Prezes Urz\u0119du Ochrony Danych Osobowych opublikowa\u0142 nowe wytyczne dla administracji publicznej dotycz\u0105ce wdro\u017ce\u0144 system\u00f3w sztucznej inteligencji i przetwarzania danych osobowych. Dokument adresuje zar\u00f3wno obowi\u0105zki prawne administrator\u00f3w, jak i praktyczne rozwi\u0105zania przy zakupie, testowaniu i eksploatacji rozwi\u0105za\u0144 AI w urz\u0119dach.<\/p>\n
Wytyczne koncentruj\u0105 si\u0119 na ocenie ryzyka, obowi\u0105zkach informacyjnych, zasadach minimalizacji danych oraz warunkach wsp\u00f3\u0142pracy z dostawcami rozwi\u0105za\u0144 AI. Poni\u017cej przedstawiamy najwa\u017cniejsze konkrety z komunikatu, praktyczne konsekwencje dla urz\u0119d\u00f3w oraz kroki, kt\u00f3re nale\u017cy podj\u0105\u0107 w pierwszej kolejno\u015bci.<\/p>\n
UODO udost\u0119pni\u0142 formalny dokument wyja\u015bniaj\u0105cy interpretacj\u0119 przepis\u00f3w ochrony danych w kontek\u015bcie wdro\u017ce\u0144 AI przez podmioty publiczne oraz zestaw praktycznych rekomendacji dotycz\u0105cych oceny zgodno\u015bci z prawem.<\/p>\n
Wytyczne opisuj\u0105 m.in. wymogi dotycz\u0105ce oceny skutk\u00f3w dla ochrony danych (DPIA), zasady doboru podstawy prawnej przetwarzania, wymogi informacyjne wobec obywateli oraz kryteria audytu i nadzoru nad systemami AI wykorzystywanymi przez administracj\u0119.<\/p>\n
Autorem dokumentu jest Urz\u0105d Ochrony Danych Osobowych. Celem publikacji jest ujednolicenie praktyk administracji publicznej przy wdra\u017caniu rozwi\u0105za\u0144 AI, zapobieganie naruszeniom prywatno\u015bci oraz u\u0142atwienie stosowania zasad RODO w kontek\u015bcie automatycznych decyzji i profilowania.<\/p>\n
Wytyczne zawieraj\u0105 zestaw konkretnych obowi\u0105zk\u00f3w i rekomendacji skierowanych do urz\u0119d\u00f3w stosuj\u0105cych lub planuj\u0105cych stosowa\u0107 AI w obs\u0142udze proces\u00f3w publicznych.<\/p>\n
Administracje maj\u0105 obowi\u0105zek przeprowadza\u0107 DPIA dla system\u00f3w AI, kt\u00f3re mog\u0105 powodowa\u0107 wysokie ryzyko narusze\u0144 praw i wolno\u015bci os\u00f3b. Dokument wskazuje tak\u017ce konieczno\u015b\u0107 wyznaczenia os\u00f3b odpowiedzialnych za zgodno\u015b\u0107 przetwarzania oraz prowadzenia rejestru czynno\u015bci przetwarzania dotycz\u0105cych projekt\u00f3w AI.<\/p>\n
Wytyczne zalecaj\u0105 wpisanie wymaga\u0144 ochrony danych ju\u017c na etapie zam\u00f3wienia publicznego, w tym klauzul dotycz\u0105cych audyt\u00f3w dostawcy, dost\u0119pu do dokumentacji technicznej i interoperacyjno\u015bci rozwi\u0105za\u0144.<\/p>\n
UODO podkre\u015bla konieczno\u015b\u0107 stosowania \u015brodk\u00f3w technicznych minimalizuj\u0105cych zakres danych wykorzystywanych przez modele AI, takich jak pseudonimizacja, anonymizacja tam, gdzie to mo\u017cliwe, oraz ograniczenie retencji danych do niezb\u0119dnego okresu.<\/p>\n
Wytyczne wskazuj\u0105 te\u017c na potrzeb\u0119 dokumentowania proces\u00f3w trenowania i walidacji modeli, prowadzenia test\u00f3w na danych syntetycznych oraz wdro\u017cenia mechanizm\u00f3w monitoruj\u0105cych wydajno\u015b\u0107 i b\u0142\u0119dy algorytm\u00f3w w czasie rzeczywistym.<\/p>\n
W por\u00f3wnaniu z wcze\u015bniejszymi, bardziej og\u00f3lnymi zaleceniami, nowe wytyczne k\u0142ad\u0105 wi\u0119kszy nacisk na obowi\u0105zkow\u0105 ocen\u0119 ryzyka przed wdro\u017ceniem oraz na zabezpieczenia kontraktowe przy wsp\u00f3\u0142pracy z dostawcami AI.<\/p>\n
UODO wyra\u017anie wskazuje, \u017ce praktyki zakupowe powinny uwzgl\u0119dnia\u0107 prawo do audytu zewn\u0119trznego, obowi\u0105zek przekazania dokumentacji dotycz\u0105cej danych treningowych oraz klauzule odpowiedzialno\u015bci za b\u0142\u0119dne decyzje podejmowane przy wsparciu AI.<\/p>\n
Wytyczne dotycz\u0105 w pierwszej kolejno\u015bci jednostek administracji publicznej wykorzystuj\u0105cych AI w procesach decyzyjnych lub obs\u0142ugi interesant\u00f3w. Najbardziej dotkni\u0119te b\u0119d\u0105 jednostki prowadz\u0105ce automatyczne profilowanie, systemy klasyfikuj\u0105ce wnioski oraz narz\u0119dzia rekomendacyjne w obszarach \u015bwiadcze\u0144 spo\u0142ecznych czy us\u0142ug publicznych.<\/p>\n
Dokument ma charakter instrukta\u017cowy i wskaz\u00f3wkowy; wdro\u017cenie konkretnych zalece\u0144 b\u0119dzie roz\u0142o\u017cone w czasie w zale\u017cno\u015bci od stopnia ryzyka system\u00f3w. UODO zapowiada zwi\u0119kszon\u0105 aktywno\u015b\u0107 kontroln\u0105 wobec projekt\u00f3w AI w administracji, szczeg\u00f3lnie tam, gdzie wyst\u0119puje wysoki wp\u0142yw na prawa obywateli.<\/p>\n
Wytyczne rozwi\u0105zuj\u0105 wiele praktycznych dylemat\u00f3w, ale nie odpowiadaj\u0105 wprost na wszystkie techniczne pytania dotycz\u0105ce np. szczeg\u00f3\u0142owych metod anonimizacji danych treningowych czy standard\u00f3w walidacji modeli. Urz\u0119dy nadal b\u0119d\u0105 musia\u0142y wsp\u00f3\u0142pracowa\u0107 z ekspertami technicznymi, aby dostosowa\u0107 rekomendacje do konkretnych implementacji.<\/p>\n
Pozostaje te\u017c kwestia harmonizacji podej\u015bcia mi\u0119dzy jednostkami na r\u00f3\u017cnych szczeblach administracji oraz sposobu finansowania dodatkowych audyt\u00f3w i \u015brodk\u00f3w bezpiecze\u0144stwa wymaganych przy zgodnej z wytycznymi eksploatacji AI.<\/p>\n
Pierwszy krok to przegl\u0105d istniej\u0105cych i planowanych projekt\u00f3w AI pod k\u0105tem wymog\u00f3w opisanych w wytycznych oraz priorytetyzacja DPIA dla system\u00f3w o najwy\u017cszym ryzyku. Nale\u017cy zebra\u0107 informacje o dostawcach, danych treningowych i mechanizmach decyzyjnych stosowanych w ka\u017cdym projekcie.<\/p>\n
Nast\u0119pnie warto wprowadzi\u0107 zapisy do specyfikacji zam\u00f3wie\u0144 publicznych wymagaj\u0105ce dost\u0119pu do dokumentacji technicznej, klauzul o prawie do przeprowadzenia audytu oraz wymogu opisania procesu aktualizacji modeli i procedur reagowania na b\u0142\u0119dy.<\/p>\n