Advies van het EDPB over AI-modellen: GDPR-principes ondersteunen verantwoorde AI

Het Europees Comité voor gegevensbescherming (EDPB) heeft een advies* goedgekeurd over het gebruik van persoonsgegevens voor de ontwikkeling en uitrol van AI-modellen.

In dit advies wordt gekeken naar :

1) wanneer en hoe AI-modellen als anoniem kunnen worden beschouwd,

2) of en hoe legitiem belang kan worden gebruikt als rechtsgrondslag voor de ontwikkeling of het gebruik van AI-modellen, en

3) wat er gebeurt als een AI-model wordt ontwikkeld met behulp van persoonsgegevens die onrechtmatig zijn verwerkt. Het houdt ook rekening met het gebruik van gegevens van eerste en derde partijen.

Het advies werd gevraagd door de Ierse gegevensbeschermingsautoriteit (DPA) met het oog op harmonisatie van de regelgeving in heel Europa. Om input te verzamelen voor dit advies, dat betrekking heeft op snel evoluerende technologieën die een belangrijke impact hebben op de samenleving, organiseerde het EDPB een evenement voor belanghebbenden en wisselde het uit met het AI-bureau van de EU.

EDPB-voorzitter Talus zei hierover: “AI-technologieën kunnen veel kansen en voordelen bieden voor verschillende industrieën en levensgebieden. We moeten ervoor zorgen dat deze innovaties ethisch, veilig en op een manier worden gedaan die iedereen ten goede komt. Het EDPB wil verantwoorde AI-innovatie ondersteunen door ervoor te zorgen dat persoonsgegevens worden beschermd en met volledige inachtneming van de algemene verordening gegevensbescherming (AVG).”

Wat anonimiteit betreft, wordt in het advies gesteld dat de gegevensbeschermingsautoriteiten geval per geval moeten beoordelen of een AI-model anoniem is. Om een model anoniem te maken, zou het zeer onwaarschijnlijk moeten zijn (1) om direct of indirect personen te identificeren van wie de gegevens zijn gebruikt om het model te maken, en (2) om dergelijke persoonsgegevens uit het model te extraheren door middel van zoekopdrachten. Het advies bevat een niet-prescriptieve en niet-uitputtende lijst van methoden om anonimiteit aan te tonen.

Met betrekking tot gerechtvaardigd belang bevat het advies algemene overwegingen waarmee gegevensbeschermingsautoriteiten rekening moeten houden wanneer zij beoordelen of gerechtvaardigd belang een passende rechtsgrondslag is voor de verwerking van persoonsgegevens voor de ontwikkeling en uitrol van AI-modellen.

Een driestappentoets helpt bij de beoordeling van het gebruik van gerechtvaardigd belang als rechtsgrondslag. Het EDPB geeft de voorbeelden van een gesprekspartner om gebruikers bij te staan en het gebruik van AI om de cyberbeveiliging te verbeteren. Deze diensten kunnen gunstig zijn voor personen en kunnen een beroep doen op een legitiem belang als rechtsgrondslag, maar alleen als de verwerking strikt noodzakelijk blijkt te zijn en de afweging van rechten wordt gerespecteerd.

Het advies bevat ook een aantal criteria om gegevensbeschermingsautoriteiten te helpen beoordelen of personen redelijkerwijs een bepaald gebruik van hun persoonsgegevens mogen verwachten.

Deze criteria omvatten:

> of de persoonsgegevens al dan niet openbaar beschikbaar waren,

> de aard van de relatie tussen de persoon en de verwerkingsverantwoordelijke, `

> de aard van de dienst, de context waarin de persoonsgegevens zijn verzameld,

> de bron waaruit de gegevens zijn verzameld,

> het mogelijke verdere gebruik van het model en of personen zich er daadwerkelijk van bewust zijn dat hun persoonsgegevens online zijn.

Als uit de afwegingstoets blijkt dat de verwerking niet mag plaatsvinden vanwege de negatieve gevolgen voor personen, kunnen verzachtende maatregelen deze negatieve gevolgen beperken. Het advies bevat een niet-uitputtende lijst van voorbeelden van dergelijke risicobeperkende maatregelen, die technisch van aard kunnen zijn, het voor personen gemakkelijker kunnen maken om hun rechten uit te oefenen of de transparantie kunnen vergroten.

Tot slot kan de ontwikkeling van een AI-model met onrechtmatig verwerkte persoonsgegevens gevolgen hebben voor de rechtmatigheid van de uitrol ervan, tenzij het model naar behoren is geanonimiseerd.

Gezien de reikwijdte van het verzoek van de Ierse gegevensbeschermingsautoriteit, de grote verscheidenheid aan AI-modellen en de snelle ontwikkeling ervan, is het advies bedoeld als leidraad voor verschillende elementen die kunnen worden gebruikt voor het uitvoeren van een analyse per geval.

Daarnaast werkt het EDPB momenteel aan richtsnoeren voor specifiekere kwesties, zoals webscraping.

​Het hier gepubliceerde persbericht is automatisch uit het Engels vertaald. De EDPB garandeert de juistheid van de vertaling niet. Raadpleeg de officiële tekst in de Engelse versie als er enige twijfel bestaat.​