. Emri i këtij vlerësimi është Vlerësimi i Ndikimit në Mbrojtjen e të Dhënave (DPIA). Në këtë njësi do të mësojmë se si të dallojmë nëse një përdorim kërkon DPIA, si të zbatohet procesi DPIA me shtatë hapa në një projekt të AI dhe si të prioritizohen rreziqet me një matricë probabiliteti-ndikim.
Çfarë është DPIA dhe kur është e nevojshme?
Vlerësimi i Ndikimit në Mbrojtjen e të Dhënave (DPIA) është një analizë e strukturuar që vlerëson paraprakisht rreziqet e një aktiviteti përpunues mbi të drejtat dhe liritë e individëve dhe përcakton masat lehtësuese. Pika kritike: DPIA bëhet në fazën e projektimit, përpara se të fillojë përpunimi - jo pasi të shfaqet problemi.
DPIA zakonisht kërkohet kur:
- Përdorimi i teknologjisë së re (AI shpesh përfshihet).
- Përpunimi në shkallë të gjerë i të dhënave personale.
- Monitorimi ose profilizimi sistematik.
- Përpunimi i veçantë i të dhënave.
- Vendime të automatizuara që ndikojnë ndjeshëm te njerëzit.
Këshillë: Nëse nuk jeni të sigurt, bëni një "shqyrtim": nëse dy ose më shumë nga pesë të mësipërmet janë të pranishëm, parazgjedhja për të bërë DPIA. Kostoja e kryerjes së DPIA është e ulët; Kostoja për të mos e bërë këtë është shumë e lartë në një shkelje.
Procesi DPIA me shtatë hapa
Ju aplikoni DPIA në një projekt të AI në këto shtatë hapa:
hap
Çfarë bëni ju?
1. Përshkrimi
Përshkruani përpunimin: çfarë të dhënash, qëllimi, fushëveprimi, rrjedha
2. Domosdoshmëria dhe proporcionaliteti
A është vërtet e nevojshme AI? A ka ndonjë mënyrë më pak ndërhyrëse?
3. Opinioni i palëve të interesuara
Merrni mendimin e personave/përfaqësuesve përkatës
4. Identifikimi i rrezikut
Listoni dëmet e mundshme për individët
5. Vlerësimi i rrezikut
Vlerësoni çdo rrezik sipas probabilitetit dhe ndikimit
6. Masat zbutëse
Hartoni masat paraprake për çdo rrezik, identifikoni rrezikun e mbetur
7. Miratimi dhe rishikimi
Dokumentoni rezultatin, dorëzojeni për miratim, përditësoni periodikisht
Prioriteti i rrezikut: matrica probabilitet-ndikim
Ju e vlerësoni çdo rrezik në dy dimensione: gjasat që ai të ndodhë dhe ndikimi nëse ndodh. Kombinimi i të dyjave jep përparësi.
<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>Ndikim i ulët
efekt mesatar
ndikim të lartë
probabilitet të lartë
e mesme
lartë
kritike
probabilitet mesatar
të ulëta
e mesme
lartë
probabilitet të ulët
të ulëta
të ulëta
e mesme
Rreziqet kritike dhe të larta janë rreziqe për të cilat projekti nuk duhet të vazhdohet pa marrë masa paraprake. Qëllimi nuk është eliminimi i çdo rreziku; është të zvogëloni çdo rrezik në një nivel të pranueshëm dhe të pranoni me vetëdije rrezikun e mbetur (të mbetur).
tre mini kuti
Rasti 1 - DPIA e anashkaluar. Një zinxhir shitjesh me pakicë zbaton një sistem që gjurmon sjelljen e klientëve në dyqan me AI, pa DPIA. Muaj më vonë, një ankesë zbulon se sistemi bëri konkluzione specifike (shëndeti, parashikimi i shtatzënisë). Pyetjes “pse nuk e bëtë DPAB” në auditim nuk ka përgjigje. Një DPIA që në fillim do ta kishte kapur këtë rrezik në fazën e projektimit dhe do ta bënte projektin të sigurt.
Rasti 2 — Projekti i shpëtuar nga DPIA. DPIA është bërë për mbështetjen e rekrutimit të UA në një bankë. Gjatë fazës së identifikimit të rrezikut, rreziku i njëanshmërisë gjinore për shkak të të dhënave historike rezulton të jetë "i lartë". Si një zbutje, ekipi heq informacionin gjinor nga modeli, ia atribuon rezultatin testimit të rregullt të paragjykimit dhe kërkon vlefshmëri njerëzore. Tani rreziku bie në "i moderuar" dhe projekti bëhet i pranueshëm. DPIA e bën projektin të sigurt në vend që ta vrasë atë.
Rasti 3 — Testi i proporcionalitetit. Një kompani dëshiron të skanojë emailet e punonjësve për "analizë të besnikërisë" me AI. Në hapin e domosdoshmërisë/proporcionalitetit të DPIA, kjo rezulton të jetë tepër ndërhyrëse në lidhje me qëllimin; Ka alternativa më pak ndërhyrëse. Projekti nuk është miratuar në formën e tij aktuale. Testi i proporcionalitetit bën dallimin midis "ne mundemi" dhe "duhet".
Kujdes: DPIA nuk është një formular që plotësohet një herë dhe lihet mënjanë. Kur përpunohen ndryshimet (të dhëna të reja, qëllimi i ri, mjet i ri) DPIA duhet të përditësohet. Një DPIA e vdekur është më mashtruese se pa DPIA, sepse jep besim të rremë.
Kush e regjistron DPIA dhe rrezikun marrëdhëniet me DPIA
Një person i vetëm nuk mund të plotësojë DPIA në tavolinën e tij; DPIA e saktë është një përpjekje ekipore. Në mënyrë tipike, zyrtari i mbrojtjes së të dhënave kryen procesin (Bërës), menaxheri i pajtueshmërisë është përfundimisht përgjegjës (Përgjegjës), njësia përkatëse e biznesit përshkruan përpunimin, vlerëson masat teknike të IT/sigurisë dhe konfirmon bazën ligjore. Marrja e mendimeve të njerëzve përkatës (hapi i tretë) nuk duhet të neglizhohet; Megjithatë, ky është hapi më i anashkaluar në praktikë.
Prodhimi i DPIA nuk qëndron në vakum: rreziqet e identifikuara regjistrohen në regjistrin e rrezikut të organizatës. Regjistri i rrezikut është një tabelë e drejtpërdrejtë që kap të gjitha rreziqet e hapura, prioritetet e tyre, zbutjet, fajtorët dhe datat e rishikimit të fundit. Në këtë mënyrë, rreziqet e një projekti të AI flasin të njëjtën gjuhë si menaxhimi i përgjithshëm i rrezikut të organizatës dhe monitorohen rregullisht.
Zona e regjistrit të rrezikut
shembull
Përkufizimi i rrezikut
Paragjykimet gjinore në UA të rekrutimit
prioritet
lartë
Masa zbutëse
Ekstraktimi i ndryshores zëvendësuese + testimi i paragjykimit
Përgjegjës
Oficeri për mbrojtjen e të dhënave
rishikim
çdo 3 muaj
Këshillë: Trajtojeni DPIA me një mentalitet "regjistri i rrezikut dhe gjurmoni", jo me një qasje "të bëra dhe të harrosh". A është zbatuar një zbutje e rrezikut, a është rreziku i mbetur në një nivel të pranueshëm — pa një regjistrim regjistrimi të tyre, DPIA bëhet një dokument dritareje.
Modele të kopjueshme
TABLE 1 — Ekzaminimi paraprak i DPIA: "A kërkohet DPIA për këtë përdorim të AI? [përshkruani përdorimin]. Vlerësoni me pesë shkaktarë: teknologji e re, përpunim në shkallë të gjerë, monitorim sistematik, të dhëna të ndjeshme, vendimmarrje të konsiderueshme automatike. Sa shkaktarë ka, a e rekomandoni DPIA, me arsyetim."
SHBALL 2 — Stuhi mendimesh për identifikimin e rrezikut: "Rendisni dëmet e mundshme për njerëzit në këtë projekt të AI [përshkruani projektin]: rrjedhje e të dhënave, diskriminim, keqgjykim, cenim i privatësisë, mungesë transparence, zhvendosje e qëllimit. Shkruani një skenar me një fjali për çdo dëm. Vetëm zbuloni, por mos reagoni."
TABLE 3 — Vlerësimi i ndikimit të gjasave: "Vlerësoni rreziqet e mëposhtme [listoni rreziqet] si probabilitet (i ulët/mesatar/i lartë) dhe ndikim (i ulët/mesatar/i lartë); prioriteti (i ulët/mesatar/i lartë/kritik) shfaqet në çdo rresht. Lista kritike dhe e lartë në krye. Paraqitur në formatin e tabelës."
TABLE 4 — Dizajni i zbutjes: "Për rrezikun e mëposhtëm [shkruani rrezikun], propozoni të paktën 3 masa zbutëse (teknike, procesore, organizative). Vlerësoni nivelin e 'rrezikut të mbetur' pas çdo mase. Nëse rreziku është ende i lartë pas masës, tregoni se projekti duhet të ridizajnohet."
Prompt i dobët / Prompt i fortë
I DOBËT: “A është i rrezikshëm ky projekt i AI?”-> Modeli jep një përgjigje të paqartë ‘ndoshta’; nuk i klasifikon rreziqet, nuk i jep përparësi rreziqeve, nuk prodhon masa. FORTË: "Kryer një mini DPIA për projektin e mëposhtëm të AI: (1) përshkruani përpunimin, (2) vlerësoni nevojën për DPIA me 5 shkaktarë, (3) listoni 6 dëmet e mundshme për personat, (4) shënoni secilin sipas probabilitetit-ndikimit, bëni përcaktues/rekomandues ligjor. vendimmarrja prodhon një draft që do të kalojë në miratim ligjor."-> Modeli prodhon një draft të një DPIA të strukturuar dhe të zbatueshme.
Gabimet e zakonshme
- Bërja e DPIA pasi transaksioni ka filluar (ose edhe pasi ka ndodhur problemi).
- Kapërcimi i përpunimit me rrezik të lartë që kërkon DPIA si "jo gjë e madhe".
- Mos renditja e rreziqeve dhe prioritizimi i tyre sipas probabilitetit dhe ndikimit.
- Duke e konsideruar DPBB-në "të plotë" pa prodhuar masa për çdo rrezik.
- Duke anashkaluar hapin e domosdoshmërisë/proporcionalitetit dhe duke thënë "ne mund ta bëjmë, kështu që le ta bëjmë".
- Plotësimi i DPIA një herë dhe mos përditësimi i tij kur ndryshon procesi.
- Miratimi i projektit pa dokumentuar qartë rrezikun e mbetur (të mbetur).
Në përmbledhje
- DPIA është një analizë e strukturuar që vlerëson ndikimin e një përpunimi me rrezik të lartë tek individët përpara se të fillojë.
- DPIA kërkohet nëse ka teknologji të re, përpunim në shkallë të gjerë, monitorim sistematik, të dhëna të ndjeshme ose vendimmarrje të rëndësishme të automatizuar.
- Procesi përbëhet nga shtatë hapa: identifikimi, domosdoshmëria/proporcionaliteti, opinioni i palëve të interesuara, identifikimi i rrezikut, vlerësimi, veprimi, miratimi/rishikimi.
- Rreziqet janë të prioritizuar me një matricë probabilitet-ndikim; Rreziqet kritike/të larta nuk pranohen pa masa paraprake.
- DPIA nuk e vret projektin, e bën të sigurt; Është një dokument i gjallë që duhet të përditësohet gjatë përpunimit të ndryshimeve.
Detyra e aplikimit
Zgjidhni një përdorim të AI-së që mund të përdorë organizata juaj që mund të jetë me rrezik të lartë (për shembull, mbështetja e rekrutimit, gjurmimi i sjelljes ose vlerësimi i kreditit). Së pari shqyrto nëse DPIA është e nevojshme me pesë nxitës. Më pas kryeni një mini DPIA për këtë përdorim: përshkruani përpunimin, listoni të paktën gjashtë dëme të mundshme për individët, shënoni secilin në matricën gjasa-ndikim dhe caktoni përparësi. Hartoni tre masa zbutëse për dy rreziqe kritike dhe të larta dhe vlerësoni nivelin e rrezikut të mbetur pas masës. Së fundi, vini re se kur do të duhet të përditësohet kjo DPIA.
listë kontrolli
- [ ] Unë e vlerësova kërkesën DPIA me pesë shkas.
- [ ] Përcaktova përpunimin (të dhënat, qëllimin, shtrirjen, rrjedhën).
- [ ] Vura në dyshim domosdoshmërinë dhe proporcionalitetin.
- [ ] Unë kam renditur dëmet e mundshme për individët.
- [ ] I kam dhënë përparësi rreziqeve në matricën probabilitet-ndikim.
- [ ] Kam projektuar masa zbutëse për rreziqe kritike/të larta.
- [ ] Tani kam dokumentuar rrezikun dhe kam vendosur kushtet e rishikimit.