Az AI rendszerek vállalati alkalmazása egyre több olyan folyamatot érint, amelyben személyes adatok kezelése is történik. Ilyen lehet például egy AI alapú ügyfélszolgálati rendszer, HR megoldás, marketingalkalmazás, dokumentumelemző rendszer vagy akár egy generatív AI eszköz használata a mindennapi munkában.
Ilyen esetekben nem elegendő kizárólag azt vizsgálni, hogy az adott AI rendszer megfelel-e az AI Act követelményeinek. Ha személyes adatok kezelése történik, a GDPR előírásait is figyelembe kell venni.
Az AI Act és a GDPR nem egymást helyettesítő szabályozások. Egymás mellett alkalmazandók, és az AI Act kifejezetten fenntartja az uniós adatvédelmi szabályok alkalmazását a személyes adatok kezelése esetén.
A GDPR középpontjában a személyes adatok védelme és az érintettek jogainak biztosítása áll. Az adatkezelés jogszerűsége, az átláthatóság, az adatminimalizálás, az adatbiztonság és az érintettek jogai mind olyan szempontok, amelyeket AI alkalmazása esetén is figyelembe kell venni.
Az AI Act ezzel szemben az AI rendszerek biztonságos, megbízható és az alapvető jogokat tiszteletben tartó alkalmazásának kereteit határozza meg. A rendelet kockázatalapú megközelítést alkalmaz, és az AI rendszerek különböző kategóriáihoz eltérő követelményeket kapcsol.
A két szabályozás egyik fontos közös területe a személyes adatok kezelése.
Ha például egy vállalat AI rendszert használ munkavállalók, ügyfelek vagy más természetes személyek adatainak elemzésére, akkor egyszerre merülhetnek fel AI Act és GDPR szerinti követelmények.
Ezért az AI megfelelés során nem célszerű a két szabályozást egymástól függetlenül kezelni. A megfelelő megközelítés az, hogy az AI rendszer és az adatkezelés követelményeit együtt vizsgáljuk.
Az AI rendszerek alkalmazásánál különösen fontos kérdés az adatvédelmi kockázatok értékelése.
A GDPR 35. cikke alapján adatvédelmi hatásvizsgálatot (DPIA – Data Protection Impact Assessment) kell végezni, ha az adatkezelés – különösen új technológiák alkalmazása esetén – valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve.
Az AI alkalmazása önmagában nem jelenti automatikusan azt, hogy minden esetben DPIA szükséges. A döntéshez az adott adatkezelést és annak kockázatait kell értékelni.
AI környezetben azonban érdemes már a rendszer tervezésekor feltenni a kérdést: milyen hatással lehet az alkalmazás az érintettekre, és jelent-e az adatkezelés olyan kockázatot, amely miatt adatvédelmi hatásvizsgálatra van szükség?
Ez különösen lényeges lehet olyan alkalmazásoknál, amelyek természetes személyek értékelését, profilalkotását, megfigyelését vagy nagy mennyiségű személyes adat elemzését végzik.
Az AI rendszerek adatvédelmi megfelelésének másik fontos eleme a ROPA (Records of Processing Activities), vagyis az adatkezelési tevékenységek nyilvántartása.
A ROPA lényegében az adatkezelések térképe: megmutatja, hogy a szervezet milyen személyes adatokat, milyen célból és milyen folyamatokban kezel.
AI alkalmazása esetén ez különösen hasznos lehet, hiszen egy új AI eszköz bevezetése új adatkezelési folyamatokat vagy meglévő folyamatok jelentős változását eredményezheti.
Érdemes ezért nemcsak azt dokumentálni, hogy milyen AI eszközt használ a szervezet, hanem azt is, hogy az adott rendszer milyen személyes adatokhoz fér hozzá, milyen célból használja azokat, és milyen szerepet tölt be az adatkezelési folyamatban.
A ROPA megfelelő vezetése emellett a további adatvédelmi kockázatok azonosítását és a GDPR szerinti megfelelés igazolását is támogatja.
Az AI bevezetésekor gyakran külön projektként kezelik az AI Actnek való megfelelést és az adatvédelmet. A gyakorlatban azonban ez könnyen vezethet hiányosságokhoz.
Egy AI rendszer megfelelőségének értékelése során ugyanis több, egymással összefüggő kérdésre kell választ adni:
A megfelelés ezért nem egy egyszeri ellenőrzés, hanem az AI rendszer teljes életciklusát érintő folyamat.
A GDPR és az AI Act együttes alkalmazása nem azt jelenti, hogy az adatvédelem és a szabályozási követelmények akadályozzák az AI használatát.
Éppen ellenkezőleg: megfelelően kialakított folyamatokkal a szervezet már az AI rendszer kiválasztásakor és bevezetésekor azonosíthatja a kockázatokat, meghatározhatja a szükséges kontrollokat, és dokumentálhatja a megfelelőséget.
A GDPR az érintettek személyes adatainak és jogainak védelmét, az AI Act pedig a biztonságos, megbízható és alapvető jogokat tiszteletben tartó AI alkalmazását helyezi a középpontba.
A két szabályozás együtt ezért egy olyan megközelítést támogat, amelynek középpontjában a tudatos, felelős és megbízható AI használat áll.
Szerző: dr. Papp Flóra Mária, AI szabályozási és adatvédelmi tanácsadó
Az illusztráció generatív AI alkalmazásával készült.
