Prywatność w czasach AI

Ryzyko studzi entuzjazm

Według „KPMG global tech report 2023” liderzy technologiczni uważają sztuczną inteligencję i uczenie maszynowe za najważniejszą technologię do osiągnięcia swoich celów biznesowych w najbliższym czasie. Jednak podobnie jak w przypadku każdej nowej technologii, diagnozowane są również ryzyka. Niepokój respondentów widać zarówno we wspomnianym wyżej globalnym badaniu, jak i w przeprowadzonym kilka miesięcy temu przez KPMG w Australii „Trust in artificial intelligence”.

Plany regulacyjne podsycają nadzieję

Unia Europejska podejmuje pierwszą na świecie próbę ustanowienia przepisów, które mogą okazać się najbardziej surowymi regulacjami dotyczącymi ochrony prywatności użytkowników AI. Rada, Parlament i Komisja Europejska zaproponowały ustawę o sztucznej inteligencji (EU AI Act). Dokument opiera się na przepisach dotyczących prywatności zawartych w ogólnym rozporządzeniu o ochronie danych osobowych (RODO), które obejmują zasady dotyczące otwartości, uczciwości, algorytmicznego podejmowania decyzji i godności ludzkiej. Już w 2019 roku Organizacja Współpracy Gospodarczej i Rozwoju (OECD) opierając się na tych zasadach stworzyła podstawy zarządzania godną zaufania sztuczną inteligencją, które stanowią, że systemy AI powinny być niezawodne i bezpieczne przez cały cykl życia. EU AI Act dodatkowo wzmacnia te zasady nakazując, aby sztuczna inteligencja spełniała wspomniane warunki pod względem prawnym, etycznym i technicznym, przy jednoczesnym poszanowaniu wartości demokratycznych, praw człowieka i praworządności. Wiele z zasad OECD dotyczących sztucznej inteligencji można przyporządkować do zasad zabezpieczania prywatności w kontekście ochrony danych osobowych i rozszerzyć na zasady privacy by design, czyli uwzględnienie ochrony danych osobowych już w fazie projektowania. Przyjęcie tego podejścia może wzmocnić poczucie pewności klientów, organów regulacyjnych i innych zainteresowanych stron o wiarygodności sztucznej inteligencji oraz zminimalizować wszelkie negatywne skutki wynikające z jej funkcjonowania.

Istotne aspekty, które pomogą organizacjom budować zaufanie do sztucznej inteligencji

Zrozumienie otoczenia regulacyjnego i ustalenie strategii ochrony prywatności w zakresie sztucznej inteligencji

Ustawodawcy, niezależne organy regulacyjne i inni decydenci konsekwentnie podkreślają konieczność dostosowania systemów sztucznej inteligencji do uznanych standardów. Dlatego ważne jest, aby zidentyfikować ramy regulacyjne mające zastosowanie w konkretnej branży i firmie oraz zaplanować sposób wdrożenia sztucznej inteligencji. Niezbędne jest stworzenie standardu dla wykorzystania AI, który spełnia najlepsze praktyki oraz usprawnienie rozwoju zarówno niej samej, jak i związanych z nią działań biznesowych.
Włączenie privacy by design do projektów AI

Privacy by design, jak określono w normie ISO 31700 oraz w KPMG Privacy by Design Assessment Framework, może pomóc organizacjom w budowaniu prywatności w systemach AI. Dla prawidłowego wykorzystania sztucznej inteligencji niezbędna jest ocena wpływu na ochronę prywatności i kwestie zgodności już na etapie tworzenia pomysłu, a następnie przez cały cykl jego życia – poprzez Privacy Impact Assessment (PIA) lub Data Protection Impact Assessment (DPIA).
Ocena zagrożeń dla prywatności związanych ze sztuczną inteligencją

Bezpieczeństwo danych może być związane zarówno z opracowywaniem wewnętrznych rozwiązań AI, jak i z korzystaniem z publicznych modeli, trenowanych na ogólnodostępnych danych. Istotna jest kontrola zgodności tych modeli z najnowszymi standardami, przepisami i najlepszymi praktykami. Wymóg ten dotyczy nie tylko dostawców, ale też klientów, którzy mogą prosić deweloperów o dokumentację dotyczącą oceny ryzyka prywatności.
Audyt systemu AI

Twórcy i dostawcy systemów AI powinni zapewnić klientów i organy regulacyjne, że dołożyli niezbędnych starań, aby zbudować godne zaufania narzędzia oparte na sztucznej inteligencji. Jednym ze sposobów jest przeprowadzenie audytu pod kątem uznanych standardów, ram regulacyjnych i najlepszych praktyk, w tym oceny wpływu algorytmów. Podstawą jest badanie systemu za pomocą skryptów testowych, które mogą odnosić się do rzeczywistych scenariuszy, a także uzyskanie opinii użytkowników, które to z kolei pomogą zapewnić niezawodność i uczciwość technologii.
Poszanowanie praw i wyborów poprzez zapewnienie przejrzystości danych

Dostawcy muszą być przygotowani na zarządzanie preferencjami odbiorców i wyjaśnianie kwestii budzących ich wątpliwości. Organizacje, które chcą wykorzystywać sztuczną inteligencję do zautomatyzowanego podejmowania decyzji powinny być w stanie zrozumiale wyjaśniać w jaki sposób AI może wpłynąć na finalnych odbiorców tej technologii. Stworzenie odpowiednich procedur może stanowić znaczne ułatwienie pozwalające na identyfikację danych i sposobów ich wykorzystywania przez sztuczną inteligencję.