Большинство ИИ-систем работают с ПДн, даже когда это неочевидно. Но что это означает дл...
Большинство ИИ-систем работают с ПДн, даже когда это неочевидно. Но что это означает для компаний, которые используют ИИ в своих бизнес-процессах? Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ (Закон о ПДн) устанавливает ряд требований, которые должна соблюдать каждая компания при обработке ПДн. Принцип законности обработки ПДн Порядок обработки ПДн в компаниях должен выстраиваться следующим образом: определение цели обработки ПДн обеспечение правового основания обработки ПДн сбор и обработка ПДн прекращение обработки ПДн после реализации цели. ИИ может работать иначе: модель анализирует, комбинирует и переиспользует данные для целей, которые на момент их сбора компания могла не подразумевать и не описывать субъекту ПДн. В результате изначально законно собранные ПДн впоследствии обрабатываются без правового основания. Принцип точности и актуальности ПДн При обработке ПДн должны быть обеспечены точность, достаточность и актуальность ПДн по отношению к целям обработки ПДн. ИИ-системы могут сгенерировать недостоверную информацию о субъекте ПДн ‒ это так называемые «галлюцинации» нейросетей. Это прямое нарушение закрепленного в Законе о ПДн принципа точности данных. Принцип запрета объединения баз данных Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой. Если в компании используются внутренние ИИ-системы, для которых возможен функционал самоообучения, то такая модель агрегируют данные, полученные из разных источников: информацию, полученную от работников, открытые данные и т. д. Это фактически и есть объединение баз, но происходит оно неявно, а внутри модели, и компания может даже это не осознавать. Право субъекта ПДн на уничтожение его данных Из этой же логики вытекает сложность для компаний с реализацией прав субъекта ПДн на уничтожение ПДн. Если для обучения ИИ используются базы данных, содержащие реальные ПДн, то после завершения обучения удалить данные конкретного субъекта будет невозможно. При этом глобальные ИИ модели могут в процессе самообучения неконтролируемо перераспределять внутри модели ПДн, а не хранить их в виде изолированных записей, что также не позволяет удалить определенные ПДн из ИИ. Правило конфиденциальности ПДн и передачи ПДн третьим лицам Компания обязана не раскрывать третьим лицам и не распространять ПДн без согласия субъекта Пдн, если иное не предусмотрено Законом по ПДн. Часто работники компании воспринимают использование ИИ как «эксплуатацию инструмента», однако любое подключение внешнего ИИ-сервиса для анализа ПДн ‒ это, согласно Закону о ПДн, передача ПДн третьему лицу со всеми вытекающими требованиями: наличие договора, разграничение ответственности, согласие на обработку ПДн. Если поставщик ИИ-сервиса находится за рубежом, добавляется требование о трансграничной передаче и локализации баз данных. А чем больше внешних сервисов задействовано, тем сложнее контролировать передачу данных и выстраивать защиту ПДн своих работников и клиентов. Права субъектов ПДн при принятии решений на основании исключительно автоматизированной обработки их ПДн Ст. 16 Закона о ПДн запрещает компаниям принимать решения, влекущие юридические последствия для субъекта ПДн, на основании исключительно автоматизированной обработки – за редкими исключениями, например, при наличии письменного согласия субъекта. Если компания принимает решения исключительно на результате работы ИИ без соответствующих правовыхо снований, и это может привести к нарушению законного интереса субъекта, закрепленное в ст. 16 право субъекта ПДн может быть нарушено. Также в данном случае может возникнуть риск дискриминации субъектов. Например, ИИ-системы, обученные на исторических данных, которые отражали существующие на тот момент социальные неравенства, могут воспроизвести эту предвзятость с реальными последствиями для конкретных людей. Скоро разберем, что конкретно компания может сделать, чтобы нейтрализовать эти риски.