Czy ochrona prywatności i sztuczna inteligencja idą w parze?

Przewiduje się, że przyszłe zastosowania sztucznej inteligencji będą miały ogromny wpływ na funkcjonowanie społeczeństwa, jednakże należy zauważyć, że już teraz sztuczna inteligencja stopniowo staje się nieodłącznym elementem naszego życia codziennego. Potwierdzeniem tej tezy mogą być prognozy IDC² , z których wynika, że w roku 2024 inwestycje w sztuczną inteligencję osiągną wartość 110 mld USD, tj. wartość dwa razy wyższą od poziomu z roku 2020.

Czym dokładnie jest sztuczna inteligencja i jak aktualnie wpływa na nasze życie, w szczególności sferę prywatności?

Termin sztuczna inteligencja (SI, ang. artificial intelligence, AI) odnosi się do systemów, które wykazują inteligentne zachowanie poprzez analizę swojego otoczenia i, na jej podstawie, podejmowanie działań - z pewnym stopniem autonomii - w celu osiągnięcia określonych celów. Takie systemy mogą być oparte wyłącznie na oprogramowaniu, działając w świecie wirtualnym (np. cyfrowi asystenci w telefonach lub komputerach, oprogramowanie do analizy obrazu, wyszukiwarki internetowe, systemy rozpoznawania mowy i twarzy) lub stanowić część składową urządzeń (np. zaawansowane roboty używane w fabrykach, autonomiczne samochody, drony lub aplikacje internetowe przedmiotów)³ .

Co do zasady, sztuczna inteligencja umożliwia systemom technicznym postrzeganie ich otoczenia, zebranie informacji i ich przegląd oraz rozwiązywanie problemów, mając na względzie osiągnięcie określonego rezultatu. Innymi słowy, system zbiera informacje (już przygotowane lub odebrane za pomocą określonego czytnika, np. czujników inteligentnej klimatyzacji czy kamery), przetwarza je i wdraża odpowiednie zachowanie. Systemy sztucznej inteligencji mogą w pewnym zakresie dostosować swoje działanie poprzez badanie skutków wcześniejszych zachowań i autonomiczne implementowanie rezultatu badania.

Wyrażenie “sztuczna inteligencja” stało się standardowym terminem branżowym dla szeregu technologii. Jednym z kluczowych obszarów, podkategorii SI, jest uczenie maszynowe (machine learning). Przez uczenie maszynowe należy rozumieć metodę / zespół technik, które wyszukują nowe wzorce oraz schematy zachowań w zbiorach danych i generują modele, które mogą być wykorzystywane do efektywnego przewidywania o danych⁴ . Chociaż nie cała dziedzina SI wiąże się z uczeniem maszynowym, większość działań w tym zakresie w pewien sposób wynika z uczenia maszynowego, np. zakresie rozpoznawania obrazów, transpozycji mowy na tekst, czy też klasyfikowania ryzyka kredytowego.

Aktualnie w polskim systemie prawnym nie znajdziemy odrębnych i szczegółowych regulacji w przedmiocie technologii SI. Stworzenie spójnej regulacji w zakresie nowej rzeczywistości cyfrowej jest dużym wyzwaniem legislacyjnym, w szczególności ze względu na nieustanny rozwój technologii. Warto podkreślić, że pod koniec grudnia 2020 r. Rada Ministrów ustanowiła "Politykę dla rozwoju sztucznej inteligencji w Polsce od roku 2020"⁵ , która w założeniu ma wskazać kierunek działaniom mającym na celu wspieranie rozwoju sztucznej inteligencji w Polsce, m.in. w administracji publicznej i gospodarce.  

W tym miejscu warto wskazać w jaki sposób sztuczną inteligencję postrzegają obywatele krajów członkowskich Unii Europejskiej. Badanie przeprowadzone w 2017 r. na zlecenie Komisji Europejskiej⁶  podaje, że 61% respondentów ma pozytywny stosunek do robotów i sztucznej inteligencji. Ponad ośmiu na dziesięciu respondentów (84%) zgadza się, że roboty są niezbędne, ponieważ mogą wykonywać prace, które są zbyt trudne lub zbyt niebezpieczne dla ludzi, a 68% potwierdza, że roboty i sztuczna inteligencja są dobre dla społeczeństwa, ponieważ pomagają ludziom wykonywać ich pracę lub codzienne zadania w domu. Jednocześnie, prawie dziewięciu na dziesięciu respondentów (88%) przyznaje, że roboty i sztuczna inteligencja to technologie, które wymagają starannego zarządzania.

W odniesieniu do postaw i praktyk związanych z zastosowaniem sztucznej inteligencji w firmach warto wspomnieć badanie z 2020 r. przeprowadzone przez Deloitte na temat stanu sztucznej inteligencji w firmach⁷. Według badania, 73% respondentów ze wszystkich badanych grup jest zdania, że sztuczna inteligencja w chwili obecnej jest „bardzo ważna” lub ma „kluczowe znaczenie” dla ich firmy. Ponadto 75% respondentów spodziewa się transformacji cyfrowej przedsiębiorstwa w okresie trzech najbliższych lat. Zachęcamy do zapoznania się z niniejszym badaniem Deloitte pod tym adresem.

Zastosowania sztucznej inteligencji w coraz większym stopniu przenikają dziedziny naszego życia niosąc przy tym szereg wyraźnych korzyści. Należy jednak pamiętać, że korzystanie z innowacyjnych rozwiązań technologicznych generuje również w pewnym stopniu zagrożenia, a co za tym idzie stojące za nimi pewne wyzwania prawne. Za jedno z ww. wyzwań można uznać poszanowanie praw i wolności jednostek w zakresie ich prywatności. Należy zauważyć, że konsekwencje, jakie SI wywiera na ochronę danych osobowych mogą być różne i są w dużym stopniu uzależnione od konkretnych przypadków wykorzystywania danych, społeczności, w której systemy SI są wykorzystywane, innych nakładających się na siebie wymogów regulacyjnych, a także względów społecznych, kulturowych i politycznych.

Aktem prawnym regulującym ochronę osób fizycznych w związku z przetwarzaniem ich danych osobowych na poziomie unijnym jest RODO⁸ . W świetle RODO „danymi osobowymi” są „wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, zaś możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”. W świetle powyższej definicji zauważyć należy, że nie każda informacja wykorzystywana w systemach SI stanowi daną osobową. Dzieje się tak, ponieważ niektóre informacje nie umożliwiają zidentyfikowania osoby fizycznej w taki sposób, aby odróżnić ją od pozostałych osób fizycznych.

„Przetwarzanie” natomiast oznacza „operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”.

Korzystając z systemu sztucznej inteligencji oraz przetwarzając w nim dane osobowe, należy upewnić się, że takie przetwarzanie jest zgodne z prawem, rzetelne i przejrzyste. Zgodne z prawem przetwarzanie danych osobowych – również w ramach systemów SI – oznacza, że wymagane jest posiadanie ważnej podstawy prawnej. Katalog podstaw prawnych przetwarzania danych osobowych został wskazany w art. 6 RODO. Przetwarzanie powinno być również przejrzyste – osoby, których dane osobowe są przetwarzane powinny otrzymać informację, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane. Zasada przejrzystości wymaga, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Zasada ta dotyczy w szczególności powiadomienia osób, których dane dotyczą, o informacjach wskazanych wprost w RODO.

Dla zgodnego z prawem przetwarzania danych osobowych istotne jest poszanowanie wynikających z RODO zasad dotyczących przetwarzania danych osobowych, m.in. zasady minimalizacji danych, z którą wiąże się konieczność ograniczenia kategorii oraz ilości przetwarzanych danych osobowych wyłącznie do tych, które są rzeczywiście niezbędne do realizacji określonych i zgodnych z prawem celów.

Warto podkreślić, że kluczowym zagadnieniem w przypadku przetwarzania danych osobowych jest zastosowanie zasady podejścia opartego na ryzyku, na podstawie której należy wdrożyć takie środki bezpieczeństwa, które w danych okolicznościach przetwarzania (tutaj: korzystanie z systemów SI) minimalizują związane z tym przetwarzaniem ryzyko naruszenia praw i wolności. Przy wyborze tych środków należy uwzględnić aktualny stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania. Działania zmierzające do zapewnienia zgodności z regulacjami z zakresu ochrony danych osobowych obejmują zatem m.in. ocenę ryzyka dla praw i wolności jednostek oraz ocenę, co jest właściwe w tych okolicznościach. Co ważne, we wszystkich przypadkach należy zapewnić przestrzeganie wymogów ochrony danych osobowych⁹.

Mając na względzie powyższe, należy zauważyć, że zapewnienie zgodności z regulacjami z zakresu ochrony danych osobowych to proces ciągły oraz złożony, na który składa się wiele elementów, między innymi:

• ustalenie czy w danym przypadku mamy do czynienia z danymi osobowymi i ich przetwarzaniem – czy sztuczna inteligencja wykorzystuje dane osobowe;
• określenie statusu administratora danych osobowych / podmiotu przetwarzającego dla określonych operacji przetwarzania danych osobowych związanych z tworzeniem lub wdrażaniem systemów SI oraz wynikające z tego konsekwencje dla obowiązków tych podmiotów;
• ocena ryzyka naruszenia praw i wolności osób, których dane będą przetwarzane, uwzględnienie ich przy projektowaniu systemu SI lub podejmowaniu decyzji o jego wykorzystaniu;
• przeprowadzenie oceny skutków dla ochrony danych osobowych – w szczególności biorąc pod uwagę fakt, że innowacyjne wykorzystanie lub zastosowanie rozwiązań technologicznych lub organizacyjnych zostało wskazane jako jeden z rodzajów operacji przetwarzania danych osobowych wymagających przeprowadzenia oceny skutków przetwarzania dla ich ochrony w Komunikacie Prezesa Urzędu Ochrony Danych Osobowych¹⁰; 
• rozważenie w jaki sposób należy uzasadnić, udokumentować i wykazać podjęte działania, w tym decyzję o wykorzystaniu systemów sztucznej inteligencji do danego przetwarzania danych;
• realizacja obowiązku informacyjnego względem osób, których dane są przetwarzane zgodnie z wymogami RODO.

Nowe technologie już teraz stają się nieodłączną częścią zarówno biznesu, jak i życia prywatnego. Co więcej, przewiduje się, że kolejne lata przyniosą jeszcze większe inwestycje w sztuczną inteligencję – z całą pewnością zjawisko transformacji cyfrowej będziemy obserwować jeszcze przez długi czas. W związku z powyższym można spodziewać się wzmożonych prac ustawodawczych i programowych, co jednak będzie stanowić w pewnym stopniu wyzwanie legislacyjne z uwagi na nieustanny rozwój technologii.

Z całą pewnością sztuczna inteligencja i ochrona prywatności nie muszą się wykluczać – niemniej jednak korzystanie z systemów SI wymaga zachowania zgodności z wymogami RODO. Należy stanowczo podkreślić wagę praw i wolności jednostek w zakresie ich prywatności – kluczowe dla zachowania wysokiego poziomu ochrony danych osobowych jest, aby osoby, których dane osobowe dotyczą były w pełni świadome otaczających ich zagrożeń, a także przysługujących im praw i wolności związanych z prywatnością.
 

- mówi Karolina Smolarek, Aplikantka adwokacka, Associate, Deloitte Legal