Zarządzanie ryzykiem w świetle RODO i AI Act

Rozwój i coraz szersze wykorzystywanie sztucznej inteligencji powodują, że organizacje muszą mierzyć się nie tylko z nowymi możliwościami technologicznymi, ale również z coraz bardziej złożonym otoczeniem regulacyjnym. Szczególne znaczenie ma tutaj relacja pomiędzy RODO a AI Act.

Obie regulacje opierają się w istotnym stopniu na podejściu opartym na ryzyku. Nie oznacza to jednak, że oceniają ryzyko w ten sam sposób ani że nakładają na organizacje identyczne obowiązki.

RODO od lat wymaga od administratorów i innych podmiotów uczestniczących w przetwarzaniu danych uwzględniania ryzyka dla praw i wolności osób fizycznych. Zakres stosowanych zabezpieczeń powinien być dostosowany m.in. do charakteru przetwarzania, wykorzystywanej technologii oraz potencjalnych konsekwencji dla osób, których dane dotyczą.

AI Act również wykorzystuje podejście oparte na ryzyku, jednak robi to w inny sposób. Regulacja różnicuje systemy oraz sposoby wykorzystania sztucznej inteligencji w zależności od poziomu potencjalnego zagrożenia. W konsekwencji zakres obowiązków może zależeć m.in. od przeznaczenia danego systemu AI, jego zastosowania oraz roli, jaką dana organizacja pełni w procesie jego tworzenia lub wykorzystywania.

W praktyce zastosowanie AI Act nie wyłącza obowiązków wynikających z RODO. Jeżeli system sztucznej inteligencji wykorzystuje dane osobowe, organizacja powinna uwzględniać wymagania wynikające z obu regulacji. Ocena zgodności rozwiązania, które choćby częściowo służy do przetwarzania danych osobowych, wyłącznie z perspektywy AI Act może więc okazać się niewystarczająca. Konieczna jest również analiza zasad przetwarzania danych, podstaw prawnych, zakresu wykorzystywanych informacji, stosowanych zabezpieczeń oraz wpływu danego rozwiązania na osoby fizyczne. Oznacza to, że proces wdrażania AI powinien być analizowany nie tylko od strony technologicznej, lecz także prawnej, z uwzględnieniem m.in. zasady privacy by design.

RODO koncentruje się przede wszystkim na ryzyku związanym z przetwarzaniem danych osobowych i jego wpływie na prawa oraz wolności osób fizycznych. AI Act obejmuje natomiast szerszą perspektywę. W zależności od rodzaju systemu znaczenie mogą mieć również kwestie związane z bezpieczeństwem, zdrowiem czy innymi prawami podstawowymi. W rezultacie organizacje wykorzystujące bardziej zaawansowane rozwiązania AI mogą potrzebować kilku wzajemnie uzupełniających się procesów oceny ryzyka. Ich zakres, cel i wymagany poziom szczegółowości nie zawsze będą takie same.

Wdrożenie systemu AI nie powinno rozpoczynać się od pytania wyłącznie o to, czy dane rozwiązanie spełnia wymagania AI Act. Równie istotne jest ustalenie, jakie dane są wykorzystywane, w jakim celu działa system, na kogo może wpływać oraz jakie ryzyka mogą powstać w związku z jego zastosowaniem. W praktyce oznacza to potrzebę łączenia perspektywy AI Act, ochrony danych osobowych, bezpieczeństwa oraz wewnętrznego zarządzania ryzykiem. Relacja pomiędzy RODO a AI Act pokazuje tym samym, że zgodność regulacyjna systemów sztucznej inteligencji nie powinna być traktowana jako pojedynczy obowiązek lub jednorazowa analiza. Coraz częściej będzie to proces wymagający spojrzenia na cały cykl życia rozwiązania AI, od jego wyboru i wdrożenia aż po sposób jego późniejszego wykorzystywania.