Nacrt Zakona o zaštiti podataka o ličnosti prvi put uvodi posebna pravila za obradu podataka o ličnosti korišćenjem veštačke inteligencije.
Obrada podataka o ličnosti korišćenjem veštačke inteligencije do sada nije bila posebno uređena propisima o zaštiti podataka o ličnosti. Nacrt Zakona o zaštiti podataka o ličnosti tu materiju izdvaja u zaseban odeljak i u članovima 52. i 53. postavlja pravila koja se odnose i na razvoj i testiranje sistema veštačke inteligencije i na njihovu svakodnevnu primenu.
U nastavku objašnjavamo po kom osnovu se podaci smeju obrađivati u te svrhe, koja prava lica su ograničena, koji uslovi važe za pojedine vrste sistema i šta to znači za rukovaoce.
Po kom osnovu se podaci mogu obrađivati radi razvoja veštačke inteligencije?
Nacrt predviđa da se obrada podataka o ličnosti u svrhu primene, uključujući razvoj i testiranje sistema veštačke inteligencije, kao i modela veštačke inteligencije opšte namene, može vršiti ako je u skladu sa prvobitnom svrhom u koju su podaci prikupljeni.
Izuzetno, obrada je dozvoljena i na osnovu legitimnog interesa rukovaoca ili trećeg lica, ali samo ako taj interes pretegne nad pravima i slobodama lica čiji se podaci obrađuju.
Uz to, rukovalac je dužan da primenjuje odgovarajuće tehničke, organizacione i kadrovske mere zaštite podataka, naročito radi poštovanja načela minimizacije, što uključuje pseudonimizaciju ili anonimizaciju.
Nakon ispunjenja svrhe obrade podataka korišćenjem sistema veštačke inteligencije, podaci o ličnosti se brišu.
Koja prava lica su ograničena?
Ovo je jedna od najznačajnijih novina. Kod obrade podataka u navedene svrhe, lice čiji se podaci obrađuju može ostvariti pravo na pristup i pravo na prigovor – ali ni ta dva prava ne bezuslovno: izuzetak postoji ako bi njihovo ostvarivanje značajno otežalo ostvarivanje svrhe ili ako rukovalac ne može da identifikuje to lice.
Istovremeno, Nacrt izričito propisuje da se ne primenjuju odredbe o:
- pravu na ispravku ili dopunu podataka,
- ograničenju obrade,
- pravima u vezi sa automatizovanim donošenjem pojedinačnih odluka,
- pravu na brisanje,
- pravu na prenosivost podataka.
Koji uslovi važe za pojedine sisteme veštačke inteligencije?
Nacrt uslove razvrstava prema vrsti sistema u kome se podaci obrađuju:
Visokorizični sistemi. Obrada je dozvoljena ako je izvršena procena uticaja na obradu podataka o ličnosti, koja može biti sastavni deo procene uticaja visokorizičnog sistema na osnovna ljudska prava i slobode u skladu sa posebnim zakonom, a na osnovu koje Poverenik daje mišljenje o obradi podataka.
Sistemi koji direktno komuniciraju sa pojedincem. Obrada je dozvoljena ako je lice obavešteno da je u interakciji sa sistemom, odnosno da je reč o sistemu koji generiše sintetički audio ili video sadržaj ili o sistemu za prepoznavanje emocija. Izuzetak su sistemi namenjeni otkrivanju i gonjenju učinioca krivičnog dela.
Sistemi sa minimalnim rizikom. Obrada je dozvoljena ako se primenjuju odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose.
Obaveza obaveštavanja i označavanja generisanog sadržaja
Lice čiji se podaci obrađuju mora biti obavešteno o korišćenju sistema veštačke inteligencije na jasan i pristupačan način, najkasnije u trenutku prve interakcije ili prvog izlaganja sadržaja. Ista obaveza važi i za modele veštačke inteligencije opšte namene, uz primenu odgovarajućih mera zaštite.
Pored toga, rukovalac odnosno obrađivač koji podatke obrađuje u sistemu veštačke inteligencije, uključujući sistem opšte namene koji generiše sintetički audio ili video sadržaj, dužan je da označi da je reč o generisanom, odnosno modifikovanom sadržaju, osim kod sistema namenjenih otkrivanju i gonjenju učinioca krivičnog dela.
Kada obrada isključivo putem veštačke inteligencije nije dozvoljena?
Nacrt postavlja jasnu granicu: obrada podataka o ličnosti isključivo upotrebom sistema veštačke inteligencije, bez učešća fizičkog lica, kao i upotrebom modela opšte namene, nije dozvoljena ako može da proizvede štetne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica, odnosno ako je posebnim zakonom zabranjeno korišćenje takvih sistema.
Izuzetak je predviđen za obradu koja se vrši u statističke, naučne ili istorijske svrhe – u tom slučaju obrada isključivo upotrebom sistema veštačke inteligencije, odnosno modela opšte namene, jeste dozvoljena.
Šta ovo znači za rukovaoce u praksi?
Predložena pravila znače da će rukovalac koji koristi ili razvija sisteme veštačke inteligencije morati da bude u stanju da pokaže dve stvari: da je obrada u skladu sa prvobitnom svrhom prikupljanja podataka, ili da postoji legitimni interes koji preteže nad pravima lica, i da su primenjene odgovarajuće mere zaštite, uključujući pseudonimizaciju ili anonimizaciju.
Za visokorizične sisteme dodatno će biti potrebna procena uticaja i mišljenje Poverenika, a za sisteme koji komuniciraju sa korisnicima – jasno obaveštenje i označavanje generisanog sadržaja.
Zaključak
Članovi 52. i 53. Nacrta Zakona o zaštiti podataka o ličnosti predstavljaju prvi pokušaj da se obrada podataka o ličnosti korišćenjem veštačke inteligencije uredi domaćim propisom o zaštiti podataka.
Reč je o nacrtu, koji do usvajanja može biti izmenjen, ali pravac je jasan: dozvoljena obrada uslovljena je svrhom, merama zaštite i transparentnošću prema licu na koje se podaci odnose, uz istovremeno ograničenje pojedinih prava tog lica.
Rukovaocima koji već koriste ili planiraju uvođenje sistema veštačke inteligencije preporučujemo da na vreme mapiraju svoje obrade i procene u koju kategoriju sistema spadaju, kako bi usklađivanje po usvajanju zakona bilo pitanje prilagođavanja, a ne uvođenja postupaka od nule.
Navedene izmene uvode mere koje treba da obezbede adekvatnu zaštitu lica na koje se podaci odnose, a ne da zabrane upotrebu sistema veštačke inteligencije. Primenom takvih mera rukovaoci mogu da i obezbede efikasan i siguran AI model i spreče curenje podataka (data breach) o čemu smo pisali u posebnom tekstu.