Новые рекомендации ICO по соблюдению конфиденциальности данных AI и PII

Как легально собирать данные ИИ

Руководство ICO признает, что, хотя использование ИИ имеет неоспоримые преимущества, оно также может поставить под угрозу свободы и права людей, если к защите данных не относятся серьезно. С этой целью их руководство обеспечивает полезную основу для того, как предприятия должны оценивать и снижать эти риски.

Руководство охватывает восемь стратегических элементов, которые предприятия могут использовать для улучшения работы с ИИ и личными данными:

1. Используйте процедуру, основанную на оценке риска, при создании и внедрении ИИ

При использовании ИИ следует определить, необходимо ли это в данной ситуации. ИИ обычно считается технологией с высоким риском, когда он взаимодействует с личной информацией. Компании требуются большие объемы данных, чтобы улучшить свои системы для правильной работы, и наши данные могут быть перепроданы, не зная, кто их получает или как они используются.

Таким образом, может существовать более эффективная и сохраняющая конфиденциальность замена.

Как говорится в ICO, вы должны оценить риски и принять необходимые организационные и технические меры для их снижения. На самом деле невозможно полностью исключить все риски, и законы о защите данных не обязывают вас делать это, но убедитесь, что вы:

• Используйте оценку воздействия на защиту данных (DPIA), чтобы определить и снизить риск несоблюдения законов о защите данных, связанный с использованием ИИ, а также предотвратить причинение вреда отдельным лицам.
• Получите информацию от многих групп, на которые потенциально может повлиять ваше использование ИИ, чтобы лучше понять опасность.

Если DPIA требуется по закону, вы должны провести его перед развертыванием системы ИИ и ввести надлежащие организационные и технические меры безопасности, которые помогут снизить или управлять обнаруженными рисками. Прежде чем произойдет какая-либо обработка, вы по закону обязаны поговорить с ICO, если вы обнаружите риск, который вы не можете адекватно снизить.

2. Подумайте, как вы будете объяснять решения вашей системы искусственного интеллекта тем, кого это затронет

Согласно ICO, может быть сложно объяснить, как ИИ генерирует определенные решения и результаты, особенно когда речь идет о машинном обучении и сложных алгоритмах, но это не значит, что вы не должны давать объяснения людям.

Вот что рекомендует ICO:

• Будьте ясны, открыты и прозрачны с людьми в отношении того, как и почему вы собираете и используете их личные данные.
• Подумайте, какое обоснование требуется в среде, где будет использоваться ваша система искусственного интеллекта.
• Подумайте, как люди могут воспринять ваше объяснение
• Проанализируйте вероятные последствия выбора вашей системы ИИ, чтобы определить, насколько тщательным должно быть ваше обоснование.
• Подумайте, как будут обрабатываться запросы на отдельные права.

3. Собирайте только ту информацию, которая необходима для создания вашей системы искусственного интеллекта

ICO рекомендует по возможности ограничивать сбор данных. Это не означает, что данные не могут быть собраны — это означает только то, что данными нужно управлять в соответствии со стандартами GDPR.

Вам следует:

• Убедитесь, что используемая вами личная информация является точной, адекватной, актуальной и ограниченной — это зависит от контекста, в котором вы используете ИИ.
• Подумайте, какие методы сохранения конфиденциальности подходят для ситуации, когда вы используете ИИ для обработки персональных данных.

Принцип точности для защиты данных не требует, чтобы система ИИ была на 100% правильной. Вместо этого организациям следует обеспечить наличие процедур, гарантирующих справедливость и общую точность результатов.

4. Маркируйте риски предвзятости и дискриминации на ранней стадии

Существуют способы, которыми система ИИ может быть предвзятой или вести к дискриминации. Это может создавать неточные, несбалансированные наборы данных, и своевременное решение этой проблемы является важным аспектом соблюдения конфиденциальности данных.

ICO рекомендует вам:

• Определите, являются ли данные, которые вы собираете, точными, репрезентативными, надежными, актуальными и актуальными для сообщества или различных групп людей, затронутых системой ИИ.
• Определите, являются ли суждения, сделанные системой ИИ, приемлемыми, наметив потенциальные последствия и результаты для различных групп.

5. Инвестируйте время и ресурсы в правильную подготовку данных

Как уже упоминалось, ИИ надежен настолько, насколько надежны собираемые им данные. Поэтому организациям необходимо убедиться, что для сбора необходимых данных выделяется достаточно ресурсов и времени.

ICO рекомендует:

• Когда дело доходит до маркировки данных, связанных с защищенными характеристиками или данными специальной категории, должны быть определены критерии и линии ответственности.
• Чтобы поддерживать последовательность и помочь в нестандартных ситуациях, вы должны привлечь несколько людей, маркирующих

6. Убедитесь, что ваша система искусственного интеллекта безопасна

Системы искусственного интеллекта могут увеличить риски или создать новые уязвимости в системе безопасности.

Что касается мер безопасности, то универсального подхода не существует. Тем не менее, вы должны соблюдать закон и принять надлежащие организационные и технические меры безопасности, чтобы обеспечить уровень безопасности, пропорциональный любым выявленным рискам.

ICO рекомендует предприятиям:

• Выполните оценку рисков безопасности, включающую текущую инвентаризацию всех систем ИИ, чтобы вы могли получить общее представление о том, где могут произойти потенциальные инциденты.
• Выполнение отладки модели, которая представляет собой процесс выявления и устранения недостатков в вашей модели — либо внутренним аудитором безопасности, либо внешним аудитором безопасности.
• Внедрите систему проактивного мониторинга и расследуйте любые нарушения

7. Человеческие обзоры решений ИИ должны быть значимыми

Следует заранее определить, используются ли выходные данные для помощи человеку, принимающему решения, или решения полностью автономны, в зависимости от цели ИИ.

ICO подчеркивает, что субъекты данных имеют право знать, был ли сделан выбор, связанный с их данными, полностью самостоятельно или с помощью ИИ. Руководящие принципы также предполагают, что их следует осмысленно оценивать, когда они используются для помощи человеку.

Чтобы убедиться, что эти обзоры имеют смысл, рецензенты должны быть:

• Достаточно квалифицирован, чтобы оценивать и подвергать сомнению результаты системы ИИ
• Возможность отменить автоматическое решение
• Осведомлен о дополнительных факторах, которые не были отражены во входных данных

Когда решение имеет юридические или другие существенные последствия, субъекты данных имеют право в соответствии с GDPR не подпадать под его действие. Они также имеют право ожидать значимой информации о мотивах решения.

В результате, даже если это заявлено как рекомендация, проверка человеком, тем не менее, необходима, когда ИИ принимает важные решения.

8. Проконсультируйтесь с внешним поставщиком, чтобы убедиться, что вы используете ИИ надлежащим образом.

Приобретение системы искусственного интеллекта у третьей стороны не освобождает вас от ответственности за соблюдение законодательства о защите данных. В большинстве случаев вы будете контролером данных, решая, как развернуть систему ИИ.