Κανονισμός για την Τεχνητή Νοημοσύνη και Προσωπικά Δεδομένα

Του Σταύρου Κουμεντάκη

Σε σειρά αρθρογραφίας μας ασχοληθήκαμε με τον Κανονισμό για την Τεχνητή Νοημοσύνη (ΤΝ) και, μεταξύ άλλων, με τις υποχρεώσεις που βαρύνουν τους Φορείς συστημάτων Υψηλού Κινδύνου. Επιπλέον, με τις πρόσθετες υποχρεώσεις χρήσης της ΤΝ των Φορέων συστημάτων Υψηλού Κινδύνου στον εργασιακό τομέα. Ολοκληρώνοντας τη θεματική για τον συγκεκριμένο Κανονισμό σημαντική είναι η ανίχνευση της πολυεπίπεδης σύνδεσής του με τον GDPR. 

Σκοπός Επεξεργασίας Δεδομένων & Εκτίμηση Αντικτύπου

Για τη συμμόρφωση ενός συστήματος ΤΝ με τον GDPR και τον Κανονισμό για την ΤΝ, η έννοια του σκοπού αποτελεί το σημείο αναφοράς. Η εν λόγω συμμόρφωση (ή μη) της λειτουργίας ενός συστήματος ΤΝ εξαρτάται, σε κάθε περίπτωση, από τον σκοπό που εξυπηρετείται με τη χρήση του. Έτσι, ο Φορέας που παρέχει το σύστημα ΤΝ πρέπει να δηλώσει τον σκοπό επεξεργασίας. Η νόμιμη βάση της συγκατάθεσης αντιμετωπίζεται (και εδώ) με δυσπιστία, ιδιαιτέρως σε περιπτώσεις που ο Φορέας έχει δεσπόζουσα θέση. Ως προτεινόμενη βάση προκρίνεται, σε αυτήν την περίπτωση, το έννομο συμφέρον. 

Μετά την επιλογή της νόμιμης βάσης απαιτείται η διενέργεια Εκτίμησης Αντικτύπου σχετικά με την Προστασία Δεδομένων (Data Protection Impact Assessment ή "DPIA"). Η DPIA είναι υποχρεωτική, όταν είναι πιθανό η επεξεργασία να έχει ως αποτέλεσμα υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων.

Επεξεργασία Ειδικών Κατηγοριών Δεδομένων Προσωπικού Χαρακτήρα από Συστήματα ΤΝ

Σύμφωνα με τον GDPR η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (π.χ. γενετικά δεδομένα, βιομετρικά δεδομένα κλπ) απαγορεύεται.  Η απαγόρευση αίρεται σε ορισμένες περιπτώσεις, όπως στην περίπτωση της συγκατάθεσης. Ο Κανονισμός για την ΤΝ προβλέπει μία πρόσθετη εξαίρεση που δικαιολογεί την επεξεργασία των προσωπικών δεδομένων και την καθιστά επιτρεπτή. Καθίσταται επιτρεπτή η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, στον βαθμό που είναι απολύτως αναγκαίο για τον σκοπό της διασφάλισης της ανίχνευσης και της διόρθωσης περιπτώσεων μεροληψίας σε σχέση με τα συστήματα ΤΝ υψηλού κινδύνου. Οι πάροχοι στην συγκεκριμένη περίπτωση μπορούν, κατ’ εξαίρεση και υπό αυστηρές προϋποθέσεις, να επεξεργάζονται ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, με την επιφύλαξη κατάλληλων διασφαλίσεων για τα θεμελιώδη δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Η δικαιολογική βάση της νομιμότητας επεξεργασίας των δεδομένων αυτών εντοπίζεται στην ανάγκη εκπαίδευσης του συστήματος, ώστε να αποφευχθεί η αναπαραγωγή προκαταλήψεων. 

Απαγορευμένες Πρακτικές ΤΝ & Προσωπικά Δεδομένα

Ο Κανονισμός ΤΝ απαγορεύει ρητά ορισμένες πρακτικές ΤΝ (π.χ κοινωνική βαθμολόγηση κλπ). Οι πρακτικές αυτές, ωστόσο, σε μεγάλο βαθμό θα ήταν ούτως ή άλλως απαγορευμένες σύμφωνα με τον GDPR. Αυτή η επικάλυψη απαγορεύσεων ενισχύει την πρόθεση του ενωσιακού νομοθέτη για απαγόρευση των συγκεκριμένων πρακτικών και την προστασία των δεδομένων προσωπικού χαρακτήρα. Επιπλέον, προστίθεται ένα επιπλέον, ειδικότερο, επίπεδο προστασίας. Η απαγόρευση των πρακτικών αυτών σύμφωνα με τον Κανονισμό για την ΤΝ ισχύει ανεξαρτήτως της νομιμότητας επεξεργασίας σύμφωνα με τον GDPR. 

Όσον αφορά τη συρροή των απαγορεύσεων και κατά συνέπεια και των πιθανών παραβιάσεων, υποστηρίζεται ότι σύμφωνα με την αρχή non bis in idem δεν θα έπρεπε να επιβληθεί διπλή κύρωση. 

Ρυθμιστικό Δοκιμαστήριο ΤΝ 

Ο Κανονισμός ΤΝ δικαιολογεί (υπό αυστηρές, επίσης, προϋποθέσεις) την επεξεργασία προσωπικών δεδομένων με σκοπό την ανάπτυξη συστημάτων ΤΝ προς το δημόσιο συμφέρον. Η ανάπτυξη αυτή λαμβάνει χώρα στο πλαίσιο ενός ρυθμιστικού δοκιμαστηρίου ΤΝ. Ο θεσμός αυτός έχει ως στόχο να επιτρέπει στους παρόχους ΤΝ να πειραματίζονται ελεύθερα, προωθώντας την καινοτομία, σε ένα προστατευμένο περιβάλλον υπό διοικητική άδεια και εποπτεία.

Αυτοματοποιημένη Λήψη Αποφάσεων από ΤΝ & GDPR

Διάταξη του Κανονισμού για την ΤΝ με τίτλο "Αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ", ορίζει ως γενικό κανόνα ότι το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας. Απαγορεύεται, με άλλα λόγια, η λήψη τέτοιου είδους δυσμενών αποφάσεων κατόπιν αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Ως αυτοματοποιημένη λήψη απόφασης λογίζεται και η περίπτωση που η ανθρώπινη παρέμβαση δεν έχει ουσιώδη χαρακτήρα. 

Σύμφωνα με διευκρινιστικές γραμμές του Ευρωπαϊκού Συμβουλίου Προσωπικών Δεδομένων, η εν λόγω διάταξη πρέπει να ερμηνεύεται ως απαγόρευση. Ωστόσο, η απαγόρευση αυτή ανατρέπεται σε τρεις συγκεκριμένες εξαιρέσεις: η επεξεργασία είναι αναγκαία για τη σύναψη/εκτέλεση σύμβασης,  προβλέπεται από εθνικό/ενωσιακό νομοθέτη ή βασίζεται σε ρητή συγκατάθεση του υποκειμένου. Σε αυτές τις περιπτώσεις η απαγόρευση αίρεται. Παρά ταύτα ακόμα και στην περίπτωση της κατ’ εξαίρεση επεξεργασίας το υποκείμενο εξοπλίζεται με ένα δικαίωμα εξήγησης της απάντησης που ελήφθη αυτοματοποιημένα.  Αντικείμενο εξήγησης αποτελεί η ενημέρωση για την εσωτερική λειτουργία του συστήματος ΤΝ, για τον τρόπο, δηλ., που επεξεργάζονται τα δεδομένα από το σύστημα και τον τρόπο που εξάγεται το αποτέλεσμα και εκδίδεται η απόφαση. 

Νομολογιακά έχει κριθεί ότι ακόμα και αν το σύστημα ΤΝ προστατεύεται ως δικαίωμα διανοητικής διαδικασίας, το υποκείμενο δεν στερείται το δικαίωμα εξήγησης. 

Ο Κανονισμός για την ΤΝ δημιουργεί σημαντικές υποχρεώσεις που βαρύνουν τους Φορείς συστημάτων Υψηλού Κινδύνου˙ ακόμα περισσότερες όταν πρόκειται για την αξιοποίησή τους στο πλαίσιο εργασιακών σχέσεων. Η διαχείριση, πάντως, προσωπικών δεδομένων από συστήματα ΤΝ απαιτεί ιδιαίτερη προσοχή και εκρήγορση. Ας μην ξεχνάμε, εξάλλου, τις επαπειλούμενες κυρώσεις, για τις οποίες προηγούμενη αρθρογραφία μας... 

*Managing Partner Koumentakis and Associates Law Firm