ШІ та захист даних

Що таке ШІ та захист даних?

Регламент ЄС про штучний інтелект (AI Act) і GDPR — незалежні акти, але їхні вимоги частково збігаються. Коли система ШІ обробляє персональні дані, GDPR діє завжди, а AI Act — щоразу, коли система потрапляє в його сферу дії. Ви розбираєте систему ШІ для тріажу в охороні здоров'я: права за статтею 22 GDPR щодо автоматизованих рішень, мінімізацію даних проти вимог вендора надати більше даних, подвійні обов'язки щодо прозорості та різницю між DPIA і FRIA. Наприкінці скарга пацієнтки покаже, чи працюють ваші заходи.

Що ви дізнаєтесь у ШІ та захист даних

• Розумійте, як AI Act і GDPR створюють обов'язки, що частково збігаються, але діють незалежно
• Застосовуйте права за статтею 22 GDPR до рішень ШІ зі значними наслідками
• Вимагайте дотримання мінімізації даних, навіть коли більше даних покращило б роботу ШІ
• Складайте повідомлення про обробку даних, які відповідають вимогам прозорості і GDPR, і AI Act
• Розрізняйте DPIA і FRIA та розумійте, коли потрібні обидві

ШІ та захист даних — Кроки навчання

1. Два регламенти, одна система ШІ

   Коли системи ШІ обробляють персональні дані, AI Act і GDPR значною мірою перетинаються. Будь-яка система ШІ, що працює з персональними даними, підпадає під GDPR, а якщо входить у сферу дії AI Act, то й під нього — як система тріажу в цій вправі. Правова підстава за GDPR — для обробки персональних даних потрібна дійсна правова підстава. Стаття 22 GDPR — людина має право не бути об'єктом виключно автоматизованих рішень зі значними наслідками. Вимога щодо DPIA — для обробки з високим ризиком GDPR може вимагати оцінку впливу на захист даних (DPIA). Мінімізація даних — обробляти можна лише ті дані, які потрібні для конкретної мети. Це два самостійні правові акти з власними механізмами правозастосування, але вони накладають на системи ШІ, що працюють з персональними даними, обов'язки, які частково збігаються.

2. Огляд системи ШІ для тріажу

   У Wellspring Health Services розробили систему ШІ для тріажу, щоб ефективніше керувати записом пацієнтів на прийом. Перш ніж оцінювати дотримання вимог, Аліса входить у клінічний портал і відкриває сторінку з оглядом системи, щоб побачити, як вона працює.

3. Стаття 22 GDPR: автоматизоване ухвалення рішень

   Стаття 22 GDPR дає людині право не бути об'єктом виключно автоматизованих рішень зі значними наслідками. Окремо стаття 14 AI Act вимагає людського нагляду за системами ШІ високого ризику. Ці вимоги доповнюють одна одну: GDPR створює право пацієнта, а AI Act — обов'язок щодо проєктування системи. Виконувати треба обидві, кожну незалежно від іншої.

4. Правова підстава для даних про здоров'я

   Система тріажу обробляє дані про здоров'я — це спеціальна категорія персональних даних за статтею 9 GDPR. Звичайних підстав обробки, як-от законного інтересу, для даних про здоров'я недостатньо. У нашому випадку підходять такі умови зі статті 9(2): Явна згода (стаття 9(2)(a) GDPR) — пацієнт дає явну, поінформовану згоду на обробку своїх даних про здоров'я системою ШІ. Потреба в медичному лікуванні чи діагностиці (стаття 9(2)(h) GDPR) — обробка потрібна для охорони здоров'я, і виконує її медичний працівник або особа, на яку поширюється обов'язок професійної таємниці. Одного лише законного інтересу для обробки даних про здоров'я за GDPR ніколи не досить . Окрім правової підстави за статтею 6, організації мають визначити дійсну умову зі статті 9(2).

5. Проміжна перевірка

6. Мінімізація даних і якість роботи ШІ

   Вендор ШІ просить доступ до повних медичних записів пацієнтів, мовляв, ширший набір даних підвищить точність тріажу. Проте принцип мінімізації даних за GDPR (стаття 5(1)(c)) дозволяє обробляти лише ті дані, які потрібні для конкретної мети. Для тріажу за симптомами системі потрібні поточні описи симптомів і базові демографічні дані пацієнта. Повний анамнез, відомості про прийом ліків і про попереднє лікування надмірні для визначення пріоритету прийому. Обробка більшого обсягу даних, ніж потрібно, порушує GDPR — навіть якщо ШІ завдяки цьому працював би краще.

7. Огляд повідомлення для пацієнтів про обробку даних

   Аліса відкриває на клінічному порталі повідомлення про обробку даних, адресоване пацієнтам. Одне повідомлення може відповідати вимогам і GDPR, і AI Act, але лише якщо містить усю обов'язкову інформацію.

8. DPIA і FRIA: у чому різниця

   Для цієї системи ШІ в охороні здоров'я можуть знадобитися дві окремі оцінки впливу: DPIA (оцінка впливу на захист даних) — GDPR вимагає її, коли обробка, ймовірно, створює високий ризик для прав фізичних осіб. Вона зосереджена саме на ризиках для захисту даних : як персональні дані збирають, зберігають, обробляють і захищають. FRIA (оцінка впливу на основоположні права) — стаття 27 AI Act вимагає її до початку використання системи ШІ високого ризику органами публічної влади, організаціями, що надають публічні послуги (як-от охорона здоров'я), та розгортачами систем ШІ для кредитного скорингу чи страхування життя й здоров'я. Вона ширше охоплює всі основоположні права : недискримінацію, гідність, доступ до охорони здоров'я, свободу та право на ефективний засіб юридичного захисту. Ці оцінки мають різну правову мету й різне охоплення. Їх можна провести разом, як одне спільне завдання, але кожна має відповідати вимогам свого регламенту.

9. Скарга пацієнтки

   Сара Парк пише Алісі в Telegram: пацієнтка незадоволена пріоритетом, який їй визначив ШІ. Аліса має порадити пані Парк, як відповісти, дотримуючись статті 22 GDPR і вимог AI Act щодо людського нагляду.

10. Головне

    Ось що варто запам'ятати, коли системи ШІ обробляють персональні дані: Часто діють обидва регламенти: системи ШІ, що обробляють персональні дані, підпадають під GDPR завжди, а під AI Act — ще й тоді, коли входять у сферу його дії, як ця система тріажу. Це самостійні акти, кожен зі своїм правозастосуванням. Людський нагляд працює на обидва регламенти: стаття 22 GDPR дає людям право не бути об'єктом виключно автоматизованих рішень і передбачає гарантії, зокрема втручання людини (стаття 22(3)), а стаття 14 AI Act вимагає проєктувати системи високого ризику так, щоб забезпечити дієвий людський нагляд. Правове обґрунтування в них різне. Вони доповнюють одна одну, а не замінюють. Мінімізація даних діє, навіть коли більше даних допомогло б: обробка більшого обсягу даних, ніж потрібно, порушує GDPR, незалежно від того, чи покращує вона роботу ШІ. Повідомлення про обробку даних мають відповідати обом регламентам: GDPR вимагає прозорості щодо обробки даних, AI Act — прозорості щодо використання системи ШІ. Обидві вимоги можна виконати в одному повідомленні. Можуть знадобитися і DPIA, і FRIA: DPIA зосереджена на ризиках для захисту даних, FRIA охоплює всі основоположні права. Навіть коли їх проводять разом, мета в них різна. Пацієнти мають права за обома регламентами: GDPR дає право на інформацію (статті 13–15) і на втручання людини у виключно автоматизовані рішення (стаття 22(3)); AI Act додає право на пояснення рішень, ухвалених із застосуванням ШІ високого ризику (стаття 86).