Unijna ustawa o sztucznej inteligencji (AI Act) jest tu, aby przekształcić sposób, w jaki systemy AI są rozwijane i wykorzystywane. Ustawa precyzuje, że zgodność z nią można osiągnąć tylko wtedy, gdy przestrzegane są istniejące europejskie przepisy dotyczące ochrony danych, cyberbezpieczeństwa i praw podstawowych.

Podczas opracowywania lub trenowania systemów AI dane osobowe nie pozostają nietknięte, co w efekcie uruchamia konieczność zgodności z przepisami o ochronie danych. Podczas gdy ustawa przecina się z przepisami o ochronie danych w wielu punktach, anonimizacja danych, szczególnie maskowanie i zaciemnianie danych, wyłania się jako kluczowy mechanizm ułatwiający zgodność z zobowiązaniami zarządzania danymi unijnej ustawy o sztucznej inteligencji.

Ten artykuł rzuca światło na unijną ustawę o sztucznej inteligencji, wzajemne oddziaływanie między RODO a unijną ustawą o sztucznej inteligencji, oraz jak operatorzy systemów AI, szczególnie wysokiego ryzyka, mogą wykorzystać anonimizację, aby zapewnić zgodność z AI.

Unijna ustawa o sztucznej inteligencji: Pierwsze kompleksowe rozporządzenie dotyczące AI

UE wprowadziła swoje pierwsze kompleksowe rozporządzenie dotyczące sztucznej inteligencji, zwane unijną ustawą o sztucznej inteligencji, 1 sierpnia 2024 roku, we wszystkich 27 państwach członkowskich. Ustawa zachęca do rozwoju godnej zaufania sztucznej inteligencji, jednocześnie łagodząc jej niekorzystny wpływ na unijne wartości etyczne, prawa podstawowe i bezpieczeństwo.

Nowe prawo dotyczące AI przyjmuje podejście oparte na ryzyku do regulacji, klasyfikując systemy AI do czterech kategorii – niedopuszczalne, wysokie, ograniczone i minimalne. Wymagania i obowiązki dla każdej kategorii różnią się i mają wejść w życie w ramach stopniowego wdrażania, z których większość ma być stosowana w ciągu 24 miesięcy od daty wejścia w życie.

Nieprzestrzeganie ustawy może skutkować karami między 7,5 mln EUR lub 1,5% światowego rocznego obrotu a 35 mln EUR lub 7% światowego rocznego obrotu. Niższy poziom zwykle dotyczy mniej poważnych naruszeń, takich jak niepowodzenie we współpracy z władzami. Wyższy poziom dotyczy poważnych naruszeń, takich jak wdrażanie zakazanych systemów AI. Artykuł 2 ustawy określa obowiązki różnych operatorów w łańcuchu dostaw AI z powiązaniem z rynkiem UE, niezależnie od ich lokalizacji, o ile opracowują, wprowadzają na rynek lub używają systemów AI, które wpływają na osoby w UE.

Wzajemne oddziaływanie między unijną ustawą o sztucznej inteligencji a RODO

Unijna ustawa o sztucznej inteligencji wspomina unijne RODO, Rozporządzenie (UE) 2016/679, 30 razy w swoich 180 motywach i 113 artykułach. Ta częsta wzmianka jest oczekiwana, biorąc pod uwagę, że modele AI są trenowane na zbiorach danych, które dość często obejmują dane osobowe osób. Bazy danych zawierające identyfikatory, takie jak imię i nazwisko, dane lokalizacyjne, ludzkie twarze i numery tablic rejestracyjnych, są uważane za dane osobowe w ramach RODO.

Zawsze gdy dane osobowe są wykorzystywane w rozwoju lub wdrażaniu systemu AI, firmy muszą poruszać się po potencjalnym nakładaniu się dwóch reżimów, aby zapewnić zgodność i uniknąć kar. Podczas gdy RODO koncentruje się na ochronie danych osobowych, unijna ustawa o sztucznej inteligencji ma zastosowanie zarówno do danych osobowych, jak i nieosobowych. Chociaż ich podejścia różnią się, organizacje muszą starannie zaplanować swoje obowiązki, aby określić, które z ich operacji podlegają RODO, unijnej ustawie o sztucznej inteligencji lub obu.

Rola anonimizacji w zgodności z unijną ustawą o sztucznej inteligencji (EU AI Act)

Artykuł 10(5) unijnej ustawy o sztucznej inteligencji nakazuje, aby zbiory danych do treningu, walidacji i testów podlegały praktykom zarządzania danymi odpowiednim do zamierzonego celu systemu AI wysokiego ryzyka, w szczególności w celu zapewnienia wykrywania i korygowania błędów. Artykuł 2(7) wyjaśnia, że stosowanie unijnej ustawy o sztucznej inteligencji nie wpływa na Rozporządzenie (UE) 2016/679 (RODO) ani Dyrektywę 2002/58/WE (dyrektywa o e-prywatności), bez uszczerbku dla artykułów 10(5) i 59.

Artykuł 59 określa zasady przetwarzania danych osobowych do rozwoju systemów AI wysokiego ryzyka, ustanawiając wymagania dla dostawców i wdrażających AI, aby spełnić istniejące przepisy o ochronie danych. Tutaj zapewnienie, że system AI jest uczciwy i bezstronny, będzie wymagało zgodności z odpowiednimi wymogami RODO, w tym legalnością, uczciwością i przejrzystością (artykuł 5(1)(a)); minimalizacją danych (artykuł 5(1)(c)); dokładnością (artykuł 5(1)(d)); przetwarzaniem szczególnych kategorii danych osobowych (artykuł 9); prawami osób, których dane dotyczą (artykuły 12–22); i środkami bezpieczeństwa (artykuł 32).

Artykuł 9 RODO jest szczególnie istotny przy przetwarzaniu szczególnych kategorii danych osobowych, takich jak dane genetyczne i biometryczne, co jest zabronione przez prawo. Jednakże, zgodnie z artykułem 6 RODO, przetwarzanie może być zgodne z prawem, jeśli nie wnioskuje o wrażliwe atrybuty i stosowane są odpowiednie techniki anonimizacji, aby dane stały się niemożliwe do zidentyfikowania (motyw 26). W takich przypadkach ograniczenia artykułu 9 mogą nie mieć zastosowania.

Unijna ustawa o sztucznej inteligencji zabrania używania systemów AI (artykuł 5), które obejmują zabronione praktyki AI, takie jak identyfikacja biometryczna w czasie rzeczywistym do masowego nadzoru w przestrzeniach publicznych oraz nieukierunkowane zbieranie obrazów twarzy z internetu lub CCTV do baz danych rozpoznawania twarzy. W tym względzie pierwsze wymogi unijnej ustawy o sztucznej inteligencji, zakazujące zabronionych praktyk AI, weszły w życie 2 lutego 2025 roku.

Artykuł 6 unijnej ustawy o sztucznej inteligencji opisuje progi klasyfikacji systemów AI jako wysokiego ryzyka. Ustawa, w załączniku III, określa osiem różnych kontekstów, które są ogólnie uważane za wysokiego ryzyka, takie jak zarządzanie infrastrukturą krytyczną (np. systemy zarządzania ruchem oparte na AI) i systemy identyfikacji biometrycznej, które nie są zabronione (np. rozpoznawanie odcisków palców lub tęczówek na kontrolach granicznych).

Aby spełnić wymagania dotyczące systemów AI wysokiego ryzyka, szczególnie gdy dane biometryczne, genetyczne lub, ogólnie, inne wrażliwe dane są używane do trenowania modeli AI, deweloperzy AI mogą stosować techniki anonimizacji, szyfrowania lub pseudonimizacji. Zapewnia to zgodność z:

• Zarządzaniem danymi (artykuł 10), które wymaga odpowiednich technicznych i organizacyjnych środków (TOMs) w celu minimalizacji ryzyka. Na przykład firma technologiczna z sektora zdrowia zbiera dane od setek pacjentów zawierające ich cechy twarzy, aby opracować i trenować system AI wysokiego ryzyka, który diagnozuje choroby skóry. Tutaj rozmycie cech twarzy pomaga deweloperom AI zapobiec nadmiernemu zbieraniu danych (zapewniając, że tylko część skóry jest odsłonięta) i zmniejsza ryzyko identyfikacji osób, tym samym chroniąc ich prywatność i prawa do ochrony danych.
• Dokładnością, solidnością i cyberbezpieczeństwem (artykuł 15), które wymagają, aby systemy AI były technicznie solidne i odporne na manipulacje. Anonimizacja w tym przypadku może pomóc deweloperom zmniejszyć ryzyko nieautoryzowanego dostępu i zagrożeń cybernetycznych.
• Ocenami wpływu na prawa podstawowe (FRIA), które wymagają od wdrażających systemy AI wysokiego ryzyka oceny ich wpływu na prawa podstawowe. Jeśli system przetwarza dane osobowe, można zastosować techniki anonimizacji, aby zmniejszyć ryzyko niezgodności z RODO. Gdy dane są właściwie zanonimizowane w nieodwracalny sposób, są uważane za nieosobowe w ramach RODO. Tak więc, gdy deweloperzy i wdrażający AI przeprowadzają FRIA (artykuł 27) lub oceny zgodności (artykuł 43), zmniejszają ryzyko naruszenia praw podstawowych i muszą udowodnić, że ryzyko ponownej identyfikacji jest minimalne.
• Motyw 59 podkreśla konieczność prawa do prywatności i gwarantowania ochrony danych osobowych przez cały cykl życia systemu AI, wymagając uwzględnienia zasad RODO, takich jak ochrona danych w fazie projektowania i domyślnie. Oznacza to, że na przykład, gdy firma motoryzacyjna rejestruje ulice w celu budowania zbiorów danych do trenowania pojazdów autonomicznych lub systemów wspomagania jazdy (ADAS), dane muszą być zanonimizowane (twarze i tablice rejestracyjne na nagraniach rozmazane).

Umożliwianie zgodności AI dzięki zaawansowanej anonimizacji Gallio.pro

Unijna ustawa o sztucznej inteligencji określa surowe wymagania dotyczące przetwarzania danych osobowych w treningu systemów AI. Bez wątpienia będzie miała głęboki wpływ na to, jak deweloperzy AI równoważą ochronę prywatności danych z zachowaniem krytycznych danych niezbędnych do treningu AI. Gallio.pro doskonale maskuje dane osobowe, takie jak tablice rejestracyjne i twarze, pozwalając utrzymać wydajność modelu AI przy jednoczesnym spełnieniu przepisów o ochronie prywatności. Nasze rozwiązania anonimizacyjne mogą pomóc Ci spełnić rygorystyczne wymagania dla systemów AI wysokiego ryzyka, zmniejszając ryzyko prawnych i regulacyjnych komplikacji.