Становището беше поискано от Ирландския орган за защита на данните с оглед на търсенето на регулаторна хармонизация в цяла Европа
Европейският комитет по защита на данните (ЕКЗД/EDPB) публикува становище относно използването на лични данни за разработването и внедряването на модели на ИИ/AI. Това становище разглежда 1) кога и как моделите на ИИ могат да се считат за анонимни, 2) дали и как законният интерес може да се използва като правна основа за разработване или използване на модели на ИИ и 3) какво се случва, ако моделът на ИИ бъде разработен с помощта на лични данни, които са били обработени неправомерно. Той също така взема предвид използването на данни от първа и трета страна.
Становището беше поискано от Ирландския орган за защита на данните с оглед на търсенето на регулаторна хармонизация в цяла Европа.
Председателят на EDPB Талус казва: „ИИ технологиите могат да донесат много възможности и ползи за различни индустрии и сфери на живота. Трябва да гарантираме, че тези иновации се извършват етично, безопасно и по начин, който е от полза за всички. EDPB иска да подкрепи отговорните иновации в AI, като гарантира, че личните данни са защитени и при пълно спазване на Общия регламент относно защитата на данните (GDPR).“
Що се отнася до анонимността, в становището се казва, че дали даден AI модел е анонимен, трябва да се оценява за всеки отделен случай от надзорен орган. За да бъде един модел анонимен, трябва да е много малко вероятно (1) пряко или косвено да идентифицира лица, чиито данни са били използвани за създаване на модела, и (2) да извлича такива лични данни от модела чрез заявки. Становището предоставя non-prescriptive и неизчерпателен списък с методи за демонстриране на анонимизиране.
По отношение на legitimate interest, становището предоставя общи съображения, които надзорните органи трябва да вземат предвид, когато оценяват дали legitimate interest е подходящо правно основание за обработване на лични данни за разработването и внедряването на модели на ИИ.
Тест от три стъпки помага да се оцени използването на законен интерес като правно основание. EDPB дава примери за разговорен агент за подпомагане на потребителите и използването на AI за подобряване на киберсигурността. Тези услуги могат да бъдат от полза за физическите лица и могат да разчитат на законен интерес като правно основание, но само ако е доказано, че обработването е строго необходимо и балансът на правата е спазен.
Становището също така включва редица критерии, които да помогнат на DPA да преценят дали лицата могат разумно да очакват определено използване на техните лични данни. Тези критерии включват: дали личните данни са били публично достъпни или не, естеството на връзката между физическото лице и администратора, естеството на услугата, контекста, в който са събрани личните данни, източника, от който са събрани данните , потенциалните по-нататъшни употреби на модела и дали хората действително знаят, че техните лични данни са онлайн.
Ако тестът за балансиране покаже, че обработката не трябва да се извършва поради отрицателното въздействие върху лицата, смекчаващите мерки могат да ограничат това отрицателно въздействие. Становището включва неизчерпателен списък от примери за такива смекчаващи мерки, които могат да бъдат от техническо естество или да улеснят физическите лица да упражняват правата си или да увеличат прозрачността.
И накрая, когато модел на AI е разработен с незаконно обработени лични данни, това може да окаже влияние върху законосъобразността на неговото внедряване, освен ако моделът не е надлежно анонимизиран.
Като се има предвид обхватът на искането от ирландското DPA, огромното разнообразие от модели на ИИ и тяхната бърза еволюция, становището има за цел да даде насоки относно различни елементи, които могат да се използват за извършване на анализ на всеки отделен случай.
Освен това ЕКЗД понастоящем разработва насоки, обхващащи по-специфични въпроси, като уеб скрапинг.
* Становище по член 64, параграф 2 се отнася до въпрос с общо приложение или има последици в повече от една държава-членка.