AI và LPD/nLPD tại Thụy Sĩ: điều này có ý nghĩa gì

Cơ quan Bảo vệ Dữ liệu và Thông tin Liên bang (PFPDT) đã xác nhận lập trường của mình vào tháng 11 năm 2023: luật bảo vệ dữ liệu hiện hành áp dụng trực tiếp cho AI. Thụy Sĩ không có luật riêng về trí tuệ nhân tạo, khác với Liên minh Châu Âu và AI Act của họ. Nhà lập pháp Thụy Sĩ đã chủ ý lựa chọn cách tiếp cận dựa trên trung lập công nghệ: các quy tắc hiện có (nLPD, Luật Nghĩa vụ, LRFP) áp dụng cho mọi công nghệ, bao gồm cả AI. Điều này có nghĩa là hệ thống CRM tích hợp AI, công cụ phân tích dự đoán hay trợ lý hội thoại nội bộ của bạn đều nằm trong phạm vi áp dụng của nLPD ngay khi chúng xử lý dữ liệu liên quan đến một người có thể nhận dạng được.

Bất kể tính chất của hệ thống AI được triển khai là gì, năm nguyên tắc của nLPD đều ràng buộc tổ chức chịu trách nhiệm xử lý dữ liệu.

nLPD trao cho các cá nhân liên quan quyền phản đối các quyết định được đưa ra chỉ dựa trên xử lý tự động, khi những quyết định đó có hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự đối với họ. Cụ thể: nếu công cụ AI của bạn tự động từ chối một ứng viên, ấn định mức phí bảo hiểm hoặc từ chối khoản tín dụng mà không có sự can thiệp của con người, cá nhân liên quan có thể yêu cầu một người thực sự xem xét lại quyết định đó. PFPDT diễn đạt điều này theo nghĩa quyền tự quyết kỹ thuật số cao: các doanh nghiệp phải trao cho cá nhân liên quan phương tiện để hiểu và, khi cần thiết, để phản đối các quyết định tự động ảnh hưởng đến họ. Quyền phản đối này không phải là tùy chọn: nó phải được vận hành trước khi triển khai hệ thống, không phải sau đó.

nLPD đưa ra nghĩa vụ thực hiện Đánh giá Tác động Bảo vệ Dữ liệu (AIPD, hay DPIA trong tiếng Anh) trước bất kỳ quá trình xử lý nào có thể gây ra rủi ro cao đối với các quyền và tự do cơ bản của cá nhân liên quan. Đối với các hệ thống AI, ngưỡng rủi ro cao thường nhanh chóng đạt đến. AIPD là bắt buộc đặc biệt khi: việc xử lý liên quan đến dữ liệu nhạy cảm ở quy mô lớn (sức khỏe, quan điểm chính trị, dữ liệu sinh trắc học), hệ thống thực hiện lập hồ sơ mở rộng về cá nhân, các quyết định tự động có hiệu lực pháp lý hoặc kinh tế đáng kể, hoặc việc xử lý liên quan đến giám sát có hệ thống trong không gian công cộng. AIPD phải được thực hiện trước khi ra mắt, được ghi lại và cập nhật nếu hệ thống thay đổi. Nếu phân tích cho thấy rủi ro tồn dư cao chưa được giảm thiểu, có thể tham vấn PFPDT.

Mặc dù nLPD không lập danh sách đầy đủ các ứng dụng AI bị cấm, một số thực hành rõ ràng không tương thích với các quyền cơ bản mà luật này bảo vệ, cũng như với lập trường của PFPDT.

Một trong những trường hợp phổ biến nhất trong doanh nghiệp: sử dụng dữ liệu nội bộ (email, hồ sơ nhân sự, lịch sử khách hàng, hợp đồng) để huấn luyện hoặc tinh chỉnh mô hình AI. nLPD áp đặt một số biện pháp bảo vệ. Đầu tiên là mục đích: dữ liệu thu thập để quản lý hợp đồng khách hàng không thể được tái sử dụng để huấn luyện mô hình AI mà không có cơ sở pháp lý riêng. Tiếp theo là vị trí lưu trữ: nếu mô hình được lưu trữ bởi nhà cung cấp ngoài Thụy Sĩ hoặc ngoài EEE, việc truyền dữ liệu quốc tế xảy ra, phải tuân theo các đảm bảo phù hợp của nLPD. Cuối cùng là sự thiếu minh bạch của các mô hình: một khi đã được huấn luyện, rất khó đảm bảo rằng không có dữ liệu cá nhân nào có thể bị trích xuất hoặc suy luận ra. Kiến trúc có chủ quyền, với mô hình được triển khai trên cơ sở hạ tầng châu Âu hoặc trên máy chủ của chính bạn, là giải pháp mạnh mẽ nhất cho vấn đề này.

Một điểm thường bị đánh giá thấp: khác với RGPD/GDPR xử phạt doanh nghiệp, nLPD trước tiên xử phạt các thể nhân. Chính các nhà lãnh đạo, giám đốc công nghệ thông tin và một số nhân viên có thể bị truy tố và kết án phạt tiền cá nhân. Mức phạt tối đa là 250'000 CHF cho mỗi vi phạm. Các vi phạm có nguy cơ cao nhất liên quan đến: không thực hiện nghĩa vụ thông báo, không thông báo vi phạm dữ liệu cho cơ quan có thẩm quyền, hoặc vi phạm các nghĩa vụ liên quan đến quyết định cá nhân tự động. Chế tài không tự động: phải có khiếu nại được nộp. Nhưng rủi ro về uy tín, trong trường hợp có thủ tục công khai, có thể còn lớn hơn bản thân khoản phạt.

Nhiều doanh nghiệp Thụy Sĩ cũng xử lý dữ liệu của cư dân châu Âu và do đó phải tuân theo RGPD/GDPR song song với nLPD. Hai khung pháp lý này tương đồng ở những điểm thiết yếu nhưng khác nhau ở một số điểm quan trọng. Dưới đây là những khác biệt đáng kể nhất cho một dự án AI.

Khung pháp lý của Thụy Sĩ về AI đang chuyển động. Các doanh nghiệp triển khai hệ thống AI cần dự đoán một số thay đổi.

Đây là điểm khởi đầu thực tế cho các doanh nghiệp đang triển khai hoặc có kế hoạch triển khai công cụ AI. Danh sách này không phải là tư vấn pháp lý: hãy tham khảo luật sư chuyên ngành cho tình huống cụ thể của bạn.