Ce înseamnă GDPR și AI
GDPR este Regulamentul (UE) 2016/679, aplicabil din 25 mai 2018. Nu a fost scris special pentru AI, dar se aplică oricărui sistem AI care prelucrează date cu caracter personal: nume, imagini, voci, adrese de e-mail, istoricul de cumpărături sau orice informație care poate identifica o persoană.
În România, autoritatea care supraveghează aplicarea GDPR este ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal).
Cum funcționează
Principiile GDPR se aplică pe tot parcursul vieții unui model. Prelucrarea are nevoie de un temei legal (de exemplu consimțământ, contract sau interes legitim). Datele se folosesc doar pentru scopuri clare și în cantitatea strict necesară (minimizarea datelor). Oamenii trebuie informați și au drepturi: acces la date, rectificare, ștergere, opoziție.
Pentru AI contează în mod special articolul 22: o persoană are dreptul să nu facă obiectul unei decizii bazate exclusiv pe prelucrare automată, dacă aceasta produce efecte juridice sau o afectează în mod similar de semnificativ (de exemplu refuzul automat al unui credit online), cu anumite excepții și garanții, printre care dreptul de a cere intervenție umană și de a contesta decizia. Pentru prelucrările cu risc ridicat, operatorul trebuie să facă o evaluare a impactului asupra protecției datelor (DPIA).
Provocări specifice: datele pot fi greu de șters dintr-un model deja antrenat, iar modelele pot reproduce uneori informații personale din datele de antrenare.
Pe înțelesul tuturor
GDPR funcționează ca regulile unei biblioteci pentru dosarele personale ale cititorilor: poți ține doar ce îți trebuie, doar cât îți trebuie, trebuie să spui de ce, iar fiecare cititor poate cere să-și vadă dosarul.
Exemplu
În martie 2023, autoritatea italiană pentru protecția datelor a suspendat temporar ChatGPT în Italia, invocând lipsa unui temei legal clar pentru datele folosite la antrenare și lipsa verificării vârstei. Serviciul a revenit după aproximativ o lună, după ce OpenAI a făcut modificări. Cazul a arătat că GDPR se aplică direct și asistenților AI.
Un angajat dintr-o firmă din Iași care lipește în chatbotul public al unui furnizor un fișier cu datele clienților poate crea, fără să vrea, o prelucrare de date personale neautorizată.
De reținut
- GDPR se aplică oricărui sistem AI care folosește date personale, inclusiv la antrenare.
- Deciziile complet automate cu efecte importante au reguli speciale (art. 22).
- Nu introduce date personale ale altora în instrumente AI fără o bază legală și fără acordul organizației.
- Acest text este informativ și nu înlocuiește consultanța juridică.
Nu confunda
- Date anonimizate vs. pseudonimizate: datele pseudonimizate (de exemplu cu numele înlocuit printr-un cod) rămân date personale în sensul GDPR.
Termeni înrudiți
- AI Act (Regulamentul UE privind AI): Legea europeană care reglementează sistemele AI după nivelul de risc: unele practici sunt interzise, altele au obligații stricte.
- Confidențialitatea datelor în AI: Protejarea informațiilor personale și confidențiale care ajung în sistemele AI, la antrenare sau atunci când le folosim.
- Date de antrenare: Exemplele din care învață un model AI: texte, imagini, sunete sau tabele. Calitatea lor decide în mare măsură calitatea modelului.
- Explicabilitate (XAI): Capacitatea unui sistem AI de a arăta, pe înțelesul oamenilor, de ce a dat un anumit răspuns sau a luat o anumită decizie.
- Human in the loop: Un mod de a construi sisteme AI în care un om verifică, aprobă sau corectează deciziile importante înainte să aibă efect.