Kod nabavke AI alata u javnom sektoru, zaštita podataka nije pravna formalnost na kraju postupka — ona je kriterij po kojem se postupak dobija ili gubi. Dvije institucije mogu kupiti isti alat, a jedna od njih ga ne smije koristiti za posao zbog kojeg ga je kupila. Razlika je u tome šta je pisalo u specifikaciji i šta je ponuđač potpisao.
Pojmovi, ukratko i bez pravnog žargona
DPA (ugovor o obradi podataka) je dokument koji definiše ko je odgovoran za podatke, gdje se obrađuju i šta se smije raditi s njima. Kod AI alata je ključan jer bez njega institucija ne zna da li se njeni unosi koriste za treniranje.
Regija obrade je geografsko mjesto gdje se podaci stvarno obrađuju i čuvaju. "Radi u EU" na marketinškoj stranici nije isto što i obavezno navedena regija u ugovoru.
Klasifikovani podaci su sadržaj sa oznakom koji po domaćim propisima ne smije napustiti instituciju u obliku u kojem ga javni AI servis traži. Za takav sadržaj rješenje mora raditi izolovano, unutar institucije.
Četiri zahtjeva koja moraju biti u ugovoru
- Zabrana treniranja na podacima institucije. Ovo je najvažniji zahtjev i najčešće prećutani. Formulacija mora biti izričita i bez izuzetaka: podaci koji ulaze u alat ne koriste se za treniranje, prilagođavanje ni poboljšanje modela. Dokaz nije izjava u ponudi — dokaz je DPA dokument i uslovi korištenja priloženi uz ponudu.
- Regija obrade i čuvanja podataka. Za neklasifikovane podatke: obrada u EU regijama, sa obavezom da institucija bude obaviještena o svakoj promjeni. Za klasifikovane podatke: izolovana infrastruktura, bez prijenosa podataka izvan institucije.
- Izlaz i brisanje na kraju ugovora. Institucija mora dobiti sve svoje podatke i istoriju razgovora u čitljivom formatu, a ponuđač dostaviti dokaz o brisanju u definisanom roku (najčešće 30 dana). Bez ove odredbe institucija je zaključana kod jednog ponuđača.
- Vidljivost potrošnje i pristupa. Institucija mora znati ko je šta unosio, koliko se troši i kada se prelazi uključena kvota. To je i revizorski trag i osnov za planiranje budžeta.
Neklasifikovano i klasifikovano: dva različita projekta
Najčešća greška u specifikacijama je miješanje ova dva nivoa. Rezultat je jedan od dva ishoda: ili institucija kupi rješenje koje zadovoljava najstroži uslov (i plati mnogo više nego što je potrebno za posao koji stvarno radi), ili kupi rješenje po cijeni običnog posla, a onda otkrije da ne smije ući u dio podataka.
Praktično pravilo: prvo popišite podatke po tri korpe — javni, interni neklasifikovani, klasifikovani. Za prve dvije korpe rješenje je javni AI servis sa ugovornim garancijama i EU regijom obrade. Za treću korpu je izolovana infrastruktura. Trošak se planira po korpama, ne po instituciji u cjelini.
EU AI Act i šta to znači u BiH
EU AI Act ne važi direktno u BiH, ali utiče na svaku instituciju koja radi sa partnerima iz EU ili koristi alate koji se prodaju u EU. Ključno: primjene koje pomažu u odlučivanju o pravima i statusu osobe (zapošljavanje, socijalna prava, pravosuđe) su visokorizične i traže ljudski nadzor, tehničku dokumentaciju i evidenciju rada sistema. Zato je zahtjev "odluka ostaje na ljudskom nosiocu" praktična korist, a ne pravni teret.
Kratki odgovori
Je li dovoljno da alat ne čuva podatke duže od 30 dana? Nije. Ključno je da se ne koriste za treniranje i da je regija obrade definisana.
Smije li institucija zabraniti AI alate? Može ograničiti koje alate koristi za službene poslove, a zaposleni i tako koriste privatne — zato je uređena nabavka bolja od zabrane.
Ko je odgovoran ako alat pogriješi? Odgovorna je institucija odnosno nosilac zadatka; zato se odgovornost i nadzor moraju definisati prije uvođenja, ne poslije.
Koliko košta izolovana infrastruktura? Zavisi od broja korisnika i količine dokumenata; za manje timove je to najveći pojedinačni trošak, za veće institucije jedini način da klasifikovani sadržaj uopšte bude obuhvaćen.
Ako trebate provjeru DPA dokumenta ili pomoć pri razvrstavanju podataka u korpe, javite se — to radimo bez naplate i bez obaveze pripreme ponude.
Kontakt: hello@bixie.ba