Brussel wil de GDPR aanpassen om AI-innovatie mogelijk te houden
Acht jaar na de invoering van de GDPR groeit binnen Europa de bezorgdheid dat bepaalde privacyregels innovatie rond artificiële intelligentie onnodig bemoeilijken. De Europese Commissie onderzoekt daarom hoe de GDPR kan worden verduidelijkt zonder de bescherming van persoonsgegevens te verzwakken. Een recente analyse van Truth on the Market laat zien dat vooral AI-ontwikkelaars uitkijken naar meer rechtszekerheid. Niet minder privacy, maar duidelijkere regels lijken de inzet van het debat te worden.
Voor de voorbereidingen van de inhoud en creatie van de visuals wordt (uiteraard) gebruikgemaakt van generatieve AI.
AI botst op juridische onzekerheid
Een van de grootste problemen voor ontwikkelaars van AI-systemen is de onduidelijkheid over wanneer gegevens nog als persoonsgegevens moeten worden beschouwd.
Vandaag kunnen gepseudonimiseerde datasets in de praktijk vaak toch onder de GDPR blijven vallen, omdat iemand ergens theoretisch nog over aanvullende informatie zou kunnen beschikken om personen te identificeren.
Voor AI-ontwikkelaars creëert dat een moeilijke situatie. Grote trainingsdatasets bevatten vaak miljoenen records, waardoor vooraf volledig uitsluiten dat bepaalde gegevens nog indirect herleidbaar zijn bijzonder complex wordt.
De Europese Commissie wil daarom verduidelijken dat niet alleen de theoretische mogelijkheid tot identificatie telt, maar ook of de organisatie die de gegevens verwerkt daar redelijkerwijs toe in staat is.
Meer rechtszekerheid voor AI-training
Ook het trainen van AI-modellen zelf staat centraal in de discussie.
Volgens de analyse wordt onderzocht of het ‘gerechtvaardigd belang’ onder bepaalde voorwaarden een duidelijkere rechtsgrond kan vormen voor de ontwikkeling van AI-systemen.
Daarnaast wordt bekeken hoe moet worden omgegaan met bijzondere categorieën van persoonsgegevens die onbedoeld in zeer grote trainingsdatasets terechtkomen.
Dat is een belangrijk punt voor generatieve AI. Bij omvangrijke datasets is het technisch bijna onmogelijk om vooraf met absolute zekerheid uit te sluiten dat ergens gevoelige informatie voorkomt.
De uitdaging bestaat erin een werkbaar juridisch kader te creëren zonder de bescherming van burgers te ondermijnen.
AI heeft nood aan duidelijke regels, niet aan uitzonderingen
Volgens de analyse ligt het echte probleem niet zozeer bij de strengheid van de GDPR, maar bij de interpretatie ervan.
Ontwikkelaars weten vaak onvoldoende welke technische en organisatorische maatregelen volstaan om aan de regelgeving te voldoen. Daardoor ontstaan uiteenlopende interpretaties tussen lidstaten en toezichthouders.
De Europese Commissie zou daarom meer mogelijkheden krijgen om juridisch bindende uitvoeringsregels vast te leggen rond begrippen zoals persoonsgegevens en pseudonimisering.
Voor AI-bedrijven zou dat veel meer voorspelbaarheid creëren bij het ontwikkelen en trainen van nieuwe modellen.
Europa zoekt een evenwicht tussen innovatie en privacy
De discussie toont hoe moeilijk het is om twee doelstellingen tegelijk te realiseren. Enerzijds wil Europa burgers maximaal beschermen tegen misbruik van persoonsgegevens.
Anderzijds wil het voorkomen dat AI-innovatie verschuift naar regio’s waar ontwikkelaars met duidelijkere of minder complexe regelgeving kunnen werken.
De hervorming probeert daarom niet de privacybescherming af te bouwen, maar wel meer juridische duidelijkheid te bieden aan organisaties die AI op een verantwoorde manier willen ontwikkelen.
De uitkomst is ook belangrijk voor de EU AI Act
De discussie reikt verder dan de GDPR alleen.
De EU AI Act legt uitgebreide verplichtingen op voor ontwikkelaars en gebruikers van AI-systemen. Wanneer de onderliggende privacyregels onvoldoende duidelijk blijven, wordt ook de praktische toepassing van de AI Act moeilijker.
Duidelijke definities over persoonsgegevens, pseudonimisering en toegelaten gegevensverwerking vormen daarom een belangrijke bouwsteen voor een werkbare AI-governance in Europa.