A mesterséges intelligencia alkalmazása új adatvédelmi kérdéseket vet fel: milyen személyes adatok kerülnek az AI rendszerekbe, milyen célból és milyen jogalapon történik az adatkezelés, ki fér hozzá az adatokhoz, hová továbbítják azokat, és hogyan kezeli ezeket az AI szolgáltató?
A GDPR és az AI Act együttes alkalmazása az AI rendszerek használata során olyan adatvédelmi követelményeket támaszt, amelyeknek a hagyományos adatkezelési folyamatok mellett is meg kell felelni.
GDPR és AI Act tanácsadásunk során feltárjuk az AI használatához kapcsolódó adatkezeléseket, feltérképezzük az adatáramlásokat, értékeljük a jogi és adatvédelmi kockázatokat, dokumentáljuk a szükséges megfelelőségi intézkedéseket, majd támogatjuk azok gyakorlati bevezetését.
A szolgáltatás egyes elemei önállóan is igénybe vehetők, vagy integrált folyamatként is megvalósíthatók.
Az AI alkalmazása során gyakran nem egyértelmű, hogy milyen személyes adatok kerülnek egy rendszerbe, mi történik ezekkel az adatokkal, és milyen adatvédelmi követelmények vonatkoznak az adott használatra.
Tipikus kérdések:
Felmérjük a szervezet által használt AI rendszereket és az azokhoz kapcsolódó adatkezeléseket, feltérképezzük, milyen személyes és különleges adatok kerülnek az AI rendszerekbe, honnan származnak, milyen üzleti folyamatokban használják őket, milyen külső AI szolgáltatók vesznek részt az adatkezelésben, és milyen adatvédelmi felelősségi körök vannak meghatározva.
Eredmények: AI adatvédelmi helyzetfelmérés (AI Privacy Assessment), AI rendszerek és adatkezelési folyamatok nyilvántartása (AI Data Inventory), valamint AI adatáramlási összefoglaló (AI Data Flow Overview).
A szervezet AI-hoz kapcsolódó adatkezelési gyakorlatát összevetjük a GDPR követelményeivel, különös tekintettel az adatkezelés jogalapjára, az átláthatóságra, az érintetti jogokra, az adatminimalizálásra, az adatbiztonságra, az adatfeldolgozókra és az AI szolgáltatók megfelelőségére, valamint a GDPR és az AI Act kapcsolódó adatvédelmi követelményeire.
Eredmények: GDPR réselemzési jelentés (GDPR Gap Analysis Report), hiányosságlista és prioritásokat tartalmazó intézkedési terv.
Felmérjük, hogy az adott AI alapú adatkezeléshez szükséges-e adatvédelmi hatásvizsgálat (DPIA), és ha igen, elkészítjük a GDPR 35. cikke szerinti teljes DPIA-t, amelyben értékeljük az adatkezelés célját, jogalapját, szükségességét és arányosságát, az érintettekre jelentett adatvédelmi kockázatokat és azok csökkentésének lehetőségeit. A DPIA elkészítése során együttműködünk a szervezet adatvédelmi tisztviselőjével (Data Protection Officer, DPO), illetve szükség esetén előkészítő anyagokat biztosítunk számára.
Eredmények: DPIA jelentés (DPIA Report) és a kapcsolódó intézkedési terv.
A meglévő ROPA-t kiegészítjük az AI-hoz kapcsolódó adatkezelésekkel, vagy szükség esetén kialakítjuk a GDPR 30. cikke szerinti nyilvántartást. Feltérképezzük a személyes adatok AI rendszereken belüli életútját, az adatkezelési pontokat, az adatmozgásokat, a külső szolgáltatókat és az adattovábbításokat.
Eredmények: adatkezelési tevékenységek nyilvántartása (Records of Processing Activities, ROPA), AI adatáramlási térkép (AI Data Flow Map) és adatátviteli mátrix (Data Transfer Matrix).
Megvizsgáljuk a ChatGPT, Copilot, Gemini és más generatív AI megoldások használatához kapcsolódó adatkezeléseket, különös tekintettel a bevitt és előállított adatokra, az AI szolgáltató adatvédelmi gyakorlatára, az adatfeldolgozási és adattovábbítási kérdésekre, valamint a szervezeten belüli AI használat adatvédelmi szabályozására.
Eredmények: Generatív AI adatvédelmi felülvizsgálati jelentés, valamint a szükséges adatvédelmi kontrollokat és intézkedéseket tartalmazó javaslat.
Támogatjuk a kialakított adatvédelmi követelmények és folyamatok gyakorlati bevezetését, beleértve az AI adatkezelési folyamatok és kontrollok kialakítását, a szükséges dokumentáció bevezetését, a munkatársak oktatását és az AI szolgáltatók adatvédelmi megfelelőségének nyomon követését.
Eredmények: Bevezetési terv, oktatási anyagok és megvalósítási jelentés.
A szolgáltatás eredményeként az ügyfél nem csupán egy GDPR réselemzést vagy egy dokumentumot kap, hanem áttekinthető képet az AI használatához kapcsolódó adatkezelésekről, azonosított adatvédelmi kockázatokról és a szükséges megfelelőségi intézkedésekről.
A kialakított rendszer segítségével:
Az AI rendszerek adatkezelése nem választható el a GDPR követelményeitől. Egy AI rendszer bevezetése vagy új célú használata új adatkezelési folyamatot, új adatáramlást vagy új adatvédelmi kockázatot jelenthet.
Ezért az AI megfelelőség kialakításakor nem elegendő kizárólag az AI rendszer technikai vagy az AI Act szerinti követelményeit vizsgálni. Az adatkezelés jogszerűségét, az érintettek jogainak védelmét és az adatvédelmi kockázatokat is rendszerszinten kell kezelni.
Jogi és adatvédelmi szakértelmünkre építve ebben nyújtunk gyakorlati támogatást a szervezetek számára.
Ha a szervezet AI rendszereket használ, és ezek személyes adatokat kezelnek, érdemes megvizsgálni az adatvédelmi megfelelést. Különösen fontos ez generatív AI, automatizált döntéshozatal, profilalkotás, biometrikus vagy különleges adatok kezelése, illetve külső AI szolgáltatók alkalmazása esetén.
Ez nem válaszolható meg általánosságban igen vagy nem válasszal. A konkrét AI szolgáltatás, a kezelt adatok, az adatkezelés célja és jogalapja, valamint a szolgáltató adatkezelési feltételei alapján kell megvizsgálni, hogy az adott használat megfelel-e a GDPR követelményeinek.
Nem. A DPIA kötelezettsége az adatkezelés jellegétől és az érintettek jogaira és szabadságaira jelentett kockázattól függ. Felmérjük, hogy az adott AI alapú adatkezelés esetében szükséges-e DPIA, és ha igen, elkészítjük a teljes adatvédelmi hatásvizsgálatot.
Ha az AI rendszer személyes adatokat kezel, az ehhez kapcsolódó adatkezelési tevékenységeket a GDPR szerinti nyilvántartásban is megfelelően dokumentálni kell. Az AI adatfeltérképezés segítségével láthatóvá tesszük, milyen adatok honnan érkeznek, milyen rendszereken és szolgáltatókon keresztül haladnak, és hol kerülnek tárolásra vagy továbbításra.
Igen, az AI szolgáltató szerepe és adatkezelési gyakorlata az AI-hoz kapcsolódó adatvédelmi megfelelőség fontos része lehet. Megvizsgáljuk többek között az adatfeldolgozói kapcsolatot, az adattovábbításokat és a szolgáltató által biztosított adatvédelmi garanciákat.
Nem. A szolgáltatás modulárisan is igénybe vehető. Kérhető például kizárólag egy AI rendszer adatvédelmi felülvizsgálata, DPIA elkészítése, az AI adatkezelések ROPA-ba történő beépítése vagy egy meglévő GDPR rendszer AI szempontú réselemzése. A teljes szolgáltatási folyamat ugyanakkor a helyzetfelméréstől a gyakorlati bevezetésig végig tudja támogatni a szervezetet.
