Przy wdrożeniu AI DPIA staje się obowiązkowa wtedy, gdy planowane przetwarzanie danych osobowych *najprawdopodobniej* powoduje wysokie ryzyko dla praw i wolności osób fizycznych, zanim przetwarzanie ruszy. Według dokumentacji opartej na art. 35 RODO i wytycznych UK ICO, taki próg często pojawia się przy profilowaniu, dużej skali przetwarzania lub użyciu nowych technologii.
W praktyce AI najczęściej wpada w ten obowiązek w trzech sytuacjach: przy zautomatyzowanej ocenie osób dającej skutki prawne lub podobnie istotne, przy dużej skali przetwarzania danych wrażliwych oraz przy systematycznym monitorowaniu przestrzeni publicznej. W polskim ujęciu omówionym przez źródła branżowe trzeba też patrzeć na krajowe listy operacji wysokiego ryzyka i nie zakładać, że sam fakt użycia AI zawsze przesądza o DPIA.
Minimalny zakres DPIA wynika z art. 35 ust. 7 RODO i obejmuje cztery elementy: systematyczny opis planowanych operacji i celów, ocenę niezbędności i proporcjonalności, ocenę ryzyk dla osób oraz środki planowane do ograniczenia tych ryzyk. To oznacza, że dokument nie może być ogólnym opisem projektu, tylko musi pokazywać, *jak* działa konkretny proces AI i *dlaczego* jego skala jest uzasadniona.
Według materiałów o AI i prywatności, w dobrze przygotowanej DPIA warto opisać także źródła danych, kategorie danych, odbiorców, retencję, transfery poza EOG oraz udział człowieka w podejmowaniu decyzji. W obszarze środków ograniczających ryzyko źródła wskazują m.in. minimalizację danych, ograniczenie dostępu, pseudonimizację, kontrolę błędów, udział człowieka oraz plan przeglądu i wersjonowania oceny.
Najbezpieczniej zacząć od prostego testu: czy system przetwarza dane osobowe, czy robi to na dużą skalę, czy wykorzystuje profilowanie albo automatyczne decyzje oraz czy może dotyczyć danych wrażliwych. Jeśli kilka z tych czynników występuje jednocześnie, według holenderskich i polskich materiałów praktycznych DPIA jest zwykle konieczna.
Ważne, aby DPIA obejmowała cały łańcuch AI, a nie tylko sam model. W źródłach o generatywnej AI i agentach podkreślono, że ocena powinna uwzględniać trening, inferencję, logowanie zdarzeń, wpływ na osoby, a także ryzyka wtórne, takie jak błędna identyfikacja czy nadmierne ujawnienie danych. To szczególnie istotne, gdy AI wspiera rekrutację, obsługę klienta, scoring, medycynę lub monitoring, bo w takich procesach łatwo o wysoki poziom ryzyka.
Lub System pomaga firmom B2B wdrażać AI, automatyzację i rozwiązania IT kompleksowo - od strategii po wdrożenie. Zobacz nasze usługi lub skontaktuj się z nami, aby omówić Twój przypadek.
Źródło: https://www.bartbakowski.com/wiedza/encyklopedia-ai/dpia-ocena-skutkow-dla-ochrony-danych-w-ai