Каква е разликата между AI Act и GDPR?
GDPR урежда обработването на лични данни. AI Act урежда AI системите според употребата, риска и ролята ви. Един инструмент може да попада и под двата режима. Проверявайте задълженията поотделно.
Данни или риск: къде се различава обхватът?
При GDPR започнете с личните данни, целта на обработването и приложимия териториален и материален обхват. Име, имейл или снимка могат да са лични данни, но наличието им само по себе си не решава всички въпроси за приложимостта. Има и изключения.
При AI Act проверете предназначението на системата и ролята на организацията. Система може да попада в обхвата без лични данни. Компонент за безопасност в електро- или водоснабдяването може да е високорисков при законовите условия; не всеки инфраструктурен софтуер е такъв.
При подбор на персонал или кредитно оценяване разгледайте и двата режима. Съответствието с единия не доказва съответствие с другия.
Как се различават таваните на глобите?
По член 83 GDPR таваните според нарушението са 10 милиона евро или 2%, и 20 милиона евро или 4%. За предприятие се сравнява фиксираната сума с процента от общия световен годишен оборот за предходната финансова година и се взема по-високата стойност.
Член 99 AI Act има отделни тавани: 35 милиона евро или 7% за забранени практики, 15 милиона евро или 3% за изброените други нарушения, 7,5 милиона евро или 1% за определени нарушения при предоставяне на информация. Общото правило е по-високата стойност; за отговарящи на условията МСП — по-ниската. Облекчението за малките предприятия със средна пазарна капитализация (SMC) не обхваща тавана за забранените практики. Процентът отново е върху общия световен годишен оборот за предходната финансова година.
Това са максимуми, а не автоматични санкции. Конкретното нарушение, обстоятелствата, категорията на предприятието и процедурата се оценяват отделно. Не събирайте процентите като готова сметка за отговорността си.
С какво се различават DPIA и FRIA?
DPIA е оценка на въздействието върху защитата на данните. Член 35 GDPR я изисква преди обработване, което вероятно поражда висок риск за правата и свободите на хората. Използването на AI само по себе си не е единственият критерий.
FRIA е оценката на въздействието върху основните права по член 27 AI Act. Тя е за определени внедрители и високорискови употреби: публичноправни органи, частни организации, предоставящи публични услуги, и посочените кредитни и застрахователни употреби. Приложение III, точка 2 е изключено от този обхват. Не всяка застраховка или AI система изисква FRIA.
Когато задължения вече са изпълнени чрез DPIA, FRIA я допълва. Съществуващата оценка не замества автоматично проверката по AI Act. Съпоставете покритите въпроси и липсите; проверете приложимата дата и преходните правила за конкретната употреба.
Кой орган е компетентен за случая ви?
По GDPR действат национални органи за защита на данните, включително правила за трансгранични случаи. По AI Act компетентността зависи от системата, ролята и съответната национална или европейска процедура. Не приемайте, че двата режима имат един и същ орган.
За случай в България проверете действащите национални правила и компетентния орган.
Въпроси
Готовността по GDPR означава ли готовност по AI Act?
Не. Документите за данните могат да помогнат, но проверете отделно ролята, употребата и задълженията по AI Act. Отбележете какво е покрито и какво още изисква оценка.
Забранява ли GDPR всички автоматизирани решения?
Член 22 се отнася до решения, основани единствено на автоматизирано обработване, с правни или подобни съществени последици за човека. Има условни изключения и гаранции. Съответствие с AI Act не отменя тази проверка.
Може ли AI Act да важи без лични данни?
Да. Проверете предназначението, ролята и законовите условия за категорията на системата. Липсата на лични данни не е общо освобождаване от AI Act.
Източници
Още по темата
Следваща стъпка
Свържете инструмента със задължение и източник.
Готовността за AI Act подрежда инструментите, употребите и приложимите задължения с източници и дати. Въпросите за покритието по GDPR се отделят за правна проверка; това не е удостоверяване на съответствие с GDPR.
Попитайте за Готовност за AI Act
или ни пишете на contact@ergostrat.com