Rozporządzenie AI dla inspektorów ochrony danych
Dla IOD: gdzie nakładają się RODO i rozporządzenie AI (DPIA, FRIA) i co wspiera Scanara. Następny krok: otwórz przykładowy raport.
Gdzie spotykają się RODO i rozporządzenie AI
Do jednego systemu mogą mieć zastosowanie dwie oceny skutków
Mogą mieć zastosowanie zarówno ocena skutków dla ochrony danych z RODO (DPIA, art. 35), jak i ocena skutków dla praw podstawowych z rozporządzenia AI (FRIA, art. 27). Jeśli DPIA spełnia już obowiązek z art. 27, FRIA ją uzupełnia (art. 27 ust. 4).
Rozporządzenie nie wymienia zadań IOD
Rozporządzenie AI nie wspomina o inspektorach ochrony danych. To podmiot wdrażający lub dostawca decyduje, kto przygotowuje oceny. Zgodnie z art. 39 RODO IOD doradza w sprawie DPIA na żądanie.
Podmioty wdrażające korzystają z informacji dostawcy
W stosownych przypadkach podmioty wdrażające systemy wysokiego ryzyka korzystają z informacji przekazanych przez dostawcę na podstawie art. 13 do przeprowadzenia DPIA (art. 26 ust. 9). Poproś dostawcę o nie wcześnie.
Co Scanara wspiera u IOD
Oddzielne oceny z przewodnikiem
Scanara oferuje DPIA z przewodnikiem (art. 35 RODO) i FRIA z przewodnikiem (art. 27) jako oddzielne oceny. FRIA wstępnie wypełnia część odpowiedzi na podstawie wyników skanów. Ty odpowiadasz; Scanara zapisuje wyniki jako dowód.
Raporty DPIA i FRIA
Scanara generuje raporty DPIA i FRIA na podstawie Twoich odpowiedzi i eksportuje je jako PDF, DOCX lub Markdown. Sprawdzasz je przed użyciem.
Wykrywanie użycia AI w kodzie
Scanara skanuje repozytoria pod kątem komponentów AI i ML. Pomaga to zbudować listę systemów AI, które trzeba sprawdzić pod kątem DPIA.
Ścieżka dowodowa
Scanara wersjonuje zapisy ocen i prowadzi niezmienny dziennik audytu tego, kiedy oceny rozpoczęto, zmieniono i wyeksportowano. Nie udziela porad prawnych.
Dwie górne granice kar
10 mln EUR lub 2 %
Górna granica kar z RODO za naruszenie obowiązków dotyczących DPIA (art. 35 i 83 ust. 4): do 10 mln EUR lub, dla przedsiębiorstwa, do 2 % światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa.
15 mln EUR lub 3 %
Górna granica z rozporządzenia AI dla obowiązków dostawców i podmiotów wdrażających: do 15 mln EUR lub, dla przedsiębiorstwa, do 3 % światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4).
Pytania IOD
Czy potrzebuję zarówno DPIA, jak i FRIA?
Nie zawsze. DPIA jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko (art. 35 RODO). FRIA jest wymagana od podmiotów wdrażających systemy z załącznika III (z wyjątkiem pkt 2), które są podmiotami prawa publicznego lub podmiotami prywatnymi świadczącymi usługi publiczne. Jest też wymagana od podmiotów wdrażających systemy oceny zdolności kredytowej oraz ubezpieczeń na życie i zdrowotnych (art. 27 ust. 1).
Czy Scanara zastępuje DPIA?
Nie. Scanara porządkuje DPIA według czterech elementów art. 35 ust. 7 RODO i zapisuje wynik. Za treść i decyzję odpowiada nadal administrator.
Czy mogę wyeksportować wyniki?
Tak. Scanara eksportuje raporty DPIA i FRIA jako PDF, DOCX lub Markdown. W przypadku FRIA podmioty wdrażające powiadamiają organ nadzoru rynku o wynikach (art. 27 ust. 3), a Scanara zawiera eksport do tego zgłoszenia.
Czy Scanara informuje, kiedy wymagana jest DPIA?
Nie. To, czy DPIA jest wymagana, zależy od przetwarzania (art. 35 ust. 3 RODO). Skany Scanara znajdują komponenty AI i ML, więc możesz uwzględnić te systemy w swojej wstępnej ocenie.
Które terminy rozporządzenia AI są ważne dla IOD?
Obowiązek dotyczący kompetencji w zakresie AI (art. 4) i zakazy z art. 5 obowiązują od 2 lutego 2025. FRIA i przepisy dla systemów wysokiego ryzyka z załącznika III obowiązują od 2 grudnia 2027 (art. 113).
Czytaj dalej
Zobacz oceny w przykładowym raporcie
Demo pokazuje zanonimizowany raport zgodności oraz prezentację produktu. Oceń na jej podstawie, czy przebieg pracy pasuje do Twojej pracy.
Scanara przygotowuje dowody na podstawie Państwa repozytoriów
Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.