Veri Koruma Etki Değerlendirmesi (DPIA)

Veri koruma etki değerlendirmesi, planlanan bir işleme faaliyetinin verisi kullanılan kişilere ne yaptığına dair, faaliyet başlamadan önce yürütülen yapılandırılmış yazılı bir çözümlemedir. İşlemeyi tanımlar, amaca göre gerekli ve ölçülü olup olmadığını sınar, bireyler açısından riskleri belirler ve bunları azaltan önlemleri kayda geçirir. GDPR kapsamında, işlemenin kişilerin hak ve özgürlükleri için yüksek risk doğurmasının muhtemel olduğu yerlerde zorunludur. Yapay zekâ özellikleri, DPIA'nın sormak için tasarlandığı soruları geleneksel yazılımdan daha sık gündeme getirir. Kişisel veri üçüncü taraf bir model sağlayıcısına ulaşabilir. Promptlar ve çıktılar hata ayıklama için kaydedildiğinde saklama süresi belirsizleşir. Çıktılar, belirli bir kişi hakkında, fark edilmesi zor ve o kişinin itiraz etmesi zor biçimlerde yanlış olabilir. Bir sistemin insanları profillediği ya da onlar hakkındaki kararlara katkı verdiği yerde çözümleme isteğe bağlı bir evrak işi değildir. Değerlendirmenin tanıdık bir biçimi vardır. İşlemeyi ve amacını somut olarak tarif edin. Hukuki dayanağı ve aynı amacın daha az veriyle ya da artık kimseyi tanımlamayan veriyle karşılanıp karşılanamayacağını saptayın. Alt işleyenler ve ilgili ülkeler dâhil, verinin nereye gittiğini haritalayın. Riskleri şirketin değil bireyin bakış açısından yazın, ardından önlemleri sıralayın ve bunlardan sonra hangi risklerin kaldığı konusunda dürüst olun. En yaygın zayıflık, yayın tarihi belirlendikten sonra yazılan bir DPIA'dır. O noktada belge bir gerekçelendirme alıştırmasına dönüşür; çünkü tasarımı değiştirecek yanıtlar — daha az toplayın, daha kısa saklayın, tek bölgede tutun, üçüncü tarafa hiç göndermeyin — artık karşılanabilir değildir. Erken yapıldığında bir tasarım aracıdır; geç yapıldığında bir belgedir. İşleme esaslı biçimde değiştiğinde ona geri dönün ve belgeyi kimsenin göz atmadığı bir hukuk klasöründe değil, sistemin envanter kaydının yanında tutun. Model sağlayıcısının değişmesi, yeni bir saklama ayarı ya da önermek yerine karar vermeye başlayan bir özellik çözümlemeyi değiştirir; kayıt ise ancak okuyucu onun sistemin hangi sürümünü anlattığını anlayabildiğinde işe yarar.