สหภาพยุโรปได้เปลี่ยนแปลงวิธีที่กฎหมายดิจิทัลฉบับใหญ่ที่สุดสองฉบับเชื่อมโยงกัน กฎระเบียบ (EU) 2026/1744 หรือที่รู้จักในชื่อ AI Omnibus ได้แก้ไข AI Act และปรับเปลี่ยนจุดที่ทับซ้อนกับ GDPR คู่มือ คำอธิบายการแก้ไข AI Act และ GDPR นี้จะพาคุณสำรวจสิ่งที่การวิเคราะห์ต้นฉบับเน้นย้ำ ได้แก่ มาตรา 4a ใหม่ว่าด้วยข้อมูลการตรวจจับอคติ การประเมินผลกระทบต่อสิทธิขั้นพื้นฐาน (FRIAs) ที่สามารถนำการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIAs) ภายใต้ GDPR มาใช้ซ้ำได้ หน้าที่ด้านความรู้ความเข้าใจเกี่ยวกับ AI ที่ผ่อนปรนลง และการจัดระเบียบการกำกับดูแลใหม่

เนื้อหาต้นฉบับเป็นบทสรุปสั้น ๆ ดังนั้นบทความนี้จึงยึดตามการเปลี่ยนแปลงหลักเหล่านั้นและหลีกเลี่ยงการคาดเดารายละเอียดที่ต้นฉบับไม่ได้ระบุไว้ ในจุดที่รายละเอียดปลีกย่อยมีความสำคัญ เราได้ระบุไว้อย่างชัดเจน

AI Omnibus เปลี่ยนแปลงอะไรใน AI Act

ตามบทสรุป กฎระเบียบ (EU) 2026/1744 ได้ "ปรับโครงสร้าง" จุดทับซ้อนระหว่าง AI Act และ GDPR โดยมีการเปลี่ยนแปลงที่โดดเด่นสี่ประการ:

  • ข้อมูลการตรวจจับอคติ (มาตรา 4a): บทบัญญัติใหม่ที่กล่าวถึงการจัดการข้อมูลเพื่อตรวจจับอคติในระบบ AI
  • FRIAs ที่นำ DPIAs มาใช้ซ้ำ: การประเมินผลกระทบต่อสิทธิขั้นพื้นฐานสามารถต่อยอดจากการประเมินผลกระทบด้านการคุ้มครองข้อมูลที่องค์กรดำเนินการอยู่แล้วภายใต้ GDPR
  • ความรู้ความเข้าใจเกี่ยวกับ AI ที่ผ่อนปรนลง: หน้าที่เกี่ยวกับความรู้ความเข้าใจด้าน AI ได้รับการผ่อนคลาย
  • การกำกับดูแลใหม่: การเปลี่ยนแปลงวิธีจัดระเบียบการควบคุมดูแล

บริบทที่กว้างขึ้นคือความพยายามในการลดความซับซ้อนของกฎดิจิทัลของสหภาพยุโรป หากคุณต้องการภาพรวมที่กว้างขึ้น บทอธิบายของเราเกี่ยวกับสิ่งที่ EU Digital Omnibus เปลี่ยนแปลงสำหรับคุกกี้ GDPR และ AIครอบคลุมแพ็กเกจการลดความซับซ้อนในรายละเอียดที่ลึกกว่า

ข้อมูลการตรวจจับอคติภายใต้มาตรา 4a: ความหมายต่อข้อมูลส่วนบุคคลของคุณ

การทดสอบอคติเป็นจุดตึงเครียดที่แท้จริง ในการตรวจสอบว่าระบบ AI ปฏิบัติต่อกลุ่มต่าง ๆ อย่างไม่เป็นธรรมหรือไม่ นักพัฒนามักต้องการข้อมูลเกี่ยวกับลักษณะ เช่น เชื้อชาติ สุขภาพ หรือคุณลักษณะอ่อนไหวอื่น ๆ GDPR กำหนดข้อจำกัดที่เข้มงวดต่อการประมวลผลข้อมูลประเภทนั้น มาตรา 4a คือคำตอบของ AI Act: อนุญาตให้จัดการข้อมูลการตรวจจับอคติภายใต้กรอบ AI

สำหรับบุคคลทั่วไป คำถามเชิงปฏิบัติคือข้อมูลของคุณอาจถูกนำไปใช้ทดสอบระบบ AI หรือไม่ บทสรุปยืนยันว่าบทบัญญัติดังกล่าวมีอยู่จริง แต่ไม่ได้ระบุหลักประกัน เงื่อนไข หรือข้อจำกัดที่แนบมากับบทบัญญัตินั้น รายละเอียดนั้นสำคัญมาก การจำกัดวัตถุประสงค์ การลดข้อมูลให้น้อยที่สุด และความปลอดภัย คือประเภทของการคุ้มครองที่ควรค้นหาในเนื้อหากฎระเบียบและในวิธีที่องค์กรอธิบายแนวปฏิบัติของตน

เจตนา คือ การตรวจสอบ AI ว่ามีการเลือกปฏิบัติหรือไม่ เป็นเจตนาที่ชอบธรรม ความเสี่ยงด้านความเป็นส่วนตัวอยู่ที่ว่าการอนุญาตนั้นแคบและถูกควบคุมอย่างดี หรือกว้างและถูกกำกับอย่างหละหลวม ผู้อ่านควรถือเป็นคำถามที่ยังไม่มีคำตอบจนกว่าจะได้เห็นถ้อยคำที่ใช้บังคับ

FRIAs และ DPIAs ภายใต้ GDPR ทำงานร่วมกันอย่างไรในปัจจุบัน

DPIA คือการประเมินภายใต้ GDPR ที่องค์กรดำเนินการเมื่อการประมวลผลมีแนวโน้มที่จะก่อความเสี่ยงสูงต่อสิทธิของบุคคล FRIA คือการประเมินภายใต้ AI Act เกี่ยวกับว่าระบบ AI ที่มีความเสี่ยงสูงอาจส่งผลต่อสิทธิขั้นพื้นฐานอย่างไร ก่อนการเปลี่ยนแปลง องค์กรอาจต้องเผชิญกับงานเอกสารสองชุดที่ทับซ้อนกัน

ภายใต้ AI Omnibus FRIAs สามารถนำ DPIAs มาใช้ซ้ำได้ พูดง่าย ๆ งานที่ทำเพื่อการประเมินหนึ่งสามารถส่งต่อไปยังอีกการประเมินหนึ่งได้ ซึ่งควรช่วยลดความซ้ำซ้อน

มีทั้งข้อดีและข้อควรระวัง:

  • ข้อดี: การประเมินหนึ่งที่ทำได้ดีสามารถรองรับทั้งสองระบบ ซึ่งอาจส่งเสริมให้ทำงานอย่างละเอียดมากขึ้นแทนที่จะทำแบบติ๊กถูกสองรอบ
  • ข้อควรระวัง: DPIA เน้นความเสี่ยงด้านการคุ้มครองข้อมูล FRIA มีไว้เพื่อมองให้กว้างกว่า รวมถึงการเลือกปฏิบัติและสิทธิต่าง ๆ การนำ DPIA มาใช้ซ้ำจะช่วยได้ก็ต่อเมื่อยังมีการถามคำถามที่กว้างกว่าอย่างแท้จริง

ผู้ใช้ที่ใส่ใจความเป็นส่วนตัวได้อะไรและเสียอะไร

แนวโน้มที่จะได้

  • กฎที่ชัดเจนขึ้นสำหรับการทดสอบอคติ ซึ่งสามารถช่วยจับ AI ที่เลือกปฏิบัติก่อนที่จะส่งผลกระทบต่อคุณ
  • งานประเมินที่ซ้ำซ้อนน้อยลง ซึ่งอาจทำให้องค์กรมีเวลาเพิ่มขึ้นเพื่อมุ่งเน้นคุณภาพ
  • สิทธิภายใต้ GDPR ยังคงอยู่ บทสรุปอธิบายถึงจุดทับซ้อนที่ปรับเปลี่ยน ไม่ใช่การยกเลิก GDPR

การสูญเสียหรือความไม่แน่นอนที่อาจเกิดขึ้น

  • ช่องทางกฎหมายใหม่ในการจัดการข้อมูลอ่อนไหวเพื่อการตรวจจับอคติ พร้อมหลักประกันที่ต้องตรวจสอบอย่างละเอียด
  • หน้าที่ด้านความรู้ความเข้าใจเกี่ยวกับ AI ที่ผ่อนปรนลง ซึ่งอาจหมายความว่าพนักงานที่ใช้เครื่องมือ AI ได้รับการฝึกอบรมภาคบังคับน้อยลง
  • การจัดระเบียบการกำกับดูแลใหม่ ซึ่งผลกระทบต่อการบังคับใช้และการจัดการข้อร้องเรียนไม่ได้ระบุรายละเอียดไว้ในต้นฉบับ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ไม่มีสิ่งใดในบทสรุปที่บ่งชี้ว่าสิทธิหลักภายใต้ GDPR ของคุณ เช่น การเข้าถึง การลบ และการคัดค้าน ได้หายไป สิ่งที่เปลี่ยนแปลงคือกลไกโดยรอบระบบ AI: วิธีที่ข้อมูลอาจถูกนำไปใช้ทดสอบระบบ วิธีรวมการประเมินความเสี่ยง และใครเป็นผู้ดูแล

หากคุณมีปฏิสัมพันธ์กับระบบ AI ที่ใช้ในการจ้างงาน การให้สินเชื่อ การศึกษา หรือบริการสาธารณะ กฎใหม่นี้อาจส่งผลต่อวิธีที่ข้อมูลของคุณถูกนำไปใช้สำหรับการทดสอบความเป็นธรรม และการประเมินสิทธิของคุณดำเนินการอย่างละเอียดเพียงใด รายละเอียดจะขึ้นอยู่กับเนื้อหากฎระเบียบฉบับเต็มและวิธีที่หน่วยงานระดับชาติจะนำไปบังคับใช้

ประเด็นที่นำไปปฏิบัติได้

  • อ่านประกาศความเป็นส่วนตัวเพื่อค้นหาภาษาที่เกี่ยวกับ AI มองหาว่าองค์กรระบุหรือไม่ว่าใช้ข้อมูลส่วนบุคคลเพื่อทดสอบหรือปรับปรุง AI รวมถึงการตรวจจับอคติ
  • สอบถามเกี่ยวกับการประเมิน คุณสามารถถามบริษัทว่าดำเนินการ DPIA หรือ FRIA สำหรับระบบ AI ที่ส่งผลกระทบต่อคุณหรือไม่ และทั้งสองเกี่ยวข้องกันอย่างไร
  • ใช้สิทธิภายใต้ GDPR ของคุณ คำขอเข้าถึง คัดค้าน และลบข้อมูลยังคงใช้ได้
  • รอรายละเอียด ถือว่าการเปลี่ยนแปลงหลักเป็นจุดเริ่มต้นและตรวจสอบเนื้อหากฎระเบียบเพื่อดูหลักประกันเกี่ยวกับมาตรา 4a

เพื่อสร้างบริบทอย่างต่อเนื่อง เริ่มจากบทอธิบาย Digital Omnibusของเรา จากนั้นตรวจสอบวิธีที่องค์กรที่ถือข้อมูลของคุณอธิบายแนวปฏิบัติด้าน AI และการประเมินผลกระทบ ด้วยคำอธิบายการแก้ไข AI Act และ GDPR นี้ คุณจะอยู่ในตำแหน่งที่ดีขึ้นในการถามคำถามที่ถูกต้อง