Utvikling og bruk av AI-modeller
GDPR-prinsipper i utvikling og bruk av AI-modeller
Det er flere grunnleggende prinsipper i GDPR når du utvikler og bruker AI-modeller som er relevante. Bedrifter må alltid overholde de syv (7) grunnleggende prinsippene som er angitt i artikkel 5 i GDPR.
Prinsippet om formålsbegrensning
Bedrifter skal ikke behandle flere personopplysninger enn det som er nødvendig for å oppnå formålet med behandlingen. I tillegg må formålet være uttrykkelig angitt, spesifikt og utgjøre et legitimt formål.
Prinsippet om formålsbegrensning i utviklingen av en AI-modell
Hvis et selskap tidligere har samlet inn personopplysninger for et annet formål enn utviklingen av en AI-modell, kan bruken av dem for utviklingen kreve et nytt juridisk grunnlag, men ikke alltid.
Kompatibel med det opprinnelige formålet
For å behandle personopplysninger for utvikling av en AI-modell, selv om personopplysningene ikke ble samlet inn for dette formålet, må det nye formålet være kompatibelt med det opprinnelige formålet. Foretaket må derfor foreta en samlet vurdering for å kunne fastslå dette.
Å vurdere når man skal avgjøre om behandlingen i utviklingen av en AI-modell er kompatibel med det opprinnelige formålet
Tilknytning
Hva er sammenhengen mellom det nye og det opprinnelige formålet?
Innsamling
Hvordan har dine personopplysninger blitt samlet inn?
Forhold
Hva er forholdet mellom selskapet og den registrerte?
Rimelig
Kan den registrerte med rimelighet forvente slik behandling?
Kategorier
Hvilken kategori av personopplysninger gjelder behandlingen?
Mulige konsekvenser
Hva er de mulige konsekvensene av behandlingen for de registrerte?
Tekniske og organisatoriske sikkerhetstiltak
Hvilke tekniske og organisatoriske sikkerhetsforanstaltninger har selskapet satt på plass?
Vurdering av formålsbegrensninger
Eksempler på ulovlig behandling: Utvikling av AI-modell for å finne mønstre av sykefravær
Et selskap ønsker å utvikle en AI-modell som vil kunne avgjøre om det er et mønster i når deres ansatte blir syke, slik at selskapet kan beregne på forhånd når de skal ha flere ansatte klare. Selskapet ønsker å gi AI-modellen alle data om sine ansatte som de har rett til å behandle i henhold til ansettelseskontrakten. Selskapet engasjerer utviklerne selv for å unngå å overføre personopplysningene til en tredjepart. Personopplysningene vil ikke bli kryptert ved innreise.
Denne behandlingen vil etter all sannsynlighet ikke bli tillatt.
Begrunnelsene for avgjørelsen er som følger:
Det ser ut til å være en sammenheng mellom det opprinnelige og det nye formålet med behandlingen av personopplysningene, men det gjelder to ulike typer saker.
De registrerte har liten innflytelse på behandlingen og hvilke personopplysninger som behandles, da dette er et krav for at de skal bli ansatte.
Det er et ulikt maktforhold mellom partene, da de er arbeidsgivere og arbeidstakere.
Personopplysningene som behandles (sykefravær) er sensitive i henhold til GDPR (data som avslører informasjon om en persons helse utgjør en spesiell kategori av personopplysninger i henhold til artikkel 9 i GDPR).
Selskapet har ikke til hensikt å kryptere personopplysningene for innspill til AI-modellen, noe som bør gjøres som et teknisk sikkerhetstiltak med hensyn til behandling av sensitive personopplysninger.
Personopplysningene er samlet inn på grunnlag av det juridiske grunnlaget for en kontrakt med den registrerte med det formål å inngå og oppfylle arbeidskontrakten; Utvikling av AI-modellen er ikke nødvendig for dette, og derfor kan dette juridiske grunnlaget ikke brukes til dette nye formålet med behandlingen.
Det er vanskelig å argumentere for at utviklingen av AI-modellen er i de ansattes beste interesse, noe som ellers kan være et godt argument å ta med i vurderingen.
Har de registrertes forventninger til hvordan behandlingen kan foregå, noen innvirkning på vurderingen?
Det påvirker avgjørelsen. Hvis den nye behandlingen er for et annet formål enn det opprinnelige formålet, kan dette bety at det er utenfor hva de registrerte med rimelighet kan forvente. Selv om det er en sammenheng mellom det opprinnelige og det nye formålet, kan behandlingen for utvikling og bruk av en AI-modell være noe som ikke med rimelighet forventes.
Spiller den en rolle i vurderingen av behandlingens mulige innvirkning på de registrerte?
Ja, det spiller en rolle i avgjørelsen. Hvis personopplysningene brukes til å utvikle en AI-modell, kan dette bety mindre åpenhet om behandlingen mot de registrerte. Det kan for eksempel gjøre det vanskeligere for dem å respektere sine rettigheter og forstå behandlingen.
Eksempler på godkjente behandlingsaktiviteter: For å optimalisere strømforbruket ønsker en strømleverandør å kartlegge strømprisene ved å utvikle en AI-modell
Et selskap, som er en strømleverandør, engasjerer en ekstern part for utviklingen av AI-modellen. Selskapet må behandle visse personopplysninger for å kunne levere strøm og fakturere kunder. Selskapet ønsker å bruke disse personopplysningene til å utvikle en AI-modell, for å optimalisere strømprisene. Formålet med behandlingen er dermed å redusere kostnadene for kundene ved å kartlegge tidspunktene når strømprisen er lavest og høyest.
Selskapet trenger alle personopplysninger som behandles i forhold til sine kunder, men har delt dem inn i ulike geografiske områder. De vil ikke gi alle dataene direkte til AI-modellen, men i stedet starte med et geografisk område av gangen. På denne måten forsøker selskapet å unngå å behandle flere personopplysninger enn det som er nødvendig for formålet.
Etter hvert geografiske område som selskapet har lagt inn dataene, vil selskapet undersøke om det er tilstrekkelig for AI-modellen å gjøre det som tiltenkt. Hvis ikke, vil selskapet legge inn dataene for et nytt område, til det når det nødvendige resultatet.
Ingen direkte identifikatorer, for eksempel navn og personnummer, vil bli delt med AI-modellen, men i stedet er personopplysningene kryptert.
Spørsmålet er om det nye formålet kan anses for å være forenlig med det opprinnelige formålet?
I dette tilfellet ser det ut til at det er en klar sammenheng mellom formålene. På den annen side er det flere faktorer som påvirker om den nye behandlingen godkjennes eller ikke. Her er noen elementer som rettferdiggjør beslutningen om at det gjelder en lovlig behandling:
Gamle og nye formål er knyttet til strømforbruket.
Det er ikke noe ulikt maktforhold mellom partene.
Datasubjekter er ikke i en sårbar posisjon.
Personopplysninger er ikke sensitive i henhold til artikkel 9 GDPR eller artikkel 10 GDPR.
Målet er å redusere kostnadene for kundene, noe som er positivt for dem.
For å unngå å behandle flere personopplysninger enn nødvendig, starter selskapet med å gi data knyttet til et geografisk område om gangen, til det når ønsket resultat, i stedet for å legge inn alle dataene samtidig.
Det er også viktig å huske på at tilstrekkelige tekniske og organisatoriske sikkerhetstiltak er på plass for å beskytte personopplysninger. I dette tilfellet hadde selskapet kryptert personopplysningene, som er et passende teknisk sikkerhetstiltak i denne situasjonen.
Omstendigheter som kan stride mot en behandlingsoperasjons forenlighet med det opprinnelige formålet:
Hvis selskapet overfører personopplysningene til en annen aktivitet for utviklingen. Dette innebærer blant annet en høyere risiko for at personopplysningene kan komme i gale hender, men betyr ikke nødvendigvis at de er uforenlige med det opprinnelige formålet. En annen ulempe er at det kan være vanskeligere å være åpen overfor registrerte, da det kan være vanskeligere for dem å forstå behandlingen og respektere deres rettigheter under GDPR.
Det er viktig å analysere hvilken innvirkning den nye behandlingen kan ha på de registrerte. I tillegg bør viktigheten av å beskytte personopplysninger analyseres. For eksempel, hvis kredittkortopplysninger er involvert, kan det ha en betydelig innvirkning hvis de kommer i feil hender.
Vær oppmerksom på at hvert enkelt tilfelle krever en egen vurdering, og små omstendigheter kan påvirke om den nye behandlingen er forenlig med det opprinnelige formålet eller ikke.
Prinsippet om dataminimering
Bedrifter kan bare behandle personopplysninger som er tilstrekkelige og relevante i forhold til formålet. Med andre ord, ikke behandle flere personopplysninger enn det som er nødvendig for å oppnå det.
Krav om proporsjonalitet
Behandlingen må stå i forhold til formålet som skal oppnås. Dette betyr at brudd på personvernet ikke må være overdrevent i forhold til fordelene ved behandlingen.
Prinsippet om dataminimering i utviklingen av en AI-modell
Prinsippet om dataminimering må vurderes nøye ved opplæring og utvikling av en AI-modell, da det er fare for at den behandler flere personopplysninger enn nødvendig. Det kan også være at man ikke alltid vet nøyaktig hva som skal oppnås og derfor behandler unødvendige personopplysninger i prosessen, noe som ikke er i tråd med prinsippet. Derfor er det viktig å først nøye analysere hva formålet med behandlingen er, for å vite hvilke personopplysninger som trengs. Etterlevelse av dette prinsippet kan være vanskelig når et selskap utvikler en AI-modell, men det er mulig.
Statistisk riktig
Det er viktig å ikke diskriminere visse grupper når man lager en statistisk nøyaktig AI-modell. Derfor må AI-modellen trenes med relevante og ikke-diskriminerende data. Dette betyr at relevante data er viktige både for å ikke behandle flere personopplysninger enn nødvendig for å oppnå formålet med behandlingen og for å være så statistisk nøyaktig som mulig.
Overvåket læring
Opplæring av en AI-modell gjennom veiledet læring bør bevisst sikre egenskapene til dataene som brukes.
Godt utgangspunkt for å oppnå reglene rundt prinsippet om dataminimering
Ettersom AI-modeller har en tendens til å bruke svært store mengder data, kan det være vanskelig å oppnå prinsippet om dataminimering. På den annen side er det mulig. For å gjøre det, er det godt å begynne med å gi AI-modellen en liten mengde data og deretter, om nødvendig, gradvis øke dataene. Siden det er vanskelig å alltid vite nøyaktig hvordan en AI-modell vil utvikle seg i fremtiden, er det godt å starte i mindre skala.
Ikke glem å kaste bort personopplysninger som ikke lenger er nødvendige
Selskaper må slette eller anonymisere personopplysninger når de ikke lenger er nødvendige for det formålet de ble samlet inn for. Hvis personopplysningene ikke lenger er nødvendige å behandle etter at AI-modellen er utviklet, skal de slettes. Alternativt blir det anonymisert. Det kan også være nyttig å analysere om det er mulig å utvikle AI-modellen med anonyme data i stedet for personopplysninger.
Algoritmer som diskriminerer: Diskriminering er forbudt
Det er ikke tillatt for en AI-modell å bruke diskriminerende algoritmer, da det bryter med rettferdighetsprinsippet. Det er forbudt, uansett om slik bruk er tilsiktet eller ikke. Det er derfor nyttig å stadig teste AI-modellen slik at den ikke diskriminerer grupper eller enkeltpersoner.
Mer om AI
Juridisk grunnlag som kan være nyttig i utvikling og bruk av AI-modeller
Det er flere rettslige grunnlag som kan være hensiktsmessige for å støtte behandlingen av personopplysninger på, i utviklingen og bruken av AI-modeller. Berettiget interesse er ofte brukt som det er et fleksibelt rettslig grunnlag. På den annen side er det viktig å vurdere å avveie interessene skriftlig først, samt å vite at den registrerte har rett til å motsette seg behandlingen. Samtykke har en tendens til å være vanskelig å bruke når man utvikler en AI-modell, men kan være mer egnet til å støtte behandlingen av personopplysninger når man bruker en AI-modell.