Právní aspekty a GDPR v kontextu AI

Pamatuji si na případ jednoho klienta z finančního sektoru. Nasadili chatbota pro analýzu úvěruschopnosti a po třech měsících zjistili, že systém do svého tréninkového setu ukládá rodná čísla klientů v nešifrované podobě. Byla to klasická ukázka toho, co se stane, když vývojáři nekonzultují právní oddělení. Prvním krokem k nápravě byla okamžitá anonymizace textových vstupů. Bez ní by hrozila pokuta, která by firmu paralyzovala.

„— Pane inženýre, my ta data potřebujeme všechna, jinak ten model nebude přesný,“ říkal mi tehdy jejich hlavní datový vědec. Odpověděl jsem mu jednoduše: „— Přesnost modelu vás neochrání před dozorovým úřadem, pokud porušíte integritu dat.“ Nakonec jsme zavedli proces DPIA (Data Protection Impact Assessment), což je pro jakýkoliv AI projekt pracující s osobními údaji naprostá nezbytnost. Tento dokument identifikuje rizika dříve, než se stane první incident.

Dalším kritickým bodem je transparentnost. Uživatel musí být informován, že komunikuje se strojem. V rámci konfigurace soukromí je nutné nastavit jasné hranice: co se ukládá, jak dlouho a kdo k tomu má přístup. Často se zapomíná na právo na výmaz. Pokud uživatel požádá o smazání svých dat, jak je vymažete z již natrénovaného neuronového modelu? To je otázka, na kterou musí mít vaše IT oddělení odpověď ještě před spuštěním produkce.