GDPR र AI: एल्गोरिदम र स्वचालित निर्णयहरूमा व्यक्तिगत डेटा

एआई प्रणालीले पहिचान गर्न सकिने व्यक्ति, तालिममा, प्रयोगमा वा यसको लगहरूमा डेटा प्रशोधन गर्ने बित्तिकै GDPR पूर्ण रूपमा लागू हुन्छ। त्यसपछि तपाईंलाई प्रत्येक चरणको लागि कानुनी आधार चाहिन्छ, तपाईंले सम्बन्धित व्यक्तिहरूलाई प्रणालीको तर्क व्याख्या गर्नुपर्छ, र महत्त्वपूर्ण प्रभावहरू सहितको मेसिनद्वारा मात्र लिइएको निर्णयलाई धारा २२ GDPR को कडा सर्तहरू अन्तर्गत मात्र अनुमति दिइन्छ।

डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) ले यी नियमहरू लागू गर्दछ। EU AI ऐनले माथि एउटा छुट्टै उत्पादन-सुरक्षा तह थप्छ, तर यसले कुनै पनि GDPR दायित्वलाई प्रतिस्थापन वा आराम गर्दैन। कानूनी रूपमा प्रशिक्षण डेटासेट कसरी जम्मा गर्ने भन्ने प्रश्नको लागि, GDPR र ठूलो डेटामा हाम्रो लेख हेर्नुहोस् ।

एआई प्रणालीमा GDPR कहिले लागू हुन्छ?

व्यक्तिगत डेटा प्रशोधन गर्दा GDPR लागू हुन्छ, जुनसुकै प्रविधि किन नहोस् (धारा २ GDPR)। तीन क्षणमा हुने AI अनुप्रयोगमा: प्रशिक्षण, प्रयोग (अनुमान) र लगिङ।

प्रशिक्षित मोडेल स्वतः गुमनाम हुँदैन। १७ डिसेम्बर २०२४ को राय २८/२०२४ मा, युरोपेली डेटा संरक्षण बोर्ड (EDPB) ले निष्कर्ष निकाल्यो कि एक मोडेलले निकाल्न सकिने व्यक्तिगत डेटा राख्न सक्छ, जुन प्रति मोडेल मूल्याङ्कन गर्नुपर्छ। यदि मोडेललाई गैरकानूनी रूपमा प्रशोधित डेटामा प्रशिक्षित गरिएको थियो भने, यसले यसको प्रयोगको वैधतालाई पनि असर गर्न सक्छ। आधारभूत कुराहरू डेटा सुरक्षा कानूनको हाम्रो परिचयमा छन् ।

एआई चेनमा को जिम्मेवार हुन्छ?

जिम्मेवारी निर्णय लिने प्रक्रियामा निर्भर गर्दछ, प्रविधिमा होइन। उद्देश्य र साधनको निर्णय गर्ने पक्ष नियन्त्रक हो; निर्देशनहरू मात्र पालना गर्ने पक्ष प्रशोधनकर्ता हो (धारा ४ GDPR)।

मोडेल विक्रेता सामान्यतया आफ्नै विकासको लागि नियन्त्रक र ग्राहकको प्रयोगको लागि प्रोसेसर हुन्छ। यदि सम्झौताले विक्रेतालाई आफ्नो मोडेल सुधार गर्न तपाईंको इनपुट प्रयोग गर्न अनुमति दिन्छ भने, यो त्यस उद्देश्यको लागि नियन्त्रक बन्छ। नियन्त्रक र प्रोसेसरको भूमिका र डेटा प्रशोधन सम्झौतामा हाम्रा लेखहरू हेर्नुहोस् । यदि डेटा EEA बाहिरका प्रदायकहरूमा जान्छ भने, अध्याय V GDPR लाई पनि स्थानान्तरण उपकरण चाहिन्छ।

स्वचालित निर्णय कहिले अनुमति दिइन्छ?

धारा २२ GDPR अन्तर्गत, कानूनी वा समान रूपमा महत्त्वपूर्ण प्रभाव पार्ने स्वचालित प्रशोधनमा आधारित निर्णय सिद्धान्ततः निषेधित छ। यो केवल तब मात्र अनुमति दिइन्छ जब यो सम्झौताको लागि आवश्यक हुन्छ, सुरक्षा उपायहरू सहित कानूनद्वारा अधिकृत गरिएको हुन्छ, वा स्पष्ट सहमतिमा आधारित हुन्छ।

धारा २२ लागू हुन्छ कि हुँदैन भन्ने कुरा निर्धारण गर्ने तीन प्रश्नहरू हुन्:

• के निर्णय केवल स्वचालित प्रशोधनमा आधारित छ? टोकन मानव हस्ताक्षरले त्यो परिवर्तन गर्दैन; समीक्षकसँग वास्तविक अधिकार हुनुपर्छ र वास्तवमा परिणामको मूल्याङ्कन गर्नुपर्छ।
• के प्रभावहरू कानुनी छन् वा त्यस्तै महत्त्वपूर्ण छन्? उदाहरणहरू क्रेडिट अस्वीकार, जागिरको आवेदन अस्वीकृत वा ठगीको झण्डा पछि ग्राहकलाई अवरुद्ध गर्नु हुन्।
• के यो कुनै व्यक्तिको बारेमा हो? सामान्य मूल्य निर्धारण नियमहरू बाहिर पर्छन्; व्यक्तिगत स्कोरिङ भित्र पर्छ।

SCHUFA (CJEU 7 डिसेम्बर 2023, C-634/21) मा, न्याय अदालतले निर्णय गर्‍यो कि यदि कुनै तेस्रो पक्षले सम्झौताको निर्णय गर्न यसमा धेरै भर पर्छ भने क्रेडिट स्कोर उत्पादन गर्नु आफैंमा एक स्वचालित निर्णय हो। त्यसैले क्रेडिट, धोखाधडी वा जोखिम स्कोरमा खरिद गर्ने संस्थाहरूले आफ्नो आपूर्तिकर्ताले के गर्छ भनेर जाँच गर्नुपर्छ।

जहाँ अपवाद लागू हुन्छ, व्यक्तिलाई कम्तिमा मानव हस्तक्षेपको अधिकार हुन्छ, आफ्नो विचार व्यक्त गर्ने र निर्णयको विरोध गर्ने (धारा २२(३) GDPR)। त्यसको लागि एक कर्मचारीयुक्त र दस्तावेजीकृत प्रक्रिया आवश्यक पर्दछ, जसमा समीक्षकहरूले अन्तर्निहित डेटा हेर्छन् र उनीहरूले परिणामलाई किन पुष्टि गर्छन् वा छोड्छन् भनेर रेकर्ड गर्छन्।

एल्गोरिथ्मको बारेमा तपाईंले के बुझाउनु पर्छ?

स्वचालित निर्णयहरूको लागि, धारा १३, १४ र १५ GDPR ले तपाईंलाई निर्णय स्वचालित छ भनेर मानिसहरूलाई बताउन, समावेश तर्कको बारेमा अर्थपूर्ण जानकारी दिन र परिणामहरू व्याख्या गर्न आवश्यक छ। यो तपाईंले डेटा सङ्कलन गर्दा र फेरि अनुरोध गर्दा लागू हुन्छ।

डन एण्ड ब्राडस्ट्रिट अस्ट्रिया (CJEU २७ फेब्रुअरी २०२५, C-२०३/२२) मा, अदालतले स्पष्टीकरणले वास्तवमा लागू गरिएको प्रक्रिया र सिद्धान्तहरूको वर्णन गर्नुपर्छ भनेर ठहर गर्‍यो, ताकि व्यक्तिले आफ्नो डेटा जाँच गर्न र निर्णयलाई चुनौती दिन सकोस्। यदि तपाईंलाई लाग्छ कि स्पष्टीकरणले व्यापार गोप्य कुराहरू प्रकट गर्नेछ भने, तपाईंले केवल अस्वीकार गर्न सक्नुहुन्न: तपाईंले पर्यवेक्षकीय अधिकारी वा अदालतलाई जानकारी दिनुपर्छ, जसले के खुलासा गर्नुपर्छ भन्ने निर्णय गर्छ। धारा १५ अन्तर्गत पहुँचको अधिकार सम्बन्धी हाम्रो लेख र नेदरल्याण्ड्समा गोपनीयता नीतिको लागि हाम्रो गाइड पनि हेर्नुहोस् ।

तालिम र प्रयोगको लागि तपाईंलाई कुन कानुनी आधार चाहिन्छ?

धारा ६ GDPR अन्तर्गत प्रत्येक प्रशोधन चरणको आफ्नै कानुनी आधार चाहिन्छ, र प्रशिक्षणको आधार स्वतः प्रयोगको आधार हुँदैन। व्यवहारमा विकल्पहरू सहमति, सम्झौताको आवश्यकता र वैध स्वार्थ हुन्।

डच KNLTB मुद्दा (CJEU ४ अक्टोबर २०२४, C-६२१/२२) मा न्याय अदालतले पुष्टि गरेझैं, पूर्ण रूपमा व्यावसायिक स्वार्थ वैध स्वार्थ हुन सक्छ, तर प्रशोधन साँच्चै आवश्यक छ र स्वार्थको सन्तुलन कायम छ भने मात्र। सुरु गर्नु अघि त्यो मूल्याङ्कन लेख्नुहोस्।

स्वास्थ्य डेटा, पहिचानको लागि बायोमेट्रिक डेटा र जातीय उत्पत्ति प्रकट गर्ने डेटा जस्ता विशेष वर्गका डेटाहरू धारा ९ GDPR मा अपवाद अन्तर्गत मात्र प्रशोधन गर्न सकिन्छ। यो मोडेलले सामान्य डेटाबाट यस्तो विशेषता निकालेमा पनि लागू हुन्छ। बायोमेट्रिक डेटा र GDPR अनुपालनमा हाम्रो लेख हेर्नुहोस् ।

पहिचान गर्न सकिने व्यक्तिको बारेमा आउटपुट, जस्तै जोखिम स्कोर वा उत्पन्न कथन, व्यक्तिगत डेटा हो। यो सही हुनुपर्छ, र व्यक्तिसँग पहुँच र सुधारको अधिकार छ (धारा १५ र १६ GDPR)।

कानूनले पूर्वाग्रह र भेदभावलाई कसरी सम्बोधन गर्छ?

संरक्षित समूहको लागि व्यवस्थित रूपमा खराब परिणामहरू उत्पादन गर्ने एल्गोरिथ्मले डच सामान्य समान उपचार ऐन (Algemene wet gelijke behandeling, AWGB) अन्तर्गत अप्रत्यक्ष भिन्नता राख्छ। त्यो गैरकानूनी हो जबसम्म यो वैध उद्देश्य र उपयुक्त र आवश्यक माध्यमद्वारा वस्तुनिष्ठ रूपमा जायज छैन।

नेदरल्याण्ड्स इन्स्टिच्युट फर ह्युमन राइट्स (कलेज भोर डे रेच्टेन भ्यान डे मेन्स) ले यस सम्बन्धी उजुरीहरू सम्हाल्छ। SyRI मुद्दामा, हेगको जिल्ला अदालतले मानव अधिकार सम्बन्धी युरोपेली महासन्धिको धारा ८ विपरीत ठगी जोखिम प्रणाली पछाडिको कानूनलाई ठहर गर्‍यो, किनभने प्रणाली पारदर्शी वा प्रमाणित गर्न योग्य थिएन (ECLI:NL:RBDHA:2020:865, 5 फेब्रुअरी 2020)।

नेदरल्याण्ड्समा एआई र एल्गोरिदमको सुपरिवेक्षण कसले गर्छ?

AP ले डच GDPR कार्यान्वयन ऐन (UAVG) सँगसँगै GDPR को पर्यवेक्षण गर्छ र एल्गोरिथ्म पर्यवेक्षण समन्वय गर्नको लागि छुट्टै विभाग छ; डच डेटा संरक्षण प्राधिकरणमा हाम्रो लेख हेर्नुहोस् । GDPR जरिवाना €20 मिलियन वा विश्वव्यापी वार्षिक कारोबारको 4% सम्म पुग्न सक्छ (धारा 83 GDPR)।

क्षेत्र पर्यवेक्षकहरूले आफ्नै अधिकार राख्छन्, जस्तै बैंकिङ र बीमामा मोडेलहरूका लागि वित्तीय पर्यवेक्षकहरू। सरकारी निकायहरूले Awb आवश्यकताहरू पनि पूरा गर्नुपर्छ कि निर्णय उचित सावधानीपूर्वक र उचित तर्कका साथ तयार गरिएको छ; "प्रणालीले यो परिणाम उत्पन्न गर्यो" कारण होइन।

एआई ऐन GDPR सँग कसरी सम्बन्धित छ?

एआई ऐनले एआई प्रणालीहरूलाई जोखिम वर्गद्वारा उत्पादनको रूपमा नियमन गर्दछ। यसले व्यक्तिगत डेटा प्रशोधन गर्न कानुनी आधार प्रदान गर्दैन; जहाँ एआई प्रणालीले व्यक्तिगत डेटा प्रशोधन गर्छ, त्यहाँ दुवै व्यवस्थाहरू सँगसँगै लागू हुन्छन्।

अस्वीकार्य अभ्यासहरूमा प्रतिबन्धहरू र सामान्य-उद्देश्यीय AI मोडेलहरूको लागि नियमहरू पहिले नै लागू छन्। AI Omnibus (नियमन (EU) 2026/1744, अन्तर्गत, २७ जुलाई २०२६ देखि लागू), भर्ती, क्रेडिट स्कोरिङ र शिक्षा जस्ता Annex III मा उच्च-जोखिम प्रणालीहरूको लागि दायित्वहरू २ डिसेम्बर २०२७ देखि लागू हुन्छन्, र Annex I अन्तर्गत नियमन गरिएका उत्पादनहरूमा AI को लागि २ अगस्ट २०२८ देखि लागू हुन्छन्। EU AI ऐन र उच्च-जोखिमयुक्त AI प्रणालीहरूको लागि हाम्रा गाइडहरू हेर्नुहोस् ।

धारा ३५ GDPR अन्तर्गत डेटा सुरक्षा प्रभाव मूल्याङ्कन (DPIA) व्यवहारमा मानिसहरूको मूल्याङ्कन गर्ने अधिकांश AI प्रणालीहरूको लागि आवश्यक छ। यसलाई AI ऐन जोखिम व्यवस्थापन र आवश्यक भएमा, मौलिक अधिकार प्रभाव मूल्याङ्कनसँग जोड्नुहोस्, ताकि एउटै फाइलले सबै पर्यवेक्षकहरूलाई जवाफ दिन सकोस्।

एआई प्रयोग गर्ने संस्थाको रूपमा तपाईंले के जाँच गर्नुपर्छ?

जवाफदेहिता भनेको तपाईंले अनुपालन प्रमाणित गर्न सक्षम हुनुपर्छ (धारा ५(२) GDPR)। प्रणाली लाइभ हुनु अघि यी बुँदाहरू जाँच गर्नुहोस्।

• के तपाईंको प्रशोधन रेकर्डले प्रत्येक मोडेलको लागि प्रशिक्षण डेटा, इनपुट, आउटपुट र लगहरू वर्णन गर्दछ?
• के प्रत्येक चरणको लागि लिखित कानुनी आधार र वैध-ब्याज मूल्याङ्कन छ जहाँ तपाईं त्यसमा भर पर्नुहुन्छ?
• के प्रणालीले धारा २२ GDPR भित्र निर्णय लिन्छ, प्रत्यक्ष रूपमा वा आपूर्तिकर्ताको स्कोर मार्फत?
• के तपाईं ग्राहक वा कर्मचारीले बुझ्ने तरिकाले तर्क व्याख्या गर्न सक्नुहुन्छ?
• के तपाईंले अप्रत्यक्ष भेदभावको नतिजा परीक्षण गर्नुभएको छ र नतिजा रेकर्ड गर्नुभएको छ?
• के तपाईंले DPIA गर्नुभएको छ र AI ऐन जोखिम वर्ग जाँच गर्नुभएको छ?

एल्गोरिथ्मबाट प्रभावित व्यक्तिको रूपमा तपाईंले के जाँच गर्नुपर्छ?

तपाईं आफ्नो GDPR अधिकारहरू AI प्रणालीमा तपाईंको डेटा प्रयोग गर्ने कुनै पनि संस्था विरुद्ध प्रयोग गर्न सक्नुहुन्छ। यदि तपाईंको बारेमा कुनै निर्णय स्वचालित देखिन्छ भने यी बुँदाहरू जाँच गर्नुहोस्।

• के निर्णय वास्तविक मानव संलग्नता बिना नै लिइएको थियो?
• के संस्थाले तपाईंलाई स्वचालित निर्णय लिने विधि प्रयोग गरिन्छ भनेर भनेको थियो?
• धारा १५ GDPR अन्तर्गत पहुँचको लागि अनुरोध गर्नुहोस्, जसमा तर्कको बारेमा अर्थपूर्ण जानकारी समावेश छ।
• मानव हस्तक्षेपको लागि अनुरोध गर्नुहोस् र धारा २२(३) GDPR अन्तर्गत निर्णयको विरोध गर्नुहोस्।
• यदि संस्थाले एक महिना भित्र जवाफ दिएन भने, AP मा उजुरी गर्ने विचार गर्नुहोस्।

GDPR र AI मार्फत हामी तपाईंको लागि के गर्न सक्छौं?

हाम्रा गोपनीयता वकिलहरूले एआई विकास गर्ने वा प्रयोग गर्ने कम्पनीहरू र स्वचालित निर्णयहरूबाट प्रभावित व्यक्तिहरूलाई सल्लाह दिन्छन्।

• हामी तपाईंको प्रणाली धारा २२ GDPR र AI ऐनको उच्च-जोखिम व्यवस्था अन्तर्गत पर्छ कि पर्दैन भनेर मूल्याङ्कन गर्छौं।
• हामी DPIA र वैध-ब्याज मूल्याङ्कनको मस्यौदा तयार गर्छौं।
• हामी नियन्त्रक भूमिका, मोडेल प्रशिक्षण खण्ड र स्थानान्तरणको लागि एआई विक्रेता सम्झौताको समीक्षा गर्छौं।
• हामी तपाईंको गोपनीयता कथन र पहुँच अनुरोधहरूको लागि तर्कको व्याख्याको मस्यौदा तयार गर्छौं।
• हामी तपाईंलाई Autoriteit Personsgegevens द्वारा गरिएको अनुसन्धानमा सहयोग गर्छौं।

सारांश

• GDPR पूर्ण रूपमा AI प्रणालीहरूमा लागू हुन्छ जसले व्यक्तिगत डेटा प्रशोधन गर्दछ, प्रशिक्षण, प्रयोग र लगिङमा।
• महत्त्वपूर्ण प्रभावहरू सहितको स्वचालित प्रशोधनमा आधारित निर्णयहरू अनुरोधमा मानव हस्तक्षेपको साथ धारा २२ GDPR अन्तर्गत मात्र अनुमति दिइन्छ।
• तपाईंले तर्कको बारेमा अर्थपूर्ण जानकारी दिनुपर्छ; व्यापार रहस्यले सिधा अस्वीकारलाई औचित्य दिँदैन (CJEU C-203/22)।
• GDPR को माथि AI ऐन लागू हुन्छ; Annex III अन्तर्गत उच्च-जोखिम दायित्वहरू २ डिसेम्बर २०२७ देखि लागू हुन्छन्।

बारम्बार सोधिने प्रश्नहरू