Использование персональных данных для обучения ИИ давно перестало быть теоретическим вопросом и стало реальной
1) Возможности для предварительной анонимизации данных в датасете, чтобы они больше не могли быть отнесены к персональным, но датасет при этом остался полезным;
2) Возможное основание обработки персональных данных, которые не могут быть исключены из датасета.
С точки зрения российского законодательства о персональных данных потенциально применимыми могут быть несколько оснований:
⚫️Согласие на обработку персональных данных (практически нереалистичный вариант, который с учетом права субъекта на отзыв согласия еще и не очень надежен).
⚫️ Обработка персональных данных в исследовательских целях (в целом рабочее основание, которое, однако, плохо сочетается с любого рода коммерциализацией).
⚫️ «Законный интерес». По сути, единственное основание, которое может применяться относительно универсально. При этом оператор должен соблюсти требование об отсутствии "нарушения прав и свобод субъекта персональных данных". Пределы указанных прав и свобод весьма размыты, особенно, в условиях отечественного правоприменения.
Как мы видим, очевидно надежных и универсальных решений непосредственно в законе не обнаруживается. Пока российский надзорный орган хранит молчание по вопросу, DPO может черпать вдохновение в творчестве зарубежного регулятора.
EDPB опубликовал в декабре 2024 года рекомендации, связанные с соблюдением privacy при работе с ИИ. В них рассмотрены такие вопросы, как, например, анонимизация персональных данных, возможность использования законного интереса в качестве основания для разработки ИИ, последствия незаконной обработки данных, использование сторонних датасетов.
Тем же, кто хочет погрузиться в тему более глубоко, может быть интересен опыт экспертов сообщества RPPA, которые уже работают с ИИ в контексте персональных данных. Практические нюансы такой работы будут разбираться на курсе AI Governance.