GDPR и Закон ЕС об ИИ:Чек-лист по ИИ-инфраструктуре

Два регламента регулируют развёртывание ИИ, затрагивающее субъектов данных ЕС: GDPR, который регулирует персональные данные, и Закон ЕС об ИИ, который регулирует системы ИИ по уровню риска. Они пересекаются. Это руководство отсекает юридический текст от того, что они реально требуют от вашей инфраструктуры, — и предоставляет чек-лист для проверки развёртывания на соответствие обоим.

ОриентацияДва регламента, один стек

Полезно чётко разграничить задачи двух регламентов, а затем посмотреть, где они пересекаются на вашей инфраструктуре.

GDPRЧто GDPR требует от вашей инфраструктуры

GDPR основан на принципах, однако ряд принципов напрямую транслируется в требования к инфраструктуре:

• Законность и ограничение цели — вы можете назвать правовое основание и цель для каждой категории данных, обрабатываемых ИИ.
• Минимизация данных — система извлекает и предоставляет модели только данные, необходимые для задачи; PII маскируются там, где они не нужны.
• Безопасность обработки (ст. 32) — шифрование при передаче и в состоянии покоя, контроль доступа, изоляция арендаторов и возможность их демонстрации.
• Ограничение хранения и удаление — данные могут быть удалены по запросу и по истечении срока хранения, в том числе из векторных хранилищ и журналов.
• Записи и подотчётность — вы можете предоставить реестр операций обработки и продемонстрировать средства контроля, а не просто декларировать их.
• Трансграничные передачи — там, где данные покидают ЕС (например, через закрытый API), действуют надлежащий механизм передачи (например, SCC) и оценка рисков передачи.

GDPRКогда необходима DPIA

Оценка воздействия на защиту данных требуется там, где обработка, вероятно, создаёт высокий риск для физических лиц, — а масштабная обработка персональных данных с помощью ИИ нередко именно такова. DPIA документирует обработку, оценивает необходимость и соразмерность, анализирует риски и фиксирует меры их снижения. Рассматривайте её как артефакт, который связывает средства контроля инфраструктуры с юридическим требованием.

Закон ЕС об ИИУровни риска и их требования

Закон ЕС об ИИ классифицирует системы по риску и устанавливает обязательства соответственно. Уровень, к которому относится ваш сценарий использования, определяет тяжесть требований к инфраструктуре:

Большинство ИИ общей производительности относится к ограниченному или минимальному уровню, где главная обязанность — прозрачность. Но как только система влияет на решение о человеке — найме, кредитовании, праве на услугу — применяются обязательства высокого риска, и ваша инфраструктура должна обеспечивать ведение журналов, прослеживаемость и возможность надзора человека.

Чек-листЧек-лист по ИИ-инфраструктуре

Данные и локализация

• Инференс и хранение привязаны к известной, задокументированной юрисдикции.
• Персональные данные минимизированы, а PII маскируются до того, как достигнут модели там, где они не нужны.
• Данные могут быть удалены по запросу и по истечении срока хранения — в том числе из векторных хранилищ и журналов.

Безопасность и доступ

• Шифрование при передаче (TLS 1.3) и в состоянии покоя (AES-256) с задокументированным управлением ключами.
• Изоляция арендаторов и ролей применяется в слое поиска, а не только в интерфейсе.
• Трансграничные передачи охвачены надлежащим механизмом и оценкой рисков передачи.

Прозрачность, ведение журналов и надзор

• Пользователям сообщается, когда они взаимодействуют с системой ИИ или контентом, сгенерированным ИИ.
• Каждое взаимодействие с ИИ неизменно регистрируется с достаточной детализацией для восстановления произошедшего.
• Для высокорисковых применений существуют путь надзора человека и техническая документация.

Управление и документация

• DPIA существует там, где обработка сопряжена с высоким риском.
• Подписанный DPA заключён с каждым обработчиком; BAA — там, где задействованы данные о здоровье.
• Реестр операций обработки и матрица средств контроля доступны для проверки.