Ч.1.
Если ваш продукт использует ИИ — и обрабатывает персональные данные пользователей — вы обязаны учитывать требования не только EU AI Act, но и GDPR в совокупности.Любая информация, по которой можно прямо или косвенно идентифицировать человека это ПД. Биометрия, эмоции, поведение, голос и даже движения курсора — это тоже персональные данные, если позволяют идентифицировать пользователя.
Примеры, когда ИИ обрабатывает персональные данные:
- Анализ резюме и автоматический отбор кандидатов;
- Биометрическая идентификация (распознавание лиц, голоса);
- Персонализированные рекомендации в маркетинге;
- Прогнозирование поведения пользователей на основе данных.
Если генерируются синтетические данные (новые профили/предположения о человеке,н-р. склонность к кредитному риску, политические взгляды) - это профайлинг и попадает под GDPR + AI Act.
Пример взаимосвязи: Компания (A) обрабатывает ПД в контексте обучения новой системы ИИ - поставщик в соответствии с AI Act и контролер в соответствии с GDPR ( в рамках этой разработки принимает решения о том, как обрабатывать персональные данные в целях обучения системы ИИ). Компания (B), которая приобретает систему ИИ, у компании А и использует ее способом, который подразумевает обработку персональных данных (например, в качестве чат-бота для общения с клиентами или в качестве автоматизированного инструмента подбора персонала) - разработчик в соответствии с AI Act, и отдельный контролер в соответствии с GDPR для обработки своих собственных персональных данных (то есть она не является контролером персональных данных, используемых для первоначального обучения системы ИИ, но является контролером любых данных, которые она использует совместно с ИИ).
Т.е., если вы используете данные подрядчика (например, API OpenAI или AWS Rekognition) и при этом инициируете обработку, интегрируете ИИ в свою систему, передаёте туда пользовательские данные, то вы можете считаться “контролёром” или “совместным контролёром” и применяется AI Act и GDPR. А это уже заключение договора (DPA), проведение DPIA (если high-risk), уведомление и защита прав пользователей.
Требования для ИИ-систем, работающих с персональными данными:
▪️ Высокое качество обучающих данных. Нельзя обучать ИИ на «грязных» или дискриминирующих датасетах.
▪️Пул требований в зависимости от категории уровня риска системы.
▪️Проведение оценки соответствия.
▪️Прозрачность и human oversight. Пользователь должен знать, что данные обрабатываются с помощью ИИ, иметь возможность отказаться предоставлять данные для обучения ИИ, при принятии решения с помощью ИИ иметь возможность обратиться к человеку.Обработка должна совпадать с ожиданиями пользователя (EDPB).
▪️Доступность сервиса лицам до 18 лет, проверка возраста, в большинстве случаев, согласие родителей/законных представителей, повышенные требования к прозрачности, объяснимости и защите.
▪️Data governance framework для систем ИИ с высоким уровнем риска (Chapter 3 AI Act).
Напомню, что анонимизация данных считается обработкой персональных данных по GDPR (EDPB).
Если модель обучена на нелегально полученных данных — это может вызвать ответственность, даже при последующей анонимизации.
Для моделей искусственного интеллекта статьи 5, 24, 25 и 30 GDPR, а также, в случае вероятного высокого риска для прав и свобод субъектов данных, статья 35 GDPR требуют от контролеров надлежащего документирования операций обработки. Это также относится к любой обработке, включая обучение модели ИИ, даже если цель обработки заключается в анонимизации.
Нарушение правил обработки данных может привести к штрафам до 35 млн евро или 7% мирового оборота по AI Act и до 20 млн евро или 4% по GDPR.