Cele mai importante riscuri GDPR in utilizarea inteligentei artificiale

Inteligenta artificiala este deja utilizata in activitatea de zi cu zi a multor companii. Platforme AI, asistenti virtuali, chatbot-uri, instrumente de generare si analiza a documentelor, solutii integrate in aplicatiile de business sau agenti AI capabili sa execute automat anumite sarcini pot aduce beneficii importante de productivitate.

In acelasi timp, utilizarea acestor instrumente poate expune organizatia la riscuri semnificative privind protectia datelor cu caracter personal. Introducerea intr-un instrument AI a unui document, a unei conversatii, a unui CV, a unor date despre un client sau a altor informatii care contin date personale reprezinta o situatie care trebuie analizata din perspectiva GDPR.

In functie de circumstante, o utilizare necorespunzatoare a AI poate conduce la incalcarea principiilor privind protectia datelor, la divulgarea neautorizata a unor informatii, la incidente de securitate, la sanctiuni administrative si, in anumite situatii, la solicitarea unor despagubiri de catre persoanele afectate.

Din experienta GDPR Center, una dintre problemele importante este ca utilizarea AI apare adesea inaintea regulilor interne. Angajatii descopera instrumente care le pot simplifica munca si incep sa le utilizeze fara ca organizatia sa fi stabilit ce date pot fi introduse, ce instrumente sunt aprobate si ce informatii trebuie excluse.

Riscurile, pe scurt

Cele mai importante riscuri GDPR asociate utilizarii inteligentei artificiale pot fi grupate in cateva categorii:

1. Introducerea datelor personale in instrumente AI fara o evaluare prealabila

Un angajat poate introduce intr-un chatbot sau intr-o platforma AI un document care contine nume, adrese, date de contact, informatii despre clienti, angajati sau parteneri, fara sa analizeze implicatiile acestei actiuni.

2. Utilizarea unor instrumente AI neautorizate de organizatie

Compania poate ajunge sa aiba ceea ce este cunoscut drept „Shadow AI”: aplicatii si servicii AI utilizate de angajati fara sa fie inventariate sau aprobate oficial.

3. Pierderea controlului asupra datelor introduse in platformele AI

Atunci cand angajatii introduc date intr-o platforma AI, organizatia trebuie sa stie ce se intampla cu aceste informatii dupa transmiterea lor. Este necesara analizarea conditiilor de prelucrare stabilite de operatorul platformei AI, a perioadei de pastrare, a modului in care datele pot fi utilizate si, dupa caz, a eventualelor transferuri internationale.

4. Utilizarea datelor intr-un scop diferit de cel pentru care au fost colectate

Datele colectate pentru relatia cu un client, de exemplu, nu pot fi utilizate automat pentru orice alt scop doar pentru ca tehnologia permite acest lucru.

5. Lipsa transparentei

Persoanele vizate trebuie sa poata intelege modul in care datele lor sunt utilizate, inclusiv atunci cand sunt implicate tehnologii de inteligenta artificiala si procese automatizate.

6. Decizii automatizate si profilare

Utilizarea AI pentru recrutare, evaluarea angajatilor, analiza clientilor sau alte decizii care produc efecte asupra persoanelor poate ridica probleme suplimentare din perspectiva GDPR.

7. Riscuri de securitate

O solutie AI configurata necorespunzator poate crea noi puncte de acces la informatiile organizatiei si poate creste riscul de divulgare, acces neautorizat sau pierdere a datelor.

8. Eroarea umana

Chiar si atunci cand tehnologia este configurata corect, utilizarea necorespunzatoare de catre angajati poate compromite masurile de protectie implementate de organizatie.

Ce poate face organizatia?

Reducerea riscurilor nu presupune interzicerea inteligentei artificiale. Dimpotriva, obiectivul ar trebui sa fie utilizarea acesteia intr-un cadru controlat.

Organizatia ar trebui sa inceapa cu:

• inventarierea instrumentelor AI utilizate;
• identificarea datelor care sunt introduse in aceste instrumente;
• stabilirea instrumentelor aprobate si a celor interzise;
• evaluarea furnizorilor si a conditiilor contractuale;
• stabilirea unor reguli interne privind utilizarea AI;
• instruirea angajatilor;
• evaluarea riscurilor pentru proiectele AI care implica date personale;
• monitorizarea periodica a modului in care instrumentele sunt utilizate.

In cazul proiectelor care pot genera un risc ridicat pentru drepturile si libertatile persoanelor, trebuie analizata si necesitatea realizarii unei evaluari de impact asupra protectiei datelor (DPIA).

Inteligenta artificiala poate aduce beneficii importante organizatiilor, insa aceste beneficii nu trebuie obtinute prin renuntarea la controlul asupra datelor.

Un instrument AI poate fi foarte util pentru un angajat, dar aceeasi utilizare poate genera un risc pentru organizatie daca datele introduse nu sunt protejate corespunzator, daca furnizorul nu a fost evaluat sau daca nu exista reguli interne privind utilizarea tehnologiei.

Din experienta GDPR Center, primul pas nu este intotdeauna alegerea celei mai bune solutii AI, ci intelegerea modului in care IA este deja utilizata in organizatie. Abia dupa identificarea instrumentelor, a datelor si a proceselor implicate pot fi stabilite masuri adecvate de control.

Intr-un mediu in care utilizarea AI evolueaza foarte rapid, organizatiile care isi construiesc din timp o cultura interna privind utilizarea responsabila a inteligentei artificiale vor putea beneficia de avantajele acesteia, reducand in acelasi timp riscurile privind protectia datelor.

Acest articol are caracter exclusiv informativ si nu reprezinta consultanta juridica. Situatia fiecarei organizatii trebuie analizata in functie de tipul de date prelucrate, scopurile utilizarii AI, instrumentele si furnizorii implicati si circumstantele concrete ale prelucrarii. Pentru evaluarea riscurilor, realizarea unei DPIA sau auditarea modului in care organizatia utilizeaza instrumentele de inteligenta artificiala, echipa GDPR Center va poate oferi suport specializat.