Правове
Відповідальний AI і захист даних
Коротке й чесне резюме того, як AskEU підходить до ризиків AI та персональних даних. Це наша власна оцінка, а не юридичний висновок чи сертифікація.
Завантажити як PDF (англійською)
Чим AskEU є і чим не є
AskEU є інформаційним сервісом про медичні права. Він не ставить діагнозів, не радить лікування, не обробляє медичних записів і не ухвалює рішень щодо людей. Для користування не потрібен акаунт, а даних про здоров’я він ніколи не просить.
Акт ЄС про AI: наша оцінка
- Прозорість (ст. 50): людям повідомляють, що вони спілкуються з AI, а кожна відповідь, написана AI, позначена як створена AI.
- Клас ризику: ми оцінюємо AskEU як систему обмеженого ризику. Він не вирішує питань доступу до виплат чи послуг і не сортує невідкладні випадки, тож не підпадає під високоризикові застосування з додатка III.
- Наша роль: ми впроваджуємо модель AI загального призначення стороннього постачальника. Бібліотека правил, інструкції та перевірки наші.
- Ми переоцінимо це, якщо зміниться обсяг, наприклад, якщо державна установа захоче використовувати AskEU для ухвалення рішень про право на виплати.
GDPR: наша оцінка
- Дані, які ми обробляємо: для раннього доступу email, країна, категорія статусу, мова та за бажанням організація й запитання. Логи розмов псевдонімізуються й зберігаються 90 днів.
- Правова підстава: згода, договір і легітимний інтерес (ст. 6(1)(a), (b), (f)). Дані зберігаються в ЄС. Доступ, виправлення чи видалення можна запитати на privacy@ask.eu.com.
- Чутливі дані: ми ніколи їх не запитуємо, але люди можуть вписати їх у вільне запитання. Ми застерігаємо від цього, зберігаємо логи недовго й видаляємо їх за запитом.
- DPIA: ми вважаємо, що повна оцінка впливу на захист даних (ст. 35) на цьому етапі не потрібна, бо немає систематичного стеження й масової обробки даних про здоров’я. Це резюме є нашою полегшеною версією. Повну DPIA ми проведемо перед масштабуванням або додаванням акаунтів чи функцій, пов’язаних зі здоров’ям.
Основні ризики й що ми з ними робимо
| Ризик | Що ми робимо |
|---|---|
| Хибна або застаріла відповідь | Відповіді можуть спиратися лише на закриту бібліотеку перевірених правил. Кожен пункт веде до правила та його офіційного джерела, а непідтверджені пункти прибираються. Правила, що змінюються, мають попередження. Якщо жодне правило не підходить, AI так і каже. |
| Невідкладний медичний стан | На кожній сторінці є повідомлення про 112, а AI має інструкцію першим пунктом називати виклик 112, якщо йдеться про невідкладний стан. AskEU чітко каже, що він не є екстреною службою. |
| Чутливі дані, введені людиною | Ні форми, ні AI їх не запитують, повідомлення просить їх не вказувати, логи псевдонімізуються й видаляються через 90 днів, а видалення можна попросити будь-коли. |
| Вразливі користувачі й непорозуміння | Новоприбулі й біженці можуть неправильно зрозуміти відповідь або надто на неї покластися. Ми пишемо простими словами чотирма мовами, залишаємо офіційні терміни в дужках, щоб вони збігалися з формами, завжди вказуємо, до кого звернутися, і повторюємо застереження поруч із відповідями. |
| Залежність від одного постачальника AI | Бібліотека правил і перевірки належать AskEU й відокремлені від моделі, тож модель можна замінити. До моделі потрапляє лише текст запитання, а не дані раннього доступу. |
| Інцидент безпеки | Жодних акаунтів і мінімум даних. Суворі заголовки безпеки та політика CSP, хостинг у ЄС і ліміти запитів до сервісу AI. Якщо буде порушено персональні дані, ми повідомимо наглядовий орган протягом 72 годин, як вимагає GDPR. |
Наступні кроки
- Незалежний юридичний перегляд цієї оцінки перед публічним запуском.
- Перевірка точності за опублікованими цілями перед запуском.
- Повна DPIA перед масштабуванням або додаванням акаунтів.
- Запитання: privacy@ask.eu.com