Oprávněný zájem jako právní základ pro zpracování osobních údajů v souvislosti s vývojem a zaváděním AI modelů

Ačkoliv si to nemusíme uvědomit, principem fungování AI technologie je zpracování velkého množství dat. Velkou část z těchto zpracovávaných dat přitom tvoří osobní údaje uživatelů. Pro nakládání s osobními údaji při vývoji AI modelů přitom platí pravidla stanovená pro zpracování osobních údajů v rámci národní úpravy jednotlivých států a zároveň veškeré povinnosti zakotvené na úrovni EU.

Zpracování osobních údajů podléhá poměrně striktním právním požadavkům, jejichž obecný rámec tvoří nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES („GDPR“). Klíčovými principy, na kterých je problematika ochrany osobních údajů postavena, jsou zákonnost, transparentnost, omezení účelu a minimalizace údajů.

Ve světle těchto zásad mohou být osobní údaje zpracovány pouze na základě jednoho z šesti právních důvodů vymezených v GDPR. Těmito důvody jsou:

• souhlas subjektu údajů,
• nezbytnost zpracování pro splnění smlouvy,
• plnění právní povinnosti,
• ochrana životně důležitých zájmů,
• plnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci a
• oprávněný zájem.

Při trénování AI modelů je tedy nezbytné zajistit, že osobní údaje jsou zpracovávány na základě právního důvodu, kterým ve většině případů bude oprávněný zájem příslušného správce či třetí strany. Oprávněný zájem lze však jako důvod zpracování využít pouze v případě, že jsou splněny další podmínky.

Stanovisko EDPB

Otázkou ochrany dat při zpracování osobních údajů v rámci AI modelů se nedávno na popud Irského dozorového úřadu zabýval i Evropský sbor pro ochranu osobních údajů („EDPB“). Ve svém stanovisku EDBP odpovídal mimo jiné na otázku „Jak mohou správci prokázat vhodnost oprávněného zájmu jako právního základu ve fázi vývoje a ve fázi zavádění AI?“

EDPB připomněl, že mezi právními základy pro zpracování neexistuje jakákoliv hierarchie, tj. žádný důvod není důležitější nebo silnější než jiný. Je tedy ponecháno na správci, aby zvolil pro konkrétní situaci vhodný právní základ pro zpracování. V případě, že je důvodem zpracování oprávněný zájem, musí být v souladu s GDPR vždy proveden tzv. třístupňový test, kterým bude posouzena (i) existence oprávněného zájmu správce, (ii) nezbytnost zpracování pro účely sledovaného zájmu a (iii) neexistence převažujících zájmů nebo základních práv a svobody subjektů údajů nad zájmy správce.

V rámci zpracování osobních údajů pro účely vývoje AI modelů může třístupňový test vypadat kupříkladu takto:

1. Existence oprávněného zájmu sledovaného správcem nebo třetí stranou

Oprávněný zájem bude představován například vývojem jazykových modelů nebo algoritmů pro analýzu dat, které pomáhají zlepšovat zákaznickou podporu nebo automatizovat procesy. Může se jednat rovněž o využití umělé inteligence k detekci kybernetických hrozeb, personalizaci obsahu či automatizaci rozhodovacích procesů.

2. Nezbytnost zpracování pro účely sledovaného oprávněného zájmu (tzv. test nezbytnosti)

V případě AI modelů bude zejména nutné zkoumat, zda pro daný účel nelze využít alternativu v podobě použití anonymizovaných nebo syntetických dat. Nicméně tyto alternativy nemusí ve všech případech plně nahradit potřebu zpracování osobních údajů (např. u modelů personalizace). Pokud nelze dosáhnout úplné anonymizace, je možné využít zmírňujících opatření, která alespoň sníží možnosti identifikace subjektu údajů – například pseudonymizace, minimalizace údajů nebo agregace dat.

3. Zájmy nebo základní práva a svobody subjektů údajů převažující nad oprávněným zájmem (tzv. balanční test)

V souvislosti se shromažďováním a zpracováním dat umělou inteligencí proti sobě budou stát zejména práva subjektů údajů na soukromí a ochranu osobních údajů a oprávněné zájmy správce na optimalizaci služeb a dosažení účelu, pro který byl AI model vytvořen. V rámci balančního testu je důležité zvážit, zda zájmy a práva subjektů údajů převáží nad zájmy správce nebo třetí osoby – pokud by tomu tak bylo, nelze jako právní důvod zpracování osobních údajů použít oprávněný zájem.

Stanovisko EDPB zdůrazňuje, že v této části třístupňového testu je rovněž třeba zvážit, zda jsou naplněna přiměřená očekávání subjektů údajů, tzn. zda subjekty mohou důvodně očekávat, že jejich osobní údaje budou zpracovávány. Pro tyto účely je vhodné vzít do úvahy to, jestli zpracovávané údaje byly veřejné, jaká je povaha využívané služby a kontext shromažďování údajů. Lze očekávat, že dohledové orgány budou například posuzovat, zda správce údajů nahraje do databáze AI modelu dokument dostupný z veřejného rejstříku nebo odkaz na veřejný profil na sociálních sítích, nebo zda se jedná o neveřejné osobní údaje například z osobního dokladu.

Závěr

Ze závěrů stanoviska EDPB vyplývá, že právním základem pro zpracování osobních údajů v souvislosti s vývojem a implementací AI modelů může být oprávněný zájem, pokud ovšem budou naplněny všechny podmínky pro jeho využití. Správce musí být vždy schopen prokázat, že náležitě posoudil oprávněný zájem a nezbytnost zpracování v rámci třístupňového testu a že zájmy subjektů údajů nepřeváží nad zájmy jeho nebo třetí osoby.