Prawne
Odpowiedzialne AI i ochrona danych
Krótkie, uczciwe podsumowanie tego, jak AskEU podchodzi do ryzyka AI i danych osobowych. To nasza własna ocena, nie opinia prawna ani certyfikat.
Czym AskEU jest, a czym nie
AskEU to serwis informacyjny o prawach do opieki zdrowotnej. Nie stawia diagnoz, nie zaleca leczenia, nie przetwarza dokumentacji medycznej i nie podejmuje decyzji o nikim. Korzystanie nie wymaga konta, a o dane zdrowotne nigdy nie pytamy.
Akt o AI UE: nasza ocena
- Przejrzystość (art. 50): ludzie wiedzą, że rozmawiają z AI, a każda odpowiedź napisana przez AI jest oznaczona jako wygenerowana przez AI.
- Klasa ryzyka: oceniamy AskEU jako system ograniczonego ryzyka. Nie decyduje o dostępie do świadczeń ani usług i nie dokonuje selekcji nagłych przypadków, więc nie podlega zastosowaniom wysokiego ryzyka z załącznika III.
- Nasza rola: wdrażamy model AI ogólnego przeznaczenia innego dostawcy. Biblioteka przepisów, instrukcje i kontrole są nasze.
- Ocenimy to ponownie, gdy zmieni się zakres, na przykład gdy instytucja publiczna zechce używać AskEU do rozstrzygania o uprawnieniach.
RODO: nasza ocena
- Dane, które przetwarzamy: przy wczesnym dostępie e-mail, kraj, kategoria statusu, język oraz opcjonalnie organizacja i pytanie. Logi rozmów są pseudonimizowane i przechowywane 90 dni.
- Podstawa prawna: zgoda, umowa i prawnie uzasadniony interes (art. 6 ust. 1 lit. a, b, f). Dane są w UE. O dostęp, sprostowanie lub usunięcie można poprosić pod adresem privacy@ask.eu.com.
- Dane wrażliwe: nigdy o nie nie pytamy, ale ludzie mogą je wpisać w pytaniu. Ostrzegamy przed tym, krótko przechowujemy logi i usuwamy je na życzenie.
- DPIA: oceniamy, że pełna ocena skutków dla ochrony danych (art. 35) nie jest na tym etapie wymagana, bo nie ma systematycznego monitorowania ani przetwarzania danych zdrowotnych na dużą skalę. To podsumowanie jest naszą lżejszą wersją. Pełną DPIA wykonamy przed skalowaniem albo dodaniem kont lub funkcji związanych ze zdrowiem.
Główne ryzyka i nasze działania
| Ryzyko | Co robimy |
|---|---|
| Błędna lub nieaktualna odpowiedź | Odpowiedzi mogą korzystać tylko z zamkniętej biblioteki sprawdzonych przepisów. Każdy punkt prowadzi do przepisu i jego oficjalnego źródła, a niepotwierdzone punkty są usuwane. Przepisy w zmianie mają ostrzeżenie. Gdy nic nie pasuje, AI mówi o tym wprost. |
| Nagły wypadek medyczny | Na każdej stronie jest informacja o numerze 112, a AI ma instrukcję, by przy wzmiance o nagłym wypadku na pierwszym miejscu wskazać numer 112. AskEU jasno mówi, że nie jest służbą ratunkową. |
| Wpisane dane wrażliwe | Ani formularze, ani AI o nie nie pytają, komunikat prosi, by ich nie podawać, logi są pseudonimizowane i usuwane po 90 dniach, a usunięcia można zażądać w każdej chwili. |
| Osoby w trudnej sytuacji i nieporozumienia | Osoby nowo przybyłe i uchodźcy mogą źle zrozumieć odpowiedź lub zbytnio na niej polegać. Używamy prostego języka w czterech językach, zostawiamy urzędowe terminy w nawiasach, by pasowały do formularzy, zawsze wskazujemy, kogo zapytać, i powtarzamy zastrzeżenie przy odpowiedziach. |
| Zależność od jednego dostawcy AI | Biblioteka przepisów i kontrole należą do AskEU i są oddzielone od modelu, więc model można wymienić. Do modelu trafia tylko treść pytania, nie dane wczesnego dostępu. |
| Incydent bezpieczeństwa | Brak kont i minimalna ilość danych. Rygorystyczne nagłówki bezpieczeństwa i polityka CSP, hosting w UE oraz limity zapytań do usługi AI. Jeśli naruszone zostaną dane osobowe, zgłosimy to organowi w ciągu 72 godzin, jak wymaga RODO. |
Następne kroki
- Niezależny przegląd prawny tej oceny przed publicznym startem.
- Testy dokładności względem opublikowanych celów przed startem.
- Pełna DPIA przed skalowaniem lub dodaniem kont.
- Pytania: privacy@ask.eu.com