AI és az adatkezelés jogalapja
Akár az AI tanításáról, akár meglévő modell előrejelzésre való használatáról van szó, minden esetben biztosítani kell a megfelelő jogalapot az adatkezelésre. Az MI egyes életszakaszai eltérnek az adatkezelés célját, a használt adatok mennyiségét és körét illetően is, így az adatkezelés GDPR szerinti jogalapja is változik. A jogalapot még az adatkezelés megkezdése előtt meg kell határozni, azt az adatkezelési tájékoztatóban fel kell tüntetni. A jogalap meghatározásának azért is van különös jelentősége, mivel később másik jogalapra csak akkor lehet áttérni, ha annak alapos oka van.
Az adatkezelés jogalapjának meghatározásakor célszerű elkülöníteni egymástól az MI tanításának, fejlesztésének az időszakát és azt, amikor az elkészült modellt alkalmazzák különböző célokra. Például egy arcfelismerési funkciót ellátó AI-t először általános arcfelismerési célra fejlesztenek ki, az arcfelismerési funkciót azonban utána már számos speciális célra használják: bűnmegelőzésre, azonosításra, követésre, megfigyelésre, közösségi hálózaton barátok megjelölésére. Mindezen célok esetében más-más adatkezelési jogalap jöhet szóba. Ugyanez a helyzet akkor, ha egy kész MI rendszert vásárol és használ valaki, ebben az esetben teljes mértékben eltérő lesz az AI fejlesztési szakaszában az adatkezelési cél, mint amire később a rendszert használni fogják.
LEHETSÉGES JOGALAPOK AZ MI TANÍTÁSI, FEJLESZTÉSI FÁZISÁBAN
Az AI a tanítási, fejlesztési szakaszában általában nagy mennyiségű adatot igényel, amely sokszor különböző forrásból származik. A cégek gyakran hasznosítják újra eddigi működésük során gyűjtött adataikat is az új MI fejlesztésekben, amelyeket nem minden esetben anonimizálnak a tanításhoz, így a tanítási szakaszban is gondoskodni kell a megfelelő adatkezelési jogalapról. Amíg az AI tanítása, fejlesztése folyik, addig az adatkezelési cél is erre korlátozódik. A tanítási szakaszban az MI automatizált döntéshozatalt, predikciót még nem végez, ezért az erre vonatkozó kifejezett hozzájárulási szabályokat sem kell alkalmazni. A tanítási, fejlesztési szakaszban tehát megfelelő jogalap lehet a hozzájárulás, ha az érintettekkel van közvetlen kapcsolat és az beszerezhető tőlük. A hozzájárulás hátránya az, hogy az bármikor visszavonható, ebben az esetben pedig a tanító adatok közül törölni kell az érintett összes személyes adatát.
Az MI tanítási szakaszában jogos érdek is lehet az adatkezelés jogalapja azzal, hogy érdekmérlegelési teszttel kell igazolnia az adatkezelőnek, hogy az ő jogos érdekei hogyan és miért előzik meg vagy vannak egyensúlyban az érintettek alapvető jogaival és szabadságaival.
LEHETSÉGES JOGALAPOK AZ MI ALKALMAZÁSI SZAKASZÁBAN
Amikor a modell elkészült, a modellt az AI alkalmazója már a tanítástól eltérő célokra fogja alkalmazni, így például targetált hirdetésre, scoringra, hitelképesség-vizsgálatra, pénzügyi helyzet elemzésére, amely automatizált döntéshozatalt és profilalkotást is magában foglalhat. Az AI alkalmazásakor tehát az adatkezelés jogalapja már nagyban függ attól, hogy milyen célra használják az adatokat. Tudományos kutatási, statisztikai célú felhasználás esetén ugyanúgy alkalmazható a jogos érdek jogalap, míg automatizált döntéshozatal, és az ezzel járó profilalkotás, illetve elektronikus direkt marketing cél esetén a hozzájárulás a megfelelő jogalap.
A szerződés teljesítése jogalap akkor alkalmazható, ha a mesterséges intelligenciát használó adatkezelés szükséges a szerződés szerinti szolgáltatás nyújtásához vagy magához a szerződés megkötéséhez, így például akkor, ha AI ad ajánlatot az érdeklődő érintettnek. Ez a jogalap azonban nem használható magához az AI tanításához, mivel a tanítás nem kapcsolódik a szerződéshez, és nem használható a meglévő MI rendszer továbbfejlesztésére sem.
KÜLÖNLEGES ADATOK AZ MI-BEN
Különleges adatok felhasználásakor kettős jogalapot kell biztosítani: a GDPR 6. és 9. cikkéből is ki kell választani a legmegfelelőbb jogalapot, továbbá figyelembe kell venni, hogy például a német adatvédelmi hatóság gyakorlata szerint különleges adatok esetén a jogos érdek nem lehet az adatkezelés GDPR 6. cikke szerinti jogalapja.
ÚJRAHASZNOSÍTÁS
Más megítélés alá esik az az eset, ha már meglévő, eredetileg más célra gyűjtött adatokat szeretne a szolgáltató újrahasznosítani úgy, hogy azokat az MI tanítására használja. Ebben az esetben az eredeti adatgyűjtés jogalapját csak akkor lehet a további új célra is alkalmazni, ha a két cél egymással összeegyeztethető.
Nyerd meg az 5 darab, 1000 eurós Craft konferenciajegy egyikét! A kétnapos, nemzetközi fejlesztői konferencia apropójából a HWSW kraftie nyereményjátékot indít.
A GDPR eleve az eredeti adatgyűjtési céllal összeegyeztethetőnek minősíti a közérdekű archiválást, a statisztika készítést, a tudományos vagy történelmi kutatást, amelyben a meglévő adatokat ismét felhasználják. Ezen kívül összeegyeztethetőnek minősül még az a cél, ahol eleve van valamilyen kapcsolat az adatkezelő és az érintett között, amely alapján az érintett ésszerűen várhatta, hogy adatait ilyen további célra is felhasználják, és az újrahasznosításnak nincsenek jelentős hatásai, következményei az érintettre.
A mesterséges intelligenciára alkalmazva mindez azt jelenti, hogy hacsak nem tartozik a fenti három kifejezett kivételi körbe az adatok tanítási célú felhasználása, az új jogalapot fog igényelni. Ezt erősíti meg az Európai Bank Felügyelet (EBA) is a Big data-ról megjelent 2020. januári riportjában, amikor leszögezi, hogy meglévő adatok felhasználása a modell tanítására nem minősül az eredeti gyűjtési céllal összeegyeztethetőnek, és az adatokat vagy a GDPR előírásainak megfelelően anonimizálni kell (titkosítás nem elegendő), vagy pedig új jogalapot kell találni ennek az új típusú adatkezelésnek.
Az adatkezelés jogalapjának kiválasztásakor tehát az AI fejlesztőknek és alkalmazóknak is gondosan kell eljárniuk, mivel az adatkezelés rosszul megválasztott jogalapjáról nehéz áttérni új jogalapra később.