Realizar una evaluación de impacto

Algunos usos de la IA tratan datos personales de un modo que puede afectar gravemente a las personas: datos de salud, datos de colaboradores para una evaluación, tratamiento a gran escala. En estos casos, la nueva LPD, en su artículo 22, y el RGPD, en su artículo 35, exigen una evaluación de impacto relativa a la protección de datos antes de empezar.

• La descripción del tratamiento: finalidad, datos, personas afectadas, plazo de conservación.
• La valoración de los riesgos para la personalidad y los derechos fundamentales de las personas.
• Las medidas previstas para reducir esos riesgos.
• La conclusión: ¿es aceptable el riesgo residual?

Para la descripción, el expediente de conformidad de Learnya le proporciona muchos elementos: localización de los datos y de los modelos en Suiza, no utilización de los contenidos para el entrenamiento, contrato de tratamiento, exportación de autoservicio. Los riesgos y las medidas, en cambio, dependen de su uso.

Si, a pesar de las medidas, el riesgo sigue siendo alto, la nueva LPD prevé consultar al Encargado federal de protección de datos y transparencia antes de empezar, en su artículo 23. El RGPD prevé igualmente la consulta a la autoridad de control. En la mayoría de los casos, unas medidas mejores bastan para evitar este paso.