Co się stało
„Elec” donosi, że Zgromadzenie Narodowe Korei Południowej przyjęło zmiany do ustawy o ochronie danych osobowych, tworząc specjalne ramy dotyczące wykorzystywania danych osobowych w rozwoju sztucznej inteligencji. Środek ten pozwala na ograniczone wykorzystanie legalnie zebranych oryginalnych danych, jeżeli pseudonimizowane lub zanonimizowane dane nie mogą wspierać utworu i zachodzi potrzeba publiczna lub społeczna.
„Elec” donosi, że Zgromadzenie Narodowe Korei Południowej przyjęło nowelizację ustawy o ochronie danych osobowych po tym, jak 20 sierpnia Komisja ds. ochrony danych osobowych (PIPC) poinformowała, że głosowanie na posiedzeniu plenarnym zostało zakończone. Zmiana wprowadza specjalne przepisy dotyczące rozwoju sztucznej inteligencji, zamiast traktować każde wykorzystanie danych osobowych jako zwykły wniosek o wtórne wykorzystanie. Z raportu wynika, że ramy obejmują oryginalne dane osobowe, w tym wideo i audio, ale nie udostępniają takich danych swobodnie twórcom sztucznej inteligencji.
Zgodnie ze zgłoszonymi ramami dane osobowe można wykorzystywać wyłącznie w przypadku trudności w opracowaniu danych spseudonimizowanych lub zanonimizowanych oraz gdy uzna się, że leży to w interesie publicznym lub potrzeba społeczna. Dane muszą zostać zebrane zgodnie z prawem, a proponowane wykorzystanie musi zostać poddane wzmocnionym zabezpieczeniom i wcześniejszej ocenie przez PIPC. Elec twierdzi, że przed zezwoleniem na wyjątek komisja oceni zarówno konieczność wykorzystania danych, jak i zabezpieczenia proponowane w konkretnym przypadku.
Zmiana jest odpowiedzią na obawy branży sztucznej inteligencji, że istniejące zasady prywatności ograniczają technologie wymagające oryginalnych danych. Z raportu wynika, że wykorzystanie danych do celów innych niż te, dla których zostały wcześniej zebrane, wymaga zgody danej osoby lub odrębnej podstawy prawnej. Niektóre projekty, w tym zapobieganie phishingowi głosowemu i rozwój robotów autonomicznych, otrzymały tymczasowe zwolnienia z piaskownicy regulacyjnej, ale zwolnienia te były generalnie ograniczone do dwóch lat i nie mogły trwać dłużej niż cztery lata.
Zmiana wprowadza także dodatkowe wymogi dla przypadków podwyższonego ryzyka. Według The Elec firmy i instytucje przetwarzające wrażliwe dane lub unikalne informacje identyfikacyjne muszą z wyprzedzeniem ocenić potencjalne ryzyko i wdrożyć środki łagodzące. Szczegóły szczególnych postanowień zastosowanych w projekcie muszą zostać ujawnione w polityce prywatności organizacji, a PIPC opublikuje informację o wdrożeniu na swojej stronie internetowej. Wnioski zasadniczo podobne do spraw już rozpatrzonych i zatwierdzonych mogą zostać poddane sprawniejszej ocenie, co ograniczy konieczność powtarzania ocen.
Raport firmy Elec jest jedynym źródłem podanym w tym miejscu, a rozwój sytuacji nie został niezależnie potwierdzony na potrzeby tej oceny. Źródło nie podaje ostatecznego tekstu ustawy, listy zatwierdzonych kategorii danych ani przykładów zakończonej akceptacji na podstawie nowych przepisów. Nie ustala również, czy doszło do zatwierdzenia i ogłoszenia przez Radę Ministrów. Zgłoszona data wejścia w życie ma zatem charakter raczej prospektywny niż twierdzenie, że wyjątek jest już dostępny.
Szczegóły źródła: thelec.net ↗
Dlaczego to ma znaczenie
Zmiana ta mogłaby zapewnić twórcom sztucznej inteligencji jaśniejszą drogę do wykorzystania danych, których nie można zastąpić materiałami anonimowymi lub pseudonimizowanymi, przy jednoczesnym zachowaniu kontroli organów regulacyjnych i zabezpieczeń prywatności. Tworzy również krajowy test polityki mający na celu zrównoważenie rozwoju sztucznej inteligencji z indywidualnymi prawami do danych.
Polityka dotyczy praktycznych napięć w rozwoju sztucznej inteligencji: niektóre systemy mogą potrzebować informacji, których nie można w pełni przedstawić po anonimizacji. Wideo i dźwięk mogą zawierać kontekst, wzorce lub cechy, które trudno zachować podczas usuwania informacji identyfikujących. „Elec” donosi, że prawodawcy Korei Południowej postanowili uwzględnić ten problem, ale połączyli dostęp do oryginalnych danych z testem konieczności i zgodą organu regulacyjnego.
W przypadku deweloperów zmiana mogłaby zastąpić mozaikę tymczasowych zwolnień stałą ścieżką prawną dla kwalifikujących się projektów. Może to ułatwić długoterminowe planowanie organizacjom pracującym nad aplikacjami takimi jak zapobieganie phishingowi głosowemu lub autonomiczne roboty, które The Elec identyfikuje jako obszary, w których wcześniej korzystano z piaskownic regulacyjnych. Praktyczny efekt będzie zależał od tego, czy proces przeglądu PIPC będzie wystarczająco przewidywalny dla harmonogramów badań i rozwoju produktów.
Dla opinii publicznej ważną cechą jest to, że prawo nie stwarza ogólnego pozwolenia na ponowne wykorzystanie danych osobowych na potrzeby sztucznej inteligencji. Zgłoszone warunki wymagają legalnego gromadzenia danych, wykazania, że dane zanonimizowane lub pseudonimizowane są nieodpowiednie, uznania potrzeby publicznej lub społecznej oraz uprzedniego przeglądu. Obchodzenie się z informacjami wrażliwymi lub jednoznacznie identyfikującymi obarczone wysokim ryzykiem wymaga również oceny ryzyka i planu jego ograniczania. Warunki te stanowią formalne punkty, w których można zbadać ryzyko dla prywatności przed przystąpieniem do wdrożenia lub szkolenia.
Wymogi dotyczące przejrzystości mogłyby ułatwić kontrolę systemu. Organizacje muszą opisać odpowiednie postanowienia szczególne w swoich politykach prywatności, natomiast od PIPC oczekuje się opublikowania informacji na temat ich wdrażania. Może to pomóc pojedynczym osobom, badaczom i grupom społeczeństwa obywatelskiego sprawdzić, jakie rodzaje projektów AI otrzymują pozwolenie i jakie zabezpieczenia są stosowane. Źródło nie podaje, jak szczegółowe będą te ujawnienia, czy poszczególne osoby otrzymają bezpośrednie powiadomienie ani jakie środki zaradcze będą dostępne, jeśli zawiodą zabezpieczenia.
Usprawniony przegląd zasadniczo podobnych spraw może ograniczyć powielanie przepisów, ale rodzi również pytanie, w jaki sposób będzie ustalane podobieństwo. Szybszy proces może być przydatny, gdy późniejszy projekt rzeczywiście pasuje do ustalonego wzorca. Może to również osłabić kontrolę, jeśli zasadniczo różne dane, cele, populacje lub ryzyko będą traktowane jako równoważne. Elec informuje o mechanizmie, ale nie podaje żadnych kryteriów jego stosowania, więc jego wpływ na rozliczalność pozostaje nieznany.
Mechanizm interaktywny: jak to faktycznie działa
Poznaj interaktywnie technologię leżącą u podstaw tego rozwoju.
Why can ethical evaluation not be reduced to one model score?
Co obejrzeć dalej
Ustawa nie weszła jeszcze w życie. „Elec” podaje, że wejdzie w życie sześć miesięcy po zatwierdzeniu i ogłoszeniu przez Radę Ministrów, natomiast PIPC planuje skonsultować się z ekspertami i branżą w sprawie szczegółowych wytycznych. Kluczowe niewiadome obejmują sposób definicji interesu publicznego, ocenę konieczności i sposób egzekwowania zabezpieczeń.
Następnym bezpośrednim krokiem jest formalny harmonogram wdrożenia ustawy. „Elec” donosi, że zmiana wejdzie w życie sześć miesięcy po zatwierdzeniu i ogłoszeniu przez Radę Ministrów. Źródło nie potwierdza niezależnie, czy miał miejsce którykolwiek z etapów, dlatego nie należy zakładać daty operacyjnej. Do czasu zakończenia procesu formalnego zgłoszone przepisy opisują uchwaloną zmianę legislacyjną oczekującą na wdrożenie, a nie w pełni funkcjonujący system zatwierdzania.
Zbliżające się wytyczne PIPC określą znaczną część prawdziwego znaczenia tej polityki. Komisja planuje przeprowadzić konsultacje z ekspertami i uczestnikami branży w sprawie szczegółowych wytycznych i podporządkowanych im przepisów. Oczekuje się, że zasady te wyjaśnią, co kwalifikuje się jako interes publiczny lub potrzeba społeczna, w jaki sposób wnioskodawcy muszą wykazać, że zanonimizowane dane są niewystarczające, co muszą zawierać ulepszone zabezpieczenia oraz w jaki sposób będzie oceniane ograniczanie ryzyka. Żadne z tych szczegółów operacyjnych nie jest podane w źródle.
Dokumentacja wdrożeniowa będzie ważnym sprawdzianem przejrzystości. Oczekuje się, że PIPC opublikuje informacje na temat stosowania postanowień szczególnych, a organizacje muszą wskazać odpowiednie postanowienia w swoich politykach prywatności. Zwróć uwagę, czy zapisy te określają cel wykorzystania danych, rodzaje danych, przyjęte zabezpieczenia oraz uzasadnienie organu regulacyjnego. Elec nie mówi, czy ujawnienia publiczne będą zawierać wystarczająco dużo szczegółów, aby ocenić ryzyko indywidualne lub społeczne.
Zastosowania wysokiego ryzyka zasługują na szczególną uwagę, ponieważ zgłaszane prawo wyróżnia dane wrażliwe i unikalne informacje identyfikacyjne. Organizacje przetwarzające takie dane muszą przeprowadzić wcześniejszą ocenę ryzyka i ustanowić środki łagodzące, ale w artykule nie opisano wymaganej metodologii ani żadnego procesu audytu, kar ani odwołania. Nie jest również jasne, czy PIPC będzie sprawdzał zgodność po zatwierdzeniu i jak zareaguje, jeśli zatwierdzony projekt zmieni swoje dane, cel lub model.
Szerszą kwestią polityczną jest to, czy nowe ramy umożliwią użyteczny rozwój sztucznej inteligencji bez normalizacji nieograniczonego ponownego wykorzystywania danych osobowych. Raport nie dostarcza jeszcze żadnych dowodów na temat liczby wniosków, które prawdopodobnie zostaną zatwierdzone, czasu potrzebnego na rozpatrzenie ani wyników wcześniejszych projektów typu sandbox. Ze względu na te niewiadome jest zbyt wcześnie, aby ocenić, czy zmiana znacząco przyspieszy rozwój sztucznej inteligencji, wzmocni zarządzanie prywatnością, czy też przyniesie jedno i drugie. Ocena ta opiera się na raporcie The Elec i nie zweryfikowała w sposób niezależny leżących u jej podstaw dokumentów legislacyjnych ani regulacyjnych.