Niderlandzki organ publikuje samoocenę dla generatywnej SI

Niderlandzki organ ochrony danych udostępnił narzędzie samooceny dotyczące systemów generatywnej sztucznej inteligencji: ścieżkę, która prowadzi organizację przez sprawdzenie, czy ma odpowiednie środki nadzoru, według jakich kryteriów wybiera system zgodny z RODO, jak go wdraża i jak kontroluje jego użycie.

Dlaczego takie narzędzie jest teraz potrzebne

Praktycznym problemem tych miesięcy nie jest zakaz, lecz to, że generatywna SI wchodzi do organizacji tylnymi drzwiami. Nie przez projekt, ale przez zaznaczone pole w programie, który dostawca zaktualizował, albo przez abonament wykupiony przez jeden dział bez pytania kogokolwiek. Gdy inspektor to zauważa, przetwarzanie trwa od miesięcy.

Samoocena tego nie rozwiązuje, ale czyni sprawę omawialną: daje inspektorowi dokument, który nie wygląda na osobisty sprzeciw, a administratorowi ciąg pytań wymagających pisemnej odpowiedzi.

Cztery decyzje, które trzeba zapisać

Pytania skupiają się na czterech momentach: czy w ogóle istnieje nadzór, zanim wdroży się jakiekolwiek narzędzie; według jakich kryteriów wybiera się dostawcę; na jakich warunkach system wchodzi do użytku; i kto kontroluje jego stosowanie w czasie. To te same cztery punkty, o które pyta kontrola — i te same, co do których zwykle nie ma ani jednej zapisanej linijki.

Powiedzmy jasno: narzędzie należy do niderlandzkiego organu i nie wiąże pozostałych. Nie tworzy domniemania zgodności i nie zastępuje oceny skutków z art. 35, gdy jest ona wymagana. Ale pytania nie są niderlandzkie: to te, które inspektor zadałby we Włoszech, w Portugalii czy w Norwegii.

Co z tym zrobić w praktyce

Pożyteczne jest użycie tego jako inwentaryzacji, nie egzaminu. Runda e-maili do klientów z trzema pytaniami — jakie narzędzia generatywnej SI działają, kto je zatwierdził, jakie dane do nich trafiają — niemal zawsze przynosi niespodziankę, i to ona jest prawdziwym punktem wyjścia.

I zachować właściwą kolejność: najpierw ustala się, czy przetwarzanie jest zgodne z prawem i czy wymaga oceny skutków, dopiero potem wybiera dostawcę. Odwrotna kolejność — najpierw system, potem ocena napisana, by go uzasadnić — najszybciej zamienia obowiązek w fikcję.