Европейский совет по защите данных выпустил мнение о обработке данных при развертывании моделей ИИ

Орган по защите данных Европейского Союза высказался по возникающим вопросам, касающимся законности генеративного ИИ. Совет изучил лазейки, которые разработчики ИИ могут использовать для обработки персональных данных без нарушения действующего законодательства.  

Европейский совет по защите данных задался вопросом о правовом основании для обработки разработчиками ИИ персональных данных пользователей. В своем мнении опубликованном 17 декабря совет рассмотрел различные вопросы общего применения в соответствии со статьей 64(2) GDPR.  

Орган по защите данных Европейского Союза высказался по вопросам защиты данных и развертывания ИИ 

Европейский совет по защите данных (EDPB) выпустил это мнение по запросу ирландского надзорного органа. Совет отметил, что у него есть законодательные полномочия согласно Общему регламенту по защите данных (GDPR) выпускать мнения по вопросам, затрагивающим более одного государства-члена в рамках Европейского Союза. 

Агентство отметило, что запросы, представленные ирландским органом, касаются обработки персональных данных в фазах разработки и развертывания искусственного интеллекта (ИИ). Оно сузило сферу мнения до четырех вопросов, связанных с защитой данных в Европейском Союзе. 

Вопросы включали определение того, когда и как модель ИИ может считаться анонимной, а также то, как контролеры могут обосновать необходимость законного интереса при развертывании. Совет также исследовал последствия незаконной обработки данных в фазе разработки модели ИИ на последующую эксплуатацию этой модели. 

Отвечая на вопрос о том, когда и как можно определить анонимность модели ИИ, орган заявил, что компетентный местный орган должен принимать такое решение в каждом конкретном случае. Совет выразил что он не считает все модели ИИ, обученные с использованием персональных данных, анонимными. 

Орган рекомендовал национальным надзорным органам оценить соответствующую документацию, предоставленную контролером, для определения анонимности модели. Он добавил, что контролерам также следует предпринять соответствующие шаги по ограничению сбора персональных данных в процессе обучения и минимизации потенциальных атак.

Что касается вопроса о законном интересе как надлежащей правовой основе для обработки персональных данных в ходе развертывания моделей ИИ, то совет оставил на усмотрение контролеров определение подходящей правовой основы для обработки таких данных. 

ЕДПЗ подчеркнул трёхэтапный тест для определения законных интересов, применяемый надзорными органами. Этапы включают выявление фактического законного интереса и анализ его необходимости. Контролеры также должны оценить, балансирует ли законный интерес с правами и свободами субъектов данных. 

При оценке последствий орган передал дискреционные полномочия надзорным властям соответствующих государств. Он добавил, что надзорные органы должны выбирать соответствующие последствия в зависимости от фактов каждого конкретного случая. 

Комментарии Ирландской комиссии по защите данных к мнению ЕДПЗ о регулировании моделей искусственного интеллекта 

Ирландская комиссия по защите данных ответила заявлением, отметив, что это мнение будет способствовать эффективному и согласованному регулированию моделей ИИ в ЕС. Комиссар Дейл Сандерленд прокомментировал:

Это также поддержит взаимодействие DPC с компаниями, разрабатывающими новые модели ИИ, до их запуска на рынке ЕС, а также обработку множества жалоб, связанных с ИИ, которые были поданы в DPC.

Дейл Сандерленд 

По сообщениям, жалобы на создателя ChatGPT компанию OpenAI за последние месяцы были оформлены официально. Польский орган по защите данных в прошлом году поднял вопросы о соответствии разработчика ИИ требованиям GDPR. 

Орган власти заявил, что OpenAI проигнорировала такие требования, как предварительная консультация с регуляторами в случае риска утечки персональных данных. Регулятор отметил, что OpenAI запустила ChatGPT без консультации с местными регуляторами, что противоречит руководящим принципам GDPR. 

Итальянский орган Garante также приказал OpenAI прекратить обработку персональных данных в 2023 году до устранения выявленных проблем с платформой компании. Он подчеркнул, что базирующаяся в Сан-Франциско компания не приняла мер по предотвращению доступа несовершеннолетних к технологии, как того требует закон. 

Регуляторный орган предупредил, что несоблюдение руководящих принципов повлечет за собой штрафы, включая четыре процента от годового оборота или двадцать миллионов евро — whichever больше.