Kontrolna lista za dobavljača
Pitajte svakog AI dobavljača o ovim tačkama:
- Da li postoji ugovor o obradi podataka u skladu sa članom 28 GDPR-a?
- Gde se podaci čuvaju i koji podizvođači postoje?
- Da li se podaci klijenata koriste za obuku AI modela?
- Kako se štite pristupni podaci i poverljiva polja?
- Ko u timu vidi šta i da li se to može podesiti po osobi?
- Da li se beleži šta je AI uradio?
Prava pristupa: AI ne sme pokazivati više od čoveka
Često previđena tačka: AI koji zna sve može slučajno dati informacije osobama koje ih ne bi smele videti. Zato za odgovore AI moraju važiti ista prava kao i za osobu koja postavlja pitanje. Lični zadaci, privatni kalendari i tuđi sandučići ne spadaju u odgovor kolegama.
Šta EU AI Act dodatno zahteva
Od februara 2025. godine, kompanije koje koriste AI moraju obezbediti dovoljnu AI kompetenciju svojih zaposlenih (član 4). Ko komunicira sa ljudima putem AI, mora to otkriti (član 50). Za sisteme visokog rizika važi efikasan ljudski nadzor (član 14).
UK, SAD i Kanada
U Ujedinjenom Kraljevstvu važi UK GDPR sa vrlo sličnim principima. U SAD ne postoji jedinstven savezni zakon, ali postoje državni zakoni kao što je California Consumer Privacy Act. U Kanadi PIPEDA reguliše postupanje sa ličnim podacima u privatnom sektoru. Gornja kontrolna lista je svuda dobra polazna tačka.
Ko šta radi?
AIRIS priprema
- Skladištenje podataka u EU: Baza podataka se nalazi u Frankfurtu, datoteke u data centrima u EU. Podaci klijenata se ne koriste za obuku AI modela.
- Prava važe i za AIRIS: AIRIS svakome pokazuje samo ono što sam sme da vidi. Zadaci i kalendari su lični, sandučići pripadaju tačno jednoj firmi.
- Log i odobrenja: Šta AIRIS radi, beleži se. Koliko samostalno radi, Vi određujete po zadatku.
- AI kompetencija prema EU AI Act-u: Obuke sa sertifikatom za Vaš tim.
Vi odlučujete
- Koje podatke uopšte treba uneti u AI sistem, odlučuje kompanija, a ne dobavljač.
- Posebne kategorije kao što su zdravstveni podaci zahtevaju posebnu proveru.
- Ovaj vodič ne zamenjuje pravni savet.
