Vai mākslīgais intelekts ir bīstams datiem?

Starp prasībām jo īpaši jāizceļ VDAR 5.pantā nostiprinātie personas datu apstrādes principi: likumīgums, godprātība un pārredzamība, nolūka ierobežojumi, datu minimizēšana, precizitāte, glabāšanas ierobežojums, integritāte un konfidencialitāte, kā arī pārskatatbildība. Tāpat, būtiski ir ievērot VDAR paredzēto integrētas datu aizsardzības principu, kas pēc būtības nozīmē to, ka jau pirms datu apstrādes uzsākšanas uzņēmumam ir jāievieš pasākumi datu aizsardzības principu īstenošanai efektīvā veidā, turklāt šo pasākumu efektivitāte jāturpina regulāri vērtēt.[1] Savukārt atbilstoši datu aizsardzības pēc noklusējuma principam uzņēmumam jāīsteno tehniski un organizatoriski pasākumi, lai nodrošinātu, ka pēc noklusējuma tiek apstrādāti tikai tādi personas dati, kas ir nepieciešami katram konkrētajam apstrādes nolūkam. Proti, pēc noklusējuma uzņēmumam nevajadzētu vākt vairāk datu kā nepieciešams konkrētajam nolūkam, nevajadzētu tos apstrādāt vairāk kā nepieciešams šim nolūkam, kā arī datus glabā ne ilgāk kā tas nepieciešams.[2]

VDAR arī paredz pienākumus datu apstrādes drošības jomā, īstenojot tādus tehniskus un organizatoriskus pasākumus, kas nodrošina riskam atbilstošu drošības līmeni. Novērtējot atbilstīgo drošības līmeni, ņem vērā jo īpaši riskus, ko rada apstrāde, jo īpaši nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.

To, ka VDAR prasības pilnībā jāievēro arī mākslīgā intelekta sistēmu izstrādātājiem, norāda arī Eiropas Datu aizsardzības kolēģija, kuras pamatuzdevums ir nodrošināt VDAR konsekventu piemērošanu. Kolēģija 2024. gada 23. maijā ir publicējusi ziņojumu, kurā norāda uz vairāku ES dalībvalstu datu aizsardzības iestāžu uzsāktajām pārbaudēm attiecībā uz Open AI OpCo, LLC, Amerikas Savienotajās Valstīs bāzētu uzņēmumu, kas sniedz sabiedrībā plašu popularitāti ieguvušo ChatGPT pakalpojumu. Kā jau tas bija gaidāms, kolēģija vērš uzmanību, ka arī tiem uzņēmumiem, kas izstrādā mākslīgā intelekta sistēmas, jāsper visi nepieciešamie soļi, lai nodrošinātu pilnvērtīgu atbilstību VDAR prasībām. Uzsvērts, ka tehniska rakstura neiespējamība nevar tikt izmantota par argumentu, lai attaisnotu neatbilstību šīm prasībām, jo īpaši ņemot vērā integrētas datu aizsardzības principu laikā, kad tiek noteikti datu apstrādes līdzekļi un arī pašā datu apstrādes laikā.[3]

Lai arī pārbaudes vēl nav noslēgušās, kolēģija jau šobrīd iezīmējusi vairāku VDAR nostiprināto fizisko personu datu aizsardzības principu iespējamu pārkāpumu. Piemēram, saistībā ar godprātības principa ievērošanu minēts, ka nebūtu pieļaujams pārnest atbildību par atbilstību VDAR prasībām no uzņēmuma uz datu subjektiem, paredzot tiem atbildību par to čatā ievadīto informāciju.[4] Attiecībā uz pārredzamības principu norādīts, ka datu subjektiem ir jāsniedz skaidra informācija, ka to ievadītā informācija var tikt izmantota mākslīgā intelekta trenēšanas nolūkā.[5]

Ievērojot minēto, jau šobrīd mākslīgā intelekta sistēmas ir jāveido tā, lai tiktu nodrošināta fizisko personu datu aizsardzība.

Fizisko personu datu aizsardzība mākslīgā intelekta sistēmās atbilstoši Mākslīgā intelekta aktam

Lai arī Akta pantus vēl slīpēs juristi-lingvisti, jau šobrīd ikvienam ir iespēja iepazīties ar tā saturu, tostarp izvērtēt paredzamās izmaiņas personas datu aizsardzības jomā.

Saskaņā ar Akta 1. panta pirmo daļu tā mērķis ir uzlabot iekšējā tirgus darbību un veicināt uz cilvēku orientēta un uzticama mākslīgā intelekta izmantošanu, vienlaikus nodrošinot augstu veselības, drošuma, Pamattiesību hartā nostiprināto pamattiesību, tostarp demokrātijas un tiesiskuma, un vides aizsardzības līmeni pret mākslīgā intelekta sistēmu radītām kaitīgām sekām ES, kā arī atbalstīt inovāciju. Attiecīgi Akts norāda uz nepieciešamību pēc uzticama mākslīgā intelekta, kas neaizskar norādītās vērtības. Tās ietver arī fizisko personu datu aizsardzību, jo saskaņā ar Pamattiesību hartas[6] 8. panta pirmo daļu ikvienai personai ir tiesības uz savu personas datu aizsardzību. Atbilstoši šī panta otrai daļai šādi dati ir jāapstrādā godprātīgi, noteiktiem mērķiem un ar attiecīgās personas piekrišanu vai citu likumīgu pamatojumu, kas paredzēts tiesību aktos. Ikvienam ir pieejas tiesības datiem, kas par viņu savākti, un tiesības ieviest labojumus šajos datos.

Atbilstoši Akta 2.panta septītajai daļai ar Aktu netiek ierobežota VDAR piemērošana (izņemot Akta 10.panta piektajā daļā un 59.pantā paredzētos noteikumus). Vienlaikus, Akts nosaka papildu pienākumus attiecībā uz mākslīgā intelekta sistēmām, tai skaitā fizisko personu datu aizsardzībai. Jo īpaši atzīmējams Akta regulējums, nosakot aizliegtās mākslīgā intelekta prakses, kā arī paredzot virkni dažādu rīku risku mazināšanai attiecībā uz augsta riska mākslīgā intelekta sistēmām.

Svarīgi norādīt, ka ne visas mākslīgā intelekta sistēmas tiks regulētas ar Aktu. Pirmkārt, Akta 2.pantā ir paredzēti izņēmuma gadījumi, kad tas netiek piemērots, otrkārt, tas regulē konkrēti definētas mākslīgā intelekta sistēmas (piemēram augsta riska mākslīgā intelekta sistēmas), un tā mērķis nav regulēt jebkuru mākslīgo intelektu. Ievērojot minēto, pastāvēs arī tādas mākslīgā intelekta sistēmas, kuras Akts neregulēs. Tām piemēros VDAR prasības tāpat kā līdz Akta piemērošanai.

Vai mākslīgais intelekts ir bīstams datiem?

Ņemot vērā mākslīgā intelekta darbības principu, proti, ka tā darbību vispirms definē cilvēks, liela nozīme cilvēku pamattiesību aizsardzībai ir tieši nolūkam, kādam mākslīgā intelekta sistēma tiek veidota. Piemēram, mākslīgo intelektu var izmantot gan kiberdrošības veicināšanai, gan kiberdrošības uzbrukumu izstrādei.[7] Būtiska nozīme ir arī mākslīgā intelekta sistēmu veidošanā ievērotajiem principiem un izmantotajiem paņēmieniem, tai skaitā VDAR un Aktā noteikto pienākumu pienācīgai izpildei.

VDAR prasību īstenošana lielā mērā ir atkarīga ne vien no izstrādātāju, bet arī fizisko personu un uzraudzības iestāžu aktivitātes. Jo vairāk tiks akcentēta nepieciešamība ievērot VDAR prasības, sniegtas vadlīnijas un skaidrojumi to īstenošanā tieši mākslīgā intelekta kontekstā, un jo vairāk uzraudzības iestādes vērtēs šādu sistēmu tiesiskumu, jo apzinīgāk varētu tikt pildītas VDAR prasības. Līdzīgs scenārijs varētu iestāties arī tad, kad papildus VDAR mākslīgajam intelektam tiks piemērotas arī Akta prasības. Atzinīgi vērtējams, ka Akts paredz Komisijas tiesības pieņemt deleģētos aktus, lai laika gaitā pielāgotu tiesisko regulējumu faktiskajai situācijai un sekmētu Akta mērķa sasniegšanu.

Ievērojot minēto, tas, vai mākslīgais intelekts ir bīstams datiem, nevar tikt vispārināts un katrs gadījums jāvērtē individuāli.

Vienlaikus, tieši dati var radīt apdraudējumu mākslīgā intelekta drošai izmantošanai, jo tā nolūkam un tiesību normu prasībām atbilstoši izejas dati[8] un to pienācīga izmantošana[9] ir tiesiska mākslīgā intelekta radīšanas pamatā. Cerēsim, ka papildus ieguvumiem sabiedrībai, ko var sniegt mākslīgais intelekts, tā veidotāji pievērsīs nepieciešamo uzmanību gan  kvalitatīvu izejas datu izmantošanā, gan citu Akta un VDAR prasību pienācīgā ievērošanā, pēc iespējas mazinot riskus.