AI karmi się naszymi danymi. UODO idzie do ministra: „Nowelizacja ustawy jest konieczna”

Rozwój narzędzi sztucznej inteligencji wpłynął nie tylko na codzienne życie ludzi i funkcjonowanie przedsiębiorstw na całym świecie. Dotknął również wrażliwego, ważnego obszaru, jakim jest ochrona danych osobowych.

Jak informowaliśmy na naszych łamach, w parlamencie trwają prace nad ustawą o systemach sztucznej inteligencji, wdrażającą zapisy unijnego Aktu o sztucznej inteligencji.

Z kolei na poziomie unijnym trwają prace nie tylko nad pakietem zmian dotyczącym zwiększenia przepustowości danych – tzw. Cyfrowy Omnibus ma objąć także nową technologię.

O kwestiach łączących ochronę danych oraz AI rozmawialiśmy z Agnieszką Grzelak, zastępczynią Prezesa Urzędu Ochrony Danych Osobowych podczas Gali Finałowej Konkursów Prezesa UODO.

Trzeba uniknąć dualizmu przy ochronie danych

Paweł Makowiec, CyberDefence24: Jakie jest podejście Urzędu Ochrony Danych Osobowych do procedowanej w parlamencie ustawy o systemach sztucznej inteligencji? Czy zdaniem urzędu projekt wprowadzi nadregulację lub technologia będzie niedoregulowana?

Agnieszka Grzelak, zastępczyni Prezesa Urzędu Ochrony Danych Osobowych: Prezes Urzędu nie posiada inicjatywy legislacyjnej i jedynie opiniuje przedstawiane przez właściwe organy projekty aktów prawnych. Naturalnie byliśmy bardzo zainteresowani ustawą wdrażającą AI Act, pozycją organu zajmującego się sztuczną inteligencją i rolą Prezesa Urzędu. Najważniejsze jest to, żeby nie dopuścić do takiego dualizmu, w którym o ochronie danych osobowych decydowałyby różne organy, być może w rozbieżny sposób.

Pojawiło się ryzyko, że z jednej strony PUODO wydawałby swoje decyzje, a z drugiej strony nowa komisja również zajmowałaby się kwestiami ochrony danych w systemach AI w sposób, który może niekoniecznie byłby zgodny ze stanowiskiem Prezesa UODO. To była ta kwestia, o której dyskutowaliśmy w kontekście roli Prezesa. Prezes UODO jako organ nie może być składnikiem komisji, tylko powinien posiadać rolę obserwatora i podmiotu, który przygląda się pracom. Jednocześnie musi on zachować swoją niezależność i zajmować stanowisko w procedowanych sprawach w zakresie ochrony danych osobowych z poszanowaniem pełnej niezależności.

Ustawa przewiduje nowe zadania dla Prezesa UODO, m.in. ma być organem szczebla krajowego w zakresie nadzoru rynku nad systemami AI wysokiego ryzyka. Jak w praktyce będzie wyglądał ten nadzór? Czy prowadzone są już przygotowania do realizacji tego zadania?

W tej chwili w urzędzie trwają prace koncepcyjne. Musimy przeanalizować w jakim zakresie będziemy obsługiwać to zadanie. Szczegółów jeszcze nie znamy, bo te kwestie będą uregulowane w osobnej ustawie. Potrzebne są tutaj pewne dodatkowe rozwiązania krajowe.

Naruszenia danych przez AI

Jak często urząd ma do czynienia z naruszeniami ochrony danych wynikającymi z wykorzystania narzędzi sztucznej inteligencji? Jaka to jest skala i czy można zauważyć jakiś trend?

To nie są liczne sprawy, raczej pojedyncze przypadki. Wiele z nich ma charakter transgraniczny. Przykładowo, dotyczą platform internetowych, które mają siedzibę w innym państwie członkowskim Unii Europejskiej, gdzie organem właściwym jest inny organ ochrony danych; wtedy uruchamiamy procedury w zakresie współpracy. Nie jest to jeszcze olbrzymia skala.

Czy w związku z postępem technologicznym należy znowelizować ustawę o ochronie danych osobowych i unijne RODO? A może ich obecny kształt jest wystarczający?

Trwają prace w zakresie tzw. unijnego Omnibusa. Ten akt ma nowelizować istniejące rozporządzenie poprzez dostosowanie go do realiów m.in. w zakresie definicji danych osobowych. Jeżeli chodzi o naszą ustawę (o ochronie danych osobowych z 10 maja 2018 r. – przyp. red.), uważamy, że jej nowelizacja jest konieczna nie tyle ze względu na istnienie nowych technologii, co na praktykę działania.

Chcielibyśmy uproszczenia pewnych procedur tak, żeby przyspieszyć pewne działania, trochę je odformalizować, a w pewnych obszarach móc odejść od Kodeksu postępowania administracyjnego na rzecz mniej sformalizowanego rozpoznawania spraw – oczywiście nadal pozostając w ramach prawa. To są nasze postulaty, które w najbliższym czasie przedstawimy ministrowi cyfryzacji.

Jak dbać o dane w erze sztucznej inteligencji? Co zrobić, aby iść z duchem czasu, a przy tym nie naruszać bezpieczeństwa danych? A może za wzrost efektywności musimy zapłacić danymi, bo to znak czasów?

W pewnym sensie jest to znak czasu, ale musimy przede wszystkim myśleć o tym, jakie dane udostępniamy, komu je udostępniamy. Lepiej jest zastanowić się kilka razy czy faktycznie potrzebujemy kupić przedmiot, który jest tańszy o 2 złote. Za tą decyzją idzie przekazanie danych nie wiadomo jakiej spółce, która nie wiadomo, gdzie ma siedzibę – najczęściej gdzieś w państwie trzecim – i co potem się z tymi danymi dzieje.

Przede wszystkim myślenie, czujność, rozwaga i zastanowienie się, czy faktycznie rozmaite oferty, które idą za tym, że udostępniamy dane osobowe, są korzystne dla nas w tym zakresie.

Dziękuję za rozmowę.