Nowa era cyfryzacji to sztuczna inteligencja
W erze cyfryzacji i szybko rozwijającej się technologii sztuczna inteligencja odgrywa coraz większą rolę w różnych sektorach. Od medycyny i ochrony zdrowia, przez finansowe technologie po handel elektroniczny - AI przetwarza ogromne ilości danych osobowych, aby dostarczać coraz to lepsze usługi i produkty. W związku z tym zgodność z RODO staje się kluczowym wyzwaniem, którego celem jest zwiększenie bezpieczeństwa danych osobowych.
Sztuczna inteligencja zyskuje na znaczeniu wykorzystując uczenie głębokie
Implementacja RODO w aplikacjach wykorzystujących sztuczną inteligencję to nie tylko wymóg prawny, ale także sposób na budowanie zaufania klientów oraz zapewnienie etycznego przetwarzania danych osobowych osób, których dane dotyczą przez mechanizmy sztucznej inteligencji.
Z rosnącą popularnością w świecie sztucznej inteligencji pojawiają się również wyzwania związane z ochroną danych osobowych, przetwarzanych w większości procesach na dużą skalę. Sztuczna inteligencja obejmuje modele uczące się, które są w stanie przetwarzać zgromadzone dane i generować tekst, obrazy, dźwięki lub podejmować decyzje na podstawie ogromnych zbiorów danych. Modele stanowią bazę dla bardziej wyspecjalizowanych systemów sztucznej inteligencji, które są następnie dostrajane do specyficznych zadań.
Rozporządzenie o ochronie danych osobowych stawia znaczące wymagania dla prywatności, dotyczące:
- sposobów przetwarzania danych osobowych
- praw, których osoba fizyczna może żądać od administratorów danych osobowych
Naruszenie ochrony danych osobowych może prowadzić do poważnych konsekwencji prawnych, wizerunkowych oraz finansowych.
Należy podkreślić, że dane osobowe przetwarzane przez systemy sztucznej inteligencji powinny być chronione za pomocą odpowiednich środków technicznych i organizacyjnych, pamiętając o ciągłym dążeniu do doskonalenia procesów przetwarzania danych oraz adaptacji do nowych wyzwań i technologii, aby zapewnić zgodność z regulacjami ochrony danych osobowych i chronić prawa osób, których dane dotyczą.
AI Act przegłosowany. Nadchodzi rewolucja w przepisach
EIOD opublikował wytyczne dotyczące ochrony danych osobowych w kontekście używania systemów sztucznej inteligencji
W dniu 3 czerwca 2024 roku, Europejski Inspektor Ochrony Danych opublikował wytyczne dotyczące ochrony danych osobowych w kontekście używania systemów sztucznej inteligencji generatywnej. Co prawda dokument ma celu dostarczenie praktycznych wskazówek dotyczących przetwarzania danych osobowych dla instytucji, organów i jednostek organizacyjnych Unii Europejskiej, jednak może stanowić podstawę wdrożenia sztucznej inteligencji dla każdego Administratora danych.
Kluczową rolę odgrywa tu minimalizacja danych, która wymaga, aby przetwarzane dane osobowe były adekwatne, istotne i ograniczone do tego, co jest niezbędne w celu przetwarzania danych osobowych.
Europejski Inspektor Ochrony Danych zaznacza, że istnieje błędne przekonanie, iż zasada minimalizacji nie ma zastosowania w kontekście sztucznej inteligencji.
W rzeczywistości przedsiębiorcy muszą ograniczać zbieranie danych osobowych i przetwarzać zestawy danych osobowych do niezbędnego minimum przez cały cykl życia systemu sztucznej inteligencji.
Artificial intelligence. Anonimizacja danych kluczowa
Dla aplikacji sztucznej inteligencji oznacza to, że dane osobowe dotyczące osób fizycznych w procesach trenowania modeli powinny opierać się w takim przypadku na minimalnych ale adekwatnych zbiorach danych. Programiści, inspektor ochrony danych oraz analitycy danych muszą przeprowadzić dokładną analizę potrzeb danych i zminimalizować zbieranie informacje przez sztuczną inteligencję do absolutnego minimum.
Rozporządzenie RODO promuje wykorzystanie anonimizacji jako środek ochrony danych osobowych i ograniczanie potencjalnym naruszeniom podstawowych praw osób, których dane dotyczą. Dla aplikacji sztucznej inteligencji anonimizacja danych może pomóc w zgodności z przepisami, umożliwiając jednocześnie efektywne przetwarzanie danych.
Praktyczne metody, które można wykorzystać to:
- maskowanie danych
- pseudonimizacja
- usuwanie danych osobowych przed przetwarzaniem w aplikacjach sztucznej inteligencji w sytuacji, w które nie są niezbędne do stworzenia mechanizmów, testowania czy też efektu końcowego aplikacji wspierającej lub wykorzystującej sztuczną inteligencję.
Zasada prawidłowości danych z kolei wymaga, aby dane były prawidłowe i aktualne do celu ich przetwarzania. Administratorzy danych osobowych muszą implementować środki zapewniające prawidłowość danych na wszystkich etapach biorąc pod uwagę cel przetwarzania - tworzenia zbiorów danych treningowych, treningu modeli oraz monitorowania wyników generowanych przez system. Ważne jest, aby dane osobowe były starannie oznaczane i weryfikowane, a wszelkie nieścisłości lub wykryte nieprawidłowości zagrażające prywatności były natychmiast korygowane.
Anonimizacja danych osobowych i anonimizacja dokumentów - dowiedz się więcej!
RODO przewiduje usunięcie danych osobowych - to się nie zmieniło!
Kolejnym zadaniem jest wdrożenie procedury zmierzające do spełnienie wymogów zasady przejrzystości, której celem jest informowanie osób o przetwarzaniu ich danych osobowych przez systemy sztucznej inteligencji. Administratorzy danych muszą dostarczać jasne i zrozumiałe informacje o tym, jak są przetwarzane dane osobowe, na jakich podstawach są przetwarzane, jak długo i dlaczego będę przetwarzane, w tym szczegółowe informacje o zbiorach danych używanych przez dostawców systemów. Przejrzystość działania sztucznej inteligencji oraz używanych algorytmów czy używanych źródeł danych jest kluczowa dla budowania zaufania i zapewnienia zgodności z przepisami ochrony danych osobowych.
Ogólne rozporządzenie o ochronie danych wymaga transparentności w procesie przetwarzania danych, co w kontekście sztucznej inteligencji oznacza konieczność wyjaśniania w taki sposób, aby osoba fizyczna zrozumiała działania zastosowanych algorytmów.
Użytkownikom należy zapewnić prawo do informacji - jak ich dane są wykorzystywane, jakie decyzje są podejmowane na podstawie tych danych i jak te decyzje mogą na nich wpływać teraz jak i w przyszłości. Praktyczna implementacja tej zasady wymaga dokumentowania, udostępniania informacji o stosowanych technikach przez sztuczną inteligencję.
Podkreślić należy, że RODO przyznaje osobom fizycznym szereg praw, takich jak prawo dostępu do danych, prawo do ich poprawiania, prawo do bycia zapomnianym oraz prawo do przenoszenia danych. Aplikacje używające algorytmów sztucznej inteligencji muszą zawierać mechanizmy umożliwiające realizację przysługujących praw.
Oznacza to konieczność wdrożenia przez administratorów funkcji oraz mechanizmów umożliwiających użytkownikom wgląd w swoje dane, ich modyfikację lub usunięcie na każde żądanie podmiotu danych.
Sztuczna inteligencja w przedsiębiorstwie podejmującym zautomatyzowane decyzje
Sztuczna inteligencja jest wykorzystywana w przedsiębiorstwach do analizy danych i optymalizacji procesów oraz pomaga w podejmowaniu decyzji i identyfikacji nowych możliwości biznesowych. Jednak zastosowanie sztucznej inteligencji w działania zmierzające do podejmowanie zautomatyzowanych decyzji wobec osób fizycznych w tym profilowania, muszą być zgodne z artykułem 24 RODO.
Oznacza to, że Administrator danych musi zapewnić prawo do osobistej interwencji osoby, której dane dotyczą i prawo wyrażenia swojej opinii oraz prawo do kwestionowania zautomatyzowanych decyzji.
W wytycznych Europejski Inspektor Ochrony Danych podkreśla, że systemy sztucznej inteligencji mogą wpływać na prawo i wolności podmiotów danych, dlatego tak ważne jest zapewnienie odpowiednich zabezpieczeń i mechanizmów kontrolnych przez administratorów.
Unikanie uprzedzeń i dyskryminacji klientów czy też użytkowników aplikacji korzystających z systemów sztucznej inteligencji jest kolejnym istotnym aspektem, który może również wynikać z wymagań użytkownika systemu lub też umowy z klientem.
Uprzedzenia, mogą pojawiać się na różnych etapach rozwoju systemów sztucznej inteligencji od treningu zbiorów danych, przez algorytmy aż po działania użytkowników systemu w czasie rzeczywistym. Aby przeciwdziałać zagrożeniu, konieczne jest stałe monitorowanie i wdrażanie zabezpieczeń zapewniających, że zbiory danych używane do trenowania modeli są wolne od jakichkolwiek uprzedzeń, mogących doprowadzić do dyskryminacji podmiotów danych.
Administratorzy danych muszą implementować techniczne i organizacyjne środki zabezpieczające dane osobowe, aby chronić dane przed zidentyfikowanymi zagrożeniami, w tym atakami zewnętrznymi czy przetwarzaniem danych w chmurze. Analiza ryzyka powinna być zgodna z ogólnym rozporządzeniem ochrony danych i zawierać kluczowe elementy zawarte w artykule 32 ogólnego rozporządzenia o ochronie danych osobowych. Wdrożone zabezpieczenia powinny podlegać cyklicznym testom, a w przypadku braku możliwości zapewnienia wystarczającego poziomu bezpieczeństwa uzupełniane o analizy i nowe środki zabezpieczające.
W przypadku korzystania z zewnętrznych dostawców systemów sztucznej inteligencji, Administratorzy danych muszą upewnić się, że przesiębiorstwo dostarczające rozwiązania opartego na sztucznej inteligencji spełniają warunki prawne dotyczące ochrony danych osobowych zgodnie z rozporządzeniem parlamentu europejskiego. Oznacza to konieczność dokładnego sprawdzania, monitorowania procedur używanych przez dostawców do zapewnienia zgodności z zasadami ochrony danych, w tym prawidłowości, minimalizacji i bezpieczeństwa danych osobowych przez systemy oparte na sztucznej inteligencji.
Kogo dotyczy i co reguluje AI Act?
Do swobodnego przepływu danych osobowych wymagane są szkolenia personelu
Poza wymienionymi wymaganiami nie może zabraknąć regularnych szkoleń dla personelu, dotyczących identyfikacji i zarządzania ryzykami związanymi ze sztuczną inteligencją. Szkolenia te powinny obejmować najlepsze praktyki w zakresie minimalizacji uprzedzeń, ochrony danych oraz bezpieczeństwa informacji. Administrator musi również prowadzić dokładne dokumentowanie procesów przetwarzania danych, aby zapewnić transparentność i rozliczalność realizowanych procesów i wdrożonych mechanizmów bezpieczeństwa. Regularne przeglądy baz danych i aktualizacje ocen ryzyka są niezbędne do utrzymania zgodności z przepisami i zapewnienia podstawowych praw osób, których dane dotyczą.
Wprowadzenie systemów sztucznej inteligencji do organizacji muszą uwzględniać wymagania dotyczące ochrony danych od samego początku cyklu życia systemu. To oznacza, że projektowanie i rozwój tych systemów powinny odbywać się zgodnie z zasadami ochrony danych, aby minimalizować ryzyko naruszeń i zapewniać zgodność z przepisami. RODO wprowadziło obowiązek przeprowadzania oceny skutków dla ochrony danych w przypadkach, gdy przetwarzanie danych może prowadzić do wysokiego ryzyka naruszenia praw i wolności osób fizycznych.
W kontekście sztucznej inteligencji nie ma wątpliwości, że w znaczących stopniu ingeruje w prawa i prywatność osób fizycznych, w tym może prowadzić do ograniczeń w korzystaniu z przysługujących praw - więc ocena skutków dla ochrony jest niezbędnym narzędziem do identyfikacji i zarządzania ryzykami związanymi z przetwarzaniem danych. Praktyczna implementacja RODO w aplikacjach używających lub wspierających się sztuczną inteligencją obejmuje regularne przeprowadzanie ocen skutków dla ochrony i zapewnienia podstawowych praw osób, których dane dotyczą oraz dokumentowanie wyników tych ocen.
W wytycznych Europejski Inspektor Ochrony Danych zachęca do ciągłego doskonalenia procesów przetwarzania danych oraz adaptacji do nowych wyzwań i technologii. Inspektor Ochrony Danych podkreślił, że przyszłe wytyczne będą rozwijane i aktualizowane, aby wspierać instytucje Unie Europejskiej w skutecznym wdrażaniu i zarządzaniu systemami sztucznej inteligencji zgodnie z wymaganiami ochrony danych osobowych.
Czy możemy uniknąć błędów przy implementacji RODO w projektach z udziałem sztucznej inteligencji?
Nie mamy wątpliwości, że sztuczna inteligencja musi być zgodna z ogólnym rozporządzeniem o ochronie danych (RODO) aby chronić podstawowe prawo do ochrony danych osobowych, w tym prawo do prywatności. Zachowania sztucznej inteligencji mogę w znaczący sposób wpłynąć na dalsze funkcjonowanie społeczeństwa, dlatego tak ważna jest analiza zastosowania sztucznej inteligencji w naszym życiu codziennym przez dostawców czy też firm oferujących usługi oparte na przetwarzaniu danych przez sztuczną inteligencję.
Pierwszym krokiem do unikania błędów jest dogłębne zrozumienie i zastosowanie przepisów o ochronie danych osobowych. Rozporządzenie wskazuje na możliwości zastosowania nowości technologicznych w naszym życiu, jednak nakłada szereg obowiązków na wszystkie podmioty przetwarzające dane osobowe osób fizycznych, aby chronić podstawowe prawo każdej osoby, której dane dotyczą.
Fundamentalne okazuje się uzyskanie uprzedniej zgody użytkowników (w tym zgody na profilowanie), prawo do bycia zapomnianym oraz przeprowadzanie oceny skutków dla ochrony danych przed wdrożeniem rozwiązań opartych na sztucznej inteligencji. Kluczowe jest ponadto, aby zespół projektowy posiadał solidną wiedzę na temat tych wymogów i regularnie uczestniczył w szkoleniach zwiększających ich wiedzę. Wkład w tym zakresie zapewnia nam inspektor ochrony danych osobowych lub zespół wykwalifikowanych doradców.
Trzeba uzyskać zgodę na planowe operacje przetwarzania
Należy podkreślić, że inspektor ochrony danych osobowych powinien być zaangażowany od samego początku projektu, który zakłada wykorzystanie sztucznej inteligencji w procesie przetwarzania danych osobowych. IOD jest kluczowym elementem sprawnego projektowania mechanizmów w programie komputerowy i zapewnieniem, że proponowany zestaw danych w planowanym cel przetwarzania danych osobowych faktycznie jest niezbędny. Wskaże również w jakim czasie należy uzyskać zgodę na planowane operacje przetwarzania.
Wczesne zaangażowanie inspektora ochrony danych osobowych przez podmiot przetwarzający pomoże w identyfikacji potencjalnych ryzyk związanych z ochroną danych i wdrożeniu odpowiednich środków technicznych i organizacyjnych niezbędnych do zminimalizowania negatywnych skutków dla podmiotu danych.
Inspektor ochrony danych wspomoże również w opracowaniu strategii minimalizacji danych, co jest jednym z podstawowych wymagań rozporządzenia, który w znaczącym stopniu może ograniczyć skutki przyszłych naruszeń dla osoby, której dane dotyczą, a dla administratora zredukować konsekwencje - w tym konsekwencje finansowe.
Z obserwacji wynika, że jednym z najczęstszych błędów popełnianych przez administratorów jest zbieranie nadmiernej ilości danych osobowych. Dlatego ważne jest, aby dokładnie przeanalizować, jakie dane osobowe są rzeczywiście niezbędne do działania systemu wykorzystującego sztucznej inteligencji w procesie przetwarzane danych.
Kolejnym krytycznym aspektem, który pomoże uniknąć błędów i tym samym konsekwencji jest uzyskanie świadomej zgody użytkowników na przetwarzanie ich danych osobowych. Formularze zgody muszą być jasne i zrozumiałe, a użytkownicy powinni być w pełni poinformowani o sposobach przetwarzania danych osobowych oraz w jakie procesach przetwarzania ich dane będą wykorzystywane przez system sztucznej inteligencji.
Należy pamiętać, aby uzyskać zgodę użytkownika przed planowaną operacją przetwarzania danych! Transparentność w działaniu algorytmów sztucznej inteligencji jest również kluczowa aby użytkownicy mogli zrozumieć, jak ich dane są przetwarzane i jakie decyzje są podejmowane na ich podstawie.
Chcąc uniknąć błędów nie możemy zapomnieć o anonimizacji i pseudonimizacji
Ochrona danych osobowych polega również na dokonywaniu usunięcia danych osobowych po spełnieniu celu ich przetwarzania. Usunięcie danych osobowych jest bardzo ważne w erze sztucznej inteligencji. Mechanizmy sztucznej inteligencji muszą zapewniać możliwość usunięcia danych osobowych na żądanie osób, których dane dotyczą lub gdy cel przetwarzania został osiągnięty.
Anonimizacja sprawia, że dane stają się niepowiązane z konkretną osobą. Pseudonimizacja, z kolei, zastępuje dane osobowe pseudonimami, co utrudnia identyfikację osoby bez dodatkowych informacji. Implementacja tych technik w projektach sztucznej inteligencji może znacząco zredukować ryzyko naruszenia praw i wolności osób, których dane są przetwarzane za pomocą sztucznej inteligencji.
Dlatego nie można również pominąć tych mechanizmów w chwili dokonywania oceny skutków dla ochrony.
Ocena skutków pomoże lepiej chronić dane dotyczące obywateli
Ocena skutków pomoże zidentyfikować i zarządzać ryzykami związanymi z przetwarzaniem danych w systemach sztucznej inteligencji. Regularne przeprowadzanie ocen skutków oraz dokumentowanie ich wyników jest niezbędne do utrzymania zgodności z ogólnym rozporządzeniem o ochronie danych i podnoszenia środków zwiększających bezpieczeństwo gromadzonych danych w systemach informatycznych. Kolejnym kluczowym aspektem jest zabezpieczenie danych osobowych przed nieautoryzowanym dostępem, utratą czy zniszczeniem. Przy analizie ryzyka należy wziąć pod uwagę gdzie są przetwarzane dane osobowe i dobrać odpowiednie zabezpieczenia również biorąc pod uwagę przetwarzanie danych osobowych w chmurze. Wdrożenie środków bezpieczeństwa danych osobowych obejmuje stosowanie zaawansowanych technik szyfrowania, regularne aktualizacje systemów oraz szkolenia personelu w zakresie ochrony danych. Implementacja solidnych środków bezpieczeństwa (technicznych i organizacyjnych) pomaga chronić dane osobowe i utrzymać zgodność z przepisami RODO.
Z uwagi na szybki rozwój sztucznej inteligencji w procesie tym nie może zabraknąć regularnych audytów i identyfikacji zachodzących zdarzeń, gdyż one są niezbędne do stałego doskonalenia dążącego do zapewnić ciągłego respektowania prawa w zakresie ochrony danych osobowych. Audyty pozwalają na identyfikację potencjalnych słabości i wdrożenie odpowiednich środków naprawczych, zanim dojdzie do naruszenia ochrony danych osobowych, dlatego też takie podejście zminimalizuje negatywne skutki dla firm w przypadku przypadkowego, niecelowego naruszenia przepisów.
Dzięki odpowiedniemu podejściu organizacje mogą nie tylko spełniać wymogi prawne, ale również dokonywać poprawy zachodzących procesów poprzez stały rozwój nowych technologii co niewątpliwie wpływa na optymalizację procesów i korzyści dla organizacji.
Jeżeli prawidłowo podejdziemy do wdrażania technologi opartych na sztucznej inteligencji i nie zapomnimy o podstawowych wymaganiach prawnych wynikających z RODO, zaobserwujemy dodatkowe korzyści dla organizacji, które przede wszystkim mają na celu także budować zaufanie swoich klientów. Implementacja RODO w sztuczną inteligencję to inwestycja w przyszłość, która zapewnia, że rozwój technologii będzie zgodny z wartościami ochrony prywatności i podstawowymi prawami człowieka. Projekty opierające się na RODO w sztucznej inteligencji to nie tylko wyzwanie, ale także szansa na poprawę procesów przetwarzania danych i promowanie etycznego wykorzystania technologii. Dzięki odpowiedniemu podejściu, organizacje mogą nie tylko spełniać wymogi prawne, ale także tworzyć bezpieczne i transparentne systemy sztucznej inteligencji, które respektują prywatność użytkowników.
Wpływ sztucznej inteligencji na społeczeństwo
Sztuczna inteligencja może być wykorzystywana do identyfikacji uprzedzeń, czy też sygnalizowania kiedy dochodzi do naruszenia przepisów lub dyskryminacji. Jednak w procesie tym niezbędne jest posiadanie kompetencji w projektowaniu ochrony danych osobowych. Z obserwacji wynika, że niezbędne elementy z ogólnego rozporządzenia ochrony danych osobowych są pomijane we wdrożeniach, co stanowi zagrożenie dla firm wykorzystujących sztuczną inteligencję.
Należy pamiętać, że naruszenia RODO przez systemy sztucznej inteligencji mogą prowadzić do poważnych konsekwencji prawnych i finansowych, a także do utraty zaufania użytkowników, klientów - dlatego też, wyciągajmy wnioski i zasięgajmy wiedzy o tym co się dzieje w świecie sztucznej inteligencji. W ostatnich latach pojawiło się kilka znaczących przypadków naruszeń RODO przez systemy sztucznej inteligencji, które uwidoczniły wyzwania związane z ochroną danych osobowych.
W 2018 roku ujawniono, że narzędzie rekrutacyjne Amazon, które miało wspierać proces selekcji kandydatów, dyskryminowało kobiety. System sztucznej inteligencji został zaprogramowany na podstawie danych historycznych, które były zdominowane przez męskich kandydatów, co spowodowało, że algorytm preferował aplikacje mężczyzn i odrzucał te składane przez kobiety. Amazon zrezygnował z używania tego narzędzia po odkryciu jego uprzedzeń generowanych przez sztuczną inteligencję (https://www.euronews.com/2023/05/29/if-were-not-careful-ai-recruitment-could-institutionalise-discrimination).
Natomiast w 2023 roku amerykańska Komisja Równości Zatrudnienia (EEOC) osiągnęła ugodę z firmą iTutorGroup, która stosowała narzędzie rekrutacyjne automatycznie odrzucające aplikacje od osób powyżej określonego wieku. Oprogramowanie to, używane do rekrutacji nauczycieli języka angielskiego, automatycznie eliminowało kandydatki powyżej 55 roku życia i kandydatów powyżej 60 roku życia. W wyniku ugody, iTutorGroup zgodził się zapłacić 365 tysięcy dolarów odszkodowania i wprowadzić procedury antydyskryminacyjne (https://www.sullcrom.com/insights/blogs/2023/August/EEOC-Settles-First-AI-Discrimination-Lawsuit).
W Wielkiej Brytanii, Money Bank używał systemu sztucznej inteligencji do selekcji kandydatów, który okazał się dyskryminować osoby na podstawie płci, rasy i wieku. Algorytm, opracowany przez firmę CaliforniaAI, opierał się na uprzedzeniach zawartych w danych historycznych, co skutkowało systematycznym odrzucaniem aplikacji od kobiet, osób czarnoskórych oraz starszych kandydatów. Sprawa trafiła do brytyjskiego trybunału pracy, który nakazał firmie ujawnienie danych dotyczących rekrutacji w celu potwierdzenia zarzutów (https://www.lewissilkin.com/en/insights/discrimination-and-bias-in-ai-recruitment-a-case-study).
Odnotowano znaczną ilość decyzji stwierdzających naruszenia prawa do prywatności przez sztuczną inteligencję.
Decyzje organów nadzorczych w Unii Europejskiej pokazują jak ważny i złożony jest proces implementacji RODO w narzędzia wykorzystywane przez sztuczną inteligencję, co potwierdza znaczenie posiadania wykwalifikowanego zespołu zajmującego się ochroną danych osobowych.
Decyzja Francuskiego organu ochrony danych CNIL (Commission Nationale Informatique et Libertés) wobec Clearview AI spowodowała nałożenie kary finansowej na firmę Clearview AI za niezgodne z prawem przetwarzanie danych osobowych obywateli francuskich. Clearview AI korzystało z technologii rozpoznawania twarzy, zbierając zdjęcia z internetu bez zgody osób, których dane były przetwarzane. CNIL stwierdził, że Clearview AI naruszyło przepisy RODO, w tym brak przejrzystości, niewystarczające podstawy prawne do przetwarzania danych oraz nieprzestrzeganie praw osób, których dane dotyczą. Ponadto CNIL nałożył karę finansową na Google za naruszenia przepisów RODO związanych z wykorzystaniem sztucznej inteligencji do personalizacji reklam. CNIL stwierdził, że Google nie dostarczyło użytkownikom wystarczających informacji o sposobie przetwarzania ich danych oraz nie uzyskało odpowiedniej zgody na takie przetwarzanie.
Z kolei irlandzki organ ochrony danych DPC (Data Protection Commission) prowadził dochodzenie w sprawie wykorzystania przez Facebooka (obecnie Meta) danych użytkowników do celów reklamowych za pomocą algorytmów AI. DPC stwierdził, że Facebook naruszył przepisy RODO, nie informując użytkowników w wystarczającym stopniu o sposobie przetwarzania ich danych oraz nie uzyskując odpowiedniej zgody.
Holenderski organ ochrony danych AP (Autoriteit Persoonsgegevens), wydając decyzję nałożył karę finansową na Microsoft za naruszenie przepisów RODO w związku z przetwarzaniem danych osobowych przez oprogramowanie Office 365 i narzędzia do analizy danych. Microsoft stosował technologie AI do analizy danych bez odpowiedniej zgody użytkowników i nie informował ich wystarczająco jasno o sposobie wykorzystania tych danych.
Włoski organ ochrony danych prowadził dochodzenie w sprawie wykorzystania przez TikToka danych osobowych nieletnich użytkowników za pomocą algorytmów Sztucznej inteligencji. Organ stwierdził, że TikTok nie zapewnił odpowiednich zabezpieczeń i zgód wymaganych przez RODO, co doprowadziło do naruszenia prywatności młodych użytkowników.
Decyzje pokazują, że organy nadzorcze w Unii Europejskiej aktywnie monitorują i egzekwują przepisy ochrony danych osobowych w kontekście stosowania sztucznej inteligencji. Działania te mają na celu zapewnienie, że technologie sztucznej inteligenci są wykorzystywane w sposób zgodny z prawem, z poszanowaniem prywatności i praw osób, których dane dotyczą.
Społeczny zespół ekspertów przy PUODO powołany. W składzie Mariola Więckowska z LexDigital!
Działania NOYB w sprawie obrony roszczeń osób, których dane dotyczą
Na naszą szczególną uwagę zasługuje działanie organizacji NOYB (None of Your Business) założonej przez Austriaka Maxa Shremsa, która w dniu 6 czerwca 2024 r zamieściła na swojej stronie internetowej informację o złożeniu skarg do organów ochrony danych osobowych w 11 krajach Unii Europejskiej, domagając się natychmiastowego zaprzestania przez Metę (Facebook) wykorzystywania danych osobowych użytkowników do trenowania sztucznej inteligencji bez ich zgody.
Z udostępnionych informacji wynika, że Meta zamierza używać danych z postów, zdjęć i innych informacji zbieranych od 2007 roku, twierdząc, że jest to uzasadniony interes firmy. NOYB argumentuje, że jest to jawne naruszenie RODO, podkreślając brak transparentności i trudności w rezygnacji z tego przetwarzania przez użytkowników.
Skargi mają na celu wstrzymanie tych praktyk przed planowanym wdrożeniem 26 czerwca 2024 roku. Meta planuje używać tych danych, argumentując, że ich uzasadniony interes przeważa nad prawami użytkowników do prywatności. NOYB uważa, że takie podejście jest niezgodne z przepisami RODO, które wymagają wyraźnej zgody użytkowników na przetwarzanie ich danych.
Organizacja krytykuje Metę za brak transparentności w procesie przetwarzania danych i wskazuje na trudności, jakie napotykają użytkownicy chcący wycofać swoją zgodę. Skargi mają na celu ochronę prywatności użytkowników i zapewnienie, że ich dane nie będą wykorzystywane bez ich wiedzy i zgody.
Sztuczna inteligencja. Meta rozliczana z zastosowania sztucznej inteligencji
Meta została również skrytykowana za to, że nie zapewnia jasnych mechanizmów umożliwiających użytkownikom wycofanie zgody na przetwarzanie danych. Noyb apeluje do organów ochrony danych, aby podjęły natychmiastowe działania w celu zapobieżenia wdrożeniu tych praktyk przez Metę. Skargi zostały złożone w 11 krajach, w tym w Austrii, Niemczech, Francji, Włoszech i Hiszpanii.
Noyb argumentuje, że działania Mety stanowią poważne zagrożenie dla prywatności użytkowników i wymagają pilnej interwencji organów ochrony danych. Organizacja wskazuje, że Meta narusza podstawowe zasady ochrony danych osobowych, w tym zasadę minimalizacji danych i przejrzystości.
Podkreślają w tym, że użytkownicy mają prawo do kontrolowania, jak ich dane są wykorzystywane i że Meta nie może jednostronnie decydować o przetwarzaniu danych osobowych na potrzeby sztucznej inteligencji. Skargi mają również na celu zwiększenie świadomości wśród użytkowników na temat ich praw w zakresie ochrony danych osobowych i zachęcenie ich do aktywnego egzekwowania tych praw.
Noyb wzywa organy ochrony danych do przeprowadzenia szczegółowego dochodzenia w sprawie praktyk Mety i nałożenia odpowiednich sankcji w przypadku stwierdzenia naruszeń. Organizacja planuje dalsze działania na rzecz ochrony prywatności użytkowników i monitorowanie działań Mety oraz innych firm technologicznych pod kątem zgodności z przepisami RODO (https://noyb.eu/pl/noyb-urges-11-dpas-immediately-stop-metas-abuse-personal-data-ai).
Powyższe przypadki pokazują, jak istotne jest przestrzeganie zasad RODO w kontekście systemów sztucznej inteligencji. Przypadki naruszeń RODO przez systemy sztucznej inteligencji podkreślają potrzebę skrupulatnego przestrzegania przepisów dotyczących ochrony danych osobowych. Organizacje stosujące sztuczną inteligencję muszą przywiązywać dużą wagę do etyki i transparentności, aby unikać dyskryminacji osób, których dane dotyczą i są przetwarzane aby zapewniać zgodność z przepisami prawnymi.
Sztuczna inteligencja pomaga w optymalizacji procesów i redukcji kosztów, jednak jest opłacalna tylko wtedy, gdy przetwarzanie jest zgodne z ogólnym rozporządzenie parlamentu europejskiego.
.png)
