IA në NVM: çfarë kërkon ligji zviceran për mbrojtjen e të dhënave

Shkurtimisht

Ligji federal zviceran i rishikuar për mbrojtjen e të dhënave (revDSG) është në fuqi që nga 1 shtatori 2023. Është neutral ndaj teknologjisë dhe prandaj vlen edhe për IA-në. Komisioneri Federal për Mbrojtjen e të Dhënave dhe Transparencën (EDÖB) ka deklaruar shprehimisht se ligji aktual zbatohet drejtpërdrejt për përpunimin e të dhënave me ndihmën e IA-së. Pra, nuk nevojitet një ligj i ri për IA-në që të ekzistojnë detyrime.

Për një NVM kjo nuk do të thotë të heqë dorë nga IA. Do të thotë të sqarojë disa gjëra para se ta përdorë.

Pyetja 1: Cilat të dhëna po fus?

Më e thjeshta është të mos futni fare të dhëna personale në një mjet IA. Të shkruash një tekst reklamues ose një shabllon të përgjithshëm nuk është problem. Ndryshe është nëse ngjitni emaile klientësh, oferta me emra ose dosje personeli.

Të dhënat personale veçanërisht të ndjeshme, si të dhënat shëndetësore ose informacionet për bindjet fetare, janë posaçërisht delikate. Ato nuk kanë vend në një mjet IA të qasshëm lirisht.

Pyetja 2: Ku përpunohen të dhënat?

Shumë ofrues të IA-së i përpunojnë të dhënat në SHBA ose në vende të tjera. revDSG lejon transferimin e të dhënave jashtë vendit nëse vendi ofron mbrojtje të mjaftueshme të të dhënave. Këto vende i përcakton Këshilli Federal në një listë. Për SHBA-në kjo vlen vetëm për kompanitë e certifikuara sipas Swiss-U.S. Data Privacy Framework.

Ofruesit e tjerë kërkojnë garanci shtesë, zakonisht klauzola kontraktuale standarde. Prandaj kontrolloni ku ka selinë ofruesi juaj dhe çfarë kontratash ofron.

Pyetja 3: A mund të trajnojë ofruesi me të dhënat e mia?

Te versionet falas, shumë ofrues e rezervojnë të drejtën t’i përdorin hyrjet për të përmirësuar modelet e tyre. Versionet për biznes zakonisht e përjashtojnë këtë me kontratë dhe ofrojnë një marrëveshje për përpunimin e të dhënave.

Një marrëveshje e tillë është e rëndësishme: kur një ofrues i jashtëm përpunon të dhëna personale në emrin tuaj, kompania juaj mbetet përgjegjëse dhe duhet të sigurojë që ofruesi t’i përpunojë të dhënat vetëm ashtu siç do të lejohej ta bënte vetë kompania.

Pyetja 4: A e dinë personat e prekur?

revDSG kërkon transparencë. Kushdo që mbledh të dhëna personale duhet t’i informojë personat e prekur, zakonisht përmes politikës së privatësisë. Nëse filloni të përdorni mjete IA me të dhëna klientësh, kjo duhet të përfshihet atje – përfshirë vendet ku shkojnë të dhënat.

Nëse një IA merr vetë vendime me pasoja të rëndësishme për një person, si një refuzim automatik, personat e prekur duhet të informohen dhe, me kërkesë, të mund të paraqesin këndvështrimin e tyre.

Lista e kontrollit për NVM-në tuaj

• Regjistroni cilat mjete IA përdoren tashmë në kompaninë tuaj, përfshirë privatisht.
• Për punë përdorni versione biznesi me llogari të kompanisë, jo llogari private falas.
• Kontrolloni vendndodhjen e serverit, marrëveshjen e përpunimit të të dhënave dhe përjashtimin nga trajnimi.
• Përcaktoni në një politikë të shkurtër të IA-së cilat të dhëna mund të futen në cilat mjete.
• Përditësoni politikën tuaj të privatësisë.
• Rezultatet e rëndësishme lërini gjithmonë të kontrollohen nga një njeri.

Po nëse e injoroni?

revDSG parashikon gjoba deri në 250 000 CHF, për shembull për shkelje të qëllimshme të detyrimit për informim. Një veçori zvicerane: gjobiten kryesisht personat përgjegjës, jo kompania. Humbja e besimit kur të dhënat e klientëve përfundojnë ku nuk duhet peshon të paktën po aq.

Ky artikull jep një pasqyrë të përgjithshme dhe nuk zëvendëson këshillimin ligjor. Për informacion detyrues për rastin tuaj, konsultohuni me një specialist të së drejtës për mbrojtjen e të dhënave.