Medtem ko je bil med akti, povezanimi z osebnimi podatki, pred leti v ospredju predvsem GDPR, je danes to predvsem akt o umetni inteligenci. »Vse nove tehnologije morajo imeti možnost, da ubraniš svoje pravice. Mora obstajati sistem, da lahko tudi popraviš podatke,« je na 11. Dnevih prava zasebnosti in varovanja informacij povedala informacijska pooblaščenka Jelena Virant Burnik. Kot je dodala, je treba z velikimi, kot je Tiktok, delati tako, da jih nenehno »silimo« v skladnost.

Kdo bo v Sloveniji nadziral umetno inteligenco

EU se je urejanja področja umetne inteligence (UI) lotila z aktom o UI. V javni obravnavi pa je trenutno tudi zakon o izvajanju uredbe o določitvi harmoniziranih pravil o UI. Ta novih pravil ne prinaša, glede teh je najpomembnejši akt o UI, zakon v glavnem določa le, kdo bo nadziral uporabe pravil akta, je poudarila Virant Burnikova.

Nadzor bosta, seveda če bo predlog zakona potrjen, opravljala predvsem urad informacijske pooblaščenke in AKOS. Glede na osnutek naj bi nadzor opravljal še AZN (nad sistemi UI za oceno tveganja in oblikovanja cen v zvezi s fizičnimi osebami v primeru življenjskega in zdravstvenega zavarovanja), Banka Slovenije (nad sistemi UI za ocenjevanje kreditne sposobnosti fizičnih oseb ali določanje njihove kreditne ocene, pri čemer bo Banka Slovenije nadzirala zgolj dajanje na trg ali v uporabo ali uporabo sistemov UI za ocenjevanje kreditne sposobnosti s strani finančnih institucij), nadzor nad preostalimi sistemi UI za ocenjevanje kreditne sposobnosti fizičnih oseb pa naj bi prevzel tržni inšpektorat.

Informacijski pooblaščenec naj bi glede na osnutek zakona nadziral prepovedane prakse in visoko tvegane sisteme med drugim pri organih pregona, biometriji, šolstvu in pravosodju. AKOS pa naj bi med drugim nadziral visoko tvegane sisteme UI na področju kritične infrastrukture, visoko tvegane sisteme UI v proizvodih.

Kako bo s prenosom podatkov v ZDA?

Dogovor je, dogovora ni, dogovor je, dogovora ni … Tako nekako je videti življenjski cikel dogovora o prenosu podatkov državljanov EU v ZDA. Od leta 2023 velja zadnji dogovor. Zakaj je dogovor pomemben? Za prenos podatkov v ZDA gre že, če denimo gostite stvari na oblaku družbe, ki ima sedež v ZDA in tam tudi hrani podatke. Tudi če analitiko zaupate kakšnemu ameriškemu tehnološkemu velikanu, je to že lahko prenos podatkov v tretjo državo, v tem primeru ZDA.

»Tisti, ki prenaša podatke iz Evrope, se mora zavedati odgovornosti, ki pride s tem. Če nima občutka, da ima vse urejeno, vse skladno, potem ni dobro iti v ta prenos v ZDA. Želim si, da trenutni dogovor o prenosu podatkov v ZDA ne bi padel, prinesel je veliko urejenih področij varstva osebnih podatkov v ZDA,« je še povedala informacijska pooblaščenka. Kot je dodala, je treba biti pozoren na dogajanje okoli dogovora, če bo denimo kakšna pritožba končala na sodišču EU.

Kaj pa, če dogovor spet pade? Potem se bo treba najverjetneje vrniti k standardnim pogodbenim klavzulam.

Nasvet za DPO: kako zgraditi močno kulturo zasebnosti?

Po pravilih GDPR nekatera podjetja potrebujejo pooblaščeno osebo za varstvo podatkov (DPO). Ta mora med drugim loviti ravnotežje med skladnostjo in kreativnostjo. Katarina Ogorevc, vodja pisarne skladnosti poslovanja in pooblaščenka za varstvo osebnih podatkov iz Banke Sparkasse, pa je med drugim pojasnila, kako v podjetju zgraditi močno kulturo zasebnosti:

• Ocenite trenutno »stanje« vaše kulture zasebnosti (torej, kakšne vrednote, kodeks, slog vodenja imate; to lahko storite z intervjuji, anketami).
• Preverite, kje ste že dobri.
• Upoštevajte potrebe poslovne strategije.
• Določite konkreten in dosegljiv cilj, ki bo podpiral načrtovano strateško smer.
• Prevedite cilj v konkretne organizacijske spremembe.
• Prepoznajte resnični izziv in poiščite rešitev, ki ustvarja dodano vrednost.

Kako pa določite stopnje tveganja neskladnosti? Ogorevčeva je med koraki naštela:

• Vnaprej določite stopnje tveganja: visoka stopnja (denimo visoko tveganje globe, hujša malomarnost …), srednja stopnja (nenamerna kršitev pravil …), nizka stopnja (kršitev internih pravil …).
• Upoštevajte vzrok neskladnosti: torej ali gre za namerno ali nenamerno kršitev, ali gre za kršitev zakonodaje ali internih pravil …
• Upoštevajte kritičnost: vprašajte se, ali morate takoj odpraviti pomanjkljivosti ali se lahko izognete škodi.
• Upoštevajte težo možnih posledic, vpliv neskladnosti na podjetje: ali gre za globo, tveganje izgube ugleda, sistemsko kršitev …