EDPB yttrar sig över träning och användning av AI-modeller

EDPB antog i veckan ett yttrande på begäran av den irländska dataskyddsmyndigheten kring vissa aspekter i dataskyddsförordningen, GDPR, och dess effekt för framtagande och användning av AI-modeller. I yttrandet behandlas följande frågor:

1. När kan uppgifter i en AI-modell anses vara anonymiserade så att de inte längre går att hänföra till en enskild person?
2. När kan personuppgifter i en AI-modell behandlas med stöd av en intresseavvägning enligt artikel 6 i GDPR?
3. Vad händer om en AI-modell har tagits fram utan rättslig grund i GDPR och utan att de grundläggande principerna har beaktats?

För att uppgifter ska anses vara anonymiserade anser EDPB att det måste vara osannolikt att någon ska kunna identifiera enskilda personer vars uppgifter användes för att skapa AI-modellen och att någon ska kunna få fram personuppgifter vid sökningar som sker med hjälp av AI-modellen. EDPB erinrar om att en bedömning måste ske i varje enskilt fall och ger en lista med förslag på kriterier som kan användas för att visa att uppgifterna är anonymiserade.

När det gäller behandling av personuppgifter och den rättsliga grunden intresseavvägning, hänvisar EDPB till den riktlinje som antogs tidigare i höst och som beskriver den bedömning i tre steg som måste göras; är intresset berättigat, är behandlingen nödvändig och kan enskildas fri- och rättigheter anses väga tyngre än den personuppgiftsansvariges intresse? EDPB ger vissa exempel på när träning och användning av AI-modeller kan anses ske för ett berättigat intresse och tillhandahåller en checklista till hjälp för att göra den bedömning som krävs.

Slutligen, om en AI-modell har tagits fram med personuppgifter som behandlats olagligt visar EDPB på att det kan få effekt för den fortsatta användningen i vissa fall.