Sistemele de AI și regulile GDPR - Cum se întrepătrund? - Partea a II-a

În acest context tehnologic aflat în continuă evoluție, inteligența artificială („AI”) transformă inclusiv piața muncii, redefinind rolurile și interacțiunile la locul de muncă. Pe măsură ce algoritmii și expertiza umană își unesc forțele, AI sporește eficiența și precizia acestora, în timp ce intuiția umană continuă să primeze în situații incerte. Rezultatul? O forță de muncă dinamică, hibridă, în care tehnologia de ultimă oră și percepția umană lucrează în echipă, îmbunătățind productivitatea și configurând, în același timp, viitorul muncii.

Aceasta este cea de-a doua parte a analizei noastre privind interacțiunea dintre AI și GDPR, în care vom detalia unele dintre cele mai importante subiecte referitoare la întrepătrunderea folosirii sistemelor de AI și a regulilor prevăzute de GDPR în cadrul relațiilor de muncă, punctând obligațiile ce revin angajatorului, atât în calitate de operator de date, cât și de implementator^[1] atunci când utilizează instrumente AI. 

Nu uitați să consultați și prima parte a acestui articol, în care am analizat contextul din perspectiva protecției datelor cu caracter personal și disponibilitatea sa algoritmică, printr-o trecere în revistă a principalelor prevederi relevante din GDPR ce vizează dezvoltarea și implementarea sistemelor de AI și modul în care AI Act impactează normele GDPR.

GDPR, AI și Relațiile de Muncă

(i) Primii pași și preocupările legate de conformitate

Sistemele de AI utilizate în procesele de recrutare și în domeniul resurselor umane („HR”) oferă beneficii semnificative, precum accelerarea procesului de recrutare și angajare, precum și îmbunătățirea comunicării cu candidații. În pofida acestor avantaje, domeniul ocupării forței de muncă, centrat, de regulă, pe valoarea umană, manifestă un anumit grad de reticență atunci când vine vorba de a se  baza integral pe utilizarea sistemelor de AI în scopuri de recrutare, de la începutul procesului și până la finalizarea acestuia. Evoluțiile recente în domeniul AI includ soluții precum asistenți virtuali, care pot colecta CV-uri, contacta candidați și realiza interviuri utilizând învățarea automată și platforme precum VaaS („Voice as a System”). Un sondaj^[2] arată că 62% dintre profesioniștii din domeniul HR se așteaptă ca anumite etape din procesul de recrutare să devină complet automatizate cu ajutorul AI (de exemplu, înscrierea și selecția candidaților pentru postul dorit).

În timp ce instrumentele de AI pot eficientiza sarcinile și pot ajuta în luarea unor decizii strategice bazate pe analiza și interpretarea datelor, acestea pot genera, în același timp, probleme de conformitate, astfel cum prevede inclusiv Regulamentul European privind inteligența artificială („AI Act”). În temeiul acestui regulament recent și amplu dezbătut, sistemele de AI utilizate în adoptarea deciziilor privind raporturile de muncă (de exemplu, platformele de AI care iau decizii privind alocarea sarcinilor de muncă, promovarea și încetarea raporturilor de muncă, instrumentele de AI utilizate pentru monitorizarea și evaluarea angajaților și a performanței lor) sunt clasificate drept sisteme de AI ce prezintă un „grad ridicat de risc”. În acest context, rămâne preocuparea legată de conformitate: cum ar putea un angajator să beneficieze de toate instrumentele și facilitățile oferite de AI, și să respecte în același timp regulile GDPR?

Așadar, în acest articol, ne propunem să subliniem câteva demersuri practice pe care angajatorii ar trebui să le urmeze atunci când utilizează instrumente AI sau atunci când acționează în calitate de implementatori de AI.

 (ii) Demersuri practice pentru angajatori

Indiferent de scopurile pentru care sunt utilizate instrumentele de AI, reglementările cuprinse în GDPR nu prevăd exceptări pentru angajatorii pasionați de tehnologie. Iată mai multe detalii despre acțiunile cheie ce pot contribui la respectarea protecției datelor cu caracter personal:

1. Identifică și documentează temeiul legal al prelucrării

În primul rând, angajatorul trebuie să identifice temeiurile legale adecvate (astfel cum sunt prevăzute la Articolul 6 din GDPR). În general, în ceea ce privește prelucrarea datelor angajaților, printre cele mai frecvent folosite temeiuri legale se pot regăsi:

▸Executarea unui contract la care persoana vizată este parte: poate fi incident în cazul în care instrumentele de AI sunt utilizate pentru a gestiona anumite aspecte legate de raporturile cu angajații (de exemplu, sisteme de salarizare bazate pe AI care automatizează gestionarea calculelor salariale, deducerile și beneficiile, instrumente de AI care evaluează parametrii de performanță ai angajaților, pentru a evalua dacă aceștia îndeplinesc cerințele sau obligațiile prevăzute în contractele lor de muncă, cum ar fi atingerea anumitor obiective de productivitate, etc.). ▸ Îndeplinirea unei obligații legale a angajatorului: de exemplu, respectarea reglementărilor din domeniul securității și sănătății în muncă, în vederea asigurării unui mediu de lucru sigur. Instrumentele bazate pe AI pot contribui la evaluarea conformității și la avertizarea angajatorilor sau a altor persoane din conducere, în cazul unei încălcări a regulilor de siguranță la locul de muncă (de exemplu, identificarea angajaților care nu poartă echipament de protecție atunci când acesta este obligatoriu, etc.). ▸ Interesul legitim: deși este utilizat frecvent, presupune, întotdeauna, realizarea „testului de proporționalitate”, pentru a analiza în ce măsură interesul angajatorului prevalează asupra drepturilor și libertăților angajaților. ▸ Consimțământul: dat fiind dezechilibrul de putere dintre angajatori și angajați, prelucrarea datelor angajaților pe baza acestui temei este, în general, problematică, însă poate fi folosit ca temei legal în cazul participării voluntare a angajaților la programe opționale derulate în cadrul companiei (de exemplu, programe de wellness și sănătate mintală în care instrumente de AI sunt utilizate pentru a oferi sprijin sau recomandări personalizate, precum aplicații de fitness sau instrumente de gestionare a stresului, instrumente bazate pe AI care analizează comportamentul angajaților pentru a oferi feedback personalizat, mentorat sau planuri de dezvoltare profesională, etc.).

În astfel de cazuri, angajatorul trebuie să se asigure că angajații au posibilitatea de a-și retrage consimțământul pentru astfel de prelucrări, fără a fi supuși unor consecințe negative.

În ceea ce privește modul de documentare a temeiului legal ales pentru realizarea activităților de prelucrare, angajatorii ar trebui să înscrie în mod clar (într-un registru al activităților de prelucrare) temeiul legal corespunzător fiecărei activități de prelucrare, pentru a păstra o evidență în acest sens.

2.Realizează o evaluare a impactului asupra protecției datelor (DPIA)

▸ Definirea unui scop: după stabilirea scopului specific al prelucrării, prin efectuarea unei DPIA, angajatorul poate analiza riscurile potențiale aferente prelucrării datelor cu caracter personal utilizând instrumente bazate pe AI în activitățile zilnice. ▸ Când trebuie realizată: DPIA trebuie efectuată înainte de implementarea sau utilizarea soluțiilor bazate pe AI, în special în scenariile în care prelucrarea implică monitorizare sistematică, prelucrare de date pe scară largă sau prelucrarea unor date sensibile (de exemplu, date biometrice sau date privind starea de sănătate). ▸ Elementele cheie care trebuie incluse în DPIA sunt:

Imaginea în oglindă a DPIA, din perspectiva reglementării AI, este reprezentată de evaluarea impactului asupra drepturilor fundamentale („FRIA”), prevăzută la articolul 27 din AI Act. FRIA trebuie efectuată înainte de implementarea unui sistem AI cu grad ridicat de risc, de către implementatorii care sunt organisme de drept public sau sunt entități private care furnizează servicii publice (de exemplu, spitale sau clinici private care oferă servicii publice de sănătate în baza unor parteneriate public-private, operatori de autobuze, tramvaie sau metrou care funcționează pe baza unui contract de concesiune cu autoritățile publice, etc.). În mod similar cu prevederile aplicabile în cazul DPIA, art. 27 din AI Act prevede elementele obligatorii ce trebuie incluse în FRIA.

3. Asigură transparența prin furnizarea de informații clare și complexe angajaților

În practică, principiul transparenței este implementat în mod corespunzător de către operatorii de date prin punerea la dispoziția persoanelor vizate a notelor de informare privind prelucrarea datelor, care includ informațiile prevăzute la Articolele 13 și 14 din GDPR.

În ceea ce privește utilizarea soluțiilor de AI, orice angajator ar trebui să se asigure că aceste note de informare cuprind inclusiv mențiuni referitoare la simpla interacțiune a persoanelor vizate cu un sistem de AI, într-o manieră care să permită acestora (respectiv angajaților) să înțeleagă, după caz, modul în care sistemele de AI iau decizii în privința lor, modalitatea în care datele lor sunt utilizate pentru a testa și/sau a antrena un anumit sistem și rezultatul potențial al unei astfel de prelucrări bazate pe AI. În linii mari, este esențial ca notele de informare să includă, printre altele, următoarele elemente:

- ce date sunt colectate; - împrejurarea că angajații vor interacționa cu un sistem de AI (aplicabilă mai ales în cazul sistemelor de AI cu grad ridicat de risc); - cum sunt prelucrate datele prin utilizarea instrumentelor bazate pe AI; - care este scopul activităților de prelucrare; - drepturile angajaților privind prelucrarea bazată pe AI.

Angajatorul trebuie să se asigure că elementele de mai sus sunt explicate într-o manieră simplă și cuprinzătoare, în special în ceea ce privește deciziile bazate exclusiv pe prelucrarea automată și profilare, ce ar putea avea un  impact asupra relațiilor de muncă.

4. Respectă principiul reducerii la minimum a datelor și a limitării legate de scop

Indiferent dacă este vorba despre implementarea sau simpla utilizare a instrumentelor bazate pe AI, angajatorii trebuie să respecte în mod concret principiile reducerii la minimum a datelor și limitării legate de scop prevăzute de GDPR. În acest sens, pentru a respecta aceste principii, angajatorii trebuie să aibă în vedere:

▸ Limitarea colectării datelor: colectarea strict a datelor care sunt necesare pentru scopurile specifice pentru care instrumentul bazat pe AI este utilizat sau implementat în cadrul companiei. ▸ Comunicarea explicită a scopurilor specifice: definirea și comunicarea clară către persoanele vizate (respectiv, oricare persoană din companie) a scopurilor pentru care datele vor fi utilizate și asigurarea că sistemele de AI nu vor reutiliza datele în alte scopuri decât cele pentru care au fost inițial colectate.

5. Implementează măsuri de securitate robuste

În mod similar cu obligațiile impuse de GDPR, având în vedere că utilizarea instrumentelor bazate pe AI în contextul relațiilor de muncă implică prelucrarea datelor cu caracter personal ale angajaților, angajatorii sunt, în egală măsură, obligați să implementeze măsuri de securitate eficiente. Acestea pot include:

▸ Măsuri tehnice de protecție: criptarea datelor, implementarea unui control al accesului la date și a unor soluții de stocare securizate sunt măsuri tehnice și organizatorice utilizate în mod frecvent de către operatori. ▸ Realizarea unor evaluări regulate a securității: spre exemplu, auditarea sistemelor de AI (implementate sau utilizate) în mod regulat pentru a asigura securitatea acestora și a identifica oricare eventuale vulnerabilități. ▸ Implementarea unor planuri de răspuns la incidente de securitate: angajatorii ar trebui să elaboreze o politică internă sau un protocol pentru a răspunde la încălcări ale securității datelor, care să includă modul în care vor fi notificați angajații afectați și autoritățile competente în astfel de scenarii.

6. Acordă o atenție sporită proceselor decizionale individuale automatizate și profilare

În acest caz, fiecare angajator care utilizează instrumente bazate pe AI în cadrul raporturilor cu angajații săi trebuie să abordeze aceste aspecte specifice care ridică în mod constant dificultăți pentru persoanele vizate (angajații). Astfel, sunt importante următoarele măsuri:

▸ Asigurarea supravegherii umane: implementarea măsurilor corespunzătoare astfel încât deciziile care impactează angajații să nu fie luate exclusiv în mod automatizat ca urmare a rezultatelor generate de sistemul de AI și să fie supuse unei verificări umane. ▸ Informarea adecvată a angajaților: în cazul utilizării instrumentelor de AI pentru procese decizionale individuale automatizate (spre exemplu, luarea unor decizii privind angajarea, care evaluează în mod automatizat angajații, alocarea de sarcini în mod automatizat angajaților, pe baza comportamentului individual, caracteristicilor sau însușirilor personale), angajații au dreptul de a fi informați în legătură cu modul în care sunt luate astfel de decizii.
▸Angajații își cunosc drepturile: angajații trebuie să fie informați în legătură cu dreptul lor de a se opune unui proces decizional individual automatizat^[3] ori profilării^[4] și despre modul în care să conteste astfel de decizii (articolele 21 și 22 din GDPR sunt relevante în acest caz). Veți putea afla mai multe despre procesele decizionale individual automatizare și profilare în legătură cu acest subiect în Partea III a articolului nostru.

7. Verifică atent partenerii contractuali și realizează audituri

Aceste măsuri de precauție pot include:

▸ Evaluarea furnizorilor/partenerilor contractuali terți: angajatorii ar trebui să se asigure că furnizorii de soluții AI respectă reglementările privind protecția datelor și au implementat măsuri de securitate adecvate în soluțiile lor de AI. ▸ Încheierea unor acorduri de prelucrare a datelor (DPA): contractele încheiate de angajatori cu furnizorii ar trebui să includă clauze privind protecția datelor cu caracter personal, care să stipuleze rolurile și responsabilitățile fiecărei părți în temeiul reglementărilor specifice prevăzute de articolul 28 din GDPR. ▸ Efectuarea unor audituri regulate: angajatorii ar trebui să monitorizeze conformitatea terților, în special cu privire la soluțiile AI bazate pe cloud.

8. Respectă principiile exactității și echității datelor

Principiul exactității datelor, prevăzut de GDPR, trebuie respectat în cazul utilizării datelor cu caracter personal ca input pentru folosirea sistemelor de AI, luând în considerare, în special, rezultatele potențial dăunătoare ce pot fi furnizate ca urmare a antrenării sistemelor de AI pe baza unor date inexacte, și care pot conduce la selectarea persoanelor „într-un mod discriminatoriu sau, la un nivel mai general, în mod incorect ori injust”^[5]. Astfel, fără a distinge după cum angajatorii acționează în calitate de implementatori ai sistemelor de AI sau, pur și simplu, ca utilizatori ai soluțiilor bazate pe AI, aceștia ar trebui să întreprindă următoarele măsuri:

▸ Verificări regulate a calității datelor: respectiv, dacă datele utilizate sau introduse în cadrul modelelor de AI sunt exacte, actualizate și relevante pentru scopurile urmărite. ▸ Efectuarea de audituri pentru identificarea potențialelor prejudecăți: angajatorii ar trebui să analizeze sistemele de AI din perspectiva eventualelor prejudecăți care pot apărea în procesele decizionale automatizate (spre exemplu, în contextul angajării - pot exista instrumente de recrutare bazate pe AI, care pot genera prejudecăți împotriva femeilor). ▸ Propunerea unor măsuri corective, dacă este necesar: implementarea unor mecanisme cu scopul de a corecta oricare prejudecăți sau inexactități identificate pe parcursul auditurilor.

9. Organizează traininguri pentru instruirea angajaților și persoanelor din conducere

Pentru a ține pasul cu evoluțiile tehnologice, acționând în același timp în deplină conformitate cu dispozițiile legale aplicabile, investiția în resurse umane și know-how în cadrul unei companii este primordială. Astfel, printre altele, angajatorii ar trebui să-și instruiască angajații cu privire la:

▸ Sistemele AI: ar trebui să se asigure că personalul, în special cel implicat în gestionarea instrumentelor AI, își înțelege responsabilitățile privind confidențialitatea datelor. ▸ Conștientizarea regulilor de protecție a datelor: angajatorii ar trebui să instruiască personalul cu privire la implementarea și aplicarea eficientă a principiilor GDPR (sau a reglementărilor naționale privind protecția datelor), cum ar fi respectarea principiilor reducerii la minimum a datelor, limitărilor legate de scop și legalității prelucrării.

10. Revizuirea constantă și actualizarea politicilor de protecție a datelor

Unele dintre cele mai comune practici care pot ajuta angajatorii să se conformeze principiilor de protecție a datelor și regulilor aplicabile în cazul utilizării (sau chiar a implementării) soluțiilor sau instrumentelor bazate pe AI pot include:

▸ Revizuirea regulată a politicilor: actualizări periodice ale politicilor interne de protecție a datelor pentru a reflecta schimbările tehnologiei AI sau cerințele de reglementare. ▸ Documentarea corespunzătoare: aceasta poate consta în păstrarea unor evidențe a modificărilor politicilor și asigurarea că acestea sunt accesibile angajaților. ▸ Efectuarea unor audituri interne: efectuarea regulată a auditurilor interne pentru a asigura conformitatea cu politicile și practicile de protecție a datelor poate fi o soluție salvatoare pentru afacere.

11. Prioritizează și respectă constant drepturile angajaților

În ceea ce privește drepturile persoanelor vizate (respectiv, angajații), angajatorii, în calitate de operatori de date, au următoarele obligații:

▸ Permiterea accesului la date, asigurarea rectificării și a ștergerii datelor: angajatorii trebuie să se asigure că angajații își pot accesa datele, pot solicita rectificarea acestora ori ca datele lor să fie șterse. ▸ Asigurarea portabilității datelor: dacă este cazul și la cerere, angajatorii trebuie să furnizeze angajaților datele lor într-un format structurat, utilizat în mod curent și care poate fi citit automat. ▸ Soluționarea solicitărilor justificate: angajatorii trebuie să stabilească și să implementeze un mecanism pentru a răspunde în mod prompt la solicitările angajaților de acces la date sau de ștergere a datelor sau la oricare tip de solicitare formulată de către angajați în temeiul prevederilor GDPR.

(iii) Concluzia?

După cum se poate observa, utilizarea platformelor sau instrumentelor bazate pe AI este, indubitabil, un avantaj important, însă doar dacă se realizează în mod responsabil. Prin implementarea unor politici transparente, prioritizarea reducerii la minimum a datelor și adoptarea unei abordări bazate pe asigurarea protecției datelor începând cu momentul conceperii și în mod implicit, angajatorii pot transforma utilizarea AI într-un aliat de încredere în călătoria lor către conformitate, sporind, totodată, eficiența diverselor sarcini și interacțiuni realizate de către angajați.

Rămâneți aproape pentru Partea a III-a a articolului nostru!

Nu uitați să vă abonați la newsletter-ul nostru pentru a fi la curent cu cele mai recente noutăți juridice.

^[1] „Implementator” - înseamnă o persoană fizică sau juridică, autoritate publică, agenție sau alt organism care utilizează un sistem de IA aflat sub autoritatea sa, cu excepția cazului în care sistemul de AI este utilizat în cursul unei activități personale, fără caracter profesional.

^[2] https://www.tidio.com/blog/ai-recruitment/

^[3] Decizii luate cu privire la persoane exclusiv prin mijloace automate, fără nicio implicare umană. Aceasta implică, de obicei, utilizarea algoritmilor sau a inteligenței artificiale (AI) pentru prelucrarea datelor cu caracter personal și luarea de decizii pe baza datelor respective.

^[4] Prelucrarea automată a datelor cu caracter personal pentru a evalua sau a prezice diverse caracteristici ale unei persoane. Scopul este adesea de a categoriza persoanele pe baza unor trăsături sau comportamente specifice, permițând organizațiilor să ia decizii sau să vizeze persoanele în moduri specifice (de exemplu, în ceea ce privește performanța la locul de muncă, situația economică, sănătatea, comportamentul, interesele, locația).

^[5] Considerentul (59) din AI Act.