🔒 Zarządzanie danymi w systemach AI – wyzwania prawne

Wyzwanie pierwsze: zgodność z RODO

Ogólne rozporządzenie o ochronie danych (RODO) pozostaje podstawowym aktem regulującym przetwarzanie danych osobowych w UE, w tym także w systemach AI. Zrozumienie relacji zachodzących między RODO a Aktem w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act, AIA) jest istotnym elementem tworzenia kompleksowego systemu zarządzania danymi w organizacji. Można śmiało powiedzieć, że AIA uzupełnia ochronę przewidzianą w RODO, kładąc nacisk na bezpieczeństwo i przejrzystość systemów AI, zwłaszcza w kontekście systemów wysokiego ryzyka. Regulacje prawne zawarte w AIA i RODO są jednak od siebie niezależne, a ich wzajemna relacja nie opiera się na zależności między normą ogólną a szczególną. Dostawcy i użytkownicy systemów AI wysokiego i ograniczonego ryzyka mogą być zobowiązani do przestrzegania wymogów obu tych aktów prawnych, gdy system AI wysokiego ryzyka lub system AI podlegający obowiązkom w zakresie przejrzystości (art. 50 AIA) wykorzystuje dane osobowe na jakimkolwiek etapie jego opracowania lub wdrożenia.

RODO obejmuje jednak wyłącznie przetwarzanie danych osobowych, czyli dotyczących zindywidualizowanej lub możliwej do zindywidualizowania osoby fizycznej. Co ważne, RODO obowiązuje w przypadku przetwarzania danych osobowych na terenie UE lub gdy przetwarzanie dotyczy osób znajdujących się w UE, niezależnie od lokalizacji podmiotu przetwarzającego, czyli nawet jeśli nasza spółka jest zarejestrowana i operuje poza UE, ale będzie przetwarzać dane europejskie (np. zbierając zgłoszenia na międzynarodowe wydarzenie), to musi również w tym zakresie podporządkować się wymogom RODO. Tymczasem AIA odnosi się do systemów AI, które są wprowadzane na rynek UE, używane w UE lub których wyniki działania są wykorzystywane w UE, niezależnie od lokalizacji podmiotów odpowiedzialnych ani tego, czy systemy przetwarzają dane osobowe czy nieosobowe. Oznacza to, że system AI, który przetwarza dane osobowe osób spoza UE, może podlegać AIA, ale nie RODO, jeśli np. dostawca nie prowadzi działalności w UE.