Panduan ICO Baru untuk Kepatuhan Privasi Data AI dan PII

Diterbitkan: 2022-11-16

Karena AI menjadi lebih umum dalam kehidupan kita sehari-hari, bisnis di seluruh dunia harus terjun ke lanskap tugas hukum dan peraturan yang meningkat terkait dengan penggunaan sistem AI.

Pada November 2022, ICO mengumumkan serangkaian pedoman tentang bagaimana organisasi dapat menggunakan AI dan data pribadi baik secara etis maupun legal, sesuai dengan kerangka kerja perlindungan data Inggris Raya.

Dilengkapi dengan sejumlah pertanyaan umum tentang penggunaan AI dan data pribadi, seperti apakah penilaian dampak harus dilakukan, apakah output harus mematuhi prinsip akurasi, dan apakah organisasi memerlukan otorisasi untuk menganalisis data pribadi.

Panduan ini menjelaskan bagaimana aturan perlindungan data berlaku untuk inisiatif AI sambil mengawasi banyak keuntungan yang mungkin diberikan oleh proyek tersebut, membantu organisasi mengurangi risiko yang muncul secara khusus dari sudut pandang perlindungan data.

Baca lebih lanjut tentang arah ini di situs web ICO.

Cara Mengumpulkan Data AI Secara Legal

Pedoman ICO mengakui bahwa meskipun memanfaatkan AI memiliki keuntungan yang tidak dapat disangkal, AI juga dapat membahayakan kebebasan dan hak orang ketika perlindungan data tidak dianggap serius. Untuk tujuan ini, panduan mereka memberikan kerangka kerja yang berguna tentang bagaimana perusahaan harus mengevaluasi dan memitigasi risiko ini.

Panduan ini mencakup delapan elemen strategis yang dapat diadopsi bisnis untuk meningkatkan cara mereka menangani AI dan data pribadi:

1. Gunakan Prosedur Berbasis Risiko Saat Membuat dan Menerapkan AI

Saat menggunakan AI, Anda harus menentukan apakah perlu untuk situasi tersebut. AI biasanya dianggap sebagai teknologi berisiko tinggi ketika berinteraksi dengan informasi pribadi. Sebuah perusahaan membutuhkan data dalam jumlah besar untuk meningkatkan sistemnya agar berfungsi dengan baik dan data kami mungkin dijual kembali, tanpa mengetahui siapa yang menerimanya atau bagaimana data itu digunakan.

Dengan demikian, mungkin ada pengganti yang lebih efisien dan menjaga privasi.

Seperti yang dinyatakan ICO, Anda harus mengevaluasi risiko dan menerapkan perlindungan organisasi dan teknis yang diperlukan untuk menguranginya. Secara realistis, tidak mungkin untuk sepenuhnya menghilangkan semua risiko, dan undang-undang perlindungan data tidak mengamanatkan Anda melakukannya, tetapi pastikan Anda:

Terapkan penilaian dampak perlindungan data (DPIA) untuk menentukan dan mengurangi risiko tidak mematuhi undang-undang perlindungan data yang ditimbulkan oleh penggunaan AI Anda, serta mencegah bahaya bagi individu
Carilah masukan dari banyak kelompok yang berpotensi berdampak pada penggunaan AI Anda untuk lebih memahami bahayanya

Ketika DPIA diwajibkan secara hukum, Anda harus melakukannya sebelum menerapkan sistem AI, dan memperkenalkan perlindungan organisasi dan teknis yang tepat yang akan membantu mengurangi atau mengelola risiko yang Anda temukan. Sebelum pemrosesan apa pun terjadi, Anda diwajibkan secara hukum untuk berbicara dengan ICO jika Anda mengidentifikasi risiko yang tidak dapat Anda kurangi secara memadai.

2. Pertimbangkan Bagaimana Anda Akan Menjelaskan Keputusan Sistem AI Anda kepada Mereka yang Akan Terkena Dampaknya

Menurut ICO, menjelaskan bagaimana AI menghasilkan keputusan dan hasil tertentu dapat menjadi tantangan, terutama ketika menyangkut pembelajaran mesin dan algoritme yang rumit - tetapi itu tidak berarti Anda tidak boleh memberikan penjelasan kepada orang-orang.

Inilah yang direkomendasikan ICO:

Bersikaplah jelas, terbuka, dan transparan kepada orang-orang tentang bagaimana dan mengapa Anda mengumpulkan dan menggunakan data pribadi mereka
Pikirkan tentang pembenaran apa yang diperlukan di lingkungan tempat sistem AI Anda akan digunakan
Pertimbangkan bagaimana orang cenderung memahami penjelasan Anda
Analisis kemungkinan efek dari pilihan sistem AI Anda untuk menentukan seberapa teliti seharusnya pembenaran Anda
Pertimbangkan bagaimana permintaan hak individu akan dikelola

3. Hanya Kumpulkan Informasi yang Diperlukan untuk Membuat Sistem AI Anda

ICO menyarankan untuk membatasi pengumpulan data jika memungkinkan. Ini bukan untuk mengatakan bahwa data tidak dapat dikumpulkan - ini hanya berarti bahwa data dikelola dengan cara yang memenuhi standar GDPR.

Anda harus:

Pastikan bahwa informasi pribadi yang Anda gunakan akurat, memadai, relevan, dan terbatas - ini akan berbeda tergantung pada konteks di mana Anda menggunakan AI
Pikirkan metode perlindungan privasi mana yang cocok untuk situasi di mana Anda menggunakan AI untuk memproses data pribadi

Prinsip akurasi untuk perlindungan data tidak mengharuskan sistem AI 100% benar. Sebaliknya, organisasi harus memastikan bahwa prosedur tersedia untuk menjamin keadilan dan akurasi hasil secara keseluruhan.

4. Beri Label Risiko Bias dan Diskriminasi pada Tahap Awal

Ada beberapa cara di mana sistem AI dapat menjadi bias atau mengarah pada diskriminasi. Ini dapat membuat kumpulan data yang tidak akurat dan tidak seimbang, dan mengatasi masalah ini lebih awal merupakan aspek penting dari kepatuhan privasi data.

ICO merekomendasikan agar Anda:

Tentukan apakah data yang Anda kumpulkan akurat, representatif, andal, relevan, dan terkini untuk komunitas atau kelompok orang berbeda yang terpengaruh oleh sistem AI
Tentukan apakah penilaian yang dibuat oleh sistem AI dapat diterima dengan memetakan potensi implikasi dan hasil untuk berbagai kelompok

5. Investasikan Waktu dan Sumber Daya untuk Mempersiapkan Data dengan Benar

Seperti yang telah disebutkan, AI hanya dapat diandalkan seperti data yang dikumpulkannya. Oleh karena itu, organisasi perlu memastikan bahwa sumber daya dan waktu yang cukup digunakan untuk mengumpulkan data yang diperlukan.

ICO merekomendasikan bahwa:

Dalam hal pelabelan data yang melibatkan karakteristik yang dilindungi atau data kategori khusus, harus ada kriteria dan jalur akuntabilitas yang ditentukan
Untuk mempertahankan konsistensi dan membantu dalam situasi yang tidak biasa, Anda harus melibatkan beberapa pemberi label manusia

6. Pastikan Sistem AI Anda Aman

Sistem AI berpotensi meningkatkan risiko atau memperkenalkan kerentanan keamanan baru.

Dalam hal langkah-langkah keamanan, tidak ada pendekatan yang cocok untuk semua. Namun, Anda harus mematuhi hukum dan menerapkan perlindungan organisasi dan teknis yang tepat untuk memberikan tingkat keamanan yang sebanding dengan risiko apa pun yang teridentifikasi.

Gunakan Kecerdasan Buatan dengan cara yang aman

ICO merekomendasikan agar bisnis:

Lakukan penilaian risiko keamanan yang mencakup inventaris saat ini dari semua sistem AI sehingga Anda bisa mendapatkan konsep umum di mana potensi insiden mungkin terjadi
Lakukan model debugging, yang merupakan proses mengidentifikasi dan menangani kekurangan dalam model Anda - baik oleh auditor keamanan internal atau auditor keamanan eksternal
Terapkan sistem pemantauan proaktif, dan selidiki setiap penyimpangan

7. Tinjauan Manusia terhadap Keputusan AI Harus Bermakna

Harus ditentukan sejak awal apakah keluaran digunakan untuk membantu pembuat keputusan manusia, atau apakah keputusan sepenuhnya otonom, tergantung pada tujuan AI.

ICO menekankan bahwa subjek data memiliki hak untuk mengetahui apakah pilihan yang melibatkan data mereka dibuat sepenuhnya sendiri atau dengan bantuan AI. Pedoman tersebut juga menyarankan bahwa mereka harus dinilai secara bermakna ketika mereka digunakan untuk membantu seseorang.

Untuk memastikan bahwa ulasan ini bermakna, peninjau harus:

Cukup terampil untuk mengevaluasi dan mempertanyakan hasil sistem AI
Mampu menjungkirbalikkan penilaian otomatis
Sadar akan faktor tambahan yang tidak tercermin dalam data masukan

Ketika keputusan memiliki dampak hukum atau substansial lainnya, subjek data memiliki hak berdasarkan GDPR untuk tidak tunduk padanya. Mereka juga memiliki hak untuk mengharapkan informasi yang berarti tentang alasan di balik keputusan tersebut.

Akibatnya, meskipun dinyatakan sebagai rekomendasi, tinjauan manusia tetap diperlukan saat AI membuat keputusan penting.

8. Berkonsultasi dengan Pemasok Eksternal untuk Memastikan Penggunaan AI Anda Sesuai

Membeli sistem AI dari pihak ketiga tidak membebaskan Anda dari tanggung jawab untuk mematuhi undang-undang perlindungan data. Dalam kebanyakan kasus, Anda akan menjadi pengontrol data, yang memutuskan cara menerapkan sistem AI.

Akibatnya, Anda harus dapat menunjukkan bagaimana sistem AI mematuhi undang-undang perlindungan data.

ICO menyarankan agar bisnis:

Pilih pemasok yang sesuai dengan melakukan uji tuntas sebelum pengadaan apa pun
Terlibat dengan penyedia eksternal untuk melakukan evaluasi sebelum penerapan (seperti DPIA)
Menetapkan peran dan tugas dengan pemasok eksternal dan mencatatnya (misalnya, siapa yang akan menanggapi permintaan hak individu atau melakukan pemeriksaan keamanan)
Minta dokumentasi dari pemasok eksternal yang menunjukkan bahwa mereka menghormati “privasi berdasarkan desain”
Pertimbangkan apakah ada data pribadi yang akan ditransfer secara internasional - jika demikian, pastikan hak privasi orang dihormati

GDPR dan AI

Meskipun AI memiliki potensi untuk menjadi alat yang berharga, seiring perkembangannya, AI juga menimbulkan risiko terhadap keamanan data dan privasi serta masalah regulasi.

Sulit untuk menghindari mengungkit Peraturan Perlindungan Data Umum (GDPR) saat membahas aturan kecerdasan buatan (AI). Data adalah komponen penting untuk aplikasi AI, dan GDPR memiliki pengaruh terbesar di seluruh dunia dalam hal menciptakan pasar data yang lebih teratur.

Lihat GDPR dan pusat privasi data kami, yang mendalami regulasi dan kepatuhan.