Privacy & toezicht op AI

Waar binnen Europa de bevordering van innovatie en digitalisering als belangrijk speerpunt wordt gezien, laat dit de grondrechten van burgers onverlet. Hiervoor is een afweging nodig en met bestaande en toekomstige wetgeving – zoals de AVG en de AI Act – probeert de EU een goede balans te vinden. In dit derde deel van onze driedelige blogserie over ‘gratis’ AI-toepassingen onderzoeken we de gevolgen ervan op het gebied van privacy en het toezicht op AI.

AVG staat voor  Algemene verordening gegevensbescherming, of in het Engels, ook wel ‘General Data Protection Regulation’ genoemd. De AVG is een Europese wet die sinds 25 mei 2018 van kracht is. Het doel van deze verordening is om de privacy van mensen te beschermen en te reguleren hoe organisaties met persoonlijke informatie omgaan. In de AVG zijn regels opgenomen voor het verwerken van persoonsgegevens. Ook stelt de verordening dat het is essentieel dat organisaties toestemming verkrijgen van degene(n) van wie ze persoonlijke informatie verwerken en dat ze open zijn over hoe ze die informatie vervolgens gebruiken. Daarbij hebben de betrokkenen het recht om hun persoonlijke informatie in te zien, te corrigeren en te laten verwijderen.

De AVG is van toepassing op alle organisaties binnen de Europese Unie die persoonsgegevens verwerken, maar geldt ook voor organisaties buiten de EU die persoonsgegevens van EU-burgers verwerken. Onder ‘verwerken’ valt ook het verzamelen van grote hoeveelheden data door AI-toepassingen als ChatGPT.

De AVG is niet de enige te nemen horde voor het vrije gebruik van AI-toepassingen als ChatGPT. Komende maand stemmen EU-wetgevers over de AI Act. Deze verordening beoogt het gebruik van AI binnen alle sectoren te reguleren. Het doel van de AI Act is het bevorderen van veiligheid, innovatie en vertrouwen gerelateerd aan AI. Deze verordening kijkt op productniveau naar AI-toepassingen. Een AI-toepassing zal dus moeten voldoen aan de vereisten voortkomend uit de AI Act. Hiermee worden AI-toepassingen binnen alle sectoren door een en dezelfde verordening gereguleerd. In deze blog benoemen wij twee aandachtspunten op het gebied van de AVG en de AI Act die grote gevolgen kunnen hebben voor de beschikbaarheid van AI-toepassingen als ChatGPT.

De manier waarop OpenAI, de ontwikkelaar van ChatGPT, data verzamelt is niet duidelijk. Vermoedelijk gebeurt dit door zogenaamd ‘data scraping’. Data scraping is een computertechniek waarbij geautomatiseerde software informatie van websites verzamelt en omzet in een bruikbaar formaat. Dit is een bijzonder effectieve manier om snel grote hoeveelheden data te verzamelen, die echter niet zonder meer is toegestaan. Een goed voorbeeld hiervan is Clearview AI, een model dat via data scraping afbeeldingen van menselijke gezichten van het internet verzamelt. Opsporingsdiensten kunnen Clearview AI inzetten door een foto van een verdachte te uploaden en zo te achterhalen wie die persoon is. Een grove inbreuk op de privacy van eenieder wiens foto onrechtmatig werd verzameld, zo oordeelden onder andere de Italiaanse, Franse en Griekse privacytoezichthouders. Bij elkaar opgeteld leverde dit het Amerikaanse moederbedrijf van Clearview AI een boete van 60 miljoen euro op.

Het enkele feit dat informatie online beschikbaar is, betekent niet dat deze ook legaal gebruikt kan worden. Veel websites zullen dit in hun eigen voorwaarden verbieden. Daarnaast dient rekening te worden gehouden met de AVG. De AVG spreekt bijvoorbeeld over dataminimalisatie. Dit houdt in dat je als organisatie niet meer gegevens mag verzamelen dan strikt noodzakelijk voor het doel. Het idee daarachter is dat hoe minder data je bezit, hoe minder snel je ze kwijtraakt. AI-toepassingen als ChatGPT verzamelen juist zo veel mogelijk data om daar vervolgens het algoritme of model mee te kunnen trainen. Hierbij kan elk stuk data gezien worden als een oefening. Hoe meer van deze oefeningen het model uitvoert, des te beter de resultaten. Meer data leidt daarmee tot betere resultaten. Hoewel goed werkende AI-toepassingen veel voordelen kunnen bieden, heiligt het doel niet de middelen. Ongebreidelde informatieverzameling is vaak onwenselijk. Het is dan ook zeer twijfelachtig of de werkwijze van ChatGPT (binnen de EU) is toegestaan in haar huidige vorm.

Het vrije gebruik van AI-toepassingen zoals ChatGPT wordt niet alleen beperkt door de AVG. Zoals gezegd, zullen Europese wetgevers binnenkort stemmen over de AI Act. Het doel van de AI Act is om veiligheid, innovatie en vertrouwen met betrekking tot AI te bevorderen. Dit gebeurt onder andere door AI-toepassingen in te delen in verschillende risicocategorieën. Onlangs lekte al wel het concept voor de AI-verordening uit. Daarin worden tekstgenererende AI-toepassingen als ‘hoog risico’ gekwalificeerd, mits daarbij verwarring kan ontstaan over de vraag of deze door een mens of computer geschreven is. Dit zou betekenen dat ook ChatGPT als hoog risico kwalificeert. Hierop wordt een uitzondering gemaakt wanneer de tekst wordt gecontroleerd en geverifieerd door mensen. Daarnaast bestaat een uitzondering wanneer een persoon of organisatie verantwoordelijkheid voor de output op zich neemt. In theorie is dit een vanzelfsprekend goede ontwikkeling. Het voorkomt namelijk dat met een druk op de knop ‘nepnieuws’ wordt gegenereerd. In de praktijk betekent het echter een zeer hoge drempel voor AI-toepassingen als ChatGPT. Zij zullen de verzamelde gegevens immers moeten verifiëren, kwaliteitsrapporten moeten opstellen en conformiteitsbeoordelingen moeten uitvoeren. Bij ieder gebruik van ChatGPT zou de output eerst gecontroleerd moeten worden op juistheid. Waar ChatGPT nu vrijwel direct antwoord geeft op gestelde vragen, zou dit dan een onmogelijk lang proces worden. Kortgezegd, onder deze voorwaarden zou ChatGPT in haar huidige opzet niet kunnen voortbestaan.

Dat er een rem op innovatie staat is – voor zover dit ten goede komt aan de bescherming van onze grondrechten – zeer te begrijpen. Het is daarbij echter wel van belang om innovatie niet onnodig te belemmeren door een (te) strenge blik op nieuwe ontwikkelingen. Het beperken van het grenzeloos data verzamelen binnen de AVG, lijkt ons dan ook een gezonde maatregel. De onder de AI Act voorgestelde kwalificatie van tekstgenererende AI en de bijbehorende maatregelen hebben echter een verregaande impact en maken het gebruik van AI-toepassingen als ChatGPT praktisch onmogelijk. De tekst voor de AI Act is zoals gezegd nog niet definitief. Er is daarmee nog ruimte om de balans tussen regeldruk en innovatie te verbeteren, dus laten we hopen dat die kans aangegrepen wordt.

Met onze blogs en andere publicaties willen we op een pragmatische manier aandacht besteden aan relevante juridische vraagstukken.  We doen dit steeds vanuit een regulatoir, intellectueel eigendom en contractueel perspectief. Wilt u meer weten of heeft u (andere) vragen, neem dan gerust contact met ons op. Wilt u meer informatie over ons team en onze dienstverlening, kijk dan ook eens op onze pagina.