RODO i AI: Regulacja stworzona dla innej epoki

Gdy RODO stało się egzekwowalne w Wielkiej Brytanii i Unii Europejskiej, sztuczna inteligencja, jaką znamy dzisiaj, praktycznie nie istniała w głównych narzędziach biznesowych. Rozporządzenie zostało napisane, aby regulować sposób, w jaki organizacje gromadzą, przetwarzają i przechowują dane osobowe, z kluczowymi zasadami takimi jak ograniczenie celu, minimalizacja danych i prawo do usunięcia danych. Te zasady miały sens w świecie baz danych i zdefiniowanych przepływów danych.

AI, szczególnie systemy generatywne i uczenia maszynowego, nie działa w ten sposób. Modele są trenowane na ogromnych zbiorach danych, które mogą zawierać informacje osobowe pozyskane przez scraping, licencjonowane lub pochodzące z niezliczonych miejsc. Gdy te dane zostaną wbudowane w wagi modelu, staje się niezwykle trudne wyizolowanie, poprawienie lub usunięcie informacji pojedynczej osoby — coś, co prawo do usunięcia danych zawarte w RODO zakłada jako możliwe. Ta rozbieżność między sposobem, w jaki prawo zostało zaprojektowane, a tym, jak faktycznie funkcjonują systemy AI, znajduje się w centrum bieżącej analizy Think Tanku Bezpieczeństwa Computer Weekly, który bada, jak standardy ochrony danych w Wielkiej Brytanii i Europie zmagają się z nadążaniem za nowym paradygmatem wprowadzonym przez AI.

Gdzie widać pęknięcia

Napięcie to nie jest wyłącznie teoretyczne. Przejawia się w praktyczny, codzienny sposób dla organizacji próbujących wdrażać AI odpowiedzialnie, jednocześnie zachowując zgodność z przepisami. Ograniczenie celu — idea, że dane zebrane z jednego powodu nie powinny być wykorzystywane ponownie bez zgody — staje się niejasne, gdy dostawcy AI ponownie wykorzystują dane treningowe w wielu produktach lub dostrajają modele na danych pierwotnie zebranych w zupełnie innym celu.

Wymogi przejrzystości również uginają się pod ciężarem złożoności AI. RODO oczekuje, że organizacje wyjaśnią, w jaki sposób przetwarzane są dane osobowe, i przekażą jednostkom istotne informacje o zautomatyzowanym podejmowaniu decyzji, które ich dotyczą. Jednak wiele systemów AI, zwłaszcza dużych modeli językowych, funkcjonuje jako czarne skrzynki nawet dla własnych twórców. Wyjaśnienie, dlaczego model wygenerował konkretny wynik lub które konkretne punkty danych na niego wpłynęły, często nie jest czymś, na co nawet dostawca może w pełni odpowiedzieć. Jak omówiono w powiązanym artykule Think Tanku Computer Weekly o tym, jak AI nadwyręża podstawowe zasady RODO, nie jest to drobny techniczny przypis. Trafia to w samo serce tego, co RODO miało gwarantować: że ludzie mają rzeczywistą widoczność i kontrolę nad własnymi danymi.

Te luki mają znaczenie z punktu widzenia bezpieczeństwa tak samo jak z punktu widzenia zgodności. Ochrona danych i cyberbezpieczeństwo zawsze były ze sobą powiązane, a gdy ramy prawne mające egzekwować dobrą higienę danych nie przekładają się czysto na sposób, w jaki systemy AI faktycznie obsługują informacje, organizacje mogą skończyć z martwymi punktami. Wrażliwe dane mogą zostać wprowadzone do narzędzi AI bez jasnego inwentarza tego, gdzie trafiają, kto ma do nich dostęp lub jak długo się utrzymują, tworząc dokładnie ten rodzaj niezarządzanego rozproszenia danych, który zespoły bezpieczeństwa spędzają lata, próbując wyeliminować.

Przemyślenie zgodności w erze AI

Analiza Think Tanku Bezpieczeństwa sugeruje, że łatanie RODO po kawałku może nie wystarczyć. Zamiast tego organizacje i regulatorzy muszą przemyśleć, jak wygląda zgodność, gdy dane nie spoczywają w statycznej bazie danych, lecz przepływają przez potoki treningowe, aktualizacje modeli i platformy AI stron trzecich. Oznacza to silniejsze zarządzanie danymi, zanim informacje w ogóle trafią do systemu AI: wiedzę o tym, jakie dane osobowe istnieją, klasyfikację ich wrażliwości i ograniczenie tego, co jest wprowadzane do narzędzi AI w pierwszej kolejności.

Dla regulatorów w Wielkiej Brytanii i Europie rodzi to również pytania o egzekwowanie przepisów. Zasady RODO pozostają słuszne w duchu, ale zastosowanie ich do AI wymaga nowych wytycznych interpretacyjnych, a być może nowych przepisów, aby rozwiązać kwestie takie jak pochodzenie danych treningowych, ponowne trenowanie modeli po wnioskach o usunięcie danych oraz odpowiedzialność, gdy dostawcy AI i ich klienci dzielą odpowiedzialność za zgodność z przepisami.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja korzysta z narzędzi AI — czy to chatbot, wewnętrzna platforma analityczna, czy usługa strony trzeciej oparta na dużych modelach językowych — zgodność z RODO i przepisami dotyczącymi AI nie jest czymś, co możesz zakładać, że jest załatwione domyślnie. Nawet mniejsze firmy korzystające z gotowych produktów AI mogą być narażone, jeśli dane osobowe zostaną przetworzone w sposób, którego polityka prywatności dostawcy nie wyjaśnia jasno.

Dla jednostek wniosek jest przypomnieniem, że dane udostępnione usługom opartym na AI mogą nie być tak łatwe do odzyskania lub usunięcia jak dane przechowywane na tradycyjnym koncie. Gdy informacje zostaną wykorzystane do trenowania lub dostrajania modelu, korzystanie z praw takich jak prawo do usunięcia danych staje się w praktyce znacznie bardziej skomplikowane, niż zakłada prawo.

Praktyczne wnioski

Przed wdrożeniem lub kontynuowaniem korzystania z narzędzi AI, które mają styczność z danymi osobowymi, rozważ następujące kroki:

  • Zapytaj dostawców bezpośrednio, czy Twoje dane są wykorzystywane do trenowania modeli i czy mogą zostać później całkowicie usunięte.
  • Zmapuj, jakie dane osobowe przepływają do każdego systemu AI używanego przez Twoją organizację, w tym narzędzi stron trzecich.
  • Przejrzyj polityki prywatności produktów AI z taką samą starannością, jaką stosujesz wobec każdego innego podmiotu przetwarzającego dane.
  • Bądź na bieżąco z ewoluującymi wytycznymi, ponieważ zasady zgodności z RODO i przepisami dotyczącymi AI prawdopodobnie będą się stale zmieniać, w miarę jak regulatorzy będą nadążać.

Luka między RODO a AI nie zniknie sama. Dopóki regulacje nie nadążą, zachowanie ostrożności i świadomości jest najlepszą ochroną, jaką mają jednostki i organizacje.