Meer duidelijkheid over AI training datasets gewenst

AI en AVG

In het veld van de regulering van digitale technologie is de AI Verordening een hot topic, ook al lijkt de invoering van veel voorschriften, zoals de verplichtingen voor high risk AI, te worden uitgesteld. De betekenis van deze Europese wetgeving voor bedrijven, zorginstellingen en overheidsorganisaties vormt een aantrekkelijk object voor blogs, academische publicaties en een catalogus aan cursussen. AI ontwikkelen en aanbieden is niet los te denken van data. Als gevolg daarvan zouden AI ontwikkelaars en aanbieders wellicht gerekend kunnen worden tot de categorie van de dataverwerkers of zelfs controllers. Voor deze bedrijven en organisaties komt de nieuwe compliance uitdaging dan niet in de plaats van de dataprotectie compliance, maar er bovenop. 

De AI Verordening is namelijk niet alleen aanvullend ten opzichte van de regulering van technologie in specifieke sectoren, zoals voor medische apparaten. Deze Europese wet respecteert en onderstreept ook de algemene regeling voor gegevensbescherming; de AVG. Dit is op zichzelf geen nieuws voor wie deze ontwikkelingen bijhoudt. Hoever de genoemde combinatie reikt, is echter voor velen nog niet helder. AI producenten en ook academische schrijvers hebben bovendien gepleit voor een onderscheid tussen software en data. Bij een dergelijk onderscheid in kwalificatie zouden de verschillende stappen van het ontwikkelen en leveren van AI diensten op zichzelf als fasen in de software productie tellen en niet onder de AVG vallen. 

Soms wordt met dat standpunt het weren van nadere regulering beoogd, maar tegelijk is het ook heel praktisch. Hoe moeten AI modellen of diensten ontwikkeld en aangeboden gaan worden, vooral in eigen lokale of Europese versies, als de vereisten uit de AVG toegepast zouden moeten worden? Het zou toch praktisch ondoenlijk zijn om alle rechten van de datasubjecten (dat zijn wij samen) te respecteren in het trainen van modellen? Dat geldt met name als voor de training persoonsdata gebruikt worden, die de producent allang in handen heeft gekregen; met contractuele instemming van deze zelfde mensen. Kortom, AI modellen moeten in dit standpunt niet als een persoonsgegeven of een registratie van persoonsgegevens gekwalificeerd worden, maar als een software applicatie. Daarvoor regelt de AI Verordening de toelating tot de markt en het gebruik, maar onder de AVG vallen ze niet; zo zou dan de conclusie zijn.

AI training is dataverwerking

We kunnen vaststellen dat de EDPB in december 2024 deze weg vrij resoluut afgesneden heeft. Een eerdere AI Forum post heeft dat al toegelicht. Kort samengevat: doordat uit AI modellen de persoonsgegevens terug te halen zijn die voor de training gebruikt zijn, gelden deze modellen en de training als dataverwerkingen. Dus dienen de rechten van datasubjecten ook in de trainingsfase gerespecteerd te worden, zodra persoonsgegevens gebruikt worden. De ontwikkelaars zullen voor de modeltraining de AVG moeten toepassen, inclusief de beperkingen ten aanzien van de rechtmatigheid van dataverwerking.

In de EDPB Opinion 28/2024 wordt vervolgens voortgeborduurd op die rechtmatigheid, met name het gebruik van de grond “gerechtvaardigd belang”; art 6, lid 1, sub f, AVG. Daarover is al in de  eerdere post geschreven. Voor deze nieuwe post draai ik het vizier nog even terug naar wat altijd de basis vormt voor de toepassing van de AVG: de vraag of er sprake van verwerking van persoonsgegevens. Voor de praktijk van AI ontwikkeling biedt de EDPB namelijk wel een haakje om, als het ware, onder de AVG uit te komen. Door de status van de trainingsdata te veranderen in niet-persoonlijke data is het mogelijk om zonder schending van AVG rechten en plichten een AI model te ontwikkelen. Deze route voert via de effectieve anonimisering van de data.

Over anonimisering

Het lijkt eenvoudig te zijn: haal alle verwijzingen uit de gegevens weg die directe of indirecte identificatie mogelijk maken en je hebt anonieme data. Dit is echter voor de AVG niet voldoende om de kwalificatie persoonsgegevens los te laten. Aanvullend geldt ook dat de omkering van dit proces onmogelijk moet zijn. Pas dan is de anonimisering voltooid. Gegeven het aanbod van geavanceerde software voor het terugdraaien, de zgn. model inversion attacks, betekent dit nogal wat. De vraag is hoe de AI ontwikkelaar of data leverancier moet bepalen of heridentificeren mogelijk is. Uit richtlijn 28/2024 van de EDPB en de rechtspraak van het EU Hof van Justitie valt af te leiden dat niet alleen de huidige stand van heridenticifatie software de doorslag geeft. Ook toekomstige technologische ontwikkelingen moeten betrokken worden in de beoordeling of de anonymisering afdoende is. Juist vanwege de impact die de toepasselijkheid van de AVG op de trainingsfase heeft, is deze indicatie echter wel een beetje kort door de bocht.

Het is namelijk voor de AI industrie niet helder hoe diep men in de kristallen bol van de toekomst moet kijken. Ergens in de tekst van de EDPB richtlijn en de rechtspraak vinden we wel een redelijkheidsmaatstaf. Er staat: op de heridentificatie tools waarvan het gebruik in redelijkheid te verwachten valt, moet geanticipeerd worden. De invulling daarvan omvat dan de plicht om zowel het heden als de toekomst daarbij de betrekken. Een logische uitleg zou dan zijn, dat alle redelijkerwijs te verwachten toekomstige ontwikkelingen ondervangen moeten worden. Erg afdoende vind ik dit echter niet, juist omdat de technische ontwikkelingen tamelijk onvoorzienbaar zijn. De profilering van de maatstaf voor absoluut anonimiseren in de EU komt dan slecht uit de verf. Dat is niet alleen onwenselijk voor de handhavers van de AVG. Ook de industrie zou gebaat zijn bij een heldere richtlijn, al was het maar in de trant van: laat zien dat je maximaal X jaar vooruit gedacht hebt. Niemand schiet op met een praktijk, waarin het excuus: “deze heridentificatie software was in redelijkheid echt niet te verwachten”, te pas en te onpas tot discussies en procedures leidt; nog even afgezien van de vraag hoe een rechter dat in vredesnaam ex post moet gaan beoordelen.

Heldere instructie op dit punt zou ook nog een tweede doel kunnen dienen: het verminderen van de prikkel tot anonimiteit-washing. Bewust of onbewust kan een producent of aanbieder uitgaan van een te lage standaard voor niet- identificeerbaarheid van de gebruikte data. Aldus kan een AI service aangeboden worden als AVG bestendig, die bij nader onderzoek niet door de toets zou komen. In zo’n geval wordt de afnemer, een bedrijf, organisatie of consument, verkeerd geïnformeerd over de rechtmatigheid van de dienst. Als dat voorkomen kan worden door een eenduidige norm, zijn we in allerlei opzichten op de goede weg.