GDPR i umjetna inteligencija: Uredba stvorena za drugo doba

Kada je GDPR postao provediv u Ujedinjenom Kraljevstvu i Europskoj uniji, umjetna inteligencija kakvu danas poznajemo jedva da je postojala u mainstream poslovnim alatima. Uredba je napisana kako bi uređivala način na koji organizacije prikupljaju, obrađuju i pohranjuju osobne podatke, s ključnim načelima poput ograničenja svrhe, minimizacije podataka i prava na brisanje. Ta načela imala su smisla u svijetu baza podataka i definiranih tokova podataka.

Umjetna inteligencija, posebice generativni sustavi i sustavi strojnog učenja, ne funkcionira tako. Modeli se treniraju na ogromnim skupovima podataka koji mogu uključivati osobne informacije prikupljene struganjem, licencirane ili dobivene iz bezbrojnih izvora. Kada se ti podaci jednom ugrade u težine modela, postaje iznimno teško izolirati, ispraviti ili izbrisati informacije pojedinca, što GDPR-ovo pravo na brisanje pretpostavlja da je moguće. Taj nesrazmjer između načina na koji je zakon osmišljen i načina na koji AI sustavi zapravo funkcioniraju u središtu je tekuće analize Security Think Tanka Computer Weeklyja, koji ispituje kako se standardi zaštite podataka u Ujedinjenom Kraljevstvu i Europi bore držati korak s novom paradigmom koju je uveo AI.

Gdje se pojavljuju pukotine

Napetost nije samo teorijska. Ona se očituje na praktične, svakodnevne načine za organizacije koje pokušavaju odgovorno uvesti AI i istovremeno ostati usklađene s propisima. Ograničenje svrhe, ideja da se podaci prikupljeni iz jednog razloga ne bi smjeli ponovno koristiti bez pristanka, postaje nejasno kada AI dobavljači ponovno koriste podatke za treniranje u više proizvoda ili fino podešavaju modele na podacima koji su prvotno prikupljeni za nešto posve drugo.

Zahtjevi za transparentnošću također trpe pod složenošću AI-ja. GDPR očekuje da organizacije objasne kako se obrađuju osobni podaci i da pojedincima pruže smislene informacije o automatiziranom odlučivanju koje na njih utječe. No mnogi AI sustavi, osobito veliki jezični modeli, funkcioniraju kao crne kutije čak i za vlastite developere. Objasniti točno zašto je model proizveo određeni izlaz ili koje su specifične točke podataka na to utjecale često nije nešto što čak ni dobavljač ne može u potpunosti odgovoriti. Kao što je istraženo u povezanom članku Computer Weekly Think Tanka o tome kako AI opterećuje temeljna pravila GDPR-a, to nije sporedna tehnička fusnota. To zadire u samo srce onoga što je GDPR osmišljen jamčiti: da ljudi imaju stvarnu vidljivost i kontrolu nad vlastitim podacima.

Te praznine važne su sa sigurnosnog stajališta jednako kao i sa stajališta usklađenosti. Zaštita podataka i kibernetička sigurnost oduvijek su bile isprepletene, a kada se pravni okvir namijenjen provedbi dobre higijene podataka ne poklapa čisto s načinom na koji AI sustavi zapravo rukuju informacijama, organizacije mogu završiti sa slijepim točkama. Osjetljivi podaci mogu biti uneseni u AI alate bez jasnog popisa gdje odlaze, tko im može pristupiti ili koliko dugo ostaju, stvarajući upravo onu vrstu neupravljanog širenja podataka koje sigurnosni timovi godinama pokušavaju eliminirati.

Preispitivanje usklađenosti u doba AI-ja

Analiza Security Think Tanka sugerira da krpanje GDPR-a u komadićima možda nije dovoljno. Umjesto toga, organizacije i regulatori moraju preispitati kako usklađenost izgleda kada podaci ne stoje u statičnoj bazi podataka, nego teku kroz procese treniranja, ažuriranja modela i platforme AI-ja trećih strana. To znači jače upravljanje podacima prije nego što informacije uopće stignu do AI sustava: znati koji osobni podaci postoje, klasificirati njihovu osjetljivost i ograničiti što se uopće unosi u AI alate.

Za britanske i europske regulatore to također otvara pitanja o provedbi. Načela GDPR-a ostaju dobra u duhu, no njihova primjena na AI zahtijeva nove smjernice za tumačenje, a moguće i nova pravila, kako bi se pozabavilo pitanjima poput podrijetla podataka za treniranje, ponovnog treniranja modela nakon zahtjeva za brisanje i odgovornosti kada AI dobavljači i njihovi korisnici dijele odgovornost za usklađenost.

Što to znači za vas

Ako vaša organizacija koristi AI alate, bilo da je to chatbot, interna analitička platforma ili usluga treće strane izgrađena na velikim jezičnim modelima, usklađenost s GDPR-om i AI-jem nije nešto što možete pretpostaviti da je riješeno po defaultu. Čak i manja poduzeća koja koriste gotove AI proizvode mogu biti izložena ako osobni podaci završe obrađeni na načine koje dobavljačeva politika privatnosti ne objašnjava jasno.

Za pojedince, pouka je podsjetnik da podaci podijeljeni s uslugama koje pokreće AI možda neće biti tako lako dohvatljivi ili brisivi kao podaci pohranjeni na tradicionalnom računu. Kada se informacije jednom upotrijebe za treniranje ili fino podešavanje modela, ostvarivanje prava poput brisanja postaje daleko kompliciranije u praksi nego što zakon pretpostavlja.

Ključni zaključci za djelovanje

Prije usvajanja ili nastavka korištenja AI alata koji dotiču osobne podatke, razmotrite ove korake:

  • Pitajte dobavljače izravno koriste li se vaši podaci za treniranje modela i mogu li se kasnije u potpunosti ukloniti.
  • Mapirajte koji osobni podaci ulaze u bilo koji AI sustav koji vaša organizacija koristi, uključujući alate trećih strana.
  • Pregledajte politike privatnosti AI proizvoda s istom pažnjom koju biste primijenili na bilo kojeg drugog obrađivača podataka.
  • Ostanite informirani o smjernicama koje se razvijaju, jer će se pravila usklađenosti GDPR-a i AI-ja vjerojatno nastaviti mijenjati dok regulatori sustižu.

Jaz između GDPR-a i AI-ja neće nestati sam od sebe. Dok se regulativa ne sustigne, oprez i informiranost najbolja su zaštita koju pojedinci i organizacije imaju.