Wat is er gebeurd
De Elec meldt dat de Nationale Vergadering van Zuid-Korea herzieningen van de Personal Information Protection Act heeft aangenomen, waardoor een speciaal raamwerk is gecreëerd voor het gebruik van persoonlijke gegevens bij de ontwikkeling van AI. De maatregel staat een beperkt gebruik van legaal verzamelde originele gegevens toe wanneer gepseudonimiseerde of geanonimiseerde gegevens het werk niet kunnen ondersteunen en er sprake is van een algemeen belang of een sociale behoefte.
De Elec meldt dat de Nationale Vergadering van Zuid-Korea een herziening van de Personal Information Protection Act heeft aangenomen nadat de Personal Information Protection Commission (PIPC) op 20 augustus had gezegd dat de plenaire stemming was afgerond. De herziening creëert speciale bepalingen voor de ontwikkeling van AI in plaats van elk gebruik van persoonlijke gegevens te behandelen als een gewoon verzoek voor secundair gebruik. Het rapport zegt dat het raamwerk originele persoonlijke gegevens omvat, inclusief video en audio, maar dergelijke gegevens niet vrij beschikbaar stelt aan AI-ontwikkelaars.
Volgens het gerapporteerde raamwerk mogen persoonlijke gegevens alleen worden gebruikt als de ontwikkeling moeilijk is met behulp van gepseudonimiseerde of geanonimiseerde gegevens en als een algemeen belang of een sociale behoefte wordt onderkend. De gegevens moeten op legale wijze zijn verzameld en het voorgestelde gebruik moet strengere waarborgen ondergaan en vooraf worden beoordeeld door de PIPC. De Elec zegt dat de commissie zowel de noodzaak van het gebruik van de gegevens als de voorgestelde bescherming voor het specifieke geval zal beoordelen voordat de uitzondering wordt toegestaan.
De verandering komt tegemoet aan de zorgen van de AI-industrie dat bestaande privacyregels technologieën beperken die originele gegevens vereisen. Het rapport zegt dat voor het gebruik van gegevens voor andere doeleinden dan die waarvoor ze eerder zijn verzameld, toestemming van het individu of een afzonderlijke wettelijke basis vereist is. Sommige projecten, waaronder de preventie van voice-phishing en de ontwikkeling van autonome robots, hadden tijdelijke uitzonderingen op de regelgeving gekregen, maar die vrijstellingen waren over het algemeen beperkt tot twee jaar en konden niet langer dan vier jaar duren.
De herziening introduceert ook aanvullende vereisten voor gevallen met een hoger risico. Bedrijven en instellingen die gevoelige gegevens of unieke identificatie-informatie verwerken, moeten potentiële risico's vooraf inschatten en beperkende maatregelen treffen, aldus The Elec. Details van de bijzondere bepalingen die in een project worden gebruikt, moeten worden bekendgemaakt in het privacybeleid van de organisatie, en het PIPC zal informatie over de implementatie op zijn website publiceren. Aanvragen die substantieel vergelijkbaar zijn met zaken die al zijn beoordeeld en goedgekeurd, kunnen een gestroomlijnde beoordeling krijgen, waardoor herhaalde beoordelingen worden verminderd.
Het rapport van de Elec is de enige bron die hier wordt verstrekt, en de ontwikkeling is voor deze beoordeling niet onafhankelijk bevestigd. De bron biedt niet de definitieve wettelijke tekst, een lijst met goedgekeurde gegevenscategorieën of voorbeelden van een voltooide goedkeuring onder de nieuwe bepalingen. Er wordt ook niet vastgesteld of er goedkeuring en afkondiging door het kabinet heeft plaatsgevonden. De gerapporteerde ingangsdatum blijft daarom eerder prospectief dan een bewering dat de uitzondering al beschikbaar is.
Waarom het ertoe doet
De herziening zou AI-ontwikkelaars een duidelijker route kunnen geven om gegevens te gebruiken die niet kunnen worden vervangen door geanonimiseerd of gepseudonimiseerd materiaal, met behoud van toezicht door toezichthouders en privacywaarborgen. Het creëert ook een nationale beleidstest om de ontwikkeling van AI af te wegen tegen individuele datarechten.
Het beleid pakt een praktische spanning in de ontwikkeling van AI aan: sommige systemen hebben mogelijk informatie nodig die na anonimisering niet volledig kan worden weergegeven. Video en audio kunnen context, patronen of kenmerken bevatten die moeilijk te behouden zijn bij het verwijderen van identificerende informatie. De Elec meldt dat de wetgevers van Zuid-Korea ervoor kozen dit probleem te erkennen, maar de toegang tot originele gegevens koppelden aan een noodzakelijkheidstest en goedkeuring door de toezichthouder.
Voor ontwikkelaars zou de herziening een lappendeken van tijdelijke vrijstellingen kunnen vervangen door een permanent juridisch traject voor in aanmerking komende projecten. Dat kan de langetermijnplanning eenvoudiger maken voor organisaties die werken aan toepassingen zoals voice-phishing-preventie of autonome robots, die The Elec identificeert als gebieden die eerder gebruik maakten van regelgevingssandboxen. Het praktische effect zal afhangen van de vraag of het beoordelingsproces van de PIPC voorspelbaar genoeg is voor onderzoeks- en productontwikkelingsschema's.
Voor het publiek is het belangrijke kenmerk dat de wet geen algemene toestemming schept om persoonlijke informatie opnieuw te gebruiken voor AI. De gerapporteerde omstandigheden vereisen juridische verzameling, het aantonen dat geanonimiseerde of gepseudonimiseerde gegevens ontoereikend zijn, erkenning van een publieke of maatschappelijke behoefte, en voorafgaande beoordeling. Bij de omgang met gevoelige of uniek identificerende informatie met een hoog risico is ook een risicobeoordelings- en risicobeperkingsplan vereist. Deze voorwaarden creëren formele punten waarop privacyrisico's kunnen worden onderzocht voordat de inzet of training doorgaat.
Transparantievereisten kunnen het systeem gemakkelijker te controleren maken. Organisaties moeten de relevante bijzondere bepalingen in hun privacybeleid beschrijven, terwijl van het PIPC wordt verwacht dat zij implementatie-informatie publiceren. Dat zou individuen, onderzoekers en maatschappelijke groeperingen kunnen helpen te zien welke soorten AI-projecten toestemming krijgen en welke beschermingen worden gebruikt. De bron zegt niet hoe gedetailleerd deze openbaarmakingen zullen zijn, of individuen directe kennisgeving zullen ontvangen, of welke rechtsmiddelen er zullen bestaan als de waarborgen falen.
De gestroomlijnde beoordeling van substantieel vergelijkbare gevallen kan doublures in de regelgeving verminderen, maar roept ook de vraag op hoe de gelijkenis zal worden bepaald. Een sneller proces kan nuttig zijn als een later project echt aansluit bij een vast patroon. Het zou ook de controle kunnen verzwakken als wezenlijk verschillende gegevens, doeleinden, populaties of risico's als gelijkwaardig worden behandeld. De Elec rapporteert het mechanisme, maar geeft geen criteria voor de toepassing ervan, dus de impact ervan op de verantwoording blijft onbekend.
Interactief mechanisme: hoe het eigenlijk werkt
Ontdek interactief de onderliggende technologie achter deze ontwikkeling.
Why can ethical evaluation not be reduced to one model score?
Wat je nu moet bekijken
De wet is nog niet operationeel. De Elec meldt dat het zes maanden na goedkeuring en afkondiging door het kabinet van kracht zal worden, terwijl de PIPC van plan is deskundigen en de industrie te raadplegen over gedetailleerde richtlijnen. Belangrijke onzekerheden zijn onder meer de manier waarop het publieke belang zal worden gedefinieerd, hoe de noodzaak zal worden beoordeeld en hoe de waarborgen zullen worden afgedwongen.
De onmiddellijke volgende stap is het formele tijdschema voor de implementatie van de wet. De Elec meldt dat de herziening zes maanden na goedkeuring en afkondiging door het kabinet van kracht zal worden. De bron bevestigt niet onafhankelijk of een van beide stappen heeft plaatsgevonden, dus er mag niet worden uitgegaan van de operatiedatum. Totdat het formele proces is voltooid, beschrijven de gerapporteerde bepalingen eerder een wetswijziging die wacht op implementatie dan een volledig functionerend goedkeuringssysteem.
De komende richtlijnen van de PIPC zullen een groot deel van de werkelijke betekenis van het beleid bepalen. De commissie is van plan deskundigen en deelnemers uit de sector te raadplegen over gedetailleerde richtlijnen en ondergeschikte regelgeving. Van deze regels wordt verwacht dat zij verduidelijken wat kwalificeert als een algemeen belang of een sociale behoefte, hoe aanvragers moeten aantonen dat geanonimiseerde gegevens onvoldoende zijn, wat verbeterde waarborgen moeten inhouden en hoe risicobeperking zal worden geëvalueerd. Geen van deze operationele details wordt in de bron verstrekt.
Implementatieregistraties zullen een belangrijke test van transparantie zijn. Van het PIPC wordt verwacht dat het informatie publiceert over hoe de bijzondere bepalingen worden gebruikt, en organisaties moeten de relevante bepalingen in hun privacybeleid identificeren. Kijk of deze gegevens het doel van het gegevensgebruik identificeren, de soorten gegevens die erbij betrokken zijn, de genomen veiligheidsmaatregelen en de redenering van de toezichthouder. De Elec zegt niet of de openbare onthullingen voldoende details zullen bevatten om het individuele of gemeenschapsrisico te beoordelen.
Gebruik met een hoog risico verdient bijzondere aandacht omdat de gerapporteerde wet gevoelige gegevens en unieke identificatie-informatie uitsluit. Organisaties die dergelijke gegevens verwerken, moeten vooraf risicobeoordelingen uitvoeren en beperkende maatregelen vaststellen, maar het artikel beschrijft niet de vereiste methodologie of enige audit-, boete- of beroepsprocedure. Het is ook onduidelijk of het PIPC na goedkeuring de naleving zal inspecteren of hoe het zal reageren als een goedgekeurd project de gegevens, het doel of het model ervan wijzigt.
De bredere beleidsvraag is of het nieuwe raamwerk nuttige AI-ontwikkeling oplevert zonder het onbeperkte hergebruik van persoonlijke informatie te normaliseren. Het rapport levert nog geen bewijs over het aantal aanvragen dat waarschijnlijk zal worden goedgekeurd, de tijd die nodig is voor beoordeling of de resultaten van eerdere sandbox-projecten. Deze onbekende factoren maken het te vroeg om te beoordelen of de herziening de ontwikkeling van AI wezenlijk zal versnellen, het privacybeheer zal versterken, of beide zal bewerkstelligen. Deze beoordeling is gebaseerd op het rapport van The Elec en heeft de onderliggende wet- of regelgevingsdocumenten niet onafhankelijk geverifieerd.