简介

提到人工智能（「AI」），我们不但会想到其广泛的应用范围及潜在商机，而且也会想到与之相关的风险。AI应用所产生的新风险，无可避免地亦会在个人资料保护的监管方面带来挑战。有见及此，香港个人资料私隐专员公署于2024年6月11日发布了《人工智能：个人资料保障模范框架》（《模范框架》），为企业提供指引。

建议措施

AI的使用须合乎资料数据管理价值及道德原则，例如须保持尊重、互惠及公平，紧记问责、人为监督及数据私隐等。为达致上述目标，《模范框架》建议机构在采购、实施及使用AI解决方案时采纳适当的政策、措施及程序。《模范框架》着眼于 4个主要范畴：

1.       AI策略及管治；

2.       风险评估及人为监督；

3.       AI模型的定制与AI系统的实施及管理；及

4.       与持份者的沟通及交流。

下文将概述以上4个范畴的重点。

AI策略及管治

机构应建立内部的AI管治策略，一般包括AI策略、采购AI方案时的管治考虑，以及设立AI管治委员会（或类似组织）以引领相关过程。

AI策略应就采购AI方案的目的及如何实施AI系统提供相关指引。一方面，AI策略应提供指引及AI相关的内部培训，令机构职员及人员熟识应该及不应作出的事情，并具备在采用AI系统的环境中工作的技能。另一方面，由于AI解决方案的采购往往涉及负责定制AI系统的第三方，因此《模范框架》建议的采购措施亦包括关于与外部AI采购方往来的管治考虑，例如，准AI供应商是否须遵循技术性及管治方面的国际标准。

同时，机构应成立AI管治委员会，向董事会汇报，以监督AI系统的采购、实施及使用，并且建立有效的内部汇报机制，以汇报任何系统故障，或提出有关资料保障或道德的问题以便AI管治委员会作出恰当的监察。

进行风险评估及人为监督

机构在采购、使用及管理AI系统时，机构应采取风险为本的方式，进行综合风险评估，有系统地识别、分析及评估过程中涉及的风险。风险评估应考虑的因素包括香港法例第486章《个人资料私隐条例》（《私隐条例》）的规定、个人资料的数量、敏感程度、质素、保安，以及私隐风险出现的可能性及其潜在损害的严重程度。

上述风险管理措施是建基于相称性，即风险缓减措施的类别及程度应与已识别风险的程度相符及相称。例如，机构可能使用AI系统作出决策或协助决策过程，如果AI系统可能存有演算法偏见及歧视，而所作的决策对公司非常重要或有关键影响，便需要比风险较低的AI系统设有较高程度的人为监督。在这种情况下，应在决策过程中保留人类控制权，以防止及减低AI出错的情况，这称为「人在环内」策略。

AI模型的定制与AI系统的实施及管理

定制与管理的主要流程包括三个步骤：第一，准备及管理数据；第二，定制及实施；最后，管理及持续监察。定制AI模型的主要目的是利用数据提供更多有关特定领域／情况的资讯，以提升AI方案的表现。机构在采用AI模型后需要持续检视情况，并向使用者提供支援，以确保AI系统保持有效、相关及可靠。定制及操作AI时，良好的数据管治不单保障个人资料私隐，亦可确保数据质量，这对AI系统的稳健性和公平性至为重要。在定制AI时，必须采取措施，确保遵从《私隐条例》的规定。

与持份者的沟通及交流

机构应定期及有效地与持份者（尤其是内部员工、AI供应商、个别消费者及监管机构）沟通及交流，以提高透明度及建立信任。机构往往需要解释AI作出的决定及产生的结果、披露AI系统的使用、披露风险及考虑容许拒绝使用。与持份者（尤其消费者）沟通时，应使用浅白的语言和清楚易明的方式，并设法让持份者知悉。

总结

《模范框架》不仅是一份资料私隐指引，而且提供实用的建议和最佳行事常规，协助机构在遵循《私隐条例》相关要求的前提下采购、实施及使用AI，令机构能够在利用AI优势的同时保护个人资料私隐。如果阁下的日常业务运作时常使用AI，则应细阅及了解《模范框架》全文。如有疑问，请征询律师意见。