GDPR și IA: date cu caracter personal în algoritmi și decizii automatizate

RGPD se aplică integral de îndată ce un sistem de inteligență artificială prelucrează date despre o persoană identificabilă, aflate în curs de formare, în curs de utilizare sau în jurnalele sale. Apoi, aveți nevoie de un temei juridic pentru fiecare pas, trebuie să explicați logica sistemului persoanelor vizate, iar o decizie luată exclusiv de mașină, cu efecte semnificative, este permisă doar în condițiile stricte ale articolului 22 din RGPD.

Autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens, AP) aplică aceste reguli. Legea UE privind inteligența artificială adaugă un strat separat de siguranță a produselor, dar nu înlocuiește și nu relaxează nicio obligație GDPR. Pentru întrebarea cum se poate asambla în mod legal un set de date de instruire, consultați articolul nostru despre GDPR și big data.

Când se aplică GDPR unui sistem de inteligență artificială?

GDPR se aplică ori de câte ori sunt prelucrate date cu caracter personal, indiferent de tehnologie (articolul 2 din GDPR). Într-o aplicație de inteligență artificială, acest lucru se întâmplă în trei momente: antrenament, utilizare (inferență) și înregistrare.

Un model antrenat nu este automat anonim. În Avizul 28/2024 din 17 decembrie 2024, Comitetul European pentru Protecția Datelor (CEPD) a concluzionat că un model poate păstra date cu caracter personal care pot fi extrase, ceea ce trebuie evaluat pentru fiecare model în parte. Dacă modelul a fost antrenat pe baza datelor prelucrate ilegal, acest lucru poate afecta și legalitatea utilizării acestora. Noțiunile de bază se găsesc în introducerea noastră în legislația privind protecția datelor.

Cine este responsabil într-un lanț de inteligență artificială?

Responsabilitatea vine în urma procesului decizional, nu a tehnologiei. Partea care decide scopurile și mijloacele este operatorul; partea care doar urmează instrucțiunile este persoana împuternicită de operator (articolul 4 din RGPD).

Un furnizor de modele este de obicei un operator pentru propria dezvoltare și o persoană împuternicită de operator pentru uzul clientului. Dacă contractul permite furnizorului să utilizeze informațiile dvs. pentru a-și îmbunătăți propriul model, acesta devine operator în acest scop. Consultați articolele noastre despre rolurile operatorului și ale persoanei împuternicite de operator și acordul de prelucrare a datelor . Dacă datele sunt transmise către furnizori din afara SEE, Capitolul V din RGPD impune, de asemenea, un instrument de transfer.

Când este permisă o decizie automatizată?

În temeiul articolului 22 din RGPD, o decizie bazată exclusiv pe prelucrarea automată care are efecte juridice sau efecte similare semnificative este, în principiu, interzisă. Aceasta este permisă numai dacă este necesară pentru un contract, autorizată de lege cu garanții sau bazată pe consimțământul explicit.

Trei întrebări decid dacă articolul 22 se aplică:

• Decizia se bazează exclusiv pe prelucrarea automată? O semnătură umană simbolică nu schimbă acest lucru; recenzorul trebuie să aibă autoritate reală și să evalueze rezultatul.
• Sunt efectele legale sau la fel de semnificative? Exemple sunt refuzul acordării unui credit, respingerea unei cereri de angajare sau blocarea unui client după un semnal de fraudă.
• Este vorba despre un individ? Regulile generale de stabilire a prețurilor nu sunt incluse; scorurile individuale nu sunt incluse.

În cauza SCHUFA (CJUE 7 decembrie 2023, C-634/21), Curtea de Justiție a statuat că producerea unui scor de credit este în sine o decizie automată dacă o terță parte se bazează în mare măsură pe acesta pentru a decide asupra unui contract. Prin urmare, organizațiile care achiziționează scoruri de credit, fraudă sau risc trebuie să verifice ce face furnizorul lor.

În cazul în care se aplică o excepție, persoana are cel puțin dreptul la intervenție umană, de a-și exprima opinia și de a contesta decizia (articolul 22 alineatul (3) din RGPD). Acest lucru necesită o procedură documentată și cu personal calificat, cu evaluatori care examinează datele subiacente și înregistrează motivele pentru care confirmă sau se abat de la rezultat.

Ce trebuie să explici despre un algoritm?

Pentru deciziile automatizate, articolele 13, 14 și 15 din RGPD vă obligă să informați persoanele respective că decizia este automatizată, să oferiți informații semnificative despre logica implicată și să explicați consecințele. Acest lucru se aplică atât atunci când colectați datele, cât și la cerere.

În cauza Dun & Bradstreet Austria (CJUE 27 februarie 2025, C-203/22), Curtea a hotărât că explicația trebuie să descrie procedura și principiile aplicate efectiv, astfel încât persoana să își poată verifica datele și să conteste decizia. Dacă considerați că explicația ar dezvălui secrete comerciale, nu puteți pur și simplu refuza: trebuie să furnizați informațiile autorității de supraveghere sau instanței, care decide ce trebuie divulgat. A se vedea, de asemenea, articolul nostru despre dreptul de acces în temeiul articolului 15 și ghidul nostru privind politica de confidențialitate în Țările de Jos.

Ce temei juridic aveți nevoie pentru instruire și utilizare?

Fiecare etapă de prelucrare necesită propriul temei juridic în temeiul articolului 6 din RGPD, iar temeiul pentru instruire nu constituie automat temeiul pentru utilizare. În practică, opțiunile sunt consimțământul, necesitatea unui contract și interesul legitim.

Un interes pur comercial poate fi un interes legitim, așa cum a confirmat Curtea de Justiție în cauza KNLTB olandeză (CJUE 4 octombrie 2024, C-621/22), dar numai dacă prelucrarea este cu adevărat necesară și echilibrul intereselor este valabil. Notează această evaluare înainte de a începe.

Categoriile speciale de date, cum ar fi datele medicale, datele biometrice pentru identificare și datele care dezvăluie originea etnică, pot fi prelucrate numai în temeiul unei excepții de la articolul 9 din RGPD. Acest lucru se aplică și dacă modelul deduce o astfel de caracteristică din datele obișnuite. Consultați articolul nostru despre datele biometrice și conformitatea cu RGPD.

Informațiile despre o persoană identificabilă, cum ar fi un scor de risc sau o declarație generată, sunt date cu caracter personal. Acestea trebuie să fie exacte, iar persoana respectivă are drept de acces și rectificare (articolele 15 și 16 din RGPD).

Cum abordează legea prejudecățile și discriminarea?

Un algoritm care produce sistematic rezultate mai slabe pentru un grup protejat face o distincție indirectă în temeiul Legii generale olandeze privind egalitatea de tratament (Algemene wet gelijke behandeling, AWGB). Acest lucru este ilegal, cu excepția cazului în care este justificat obiectiv printr-un scop legitim și prin mijloace adecvate și necesare.

Institutul Olandez pentru Drepturile Omului (College voor de Rechten van de Mens) se ocupă de plângerile legate de acest aspect. În cazul SyRI, Tribunalul Districtual din Haga a considerat că legislația din spatele unui sistem de risc de fraudă este contrară articolului 8 din Convenția Europeană a Drepturilor Omului, deoarece sistemul nu era transparent sau verificabil (ECLI:NL:RBDHA:2020:865, 5 februarie 2020).

Cine supraveghează inteligența artificială și algoritmii în Olanda?

Autoritatea pentru Protecția Datelor din Olanda supraveghează GDPR împreună cu Legea olandeză de implementare a GDPR (UAVG) și are un departament separat pentru coordonarea supravegherii algoritmilor; consultați articolul nostru despre Autoritatea olandeză pentru protecția datelor . Amenzile GDPR pot ajunge la 20 de milioane de euro sau 4% din cifra de afaceri anuală la nivel mondial (articolul 83 din GDPR).

Supraveghetorii sectoriali își păstrează propriile competențe, cum ar fi supraveghetorii financiari pentru modelele din domeniul bancar și al asigurărilor. Organismele guvernamentale trebuie, de asemenea, să îndeplinească cerințele Awb conform cărora o decizie este pregătită cu atenția cuvenită și motivată corespunzător; „sistemul a produs acest rezultat” nu este un motiv.

Cum se leagă Legea privind inteligența artificială de GDPR?

Legea privind IA reglementează sistemele de IA ca produse, în funcție de clasa de risc. Nu oferă o bază juridică pentru prelucrarea datelor cu caracter personal; în cazul în care un sistem de IA prelucrează date cu caracter personal, ambele regimuri se aplică în paralel.

Interdicțiile privind practicile inacceptabile și regulile pentru modelele de IA cu uz general se aplică deja. În temeiul Regulamentului Omnibus privind IA (Regulamentul (UE) 2026/1744, în vigoare de la 27 iulie 2026), obligațiile pentru sistemele cu risc ridicat din anexa III, cum ar fi recrutarea, scorul de credit și educația, se aplică de la 2 decembrie 2027, iar cele pentru IA în produsele reglementate în temeiul anexei I de la 2 august 2028. Consultați ghidurile noastre privind Legea UE privind IA și sistemele de IA cu risc ridicat.

O evaluare a impactului asupra protecției datelor (DPIA) în temeiul articolului 35 din RGPD este, în practică, necesară pentru majoritatea sistemelor de inteligență artificială care evaluează persoanele. Combinați-o cu gestionarea riscurilor prevăzută de Legea privind inteligența artificială și, acolo unde este necesar, cu evaluarea impactului asupra drepturilor fundamentale, astfel încât un singur fișier să răspundă tuturor supraveghetorilor.

Ce ar trebui să verificați ca organizație care utilizează inteligența artificială?

Responsabilitatea înseamnă că trebuie să puteți dovedi conformitatea (articolul 5 alineatul (2) din GDPR). Verificați aceste aspecte înainte de punerea în funcțiune a sistemului.

• Descrie în evidența dumneavoastră de procesare datele de antrenament, intrările, ieșirile și jurnalele pentru fiecare model?
• Există o bază juridică scrisă și o evaluare a interesului legitim pe care vă bazați, pentru fiecare etapă?
• Sistemul ia decizii în temeiul articolului 22 din RGPD, direct sau prin intermediul scorului unui furnizor?
• Poți explica logica în termeni pe care un client sau un angajat să îi înțeleagă?
• Ați testat rezultatele pentru discriminare indirectă și ați înregistrat rezultatele?
• Ați efectuat o DPIA și ați verificat clasa de risc conform Legii privind inteligența artificială?

Ce ar trebui să verifici ca persoană afectată de un algoritm?

Îți poți exercita drepturile conform GDPR împotriva oricărei organizații care îți utilizează datele într-un sistem de inteligență artificială. Verifică aceste aspecte dacă o decizie cu privire la tine pare automatizată.

• A fost luată decizia fără o implicare umană reală?
• V-a spus organizația că se utilizează procese decizionale automatizate?
• Solicitați acces în temeiul articolului 15 din RGPD, inclusiv informații relevante despre logica utilizată.
• Solicitați intervenția umană și contestați decizia în temeiul articolului 22 alineatul (3) din RGPD.
• Dacă organizația nu răspunde în termen de o lună, luați în considerare o plângere la AP.

Ce putem face pentru tine cu GDPR și inteligența artificială?

Avocații noștri specializați în confidențialitate oferă consultanță companiilor care dezvoltă sau utilizează inteligența artificială, precum și persoanelor afectate de decizii automatizate.

• Evaluăm dacă sistemul dumneavoastră se încadrează în articolul 22 din GDPR și în regimul de risc ridicat din Legea privind inteligența artificială.
• Redactăm DPIA și evaluarea interesului legitim.
• Analizăm contractul cu furnizorul de inteligență artificială pentru rolurile de controlor, clauzele de instruire a modelelor și transferurile.
• Redactăm explicația logicii pentru declarația dumneavoastră de confidențialitate și solicitările de acces.
• Vă asistăm într-o anchetă de către Autoriteit Persoonsgegevens.

Rezumat

• GDPR se aplică în integralitate sistemelor de inteligență artificială care prelucrează date cu caracter personal, în perioadele de instruire, utilizare și înregistrare.
• Deciziile bazate exclusiv pe prelucrarea automată cu efecte semnificative sunt permise numai în temeiul articolului 22 din RGPD, cu intervenție umană la cerere.
• Trebuie să oferiți informații semnificative despre logică; secretele comerciale nu justifică un refuz categoric (CJUE C-203/22).
• Legea privind inteligența artificială se aplică pe lângă RGPD; obligațiile cu risc ridicat în temeiul anexei III se aplică începând cu 2 decembrie 2027.

Întrebări frecvente