Об этой услуге
Системы искусственного интеллекта живут на данных: они собирают, анализируют, классифицируют их и принимают на их основе решения. Грузинский закон о защите персональных данных не содержит отдельной главы об искусственном интеллекте — и это первое, что должен знать каждый работающий в этой сфере. Обработка в таких системах оценивается по общим нормам закона: принципам обработки, основаниям, специальному режиму автоматизированных решений и обязанности оценки воздействия. Наша услуга строит правовую оценку вашей системы именно на этих четырёх опорах — от проектирования продукта до эксплуатации.
Принципы — с чего начинается любая оценка
Статья 4 закона устанавливает принципы обработки, полностью распространяющиеся и на системы ИИ: данные должны обрабатываться законно, справедливо, прозрачно для субъекта и без нарушения его достоинства; собираться только для конкретных, чётко определённых и законных целей, причём дальнейшая обработка с несовместимой целью недопустима; обрабатываться лишь в объёме, необходимом для цели; и быть достоверными. Для ИИ здесь быстро возникают конкретные вопросы: насколько прозрачно то, что модель использует данные субъекта; совместимо ли использование обучающих данных с целью сбора; и действительно ли необходим собранный объём. Закон предусматривает и сопутствующие вопросы: при обработке в иной цели учитываются связь между первоначальной и новой целью, характер отношений между лицом и субъектом, разумные ожидания субъекта и другое.
Основания — почему обработка допустима
Согласно статье 5, обработка допустима при наличии одного из оснований: согласие субъекта на одну или несколько конкретных целей; необходимость исполнения обязательства по договору с субъектом или заключения договора; предусмотренность законом; необходимость исполнения возложенных законодательством обязанностей; общедоступность данных; защита жизненных интересов; значимый общественный интерес и другие. В системе ИИ этот вопрос не формальность: обучающий корпус, функционирование продукта и внутренняя аналитика часто служат разным целям, и каждой может требоваться своё основание. Выбор основания и его документальная фиксация — именно та работа, которую нужно делать на этапе проектирования.
Автоматизированные решения — самая чувствительная точка системы
Статья 19 критична именно для систем ИИ: субъект данных вправе не подвергаться решению, основанному исключительно на автоматизированной обработке, включая профилирование, которое порождает для него правовые или иные существенные последствия, — кроме случаев, когда решение основано на явном согласии, необходимо для заключения или исполнения договора либо предусмотрено законом. По запросу субъекта ответственное лицо обязано принять меры для защиты его прав — в том числе через вовлечение человеческого ресурса в процесс принятия решения и предоставление возможности высказать мнение и обжаловать решение. Система, не оставляющая пути для участия человека, таким образом конфликтует с законом. Использование данных особой категории в таких решениях допустимо лишь с дополнительными гарантиями.
Оценка воздействия — предусловие обработки высокого риска
Статья 31 устанавливает обязанность предварительной оценки: если с учётом новых технологий, категорий, объёма, целей и средств обработки с высокой вероятностью возникает риск нарушения основных прав и свобод, ответственное лицо обязано заблаговременно провести оценку воздействия на защиту данных. Помимо этого, оценка обязательна, когда лицо принимает полностью автоматизированные решения с существенными последствиями, обрабатывает особую категорию данных большого числа субъектов или осуществляет систематический масштабный мониторинг поведения. Оценка фиксируется письменным документом, описывающим категории данных, цели, соразмерность и риски вместе с мерами; при существенном изменении обработки документ обновляется, а при прекращении обработки хранится не менее 1 года. При выявлении высокого риска лицо обязано принять все необходимые меры и при необходимости обратиться в Службу государственного аудита.
Практические сценарии
Примеры делают разговор предметным. Чат-бот, анализирующий переписку с клиентами для улучшения сервиса, — это одна цель; построение на тех же текстах эмоциональных профилей для продажи третьим лицам — совершенно иное, и тест совместимости это не пройдёт. Система отбора резюме, автоматически фильтрующая кандидатов, скорее всего подпадает под режим автоматизированных решений и требует пути для человеческого пересмотра. Камеры на предприятии, ведущие масштабный мониторинг, подлежат оценке воздействия. В каждом таком случае правильный вопрос не «запрещено ли», а «какое правило действует и что нужно сделать для его соблюдения». Мы помогаем превратить эти абстрактные нормы в конкретные требования к вашему продукту — требования, которые может выполнить команда разработки и может проверить аудитор.
Отдельно стоит сказать о документировании. Все четыре опоры — принципы, основания, режим решений и оценка — имеют смысл только тогда, когда они зафиксированы: в описаниях процессов, в записях обработки, в проектной документации. Без письменного следа даже правильно построенная система не сможет доказать свою добросовестность при запросе или проверке. Поэтому результатом нашей работы всегда является не только заключение, но и комплект документов, который остаётся в организации и работает на неё.
Чем мы можем помочь
Наши специалисты оценят вашу систему именно по этим опорам: определим цели и основания обработки, выявим риски нарушения принципов (особенно несовместимость целей и избыточность данных), оценим, подпадает ли продукт под режим автоматизированных решений, и спланируем механизм участия человека. При необходимости подготовим документ оценки воздействия. Обратитесь к нам и получите конкретную оценку того, как ваша система соотносится с требованиями закона.