Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Attualmente diverse aziende stanno ricevendo lettere dalle autorità garanti della protezione dei dati in merito all'uso dell'IA. La base giuridica è una richiesta di informazioni ai sensi dell'articolo 58, paragrafo 1, lettera a). GDPR, con cui le autorità esercitano la loro competenza di controllo. In questo modo, le autorità di vigilanza intendono evidentemente ottenere una panoramica aggiornata sull'uso dell'IA nelle aziende, in particolare nel settore delle risorse umane. Quali domande concrete pongono le autorità di protezione dei dati e come dovrebbero reagire le aziende quando ricevono una richiesta di informazioni.
Contesto: sondaggio delle autorità garanti della protezione dei dati sull’uso dell’IA
Siamo in possesso di una lettera originale del Garante regionale per la protezione dei dati e la libertà di informazione della Renania-Palatinato. Lo scopo della rilevazione è quello di “lo status quo della digitalizzazione nelle risorse umane ”valutare" e analizzare in che misura le aziende utilizzano strumenti basati sull'intelligenza artificiale.
L'autorità sottolinea espressamente che l'IA è particolarmente importante nella Elaborazione L'uso di grandi quantità di dati crea un nuovo potenziale di efficienza, che aumenta ulteriormente la necessità di test.
Suggerimento per il collegamento: L'uso dell'intelligenza artificiale e i compiti dell'autorità di controllo sulla protezione dei dati (Il Garante regionale per la protezione dei dati e la libertà di informazione della Renania-Palatinato)
Le aziende devono rispondere a queste 7 domande sull'utilizzo dell'IA
La richiesta di informazioni comprende sette domande dettagliate. Già dall’oggetto della lettera emerge chiaramente l’orientamento della richiesta: „Elaborazione dei dati nella gestione del personale; utilizzo di Intelligenza artificiale “Strumenti (IA)"
Le aziende devono rispondere alle seguenti domande:
- Quali software/strumenti informatici utilizzate nella vostra azienda per gestire la gestione del personale? Descrivete le funzioni dello strumento informatico e indicate le categorie di dati personali che vengono trattate con esso.
- Si prega di presentare tutti i documenti di trattamento rilevanti ai sensi dell'art. 30. GDPR in relazione al Elaborazione dei dati personali.
- Qualora siano state effettuate valutazioni d'impatto sulla protezione dei dati in relazione alla gestione delle risorse umane, si prega di presentarle.
- Se non avete già risposto alla domanda 1: quali software/strumenti informatici utilizzate per la gestione delle procedure di selezione? Descrivete il trattamento dei dati.
- Nella vostra azienda viene utilizzato uno strumento informatico che funziona sulla base dell'intelligenza artificiale o che, in alcuni ambiti delle sue funzionalità, si avvale di Intelligenza artificiale ? In caso affermativo, descriva lo scopo di utilizzo e il suo funzionamento. Indichi inoltre il modello di IA a cui fa ricorso lo strumento informatico.
- Se la risposta alla domanda 5 è sì: Questi strumenti informatici sono utilizzati dai dipendenti o sono utilizzati per il trattamento dei dati personali? In particolare, si prega di descrivere il trattamento effettuato in questo contesto Elaborazione dei dati personali.
- Se alla domanda 5 è stata data risposta affermativa: vengono utilizzati strumenti di intelligenza artificiale nella gestione delle procedure di selezione?
In tutte le risposte, le aziende devono inoltre spiegare come vengono gestiti tecnicamente gli strumenti (ad es. SaaS, IaaS, on-premise).
Quando devono essere risposte le domande 6 e 7?
Le aziende devono prestare molta attenzione alla formulazione delle domande:
La domanda 5 si riferisce all'uso dell'IA in tutta l'azienda, non solo nel settore delle risorse umane.
Ciò significa che:
- Se in azienda viene utilizzato uno strumento di intelligenza artificiale (ad es. MS 365 Copilot, ChatGPT, strumenti di analisi basati sull'intelligenza artificiale),
- anche se non vengono trattati dati personali,
- alla domanda 5 si deve rispondere „Sì“.
In questo caso occorre rispondere anche alle domande 6 e 7. Se l'impiego dell'IA non riguarda la gestione del personale, è possibile rispondere negativamente alle domande.
Ciò comporta un aumento del carico di lavoro in termini di documentazione e controllo.
Suggerimento di lettura: Ecco perché le mappe di modello sono così importanti per la documentazione dell'IA
Raccomandazioni operative per le aziende
Le aziende non dovrebbero sottovalutare la richiesta di informazioni da parte delle autorità. È opportuno adottare le seguenti misure:
1. Inventario completo di tutti gli strumenti informatici e di intelligenza artificiale utilizzati
Occorre tenere conto anche delle funzionalità di intelligenza artificiale nascoste nei software standard (ad esempio, suite HR, sistemi di gestione delle candidature, strumenti Office).
2. aggiornare le directory di elaborazione
In collaborazione con i dipartimenti specializzati, si deve garantire che tutti i processi in conformità con l'Art. 30 GDPR sono correttamente documentati.
3. Verifica dell’obbligo di DSFA nei processi basati sull’intelligenza artificiale
L'intelligenza artificiale che elabora i dati del personale, ad esempio nel settore del reclutamento, può essere necessariamente una Valutazione d'impatto sulla protezione dei dati (DSFA) sono necessari.
4. documentare i modelli tecnici operativi
Le autorità attribuiscono sempre maggiore importanza alle informazioni relative all’hosting, alle sedi di archiviazione, ai centri dati e all’architettura dei servizi.
5. Chiarire le responsabilità interne
Risorse umane, IT, protezione dei dati e, se applicabile. Conformità devono procedere in modo coordinato per rispettare le scadenze.
6. Far verificare la lettera da un legale
Informazioni errate o incomplete possono comportare richieste di chiarimenti o verifiche approfondite. Per evitare provvedimenti da parte delle autorità di vigilanza, è quindi consigliabile far esaminare la richiesta da un esperto in materia di protezione dei dati.
Conclusione
Le attuali richieste di informazioni dimostrano chiaramente che le autorità di vigilanza stanno prestando maggiore attenzione all’uso dell’IA nella gestione delle risorse umane e nelle imprese in generale. Le aziende dovrebbero esaminare attentamente tali comunicazioni e assicurarsi che tutte le informazioni fornite siano complete, corrette e giuridicamente valide.
Avete bisogno di assistenza per rispondere alla richiesta di informazioni da parte delle autorità o per valutare il vostro utilizzo dell’IA? I nostri esperti in materia di protezione dei dati esamineranno la vostra comunicazione, redigeranno la documentazione necessaria e vi forniranno supporto per soddisfare tutti i requisiti normativi. Contattateci per una prima consulenza senza impegno.
Suggerimento: con Governance Ailance AI avete una visione d'insieme di tutti i modelli di IA utilizzati nella vostra azienda. Il Documentazione per il Autorità di vigilanza potete crearli in modo semplice e veloce.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French