A mesterséges intelligencia (MI) technológiák számos ágazatban forradalmi lehetőségeket kínálnak, elősegítve az innovációt és a hatékonyságot. Ugyanakkor az általános adatvédelmi rendelet (GDPR) átfogó jogi keretet biztosít, amely garantálja, hogy az MI felelősségteljesen kerüljön alkalmazásra, és az érintettek jogai tiszteletben legyenek tartva, elősegítve a technológiába vetett bizalmat.
A növekvő MI-alkalmazások miatt az Európai Adatvédelmi Testület (EDPB) 2024. december 18-án, az ír adatvédelmi hatóság kérésére, jelentős véleményt bocsátott ki a személyes adatok GDPR-kompatibilis felhasználásáról az MI-modellek fejlesztése és bevezetése során. A dokumentum kulcsfontosságú útmutatást nyújt fejlesztőknek és adatkezelőknek egyaránt.
A vélemény főbb területei
Az EDPB véleménye kiterjed:
- Arra, mikor tekinthető egy MI-modell anonimnek.
- A jogos érdek jogalap alkalmazhatóságára MI-fejlesztés és -használat során.
- Jogkövetkezményekre, ha az MI-modellt jogellenesen beszerzett személyes adatokkal képezték.
- Az első és harmadik féltől származó adatok használatára a tanítás során.
Az MI-életciklus és az adatvédelmi szempontok
A vélemény az MI-életciklust két szakaszra bontja:
- Fejlesztési szakasz – ide tartozik az MI létrehozása, fejlesztése, betanítási adatok gyűjtése és előkezelése, a modell betanítása és finomhangolása.
- Bevezetési szakasz – a modell használata és minden, a fejlesztést követő tevékenység.
Az EDPB hangsúlyozza, hogy bármely szakaszban előfordulhat személyes adatok kezelése, amely GDPR-alapú kötelezettségeket vonhat maga után, például jogalap meghatározását, átláthatósági és elszámoltathatósági intézkedéseket.
Az MI-modell anonimitásának meghatározása
A modell anonimitása eseti alapon kerül megítélésre a nemzeti hatóságok részéről. Nem tekinthető anonimnek a modell, ha:
- Személyes adatok elemzésére vagy meghatározott személyre vonatkozó válaszok generálására szolgál.
- Hangutánzást vagy más, konkrét személyhez kapcsolódó adatokat reprodukál.
- Olyan adatokon tanították, amelyek személyes adatokat tartalmaznak, és az anonimizálás nem megfelelő.
Ahhoz, hogy egy MI-modell anonim legyen, minimálisnak kell lennie annak a valószínűségnek, hogy egy természetes személy azonosítható legyen közvetlenül vagy közvetve, és hogy lekérdezések útján személyes adatok nyerhetők legyenek ki a modellből. Hatékony technikai védelmi intézkedések szükségesek a reidentifikáció elkerülésére.
Felügyeleti szempontok az anonimitás ellenőrzésére
Az EDPB nem kötelező, példálózó szempontokat ad az anonimitás vizsgálatára:
- Modell kialakítása
- Adatgyűjtési korlátok, források kiválasztása.
- Előfeldolgozás: anonimizálás, titkosítás, adatminimalizálás, irreleváns információk kiszűrése.
- Betanítási módszertan az azonosíthatóság csökkentésére.
- Modell elemzése
- Az azonosítás valószínűségének értékelése.
- Műszaki és irányítási kontrollok megléte.
- Tesztelés és ellenállóképesség
- Tesztek kiterjedtsége, gyakorisága, minősége.
- Támadásokkal szembeni ellenállóképesség vizsgálata.
- Dokumentáció és elszámoltathatóság
- Kockázatértékelések, adatvédelmi hatásvizsgálatok (DPIA), DPO véleménye.
- Az anonimitás csökkentését szolgáló intézkedések leírása.
- Tanító adatok forrásának dokumentálása.
Gyakorlati jelentőség
A vélemény gyakorlati útmutatást nyújt MI-fejlesztőknek és adatkezelőknek a jogszerű és felelős adatkezeléshez. Hangsúlyozza, hogy minden szakaszban szükséges a GDPR-kompatibilis jogalap meghatározása, valamint rögzíti az anonimitás feltételeit és a technikai igazolás lehetőségeit.
Ez a dokumentum kulcsfontosságú lépés az innováció és adatvédelem összehangolásában, biztosítva, hogy az MI-fejlesztések jogszerűen, etikusan és átláthatóan történjenek.
A következő cikkünkben a személyes adatok jogalapját vizsgáljuk meg az MI-modellekben, beleértve a háromlépcsős tesztet a jogos érdek alkalmazásához, a hozzájárulás szerepét és a szerződéses kötelezettség teljesítésével kapcsolatos szempontokat.
Katona & Partners Law Firm
(Katona & Partner Rechtsanwaltssozietät / Attorneys’ Association)
H-106 Budapest, Tündérfürt utca 4.
Tel.: +36 1 225 25 30
Mobile: +36 70 344 0388
Fax: +36 1 700 27 57
g.katona@katonalaw.com
www.katonalaw.com