Τεχνητή Νοημοσύνη σε όλες τις μορφές της

Νομική Παρακολούθηση Αρ. 52 – Οκτώβριος 2022

Στις 17 Οκτωβρίου 2022, η CNIL επιβεβαίωσε, επιβάλλοντας κυρώσεις στην εταιρεία Clearview AI ύψους 20 εκατομμυρίων ευρώ, την ικανότητά της ως ρυθμιστική αρχή στον τομέα της τεχνητής νοημοσύνης.

Αυτή η κύρωση έρχεται μετά από επίσημη ειδοποίηση που παρέμεινε αναπάντητη, και την έλλειψη συνεργασίας της εταιρείας κατά τη διάρκεια της διαδικασίας επιθεώρησης.

Ελήφθη κατόπιν διαδικασίας διαβούλευσης σε ευρωπαϊκό επίπεδο, και προσχωρεί στις κυρώσεις που επιβλήθηκαν από διάφορους ομολόγους της κατά της ίδιας εταιρείας.

• Η CNIL επισημαίνει την απουσία νομικής βάσης για τη συστηματική και εκτεταμένη συλλογή είκοσι δισεκατομμυρίων εικόνων προσώπων που είναι δημόσια προσβάσιμες σε εκατομμύρια ιστότοπους, εικόνες που διατίθενται στην αγορά από την εταιρεία ιδίως στις αρχές επιβολής του νόμου.
• Η CNIL θεωρεί ότι, δεδομένου του ιδιαίτερα παρεμβατικού χαρακτήρα τους και της βιομετρικής φύσης των δεδομένων, η συλλογή θα έπρεπε να είχε γίνει με την προηγούμενη συγκατάθεση των ενδιαφερομένων προσώπων.
• Σημειώνει επίσης ότι η εταιρεία δεν σέβεται τα δικαιώματα πρόσβασης και διαγραφής των εμπλεκομένων προσώπων.

Η απόφαση αυτή έρχεται σε ένα πλαίσιο ολοένα και πιο ακριβούς εποπτείας της τεχνητής νοημοσύνης σε εθνικό και διεθνές επίπεδο.

Το Συμβούλιο της Επικρατείας ως εκ τούτου, ενέκρινε δύο έγγραφα στο τέλος του καλοκαιριού στα οποία αποφαίνεται σχετικά με τη διακυβέρνηση του μελλοντικού ευρωπαϊκού κανονισμού για την Τεχνητή Νοημοσύνη:

Στο έγγραφό του της 30ής Αυγούστου 2022, το Συμβούλιο της Επικρατείας ασχολείται με το ζήτημα της ποιότητας των δημόσιων υπηρεσιών και θέτει τα θεμέλια για μια γαλλική στρατηγική για την Τεχνητή Νοημοσύνη.

Μεταξύ άλλων, ενθαρρύνει την ενίσχυση των εξουσιών της CNIL και την ανάθεσή της στην επίσημη ευθύνη για τη ρύθμιση των συστημάτων Τεχνητής Νοημοσύνης.

Ως εκ τούτου, συνιστά τον μετασχηματισμό της CNIL, η οποία θα γίνει «η εθνική εποπτική αρχή υπεύθυνη για τη ρύθμιση των συστημάτων Τεχνητής Νοημοσύνης, ιδίως των δημόσιων, ώστε να ενσωματώνει και να εσωτερικεύει τη διπλή πρόκληση της προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών, αφενός, και της καινοτομίας και της δημόσιας απόδοσης, αφετέρου».

Στις 27 Σεπτεμβρίου, το Συμβούλιο της Επικρατείας δημοσίευσε επίσης μια μελέτη σχετικά με την εποπτεία των κοινωνικών δικτύων στο πλαίσιο της ανάπτυξης της Τεχνητής Νοημοσύνης, στην οποία διατυπώνει 17 συστάσεις για την αναδιάρθρωση των δυνάμεων υπέρ των χρηστών, την παροχή εξοπλισμού στις δημόσιες αρχές στον ρόλο τους ως ρυθμιστές και τον προβληματισμό σχετικά με τα κοινωνικά δίκτυα του αύριο.

Από την πλευρά του, Κοινοβούλιο εξετάζει το ζήτημα της βιντεοεπιτήρησης και της αναγνώρισης προσώπου: μια αποστολή διερεύνησης γεγονότων ξεκίνησε στις 13 Σεπτεμβρίου από την Επιτροπή Νομικής της Εθνοσυνέλευσης και ανατέθηκε στον Philippe Latombe, βουλευτή και μέλος του κολεγίου CNIL.

Οι βουλευτές θα πρέπει να κατανοήσουν «τις προκλήσεις της χρήσης εικόνων ασφαλείας στο δημόσιο τομέα για την καταπολέμηση της ανασφάλειας» και θα εξετάσουν ιδιαίτερα την αναγνώριση προσώπου.

Αυτό θα περιλαμβάνει την καταγραφή πρόσφατα εγκεκριμένων συσκευών, όπως κάμερες σώματος και drones, και την εξέταση πιθανών εξελίξεων, όπως οι επαυξημένες κάμερες, με σκοπό την εκπόνηση νομοθετικής πρότασης.

Ας αναφέρουμε επίσης την έναρξη διαπραγματεύσεων για μια σύμβαση του Συμβούλιο της Ευρώπης σχετικά με την τεχνητή νοημοσύνη, τα ανθρώπινα δικαιώματα, τη δημοκρατία και το κράτος δικαίου.

Θα ήταν το πρώτο νομικά δεσμευτικό διεθνές μέσο για την τεχνητή νοημοσύνη.

Η εν λόγω σύμβαση θα συμπληρώσει τον κανονισμό για την τεχνητή νοημοσύνη που πρότεινε η Ευρωπαϊκή Επιτροπή, ενισχύοντας την προστασία των θεμελιωδών δικαιωμάτων των ατόμων.

Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων χαιρέτισε αυτήν την πρωτοβουλία, υπενθυμίζοντας παράλληλα τα συστήματα τεχνητής νοημοσύνης τα οποία, κατά την άποψή του, ενέχουν απαράδεκτους κινδύνους και θα πρέπει να απαγορευτούν, δηλαδή:

• Κοινωνική βαθμολόγηση,
• Βιομετρική ταυτοποίηση σε δημόσιους χώρους,
• Κατηγοριοποίηση ατόμων με βάση βιομετρικά δεδομένα
• Η κατηγοριοποίηση των ατόμων με βάση τα συναισθήματα που αντιλαμβάνονται.

Θα πρέπει να υπενθυμιστεί ότι ο κανονισμός για την Τεχνητή Νοημοσύνη που προτείνει η Ευρωπαϊκή Επιτροπή υποστηρίζει αυτήν την προσέγγιση απαγορεύοντας τις πιο παρεμβατικές τεχνικές Τεχνητής Νοημοσύνης, όπως εκείνες που χειραγωγούν άτομα ή επιτρέπουν την κοινωνική βαθμολόγηση.

Ακόμα ανεπαρκές για τους υπερασπιστές των ελευθεριών και υπερβολικό για τους επικριτές του.

Θα πρέπει να σημειωθεί ότι οι Ηνωμένες Πολιτείες απέστειλαν ανεπίσημο έγγραφο σε αρκετές πρωτεύουσες και στην Ευρωπαϊκή Επιτροπή στα τέλη Οκτωβρίου, με στόχο να τις πείσει να περιορίσουν το πεδίο εφαρμογής των μελλοντικών κανονισμών και να διευρύνουν τις εξαιρέσεις τους, προκειμένου να διατηρήσουν μεγαλύτερη ευελιξία στις πιθανές χρήσεις της τεχνητής νοημοσύνης.

Οι Ηνωμένες Πολιτείες προετοιμάζουν επίσης οι ίδιοι κανονισμούς για την Τεχνητή Νοημοσύνη: στις 4 Οκτωβρίου, ο Πρόεδρος Τζο Μπάιντεν παρουσίασε τον «Δίκαιο Δικαιωμάτων της Τεχνητής Νοημοσύνης», ο οποίος περιγράφει τις πέντε εγγυήσεις από τις οποίες θα πρέπει να επωφελούνται οι Αμερικανοί:

• Ασφαλή και αποτελεσματικά συστήματα,
• Προστασία από αλγοριθμικές διακρίσεις,
• Εμπιστευτικότητα δεδομένων,
• Ειδοποιήσεις και εξηγήσεις σχετικά με τον τρόπο λειτουργίας της Τεχνητής Νοημοσύνης,

• Ανθρώπινες εναλλακτικές λύσεις στις αυτοματοποιημένες αποφάσεις.

Τέλος, θα πρέπει να σημειωθεί ότι οι ρυθμιστικές αρχές προστασίας δεδομένων από περισσότερες από 120 χώρες έχουν συμφωνήσει σε ένα πλαίσιο για τη χρήση της αναγνώρισης προσώπου σε η 44η Παγκόσμια Συνέλευση για την Προστασία Προσωπικών Δεδομένων που πραγματοποιήθηκε στην Κωνσταντινούπολη στα τέλη Οκτωβρίου.

Η απόφαση απαιτεί από την οντότητα που χρησιμοποιεί την τεχνολογία

• Να διαπιστωθεί «ο εύλογος, απαραίτητος και αναλογικός χαρακτήρας του»,
• Αξιολογεί τον σεβασμό των δικαιωμάτων των ατόμων
• Εξασφαλίζει την απρόσκοπτη χρήση της τεχνολογίας.

Πρέπει επίσης να θεσπιστούν σαφείς και αποτελεσματικοί μηχανισμοί λογοδοσίας.

Και επίσης

Γαλλία:

Κυβερνοέγκλημα: Ο Υπουργός Ψηφιακών Υποθέσεων και ο Υπουργός Υγείας ανακοίνωσαν έναν προϋπολογισμό 20 εκατομμυρίων ευρώ προς όφελος του ANSSI για την ενίσχυση της υποστήριξης των ιδρυμάτων υγειονομικής περίθαλψης που πέφτουν θύματα ransomware.

Η CNIL δημοσιεύει εκπαιδευτικό υλικό στον ιστότοπό της για την καλύτερη προστασία των παιδιών ηλικίας 8 έως 10 ετών στο διαδίκτυο.

Αυτά τα βοηθήματα απευθύνονται σε γονείς, παιδιά, εκπαιδευτικούς και δασκάλους.

Η CNIL ενημέρωσε επίσης τη σύστασή της σχετικά με τον έλεγχο ταυτότητας με κωδικό πρόσβασης στις 17 Οκτωβρίου.

Σε ένα πλαίσιο αυξημένων απειλών για την ασφάλεια στο διαδίκτυο, η CNIL αναπτύσσει ιδίως τη χρησιμότητα ισχυρών ή πολυπαραγοντικών λύσεων ελέγχου ταυτότητας και ηλεκτρονικών πιστοποιητικών.

Ευρώπη:

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB) ενέκρινε ενημερωμένες κατευθυντήριες γραμμές σχετικά με την κοινοποίηση παραβίασης δεδομένων, Ανοιχτό για δημόσια διαβούλευση έως 29/11/2022.

Η ενημερωμένη ενότητα αφορά την κοινοποίηση παραβίασης ασφαλείας από διαχειριστή εγκατεστημένο εκτός Ευρωπαϊκής Ένωσης.

Το γεγονός ότι ο εν λόγω διαχειριστής έχει διορίσει εκπρόσωπο σε μία από τις χώρες της ΕΕ δεν τον απαλλάσσει, σύμφωνα με το ΕΣΠΔ, από εκτεταμένες υποχρεώσεις: το κείμενο ορίζει πλέον ότι «η απλή παρουσία ενός εκπροσώπου σε ένα κράτος μέλος δεν ενεργοποιεί την ενιαία θυρίδα».

Αυτός είναι ο λόγος για τον οποίο η παραβίαση θα πρέπει να κοινοποιείται σε κάθε αρχή για την οποία διαμένουν τα υποκείμενα των δεδομένων στο κράτος μέλος τους.

Το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε, σε απόφαση της 20ής Οκτωβρίου, ότι η περαιτέρω επεξεργασία που συνίσταται στη δημιουργία, από μια υπάρχουσα βάση δεδομένων, μιας βάσης δεδομένων για τη διεξαγωγή δοκιμών και τη διόρθωση σφαλμάτων, επιτρέπεται εάν

1. υπάρχει «μια συγκεκριμένη, λογική και επαρκώς στενή σύνδεση μεταξύ των σκοπών της αρχικής συλλογής και της επακόλουθης επεξεργασίας»· και
2. η περαιτέρω επεξεργασία δεν αποκλίνει από τις νόμιμες προσδοκίες των συνδρομητών.

Στην υπό εξέταση υπόθεση, το Δικαστήριο έκρινε ότι υφίσταται ένας τέτοιος στενός σύνδεσμος. Υπενθυμίζει ότι τα δεδομένα πρέπει να διαγράφονται μόλις εκπληρωθεί ο (δευτερεύων) σκοπός της επεξεργασίας.

Σε απόφαση της 27ης Οκτωβρίου σχετικά με τη βελγική εταιρεία Proximus, το Δικαστήριο αποφαίνεται σχετικά με τις υποχρεώσεις των παρόχων καταλόγου όταν ένας συνδρομητής ανακαλεί τη συγκατάθεσή του για την επεξεργασία των δεδομένων του.

Το Δικαστήριο θεωρεί ότι η αρχή προστασίας δεδομένων μπορεί να απαιτήσει από έναν πάροχο δημόσια διαθέσιμων τηλεφωνικών καταλόγων, ως υπεύθυνο επεξεργασίας δεδομένων, να λάβει τα κατάλληλα μέτρα για να ενημερώσει άλλους υπεύθυνους επεξεργασίας δεδομένων (συμπεριλαμβανομένου του παρόχου της τηλεπικοινωνιακής υπηρεσίας από την οποία κοινοποιήθηκαν τα δεδομένα) για την ανάκληση της συγκατάθεσης του συνδρομητή.

Ο Ευρωπαϊκός Κανονισμός για τις Ψηφιακές Αγορές (DMA) δημοσιεύθηκε στις 12 Οκτωβρίου 2022.

Αυτό το κείμενο, το οποίο στοχεύει να «βάλει τέλος στις αθέμιτες πρακτικές των εταιρειών που λειτουργούν ως «φύλακες» στην οικονομία των διαδικτυακών πλατφορμών», θα εφαρμοστεί από τις 2 Μαΐου 2023.

Ορίζει τις μεγάλες διαδικτυακές πλατφόρμες ως «φύλακες» και θεσπίζει έναν κατάλογο απαγορεύσεων και υποχρεώσεων που αποσκοπούν στη «διασφάλιση δίκαιων και ανοιχτών ψηφιακών αγορών».

Η πρόταση για έναν ευρωπαϊκό κανονισμό για τη σεξουαλική κακοποίηση παιδιών (CSAR) είναι αντικείμενο έντονης κριτικής από την κοινωνία των πολιτών και η έναρξη μιας εκστρατείας «σταματήστε να με σαρώνετε».

Σύμφωνα με τις εμπλεκόμενες ΜΚΟ, η πρόταση, παρά τους αξιέπαινους στόχους της, απειλεί να «θέσει σε κίνδυνο την ασφαλή διαδικτυακή επικοινωνία και να καταστήσει το διαδίκτυο λιγότερο ασφαλές για όλους».

Οι αρχές επιβολής του νόμου σχεδιάζουν να χρησιμοποιήσουν αυτοματοποιημένη διαδικτυακή σάρωση ιδιωτικών επικοινωνιών για να στοχεύσουν περιεχόμενο που σχετίζεται με σεξουαλική κακοποίηση παιδιών.

Ωστόσο, μια έρευνα του Ιρλανδικού Συμβουλίου Πολιτικών Ελευθεριών (ICCL) αποκαλύπτει ότι η ιρλανδική αστυνομία διατηρεί προσωπικά δεδομένα – email, ψευδώνυμο, διεύθυνση IP – ακόμη και για ψευδείς ειδοποιήσεις.

Ο τεράστιος αριθμός ψευδώς θετικών αποτελεσμάτων – λιγότερες από 10 αναφορές % πιστεύεται ότι είναι αξιοποιήσιμες – θα μπορούσε επίσης να εμποδίσει την αστυνομία να αντιμετωπίσει την καρδιά του προβλήματος.

Η Ιταλική Αρχή Προστασίας Δεδομένων ξεκινά έρευνα για μια εφαρμογή που παράγει τεχνητές φωνές («deep fake»).

Η αρχή έχει ξεκινήσει έρευνα για την εφαρμογή Fakeyou, η οποία φέρεται να μετατρέπει αρχεία κειμένου σε φωνές που μιμούνται φωνές διάσημων προσώπων, ιδίως Ιταλών.

Επιπλέον, η ιταλική αρχή προστασίας των καταναλωτών έκρινε ότι μια πινακίδα που απεικόνιζε μια στυλιζαρισμένη κάμερα δεν ήταν επαρκής για την παροχή πληροφοριών σχετικά με τη χρήση καμερών βιντεοεπιτήρησης και επέβαλε πρόστιμο 2.000 ευρώ στον υπεύθυνο επεξεργασίας.

Ιρλανδική αρχή Η Αρχή Προστασίας Δεδομένων έχει δημοσιεύσει στον ιστότοπό της μια συλλογή από περισσότερες από 30 συγκεκριμένες μελέτες περιπτώσεων που έχει εξετάσει, οι οποίες δεν περιλαμβάνονται στις ετήσιες εκθέσεις της. Η δημοσίευση παρέχει μια καλύτερη κατανόηση της προσέγγισης της αρχής σε θέματα όπως η παρακολούθηση των εργαζομένων, η βιντεοεπιτήρηση, η έννοια του έννομου συμφέροντος και η συμβατότητα των σκοπών επεξεργασίας.

Το Ολλανδικό Εφετείο στο Άρνεμ-Λέουβαρντεν επικύρωσε μια δικαστική απόφαση που όριζε ότι μια ρυθμιστική αρχή πνευματικών δικαιωμάτων δεν μπορούσε να υποχρεώσει έναν πάροχο υπηρεσιών διαδικτύου να αποστέλλει προειδοποιητικές επιστολές σε ύποπτους για παραβίαση πνευματικών δικαιωμάτων: ο πάροχος υπηρεσιών διαδικτύου δεν έχει νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που σχετίζονται με ποινικές καταδίκες και αδικήματα.

Η Αρχή Προστασίας Δεδομένων του Ηνωμένου Βασιλείου (ICO) επικοινωνεί σχετικά με βιομετρικές τεχνολογίες όπως οι τεχνολογίες ανάλυσης συναισθημάτων, οι οποίες, όπως λέει, είναι ανώριμες και ενέχουν τον κίνδυνο να οδηγήσουν σε διακρίσεις.

Μεταξύ των κινδύνων που εντοπίστηκαν είναι η παρακολούθηση της σωματικής υγείας των εργαζομένων με τη χρήση φορητών εργαλείων ελέγχου, καθώς και η οπτική και συμπεριφορική παρατήρηση, συμπεριλαμβανομένης της στάσης του σώματος, της ομιλίας, των κινήσεων των ματιών και των κινήσεων του κεφαλιού, για την εγγραφή των μαθητών σε εξετάσεις.

Το ICO δημοσιεύει επίσης προσχέδια κατευθυντήριων γραμμών σχετικά με την παρακολούθηση των εργαζομένων.

Η Επιτροπή επισημαίνει ιδιαίτερα την αυξανόμενη τάση προς την «εργασία από το σπίτι» και το πρόβλημα της παρακολούθησης της παραγωγικότητας, καθώς οι προσδοκίες των εργαζομένων για προστασία της ιδιωτικής ζωής είναι πιθανό να είναι υψηλότερες στο σπίτι από ό,τι στην εργασία.

Το ICO σημειώνει επίσης ότι «η παρακολούθηση του πατήματος πλήκτρων ταξινομείται ως βιομετρικά δεδομένα συμπεριφοράς όταν ένας εργαζόμενος είναι αναγνωρίσιμος με βάση το μοναδικό μοτίβο και ρυθμό πληκτρολόγησης». Το προσχέδιο είναι ανοιχτό για διαβούλευση έως τις 11 Ιανουαρίου 2023.

Διεθνές:

Μεταφορές δεδομένων στις Ηνωμένες ΠολιτείεςΈνα σημαντικό ορόσημο επιτεύχθηκε στις 7 Οκτωβρίου με την υπογραφή από τον Πρόεδρο Μπάιντεν του Εκτελεστικού Διατάγματος για την Ενίσχυση των Διασφαλίσεων για τις Δραστηριότητες Πληροφοριών Σημάτων των Ηνωμένων Πολιτειών.

Το παρόν διάταγμα στοχεύει να επιτρέψει την εφαρμογή ενός νέου πλαισίου προστασίας δεδομένων μεταξύ της Ευρωπαϊκής Ένωσης και των Ηνωμένων Πολιτειών μετά την απόφαση Schrems II του ΔΕΕ, η οποία κατέστησε την Ασπίδα Προστασίας Προσωπικών Δεδομένων παρωχημένη.

Η συμφωνία θα μπορούσε να οριστικοποιηθεί στις αρχές του 2023, μετά τη γνωμοδότηση του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (EDPB) και την έκδοση απόφασης επάρκειας από την Ευρωπαϊκή Επιτροπή.

Η αβεβαιότητα που περιβάλλει τη συμφωνία αφορά την έκταση των εξουσιών επιτήρησης των αρχών των ΗΠΑ και τα μέσα προσφυγής που έχουν στη διάθεσή τους οι Ευρωπαίοι πολίτες κατά των μέτρων που έχουν ληφθεί εναντίον τους από τις ΗΠΑ.

Ας προσθέσουμε ότι, δεδομένου ότι δεν έχει ισχύ νόμου, το εν λόγω διάταγμα μπορεί να ανακληθεί, γεγονός που επιδεινώνει την νομική αβεβαιότητα.