Consiliul Europei elaborează norme de confidențialitate AI pentru 55 de națiuni

Un Nou Cadru de Confidențialitate AI Dincolo de GDPR

Consiliul Europei a publicat proiectul de orientări în cadrul tratatului Convenția 108+ care ar stabili cerințe de confidențialitate AI în 55 de țări, o acoperire care se extinde mult dincolo de GDPR-ul Uniunii Europene. Deși GDPR rămâne cea mai cunoscută lege de protecție a datelor din lume, Convenția 108+ este un tratat internațional separat și obligatoriu care acoperă statele membre ale Consiliului Europei, inclusiv țări din afara UE. Această acoperire mai largă înseamnă că noul proiect de orientări ar putea modela modul în care sistemele AI gestionează datele personale în națiuni care se află în întregime în afara jurisdicției GDPR.

Proiectul abordează trei domenii specifice de risc pentru confidențialitate în AI: setările de memorie ale chatboților, domeniul de aplicare al permisiunilor acordate agenților AI și vulnerabilitatea modelelor AI la atacurile de extragere a datelor de antrenare. Fiecare dintre acestea reflectă o preocupare reală și tot mai mare pe măsură ce instrumentele AI devin tot mai integrate în utilizarea cotidiană de către consumatori și în afaceri.

Ce Solicită Concret Proiectul de Orientări

Conform proiectului, chatboții AI ar trebui să aibă funcțiile de memorie dezactivate implicit. Aceasta înseamnă că, dacă utilizatorul nu optează activ, chatbotul nu ar reține detalii din conversațiile anterioare. Funcțiile de memorie au devenit populare deoarece permit asistenților AI să personalizeze răspunsurile în timp, dar creează și o evidență persistentă a informațiilor potențial sensibile împărtășite în timpul conversațiilor ocazionale. O setare implicit dezactivată mută responsabilitatea asupra companiilor de a obține consimțământul utilizatorului, în loc să îl presupună.

Orientările solicită, de asemenea, ca agenții AI — instrumentele tot mai comune care pot acționa în numele utilizatorului, precum programarea întâlnirilor sau gestionarea conturilor — să fie dotați cu acreditările minime necesare pentru a îndeplini o sarcină. Acesta este un principiu de securitate cunoscut sub numele de acces cu privilegii minime, aplicat în mod specific sistemelor AI. În loc să se acorde unui agent AI acces larg la datele sau conturile utilizatorului, acreditările ar fi limitate doar la ceea ce este necesar pentru sarcina specifică, reducând potențialele daune dacă un agent este compromis sau utilizat abuziv.

A treia zonă acoperită este reprezentată de atacurile de extragere a datelor de antrenare, o tehnică prin care actorii rău intenționați încearcă să extragă informații sensibile sau personale dintr-un model AI pe baza modului în care acesta răspunde la anumite solicitări. Proiectul de orientări menționează că aceste atacuri pot fi efectuate la costuri reduse, ceea ce face parte din motivele pentru care reprezintă o preocupare stringentă pentru autoritățile de reglementare. Dacă extragerea datelor private de antrenare nu necesită resurse semnificative sau sofisticare tehnică, stimulentul pentru actorii rău intenționați de a încerca acest lucru crește considerabil.

De Ce Convenția 108+ Contează pentru Conformitatea Globală în AI

Unul dintre aspectele cel mai frecvent trecute cu vederea ale acestui proiect este tratatul sub care se încadrează. Convenția 108+ este adesea descrisă ca primul instrument internațional obligatoriu din lume privind protecția datelor și precede GDPR. Semnatarii săi includ țări mult dincolo de granițele UE, ceea ce înseamnă că companiile care operează produse AI la nivel internațional ar putea fi nevoite să respecte două cadre suprapuse, dar distincte: GDPR pentru operațiunile din UE și Convenția 108+ pentru setul mai larg de 55 de națiuni.

Acest peisaj de conformitate duală reflectă un model care se manifestă deja și în altă parte. După cum s-a abordat într-o analiză recentă despre modul în care amenzile GDPR și normele AI remodelează conformitatea, companiile tratează tot mai mult protecția datelor ca pe o prioritate operațională centrală, nu ca pe o bifare juridică. Similar, amenzile GDPR de până la 20 de milioane de euro au demonstrat că conformitatea și postura reală de securitate nu sunt același lucru, o distincție care va conta la fel de mult sub orientările specifice AI ale Convenției 108+. Alte regiuni se deplasează în paralel: aplicarea legii protecției datelor de către POTRAZ în Zimbabwe începând cu septembrie 2026 este un alt exemplu de extindere a aplicării protecției datelor dincolo de raza de reglementare tradițională a UE.

Ce Înseamnă Acest Lucru Pentru Tine

Pentru utilizatorii obișnuiți de chatboți și agenți AI, aceste proiecte de orientări semnalează o schimbare către un design cu confidențialitate implicită. Dacă vor fi adoptate, s-ar putea să vezi tot mai multe produse AI cu funcții de memorie dezactivate, cu excepția cazului în care le activezi în mod specific, precum și agenți AI care solicită permisiuni mai restrânse, în loc de acces larg la conturi. Pentru companiile care construiesc sau implementează instrumente AI, în special cele care operează în mai multe țări, proiectul este o reamintire că conformitatea cu confidențialitatea AI în Europa 2026 nu va fi un standard unic unificat. Companiile vor trebui să monitorizeze cerințele atât în jurisdicțiile GDPR, cât și în cele ale Convenției 108+, și să proiecteze sisteme care să îndeplinească standardul mai strict dintre cele două oriunde operează.

Concluzii Cheie

• Convenția 108+ leagă 55 de națiuni, o acoperire semnificativ mai mare decât sfera limitată la UE a GDPR, astfel că planificarea conformității AI ar trebui să ia în considerare ambele cadre.
• Proiectul de orientări solicită ca memoria chatboților să fie dezactivată implicit, oferind utilizatorilor mai mult control asupra datelor conversaționale reținute.
• Agenții AI ar avea nevoie de acreditări limitate la accesul minim necesar, reducând expunerea dacă un agent este compromis.
• Atacurile de extragere a datelor de antrenare sunt semnalate ca având costuri reduse și risc ridicat, subliniind de ce conformitatea cu confidențialitatea AI în Europa 2026 devine o prioritate pentru autoritățile de reglementare.
• Companiile care operează internațional ar trebui să înceapă să analizeze setările produselor AI acum, nu să aștepte finalizarea orientărilor.