Vývoj umelej inteligencie sa už neodohráva len v centrách veľkých technologických hráčov. Slovenské firmy, univerzity a výskumné konzorciá dnes bežne pracujú na vlastných modeloch – či už ide o jazykové modely, prediktívne nástroje pre priemysel, alebo špecializované riešenia pre zdravotníctvo, energetiku či kybernetickú bezpečnosť. Spoločným menovateľom všetkých týchto projektov sú dáta. A práve dáta sú aj zdrojom najväčších otáznikov.
Reálne dáta vo výskume: nutnosť alebo riziko
Otázka, či možno model trénovať na reálnych osobných údajoch, alebo treba siahnuť po anonymizovaných či syntetických datasetoch, nemá univerzálnu odpoveď. GDPR vychádza zo zásady minimalizácie – spracúvať treba len také dáta, ktoré sú objektívne nevyhnutné na dosiahnutie cieľa.
V praxi to znamená trojstupňové rozhodovanie:
- Anonymizované dáta: Ak výskumný cieľ možno dosiahnuť aj bez identifikácie konkrétnych osôb, GDPR sa neuplatní vôbec. Pozor však: skutočná anonymizácia veľkých datasetov je technicky náročná a dôkazné bremeno nesie prevádzkovateľ.
- Pseudonymizované dáta: Stredná cesta. Identifikátory sú nahradené, ale pri použití kľúča je možné identifikáciu obnoviť. Ide o osobné údaje a GDPR platí, no pseudonymizácia je uznávaným technickým opatrením na zvýšenie bezpečnosti spracúvania v rámci GDPR.
- Surové (raw) dáta: Prípustné len výnimočne, keď výskumný cieľ inak dosiahnuť nemožno. Typicky napríklad pri medicínskom výskume zriedkavých ochorení či pri výskume kybernetických incidentov, kde je potrebné analyzovať konkrétne používateľské správanie.
Z PRÁVNEJ PRAXE
Slovenské výskumné konzorcium pripravovalo model AI na detekciu anomálií v priemyselnej výrobe. Pôvodne plánovali trénovať model na pseudonymizovaných logoch operátorov výrobnej linky. Pri právnej analýze sa zistilo, že keďže ide o členov toho istého konzorcia, ktorí majú medzi sebou organizačnú a faktickú prepojenosť, pseudonymizované dáta nestratia povahu osobných údajov len ich odovzdaním druhému členovi. Riešením bola dôsledná zmluvná separácia rolí a prijatie technických opatrení znemožňujúcich krížovú identifikáciu.
Súhlas, alebo oprávnený záujem?
Klasická predstava, že na spracúvanie osobných údajov treba získať súhlas, pri vývoji AI v praxi neobstojí. Súhlas musí byť konkrétny, informovaný a kedykoľvek odvolateľný. Lenže – ak používateľ odvolá súhlas po tom, ako sa jeho dáta stali súčasťou natrénovaného modelu, ich „vyňatie“ je technicky takmer nemožné. Parametre modelu už údaje absorbovali.
Európsky výbor pre ochranu údajov (EDPB) aj pripravovaný Digital Omnibus preto (nepriamo) smerujú k záveru, že vhodnejším právnym základom pre vývoj a prevádzku AI modelov je oprávnený záujem prevádzkovateľa.
Použitie oprávneného záujmu však nie je „free ride“. Vyžaduje:
- balančný test (LIA) – posúdenie, či záujem prevádzkovateľa neprevažuje nad právami dotknutých osôb,
- transparentné informovanie dotknutých osôb (pri scrapingu z webu napr. cez verejné oznámenie),
- posúdenie vplyvu na ochranu údajov (DPIA) – pri AI často povinné alebo prinajmenšom odporúčané,
- garanciu práva dotknutej osoby kedykoľvek namietať.
Vedecký výskum: GDPR podáva pomocnú ruku
GDPR od začiatku počítalo s tým, že výskum potrebuje pružnejší režim. Pre vedecko-výskumnú činnosť preto platí niekoľko zásadných výnimiek:
- automatická zlučiteľnosť účelov – dáta zozbierané pôvodne na iný účel možno použiť na výskum bez nového testu zlučiteľnosti,
- dlhšie uchovávanie – pre potreby reprodukovateľnosti výskumu,
- zmiernená informačná povinnosť – ak by individuálne informovanie tisícov osôb bolo „neprimerane náročné“ postačí verejné oznámenie,
- možnosť spracúvať aj citlivé údaje – (zdravotné, biometrické) za prísnych podmienok,
- obmedzenie práva na výmaz a námietku – ak by tieto práva znemožnili dosiahnuť výskumný cieľ.
Výmenou za tieto úľavy musí prevádzkovateľ prijať „primerané záruky“ – typicky pseudonymizáciu, prísnu kontrolu prístupu, šifrovanie a dôslednú dokumentáciu.
AI Act: čo prináša pre výskumné projekty
AI Act (Nariadenie 2024/1689) sa vo svojej podstate vedecko-výskumným aktivitám nestavia do cesty, naopak, počíta s niekoľkými dôležitými výnimkami:
- AI systémy vyvíjané a používané výlučne na účely vedeckého výskumu a vývoja sú vo veľkej miere vyňaté z pôsobnosti AI Act (do okamihu, kým sa neuvedú na trh alebo do prevádzky),
- Regulačné sandboxy slúžia ako kontrolované prostredie, kde firmy môžu testovať inovatívne AI riešenia pod dohľadom regulátora s definovanými právnymi úľavami.
Návrh Digital Omnibus on AI počíta s novým článkom 4a, ktorý má za prísnych podmienok umožniť spracúvanie osobitných kategórií údajov najmä na účely detekcie a korekcie biasu v AI systémoch. Keďže ide o návrh, nejde zatiaľ o platné pravidlo.
Z PRÁVNEJ PRAXE
Pri výskumnom projekte zameranom na vývoj jazykového modelu pre slovenčinu klient zvažoval scraping verejne dostupných diskusných fór. Aj keď sú údaje technicky verejne prístupné, ide o osobné údaje a ich použitie potrebovalo balančný test, prijatie filtračných mechanizmov na odstránenie citlivých kategórií údajov a zverejnenie informačného oznámenia. Bez týchto krokov by projekt riskoval pokutu od dozorného orgánu aj reputačnú ujmu.
Konzorciá a otázka „kto je za čo zodpovedný“
Výskumné AI projekty bežne fungujú v konzorciách – univerzita, technologická firma, priemyselný partner, niekedy verejný sektor. GDPR pritom rozlišuje:
- samostatných prevádzkovateľov: každý si určuje vlastné účely a prostriedky,
- spoločných prevádzkovateľov: spoločne určujú účely aj prostriedky – povinná dohoda podľa čl. 26 GDPR,
- vzťah prevádzkovateľ – sprostredkovateľ: jeden spracúva v mene druhého – povinná zmluva podľa čl. 28 GDPR.
Nesprávne nastavenie rolí je častou chybou. Súdny dvor EÚ navyše potvrdil, že postavenie prevádzkovateľa môže vzniknúť bez vlastnej právnej subjektivity. Odporúčaným praktickým postupom je ešte pred štartom projektu zmluvne zafixovať, kto rozhoduje o účeloch, kto o prostriedkoch a kto za čo nesie zodpovednosť.
Záver: právo nemá brzdiť inováciu, ale poistiť ju
Európska legislatíva sa pri AI snaží nájsť rovnováhu medzi ochranou základných práv a podporou inovácií. Diskusia o tzv. piatej slobode EÚ pre výskum, inovácie a vzdelávanie naznačuje politický tlak na väčšiu podporu technologického vývoja.
Pre slovenské firmy a výskumné tímy to znamená dobrú správu. V tom, že priestor na vývoj AI na reálnych dátach existuje. Treba ho však využívať s rešpektom k pravidlám. To si vyžaduje prípravu od prvého dňa projektu, nie až tesne pred uvedením modelu do prevádzky – to môže byť neskoro.
O autoroch
JUDr. Tomáš Klinka – advokát a partner SIGNUM legal s. r. o. Dlhodobo sa venuje právu duševného vlastníctva, právu informačných technológií a regulácii digitálnych trhov. Je spoluautorom odborných publikácií v oblasti IT práva a aktívne sa podieľa na poradenstve pri komplexných technologických a výskumných projektoch.
Mgr. Damián Palašta – advokátsky koncipient v SIGNUM legal s .r. o. Špecializuje sa na ochranu osobných údajov, právo informačných technológií a reguláciu umelej inteligencie. Pôsobí aj na Masarykovej univerzite na Ústave práva a technológií a Ústave výpočtovej techniky, kde sa venuje najmä digitálnej regulácii.
O SIGNUM legal
SIGNUM legal je advokátska kancelária zameraná na právne poradenstvo v oblasti informačných technológií, duševného vlastníctva, kybernetickej bezpečnosti, ochrany osobných údajov, obchodného a pracovného práva, ochrany spotrebiteľa a sporovej agendy. Klientom – od slovenských technologických firiem cez výskumné konzorciá až po medzinárodné spoločnosti – pomáha navigovať komplexnú reguláciu digitálnej ekonomiky tak, aby právo bolo oporou inovácií, nie ich brzdou. www.signum.legal
