Dreptul la ștergerea datelor, cunoscut și ca „dreptul de a fi uitat”, este unul dintre cele mai importante drepturi recunoscute persoanelor vizate de Regulamentul general privind protecția datelor - GDPR. În esență, acesta permite unei persoane să solicite ștergerea datelor sale personale atunci când, de exemplu, datele nu mai sunt necesare pentru scopul în care au fost colectate, consimțământul a fost retras sau prelucrarea a fost nelegală. Operatorul are, în aceste situații, obligația de a șterge datele fără întârzieri nejustificate.

În practică, această obligație a fost mult timp înțeleasă relativ simplu: identificarea datelor persoanei în bazele de date ale companiei, ștergerea lor din sistemele operaționale și documentarea răspunsului transmis persoanei vizate. Însă dezvoltarea accelerată a sistemelor de inteligență artificială complică semnificativ această logică.

Problema apare atunci când datele personale nu au fost doar stocate, ci au fost utilizate pentru antrenarea, ajustarea sau evaluarea unui model AI. Într-un astfel de caz, datele nu mai există neapărat sub forma unei înregistrări individuale, ușor de identificat și șters. Ele pot fi reflectate indirect în parametrii modelului, în ponderi statistice sau în comportamentul sistemului. Cu alte cuvinte, informația a fost integrată în model, iar eliminarea contribuției datelor unei singure persoane devine, din punct de vedere tehnic și juridic, mult mai dificilă, practic imposibilă uneori.

Aceasta este tensiunea centrală: GDPR pornește de la premisa că datele personale pot fi identificate, controlate și, atunci când este cazul, șterse. Modelele AI, în schimb, funcționează adesea prin generalizarea unor tipare extrase din volume mari de date. Dacă o persoană solicită astăzi ștergerea datelor sale, întrebarea nu mai este doar dacă datele au fost eliminate din CRM, din platforma de marketing sau din contul de utilizator. Întrebarea devine: ce se întâmplă cu modelul care a fost deja antrenat pe baza acelor date?

Această întrebare este cu atât mai importantă cu cât autoritățile europene de protecție a datelor au început să analizeze expres relația dintre GDPR și modelele AI. În Opinia 28/2024, Comitetul European pentru Protecția Datelor - EDPB, a abordat trei aspecte relevante:

1. Caracterul anonim al modelului AI: un model AI poate fi considerat anonim doar în urma unei evaluări individuale. Modelul nu trebuie să permită identificarea, directă sau indirectă, a persoanelor ale căror date au fost folosite la dezvoltarea sa ori extragerea datelor personale prin interogarea modelului.
2. Interesul legitim ca temei juridic: interesul legitim poate justifica prelucrarea datelor pentru dezvoltarea sau utilizarea unui model AI numai dacă sunt îndeplinite trei condiții: existența unui interes legitim, necesitatea strictă a prelucrării și echilibrarea acestui interes cu drepturile și libertățile persoanelor vizate. În plus, contează și dacă persoanele se puteau aștepta în mod rezonabil ca datele lor să fie folosite în acest scop.
3. Date personale prelucrate nelegal: dacă un model AI a fost dezvoltat folosind date personale prelucrate nelegal, acest lucru poate afecta legalitatea utilizării ulterioare a modelului. Excepția ar putea exista doar dacă modelul a fost anonimizat în mod corespunzător.

Pentru organizații, mesajul este clar: simpla afirmație că modelul „nu conține date personale” nu este suficientă. O astfel de concluzie trebuie susținută printr-o analiză documentată solidă. În anumite situații, un model poate permite extragerea, reidentificarea sau reproducerea unor informații personale, mai ales dacă a fost antrenat pe seturi de date sensibile, limitate sau insuficient curățate. În alte cazuri, riscul poate fi redus, dar nu trebuie presupus automat că un model este anonim doar pentru că datele nu mai sunt vizibile într-un format clasic.

Riscul practic pentru companii este acela de a avea o conformitate aparentă. Organizația poate răspunde unei cereri de ștergere, poate elimina datele din sistemele sale principale și poate transmite persoanei vizate că solicitarea a fost soluționată. Totuși, dacă acele date au fost folosite anterior pentru dezvoltarea unui model AI, iar acest aspect nu a fost analizat, compania poate rămâne expusă. În fața unei investigații, întrebarea autorității nu va fi doar „ați șters înregistrarea?”, ci și „unde au fost folosite aceste date și ce efect a avut ștergerea asupra sistemelor AI dezvoltate cu ajutorul lor?”.

Această problemă trebuie privită și în contextul mai larg al AI Act. Regulamentul (UE) 2024/1689 stabilește un cadru european armonizat pentru inteligența artificială și urmărește promovarea unei inteligențe artificiale centrate pe om și de încredere, asigurând totodată un nivel ridicat de protecție a sănătății, siguranței și drepturilor fundamentale. Deși AI Act nu înlocuiește GDPR, cele două regimuri trebuie aplicate împreună. Un sistem AI poate fi conform din perspectiva cerințelor tehnice ale AI Act, dar poate ridica în continuare probleme serioase dacă datele personale utilizate pentru dezvoltarea sa nu au fost prelucrate în mod legal, transparent și atent documentat.

Ce ar trebui să facă organizațiile care dezvoltă sau utilizează sisteme AI?

În primul rând, acestea trebuie să știe ce date au fost folosite, în ce scop, în baza cărui temei juridic și în ce etapă a ciclului de viață al sistemului AI. Inventarierea seturilor de date nu mai este un exercițiu administrativ, ci o condiție esențială pentru a putea răspunde cererilor persoanelor vizate.

În al doilea rând, procedurile interne privind dreptul la ștergere trebuie actualizate pentru a include și scenariile în care datele au fost folosite pentru antrenarea sau ajustarea unui model. O procedură care verifică doar bazele de date operaționale este incompletă atunci când compania folosește AI.

În al treilea rând, organizațiile trebuie să documenteze dacă modelul rezultat mai poate fi considerat anonim sau dacă există riscul ca date personale să poată fi extrase, deduse sau reproduse. Această analiză trebuie realizată de la caz la caz, în funcție de tipul modelului, natura datelor, volumul setului de antrenare și măsurile tehnice implementate.

În al patrulea rând, acolo unde ștergerea efectivă din model nu este tehnic posibilă sau ar presupune costuri disproporționate, trebuie analizate măsuri alternative: excluderea datelor din seturile viitoare de antrenare, reantrenarea modelului, ajustarea acestuia, limitarea utilizării modelului sau implementarea unor mecanisme de reducere a riscului. Important este ca organizația să nu ignore problema, ci să poată demonstra că a evaluat-o în mod real.

În era inteligenței artificiale, conformitatea nu mai înseamnă doar să știm unde sunt stocate datele. Înseamnă și să știm cum au fost folosite, ce sisteme au fost dezvoltate pe baza lor și ce efecte produce această utilizare în timp.

Dreptul de a fi uitat nu dispare în fața inteligenței artificiale. Dimpotrivă, devine un test al maturității organizaționale. Companiile care folosesc AI trebuie să fie pregătite să răspundă nu doar la întrebarea „am șters datele?”, ci și la întrebarea mai dificilă: „ce a învățat sistemul din acele date și putem demonstra că am tratat această problemă în mod conform?”.