Chat GPT i sztuczna inteligencja, a przepisy o ochronie danych osobowych
20.06.2023
Wraz z rozwojem sztucznej inteligencji (AI – Artificial Intelligence) coraz większego znaczenia nabiera problem bezpiecznego przetwarzania danych osobowych w zaawansowanych systemach, opartych właśnie na AI. Z uwagi na to, że takie narzędzia jak np. ChatGPT przetwarzają dane osobowe, warto zwrócić uwagę na istotne elementy, wiążące się z bezpieczeństwem korzystających z nich użytkowników.
Co to jest Chat GPT? Poznaj możliwości sztucznej inteligencji w komunikacji
ChatGPT („Generative Pre-trained Transformer” czat) to narzędzie w formie aplikacji on-line, służące do komunikacji z wykorzystaniem sztucznej inteligencji. Narzędzie to, które stworzyło laboratorium badawcze OpenAI, opiera się na „wielkich modelach językowych” (LLM – Large Language Models), bazujących na tzw. „głębokim uczeniu” (deep learning) i służy generowaniu tekstu, który naśladuje język naturalny.
Algorytm, wykorzystujący LLM, został wyuczony na danych, pochodzących z tekstów zaczerpniętych ze stron internetowych, a także innych źródeł, takich jak artykuły prasowe, prace naukowe, książki, czasopisma czy treści pochodzące z mediów społecznościowych.
Zgodnie z rekomendacjami OECD, narzędzia AI (do których należy ChatGPT) opisano jako „systemy oparte na koncepcji maszyny, która może przewidywać, rekomendować oraz podejmować decyzje mające wpływ na środowisko rzeczywiste lub wirtualne”.
Jak działa Chat GPT?
Specjalny algorytm analizuje relacje, zachodzące między różnymi wyrazami i przekształca je w tzw. „modele prawdopodobieństwa”. Zadając algorytmowi pytanie udzielamy mu tzw. „podpowiedzi” (prompts), wymuszając jego odpowiedź, powstałą na bazie relacji słów, zapamiętanych w procesie wyuczania.
Dzięki technologii LLM użytkownik ma wrażenie, jakby rozmawiał z żywą osobą, która na zadane przez niego pytania (prompts) udziela skutecznych odpowiedzi.
Obecnie ChatGPT stanowi zamknięty model językowy, z bazą danych (w wersji bezpłatnej) aktualną na wrzesień 2021 r. Oznacza to, że model ten został wytrenowany na podstawie informacji dostępnych w sieci, i nie tylko, wyłącznie w tym właśnie okresie. Niewykluczone jednak, że następna jego wersja, bądź wersja płatna już istniejącego modelu, zostanie zintegrowana z wyszukiwarką internetową, co sprawi, że informacje i dane, stanowiące zasób językowy modelu, staną się aktualne na chwilę, w której użytkownik z niego korzysta; co więcej – wprowadzane w formie zapytań informacje mogą zostać do niego dołączane w sposób automatyczny.
Dane osobowe w systemach opartych na LLM
Niezależnie od powyższego, już teraz każde zapytanie użytkownika jest widoczne dla twórcy i właściciela ChatGPT. Każdy „prompt” jest bowiem zachowywany i może być wykorzystany do rozwoju modelu. Wobec powyższego należy bardzo ostrożnie formułować zapytania pod kątem zawartych w nich informacji, w szczególności należy zadbać o to, aby w zapytaniach do ChatGPT nie podawać informacji o charakterze danych osobowych, bądź informacji poufnych.
Z punktu widzenia bezpieczeństwa użytkownika takich narzędzi jak ChatGPT ważne jest, aby twórcy oprogramowania, wykorzystującego modele oparte na LLM wykonywali obowiązki wynikające z przepisów o ochronie danych osobowych, takie jak:
- wskazanie podstawy prawnej do przetwarzania danych osobowych w celu trenowania algorytmów;
- określenie swojej roli w procesie przetwarzania danych osobowych jako administratora, współadministratora bądź podmiotu przetwarzającego;
- sporządzenie i udokumentowanie oceny skutków dla ochrony danych (DPIA) w celu oszacowania i ograniczenia możliwych zagrożeń związanych z ochroną danych;
- spełnienie obowiązków informacyjnych wobec osób, których dane są przetwarzane, chyba że zastosowanie znajdują wyjątki, wskazane w art. 14 ust. 5 RODO;
- zabezpieczenie przetwarzanych danych w celu minimalizacji ryzyka związanego z ich wyciekiem bądź cyberatakiem;
- zapewnienie minimalizacji danych, tj. ograniczania ich przetwarzania do niezbędnego minimum;
- wykonywanie obowiązków w zakresie obsługi żądań podmiotów danych na podst. art. 15 – 22 RODO;
- udzielanie informacji dotyczących wykorzystywania modelu LLM do podejmowania zautomatyzowanych decyzji, w tym profilowania (art. 22 RODO);
- zapewnienie ochrony danych osobowych w fazie projektowania (privacy by design) i domyślnej ochrony danych (privacy by default), określonych w art. 25 RODO.
Zgodnie z najnowszym stanowiskiem krajowego organu nadzorczego (UODO), „przetwarzanie danych osobowych z wykorzystaniem AI nie jest wykluczone, niemniej jednak algorytmy i systemy sztucznej inteligencji muszą zapewniać odpowiednio wysoki poziom bezpieczeństwa danych osobowych”. AI nie może bowiem godzić w prywatność i ochronę danych osobowych. Szczególny więc nacisk należy położyć na sporządzenie oceny skutków dla ochrony danych (DPIA). Administrator zaś, zamierzający korzystać z narzędzi, opartych o AI, winien stosować podejście oparte na ryzyku.
Komisja Europejska już od 2020 r. pracuje nad „Aktem w sprawie sztucznej inteligencji” (AI Act). Ten unijny dokument, który został ogłoszony w formie Rozporządzenia Parlamentu Europejskiego i Rady ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji (akt w sprawie sztucznej inteligencji) i zmieniającego niektóre akty ustawodawcze Unii będzie pierwszym na świecie aktem prawnym, kompleksowo regulującym kwestie związane ze sztuczną inteligencją. Latem 2023 r. projekt powinien zostać zaprezentowany na forum sesji plenarnej Parlamentu Europejskiego, natomiast zakończenie prac zostało zaplanowane na koniec 2023 r. W projekcie aktu napisano, że AI jest „oprogramowaniem, opracowanym przy wykorzystaniu określonych technik i podejść, które może dla danego zestawu celów określonych przez człowieka generować wyniki (treści, przewidywania, zalecenia lub decyzje) wpływające na środowiska, z którymi wchodzi w interakcję”. Zgodnie z założeniami, przepisy unijne będą regulować funkcjonowanie AI w sposób ukierunkowany na człowieka.
We wrześniu 2022 r. francuski organ nadzorczy CNIL opublikował przewodnik, wraz z ankietą, umożliwiającą sprawdzenie, czy narzędzia AI, stosowane w systemach opartych na LLM, zapewniają zgodność z RODO. Do najważniejszych elementów, koniecznych do zweryfikowania przed wdrożeniem narzędzi AI, CNIL zaliczył:
- konieczność stosowania podejścia, opartego na ryzyku (na etapie projektowania i rozwoju systemu);
- konieczność sprawowania nadzoru nad automatycznym podejmowaniem decyzji;
- konieczność zapewnienia, że system po wdrożeniu będzie spełniał wszystkie, założone wymogi operacyjne – zgodnie z projektem;
- konieczność zapewnienia unikania przez algorytmy dyskryminacji;
- konieczność minimalizacji ryzyka niestabilności systemu.
Rozwojowi AI przygląda się również Europejska Rada Ochrony Danych (EROD). W kwietniu br. EROD utworzyła specjalną grupę roboczą, której celem jest wspieranie współpracy i wymiany informacji związanych z, podejmowanymi przez europejskie organy nadzorcze, działaniami dotyczącymi egzekwowania prawa związanego z AI. Jednym z pierwszych zadań, postawionych przed tą grupą będzie dokonanie weryfikacji, czy ChatGPT nie narusza przepisów RODO, w szczególności dotyczących takich obszarów jak:
- przetwarzanie danych, które trafiły do bazy danych, dzięki której system się „uczy”;
- etykietowanie danych (pozwalających na identyfikację konkretnych podmiotów danych) w trakcie „uczenia” systemu;
- odpowiedzialność za wykorzystanie cudzych danych;
- zapisywanie i przechowywanie treści wprowadzonych przez użytkownika.
Powołanie tejże grupy roboczej związane było z decyzją włoskiego urzędu ds. ochrony danych osobowych (GARANTE) o czasowym zablokowaniu ChatGPT we Włoszech. Źródłem takiej decyzji było podejrzenie, iż aplikacja może nie posiadać „jakiejkolwiek podstawy prawnej, która uzasadniałaby masowe zbieranie i przechowywanie danych osobowych w celu uczenia modelu”.
W odpowiedzi na zarzuty, podniesione w w/ w decyzji, OpenAI zaproponował rozwiązania, zmierzające do spełnienia żądań organu w zakresie ochrony danych osobowych, polegające między innymi na podjęciu szeregu działań, zmierzających do usunięcia danych osobowych ze zbiorów szkoleniowych dla modelu. Podkreślono jednak, że działania te podejmowane będą wyłącznie tam, gdzie będzie to możliwe. OpenAI zobowiązał się ponadto do wykonywania praw, przysługujących podmiotom danych na mocy art. 15-22 RODO.
Sztuczna inteligencja oraz oparte na niej narzędzia technologiczne coraz dynamiczniej wdzierają się w nasze życie i proces ten wydaje się nie do zatrzymania. Po to, aby korzystanie z tych narzędzi było bardziej bezpieczne oraz nie narażało użytkowników na utratę prywatności konieczne jest współdziałanie wszystkich zainteresowanych oraz odpowiedzialnych za ochronę prywatności podmiotów, czego wyrazem będzie stworzenie adekwatnych ram prawnych, skutecznie regulujących rynek nowych technologii, czyniąc go miejscem bezpiecznym dla każdego z uczestników.
Wdrożenie RODO – oferta cenowa
Zewnętrzny Inspektor Ochrony Danych
Audyt RODO
Z tej samej kategorii
Kategorie
