Добици:
- Видети сличности и разлике између ГДПР-а и КВКК-а
- Заштита од аутоматизованих одлука и спровођење права на људску интервенцију (члан 22 ГДПР)
- Знајући да прекогранични пренос података захтева одговарајуће осигурање и механизме избора
Зашто турска компанија такође мора да познаје европски закон о заштити података (ГДПР)? Зато што ГДПР не обавезује само компаније које се налазе у ЕУ, већ и сваку компанију која пружа робу/услуге људима у ЕУ или прати њихово понашање. Штавише, два питања која су у средишту употребе вештачке интелигенције — аутоматизоване одлуке и прекогранични пренос података — су кристално јасна у ГДПР-у. У овој јединици ћемо упоредити ГДПР и КВКК, сазнати шта ГДПР члан 22 значи за АИ и правила рада са подацима на АИ серверу у иностранству.
ГДПР и КВКК: браћа и сестре, али нису исти
ГДПР (Општа уредба о заштити података) је пропис ЕУ о заштити података који је ступио на снагу 2018. КВКК је у великој мери инспирисан ГДПР; па је већина појмова уобичајена. Али постоје и разлике.
Предмет
КВКК
ГДПР
Извор
Закон бр. 6698 (Турска)
Регулатива ЕУ
географски обим
обрада у Турској
Услуга/праћење до лица у ЕУ
Право на аутоматску одлуку
Право на приговор у Закону 11
Изричита заштита у чл.22
Административна казна
Износи наведени у закону
До 4% годишњег светског промета
Службеник за заштиту података (ДПО)
ограничена обавеза
Обавезно у одређеним случајевима
Прекогранични трансфер
Одговарајућа гаранција/експлицитна сагласност
Одлука о адекватности / одговарајуће заштитне мере
Савет: Ако обављате обраду која подлеже и КВКК-у и ГДПР-у, поштовање строжих правила ће вас генерално држати на безбедној страни. Уместо да се одвојено управља са два текста, приступ „највишој линији“ је практичан и одбрањив.
Члан 22: заштита од одлуке коју доноси искључиво машина
Најкритичнија одредба ГДПР-а у погледу вештачке интелигенције је члан 22. Њена суштина је следећа: особа има право да не буде предмет одлуке која на њега или њу значајно утиче, правно или слично, а која се заснива искључиво на аутоматизованој обради (тј. у потпуности на АИ, без људске интервенције). Примери: алгоритам у потпуности одбија захтев за кредит, а кандидат се елиминише потпуно аутоматски.
Постоје изузеци од овог права (ако је потребно за уговор, ако постоји изричит пристанак и сл.), али чак иу случају изузетка, особи треба дати најмање следеће гаранције:
- Право да се захтева људска интервенција (да човек преиспита одлуку).
- Право да изразите своје мишљење.
- Право жалбе на одлуку.
- Смислене информације о образложењу одлуке (транспарентност).
У пракси, то значи: учинити АИ јединим доносиоцем одлука за одлуке које значајно утичу на особу; Увек унесите корак стварног људског одобравања/прегледа.
три мини кофера
Случај 1 — Потпуно аутоматско одбијање. Финтецх компанија одбија захтеве за кредит у потпуности са АИ оценом; људи никад не гледају. Подносилац захтева тражи разлог за одбијање и захтева људски преглед. У складу са чланом 22, компанија мора испунити овај захтев, имати људски преглед одлуке и објаснити логику на смислен начин. Прави дизајн: учинити АИ „препоручиоцем одлука“ и захтевати људско одобрење за негативне одлуке.
Случај 2 — Ризик трансфера у иностранство. Једна компанија из Истанбула сумира захтеве за корисничку подршку у ЕУ помоћу алата АИ у иностранству. Ово је прекогранични трансфер у смислу ГДПР-а и КВКК-а. Компанија схвата да послује без одговарајућег механизма за пренос (испод) и додаје стандардне уговорне клаузуле у уговор о обради података и ажурира откривање података клијентима.
Случај 3 — Усклађеност са чврстом шипком. Турска софтверска компанија која опслужује своје клијенте у Немачкој је покривена и КВКК и ГДПР. Уместо да одвојено управља ова два текста, тим се ослања на строже захтеве ГДПР-а: спроводи процену утицаја на заштиту података, обезбеђује јасно осветљење, гарантује људски надзор. Дакле, безбедно је у обе јурисдикције са јединственим оквиром усклађености.
Прекогранични пренос података
Прекогранични пренос је слање личних података у другу земљу (на пример, на сервер АИ провајдера у иностранству). Подаци се не могу насумично преносити; Потребан је одговарајући механизам:
механизам
укратко
Одлука о квалификацији
Званично признање да циљна земља пружа адекватну заштиту
Одговарајуће мере заштите
Стандардне уговорне клаузуле, обавезујућа корпоративна правила, писмо обавезе
Експлицитна сагласност / изузетак
Информисани изричити пристанак особе у одређеним случајевима
У пракси, најчешћи начин коришћења АИ је укључивање стандардних уговорних клаузула у уговор о обради података који је потписан са провајдером и транспарентно документовање где се подаци обрађују.
Пажња: Рекавши „Шифровао сам податке, сада су безбедни“ не елиминише обавезу преноса. Шифровање је добра безбедносна мера, али није једини легални механизам преноса. Пренос такође захтева одговарајућу уговорну/правну основу.
Шаблони који се могу копирати
ОБРАЗАЦ 1 — Провера члана 22: „Оцените следећи процес одлучивања заснован на вештачкој интелигенцији: [опишите процес]. Да ли ова одлука 'значајно' утиче на особу и да ли је донета 'само аутоматски'? Да ли спада у делокруг члана 22 ГДПР? Ако јесте, које заштитне мере (људска интервенција, приговор) треба да напишем, да укључим клаузулу, експланацију.
ШАБЛОНА 2 — Избор механизма преноса: „Обрадићу личне податке на серверу у иностранству следећег алата за вештачку интелигенцију: [опишите алатку и податке]. Да ли је ово прекогранични трансфер? Процените одговарајуће механизме преноса (одлуку о адекватности, стандардне уговорне клаузуле, изричиту сагласност) у складу са мојом ситуацијом. За коначну одлуку погледајте закон; само упоредите опције.“
ШАБЛОНА 3 — Дизајн корака за људски преглед: „Дизајнирајте корак 'људског прегледа' до следећег аутоматизованог процеса одлучивања: [опишите процес]. Које одлуке треба да буду усмерене на човека (нпр. негативни исходи), шта треба да провери човек, како треба да буде забележен приговор? Напишите ток корак по корак.“
ШАБЛОН 4 — Анализа недостатака КВКК/ГДПР: „Упоредите упоредо са КВКК и ГДПР обавезама за следећу обраду: [опишите обраду]. Прикажи 'Шта КВКК каже / шта каже ГДПР / који је строжи' у сваком реду и додајте предлог 'шта треба да урадим да бих се придржавао најстроже траке'."
Слаби промпт / Јаки промпт
СЛАБО: „Да ли је овај кредитни систем АИ легалан?“-> Модел даје нејасан, генерички одговор „зависи“; Не оцењује члан 22 и димензије преноса. ГУЦЛУ: „За клијенте из ЕУ успостављамо систем који процењује захтеве за кредит са АИ оценом; подаци се обрађују у иностранству. (1) Које заштитне мере треба да додамо у смислу члана 22 ГДПР, (2) који механизам је потребан за прекогранични трансфер? Означите где нисте сигурни.“ -> Модел разматра две критичне димензије одвојено, на применљив начин.
Уобичајене грешке
- Размишљајући „Ми смо турска компанија, ГДПР нас се не тиче“; док је пружање услуга људима у ЕУ довољно.
- Препустити одлуку која значајно утиче на особу у потпуности АИ и не захтевати људски преглед.
- Заобилазећи заштитне мере из члана 22 (људска интервенција, приговор, обелодањивање).
- Уопште се не успоставља механизам преноса (уговорни услови) када се користи инострани АИ алат.
- Погрешно шифровање као правни механизам преноса.
- Управљање КВКК-ом и ГДПР-ом одвојено и упадање у контрадикцију; док је најстрожи барски приступ једноставнији.
- Не одражава логику трансфера и аутоматске одлуке у тексту појашњења.
Укратко
- ГДПР такође обавезује турске компаније које пружају услуге људима у ЕУ; У великој мери се преклапа са КВКК, али може бити строжи.
- Члан 22 штити од одлука које значајно утичу на личност и које се доносе искључиво аутоматски; Са собом носи право на људску интервенцију, приговор и објашњење.
- Одлуке вештачке интелигенције које утичу на особу увек треба да имају прави корак преиспитивања од стране људи.
- Обрада података на серверу АИ у иностранству је прекогранични трансфер; То захтева одговарајући механизам (углавном стандардне уговорне клаузуле).
- Ако сте обухваћени и КВКК-ом и ГДПР-ом, придржавање најстрожег стандарда је најпрактичнији и најсигурнији начин.
Задатак апликације
Одаберите вештачку интелигенцију која ваша организација користи податке о људима из ЕУ. Прво процените да ли ова употреба спада у делокруг члана 22 ГДПР-а; Ако јесте, ставите четири уверавања која треба додати (људска интервенција, мишљење, приговор, објашњење) у конкретне кораке. Затим утврдите да ли ова употреба укључује прекогранични трансфер и изаберите одговарајући механизам преноса на основу тога. Коначно, направите кратку табелу разлика која ставља КВКК и ГДПР обавезе једну поред друге за исту употребу и запишите три корака које ћете предузети да бисте „поштивали најстрожије стандарде“.
контролна листа
- [ ] Утврдио сам да ли употреба спада у делокруг ГДПР-а.
- [ ] Извршио сам проверу по члану 22 и осмислио неопходне мере заштите.
- [ ] Додао сам корак људске ревизије одлукама које утичу на особу.
- [ ] Открио сам да ли је било прекограничног трансфера.
- [ ] Изабрао сам и документовао одговарајући механизам преноса.
- [ ] Направио сам анализу разлике КВКК/ГДПР и поставио најстрожу траку.
- [ ] Одразио сам аутоматску одлуку и пренос у тексту осветљења.