TL;DR
Leverantörer av AI-system med hög risk bevarar den tekniska dokumentationen, dokumentationen av kvalitetsledningssystemet, handlingarna från anmälda organ och EU-försäkran om överensstämmelse i tio år från utsläppandet på marknaden eller ibruktagandet (art. 18). Tillhandahållare bevarar mottagen dokumentation i tio år från det att systemet dragits tillbaka — en annan startpunkt på samma system. Automatiskt genererade loggar bevaras under en tid som är lämplig för det avsedda ändamålet och i vart fall minst sex månader (art. 19 och art. 26.6). Allvarliga incidenter rapporteras inom femton dagar, tio vid dödsfall, två vid en utbredd överträdelse (art. 73).
Loggningsförmåga är ingen bevarandetid
Art. 12 kräver att system med hög risk tekniskt möjliggör automatisk registrering av händelser under systemets livslängd. Det är ett konstruktionskrav: förmågan måste finnas. Hur länge registreringarna faktiskt bevaras är en annan fråga, och den besvarar art. 19 — en tid som är lämplig för det avsedda ändamålet och i vart fall inte kortare än sex månader.
Att blanda ihop de två ger det dyraste fel som är möjligt här: att bevara alla loggar under hela systemets livslängd för att art. 12 nämner livslängden. Det är oproportionerligt, det krävs inte, och på system som behandlar personuppgifter är det ett brott mot lagringsminimeringen på det mest omfattande datamaterial organisationen har.
Två klockor på samma system
Leverantörens tio år löper från utsläppandet på marknaden eller ibruktagandet. Tillhandahållarens tio år löper från tillbakadragandet. På ett system som varit i drift i åtta år är det två datum nästan ett decennium isär, och en organisation som är både leverantör och tillhandahållare — vanligt vid egenutvecklade system — omfattas av båda.
Leverantörens skyldighet är dessutom kumulativ och inte rullande: ett system som uppdaterats varje kvartal i åtta år bär med sig hela sin dokumentationshistorik, eftersom dokumentationen ska visa hur systemet var vid varje tidpunkt, inte hur det är i dag.
- Loggarna från ett system med hög risk innehåller nästan alltid personuppgifter om de människor systemet fattade beslut om. På samma fil verkar då två regelverk — AI-förordningens och dataskyddsförordningens — och båda ändamålen hör hemma i förteckningen.
- Art. 73 fastställer tre rapporteringstider, inte en: femton dagar som huvudregel, tio dagar vid dödsfall, två dagar vid en utbredd överträdelse eller en allvarlig incident i den mening som avses i art. 3.49 b. Tiden löper från kännedomen, inte från avslutandet av den interna utredningen.
- En modell som tränas om varje månad kan inte förklara ett beslut från förra året om inte den då använda versionen bevarats. Att bevara modellen — eller åtminstone dess parametrar och beskrivning — blir därmed en egen bevarandetid, och det är den ingen skriver ned.
- Dokumentationen hålls tillgänglig för behöriga nationella myndigheter. Det är tillgänglighet på begäran, inte arkivering: en säkerhetskopia som ingen kan läsa inom rimlig tid uppfyller inte skyldigheten.
En rad för ”AI-system” är ingen förteckning
Den tekniska dokumentationen, de automatiska loggarna, uppgifterna från övervakningen efter utsläppandet på marknaden och incidentrapporterna har fyra olika ändamål, fyra olika tider och, för loggarna, två rättsliga regelverk samtidigt. En förteckning med en enda rad för systemet beskriver inget av dem. Raden som oftast saknas är modellversionen, eftersom ingen tänker på en uppsättning vikter som ett dokument — förrän någon frågar varför ett beslut blev som det blev.
Provet är detsamma som fungerar för bokföringen: står det ett tal i bevarandekolumnen, eller står det vilken artefakt som följer vilken bestämmelse? Står det ett tal beskriver förteckningen en förenkling. Här är förenklingen yngre än de andra, vilket betyder att ingen ännu snubblat på den — inte att den är säker.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
