A mesterséges intelligencia (MI) modellek tanítása személyes adatok felhasználásával egyre gyakoribb, ugyanakkor az adatvédelmi szabályoknak való megfelelés gyakran nehézségekbe ütközik. A GDPR 6. cikkében foglalt három központi jogalap — az érintett hozzájárulása, az érintettel kötött szerződés teljesítése és az adatkezelő vagy harmadik személy jogos érdeke — alkalmazhatóságát kell mérlegelni azokban az esetekben, amikor az érintettek nem feltétlenül tudnak a tanításhoz használt adatgyűjtésről.
Az alaphelyzet: járulékos adatkezelés
Gyakori, hogy az érintettek és az adatkezelő közötti kapcsolat elsődleges tárgya valamilyen szolgáltatásnyújtás (például közösségi média használata, webshop-vásárlás, ügyfélszolgálati hívás, chatbot-prompt), és a személyes adatok MI-tanításhoz való felhasználása csak járulékos cél. Ebben az általános helyzetben az olyan jogalapok, mint a közhatalmi jogosítvány vagy az érintett létfontosságú érdekei védelméhez szükséges kezelés ritkán állnak fenn, ezért a három fent említett GDPR-jogalap vizsgálata a releváns.
a) Hozzájárulás
A hozzájárulás elméletben erős jogalap, hiszen a GDPR szerint önkéntesnek, konkrétnak és tájékoztatáson alapulónak kell lennie. Technikailag a hozzájárulás begyűjtésére szolgáló mechanizmusok — például webes popupok — kialakíthatók és igazolhatók. A gyakorlatban azonban a web scraping és a széles körű internetes adatgyűjtés megnehezítik az érvényes hozzájárulás megszerzését: a scrapinget végző szervezet gyakran nincs közvetlen kapcsolatban az érintettel, így nem biztosítható a megfelelő tájékoztatás és a hozzájárulás érdemi megszerzése.
Ezen túl gazdasági és versenyjogi szempontok is felmerülnek: ha a hozzájárulást opcionálissá teszik, csökken a tanításhoz rendelkezésre álló adatmennyiség, ami gyengítheti az MI-megoldások minőségét és versenyképességét. Ez vezethet arra a kérdésre is, hogy miért fejlesztene egy vállalat az EU területén, ha külföldön sokkal több, hozzáférhető személyes adat áll rendelkezésre.
b) Az érintettel kötött szerződés teljesítése
Sok adatkezelő próbálhatja az ÁSZF-be („take it or leave it” modell) beépíteni a tanítási célú adatkezelést, és arra hivatkozni, hogy az a szerződés teljesítéséhez szükséges. Az Európai Unió Bíróságának Meta v. Bundeskartellamt (C‑252/21, 2023. július 4.) döntése értelmében azonban a szerződés teljesítése mint jogalap csak akkor alkalmazható, ha az adatkezelés objektíven elengedhetetlen a szerződés fő tárgyához. Az uniós jogszabályok, köztük a Digitális Piacokról szóló rendelet is korlátozza, hogy kapuőr-platformok miként használhatják fel a platformszolgáltatásokból származó adatokat más célokra anélkül, hogy a felhasználónak választási lehetőséget adnának.
Több tanulmány és jogi elemzés (például az Európai Parlament számára készült tanulmány) is azt a következtetést vonja le, hogy a „szerződés teljesítése” jogalapra aligha lehet érdemben támaszkodni, ha a tanítási cél nem szerepel a szerződés fő tárgyaként. A szerző is kétségesnek tartja, hogy az ÁSZF elfogadásával automatikusan jogszerűvé tehető lenne egy széles körű, tanítási célú adatgyűjtés.
c) Jogos érdek
Ha nem használható a hozzájárulás, és a szerződésre alapozás aggályos, sok szervezet a GDPR szerinti jogos érdek (legitimate interests) vizsgálatát tervezi alkalmazni. A gyakorlatban azonban az értelmezések megoszlanak. 2024. május 7-én az X (korábban Twitter) a Grok nevű chatbotja kapcsán bevezetett egy opt-out jellegű lehetőséget, és közölte, hogy a modell tanításához a jogos érdek jogalapját alkalmazza; ellentmondásos értékelést váltott ez ki, az ír adatvédelmi hatóság bírósági eljárást kezdeményezett, majd az X felfüggesztette a gyakorlatot.
Nemzeti hatóságok és az Európai Adatvédelmi Testület (EDPB) vizsgálatai sem mutatnak egységes álláspontot: a francia CNIL például bizonyos feltételek mellett elfogadhatónak tartja a jogos érdek alkalmazását web scraping esetén, ha betartják az adatminimalizálás és kizárólagosság elvét, míg a holland hatóság szerint a kereskedelmi célú web scraping ritkán feleltethető meg a jogos érdeknek. Az EDPB ChatGPT Taskforce jelentése hangsúlyozza, hogy a jogos érdek alkalmazása előtt részletes, eseti érdekmérlegelést kell végezni, amelyben az érdek jogosságát, szükségességét és az érintettek jogainak védelmét kell mérlegelni.
Összességében a jogos érdek alkalmazhatósága kiforratlan, és még egy esetleges uniós állásfoglalás birtokában is jelentős felelősség hárulna az adatkezelőkre az egyedi érdekmérlegelések dokumentálásában.
Különleges kategóriájú (szenzitív) adatok kezelése
A GDPR 9. cikke főszabály szerint tiltja a különleges adatok kezelését; ezek MI-tanításra történő felhasználása csak nagyon szűk feltételek mellett képzelhető el. Az MI Rendelet bizonyos, nagy kockázatú rendszerek fejlesztése esetén engedékenyebb szabályokat sorol fel, de a GDPR 9. cikk alapesetben megkövetel továbbra is különleges kivételt vagy érvényes hozzájárulást.
Az EDPB ChatGPT Taskforce rámutat, hogy egyes kivételek — például az, hogy az érintett „kifejezetten nyilvánosságra hozta” az adatot — csak elméleti lehetőségek, mivel a web scraping jellemzői miatt nehezen vonható le, hogy valóban fennállt-e a nyilvánosságra hozatal szándéka. A CNIL és az EDPB egyaránt hangsúlyozza, hogy a fejlesztési mechanizmusokat érdemes úgy kialakítani, hogy a különleges adatok begyűjtését alapból kizárják; ha ezek mégis bekerülnének, azonnali törlésre vagy anonimizációra kell intézkedni.
A különleges adatokkal kapcsolatos kockázatot növeli az a képesség, hogy fejlett MI-módszerek — ideértve a generatív modelleket — reidentifikálhatnak vagy újraperszonalizálhatnak korábban anonimizáltnak tartott adatokat, ami súlyos magánéleti kockázatot jelent.
Eredeti cél kérdése és a GDPR 6. cikk (4)
Az MI-tanítás gyakran eltér az eredeti adatgyűjtési céltól. A GDPR 6. cikk (4) szerinti összeegyeztethetőségi teszt csak akkor alkalmazható, ha van értelmezhető „eredeti cél”, és az új cél összeegyeztethető az eredetivel. A szerző véleménye szerint azonban a tanítási célok rendszerint messze túlmutatnak a statisztikai vagy eredeti célok keretén, így az összeegyeztethetőségi hivatkozás sok esetben nem menti fel az adatkezelőt attól, hogy külön jogalapgal kelljen rendelkeznie.
Technikai alternatívák: federált tanulás és adatminimalizálás
A jogi kihívások részben technológiával is enyhíthetők. A federált tanulás lehetővé teszi, hogy a modell lokálisan, a felhasználók eszközein tanuljon, és a központi szerverre csak a modelleparaméterek frissülései érkezzenek. Ez csökkentheti a személyes adatok központi gyűjtésének szükségességét és javíthatja az adatminimalizálást, ugyanakkor új kockázatokat is hoz (információszivárgás a modelleparaméterekből, adatmérgezés stb.). Számos kutatás és szakirodalmi forrás is ígéretes előrelépésekről számol be ezen a téren.
Következtetések és további feladatok
Jelenleg nincs egységes, bevett joggyakorlat arra vonatkozóan, melyik jogalap tekintendő általánosan elfogadhatónak az MI modellek személyes adatokkal történő tanításához. A hozzájárulás gyakorlati akadályokba ütközik, a szerződésre alapozás jogi határai szűkek, a jogos érdek pedig értelmezésenként eltérő megítélést kap. Különösen érzékeny kérdés a különleges adatok kezelése és az, hogy az MI újraperszonalizálhat korábban anonimizált adathalmazokat.
A meglévő uniós jogi eszközök és a nemzeti hatósági gyakorlat tovább formálják majd a jogértelmezést; addig az adatkezelőknek óvatossággal, alapos érdekmérlegelési dokumentációval, valamint a technikai adatminimalizálás és adatkormányzás elveinek alkalmazásával kell eljárniuk. A sorozat következő része az MI rendszerek éles üzemi működésével kapcsolatos adatvédelmi kérdéseket elemzi.
Lábjegyzetek és hivatkozott dokumentumok a cikk forrásaiban szereplő számozással szerepelnek (GDPR 6. cikk, Meta v. Bundeskartellamt C‑252/21, EDPB jelentés, CNIL álláspontok, MI Rendelet stb.).
