Nowe wytyczne ICO dotyczące zgodności danych AI i danych PII

Jak legalnie zbierać dane AI

Wytyczne ICO potwierdzają, że chociaż wykorzystanie sztucznej inteligencji ma niezaprzeczalne zalety, może również zagrażać wolnościom i prawom ludzi, gdy ochrona danych nie jest traktowana poważnie. W tym celu ich wytyczne zapewniają użyteczne ramy dla tego, jak przedsiębiorstwa powinny oceniać i ograniczać te zagrożenia.

Przewodnik obejmuje osiem strategicznych elementów, które firmy mogą zastosować, aby poprawić sposób obsługi sztucznej inteligencji i danych osobowych:

1. Podczas tworzenia i wdrażania sztucznej inteligencji stosuj procedurę opartą na ryzyku

Podczas korzystania z AI należy ustalić, czy jest to konieczne w danej sytuacji. Sztuczna inteligencja jest zwykle uważana za technologię wysokiego ryzyka, gdy wchodzi w interakcję z danymi osobowymi. Firma potrzebuje dużych ilości danych, aby ulepszyć swoje systemy, aby działały poprawnie, a nasze dane mogą zostać odsprzedane, nie wiedząc, kto je otrzymuje ani jak są wykorzystywane.

W związku z tym może istnieć bardziej wydajny i chroniący prywatność substytut.

Jak stwierdza ICO, należy ocenić ryzyko i wprowadzić niezbędne zabezpieczenia organizacyjne i techniczne, aby je zmniejszyć. Realistycznie rzecz biorąc, niemożliwe jest całkowite wyeliminowanie wszystkich zagrożeń, a przepisy o ochronie danych nie wymagają tego, ale upewnij się, że:

• Zastosuj ocenę wpływu na ochronę danych (DPIA), aby określić i zmniejszyć ryzyko nieprzestrzegania przepisów o ochronie danych, które stwarza korzystanie z sztucznej inteligencji, a także zapobiegać szkodom wyrządzonym osobom
• Poszukaj informacji od wielu grup, na które potencjalnie może mieć wpływ korzystanie z sztucznej inteligencji, aby lepiej zrozumieć niebezpieczeństwo

Jeśli DPIA jest prawnie wymagana, musisz ją przeprowadzić przed wdrożeniem systemu sztucznej inteligencji oraz wprowadzić odpowiednie zabezpieczenia organizacyjne i techniczne, które pomogą zmniejszyć wykryte ryzyko lub zarządzać nim. Przed jakimkolwiek przetwarzaniem jesteś prawnie zobowiązany do rozmowy z ICO, jeśli zidentyfikujesz ryzyko, którego nie jesteś w stanie odpowiednio złagodzić.

2. Zastanów się, jak wyjaśnisz decyzje swojego systemu AI tym, których to dotyczy

Według ICO wyjaśnienie, w jaki sposób sztuczna inteligencja generuje określone decyzje i wyniki, może być trudne, zwłaszcza jeśli chodzi o uczenie maszynowe i skomplikowane algorytmy – ale to nie znaczy, że nie należy udzielać ludziom wyjaśnień.

Oto zalecenia ICO:

• Mów jasno, otwarcie i przejrzyście o tym, jak i dlaczego gromadzisz i wykorzystujesz ich dane osobowe
• Zastanów się, jakie uzasadnienie jest wymagane w środowisku, w którym będzie używany Twój system AI
• Zastanów się, jak ludzie mogą postrzegać twoje wyjaśnienie
• Analizuj prawdopodobne skutki wyborów dokonanych przez system sztucznej inteligencji, aby określić, jak dokładne powinno być uzasadnienie
• Zastanów się, w jaki sposób będą zarządzane indywidualne wnioski o prawa

3. Zbierz tylko informacje niezbędne do stworzenia własnego systemu sztucznej inteligencji

ICO zaleca ograniczenie gromadzenia danych, gdy tylko jest to możliwe. Nie oznacza to, że dane nie mogą być gromadzone – oznacza to jedynie, że danymi należy zarządzać w sposób zgodny ze standardami RODO.

Powinieneś:

• Upewnij się, że dane osobowe, których używasz, są dokładne, adekwatne, istotne i ograniczone — będzie się to różnić w zależności od kontekstu, w którym korzystasz z AI
• Zastanów się, które metody ochrony prywatności są odpowiednie w sytuacji, w której wykorzystujesz sztuczną inteligencję do przetwarzania danych osobowych

Zasada dokładności ochrony danych nie wymaga, aby system AI był w 100% poprawny. Zamiast tego organizacje powinny zapewnić wdrożenie procedur gwarantujących rzetelność i ogólną dokładność wyników.

4. Oznacz ryzyko uprzedzeń i dyskryminacji na wczesnym etapie

Istnieją sposoby, w jakie system sztucznej inteligencji może być stronniczy lub prowadzić do dyskryminacji. Może to prowadzić do powstania niedokładnych, niezrównoważonych zbiorów danych, a wczesne zajęcie się tym problemem jest ważnym aspektem przestrzegania zasad ochrony danych.

ICO zaleca:

• Określ, czy zbierane dane są dokładne, reprezentatywne, wiarygodne, istotne i aktualne dla społeczności lub różnych grup osób, na które ma wpływ system sztucznej inteligencji
• Określ, czy oceny dokonane przez system sztucznej inteligencji są akceptowalne, mapując potencjalne implikacje i wyniki dla różnych grup

5. Zainwestuj czas i zasoby we właściwe przygotowanie danych

Jak już wspomniano, sztuczna inteligencja jest tak niezawodna, jak dane, które gromadzi. Dlatego organizacje muszą upewnić się, że na zebranie niezbędnych danych poświęcono wystarczającą ilość zasobów i czasu.

ICO zaleca, aby:

• Jeśli chodzi o etykietowanie danych zawierających cechy chronione lub dane szczególnej kategorii, należy określić kryteria i zakres odpowiedzialności
• Aby zachować spójność i pomóc w nietypowych sytuacjach, należy zaangażować wielu ludzi etykietujących

6. Upewnij się, że Twój system sztucznej inteligencji jest bezpieczny

Systemy sztucznej inteligencji mogą potencjalnie zwiększać ryzyko lub wprowadzać nowe luki w zabezpieczeniach.

Jeśli chodzi o środki bezpieczeństwa, nie ma uniwersalnego podejścia. Należy jednak przestrzegać przepisów prawa i stosować odpowiednie zabezpieczenia organizacyjne i techniczne, aby zapewnić poziom bezpieczeństwa proporcjonalny do zidentyfikowanych zagrożeń.

ICO zaleca firmom:

• Przeprowadź ocenę ryzyka bezpieczeństwa, która obejmuje bieżącą inwentaryzację wszystkich systemów AI, aby uzyskać ogólne pojęcie o tym, gdzie mogą wystąpić potencjalne incydenty
• Wykonaj debugowanie modelu, czyli proces identyfikowania i usuwania błędów w Twoim modelu — przez wewnętrznego audytora bezpieczeństwa lub zewnętrznego audytora bezpieczeństwa
• Wdrażaj proaktywny system monitoringu i zwracaj uwagę na wszelkie nieprawidłowości

7. Recenzje decyzji AI przez ludzi powinny mieć znaczenie

Należy wcześnie ustalić, czy wyniki są wykorzystywane do pomocy człowiekowi w podejmowaniu decyzji, czy też decyzje są w pełni autonomiczne, w zależności od celu sztucznej inteligencji.

ICO podkreśla, że ​​osoby, których dane dotyczą, mają prawo wiedzieć, czy wyborów dotyczących ich danych dokonano całkowicie samodzielnie, czy z pomocą sztucznej inteligencji. Wytyczne sugerują również, że powinny być oceniane w sposób znaczący, gdy są wykorzystywane do pomocy osobie.

Aby upewnić się, że te recenzje są znaczące, recenzentami powinni być:

• Wystarczająco wykwalifikowany, aby oceniać i kwestionować wyniki systemu AI
• Zdolny do obalenia automatycznego wyroku
• Świadomość dodatkowych czynników, które nie znalazły odzwierciedlenia w danych wejściowych

Gdy decyzja ma skutki prawne lub inne istotne skutki, osoby, których dane dotyczą, mają zgodnie z RODO prawo do tego, by jej nie podlegać. Mają również prawo oczekiwać sensownych informacji na temat uzasadnienia decyzji.

W rezultacie, nawet jeśli jest to zalecenie, weryfikacja przez człowieka jest konieczna, gdy sztuczna inteligencja podejmuje ważne decyzje.

8. Skonsultuj się z dostawcą zewnętrznym, aby upewnić się, że używasz sztucznej inteligencji we właściwy sposób

Zakup systemu sztucznej inteligencji od strony trzeciej nie zwalnia Cię z odpowiedzialności za przestrzeganie przepisów o ochronie danych. W większości przypadków będziesz administratorem danych, decydującym o sposobie wdrożenia systemu AI.