NAIH Ungarn: KI-styring og DPO-regler
Ungarns datatilsyn er NAIH - Nemzeti Adatvedelmi es Informacioszabadsag Hatosag. Myndigheten har utgitt den mest detaljerte KI-veiledningen fra noen sentraleuropeisk datatilsynsmyndighet. I 2024 utstedte den 38 handhevelsesavgjorelser. Den publiserte ogsa regler som krever DPIA for hvert KI-system som handterer personopplysninger. Disse reglene gar lenger enn GDPR-grunnlinjen.
NAIHs KI-handhevelsesregler
De fleste EU-tilsynsmyndigheter publiserer bred KI-veiledning. Ungarns DPA gikk lenger. Veiledningen fra 2024 er operasjonelt spesifikk.
DPIA pakreves for alle KI-systemer: Hvert KI-system som beroter personopplysninger, krever en DPIA forst. Tilsynet krever dette for idriftsettelse. Dette gjelder selv nar behandlingen ikke er "hoyrisiko" etter GDPR artikkel 35. Det er strengere enn GDPRs egen risikobaserte tilnaerming.
Hva en NAIH DPIA ma inneholde:
- En teknisk beskrivelse av KI-modellens datainnganger og -utganger
- Dokumentasjon pa at treningsdata var anonymisert eller hadde gyldig rettslig grunnlag
- En vurdering av algoritmisk diskrimineringsrisiko
- Et menneskelig gjennomgangstrinn for automatiserte avgjorelser
- En oppbevaring- og sletteplan for KI-behandlede data
Arlig gjennomgang: Myndigheten krever at DPIAer oppdateres hvert ar. Dette gjelder nar et KI-system trenes pa nytt eller endres vesentlig.
Ungarn handterte over 890 000 GDPR-dataforespreler i 2024. Det er et stort volum for et land med 10 millioner innbyggere. Det signaliserer aktiv rettsbruk og reelt press pa samsvarsgrupper.
NER-noyaktighetsgapet
Myndighetens gjennomgang fra 2024 testet NER-modeller pa ungarsk tekst. De scorte bare 67 % noyaktighet. EU-gjennomsnittet er 82 %. Det 15-poengs gapet har reelle samsvarskostnader.
Ungarsk er et agglutinerende sprak. Det bygger ord gjennom mange endelser. Navn, adresser og ID-er pa ungarsk ser svart annerledes ut enn data pa engelsk eller tysk. Verktoy trent pa disse sprakene misser en stor andel personopplysninger pa ungarsk. Se var veiledning for flerspraklig oppdagelse av personopplysninger for hvordan dette gapet pavirker GDPR-samsvar pa tvers av sprak.
Tilsynet fant at generiske NLP-verktoy overser TAJ-szam i 61 % av dokumentene. Formatvariasjon og manglende kontrollsumstotte er de viktigste arsakene.
Ungarske nasjonale identifikatorer
Team som behandler dokumenter i Ungarn, ma oppdage disse ID-typene noyaktig. Se var veiledning for oppdagelse av nasjonale EU-skatte-ID-er for full EU-dekningssammenheng.
TAJ-szam (Tarsadalombiztositasi Azonosito Jel): Et 9-sifret trygdenummer. Det finnes i helse-, trygde- og pensjonsjournaler. Validering bruker et vektet kontrollsum fastsatt av Trygdemyndigheten.
Adoazonositojel: Et 10-sifret personlig skatte-ID. Formatet er en 8-sifret kjerne pluss 2 kontrollsifre. Det finnes i lonnsjournaler, selvangivelser og arbeidskontrakter.
Szemelyi igazolvany-nummer: Nasjonalt ID-kortnummer. Format og kontrollsiffer-regler folger utstedelsesmyndigheten.
Utlevel szam: Passnummer. Format og kontrollsiffer folger ogsa regler fastsatt av utstedelsesmyndigheten.
Ugyfélkapu-konteksten
Ungarn kjorer de fleste offentlige tjenester gjennom en plattform - Ugyfélkapu (klientportal). Over 4 millioner borgere bruker den til skatt, trygd, helsehjelp og lisenser. Private selskaper kobler seg til Ugyfélkapu for lonns-, trygde- eller identitetskontroller. Disse selskapene behandler de samme identifikatorene i en regulert kontekst.
Myndigheten har funnet at disse selskapene ofte bruker internasjonale personopplysningsverktoy. De fleste av disse mangler stotte for identifikatorene ovenfor. Det forer til oversette data og direkte samsvarsrisiko.
Overlapp med EUs KI-forordning
Ungarn var tidlig ute med a integrere KI-forordningsregler i DPA-veiledningen. Tilsynets standpunkt er klart.
Hoyrisiko-KI-systemer er oppfort i KI-forordningens vedlegg III. Disse dekker jobber, kredittscore og essensielle tjenester. De krever bade samsvarsvurdering etter KI-forordningen og NAIH DPIA.
Allmennyttige KI-modeller som behandler data om personer i Ungarn, trenger ogsa en NAIH DPIA. Dette gjelder selv nar modellen ikke er oppfort som hoyrisiko etter KI-forordningen.
For team som tar i bruk KI i Ungarn, bestar kjernesjekklisten av tre punkter. Fullfore en NAIH DPIA for lansering. Verifisere at NER-verktoyene dekker enhetene ovenfor i ungarsk tekst. Bekreft TAJ-szam og adoazonositojel-oppdagelse med kontrollsumvalidering.