Novas Diretrizes da ICO para Conformidade de Privacidade de Dados AI e PII

Como coletar dados de IA legalmente

A orientação da ICO reconhece que, embora a utilização da IA ​​tenha vantagens inegáveis, ela também pode colocar em risco as liberdades e os direitos das pessoas quando a proteção de dados não é levada a sério. Para esse fim, suas orientações fornecem uma estrutura útil de como as empresas devem avaliar e mitigar esses riscos.

O guia abrange oito elementos estratégicos que as empresas podem adotar para melhorar a forma como lidam com IA e dados pessoais:

1. Use um procedimento baseado em risco ao criar e implementar IA

Ao usar AI, você deve determinar se é necessário para a situação. A IA é normalmente considerada uma tecnologia de alto risco quando interage com informações pessoais. Uma empresa requer grandes quantidades de dados para melhorar o funcionamento de seus sistemas e nossos dados podem ser revendidos, sem saber quem os está recebendo ou como estão sendo usados.

Assim, pode haver um substituto mais eficiente e preservador da privacidade.

Como afirma o ICO, você deve avaliar os riscos e implementar as salvaguardas organizacionais e técnicas necessárias para reduzi-los. Realisticamente, é impossível eliminar completamente todos os riscos, e as leis de proteção de dados não exigem que você o faça, mas certifique-se de:

• Empregue uma avaliação de impacto de proteção de dados (DPIA) para determinar e reduzir o risco de não aderir às leis de proteção de dados que seu uso de IA representa, bem como prevenir danos a indivíduos
• Procure informações de muitos grupos que seu uso de IA pode impactar, a fim de entender melhor o perigo

Quando um DPIA é legalmente exigido, você deve conduzi-lo antes de implantar um sistema de IA e introduzir proteções organizacionais e técnicas adequadas que ajudarão a reduzir ou gerenciar os riscos encontrados. Antes que qualquer processamento aconteça, você é legalmente obrigado a falar com o ICO se identificar um risco que não consegue mitigar adequadamente.

2. Considere como você explicará as decisões do seu sistema de IA para aqueles que serão afetados

De acordo com o ICO, pode ser desafiador explicar como a IA gera certas decisões e resultados, especialmente quando se trata de aprendizado de máquina e algoritmos complicados - mas isso não significa que você não deva fornecer explicações às pessoas.

Aqui está o que a ICO recomenda:

• Seja claro, aberto e transparente com as pessoas sobre como e por que você coleta e usa seus dados pessoais
• Pense em qual justificativa é necessária no ambiente em que seu sistema de IA será usado
• Considere como as pessoas provavelmente perceberão sua explicação
• Analise os efeitos prováveis ​​das escolhas do seu sistema de IA para determinar o quão completa sua justificativa deve ser
• Considere como as solicitações de direitos individuais serão gerenciadas

3. Reúna apenas as informações necessárias para criar seu sistema de IA

O ICO aconselha limitar a coleta de dados sempre que possível. Isso não quer dizer que os dados não possam ser coletados - significa apenas que os dados devem ser gerenciados de forma a atender aos padrões do GDPR.

Você deve:

• Certifique-se de que as informações pessoais que você usa sejam precisas, adequadas, relevantes e limitadas - isso varia dependendo do contexto em que você usa a IA
• Pense em quais métodos de preservação da privacidade são adequados para a situação em que você está empregando IA para processar dados pessoais

O princípio de precisão para proteção de dados não exige que um sistema de IA seja 100% correto. Em vez disso, as organizações devem garantir que os procedimentos sejam implementados para garantir a justiça e a precisão geral dos resultados.

4. Rotule os riscos de preconceito e discriminação em um estágio inicial

Existem maneiras pelas quais um sistema de IA pode ser tendencioso ou levar à discriminação. Isso pode criar conjuntos de dados imprecisos e desequilibrados, e resolver esse problema com antecedência é um aspecto importante da conformidade com a privacidade de dados.

O ICO recomenda que você:

• Determine se os dados que você está coletando são precisos, representativos, confiáveis, relevantes e atualizados para a comunidade ou diferentes grupos de pessoas afetadas pelo sistema de IA
• Determine se os julgamentos feitos pelo sistema de IA são aceitáveis, mapeando as possíveis implicações e resultados para vários grupos

5. Invista tempo e recursos para preparar adequadamente os dados

Como já foi mencionado, a IA é tão confiável quanto os dados que coleta. Portanto, as organizações precisam garantir que recursos e tempo suficientes sejam dedicados à coleta dos dados necessários.

A OIC recomenda que:

• Quando se trata de rotulagem de dados que envolvam características protegidas ou dados de categoria especial, devem ser definidos critérios e linhas de responsabilidade
• Para manter a consistência e ajudar em situações incomuns, você deve envolver vários rotuladores humanos

6. Certifique-se de que seu sistema de IA esteja seguro

Os sistemas de IA têm o potencial de aumentar os riscos ou introduzir novas vulnerabilidades de segurança.

Quando se trata de medidas de segurança, não existe uma abordagem única para todos. No entanto, você deve cumprir a lei e implementar as devidas salvaguardas organizacionais e técnicas para fornecer um nível de segurança proporcional aos riscos identificados.

A ICO recomenda que as empresas:

• Realize uma avaliação de risco de segurança que inclua um inventário atual de todos os sistemas de IA para que você possa obter um conceito geral de onde possíveis incidentes podem ocorrer
• Execute a depuração do modelo, que é o processo de identificação e correção de falhas em seu modelo - por um auditor de segurança interno ou um auditor de segurança externo
• Implemente um sistema de monitoramento proativo e verifique quaisquer irregularidades

7. Revisões humanas de decisões de IA devem ser significativas

Deve ser determinado desde o início se as saídas estão sendo utilizadas para ajudar um tomador de decisão humano ou se as decisões são totalmente autônomas, dependendo do objetivo da IA.

O ICO enfatiza que os titulares de dados têm o direito de saber se as escolhas envolvendo seus dados foram feitas inteiramente por conta própria ou com a ajuda de IA. As diretrizes também sugerem que elas devem ser avaliadas de forma significativa quando estão sendo usadas para ajudar uma pessoa.

Para garantir que essas revisões sejam significativas, os revisores devem:

• Hábil o suficiente para avaliar e questionar os resultados do sistema de IA
• Capaz de anular um julgamento automático
• Ciente de fatores adicionais que não foram refletidos nos dados de entrada

Quando uma decisão tem um impacto legal ou outro impacto substancial, os titulares dos dados têm o direito sob o GDPR de não estar sujeitos a ela. Eles também têm o direito de esperar informações significativas sobre o raciocínio por trás da decisão.

Como resultado, mesmo que seja declarado como uma recomendação, a revisão humana é necessária quando a IA está tomando decisões importantes.

8. Consulte um fornecedor externo para garantir que seu uso de IA seja apropriado

A compra de um sistema de IA de terceiros não o isenta da responsabilidade de cumprir a legislação de proteção de dados. Na maioria dos casos, você será o controlador de dados, decidindo como implantar o sistema de IA.