Innowacje w dziedzinie badań naukowych i innowacji w Europie wymagają zrównoważonej i opartej na ryzyku interpretacji GDPR
W dniu 5 listopada ITI uczestniczyła w warsztatach zainteresowanych stron prowadzonych przez Europejską Radę Ochrony Danych (EDPB) na temat modeli ptasiej grypy. Warsztaty miały na celu poinformowanie opinii EDPB w sprawie wykorzystywania danych osobowych w modelach SI, czego oczekuje się przed końcem roku. Przed warsztatem ITI dołączyła do 14 innych stowarzyszeń branżowych w wspólne oświadczenie (otwiera się w nowej karcie), wzywając EDPB do przyjęcia zrównoważonego, opartego na ryzyku i proinnowacyjnego podejścia do przetwarzania danych na potrzeby rozwoju i wdrażania ptasiej grypy.
Przedsiębiorstwa muszą mieć możliwość dostępu do danych osobowych i korzystania z nich do opracowywania i wdrażania innowacyjnych i transformacyjnych technologii w zakresie ptasiej grypy w Europie. Dostęp taki ma kluczowe znaczenie dla celów UE w zakresie transformacji cyfrowej i konkurencyjności. Opinia musi uznać, że można to zrobić w sposób proporcjonalny, oparty na ryzyku i zgodny z GDPR.
W tym celu ITI podzielił się następującymi zaleceniami:
- Zależność prawna stanowi odpowiednią podstawę prawną dla szkolenia w zakresie modeli AI
EDPB powinien uznać, że uzasadniony interes jest odpowiednią i solidną podstawą prawną do przetwarzania danych osobowych do celów szkolenia modeli AI, jak już wcześniej uznawano przez inne europejskie organy regulacyjne, takie jak francuski organ ochrony danych.
Modele AI mogą przynieść znaczne korzyści społeczeństwu, przedsiębiorstwom i jednostkom. PWI mogą zwiększyć produktywność, pobudzić wzrost gospodarczy, wspierać odkrywanie naukowe i opiekę zdrowotną oraz umożliwić przeobrażalne przypadki wykorzystania. Powyższe rozważania mogą pomóc w przechyleniu legalnego salda odsetek na korzyść kontrolera.
Oczywiście będzie to możliwe, jeżeli okoliczności przetwarzania zostaną ocenione i w razie potrzeby zostaną zastosowane odpowiednie zabezpieczenia. Co ważne, w opinii należy zauważyć, że cel handlowy polegający na opracowaniu modelu ptasiej grypy nie powinien uniemożliwiać uzasadnionych interesów. Jak uważa Trybunał Sprawiedliwości UE, szeroki zakres interesów można uznać za uzasadniony, w tym interesy o charakterze handlowym.
Wreszcie, opinia nie powinna uznawać zgody za preferowaną podstawę prawną. Biorąc pod uwagę skalę danych potrzebnych dla większości modeli ptasiej grypy, uzyskanie zgody byłoby niepraktyczne, nieproporcjonalne i prowadziłoby do zmniejszenia reprezentatywności zbiorów danych.
- Modele AI nie są wyszukiwalnymi bazami danych osobowych
Modele SI są matematyczną reprezentacją wzorców statystycznych. Nie są one przeznaczone do zapamiętywania informacji o konkretnych osobach, i raz wyszkolony, nie są one przeszukuje bazę danych osobowych.
Opinia EDPB powinna odzwierciedlać tę rzeczywistość techniczną. Kiedy model AI jest szkolony, dane treningowe są podzielone na 'żetony'. Na przykład w przypadku LLM żetony reprezentowałyby słowa, ich znaczenie i relacje (np. słowo pies jest związane z "zwierzęciem", ale nie z "rośliną"). Model wykonuje operacje matematyczne, aby skorelować te żetony, i uczy się korelacji w formie masy numerycznej. Po wywołaniu, model zapewni wyjście, które przewiduje najbardziej prawdopodobną odpowiedź na żądanie użytkownika, w oparciu o schematy i korelacje, których się nauczył. Na przykład w przypadku LLM żetony reprezentowałyby słowa, ich znaczenie i relacje (np. słowo pies jest związane z "zwierzęciem", ale nie z "rośliną").
Jako takie, sam model nie przetwarzania danych osobowych w rozumieniu art. 4 GDPR, jak również uznane przez Dokument do dyskusji (otwiera się w nowej karcie) w sprawie dużych modeli językowych (ang. Large Language Models, LLM) od komisarza ds. ochrony danych z Hamburga. Jeżeli dane osobowe są przetwarzane podczas szkolenia lub rozmieszczania modelu, należy to zrobić zgodnie z GDPR.
- Dostęp do szerokiej gamy danych jest potrzebny dla solidnej grypy ptaków
W opinii należy uznać, że przetwarzanie szerokiej gamy danych - w tym danych dotyczących wrażliwych tematów - ma zasadnicze znaczenie dla osiągnięcia solidnych i reprezentatywnych modeli SI które odzwierciedlają różnorodność kulturową, geograficzną i językową Europy.
Kluczowe znaczenie będzie miała zdolność do prawnego przetwarzania danych dotyczących wrażliwych zagadnień - czyli informacji związanych z wrażliwymi atrybutami (takimi jak płeć lub religia), ale wykraczających poza zakres art. 9 GDPR - dla przedsiębiorstw w celu identyfikacji i łagodzenia potencjalnych uprzedzeń - co jest wymagane na mocy unijnego aktu w sprawie ptasiej grypy.
Zamiast koncentrować się na ograniczaniu wykorzystania danych, co będzie miało negatywne konsekwencje dla przedsiębiorstw i osób fizycznych, opinia powinna koncentrować się na identyfikacji i wdrażaniu zabezpieczeń w celu zapewnienia bezpiecznego i zgodnego z prawem przetwarzania danych osobowych.
- Uznając różnorodność modeli SI i złożoność łańcuchów wartości
Dokładne zabezpieczenia stosowane w odniesieniu do konkretnego projektu dotyczącego ptasiej grypy będą zależeć od charakteru modelu i charakteru przetwarzanych danych. Aktorzy w całym łańcuchu wartości SI - tacy jak developerzy i deweloperzy - będą również mieli różne role i obowiązki w zakresie zarządzania ryzykiem. Dlatego też opinia nie powinna być nakazowa i powinna pozostać elastyczna.
Przedsiębiorstwa mogą stosować różne zabezpieczenia na różnych etapach łańcucha wartości w celu zapewnienia zgodnego z prawem przetwarzania danych. Na przykład, środki zarządzania danymi, de- duplikacja, minimalizacja lub pseudonimizacja mogą być pomocne w rozwiązywaniu konkretnych zagrożeń związanych z ochroną danych na etapie szkolenia. Z drugiej strony, środki takie jak filtry szybkie i wyjściowe mogą pomóc w rozwiązaniu problemu ogólnego ryzyka ptasiej grypy na etapie wdrażania.
Przemysł stale pracuje nad poprawą odpowiednie zabezpieczenia, i mamy nadzieję kontynuować naszą współpracę z organami regulacyjnymi w celu dalszego wyjaśnienia stanu techniki. Sztywne i nakazowe podejście może osłabić wysiłki na rzecz opracowania i wdrożenia nowych zabezpieczeń.
- Prawa podmiotu danych mogą podlegać ograniczeniom
Prawa osób, których dane dotyczą, mają podstawowe znaczenie dla ochrony osób, których dane dotyczą. Jednakże, w opinii należy uznać, że prawa osób, których dane dotyczą, mogą podlegać ograniczeniom- zarówno z technicznego, jak i prawnego punktu widzenia.
Na przykład wdrożenie prawa do sprostowania lub usunięcia danych po przeszkoleniu modelu byłoby technicznie niemożliwe bez przekwalifikowania go. Byłoby to nieproporcjonalne, kosztowne i wymagające nakładów. Podobnie technicznie niemożliwe byłoby zlokalizowanie i usunięcie danych dotyczących konkretnej osoby po przekształceniu danych i stanie się częścią zbioru danych szkoleniowych.
W takich przypadkach należy rozważyć alternatywne środki ochrony osób, których dane dotyczą. Na przykład filtry poziomu wyjściowego mogą być skutecznym i proporcjonalnym rozwiązaniem pozwalającym na usunięcie treści, których dotyczą dane.