Dirbtinis intelektas visomis jo formomis

Teisinis stebėjimas Nr. 52 – 2022 m. spalis

2022 m. spalio 17 d. CNIL patvirtino savo, kaip dirbtinio intelekto srities reguliavimo institucijos, kompetenciją, skirdama bendrovei „Clearview AI“ 20 mln. eurų baudą.

Ši sankcija skirta po oficialaus pranešimo, į kurį nebuvo atsakyta, ir dėl bendrovės nebendradarbiavimo patikrinimo procedūros metu.

Priimtas po konsultacijų Europos lygmeniu procedūros, jis prisijungia prie sankcijų, kurias tai pačiai bendrovei paskelbė kelios jos partnerės.

• CNIL atkreipia dėmesį į tai, kad nėra teisinio pagrindo sistemingam ir plačiai paplitusiam dvidešimties milijardų veidų atvaizdų, viešai prieinamų milijonuose interneto svetainių, rinkimui, o bendrovė šiuos vaizdus visų pirma parduoda teisėsaugos institucijoms.
• CNIL mano, kad, atsižvelgiant į itin įkyrų ir biometrinį duomenų pobūdį, jų rinkimas turėjo būti atliekamas gavus išankstinį atitinkamų asmenų sutikimą.
• Taip pat pažymima, kad bendrovė negerbia atitinkamų asmenų teisių susipažinti su duomenimis ir juos ištrinti.

Šis sprendimas priimtas atsižvelgiant į vis tikslesnę dirbtinio intelekto priežiūrą nacionaliniu ir tarptautiniu lygmenimis.

Valstybės taryba todėl vasaros pabaigoje priėmė du dokumentus, kuriuose pasisako dėl būsimo Europos dirbtinio intelekto reglamento valdymo:

2022 m. rugpjūčio 30 d. dokumente Valstybės taryba nagrinėja viešųjų paslaugų kokybės klausimą ir kloja Prancūzijos dirbtinio intelekto strategijos pagrindus.

Be kita ko, jame skatinama stiprinti CNIL įgaliojimus ir oficialiai padaryti ją atsakingą už dirbtinio intelekto sistemų reguliavimą.

Todėl jis rekomenduoja pertvarkyti CNIL, kuri taptų „nacionaline priežiūros institucija, atsakinga už dirbtinio intelekto sistemų, ypač viešųjų, reguliavimą, kad būtų įkūnytas ir internalizuotas dvejopas iššūkis – viena vertus, apsaugoti pagrindines teises ir laisves, kita vertus, inovacijas ir viešąjį veikimą“.

Rugsėjo 27 d. Valstybės taryba taip pat paskelbė tyrimą dėl socialinių tinklų priežiūros DI plėtros kontekste, kuriame pateikia 17 rekomendacijų, kaip iš naujo subalansuoti jėgas vartotojų naudai, parengti valdžios institucijas atlikti reguliavimo vaidmenį ir pagalvoti apie ateities socialinius tinklus.

Savo ruožtu, Parlamentas nagrinėja vaizdo stebėjimo ir veido atpažinimo klausimą: rugsėjo 13 d. Nacionalinės Asamblėjos Teisės komisija pradėjo faktų rinkimo misiją, kurią patikėjo parlamento narys ir CNIL kolegijos narys Philippe'as Latombe'as.

Parlamentarai turės suprasti „iššūkius, kylančius naudojant viešojoje erdvėje esančius saugumo vaizdus kovojant su nesaugumu“, ir ypač daug dėmesio skirs veido atpažinimo technologijoms.

Tai apims neseniai autorizuotas priemones, tokias kaip kūno kameros ir dronai, ir galimų patobulinimų, tokių kaip sustiprintos kameros, svarstymą, siekiant parengti teisėkūros pasiūlymą.

Taip pat paminėkime derybų dėl konvencijos pradžią. Europos Taryba dėl dirbtinio intelekto, žmogaus teisių, demokratijos ir teisinės valstybės principo.

Tai būtų pirmasis teisiškai įpareigojantis tarptautinis dirbtinio intelekto dokumentas.

Ši konvencija papildytų Europos Komisijos siūlomą dirbtinio intelekto reglamentą, sustiprindama pagrindinių asmenų teisių apsaugą.

THE Europos duomenų apsaugos priežiūros pareigūnas palankiai įvertino šią iniciatyvą, primindamas apie dirbtinio intelekto sistemas, kurios, anot jo, kelia nepriimtiną riziką ir turėtų būti uždraustos, būtent:

• Socialinis vertinimas,
• Biometrinis identifikavimas viešose vietose,
• Asmenų skirstymas į kategorijas pagal biometrinius duomenis
• Asmenų skirstymas į kategorijas pagal jų suvokiamas emocijas.

Reikėtų nepamiršti, kad Europos Komisijos siūlomas dirbtinio intelekto reglamentas palaiko šį požiūrį, uždrausdamas labiausiai įkyrius dirbtinio intelekto metodus, pavyzdžiui, tuos, kurie manipuliuoja asmenimis arba leidžia atlikti socialinį vertinimą.

Vis dar nepakankama laisvių gynėjams ir perteklinė jos priešininkams.

Reikėtų pažymėti, kad spalio pabaigoje Jungtinės Valstijos kelioms sostinėms ir Europos Komisijai išsiuntė neoficialų dokumentą, kuriuo siekė įtikinti jas apriboti būsimų reglamentų taikymo sritį ir išplėsti jų išimtis, kad būtų išlaikytas didesnis lankstumas galimų dirbtinio intelekto naudojimo būdų srityje.

Jungtinės Valstijos taip pat pačios rengia dirbtinio intelekto reglamentus: spalio 4 d. prezidentas Joe Bidenas pristatė „Dirbtinio intelekto teisių bilis“, kurioje aprašomos penkios garantijos, kuriomis turėtų pasinaudoti amerikiečiai:

• Saugios ir efektyvios sistemos,
• Apsauga nuo algoritminės diskriminacijos,
• Duomenų konfidencialumas,
• Pranešimai ir paaiškinimai apie tai, kaip veikia dirbtinis intelektas,

• Žmonių alternatyvos automatizuotiems sprendimams.

Galiausiai reikėtų pažymėti, kad daugiau nei 120 šalių duomenų apsaugos reguliavimo institucijos susitarė dėl veido atpažinimo naudojimo sistemos. 44-oji Pasaulinė privatumo asamblėja kuris vyko Stambule spalio pabaigoje.

Rezoliucijoje reikalaujama, kad technologiją naudojantis subjektas

• Nustatyti „jo pagrįstą, būtiną ir proporcingą pobūdį“,
• Vertina pagarbą asmenų teisėms
• Užtikrina sklandų technologijų naudojimą.

Taip pat turi būti įdiegti aiškūs ir veiksmingi atskaitomybės mechanizmai.

Ir taip pat

Prancūzija:

Kibernetiniai nusikaltimai: Skaitmeninių reikalų deleguotasis ministras ir sveikatos apsaugos ministras paskelbė 20 mln. eurų biudžetą ANSSI, skirtą sustiprinti paramą sveikatos priežiūros įstaigoms, nukentėjusioms nuo išpirkos reikalaujančių programų.

CNIL savo svetainėje skelbia edukacinę medžiagą, skirtą geriau apsaugoti 8–10 metų vaikus internete.

Šie ištekliai skirti tėvams, vaikams, mokytojams ir pedagogams.

CNIL taip pat atnaujino savo rekomendaciją dėl slaptažodžių autentifikavimo spalio 17 d.

Didėjant grėsmėms internetiniam saugumui, CNIL ypač plėtoja stiprių arba daugiafaktorinių autentifikavimo sprendimų ir elektroninių sertifikatų naudingumą.

Europa:

Europos duomenų apsaugos valdyba (EDAV) priėmė atnaujintas gaires dėl pranešimo apie duomenų saugumo pažeidimus, viešos konsultacijos vyks iki 2022 m. lapkričio 29 d.

Atnaujintas skyrius susijęs su pranešimu apie saugumo pažeidimą, kurį atlieka ne Europos Sąjungoje įsisteigęs valdytojas.

Pasak EDAV, tai, kad šis vadovas paskyrė atstovą vienoje iš ES šalių, neatleidžia jo nuo plačių įsipareigojimų: tekste dabar nurodoma, kad „vien atstovo buvimas valstybėje narėje nesukuria vieno langelio principo“.

Todėl apie pažeidimą reikės pranešti kiekvienai institucijai, kuriai duomenų subjektai priklauso jų valstybėje narėje.

Europos Sąjungos Teisingumo Teismas spalio 20 d. sprendime nusprendė, kad tolesnis tvarkymas sudarytas iš esamos duomenų bazės sukūrimo, skirto testams atlikti ir klaidoms taisyti, yra leidžiamas, jei

1. yra „konkretus, loginis ir pakankamai glaudus ryšys tarp pradinio rinkimo tikslų ir vėlesnio tvarkymo“; ir
2. tolesnis tvarkymas nenukrypsta nuo teisėtų abonentų lūkesčių.

Nagrinėjamu atveju Teismas nusprendė, kad toks glaudus ryšys egzistuoja. Jis primena, kad duomenys turi būti ištrinti, kai tik pasiekiamas (antrinis) tvarkymo tikslas.

Spalio 27 d. sprendime dėl Belgijos bendrovės „Proximus“Teismas sprendžia dėl katalogų teikėjų pareigų, kai abonentas atšaukia savo sutikimą tvarkyti jo duomenis.

Teismas mano, kad duomenų apsaugos institucija gali įpareigoti viešai prieinamų telefonų knygų teikėją, kaip duomenų valdytoją, imtis tinkamų priemonių, kad informuotų kitus duomenų valdytojus (įskaitant telekomunikacijų paslaugos, iš kurios buvo perduoti duomenys, teikėją) apie abonento sutikimo atšaukimą.

Europos skaitmeninių rinkų reglamentas (DMA) buvo paskelbtas 2022 m. spalio 12 d.

Šis tekstas, kuriuo siekiama „nutraukti nesąžiningą įmonių, kurios veikia kaip internetinių platformų ekonomikos „vartininkai“, praktiką“, bus taikomas nuo 2023 m. gegužės 2 d.

Jame didelės internetinės platformos apibrėžiamos kaip „vartininkai“ ir nustatomas draudimų bei įpareigojimų sąrašas, skirtas „užtikrinti sąžiningas ir atviras skaitmenines rinkas“.

Pasiūlymas dėl Europos reglamento dėl vaikų seksualinės prievartos (CSAR) yra sulaukė daug pilietinės visuomenės kritikos ir buvo pradėta kampanija „nustokite mane skenuoti“.

Suinteresuotų NVO teigimu, pasiūlymas, nepaisant pagirtinų tikslų, kelia grėsmę „iš esmės pakenkti saugiam bendravimui internete ir padaryti internetą mažiau saugų visiems“.

Teisėsaugos institucijos planuoja naudoti automatinį privačių pranešimų internete nuskaitymą, kad nukreiptų dėmesį į su seksualine prievarta prieš vaikus susijusį turinį.

Tačiau Airijos pilietinių laisvių tarybos (ICCL) atliktas tyrimas atskleidžia, kad Airijos policija saugo asmens duomenis – el. pašto adresą, slapyvardį, IP adresą – net ir melagingų perspėjimų atveju.

Didžiulis klaidingai teigiamų rezultatų skaičius – manoma, kad mažiau nei 10 tinkamų naudoti % ataskaitų – taip pat gali sutrukdyti policijai spręsti problemos esmę.

Italijos duomenų apsaugos institucija pradeda tyrimą dėl programos, kuri generuoja dirbtinius balsus („deep fake“).

Pareigūnai pradėjo tyrimą dėl programėlės „Fakeyou“, kuri, kaip įtariama, tekstinius failus konvertuoja į balsus, imituojančius garsių žmonių, ypač italų, balsus.

Be to, Italijos vartotojų teisių apsaugos tarnyba nusprendė, kad stilizuotos kameros vaizdavimo ženklo nepakanka informacijai apie vaizdo stebėjimo kamerų naudojimą pateikti, ir kontrolieriui skyrė 2000 eurų baudą.

Airijos valdžia Duomenų apsaugos institucija savo interneto svetainėje paskelbė daugiau nei 30 konkrečių atvejų tyrimų, kuriuos ji nagrinėjo ir kurie neįtraukti į jos metines ataskaitas, rinkinį. Leidinyje geriau suprantamas institucijos požiūris į tokias temas kaip darbuotojų stebėsena, vaizdo stebėjimas, teisėto intereso sąvoka ir tvarkymo tikslų suderinamumas.

Nyderlandų apeliacinis teismas Arnhem-Leuvardene patvirtino draudimą, pagal kurį autorių teisių reguliavimo institucija negali įpareigoti interneto paslaugų teikėjo siųsti įspėjamųjų laiškų įtariamiems autorių teisių pažeidėjams: interneto paslaugų teikėjas neturi teisinio pagrindo tvarkyti asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais ir nusikaltimais.

JK duomenų apsaugos institucija (ICO) bendrauja su biometrinėmis technologijomis, tokiomis kaip emocijų analizės technologijos, kurios, anot bendrovės, yra nesubrendusios ir kelia diskriminacijos riziką.

Tarp nustatytų rizikų yra darbuotojų fizinės sveikatos stebėjimas naudojant nešiojamus atrankos įrankius ir vizualinis bei elgesio stebėjimas, įskaitant kūno laikyseną, kalbą, akių judesius ir galvos judesius, siekiant užregistruoti studentus egzaminams.

ICO taip pat skelbia darbuotojų stebėsenos gairių projektą.

Komisija ypač atkreipia dėmesį į augančią tendenciją „dirbti iš namų“ ir produktyvumo stebėjimo problemą, nes darbuotojų lūkesčiai dėl privatumo namuose greičiausiai yra didesni nei darbe.

ICO taip pat pažymi, kad „klaviatūros paspaudimų stebėjimas klasifikuojamas kaip elgesio biometriniai duomenys, kai darbuotoją galima atpažinti pagal jo unikalų spausdinimo modelį ir ritmą“. Projektas konsultacijoms teikiamas iki 2023 m. sausio 11 d.

Tarptautinis:

Duomenų perdavimas į Jungtines Amerikos ValstijasSvarbus etapas buvo pasiektas spalio 7 d., kai prezidentas Bidenas pasirašė Vykdomąjį įsakymą dėl Jungtinių Valstijų signalų žvalgybos veiklos apsaugos priemonių stiprinimo.

Šiuo dekretu siekiama sudaryti sąlygas įgyvendinti naują duomenų apsaugos sistemą tarp Europos Sąjungos ir Jungtinių Amerikos Valstijų po to, kai Europos Sąjungos Teisingumo Teismas priėmė sprendimą Schrems II byloje, kuria „Privatumo skydas“ tapo nebeaktualus.

Susitarimas galėtų būti baigtas 2023 m. pradžioje, gavus Europos duomenų apsaugos valdybos (EDAV) nuomonę ir Europos Komisijos priimtą sprendimą dėl tinkamumo.

Su susitarimu susijęs netikrumas dėl JAV valdžios institucijų stebėjimo įgaliojimų masto ir Europos piliečių teisių gynimo priemonių, kuriomis jie gali remtis dėl JAV priemonių, kurių jie ėmėsi prieš juos.

Pridurkime, kad kadangi šis dekretas neturi įstatymo galios, jį galima panaikinti, o tai padidina teisinį netikrumą.