GDPR és MI: Egy másik korszakra írt rendelet

Amikor a GDPR végrehajthatóvá vált az Egyesült Királyságban és az Európai Unióban, a mesterséges intelligencia, ahogy ma ismerjük, alig létezett a mainstream üzleti eszközökben. A rendeletet arra írták, hogy szabályozza, hogyan gyűjtik, dolgozzák fel és tárolják a szervezetek a személyes adatokat, olyan alapelvekkel, mint a célhoz kötöttség, az adattakarékosság és a törléshez való jog. Ezek az elvek értelmesek voltak egy adatbázisokból és meghatározott adatáramlásokból álló világban.

Az MI, különösen a generatív és gépi tanulási rendszerek, nem így működik. A modelleket hatalmas adathalmazokon tanítják, amelyek személyes információkat tartalmazhatnak, amelyeket számtalan helyről gyűjtöttek, licenceltek vagy szereztek be. Amint ezek az adatok beépülnek egy modell súlyaiba, rendkívül nehézzé válik egyetlen személy információinak izolálása, javítása vagy törlése, pedig a GDPR törléshez való joga azt feltételezi, hogy ez lehetséges. Ez az eltérés aközött, ahogy a jogot megtervezték és ahogy az MI-rendszerek valójában működnek, áll a Computer Weekly Security Think Tank folyamatos elemzésének középpontjában, amely azt vizsgálja, hogyan küszködnek az Egyesült Királyság és Európa adatvédelmi standardjai, hogy lépést tartsanak az MI által bevezetett új paradigmával.

Hol mutatkoznak a repedések

A feszültség nem csak elméleti. Gyakorlati, mindennapi módon jelenik meg azoknál a szervezeteknél, amelyek felelősségteljesen próbálnak MI-t bevezetni, miközben megfelelnek az előírásoknak. A célhoz kötöttség, azaz az az elképzelés, hogy az egy okból gyűjtött adatokat nem szabad hozzájárulás nélkül újra felhasználni, homályossá válik, amikor az MI-szállítók több terméken keresztül újrahasznosítják a tanítási adatokat, vagy olyan adatokon finomítanak modelleket, amelyeket eredetileg egészen másra gyűjtöttek.

Az átláthatósági követelmények is megterhelődnek az MI bonyolultsága alatt. A GDPR elvárja, hogy a szervezetek elmagyarázzák, hogyan dolgozzák fel a személyes adatokat, és értelmes információkat adjanak az egyéneknek az őket érintő automatizált döntéshozatalról. De sok MI-rendszer, különösen a nagy nyelvi modellek, még saját fejlesztőik számára is fekete dobozként működnek. Annak pontos elmagyarázása, hogy egy modell miért produkált egy adott kimenetet, vagy mely konkrét adatpontok befolyásolták azt, gyakran még a szállító sem tudja teljesen megválaszolni. Ahogy egy kapcsolódó Computer Weekly Think Tank írás a GDPR alapvető szabályainak MI általi megterheléséről kifejti, ez nem jelentéktelen technikai lábjegyzet. Ez a GDPR lényegéig hatol: hogy az emberek valódi rálátással és kontrollal rendelkezzenek saját adataik felett.

Ezek a hiányosságok biztonsági szempontból ugyanolyan fontosak, mint megfelelőségi szempontból. Az adatvédelem és a kiberbiztonság mindig is összefonódott, és amikor a jó adathigiénia érvényesítésére szánt jogi keret nem illeszkedik tisztán ahhoz, ahogy az MI-rendszerek valójában kezelik az információkat, a szervezetek vakfoltokkal maradhatnak. Érzékeny adatok kerülhetnek MI-eszközökbe anélkül, hogy világos leltár lenne arról, hova kerülnek, ki férhet hozzájuk, vagy meddig maradnak meg, pontosan azt a fajta kezeletlen adatszóródást létrehozva, amelyet a biztonsági csapatok évekig próbálnak felszámolni.

A megfelelőség újragondolása az MI korában

A Security Think Tank elemzése arra utal, hogy a GDPR foltozgatása darabonként talán nem elegendő. Ehelyett a szervezeteknek és a szabályozóknak egyaránt újra kell gondolniuk, mit jelent a megfelelőség, amikor az adatok nem statikus adatbázisban ülnek, hanem tanítási folyamatokon, modellfrissítéseken és harmadik féltől származó MI-platformokon áramlanak keresztül. Ez erősebb adatkormányzást jelent, mielőtt az információ egyáltalán elérne egy MI-rendszert: tudni, milyen személyes adatok léteznek, osztályozni azok érzékenységét, és korlátozni, mi kerül egyáltalán az MI-eszközökbe.

Az Egyesült Királyság és Európa szabályozói számára ez a végrehajtással kapcsolatos kérdéseket is felvet. A GDPR elvei szellemiségükben helytállóak maradnak, de az MI-re való alkalmazásuk új értelmezési útmutatást, és esetleg új szabályokat igényel olyan kérdések kezelésére, mint a tanítási adatok eredete, a modellek újratanítása törlési kérések után, és az elszámoltathatóság, amikor az MI-szállítók és ügyfeleik megosztják a megfelelőségi felelősséget.

Mit jelent ez Önnek

Ha szervezete MI-eszközöket használ, legyen az chatbot, belső elemzési platform vagy nagy nyelvi modellekre épülő harmadik féltől származó szolgáltatás, a GDPR és MI megfelelőség nem olyasmi, amiről feltételezheti, hogy alapértelmezés szerint kezelve van. Még a kész MI-termékeket használó kisebb vállalkozások is ki lehetnek téve, ha a személyes adatok olyan módon kerülnek feldolgozásra, amelyet a szállító adatvédelmi szabályzata nem magyaráz el világosan.

Az egyének számára a tanulság emlékeztető arra, hogy az MI-vezérelt szolgáltatásokkal megosztott adatok visszakeresése vagy törlése nem feltétlenül olyan egyszerű, mint egy hagyományos fiókban tárolt adatoké. Amint az információt egy modell tanítására vagy finomítására használják, az olyan jogok gyakorlása, mint a törlés, a gyakorlatban sokkal bonyolultabbá válik, mint amit a jog feltételez.

Cselekvhető tanulságok

Mielőtt személyes adatokat érintő MI-eszközöket fogadna el vagy folytatna használni, fontolja meg ezeket a lépéseket:

  • Kérdezze meg közvetlenül a szállítókat, hogy az Ön adatait használják-e modelltanításra, és hogy később teljesen eltávolíthatók-e.
  • Térképezze fel, milyen személyes adatok áramlanak szervezete bármely MI-rendszerébe, beleértve a harmadik féltől származó eszközöket is.
  • Vizsgálja felül az MI-termékek adatvédelmi szabályzatait ugyanolyan alapossággal, mint bármely más adatfeldolgozó esetében.
  • Maradjon tájékozott a fejlődő útmutatásokról, mivel a GDPR és MI megfelelőségi szabályok valószínűleg folyamatosan változni fognak, ahogy a szabályozók utolérik a fejleményeket.

A GDPR és az MI közötti szakadék nem tűnik el magától. Amíg a szabályozás utoléri a fejleményeket, az óvatosság és a tájékozottság a legjobb védelem, amellyel az egyének és a szervezetek rendelkeznek.