Unijna ustawa o sztucznej inteligencji (AI Act) jest tu, aby przekształcić sposób, w jaki systemy AI są rozwijane i wykorzystywane. Ustawa precyzuje, że zgodność z nią można osiągnąć tylko wtedy, gdy przestrzegane są istniejące europejskie przepisy dotyczące ochrony danych, cyberbezpieczeństwa i praw podstawowych.
Podczas opracowywania lub trenowania systemów AI dane osobowe nie pozostają nietknięte, co w efekcie uruchamia konieczność zgodności z przepisami o ochronie danych. Podczas gdy ustawa przecina się z przepisami o ochronie danych w wielu punktach, anonimizacja danych, szczególnie maskowanie i zaciemnianie danych, wyłania się jako kluczowy mechanizm ułatwiający zgodność z zobowiązaniami zarządzania danymi unijnej ustawy o sztucznej inteligencji.
Ten artykuł rzuca światło na unijną ustawę o sztucznej inteligencji, wzajemne oddziaływanie między RODO a unijną ustawą o sztucznej inteligencji, oraz jak operatorzy systemów AI, szczególnie wysokiego ryzyka, mogą wykorzystać anonimizację, aby zapewnić zgodność z AI.
UE wprowadziła swoje pierwsze kompleksowe rozporządzenie dotyczące sztucznej inteligencji, zwane unijną ustawą o sztucznej inteligencji, 1 sierpnia 2024 roku, we wszystkich 27 państwach członkowskich. Ustawa zachęca do rozwoju godnej zaufania sztucznej inteligencji, jednocześnie łagodząc jej niekorzystny wpływ na unijne wartości etyczne, prawa podstawowe i bezpieczeństwo.
Nowe prawo dotyczące AI przyjmuje podejście oparte na ryzyku do regulacji, klasyfikując systemy AI do czterech kategorii – niedopuszczalne, wysokie, ograniczone i minimalne. Wymagania i obowiązki dla każdej kategorii różnią się i mają wejść w życie w ramach stopniowego wdrażania, z których większość ma być stosowana w ciągu 24 miesięcy od daty wejścia w życie.
Nieprzestrzeganie ustawy może skutkować karami między 7,5 mln EUR lub 1,5% światowego rocznego obrotu a 35 mln EUR lub 7% światowego rocznego obrotu. Niższy poziom zwykle dotyczy mniej poważnych naruszeń, takich jak niepowodzenie we współpracy z władzami. Wyższy poziom dotyczy poważnych naruszeń, takich jak wdrażanie zakazanych systemów AI. Artykuł 2 ustawy określa obowiązki różnych operatorów w łańcuchu dostaw AI z powiązaniem z rynkiem UE, niezależnie od ich lokalizacji, o ile opracowują, wprowadzają na rynek lub używają systemów AI, które wpływają na osoby w UE.
Unijna ustawa o sztucznej inteligencji wspomina unijne RODO, Rozporządzenie (UE) 2016/679, 30 razy w swoich 180 motywach i 113 artykułach. Ta częsta wzmianka jest oczekiwana, biorąc pod uwagę, że modele AI są trenowane na zbiorach danych, które dość często obejmują dane osobowe osób. Bazy danych zawierające identyfikatory, takie jak imię i nazwisko, dane lokalizacyjne, ludzkie twarze i numery tablic rejestracyjnych, są uważane za dane osobowe w ramach RODO.
Zawsze gdy dane osobowe są wykorzystywane w rozwoju lub wdrażaniu systemu AI, firmy muszą poruszać się po potencjalnym nakładaniu się dwóch reżimów, aby zapewnić zgodność i uniknąć kar. Podczas gdy RODO koncentruje się na ochronie danych osobowych, unijna ustawa o sztucznej inteligencji ma zastosowanie zarówno do danych osobowych, jak i nieosobowych. Chociaż ich podejścia różnią się, organizacje muszą starannie zaplanować swoje obowiązki, aby określić, które z ich operacji podlegają RODO, unijnej ustawie o sztucznej inteligencji lub obu.
Artykuł 10(5) unijnej ustawy o sztucznej inteligencji nakazuje, aby zbiory danych do treningu, walidacji i testów podlegały praktykom zarządzania danymi odpowiednim do zamierzonego celu systemu AI wysokiego ryzyka, w szczególności w celu zapewnienia wykrywania i korygowania błędów. Artykuł 2(7) wyjaśnia, że stosowanie unijnej ustawy o sztucznej inteligencji nie wpływa na Rozporządzenie (UE) 2016/679 (RODO) ani Dyrektywę 2002/58/WE (dyrektywa o e-prywatności), bez uszczerbku dla artykułów 10(5) i 59.
Artykuł 59 określa zasady przetwarzania danych osobowych do rozwoju systemów AI wysokiego ryzyka, ustanawiając wymagania dla dostawców i wdrażających AI, aby spełnić istniejące przepisy o ochronie danych. Tutaj zapewnienie, że system AI jest uczciwy i bezstronny, będzie wymagało zgodności z odpowiednimi wymogami RODO, w tym legalnością, uczciwością i przejrzystością (artykuł 5(1)(a)); minimalizacją danych (artykuł 5(1)(c)); dokładnością (artykuł 5(1)(d)); przetwarzaniem szczególnych kategorii danych osobowych (artykuł 9); prawami osób, których dane dotyczą (artykuły 12–22); i środkami bezpieczeństwa (artykuł 32).
Artykuł 9 RODO jest szczególnie istotny przy przetwarzaniu szczególnych kategorii danych osobowych, takich jak dane genetyczne i biometryczne, co jest zabronione przez prawo. Jednakże, zgodnie z artykułem 6 RODO, przetwarzanie może być zgodne z prawem, jeśli nie wnioskuje o wrażliwe atrybuty i stosowane są odpowiednie techniki anonimizacji, aby dane stały się niemożliwe do zidentyfikowania (motyw 26). W takich przypadkach ograniczenia artykułu 9 mogą nie mieć zastosowania.
Unijna ustawa o sztucznej inteligencji zabrania używania systemów AI (artykuł 5), które obejmują zabronione praktyki AI, takie jak identyfikacja biometryczna w czasie rzeczywistym do masowego nadzoru w przestrzeniach publicznych oraz nieukierunkowane zbieranie obrazów twarzy z internetu lub CCTV do baz danych rozpoznawania twarzy. W tym względzie pierwsze wymogi unijnej ustawy o sztucznej inteligencji, zakazujące zabronionych praktyk AI, weszły w życie 2 lutego 2025 roku.
Artykuł 6 unijnej ustawy o sztucznej inteligencji opisuje progi klasyfikacji systemów AI jako wysokiego ryzyka. Ustawa, w załączniku III, określa osiem różnych kontekstów, które są ogólnie uważane za wysokiego ryzyka, takie jak zarządzanie infrastrukturą krytyczną (np. systemy zarządzania ruchem oparte na AI) i systemy identyfikacji biometrycznej, które nie są zabronione (np. rozpoznawanie odcisków palców lub tęczówek na kontrolach granicznych).
Aby spełnić wymagania dotyczące systemów AI wysokiego ryzyka, szczególnie gdy dane biometryczne, genetyczne lub, ogólnie, inne wrażliwe dane są używane do trenowania modeli AI, deweloperzy AI mogą stosować techniki anonimizacji, szyfrowania lub pseudonimizacji. Zapewnia to zgodność z:
Unijna ustawa o sztucznej inteligencji określa surowe wymagania dotyczące przetwarzania danych osobowych w treningu systemów AI. Bez wątpienia będzie miała głęboki wpływ na to, jak deweloperzy AI równoważą ochronę prywatności danych z zachowaniem krytycznych danych niezbędnych do treningu AI. Gallio.pro doskonale maskuje dane osobowe, takie jak tablice rejestracyjne i twarze, pozwalając utrzymać wydajność modelu AI przy jednoczesnym spełnieniu przepisów o ochronie prywatności. Nasze rozwiązania anonimizacyjne mogą pomóc Ci spełnić rygorystyczne wymagania dla systemów AI wysokiego ryzyka, zmniejszając ryzyko prawnych i regulacyjnych komplikacji.
