GDPR și IA: Un regulament construit pentru o altă eră

Când GDPR a devenit aplicabil în Regatul Unit și Uniunea Europeană, inteligența artificială așa cum o cunoaștem astăzi abia dacă exista în instrumentele de business mainstream. Regulamentul a fost scris pentru a guverna modul în care organizațiile colectează, procesează și stochează datele personale, cu principii fundamentale precum limitarea scopului, minimizarea datelor și dreptul la ștergere. Aceste principii aveau sens într-o lume a bazelor de date și a fluxurilor de date bine definite.

IA, în special sistemele generative și de învățare automată, nu funcționează astfel. Modelele sunt antrenate pe seturi masive de date care pot include informații personale colectate prin scraping, licențiate sau obținute din nenumărate surse. Odată ce aceste date sunt încorporate în ponderile unui model, devine extrem de dificil să izolezi, să corectezi sau să ștergi informațiile unei singure persoane, ceea ce dreptul la ștergere din GDPR presupune că este posibil. Această discrepanță între modul în care a fost concepută legea și modul în care funcționează efectiv sistemele de IA se află în centrul analizei continue a Security Think Tank de la Computer Weekly, care examinează modul în care standardele de protecție a datelor din Regatul Unit și Europa se străduiesc să țină pasul cu noua paradigmă introdusă de IA.

Unde apar fisurile

Tensiunea nu este doar teoretică. Ea se manifestă în moduri practice, de zi cu zi, pentru organizațiile care încearcă să implementeze IA în mod responsabil, rămânând în același timp conforme. Limitarea scopului, ideea că datele colectate pentru un motiv nu ar trebui reutilizate fără consimțământ, devine neclară atunci când furnizorii de IA reutilizează datele de antrenament în multiple produse sau ajustează modele pe date colectate inițial pentru cu totul altceva.

Cerințele de transparență se tensionează și ele sub complexitatea IA. GDPR se așteaptă ca organizațiile să explice cum sunt procesate datele personale și să ofere persoanelor informații semnificative despre procesul decizional automatizat care le afectează. Însă multe sisteme de IA, în special modelele de limbaj mari, funcționează ca niște cutii negre chiar și pentru propriii dezvoltatori. Explicarea exactă a motivului pentru care un model a produs un anumit rezultat, sau a punctelor de date specifice care l-au influențat, nu este adesea ceva ce nici măcar furnizorul nu poate răspunde pe deplin. Așa cum se explorează într-un articol conex Think Tank de la Computer Weekly despre modul în care IA solicită regulile fundamentale ale GDPR, aceasta nu este o notă tehnică minoră. Ea merge la esența a ceea ce GDPR a fost conceput să garanteze: că oamenii au vizibilitate și control reale asupra propriilor date.

Aceste lacune contează din punct de vedere al securității la fel de mult ca din perspectiva conformității. Protecția datelor și securitatea cibernetică au fost întotdeauna interconectate, iar atunci când cadrul legal menit să impună o igienă bună a datelor nu se potrivește clar cu modul în care sistemele de IA gestionează efectiv informațiile, organizațiile pot ajunge cu puncte oarbe. Datele sensibile pot fi ingerate în instrumente de IA fără un inventar clar al locului unde ajung, cine le poate accesa sau cât timp persistă, creând exact acel tip de dispersie necontrolată a datelor pe care echipele de securitate încearcă ani de zile să o elimine.

Regândirea conformității în era IA

Analiza Security Think Tank sugerează că repararea GDPR bucată cu bucată ar putea să nu fie suficientă. În schimb, atât organizațiile, cât și autoritățile de reglementare trebuie să regândească cum arată conformitatea atunci când datele nu stau într-o bază de date statică, ci curg prin pipeline-uri de antrenament, actualizări de modele și platforme de IA terțe. Aceasta înseamnă o guvernanță a datelor mai puternică înainte ca informațiile să ajungă vreodată într-un sistem de IA: să știi ce date personale există, să le clasifici sensibilitatea și să limitezi ceea ce este introdus în instrumentele de IA de la bun început.

Pentru autoritățile de reglementare din Regatul Unit și Europa, aceasta ridică și întrebări despre aplicare. Principiile GDPR rămân solide în spirit, dar aplicarea lor la IA necesită noi îndrumări interpretative și, posibil, noi reguli, pentru a aborda aspecte precum proveniența datelor de antrenament, reantrenarea modelelor după cererile de ștergere și responsabilitatea atunci când furnizorii de IA și clienții lor împart responsabilitatea pentru conformitate.

Ce înseamnă acest lucru pentru tine

Dacă organizația ta folosește instrumente de IA, fie că este un chatbot, o platformă de analiză internă sau un serviciu terț construit pe modele de limbaj mari, conformitatea cu GDPR și IA nu este ceva ce poți presupune că este gestionat implicit. Chiar și întreprinderile mai mici care folosesc produse de IA gata făcute pot fi expuse dacă datele personale ajung procesate în moduri pe care politica de confidențialitate a furnizorului nu le explică clar.

Pentru indivizi, concluzia este o reamintire că datele partajate cu servicii bazate pe IA ar putea să nu fie la fel de ușor de recuperat sau șters precum datele stocate într-un cont tradițional. Odată ce informațiile sunt folosite pentru a antrena sau ajusta un model, exercitarea drepturilor precum ștergerea devine mult mai complicată în practică decât presupune legea.

Concluzii acționabile

Înainte de a adopta sau de a continua să folosești instrumente de IA care ating date personale, ia în considerare acești pași:

  • Întreabă direct furnizorii dacă datele tale sunt folosite pentru antrenarea modelelor și dacă pot fi eliminate complet ulterior.
  • Cartografiază ce date personale intră în orice sistem de IA pe care îl folosește organizația ta, inclusiv instrumentele terțe.
  • Verifică politicile de confidențialitate pentru produsele de IA cu aceeași rigoare pe care ai aplica-o oricărui alt procesator de date.
  • Rămâi informat cu privire la îndrumările în evoluție, deoarece regulile de conformitate GDPR și IA vor continua probabil să se schimbe pe măsură ce autoritățile de reglementare țin pasul.

Decalajul dintre GDPR și IA nu va dispărea de la sine. Până când reglementarea va ține pasul, rămânerea precaută și informată este cea mai bună protecție pe care o au indivizii și organizațiile.