Kwestia niezgodno\u015bci przetwarzania danych osobowych z obowi\u0105zuj\u0105cymi przepisami budzi zainteresowanie nie tylko ze wzgl\u0119du na spraw\u0119 prowadzon\u0105 w USA, lecz r\u00f3wnie\u017c z powodu coraz cz\u0119stszych reakcji organ\u00f3w nadzoruj\u0105cych ochron\u0119 danych osobowych w pa\u0144stwach Unii Europejskiej.<\/p>\n
Pod koniec marca Garante per la protezione dei dati personali, czyli w\u0142oski organ ochrony danych (w skr\u00f3cie: \u201ew\u0142oski DPA\u201d) zablokowa\u0142 dzia\u0142alno\u015b\u0107 ChatGPT we W\u0142oszech. W uzasadnieniu decyzji wskazano, \u017ce dzia\u0142anie chatbot\u2019a opartego na tzw. sztucznej inteligencji narusza przepisy Unii Europejskiej dotycz\u0105ce prywatno\u015bci, w tym nie s\u0105 stosowane mechanizmy weryfikuj\u0105ce, czy narz\u0119dzie wchodzi w interakcj\u0119 z dzie\u0107mi.<\/p>\n
W\u0142oski DPA uzasadniaj\u0105c swoj\u0105 decyzj\u0119 wskaza\u0142 na w\u0105tpliwo\u015bci dotycz\u0105ce istnienia podstawy prawnej dla masowego gromadzenia i przetwarzania danych osobowych w celu \u201eszkolenia” algorytm\u00f3w, na kt\u00f3rych opiera si\u0119 narz\u0119dzie. Ponadto powo\u0142a\u0142 si\u0119 na to, \u017ce ChatGPT nie dokonuje \u017cadnej weryfikacji wieku u\u017cytkownik\u00f3w, mimo \u017ce jest przeznaczony dla os\u00f3b w wieku powy\u017cej 13 lat. W efekcie w\u0142oski DPA stwierdzi\u0142 naruszenie artyku\u0142\u00f3w 5, 6, 8, 13 i 25 rozporz\u0105dzenia Parlamentu Europejskiego i Rady (UE) 2016\/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u00f3b fizycznych w zwi\u0105zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u0142ywu takich danych (w skr\u00f3cie: \u201eRODO\u201d).<\/p>\n
Przepisy RODO nakazuj\u0105, aby przetwarzanie danych osobowych odbywa\u0142o si\u0119 zgodnie z prawem, rzetelnie i w spos\u00f3b przejrzysty dla osoby, kt\u00f3rej dane dotycz\u0105 (art. 5 ust. 1 lit a RODO). Ponadto dane powinny by\u0107 zbierane w konkretnych i uzasadnionych celach (art. 5 ust. 1 lit b RODO), jak r\u00f3wnie\u017c ich zakres powinien by\u0107 ograniczony do niezb\u0119dnego minimum (art. 5 ust. 1 lit c RODO).<\/p>\n
Niestety spos\u00f3b dzia\u0142ania tzw. generatywnej sztucznej inteligencji nie do ko\u0144ca jest przejrzysty, co stawia liczne pytania o jego zgodno\u015b\u0107 z zasadami okre\u015blonymi w RODO. Przede wszystkim du\u017c\u0105 niewiadom\u0105 stanowi \u017ar\u00f3d\u0142o pozyskiwania danych osobowych. Du\u017ce modele j\u0119zykowe w celu \u201ewytrenowania” sztucznej inteligencji wymagaj\u0105 ogromnych ilo\u015bci danych. Dla tego procesu cenne s\u0105 wszelkiego rodzaju dane osobowe.<\/p>\n
Obecnie wiadomo, \u017ce narz\u0119dzie OpenAi stosuje tzw. \u201escraping\u201d, polegaj\u0105cy na wykorzystaniu \u201ebot\u00f3w’ i innych program\u00f3w komputerowych do przeszukiwania sieci Internet i kopiowania informacji ze stron internetowych. Takie dane s\u0105 nast\u0119pnie indeksowane i przechowywane. W przypadku ChatGPT przeszukiwany, a w\u0142a\u015bciwie \u201e\u015bledzony\u201d jest ca\u0142y Internet. Zbierane dane mog\u0105 obejmowa\u0107 mi\u0119dzy innymi wpisy z czat\u00f3w online, innych form osobistej komunikacji jak interakcje z obs\u0142ug\u0105 klienta online i rozmowy w mediach spo\u0142eczno\u015bciowych; ponadto grafiki pobrane z Internetu.<\/p>\n
W konsekwencji OpenAi mo\u017ce dysponowa\u0107 informacjami o zainteresowaniach, przekonaniach religijnych, pogl\u0105dach politycznych, orientacji seksualnej i to\u017csamo\u015bci p\u0142ciowej, informacjami o pracy i historii, szczeg\u00f3\u0142ami (w tym zdj\u0119ciami) dotycz\u0105cymi rodzin i dzieci, zachowaniach zakupowych, upodobaniach i niech\u0119ciach, sposobach w jaki m\u00f3wimy i piszemy, lokalizacji, miejscu zamieszkania, informacjami o zdrowiu (w tym stanie psychiki), informacjami o stronach internetowych, kt\u00f3re odwiedzamy. Katalog posiadanych danych mo\u017ce by\u0107 jednak znacznie szerszy. Taki zakres danych mo\u017ce umo\u017cliwia\u0107 identyfikacj\u0119 poszczeg\u00f3lnych os\u00f3b, jak r\u00f3wnie\u017c zagrozi\u0107 prywatno\u015bci, w tym zosta\u0107 wykorzystane do kradzie\u017cy to\u017csamo\u015bci, oszustw finansowych, czy kierowania reklam.<\/p>\n
W przypadku OpenAi w\u0105tpliwo\u015bci budzi przede wszystkim podstawa prawna uzasadniaj\u0105ca gromadzenie i masowe przechowywanie danych osobowych, w celu \u201ewyszkolenia” algorytm\u00f3w, na kt\u00f3rych dzia\u0142aniu opiera si\u0119 ChatGPT. Dotychczas OpenAi powo\u0142ywa\u0142a si\u0119 na prowadzenie dzia\u0142alno\u015bci badawczej, co jest jednak kwestionowane.<\/p>\n
W uzasadnieniu wspomnianego powy\u017cej pozwu wskazano, \u017ce OpenAI powsta\u0142o w 2015 roku jako laboratorium badawcze o charakterze non-profit (tzn. niezarobkowym). W\u00f3wczas jego misj\u0105 by\u0142o rozwijanie sztucznej inteligencji w spos\u00f3b, kt\u00f3ry przyniesie korzy\u015bci ca\u0142emu spo\u0142ecze\u0144stwu. Sytuacja uleg\u0142a zmianie w 2019 r., gdy OpenAI przekierowa\u0142a swoj\u0105 dzia\u0142alno\u015b\u0107 na generowanie zysk\u00f3w, skupiaj\u0105c si\u0119 na komercjalizacji narz\u0119dzi sztucznej inteligencji, nad kt\u00f3rymi pracowa\u0142a. Stworzenie najpot\u0119\u017cniejszej i najbardziej dochodowej sztucznej inteligencji wymaga znacznych ilo\u015bci danych, dzi\u0119ki kt\u00f3rym OpenAI b\u0119dzie w stanie \u201ewytrenowa\u0107” modele j\u0119zykowe, na kt\u00f3rych opieraj\u0105 si\u0119 jej produkty. Proceder ma by\u0107 realizowany przy u\u017cyciu superkomputera zbudowanego we wsp\u00f3\u0142pracy z Microsoft. Powodowie wskazuj\u0105, \u017ce post\u0119powanie OpenAi stanowi strategi\u0119 potajemnego pozyskiwania danych osobowych milion\u00f3w os\u00f3b z Internetu. W oparciu o te dane mia\u0142y nast\u0119pnie zosta\u0107 udost\u0119pnione produkty nie posiadaj\u0105ce odpowiednich zabezpiecze\u0144, zw\u0142aszcza, \u017ce sam producent nie jest w stanie przewidzie\u0107 kierunku ewolucji dzia\u0142ania algorytm\u00f3w.<\/p>\n
OpenAi w udost\u0119pnionej polityce prywatno\u015bci wskaza\u0142a, \u017ce przetwarza dane osobowe min. w celu ulepszania swoich us\u0142ug i prowadzenia bada\u0144, jak r\u00f3wnie\u017c w celu opracowywania nowych program\u00f3w i us\u0142ug. Wymienione podstawy zosta\u0142y jednak zakwestionowane przez w\u0142oski DPA. Brak prawid\u0142owej podstawy dla zbierania, przechowywania i wykorzystywania danych osobowych stanowi r\u00f3wnie\u017c jeden z zarzut\u00f3w w sprawie prowadzonej w USA. Aktualnie przewa\u017ca pogl\u0105d, \u017ce dane osobowe we wspomnianych celach, zw\u0142aszcza ze wzgl\u0119du na ich zakres, powinny by\u0107 przetwarzane na podstawie zgody podmiot\u00f3w danych (tj. art. 6 ust. 1 lit a RODO).<\/p>\n
Nale\u017cy zauwa\u017cy\u0107, \u017ce w uzasadnieniu wspomnianego pow\u00f3dztwa zarzucono OpenAi zbieranie r\u00f3wnie\u017c danych dotycz\u0105cych np. zdrowia, czy orientacji seksualnej. Co r\u00f3wnie\u017c istotne, takie i inne informacje o szczeg\u00f3lnie wra\u017cliwym charakterze mog\u0105 zosta\u0107 dostarczone narz\u0119dziom przez samego u\u017cytkownika, w trakcie interakcji np. z ChatGPT. Z kolei, jak wynika z art. 9 ust. 1 RODO przetwarzanie tego typu danych jest co do zasady zabronione. Zgodnie z RODO przetwarzanie tzw. danych szczeg\u00f3lnych jest dopuszczalne wy\u0142\u0105cznie w przypadku spe\u0142nienia jednego z warunk\u00f3w okre\u015blonych w art. 9 ust 2 RODO.<\/p>\n
Co prawda jedno z kryteri\u00f3w stanowi prowadzenie bada\u0144 naukowych, jednak\u017ce przetwarzanie powinno by\u0107 niezb\u0119dne do osi\u0105gni\u0119cia takiego celu i nie mo\u017ce narusza\u0107 istoty prawa do ochrony danych, jak r\u00f3wnie\u017c musi odbywa\u0107 si\u0119 z zastosowaniem odpowiednich zabezpiecze\u0144 (art. 9 ust. 2 lit j RODO). Zabezpieczenia powinny obejmowa\u0107 \u015brodki techniczne i organizacyjne zapewniaj\u0105ce minimalizacj\u0119 danych, obejmowa\u0107 pseudonimizacj\u0119 lub anonimizacj\u0119 danych, o ile pozwala ona realizowa\u0107 za\u0142o\u017cone cele (art. 89 ust. 1 RODO). W \u017cadnym z przypadk\u00f3w RODO nie przewiduje bezpo\u015bredniego zezwolenia na przetwarzanie tzw. danych szczeg\u00f3lnych w celu rozwijania us\u0142ug, czy tworzenia nowych us\u0142ug. Takie dzia\u0142anie by\u0142oby jednak dopuszczalne na podstawie wyra\u017anej zgody (art. 9 ust. 2 lit a RODO).<\/p>\n
Jeden z zarzut\u00f3w stwierdzonych przez w\u0142oski DPA dotyczy nieprawid\u0142owej realizacji obowi\u0105zk\u00f3w wymienionych w art. 13 RODO. Polega on na niewystarczaj\u0105cym informowaniu u\u017cytkownik\u00f3w i wszystkich zainteresowanych stron, o tym jakie dane s\u0105 gromadzone przez OpenAI. Nale\u017cy zauwa\u017cy\u0107, \u017ce przepisy RODO nakazuj\u0105 przekazanie podmiotom danych okre\u015blonych informacji, w przypadku gdy ich dane osobowe b\u0119d\u0105 zbierane i przetwarzane, jak r\u00f3wnie\u017c dodatkowych informacji, w przypadku gdy dane osobowe pozyskiwane s\u0105 z \u017ar\u00f3d\u0142a innego ni\u017c bezpo\u015brednio od podmiot\u00f3w danych (art. 14 RODO).<\/p>\n
Niew\u0105tpliwie osoby publikuj\u0105ce w Internecie, w tym w mediach spo\u0142eczno\u015bciowych, nie mog\u0105 przewidzie\u0107, ani nie maj\u0105 \u015bwiadomo\u015bci, \u017ce ich posty mog\u0105 zosta\u0107 wykorzystane do trenowania modelu sztucznej inteligencji. Taka osoba nie zosta\u0142a poinformowana o planowanym wykorzystaniu jej danych, jak r\u00f3wnie\u017c nigdy nie wyrazi\u0142a zgody na takie dzia\u0142anie. Taka osoba nie b\u0119dzie \u015bwiadoma, \u017ce jej prywatno\u015b\u0107 i prawa do danych osobowych zosta\u0142y naruszone.<\/p>\n
Do\u015bwiadczenie korzystania z ChatGPT pokazuje, \u017ce program nie zawsze generuje poprawne odpowiedzi. Pojawiaj\u0105ce si\u0119 b\u0142\u0119dy dotycz\u0105 tak\u017ce informacji o r\u00f3\u017cnych osobach. Dostarczone przez ChatGPT wyniki nie zawsze odpowiadaj\u0105 rzeczywistym danym, co \u015bwiadczy o problemie z realizacj\u0105 zasady okre\u015blonej w art. 5 ust. 1 lit d RODO, tj. nieprawid\u0142owym przetwarzaniu danych osobowych. W przypadku, gdy model sztucznej inteligencji jest szkolony na danych osobowych wyj\u0119tych z kontekstu, mo\u017ce to naruszy\u0107 kontekstow\u0105 integralno\u015b\u0107 danych poszczeg\u00f3lnych os\u00f3b, co z kolei przeczy zasadzie okre\u015blonej w art. 5 ust. 1 lit f RODO.<\/p>\n
Kolejne zagadnienie stanowi brak pewno\u015bci, czy inne generatywne modele sztucznej inteligencji (w tym ChatGPT) umo\u017cliwiaj\u0105 realizacj\u0119 prawa do \u201ebycia zapomnianym\u201d okre\u015blonego w art. 17 RODO. Zgodnie z przepisami osoba, kt\u00f3rej dane dotycz\u0105, w pewnych sytuacjach przys\u0142uguje prawo \u017c\u0105dania niezw\u0142ocznego usuni\u0119cia dotycz\u0105cych jej danych osobowych (art. 17 ust. 1 RODO). Tymczasem dane tworzone przez systemy generatywnej sztucznej inteligencji zazwyczaj maj\u0105 trwa\u0142y charakter. Odpowiedzi s\u0105 tworzone na podstawie zebranych danych, co skutkuje praktycznie brakiem mo\u017cliwo\u015bci usuni\u0119cia wszystkich \u015blad\u00f3w danych osobowych danej osoby.<\/p>\n