Umetna inteligenca v poslovanju: pravna tveganja in osnovne obveznosti

Organizacije umetno inteligenco najpogosteje uvajajo na dva načina. Prvi je načrtovana nabava posebnega sistema UI. Drugi je postopno vključevanje funkcij umetne inteligence v orodja, ki so že v uporabi, na primer v pisarniške pakete, sisteme za upravljanje dokumentov, videokonference, nadzor, računovodstvo ali podporo strankam.

Hkrati lahko zaposleni samostojno uporabljajo javno dostopna generativna orodja za sestavljanje besedil, povzemanje dokumentov, prevajanje, analizo podatkov ali ustvarjanje programske kode. Takšna uporaba lahko pospeši delo, a tudi izpostavi organizacijo tveganju, če se v orodje vnesejo osebni podatki, poslovne skrivnosti, zaupna dokumentacija ali vsebine, zaščitene s pravicami tretjih oseb.

Začetna ocena torej zajema sisteme, licence in dobavitelje, a tudi dejanske delovne navade. Šele po tem je mogoče določiti, katere rabe je treba dovoliti, omejiti, dodatno preveriti ali organizirati.

Evropski akt o umetni inteligenci razlikuje prepovedane prakse, sisteme z visokim tveganjem, sisteme s posebnimi obveznostmi preglednosti in druge uporabe z nižjo zakonsko obremenitvijo. Razvrščanje se izvaja glede na določen namen in okoliščine uporabe, ne le glede na ime ali splošni opis izdelka.

Pravila se uporabljajo postopno. Obveznosti glede pismenosti na področju UI in večina prvotnih prepovedi se uporabljajo od 2. februarja 2025, večina drugih določb pa od 2. avgusta 2026. Po spremembah iz julija 2026 se zahteve in obveznosti za visokotvegane sisteme iz Priloge III uporabljajo od 2. decembra 2027, za visokotvegane sisteme, povezane s proizvodi iz Priloge I, pa od 2. avgusta 2028. Za nekatere nove prepovedi in obveznosti označevanja veljajo posebna prehodna obdobja, tudi od 2. decembra 2026. Datume je treba vedno preveriti glede na vrsto sistema in vlogo organizacije.

Vloga organizacije

Organizacija je lahko uvajalec sistema, torej subjekt, ki ga uporablja pod svojo pristojnostjo, v določenih okoliščinah pa lahko prevzame tudi obveznosti ponudnika. To se lahko zgodi, ko sistem daje na trg pod svojim imenom, ga bistveno spremeni ali spremeni njegov namen.

Pred uvedbo je treba določiti namen sistema, ljudi, na katere vpliva, podatke, ki jih obdeluje, način odločanja ter pravni položaj organizacije in dobavitelja. Tržna oznaka, da je izdelek skladen, je le eden od podatkov za oceno.

Generativna orodja lahko ustvarjajo besedilo, slike, zvok, programsko kodo in druge vsebine. Njihovi rezultati lahko vsebujejo netočnosti, izmišljena dejstva, pristranskosti ali dele vsebine, podobne varovanim delom. Rezultat je zato treba preveriti pred uporabo v pravni, poslovni ali javni komunikaciji.

Zaupni in osebni podatki se vnašajo le v odobrena orodja, z znanimi nastavitvami obdelave in ustreznim pogodbenim okvirom. Predvsem je treba preveriti, ali dobavitelj uporablja vnesene podatke za usposabljanje modelov, koliko časa jih hrani, kje jih obdeluje, kdo do njih dostopa in kako jih briše.

Pri obdelavi osebnih podatkov veljajo pravila o varstvu podatkov ne glede na razvrstitev sistema po Aktu o umetni inteligenci. Določiti je treba namen in pravno podlago obdelave, obseg podatkov, rok hrambe, pravice posameznikov, na katere se osebni podatki nanašajo, varnostne ukrepe in morebiten prenos podatkov izven Evropskega gospodarskega prostora.

Posebna pozornost je potrebna, kadar sistem UI ocenjuje, razvršča ali profilira ljudi ter vpliva na zaposlovanje in delovna razmerja, dostop do izobraževanja, posojil, zavarovanja, javnih storitev ali uveljavljanje pravic. V teh primerih se poleg Akta o umetni inteligenci presojajo tudi predpisi o varstvu osebnih podatkov, delovnih razmerjih, enakem obravnavanju, upravnem postopku in varstvu potrošnikov.

Pri odločitvah, ki imajo pravne ali primerljivo pomembne učinke, je treba ugotoviti dejansko vlogo avtomatizacije in možnost človekovega posredovanja. Človeški nadzor je smiseln, ko odgovorna oseba razume omejitve sistema, lahko preveri ustrezne podatke in z razlogom spremeni ali zaustavi rezultat.

Nekateri sistemi morajo obvestiti posameznika, da komunicirajo z umetno inteligenco, obveznosti označevanja pa lahko veljajo za sintetično ali spremenjeno vsebino. Natančen obseg obveznosti je odvisen od vrste sistema, vsebine, načina objave in vloge organizacije.

Večina organizacij pridobi sistem AI kot storitev ali kot del večje informacijske rešitve. Pred sklenitvijo pogodbe prosite za razumljiv opis namena, omejitev, virov in tokov podatkov, varnostnih ukrepov, podizvajalcev, načinov nadzora in dokumentacije, potrebne za izpolnjevanje lastnih obveznosti.

Pogodba ureja dovoljeno uporabo, ravni storitev, zaupnost, obdelavo in hrambo podatkov, pravice intelektualne lastnine, poročanje o incidentih, sodelovanje pri nadzoru, spremembe sistema, pravice do revizije, odgovornost ter vračilo ali izbris podatkov ob prenehanju storitve.

Odgovornosti so razdeljene med dobavitelje in uporabnike glede na njihove dejanske vloge. Organizacija obdrži odgovornost za lastno izbiro namena, podatkov, uporabnikov in načinov vključitve sistema v poslovni proces.

Dokumenti morajo biti povezani z dejanskimi postopki. Register brez odgovorne osebe, pravilnik brez postopka odobritve ali izobraževanje brez jasnih navodil imajo omejen učinek. Praktičen sistem omogoča, da zaposleni ve, katero orodje lahko uporabi, katere podatke lahko vnese, kdaj mora preveriti in komu sporoči težavo.

• evidenco sistemov UI, njihovih namenov, dobaviteljev, uporabnikov in ključnih podatkov
• pravila dovoljene in prepovedane uporabe, zlasti za generativna orodja
• postopek za preverjanje in odobritev novega sistema ali bistvenih sprememb obstoječega sistema
• jasno opredeljene odgovornosti za nabavo, pravno presojo, IT varnost, varstvo podatkov in poslovno uporabo
• pravila človeškega nadzora, preverjanje rezultatov in obveščanje oseb, na katere sistem vpliva
• postopek prijave napake, incidenta, nepravilnega rezultata ali suma nepooblaščene uporabe
• usposabljanje, prilagojeno vlogi zaposlenih in tveganjem orodij, ki jih dejansko uporabljajo
• redno preverjanje dobaviteljev, nastavitev, namenov uporabe in regulativnih sprememb

Podrobnejša pravna, organizacijska in tehnična presoja je še posebej pomembna, kadar sistem obdeluje občutljive ali obsežne nabore osebnih podatkov, biometrične podatke, spremlja vedenje, profilira posameznike ali sodeluje pri odločanju o njihovih pravicah in možnostih.

Zahtevajo predvsem dodatno preverjanje

Pojav enega od teh elementov je signal za globljo analizo. Končna razvrstitev in potrebni ukrepi so odvisni od dejanske funkcije sistema, podatkov, pravnega učinka in konteksta uporabe.

• sisteme, povezane z zaposlovanjem, ocenjevanjem delovne uspešnosti ali prenehanjem delovnega razmerja
• biometrične identifikacije, kategorizacije oseb ali napredne analize videonadzora
• sistemov, ki vplivajo na dostop do javnih storitev, izobraževanja, posojil, zavarovanja ali drugih pomembnih pravic
• avtomatizirano odločanje s pravnim ali primerljivo pomembnim učinkom
• usposabljanje ali prilagoditev modela na notranjih, zaupnih ali osebnih podatkih organizacije
• javno objavljanje sintetičnih vsebin in sistemov, ki neposredno komunicirajo z uporabniki
• povezovanje sistemov UI s ključnimi poslovnimi, varnostnimi ali infrastrukturnimi procesi
• prenos podatkov tretjim osebam ali v države izven Evropskega gospodarskega prostora