Как регулируется использование данных для обучения ИИ в Грузии
Обучение систем искусственного интеллекта требует огромных объёмов записей, текстов, изображений и иных данных, которые часто собраны о других людях. Здесь возникает фундаментальный правовой вопрос: можно ли использовать такие данные для обучения модели. В грузинском праве на этот вопрос отвечают общие нормы: закон Грузии «О защите персональных данных» не содержит статьи, специально посвящённой искусственному интеллекту. Это следует сказать прямо: использование обучающих данных не противоречит закону — оно просто подчиняется тому же общему режиму, который регулирует любую другую обработку: принципам обработки, основаниям, правилам для данных особой категории и требованиям к проектированию.
Это значит, что при сборе обучающих данных и передаче их модели организация должна ответить на те же вопросы, которые сопровождают любую другую обработку: какова цель обработки, на каком основании она осуществляется, насколько эта цель совместима с первоначальной целью сбора данных и какими мерами снижается риск для прав субъектов. Грузинский закон следует европейскому подходу, поэтому международная практика остаётся сравнительной рамкой, а решающим аргументом всегда является грузинская норма.
Тест совместимости дальнейшей обработки
Использование данных для обучения искусственного интеллекта почти всегда является дальнейшей обработкой: данные собраны для одной цели, а используются для другой — обучающей. Согласно статье 4 закона, дальнейшая обработка данных с целью, несовместимой с первоначальной, недопустима. Для определения совместимости второй пункт статьи 4 устанавливает шесть факторов, которые образуют основу оценки обучающего проекта.
Первый: существует ли связь между первоначальной целью сбора и обучающей целью. Второй: каков характер отношений между ответственным лицом и субъектом данных в момент сбора. Третий: есть ли у субъекта разумное ожидание такой дальнейшей обработки данных о нём. Четвёртый: осуществляется ли обработка данных особой категории. Пятый: возможные последствия для субъекта, которые может сопровождать эта обработка. Шестой: наличие технических и организационных мер безопасности.
На практике, если данные, собранные от потребителя для оказания услуги, неожиданно оказываются частью обучающего корпуса, фактор разумного ожидания — самое слабое звено: субъект не мог предвидеть такое использование, и это указывает на несовместимость. Поэтому документирование обучающих проектов должно начинаться с анализа по этим шести факторам.
Основания обработки для обучающих целей
Статья 5 закона регулирует основания, на которые может опираться обучающая обработка. Согласие субъекта данных на обработку для одной или нескольких конкретных целей — самое надёжное основание при условии, что оно отвечает требованиям к согласию. Обработка также допустима, если она необходима для исполнения обязательства по договору с субъектом или для заключения договора по требованию субъекта; если она предусмотрена законом; если она необходима для исполнения возложенных законодательством обязанностей; если данные общедоступны по закону или субъект сделал их общедоступными; а также в случаях жизненно важных интересов, значимого публичного интереса, задач в сфере публичного интереса, легитимных интересов и рассмотрения заявления субъекта.
Основание легитимных интересов часто применяется в технологических проектах, однако у него есть чёткая граница: оно не действует, если существует превосходящий интерес защиты прав субъекта данных, в том числе несовершеннолетнего. Второй пункт той же статьи распределяет ответственность: обязанность обоснования правового основания обработки возложена на ответственное лицо. Документация обучающего проекта — это и есть рамка такого обоснования.
Данные особой категории в обучающих корпусах
Данные особой категории — связанные со здоровьем, убеждениями, политическими взглядами и подобными сферами — требуют особой защиты. Согласно первому пункту статьи 6 закона, обработка таких данных допустима только при условии, что ответственным лицом обеспечены предусмотренные законом гарантии защиты прав и интересов субъекта и существует одно из перечисленных оснований. Среди этих оснований первое — письменное согласие субъекта для одной или нескольких конкретных целей.
Особенно актуально для обучающих целей основание, касающееся обработки, необходимой для архивации в публичных интересах, научных или исторических исследований либо статистических целей в соответствии с законом. Это основание действует, если закон предусматривает надлежащие и конкретные мероприятия по защите прав и интересов субъектов, и не применяется, когда специальным законом обработка таких данных ограничена дополнительными условиями. Есть также основание для обеспечения информационной безопасности и кибербезопасности. Третий пункт статьи 6 повторяет то же правило: обоснование основания возложено на ответственное лицо.
Встроенная защита и минимизация в обучающих системах
Статья 26 закона требует встраивать защиту при разработке новых технологий, и система искусственного интеллекта — один из самых наглядных примеров этого требования. Согласно её первому пункту, с учётом новых технологий, расходов на реализацию, характера, масштаба, контекста и целей обработки, а также ожидаемых рисков для прав субъектов ответственное лицо должно принимать надлежащие технические и организационные меры, включая псевдонимизацию, как при определении средств, так и непосредственно в процессе.
Второй пункт регулирует приоритет более широкого сокрытия данных: при определении количества данных, масштаба обработки, сроков хранения и доступа должно обеспечиваться, чтобы автоматически обрабатывался только объём, необходимый для конкретной цели. Для обучающих корпусов на практике это означает: в зависимости от задачи модели — недопущение попадания в корпус лишних полей, идентификаторов и данных особой категории, а также включение псевдонимизации на раннем этапе потока данных.
Что должна сделать организация перед обучающим проектом
Правильная последовательность такова. Первое: документируется первоначальная цель сбора каждого потока данных. Второе: обучающая цель анализируется по шести факторам второго пункта статьи 4. Третье: выбирается основание из статьи 5, а для данных особой категории — соответствующее основание из статьи 6, включая письменное согласие. Четвёртое: минимизация и псевдонимизация проектируются в соответствии со статьёй 26. Пятое: обоснование основания и анализ документируются так, чтобы организация могла представить их в нужный момент.
Команда Legal.ge поможет в правовой оценке обучающих данных: от описания потоков данных и анализа совместимости до выбора оснований и документирования проектных мер, чтобы ваш проект искусственного интеллекта опирался на точные требования грузинского законодательства.