Automatizări AI · Conformitate · 2 min citire
GDPR și AI în instituțiile publice: cum folosiți datele cetățenilor fără să creați un risc juridic
Temeiul legal, minimizarea datelor, evaluarea de impact și clauzele cu furnizorul, explicate pentru proiectele de AI.
PE SCURT
Orice proiect de AI care prelucrează date personale în instituții trebuie să aibă un temei legal, să respecte minimizarea datelor și să stabilească clar rolurile: instituția este operator, furnizorul este de regulă persoană împuternicită. Pentru prelucrările cu risc ridicat, GDPR cere o evaluare a impactului asupra protecției datelor (DPIA), care poate fi refolosită parțial pentru evaluarea cerută de AI Act.
Contextul: datele sunt materia primă a AI
Asistenții virtuali, registratura inteligentă și analiza documentelor prelucrează aproape întotdeauna date personale: nume, adrese, CNP-uri, situații sociale. Riscul nu vine din tehnologie, ci din lipsa regulilor: documente încărcate în instrumente publice, conversații păstrate nelimitat, acces fără control.
Cinci principii aplicate la AI
- Temeiul legal: pentru instituții, de regulă îndeplinirea unei sarcini de interes public sau o obligație legală.
- Minimizarea: sistemul primește doar datele necesare sarcinii. Un chatbot de informare nu are nevoie de CNP.
- Limitarea stocării: conversațiile și documentele procesate au termen de păstrare definit.
- Securitatea: acces pe roluri, jurnalizare, criptare.
- Transparența: informarea persoanelor despre prelucrare și despre faptul că interacționează cu un sistem AI.
Cadrul NION: harta fluxului de date
Înainte de orice configurare, desenăm fluxul: ce date intră, unde sunt prelucrate, de cine, cât timp sunt păstrate și cine le vede. Harta devine baza pentru DPIA, pentru contractul cu furnizorul și pentru informarea cetățenilor.
Ghid practic: DPIA în șase pași
- Descrierea prelucrării și a scopului.
- Evaluarea necesității și proporționalității.
- Identificarea riscurilor pentru persoane.
- Măsurile de reducere a riscurilor (anonimizare, acces, păstrare).
- Consultarea responsabilului cu protecția datelor.
- Revizuirea periodică, la fiecare schimbare importantă.
Pentru sistemele cu risc ridicat, AI Act (art. 27) permite refolosirea elementelor din DPIA în evaluarea impactului asupra drepturilor fundamentale.
Ce cereți furnizorului
- Acordul de prelucrare a datelor (persoană împuternicită).
- Locul prelucrării și eventualele transferuri în afara UE.
- Garanția că datele instituției nu sunt folosite pentru antrenarea modelelor furnizorului.
- Ștergerea sau returnarea datelor la încetarea contractului.
Greșeli frecvente
- Angajați care copiază documente cu date personale în aplicații AI publice.
- Păstrarea nelimitată a conversațiilor.
- Lipsa DPIA pentru prelucrări la scară mare.
Despre NION
NION este o agenție de marketing digital și implementare de inteligență artificială, fondată în 2018 la Râmnicu Vâlcea. Lucrăm pe procese măsurabile: fiecare automatizare pornește de la un diagnostic, are un indicator de rezultat și se predă documentată. Ofertăm direct în SEAP/SICAP, în asociere sau ca subcontractant pentru ofertantul principal.
Surse
CODURI CPV
72220000-3 Servicii de consultanță în sisteme și consultanță tehnică; 79411000-8 Servicii generale de consultanță în management; 72212000-4 Servicii de programare de software de aplicație
ÎNTREBĂRI FRECVENTE
Poate o instituție folosi AI pentru documente cu date personale?
Da, cu temei legal, minimizarea datelor, măsuri de securitate și un contract corect cu furnizorul.
Este obligatorie o DPIA pentru un proiect AI?
Este obligatorie pentru prelucrările susceptibile să genereze un risc ridicat, de exemplu prelucrări la scară mare sau evaluări sistematice ale persoanelor.
Cine este operator și cine persoană împuternicită?
Instituția este operator, iar furnizorul soluției AI este de regulă persoană împuternicită, pe baza unui acord de prelucrare.
Poate furnizorul să folosească datele pentru antrenare?
Nu ar trebui. Contractul trebuie să interzică folosirea datelor instituției pentru antrenarea modelelor furnizorului.
Se poate refolosi DPIA pentru AI Act?
Da. Art. 27 din AI Act permite refolosirea elementelor relevante din DPIA.