Veštačka inteligencija – (Artificial Intelligence) – (AI)  je nova porodica tehnologija, koja se brzo razvija i ima potencijal da revolucionizuje i preoblikuje  niz industrija i aspekata našeg svakodnevnog života. Medjutim, zajedno sa potencijalom da donese mnoge prednosti, potrebno je razmotriti i etičke i društvene implikacije upotrebe veštačke inteligencije. Takodje je neophodno, uporedo sa razvojem tehgnologija, urediti i osnovne principe njihovog daljeg razvoja, način njihovog korišćenja, odnosno zaštitnih mera u oblasti bezbednosnih rizika, zaštite privatnosti, sprečavanja diskriminacije i t.d.

U prethodnom Blogu smo već konstatovali da u Republici Srbiji ne postoji globalni pravni okvir koji uredjuje veštačku inteligenciju, i koji uzima u obzir svu složenost novih inteligentnih tehnologija (AI, Internet of Things…).  Kako se radi o brzom razvoju ove novih tehnoloških grana, takav okvir još ne postoji ni na novou EU, već su pojedini regulatorni akti još u fazi predloga i šireg razmatranja. Ipak, algoritmi i njihova upotreba su i u našoj zemlji uokvireni, direktno ili indirektno, pravilima i obavezama utvrđenim u različitim zakonima, strategijama, smernicama i kodeksima.

Posmatrano sa aspekta softverskih kompanija koje razvijaju veštačku inteligenciju, ova nova tehnološka grana otvara nesagledive mogućnosti za inovacije. Međutim, kako sistemi veštačke inteligencije postaju kompleksniji, otvaraju se i mnoga nerešena pravna pitanja, pre svega u oblasti zaštite podataka o ličnosti, intelektualne svojine i odgovornosti, sa kojima ove kompanije moraju da budu upoznate i prepremljene da ih blagovremeno sagledavaju i rešavaju.

Veštačka inteligencija i zaštita podataka o ličnosti. Za razvoj i  funkcionisanje sistema AI neophodni su podaci. Kako od skupa podataka na kojima su sistemi obučeni zavisi funkcionisanje mnogih sistema veštačke inteligencije, kao i akcije i odluke do kojih oni mogu dovesti, od suštinskog značaja je pitanje odabira, brojnosti i širine podataka koji se koriste za obuku AI sistema. Tako su, izmedju ostalih, postavljeni zahtevi da sistemi veštačke inteligencije budu obučeni za skupove podataka koji su: dovoljno široki i pokrivaju sve relevantne scenarije potrebne da bi se izbegle opasne situacije; dovoljno reprezentativni, da bi se obezbedilo da se sve relevantne dimenzije pola, etničke pripadnosti i drugih mogućih osnova zabranjene diskriminacije odraze u tim skupovima podataka…

Paralelno sa svim ovim zahtevima, prisutan je i zahtev obezbedivanja privatnosti i adekvatne zaštite ličnih podataka tokom korišćenja proizvoda i usluga sa inkorporisanom AI. Sa velikim oslanjanjem veštačke inteligencije na podatke, pravni režim zaštite podataka postaje još značajniji. Štaviše, Bela knjiga Evropske komisije o veštačkoj inteligenciji[1] predlaže strožije propise za visokorizične sisteme veštačke inteligencije, fokusirajući se na transparentnost, odgovornost i obezbeđivanje prava građana. Ovo iz razloga, što je u oblasti veštačke inteligencije i mašinskog učenja posebno osetljivo pitanje sprečavanje zloupotreba ove tehnologije. AI može da obavlja mnoge funkcije koje su ranije mogli da obavljaju samo ljudi. Kao rezultat toga, građani i pravna lica će sve više biti podložni radnjama i odlukama koje se donose od ili uz pomoć AI sistema, što ponekad može biti teško razumeti i efikasno osporiti tamo gde je to potrebno. Osim toga, AI povećava mogućnosti praćenja i analize svakodnevnih navika ljudi. Na primer, postoji potencijalni rizik da AI sistemi mogu biti korišćeni, uz kršenje zaštite podataka i drugih pravila, od strane državnih organa ili drugih subjekata za masovni nadzor ili od strane poslodavaca za posmatranje ponašanja njihovih zaposlenih. Na osnovu analize velike količine podataka i identifikacije veza među njima, AI se takođe može koristiti za pronalaženje i deanonimizaciju podataka o osobama, stvarajući nove rizike za zaštitu ličnih podataka, čak i u pogledu skupova podataka koji sami po sebi ne uključuju lične podatke. Takođe, onlajn posrednici koriste sisteme AI da daju prioritet informacijama za svoje korisnike i da izvrše moderiranje sadržaja. Obrađeni podaci, način na koji su aplikacije dizajnirane i obim ljudske intervencije mogu uticati na pravo na slobodno izražavanje, zaštitu ličnih podataka, privatnost i političke slobode.

Pravni režim zaštite podataka uredjen je u Republici Srbiji u skladu sa Opštom uredbom Evropske unije o zaštiti podataka (GDPR)[2], i čini ga:

Zakon o zaštiti podataka o ličnosti [3]koji uredjuje pravo na zaštitu fizičkih lica u vezi sa obradom podataka o ličnosti i slobodni protok takvih podataka, i koji zahteva:

• transparentno prikupljanje i obradu podataka,
• snažne mere mere bezbednosti protiv potencijalnih povreda podataka o ličnosti, i
• poštovanje prava lica nakoja se podaci odnose, uključujući prava na informisanost, pristup, ispravljanje, brisanje, ograničenje obrade podataka, kao i prava na prigovor.

Primena ovog zakona u oblastima razvoja i korišćenja veštačke inteligencije podrazumeva sledeće:

• Prvo, potrebno je utvrditi da li su podaci uključeni u AI procese (bilo da se radi o obučavanju AI modela ili korišćenju aplikacije koje sadrže AI) predstavljaju lične podatke, kako bi se identifikovali propisi koji se primenjuju i obaveze kompanija, koje su rukovaoci, odnosno obradjivači.
• Kada AI procesi uključuju obradu ličnih podataka, problemi i implikacije će se razlikovati u zavisnosti od faze:
• U fazi razvoja veštačke inteligencije (tj. gde se baze podataka koriste za obuku modela), problemi i primena pravnih rešenja će se razlikovati u zavisnosti od toga
  • da li je kompanija kreirala konkretnu bazu podataka za obuku AI modela ili
  • želi da koristi postojeće baze podataka (kreirane u druge svrhe ) za obuku AI modela.

U svakom slučaju, kompanija će morati da:

• obezbedi da ima odgovarajući pravni osnov za obradu ličnih podataka, koji može da bude zasnovan na pristanku lica na koje se podaci odnose ili na zakonu (čl. 12, 14,15….Zakona),
• vrši obradu podataka u svrhe za koju su podaci prikupljeni, u drugu svrhu koja je zasnovana na zakonu ili je u skladu sa svrhom obrade za koju su podaci prikupljeni (član 6. Zakona), 
• na odgovarajući način informiše subjekte na koje se podaci odnose  o prikupljanju, odnosno obradi i korišćenju njihovih podataka i
• obezbediti da subjekti podataka mogu da ostvare svoja prava (prava na pristup podacima o licnosti, na ispravku i dopunu, na brisanje podataka o ličnosti,  na ograničenje obrade, na prenosivost podataka, na prigovor, na informisanost, na obaveštavanje o povredi podataka o ličnosti) – što u praksi nije uvek jednostavno, u zavisnosti od podataka koji se koriste za obuku modela.

Odluke donete isključivo na osnovu automatizovane obrade korišćenjem veštačke inteligencije. Korišćenje aplikacija koje uključuju veštačku inteligenciju pokrenuće specifična pitanja samo ako aplikacija donosi automatizovane odluke zasnovane na veštačkoj inteligenciji. Naime, na osnovu člana 38. Zakona o zaštiti podataka o ličnosti, lice na koje se podaci odnose ima pravo da se na njega ne primenjuje odluka doneta isključivo na osnovu automatizovane obrade, uključujući i profilisanje, ako se tom odlukom proizvode pravne posledice po to lice ili ta odluka značajno utiče na njegov položaj. Izuzetci su propisani samo u slučajevima ako je odluka 1) neophodna za zaključenje ili izvršenje ugovora između lica na koje se podaci odnose i rukovaoca; 2) zasnovana na zakonu, ako su tim zakonom propisane odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose; 3) zasnovana na izričitom pristanku lica na koje se podaci odnose. Pri tome je u  slučaju iz tač. 1) i 3) rukovalac dužan da primeni odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose, a najmanje pravo da se obezbedi učešće fizičkog lica pod kontrolom rukovaoca u donošenju odluke, pravo lica na koje se podaci odnose da izrazi svoj stav u vezi sa odlukom, kao i pravo lica na koje se podaci odnose da ospori odluku pred ovlašćenim licem rukovaoca. Takodje, izuzete odluke se ne mogu zasnivati na posebnim vrstama podataka o ličnosti iz člana 17. stav 1. ovog zakona.

Kompanije će morati prvo da utvrde da li aplikacija spada u okvir primene člana 38. Zakona. Ukoliko spada, kompanije moraju da obezbede uskladjenost, tj:

• da dobiju izričit pristanak lica na koje se podaci odnose,
• da obrazlože neophodnost takve odluke za zaključenje ili izvršenje ugovora između lica na koje se podaci odnose i rukovaoca ili
• da navedu zakonsko ovlašćenje za donošenje takve odluke, kao i zakonom propisane odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose.

Na osnovu izloženog je već sada vidljivo, da će poseban izazov o ovoj oblasti predstavljati dostizanje ravnoteže između propisa u oblasti zaštite podataka o ličnosti i kreiranja prostora za razvoj veštačke inteligencije.  

Na nivou EU je donet, i sad u septembru stupio na snagu Akt o upravljanju podacima (DGA)[4], koji stvara okvir za povećanu dostupnost i afirmiše ponovnu upotrebu podataka unutar Evropske unije (EU). Poboljšanje pristupa i upravljanje podacima je od suštinskog značaja, zato što bez podataka razvoj veštačke inteligencije i drugih digitalnih aplikacija nije moguć. Sa druge strane, promovisanje odgovornih praksi upravljanja podacima i usklađenost podataka sa FAIR (findability, accessibility, interoperability, and reusability) principima doprineće izgradnji poverenja i obezbeđivanju ponovne upotrebe podataka.Takodje, u postupku donošenja je i Akto o podacima(Data Act)[5], kojim se utvrđuju usklađena pravila, između ostalog, o stavljanju na raspolaganje podataka o proizvodima i povezanim uslugama njihovom korisniku. 

[1] European Commission, White Paper on Artificial Intelligence – A European approach to excellence and trust, COM(2020) 65 final, 2020; 
[2] Regulation (EU) 2016/679 of the European Parliament and of the Council on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation); 
[3] “Službeni glasnik RS”, broj 87/18;
[4] Regulation (EU) 2022/868 of the European Parliament and of the Council of 30 May 2022 on European data governance and amending Regulation (EU) 2018/1724 (Data Governance Act);
[5] Proposal for a Regulation of the European Parliament and of the Council on harmonised rules on fair access to and use of data (Data Act) (COM(2022)0068 – C9-0051/2022 –2022/0047(COD;