GDPR र ठूलो डेटा: नेदरल्याण्ड्समा एआई तालिमको लागि वैध आधारहरू

GDPR र ठूलो डेटा असंगत छैनन्, तर तिनीहरूले धेरै संस्थाहरूलाई स्थगित गर्ने छनौटलाई बाध्य पार्छन्: ठूलो डेटासेट सङ्कलन वा पुन: प्रयोग गर्नु अघि, तपाईंले त्यसो गर्नको लागि कानुनी आधारको नाम दिन सक्षम हुनुपर्छ र त्यो उद्देश्यको लागि प्रशोधन आवश्यक छ भनेर देखाउन सक्षम हुनुपर्छ। व्यवहारमा यसको अर्थ सामान्य डेटा संरक्षण नियमनको धारा ६ अन्तर्गत आधार दस्तावेजीकरण गर्नु हो, एल्गोरिथ्मलाई प्रशिक्षण दिनको लागि पछिको प्रयोग डेटा मूल रूपमा सङ्कलन गरिएको उद्देश्यसँग उपयुक्त छ कि छैन भनेर परीक्षण गर्नु र पहिलो मोडेल निर्माण हुनु अघि जोखिमको मूल्याङ्कन गर्नु हो। यस लेखले नेदरल्याण्ड्समा ठूला-स्तरीय विश्लेषण र एआई प्रशिक्षणमा ती नियमहरू कसरी लागू हुन्छन् र अटोराइट पर्सोन्सगेगेभेन्सले कहाँ रेखा कोर्छ भनेर सेट गर्दछ।

ठूलो डेटा सेटमा व्यक्तिगत डेटाको रूपमा के गणना गरिन्छ?

GDPR पहिचान गरिएको वा पहिचान गर्न सकिने प्राकृतिक व्यक्तिसँग सम्बन्धित जानकारीमा लागू हुन्छ। ठूलो डेटा सन्दर्भमा त्यो सीमा संस्थाहरूले अपेक्षा गरेको भन्दा धेरै पटक पार गरिन्छ, किनभने पहिचान योग्यता नियन्त्रक वा अरू कसैद्वारा, कसैलाई छुट्याउन प्रयोग गरिने उचित सम्भावित सबै माध्यमहरूको सन्दर्भद्वारा मूल्याङ्कन गरिन्छ। उपकरण पहिचानकर्ताहरू, स्थान ट्रेसहरू, लेनदेन रेकर्डहरू वा क्लिकस्ट्रिमहरूको डेटासेट त्यसैले लगभग सधैं व्यक्तिगत डेटा हुन्छ, जहाँ एकल स्तम्भमा कुनै नाम देखा पर्दैन।

दुई अवधारणाहरू नियमित रूपमा भ्रमित हुन्छन्, र भिन्नताले नियमन लागू हुन्छ कि हुँदैन भन्ने निर्णय गर्छ। छद्मनाम डेटा, जहाँ पहिचानकर्ताहरू प्रतिस्थापन गरिएका छन् तर कुञ्जी अझै पनि कतै अवस्थित छ, व्यक्तिगत डेटा रहन्छ र GDPR को पूर्ण रूपमा अधीनमा रहन्छ। बेनामी डेटा, जहाँ पुन: पहिचान अब कसैको लागि उचित रूपमा सम्भव छैन, यो बाहिर पर्छ। वास्तविक गुमनामकरणको लागि बार उच्च छ: एकत्रीकरण, ह्यासिङ वा प्रत्यक्ष पहिचानकर्ताहरूको हटाउनाले सामान्यतया एक निश्चित पक्षलाई व्यक्तिहरूलाई पुन: पहिचान गर्न पर्याप्त फिंगरप्रिन्ट छोड्छ, विशेष गरी जब डेटासेट धनी हुन्छ र लामो अवधि समेट्छ।

यो महत्त्वपूर्ण छ किनभने डेटासेट बेनामी छ भन्ने दाबी प्रायः सम्पूर्ण एआई कार्यक्रममा लोड-बेयरिङ धारणा हो। यदि यो असफल भयो भने, प्रशिक्षण रनदेखि रिटेन्सन तालिकासम्मको प्रत्येक डाउनस्ट्रीम चरण, कानुनी आधार बिना नै गरिएको छ। सुरक्षित दृष्टिकोण भनेको डेटासेटलाई व्यक्तिगत डेटाको रूपमा व्यवहार गर्नु हो जबसम्म दस्तावेज गरिएको पुन: पहिचान विश्लेषणले अन्यथा भन्छ, र डेटासेटलाई समृद्ध वा अर्को स्रोतसँग जोडिएको बेला त्यो विश्लेषणलाई पुन: भ्रमण गर्नु हो। युरोपेली डेटा संरक्षण बोर्डले पनि सम्बोधन गरेको छ जब एआई मोडेल आफैंलाई बेनामी मान्न सकिन्छ, र यसको जवाफ यो हो कि यो अनुमान गर्न सकिँदैन: व्यक्तिगत डेटामा प्रशिक्षित मोडेलले अझै पनि त्यो डेटा निकाल्न सकिने रूपमा समावेश गर्न सक्छ र केस अनुसार केस मूल्याङ्कन गर्नुपर्छ।

ठूलो डेटा र एआई तालिमको लागि वैध आधार छनौट गर्दै

प्रत्येक प्रशोधन कार्यलाई धारा ६ मा उल्लेख गरिएका छवटा आधारहरू मध्ये एउटा चाहिन्छ, र प्रशोधन पछि पुनर्निर्माण गर्नुको सट्टा प्रशोधन सुरु हुनुभन्दा पहिले नै आधार छनौट गर्नुपर्छ। ठूला-स्तरीय विश्लेषणका लागि, केवल तीनवटा यथार्थपरक उम्मेदवारहरू हुन्।

सहमति सिद्धान्तमा सबैभन्दा सफा र व्यवहारमा सबैभन्दा कमजोर हुन्छ। यो स्वतन्त्र रूपमा दिइनुपर्छ, विशिष्ट, सूचित र स्पष्ट हुनुपर्छ, र यो फिर्ता लिन जति सजिलो थियो त्यति नै सजिलो हुनुपर्छ। सामान्य शब्दहरूमा बन्डल गरिएको सहमति, डेटा आवश्यक नपर्ने सेवाको सर्तको रूपमा प्राप्त गरिएको, वा यति व्यापक रूपमा फ्रेम गरिएको कि व्यक्तिले केमा सहमति भइरहेको छ भनेर देख्न सक्दैन, मान्य हुनेछैन। जहाँ सहमति फिर्ता लिइन्छ, तपाईंलाई पहिले नै प्रशिक्षित गरिएको मोडेललाई के हुन्छ भन्ने प्रश्नको प्राविधिक उत्तर चाहिन्छ।

सम्झौताको कार्यसम्पादनको आवश्यकता देखिनुभन्दा साँघुरो हुन्छ। परीक्षण भनेको व्यक्तिले वास्तवमा मागेको सेवाको लागि वस्तुनिष्ठ आवश्यकता हो, व्यावसायिक उपयोगिता होइन। ग्राहकलाई सिफारिस इन्जिन सुधार गर्न प्रोफाइलिङ गर्नु सामान्यतया उनीहरूले किनेको उत्पादनको डेलिभरीको लागि आवश्यक हुँदैन, र न्याय अदालतले व्यवहारिक विज्ञापन र निजीकरणलाई समेट्न यो आधार विस्तार गर्ने प्रयासहरूलाई बारम्बार अस्वीकार गरेको छ।

यसले वैध स्वार्थहरूलाई छोड्छ, जुन सबैभन्दा ठूलो स्तरको प्रशोधनले भर पर्ने आधार हो। यसका लागि तीन चरणहरू आवश्यक पर्दछ, जुन त्यस क्रममा दस्तावेज गरिएको छ: वास्तविक र वैध स्वार्थ पहिचान गर्ने, प्रशोधन आवश्यक छ भनेर देखाउने किनभने यसलाई प्राप्त गर्ने कुनै कम हस्तक्षेपकारी तरिका छैन, र सम्बन्धित व्यक्तिहरूको अधिकार र उचित अपेक्षाहरू विरुद्ध स्वार्थलाई सन्तुलनमा राख्ने। राष्ट्रिय टेनिस संघको सम्बन्धमा डच अदालतको सन्दर्भमा, न्याय अदालतले २०२४ मा पुष्टि गर्‍यो कि विशुद्ध व्यावसायिक स्वार्थ वैध स्वार्थको रूपमा योग्य हुन सक्छ, तर आवश्यकता र सन्तुलन परीक्षणहरू साँच्चै सन्तुष्ट भएमा मात्र। त्यसैले व्यावसायिक मूल्य स्वीकार्य स्वार्थ हो, इजाजतपत्र होइन।

विशेष वर्गहरू र अनुमानित विशेषताहरू

जातीय वा जातीय उत्पत्ति, राजनीतिक विचार, धार्मिक विश्वास, ट्रेड युनियन सदस्यता, स्वास्थ्य, यौन जीवन वा यौन झुकाव प्रकट गर्ने डेटा, पहिचानको लागि प्रयोग गरिने आनुवंशिक र बायोमेट्रिक डेटा सहित, धारा ९ मा उल्लेखित साँघुरो अपवादहरू मध्ये एक लागू नभएसम्म प्रशोधन गर्न सकिँदैन। स्पष्ट सहमति सामान्य मार्ग हो; अन्यहरू विरलै व्यावसायिक डेटासेटमा फिट हुन्छन्।

ठूलो डेटामा रहेको पासो भनेको विशेष श्रेणीको डेटा जानाजानी सङ्कलन गर्नुपर्दैन। जहाँ डेटासेटले सुरक्षित विशेषता अनुमान गर्न अनुमति दिन्छ, उदाहरणका लागि खरिद ढाँचा, स्थान इतिहास वा फ्री-टेक्स्ट फिल्डहरूको सामग्री मार्फत, त्यो प्रशोधनमा कडा व्यवस्था लागू हुन्छ, यद्यपि कसैले पनि सीधै प्रश्न सोधेको छैन। संरक्षित विशेषताको लागि प्रोक्सीको रूपमा काम गर्ने मोडेल सुविधाहरू विकासको क्रममा पहिचान गरिनुपर्छ, गुनासो पछि होइन।

उद्देश्य सीमा: के तपाईं मोडेललाई तालिम दिन डेटा पुन: प्रयोग गर्न सक्नुहुन्छ?

तपाईं सक्नुहुन्छ, तर स्वचालित रूपमा होइन। GDPR ले व्यक्तिगत डेटा निर्दिष्ट, स्पष्ट र वैध उद्देश्यका लागि सङ्कलन गर्न आवश्यक छ र ती उद्देश्यहरूसँग असंगत तरिकाले थप प्रशोधन गर्नु हुँदैन। अर्डर पूर्ति, ग्राहक समर्थन वा धोखाधडी रोकथामको लागि सङ्कलन गरिएको डेटामा एल्गोरिथ्मलाई प्रशिक्षण दिनु थप प्रशोधन कार्य हो, र यो नियमनले तोकेको अनुकूलता परीक्षण पास गरेमा मात्र वैध हुन्छ।

त्यो परीक्षण औपचारिकता होइन। यसले मूल उद्देश्य र नयाँ बीचको सम्बन्ध, डेटा सङ्कलन गरिएको सन्दर्भ र त्यस आधारमा व्यक्तिले के उचित रूपमा अपेक्षा गर्न सक्छ, डेटाको प्रकृति र विशेष वर्गहरू संलग्न छन् कि छैनन्, नयाँ प्रशोधनको सम्भावित परिणामहरू, र छद्मनाम वा इन्क्रिप्शन जस्ता सुरक्षा उपायहरूको अस्तित्वको बारेमा सोध्छ। चिकित्सा वा वित्तीय रेकर्डहरूको डेटासेट परीक्षणमा असफल हुनेछ जहाँ बेनामी सञ्चालन लगहरूको डेटासेटले यसलाई पास गर्नेछ।

एउटा छोटो बाटो छ, र यो सामान्यतया मानिने भन्दा साँघुरो छ। अनुसन्धान प्रशोधनका लागि सुरक्षा उपायहरू लागू भएमा, सार्वजनिक हितमा, वैज्ञानिक वा ऐतिहासिक अनुसन्धानका लागि वा तथ्याङ्कीय उद्देश्यका लागि अभिलेख राख्नको लागि थप प्रशोधनलाई उपयुक्त मानिन्छ। अनुसन्धानको रूपमा सजाइएको व्यावसायिक मोडेल विकास योग्य हुँदैन; अपवाद उत्पादन सुधारमा होइन, विधिगत र नैतिक मापदण्डहरूको अधीनमा रहेको वास्तविक अनुसन्धानको उद्देश्य हो। जहाँ अनुकूलता परीक्षण पूरा हुँदैन, तपाईंलाई नयाँ कानुनी आधार र धेरैजसो अवस्थामा, सम्बन्धित व्यक्तिहरूलाई ताजा जानकारी चाहिन्छ।

व्यावहारिक परिणाम यो हो कि उद्देश्य सीमालाई सङ्कलनको बिन्दुमा ह्यान्डल गर्नुपर्छ। उद्देश्यहरूलाई अर्थहीन बनाउन पर्याप्त फराकिलो रूपमा वर्णन गर्ने गोपनीयता कथनहरूले पछिको प्रशिक्षण रनलाई बचत गर्दैनन्, किनभने परीक्षणले व्यक्तिले उचित रूपमा के अपेक्षा गर्न सक्छ भनेर हेर्छ, मस्यौदाले प्राविधिक रूपमा के अनुमति दिन्छ भन्ने कुरामा होइन। नेदरल्याण्ड्समा गोपनीयता नीति लेख्नको लागि हाम्रो गाइडले इमानदार र प्रयोगयोग्य दुवै तरिकाले उद्देश्यहरू कसरी वर्णन गर्ने भनेर सेट गर्दछ।

मोडेलले सबै कुरा चाहेको बेला न्यूनीकरण, अवधारण र शुद्धता

डेटा न्यूनीकरणको लागि व्यक्तिगत डेटा पर्याप्त, सान्दर्भिक र आवश्यक कुराहरूमा सीमित हुनु आवश्यक छ। त्यो सिद्धान्त साँच्चै विकास विधिसँग तनावमा छ जसको तर्क यो हो कि अधिक डेटाले राम्रो मोडेल उत्पादन गर्दछ, र यसलाई बेवास्ता गरेर तनाव समाधान गर्न सकिँदैन। यसलाई समाधान गर्न सकिने कुरा भनेको दस्तावेज गरिएको तर्क हो: उल्लेखित उद्देश्यका लागि कुन क्षेत्रहरू आवश्यक छन्, तिनीहरू बिना के परीक्षण गरिएको थियो, र बाँकी किन खारेज गरियो। डेटासेट ठूलो भए पनि विश्लेषण देखाउन सक्ने नियन्त्रकको सुरक्षा योग्य स्थिति हुन्छ। भण्डारण सस्तो भएको कारणले सबै कुरा राख्ने नियन्त्रकको हुँदैन।

भण्डारण सीमाले समयसँगै उही प्रश्न उठाउँछ। तालिम डेटा, सुविधा भण्डारहरू, मोडेल चेकपोइन्टहरू र अनुमान लगहरू सबै अवधारण दायित्व भित्र पर्छन्, र प्रत्येकलाई उद्देश्यसँग जोडिएको आफ्नै अवधि चाहिन्छ। अनुमान लगहरू बारम्बार बिर्सिन्छन् र बारम्बार तालिम सेटले भन्दा बढी व्यक्तिगत डेटा समावेश गर्दछ।

यस सन्दर्भमा प्रायः बेवास्ता गरिने सिद्धान्त शुद्धता हो, र यसको कानुनी किनारा छ जुन छुटाउन सजिलो छ। व्यक्तिगत डेटा सही हुनुपर्छ र आवश्यक भएमा अद्यावधिक राख्नुपर्छ, र व्यक्तिहरूलाई सुधार गर्ने अधिकार हुन्छ। जहाँ मोडेलले पहिचान गर्न सकिने व्यक्तिको बारेमा आउटपुट उत्पादन गर्छ, त्यो आउटपुट आफैंमा व्यक्तिगत डेटा हो। कोही कमजोर क्रेडिट जोखिम, सम्भावित धोखाधडी वा अनुपयुक्त उम्मेदवार हो भन्ने अनुमान तिनीहरूको बारेमा डेटा हो, यो गलत हुन सक्छ, र यसलाई चुनौती दिन सकिन्छ। त्यस्ता आउटपुटहरू सच्याउन नसकिने प्रणाली निर्माण गर्नाले अनुपालन समस्या सिर्जना हुन्छ जुन पछि कुनै पनि कागजातले समाधान गर्नेछैन।

जब डेटा सुरक्षा प्रभाव मूल्याङ्कन अनिवार्य हुन्छ

डेटा सुरक्षा प्रभाव मूल्याङ्कन अनिवार्य छ जहाँ एक प्रकारको प्रशोधनले व्यक्तिहरूको अधिकार र स्वतन्त्रतामा उच्च जोखिम निम्त्याउने सम्भावना हुन्छ, र नियमनले विशेष गरी तीनवटा केसहरूको नाम दिन्छ: स्वचालित प्रशोधनमा आधारित व्यक्तिगत पक्षहरूको व्यवस्थित र व्यापक मूल्याङ्कन, जसमा प्रोफाइलिङ समावेश छ, जसमा कानुनी वा समान रूपमा महत्त्वपूर्ण प्रभावहरू भएका निर्णयहरू आधारित हुन्छन्; डेटाको विशेष वर्ग वा आपराधिक दोषी ठहर डेटाको ठूलो मात्रामा प्रशोधन; र ठूलो मात्रामा सार्वजनिक रूपमा पहुँचयोग्य क्षेत्रको व्यवस्थित अनुगमन। धेरैजसो गम्भीर ठूला डेटा परियोजनाहरू पहिलो वा दोस्रोमा पर्छन्।

Autoriteit Persoonsgegevens ले नेदरल्याण्ड्समा सधैं मूल्याङ्कन आवश्यक पर्ने प्रशोधन कार्यहरूको सूची पनि प्रकाशित गरेको छ, जसले ठूलो मात्रामा प्रोफाइलिङ, कर्मचारीहरूको व्यवस्थित मूल्याङ्कन, स्वास्थ्य डेटा प्लेटफर्महरू र क्यामेरा प्रणालीहरूको प्रयोग जस्ता क्षेत्रहरूलाई समेट्छ। त्यो सूची परियोजनाको सुरुमा परामर्श गरिएको पहिलो कागजात हुनुपर्छ, किनभने यसले मूल्याङ्कन आवश्यक छ कि छैन भन्ने तर्कलाई हटाउँछ।

समयको बारेमा दुई बुँदाहरू निर्णायक छन्। प्रशोधन सुरु हुनुभन्दा पहिले मूल्याङ्कन गरिनुपर्छ, जसको अर्थ एआई परियोजनामा ​​तालिम डेटा भेला हुनुभन्दा पहिले हो, तैनाती अघि होइन। र जहाँ मूल्याङ्कनले उच्च अवशिष्ट जोखिम देखाउँछ जुन तपाईंले कम गर्न सक्नुहुन्न, तपाईंले अगाडि बढ्नु अघि पर्यवेक्षक अधिकारीसँग परामर्श गर्नुपर्छ। त्यो परामर्श छोड्नु आफैंमा एक उल्लंघन हो, प्रशोधन कानुनी रूपमा ठीक हुन्छ कि हुँदैन भन्ने कुरामा निर्भर गर्दै।

एल्गोरिथमिक प्रणालीको लागि उपयोगी मूल्याङ्कन मानक टेम्प्लेटभन्दा बाहिर जान्छ। यसले कुन डेटा स्रोतहरूले मोडेललाई खुवाउँछन् र कुन आधारमा, मोडेललाई आफैंले के निर्णय गर्न अनुमति दिइएको छ र मानवले के निर्णय गर्छ, प्रभावित व्यक्तिलाई आउटपुट कसरी व्याख्या गरिन्छ, संरक्षित समूहहरू विरुद्ध पूर्वाग्रहको लागि प्रशिक्षण डेटा कसरी परीक्षण गरिएको थियो, र यदि मोडेल गलत छ भने के हुन्छ भनेर रेकर्ड गर्दछ। यी प्रश्नहरू हुन् जुन नियामकले पहिले सोध्छ।

Autoriteit Personsgegevens ले यसलाई कसरी लागू गर्छ

डच पर्यवेक्षक प्राधिकरण Autoriteit Persoonsgegevens हो, जसले GDPR लाई डच कार्यान्वयन ऐन, Uitvoeringswet AVG सँगसँगै लागू गर्दछ। यसको शक्ति चेतावनी र हप्काइदेखि जरिवाना भुक्तानी, प्रशोधनमा अस्थायी वा निश्चित प्रतिबन्ध र प्रशासनिक जरिवानाको विषयको आदेशसम्म चल्छ। नियमनले सीमा निर्धारण गर्दछ: तल्लो तहको लागि दस मिलियन यूरो वा कुल विश्वव्यापी वार्षिक कारोबारको दुई प्रतिशत, र आधारभूत सिद्धान्तहरू, वैध आधारहरू, डेटा विषयहरूको अधिकार र अन्तर्राष्ट्रिय स्थानान्तरण सम्बन्धी नियमहरूको उल्लङ्घनको लागि बीस मिलियन यूरो वा चार प्रतिशत, जुन रकम बढी होस्।

डच अभ्यासमा दुई प्रवर्तन विषयवस्तुहरू देखिन्छन् र दुवै प्रत्यक्ष रूपमा ठूलो डेटामा निर्भर छन्। पहिलो पारदर्शिता हो: हालसालै गरिएका कार्यहरूको ठूलो हिस्सा गोपनीयता कथनहरूसँग सम्बन्धित छ जसले कुन डेटा प्रयोग गरिन्छ, कुन उद्देश्यका लागि र कति समयको लागि बुझ्न सकिने भाषामा व्याख्या गर्दैन। अस्पष्ट उद्देश्य विवरणहरूलाई आफ्नै अधिकारमा उल्लङ्घनको रूपमा व्यवहार गरिन्छ, मस्यौदा त्रुटिको रूपमा होइन। दोस्रो एल्गोरिथमिक निरीक्षण हो। प्राधिकरणसँग एल्गोरिथमिकको सुपरिवेक्षणको लागि समर्पित एकाइ छ र एल्गोरिथमिक जोखिमहरूमा आवधिक रिपोर्टहरू प्रकाशित गर्दछ, जुन अनुसन्धानको विषय बन्नु अघि यसले के अपेक्षा गर्छ भन्ने कथनको रूपमा पढ्न लायक छ।

कार्यान्वयनसँगै उल्लङ्घन सूचना कर्तव्य पनि लागू हुन्छ। व्यक्तिगत डेटा उल्लङ्घनको बारेमा अनावश्यक ढिलाइ नगरी र सम्भव भएसम्म, यसको बारेमा सचेत भएको बहात्तर घण्टा भित्र प्राधिकरणलाई रिपोर्ट गर्नुपर्छ, जबसम्म उल्लङ्घनले व्यक्तिहरूलाई जोखिम निम्त्याउने सम्भावना हुँदैन; जहाँ व्यक्तिहरूलाई जोखिम उच्च हुन्छ, तिनीहरूलाई पनि सूचित गर्नुपर्छ। एआई वातावरणमा मूल्याङ्कन पहिलेको भन्दा गाह्रो हुन्छ, किनभने सम्झौता गरिएको प्रशिक्षण सेट वा सुविधा स्टोरले यसमा समावेश भएका सबैलाई असर गर्छ र परिणामहरू मोडेलले गरेको प्रत्येक निर्णयमा विस्तार हुन्छन्। ध्यान दिनुहोस् कि यो साइबरबेभिलिगिंगस्वेट अन्तर्गत घटना रिपोर्टिङ कर्तव्यहरूबाट अलग दायित्व हो, NIS2 को डच कार्यान्वयन, जुन १५ अगस्ट २०२६ देखि लागू भएको छ र यसको दायरा भित्रका संस्थाहरूमा चौबीस र बहात्तर घण्टाको आफ्नै सूचना समयसीमा लगाउँछ। NIS2 र डच साइबरसुरक्षा ऐनको हाम्रो सिंहावलोकनले दुई शासनहरू कसरी एकअर्कासँगै बस्छन् भनेर वर्णन गर्दछ।

एआई ऐनले GDPR लाई प्रतिस्थापन गर्दैन

EU कृत्रिम बुद्धिमत्ता ऐनले AI प्रणालीहरूलाई उत्पादनको रूपमा नियमन गर्दछ: यसले तिनीहरूलाई जोखिमद्वारा वर्गीकृत गर्दछ र प्रदायकहरू र तैनाथकर्ताहरूमा दायित्वहरू लगाउँछ। यसले व्यक्तिगत डेटा प्रशोधन गर्न कानुनी आधार प्रदान गर्दैन, र यसको अनुपालनले GDPR को अनुपालनको बारेमा केही पनि भन्दैन। जहाँ AI प्रणालीले व्यक्तिगत डेटा प्रशोधन गर्छ, त्यहाँ दुवै व्यवस्थाहरू पूर्ण र समानान्तर रूपमा लागू हुन्छन्।

योजनाको लागि समयतालिका महत्त्वपूर्ण छ। अस्वीकार्य अभ्यासहरूमा प्रतिबन्धहरू, सामान्य उद्देश्यका एआई मोडेलहरूको लागि दायित्वहरू र मानिसहरूसँग अन्तरक्रिया गर्ने वा सिंथेटिक सामग्री उत्पन्न गर्ने प्रणालीहरूको लागि पारदर्शिता कर्तव्यहरू पहिले नै लागू भइसकेका छन्। डिजिटल ओम्निबस प्याकेजद्वारा उच्च-जोखिम व्यवस्था स्थगित गरिएको थियो: अनुसूची III मा सूचीबद्ध उच्च-जोखिम प्रणालीहरूको लागि दायित्वहरू अब २ डिसेम्बर २०२७ देखि लागू हुन्छन्, र अनुसूची I अन्तर्गत नियमन गरिएका उत्पादनहरूको सुरक्षा घटकहरू भएका प्रणालीहरूको लागि २ अगस्ट २०२८ देखि। एआई दायित्व निर्देशनको लागि छुट्टै प्रस्ताव फिर्ता लिइएको छ, त्यसैले एआई प्रणालीबाट हुने क्षतिको दायित्व अनुबंध र टोर्टमा सामान्य डच नियमहरू र युरोपेली उत्पादन दायित्व व्यवस्थाद्वारा शासित रहन्छ।

डेटा-संचालित संस्थाको लागि व्यावहारिक परिणाम यो हो कि GDPR विश्लेषण आज पनि बाध्यकारी बाधा बनेको छ, जबकि AI ऐनले दशकको अन्त्य हुनु अघि एउटै प्रणालीलाई कुन कागजात, परीक्षण र मानव निरीक्षण आवश्यक पर्नेछ भनेर निर्धारण गर्दछ। दुई अभ्यासहरू छुट्टाछुट्टै निर्माण गर्नाले कामको दोहोरिन्छ; तिनीहरूलाई सँगै निर्माण गर्नाले हुँदैन। EU AI ऐन र उच्च-जोखिम AI प्रणालीहरूको लागि हाम्रो गाइडहरूले वर्गीकरण र दायित्वहरूलाई विस्तृत रूपमा सेट गर्दछ।

समूह दावी र क्षति: जोखिमको नागरिक पक्ष

नियामक जरिवाना मात्र जोखिमको कारण होइन, र नेदरल्याण्ड्समा तिनीहरू सबैभन्दा ठूलो नहुन सक्छन्। सामूहिक जरिवाना सम्बन्धी कार्य (WAMCA) ले कडा शासन र कोष आवश्यकताहरू पूरा गर्ने फाउन्डेसन वा संघलाई परिभाषित समूहको तर्फबाट क्षतिको लागि सामूहिक कारबाही ल्याउन अनुमति दिन्छ, नेदरल्याण्ड्समा बसोबास गर्ने मानिसहरूका लागि अप्ट-आउट व्यवस्थाको साथ। डेटा-संचालित प्रशोधन एक स्पष्ट लक्ष्य हो: एकल डिजाइन निर्णयले प्रत्येक प्रयोगकर्तालाई उस्तै तरिकाले असर गर्छ, जुन सामूहिक कार्यलाई आवश्यक पर्ने एकरूपता हो।

GDPR ले यसलाई आफ्नै तर्फबाट बलियो बनाउँछ। यसले उल्लङ्घनको परिणामस्वरूप भौतिक वा गैर-भौतिक क्षति भोगेका जो कोहीलाई पनि नियन्त्रक वा प्रोसेसरबाट क्षतिपूर्ति पाउने अधिकार दिन्छ, र यसले डेटा सुरक्षाको क्षेत्रमा सक्रिय गैर-नाफामुखी निकायलाई डेटा विषयहरूको तर्फबाट कारबाही ल्याउन अनुमति दिन्छ, केही अवस्थामा तिनीहरूबाट आदेश बिना। न्याय अदालतले पुष्टि गरेको छ कि उपभोक्ता-संरक्षण संघले त्यस आधारमा कार्य गर्न सक्छ।

यसको एउटा सीमा छ, र यो प्रतिवादीहरूका लागि उपयोगी छ। न्याय अदालतले GDPR को उल्लङ्घनले आफैंमा क्षतिपूर्तिको अधिकारलाई जन्म दिँदैन भन्ने ठहर गरेको छ: दावीकर्ताले वास्तविक क्षति र कारणात्मक लिङ्क देखाउनुपर्छ, यद्यपि गैर-भौतिक क्षति स्थापित भएपछि गम्भीरताको कुनै सीमा लागू हुँदैन। डच अभ्यासमा व्यक्तिगत पुरस्कारहरू त्यसकारण सामान्य भएका छन्, तर लाखौंको वर्गको अंकगणितले तस्वीरलाई पूर्ण रूपमा परिवर्तन गर्छ। सामूहिक क्षतिको अवस्थामा सामूहिक दावीहरूमा हाम्रो लेखले यी कार्यवाहीहरू कसरी चल्छन् भनेर वर्णन गर्दछ।

जब डाटा जताततैबाट आउँछ तब नियन्त्रक को हुन्छ?

ठूला डेटा परियोजनाहरू विरलै एउटै संस्था भित्र रहन्छन्। डेटा ब्रोकरद्वारा समृद्ध गरिन्छ, क्लाउड प्रदायकद्वारा होस्ट गरिन्छ, विश्लेषण एजेन्सीद्वारा सफा गरिन्छ र विक्रेताद्वारा आपूर्ति गरिएको मोडेलमा खुवाइन्छ, र ती प्रत्येक सम्बन्धलाई सही रूपमा चित्रण गर्नुपर्छ, किनभने भूमिकाहरूको बाँडफाँडले कसले कुन दायित्व वहन गर्छ र नियामकलाई कसले जवाफ दिन्छ भनेर निर्धारण गर्छ।

नियन्त्रकले प्रशोधनको उद्देश्य र साधन निर्धारण गर्छ; प्रशोधकले नियन्त्रकको दस्तावेज निर्देशनहरूमा मात्र कार्य गर्दछ। जहाँ दुई वा बढी पक्षहरूले संयुक्त रूपमा उद्देश्य र साधन निर्धारण गर्छन्, तिनीहरू संयुक्त नियन्त्रकहरू हुन् र व्यवस्थामा आ-आफ्नो सम्बन्धित जिम्मेवारीहरू सेट गर्नुपर्छ, विशेष गरी जानकारी प्रदान गर्ने र व्यक्तिहरूबाट अनुरोधहरू ह्यान्डल गर्ने, जसले कुनै पनि अवस्थामा तिनीहरूमध्ये कुनै एक विरुद्ध आफ्नो अधिकार प्रयोग गर्न सक्छन्। सम्झौतामा प्रयोग गरिएको लेबल निर्णायक हुँदैन: के कुराले वास्तवमा डेटा किन र कसरी प्रशोधन गरिन्छ भनेर निर्णय गर्छ भन्ने कुराले महत्त्वपूर्ण हुन्छ। आफ्नो उत्पादन सुधार गर्न तपाईंको डेटा प्रयोग गर्ने अधिकार सुरक्षित गर्ने आपूर्तिकर्ताले, त्यस हदसम्म, आफ्नै उद्देश्यका लागि नियन्त्रक बन्छ, सम्झौताले जे भने पनि।

एआई सन्दर्भमा आपूर्तिकर्ता सम्झौताका दुई खण्डहरू विशेष ध्यान दिन योग्य छन्। पहिलो भनेको प्रदायकलाई प्रशिक्षण वा सेवा सुधारको लागि ग्राहक सामग्री प्रयोग गर्न अनुमति दिने हो; यदि यो अवस्थित छ भने, तपाईंले अर्को नियन्त्रकलाई व्यक्तिगत डेटा खुलासा गर्दै हुनुहुन्छ र तपाईंलाई त्यो खुलासाको लागि आधार र सूचना चाहिन्छ। दोस्रो उप-प्रोसेसर खण्ड हो, किनभने मोडेल प्रदायकहरू प्रायः थप आपूर्तिकर्ताहरू र युरोपेली आर्थिक क्षेत्र बाहिरको पूर्वाधारमा भर पर्छन्, जसले स्थानान्तरण नियमहरूलाई खेलमा ल्याउँछ। आवश्यक विषयवस्तुलाई समेट्ने तर डेटामा वास्तवमा के हुन्छ भनेर वर्णन नगर्ने प्रशोधन सम्झौता अनुसन्धानमा थोरै उपयोगी हुन्छ।

अन्तमा, याद गर्नुहोस् कि जवाफदेहिता सिद्धान्तले प्रमाणको भार नियन्त्रकमा राख्छ। अनुपालन गर्नु पर्याप्त छैन; तपाईंले यसलाई प्रदर्शन गर्न सक्षम हुनुपर्छ, रेकर्ड, मूल्याङ्कन र सम्झौताहरू सहित जुन प्रणालीहरू वास्तवमा निर्माण गरिएका छन्।

अर्को परियोजना सुरु हुनुभन्दा पहिले के राख्ने

ठूलो डेटाको लागि अनुपालन डिजाइन चरणमा निर्माण गरिन्छ, किनभने नियमनले डिजाइन र पूर्वनिर्धारित रूपमा डेटा सुरक्षा आवश्यक पर्दछ: उपयुक्त प्राविधिक र संगठनात्मक उपायहरू प्रशोधनमा नै एकीकृत गर्नुपर्छ, र प्रत्येक विशिष्ट उद्देश्यको लागि आवश्यक व्यक्तिगत डेटा मात्र पूर्वनिर्धारित रूपमा प्रशोधन गर्न सकिन्छ। रेट्रोफिटिंग महँगो र सामान्यतया अपूर्ण हुन्छ।

पाँच कुराले व्यवहारमा फरक पार्छ। प्रत्येक मोडेलको स्वामित्वमा रहेका विभागहरूको सट्टा प्रत्येक मोडेलको पछाडिको डेटा प्रवाहलाई वास्तवमा वर्णन गर्ने प्रशोधन गतिविधिहरूको रेकर्ड राख्नुहोस्। प्रशिक्षणमा संलग्न थप प्रशोधन सहित प्रत्येक प्रशोधन सञ्चालनको लागि वैध आधार निर्णय गर्नुहोस् र लेख्नुहोस्, र वैध हित मूल्याङ्कन यससँग राख्नुहोस्। डेटा भेला हुनु अघि प्रभाव मूल्याङ्कन गर्नुहोस्, र अवशिष्ट जोखिम उच्च रहँदा पर्यवेक्षक अधिकारीसँग परामर्श गर्नुहोस्। मोडेल वा प्लेटफर्मका प्रदायकहरू सहित डेटा छुने प्रत्येक आपूर्तिकर्तासँग डेटा प्रशोधन सम्झौता राख्नुहोस्, र तिनीहरूको आफ्नै उद्देश्यका लागि तपाईंको डेटासँग के गर्न अनुमति छ भनेर जाँच गर्नुहोस्; आवश्यकताहरू डेटा प्रशोधन सम्झौताको लागि हाम्रो गाइडमा सेट गरिएका छन् । र डेटा कहाँ जान्छ भनेर जाँच गर्नुहोस्: युरोपेली आर्थिक क्षेत्र बाहिर स्थानान्तरणहरूलाई नियमनको अध्याय V अन्तर्गत स्थानान्तरण संयन्त्र र स्थानान्तरण प्रभाव मूल्याङ्कन आवश्यक पर्दछ, र व्यक्तिगत तेस्रो देशहरूको स्थिति परिवर्तन हुन सक्छ।

सबैभन्दा माथि, मोडेलहरू निर्माण गर्ने व्यक्तिहरू र जोखिम मूल्याङ्कन गर्ने व्यक्तिहरूलाई एउटै कागजातमा काम गर्न लगाउनुहोस्। नियमनको जगलाई सामान्य डेटा संरक्षण नियमनको हाम्रो सिंहावलोकनमा संक्षेप गरिएको छ , र व्यक्तिगत डेटालाई एआई प्रणालीमा राखेर उठाइएका विशिष्ट प्रश्नहरू, स्वचालित निर्णय लिनेदेखि प्रभावित व्यक्तिहरूको अधिकारसम्म, नेदरल्याण्ड्समा GDPR र AI मा हाम्रो साथी लेखमा सम्बोधन गरिएको छ ।

केही सामान्य प्रश्नहरू

एआई मोडेललाई तालिम दिन हामीले कुन वैध आधार प्रयोग गर्नुपर्छ?

धेरैजसो व्यावसायिक सेटिङहरूमा जवाफ वैध स्वार्थ हो, जसलाई स्वार्थ, आवश्यकता र सन्तुलन अभ्यासलाई समेट्ने लिखित मूल्याङ्कनद्वारा समर्थित गरिन्छ। डेटा संवेदनशील भएको वा प्रयोगले सम्बन्धित व्यक्तिहरूलाई अचम्मित पार्ने ठाउँमा सहमति राम्रो हुन्छ, तर यो साँच्चै स्वतन्त्र र रद्द गर्न सकिने हुनुपर्छ, जुन प्रशिक्षण सेटको लागि व्यवस्थित गर्न गाह्रो छ। सम्झौताको आवश्यकताले लगभग कहिल्यै मोडेल विकासलाई समेट्दैन, किनभने प्रशिक्षण ग्राहकले मागेको कुरा होइन। तपाईंले जुनसुकै आधार रोज्नुहोस्, प्रशोधन सुरु हुनुभन्दा पहिले यसलाई रेकर्ड गर्नुहोस्: पूर्वव्यापी रूपमा आधार छनौट गर्नुलाई कुनै आधारको रूपमा लिइँदैन।

के हामीले पहिले डेटा गुमनाम राख्यौं भने पनि GDPR लागू हुन्छ?

यदि गुमनामीकरणले साँच्चै काम गर्छ भने मात्र। प्रयोग गर्न सकिने सबै माध्यमहरू र यससँग जोड्न सकिने अन्य डेटासेटहरूलाई ध्यानमा राख्दै, पुन: पहिचान अब कसैको लागि उचित रूपमा सम्भव नभएको बेला डेटा गुमनाम हुन्छ। नामहरू हटाउने, पहिचानकर्ताहरूलाई ह्यासले प्रतिस्थापन गर्ने वा साना समूहहरूमा जम्मा गर्ने काम सामान्यतया त्यो मानकभन्दा कम हुन्छ, र परिणाम छद्मनाम डेटा हुन्छ, जुन पूर्ण रूपमा नियमनको अधीनमा रहन्छ। जहाँ गुमनामीकरण परियोजनालाई दायरा बाहिरको रूपमा व्यवहार गर्ने आधार हो, त्यो निष्कर्ष परीक्षण र दस्तावेजीकरण गर्न आवश्यक छ, र डेटासेट परिवर्तन हुँदा पुन: समीक्षा गर्न आवश्यक छ।

के हामी ग्राहक डेटा पुन: प्रयोग गर्न अनुसन्धान अपवादमा भर पर्न सक्छौं?

विरलै। वैज्ञानिक वा सांख्यिकीय उद्देश्यका लागि थप प्रशोधनलाई मूल उद्देश्यसँग उपयुक्त मानिन्छ, तर अपवाद मान्यता प्राप्त पद्धतिगत मापदण्डहरू अनुसार गरिएको अनुसन्धानको उद्देश्य हो र छद्मनामकरण र पहुँच प्रतिबन्धहरू जस्ता सुरक्षा उपायहरूको अधीनमा छ। व्यावसायिक पक्षले आफ्नै फाइदाको लागि गरेको उत्पादन विकास वा मोडेल सुधार अनुसन्धान बन्दैन किनभने यसमा डेटा विज्ञान समावेश छ। यदि अनुकूलता परीक्षण आफ्नै योग्यतामा पूरा भएन भने, तपाईंलाई नयाँ कानुनी आधार र धेरैजसो अवस्थामा, सम्बन्धित व्यक्तिहरूलाई नयाँ जानकारी चाहिन्छ।

मोडेललाई तालिम दिइसकेपछि कसैले सहमति फिर्ता लियो भने के हुन्छ?

फिर्ता भविष्यको लागि प्रभावकारी हुन्छ र पूर्वव्यापी रूपमा पहिलेको प्रशोधनलाई गैरकानूनी बनाउँदैन, तर यसको अर्थ डेटा अब त्यस आधारमा प्रयोग गर्न सकिँदैन। व्यावहारिक रूपमा, यसको लागि व्यक्तिलाई प्रशिक्षण सेट र सुविधा स्टोरहरू र लगहरूबाट हटाउने क्षमता आवश्यक पर्दछ, र पुन: तालिम दिन वा अन्यथा मोडेलले अब त्यो व्यक्तिको डेटा प्रतिबिम्बित गर्दैन जहाँ यसलाई त्यसो गर्न देखाउन सकिन्छ भनेर सुनिश्चित गर्न आवश्यक पर्दछ। यो एउटा कारण हो कि सहमति मोडेल प्रशिक्षणको लागि कठिन आधार हो, र यो पहिलो अनुरोध आइपुगेपछि भन्दा डिजाइन चरणमा जवाफ दिन लायक प्रश्न हो।

कसरी Law and More मद्दत गर्न सक्छ

Law and More विश्लेषण र एआईको डेटा सुरक्षा पक्षमा डच र अन्तर्राष्ट्रिय संस्थाहरूलाई सल्लाह दिन्छ: वैध आधार छनौट र दस्तावेजीकरण गर्ने, वैध हित मूल्याङ्कन र प्रभाव मूल्याङ्कनहरू गर्ने, गोपनीयता कथनहरूको मस्यौदा तयार गर्ने र छानबिनबाट बच्ने सम्झौताहरू प्रशोधन गर्ने, अटोराइट पर्सोन्सगेगेभेन्सलाई जवाफ दिने, र व्यक्तिहरू वा प्रतिनिधि फाउन्डेसनहरूद्वारा ल्याइएका दावीहरूको बचाउ गर्ने। यदि तपाईं डेटा-संचालित परियोजनाको योजना बनाउँदै हुनुहुन्छ वा नियामक पहिले नै सम्पर्कमा छ भने, हामी तपाईंसँग फाइल हेर्न पाउँदा खुसी छौं।