Medycyna (diagnostyka chorób), transport (autonomiczne samochody) czy handel i marketing (przygotowywanie zindywidualizowanych rekomendacji) to tylko niektóre obszary, w których już dziś zastosowanie mają systemy komputerowe symulujące ludzkie myślenie, czyli sztuczna inteligencja (ang. artificial intelligence, AI).

Dziedzin, w których znajduje ona zastosowanie, przybywa, i to w dynamicznym tempie. Rozwój ten może dać wiele korzyści, ale i rodzi zagrożenia, choćby dla naszej prywatności. Sztuczna inteligencja bazuje bowiem na pozyskiwaniu i przetwarzaniu ogromnych ilości danych, w tym osobowych. Dlatego jej rozwój jest przedmiotem szczególnego zainteresowania organów ds. ochrony danych osobowych, w tym prezesa Urzędu Ochrony Danych Osobowych.

Czytaj też:

Sztuczna inteligencja - projekt rozporządzenia Komisji Europejskiej z dnia 21 kwietnia 2021 r.

Już podczas odbywającej się w 2018 r. w Brukseli 40. Międzynarodowej Konferencji Rzeczników Ochrony Danych Osobowych i Prywatności przyjęto m.in. „Deklarację w sprawie etyki i ochrony danych w zakresie sztucznej inteligencji", w której zidentyfikowano sześć podstawowych zasad dotyczących przyszłego rozwoju i wykorzystywania sztucznej inteligencji. Są to: rzetelność, rozliczalność, przejrzystość, uwzględnianie ochrony prywatności w fazie projektowania, uprawnienia i niedyskryminacja.

Przyszłe prawo i pomocne dokumenty

Obecnie nie ma aktu prawnego, który by określał zasady rozwoju sztucznej inteligencji, ale Unia Europejska już pracuje nad przepisami stosownego rozporządzenia regulującego te kwestie, zaś w 2020 r. Komisja Europejska przyjęła tzw. białą księgę ws. sztucznej inteligencji. Z kolei w styczniu 2021 r. polski rząd przyjął uchwałę w sprawie ustanowienia „Polityki dla rozwoju sztucznej inteligencji w Polsce od roku 2020". Dokumenty te mogą być pomocne w ocenie projektów i rozwiązań opartych na AI.

W kontekście tworzenia nowych regulacji prawnych dotyczących technologii AI ważne jest jednak, aby nie naruszały one spójności prawa o ochronie danych osobowych i nie doprowadziły do nadmiernej inwigilacji obywateli oraz niekontrolowanego profilowania osób.

Zastosowanie RODO

Biorąc pod uwagę, że AI nie funkcjonuje bez danych, które zbiera, analizuje, na ich podstawie się uczy i automatycznie wyciąga wnioski dotyczące przyszłości, to gdy na te potrzeby przetwarzane są dane osobowe, przy budowie i wdrażaniu projektów ją wykorzystujących należy stosować przepisy ogólnego rozporządzenia o ochronie danych (RODO).

Chodzi tu m.in. o takie określone w RODO zasady, jak: minimalizacja, ograniczony cel, zgodność z prawem czy ograniczenie przechowywania. Istotne znaczenie ma też zasada integralności, zgodnie z którą administrator musi przetwarzać dane w sposób zapewniający odpowiednie ich bezpieczeństwo i poufność. Tym samym pamiętać należy o regularnym testowaniu stosowanych zabezpieczeń.

Budując rozwiązania wykorzystujące sztuczną inteligencję do przetwarzania danych osobowych, nie wolno zapominać o art. 35 ust. 1 RODO, zgodnie z którym jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Powinna ona dokumentować z wyprzedzeniem, jaki jest cel wykorzystania danych, i identyfikować zagrożenia, jakie może spowodować projektowany sposób przetwarzania danych.

Określoną w RODO zasadą, która ma zastosowanie do rozwiązań wykorzystujących sztuczną inteligencję, jest też włączanie ochrony prywatności w tworzenie projektu, działanie jego składników oraz w zarządzanie technologiami informacyjnymi i systemami przez cały cykl życia informacji. To proaktywne podejście, wyrażone przez zasadę privacy by design (art. 25 RODO), zakłada, że ochrona prywatności powinna być wbudowana w każdy nowy projekt, w jego konstrukcję.

Szczególną ostrożność i dbałość zachować należy wówczas, gdy w grę wchodzą szczególne kategorie danych osobowych, o których mowa w art. 9 RODO, takie jak dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych czy dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności albo orientacji seksualnej danej osoby.

Pomocny IOD

W przypadku wątpliwości związanych z ochroną danych osobowych w przyjmowanych rozwiązaniach administrator – a także pracownicy – może i powinien się konsultować z inspektorem ochrony danych (IOD), którego zadaniem jest monitorowanie przyjmowanych rozwiązań pod kątem ich zgodności z ogólnym rozporządzeniem o ochronie danych i którego powołanie w instytucjach i firmach jest obowiązkowe. Inspektor, nie tylko mając wiedzę z zakresu ochrony danych osobowych, ale przede wszystkim znając specyfikę realizowanych przez administratora zadań, powinien dostosowywać podejmowane działania tak, aby działając zgodnie z prawem, nie naruszać istoty autonomii jednostki.

Przed nami dyskusje

Biorąc pod uwagę fakt, że Unia Europejska prowadzi prace nad projektem rozporządzenia dotyczącego sztucznej inteligencji, w najbliższym czasie czeka nas zapewne dyskusja nad planowanymi rozwiązaniami, w tym nad wzajemną relacją tego aktu prawnego i RODO.

Urząd Ochrony Danych Osobowych podjął m.in. tę tematykę, organizując w kwietniu 2021 r. konferencję pt. „Sztuczna inteligencja – w kontekście ochrony danych osobowych", której zapis dostępny jest pod linkiem https://uodo.gov.pl/pl/138/2010.

Autorka to dyrektor Departamentu Orzecznictwa i Legislacji w Urzędzie Ochrony Danych Osobowych