जीडीपीआर आणि बिग डेटा: नेदरलँड्समध्ये एआय प्रशिक्षणासाठी कायदेशीर आधार

जीडीपीआर (GDPR) आणि बिग डेटा हे विसंगत नाहीत, परंतु ते एका अशा निवडीस भाग पाडतात जी अनेक संस्था पुढे ढकलतात: मोठा डेटासेट गोळा करण्यापूर्वी किंवा त्याचा पुनर्वापर करण्यापूर्वी, तुम्हाला तसे करण्याचा कायदेशीर आधार सांगता आला पाहिजे आणि हे दाखवता आले पाहिजे की ती प्रक्रिया त्या उद्देशासाठी आवश्यक आहे. व्यवहारात याचा अर्थ असा होतो की, जनरल डेटा प्रोटेक्शन रेग्युलेशनच्या कलम ६ अंतर्गत एका आधाराचे दस्तऐवजीकरण करणे, अल्गोरिदमला प्रशिक्षण देण्यासाठी नंतरचा वापर हा ज्या उद्देशासाठी डेटा मूळतः गोळा केला होता त्याच्याशी सुसंगत आहे की नाही हे तपासणे, आणि पहिले मॉडेल तयार करण्यापूर्वी जोखमीचे मूल्यांकन करणे. हा लेख नेदरलँड्समधील मोठ्या प्रमाणावरील विश्लेषण आणि एआय प्रशिक्षणाला हे नियम कसे लागू होतात आणि 'ऑटोरिटाइट पर्सून्सगेगेवेन्स' (Autoriteit Persoonsgegevens) कुठे मर्यादा आखते हे स्पष्ट करतो.

मोठ्या डेटा संचामध्ये वैयक्तिक डेटा म्हणून काय गणले जाते?

जीडीपीआर (GDPR) ओळखल्या गेलेल्या किंवा ओळखता येण्याजोग्या नैसर्गिक व्यक्तीशी संबंधित माहितीला लागू होतो. बिग डेटाच्या संदर्भात, संस्थांच्या अपेक्षेपेक्षा ही मर्यादा अधिक वेळा ओलांडली जाते, कारण नियंत्रकाद्वारे किंवा इतर कोणाद्वारेही, एखाद्या व्यक्तीला वेगळे काढण्यासाठी वापरल्या जाण्याची वाजवी शक्यता असलेल्या सर्व साधनांच्या आधारे ओळखण्यायोग्यतेचे मूल्यांकन केले जाते. त्यामुळे, डिव्हाइस आयडेंटिफायर्स, लोकेशन ट्रेसेस, ट्रान्झॅक्शन रेकॉर्ड्स किंवा क्लिकस्ट्रीम्सचा डेटासेट हा जवळजवळ नेहमीच वैयक्तिक डेटा असतो, जरी त्यातील एकाही कॉलममध्ये नाव दिसत नसले तरीही.

दोन संकल्पनांमध्ये नियमितपणे गोंधळ होतो आणि त्यातील फरकावरूनच नियम लागू होतो की नाही हे ठरते. छद्मनामित डेटा, ज्यामध्ये ओळखचिन्हे बदलली जातात परंतु मूळ ओळखचिन्ह (key) अजूनही कुठेतरी अस्तित्वात असते, तो वैयक्तिक डेटाच राहतो आणि पूर्णपणे GDPR च्या अधीन असतो. अनामित डेटा, ज्यामध्ये कोणासाठीही पुन्हा ओळख पटवणे वाजवीपणे शक्य नसते, तो या नियमांच्या बाहेर येतो. खऱ्या अनामीकरणासाठी निकष खूप उच्च आहेत: एकत्रीकरण, हॅशिंग किंवा थेट ओळखचिन्हे काढून टाकल्याने सहसा व्यक्तींना पुन्हा ओळखण्यासाठी पुरेसा ठसा शिल्लक राहतो, विशेषतः जेव्हा डेटासेट समृद्ध असतो आणि दीर्घ कालावधीचा असतो.

हे महत्त्वाचे आहे कारण डेटासेट अनामिक आहे हा दावा अनेकदा संपूर्ण एआय प्रोग्राममधील मुख्य आधारभूत गृहीतक असतो. जर ते अयशस्वी ठरले, तर प्रशिक्षण प्रक्रियेपासून ते डेटा जतन करण्याच्या वेळापत्रकापर्यंतचा प्रत्येक पुढील टप्पा कायदेशीर आधाराशिवाय पार पाडला जातो. अधिक सुरक्षित दृष्टिकोन म्हणजे, जोपर्यंत दस्तऐवजीकृत पुनर्ओळख विश्लेषण वेगळे काही सांगत नाही, तोपर्यंत डेटासेटला वैयक्तिक डेटा मानणे आणि जेव्हा डेटासेट समृद्ध केला जातो किंवा दुसऱ्या स्रोतासोबत एकत्रित केला जातो, तेव्हा त्या विश्लेषणाचा पुन्हा आढावा घेणे. युरोपियन डेटा संरक्षण मंडळाने (European Data Protection Board) एआय मॉडेलला स्वतः अनामिक केव्हा मानले जाऊ शकते यावरही भाष्य केले आहे, आणि त्यांचे उत्तर असे आहे की हे गृहीत धरता येत नाही: वैयक्तिक डेटावर प्रशिक्षित केलेल्या मॉडेलमध्ये तो डेटा काढता येण्याजोग्या स्वरूपात असू शकतो आणि त्याचे प्रत्येक प्रकरणानुसार मूल्यांकन करावे लागते.

बिग डेटा आणि एआय प्रशिक्षणासाठी कायदेशीर आधार निवडणे

प्रत्येक प्रक्रिया कार्यासाठी कलम ६ मधील सहा आधारांपैकी एकाची आवश्यकता असते, आणि तो आधार प्रक्रिया सुरू होण्यापूर्वीच निवडला गेला पाहिजे, नंतर त्याची पुनर्रचना करता कामा नये. मोठ्या प्रमाणावरील विश्लेषणासाठी, केवळ तीनच वास्तववादी पर्याय आहेत.

संमती ही सैद्धांतिकदृष्ट्या सर्वात सुस्पष्ट असते, पण व्यवहारात सर्वात नाजूक असते. ती स्वेच्छेने दिलेली, विशिष्ट, माहितीपूर्ण आणि निःसंदिग्ध असली पाहिजे, आणि ती देणे जितके सोपे होते, तितकीच मागे घेणेही सोपे असले पाहिजे. सर्वसाधारण अटींमध्ये गुंडाळलेली, ज्या सेवेसाठी डेटाची आवश्यकता नाही तिच्या अटीवर मिळवलेली, किंवा इतक्या व्यापक स्वरूपात मांडलेली की व्यक्तीला कशाला संमती दिली जात आहे हेच दिसत नाही, अशी संमती ग्राह्य धरली जाणार नाही. जेव्हा संमती मागे घेतली जाते, तेव्हा आधीच प्रशिक्षित केलेल्या मॉडेलचे काय होते, या प्रश्नाचे तांत्रिक उत्तर तुमच्याकडे असणे आवश्यक आहे.

कराराच्या पूर्ततेसाठीची आवश्यकता ही दिसते त्यापेक्षा अधिक मर्यादित असते. याची कसोटी व्यावसायिक उपयुक्ततेवर नसून, व्यक्तीने प्रत्यक्षात मागितलेल्या सेवेच्या वस्तुनिष्ठ गरजेवर असते. शिफारस प्रणाली (recommendation engine) सुधारण्यासाठी ग्राहकाचे प्रोफाइलिंग करणे, हे त्यांनी खरेदी केलेल्या उत्पादनाच्या वितरणासाठी सामान्यतः आवश्यक नसते, आणि वर्तणूक-आधारित जाहिरातबाजी व वैयक्तिकरण यांचा यात समावेश करण्यासाठी ही चौकट विस्तारण्याचे प्रयत्न युरोपियन कोर्ट ऑफ जस्टिसने वारंवार फेटाळून लावले आहेत.

त्यामुळे वैध हितसंबंध हा मुद्दा उरतो, ज्यावर बहुतेक मोठ्या प्रमाणावरील प्रक्रिया अवलंबून असते. यासाठी तीन टप्पे आवश्यक आहेत, जे याच क्रमाने नोंदवलेले आहेत: वास्तविक आणि कायदेशीर हितसंबंध ओळखणे, ते साध्य करण्यासाठी कमी त्रासदायक मार्ग उपलब्ध नसल्यामुळे प्रक्रिया आवश्यक आहे हे दाखवणे, आणि संबंधित लोकांचे हक्क व वाजवी अपेक्षा यांच्या तुलनेत हितसंबंधांचे संतुलन साधणे. राष्ट्रीय टेनिस संघटनेसंदर्भात डच न्यायालयाच्या एका संदर्भामध्ये, न्याय न्यायालयाने २०२४ मध्ये पुष्टी केली की, केवळ व्यावसायिक हितसंबंध हे वैध हितसंबंध म्हणून पात्र ठरू शकतात, परंतु केवळ तेव्हाच जेव्हा आवश्यकता आणि संतुलनाच्या चाचण्या खऱ्या अर्थाने पूर्ण होतात. त्यामुळे व्यावसायिक मूल्य हे एक स्वीकारार्ह हितसंबंध आहे, परवाना नव्हे.

विशेष श्रेणी आणि अनुमानित वैशिष्ट्ये

वंश किंवा वांशिक मूळ, राजकीय मते, धार्मिक श्रद्धा, कामगार संघटनेचे सदस्यत्व, आरोग्य, लैंगिक जीवन किंवा लैंगिक प्रवृत्ती उघड करणारा डेटा, तसेच ओळखीसाठी वापरण्यात येणारा जनुकीय आणि बायोमेट्रिक डेटा, कलम ९ मधील मर्यादित अपवादांपैकी एक लागू होत असल्याशिवाय अजिबात प्रक्रिया केला जाऊ शकत नाही. स्पष्ट संमती हा सामान्य मार्ग आहे; इतर मार्ग व्यावसायिक डेटासेटमध्ये क्वचितच लागू होतात.

बिग डेटामधील अडचण ही आहे की विशेष श्रेणीतील डेटा हेतुपुरस्सर गोळा करण्याची आवश्यकता नसते. जिथे एखादा डेटासेट संरक्षित वैशिष्ट्याचा अंदाज लावण्यास वाव देतो, उदाहरणार्थ खरेदीच्या पद्धती, स्थानाचा इतिहास किंवा फ्री-टेक्स्ट फील्डमधील मजकुराद्वारे, तिथे त्या प्रक्रियेला अधिक कठोर नियम लागू होतात, जरी कोणीही थेट प्रश्न विचारला नसला तरीही. संरक्षित वैशिष्ट्यासाठी प्रॉक्सी म्हणून काम करणारी मॉडेलची वैशिष्ट्ये तक्रार आल्यानंतर नव्हे, तर विकासादरम्यानच ओळखली गेली पाहिजेत.

उद्देशाची मर्यादा: मॉडेलला प्रशिक्षित करण्यासाठी तुम्ही डेटाचा पुनर्वापर करू शकता का?

तुम्ही करू शकता, पण आपोआप नाही. GDPR नुसार, वैयक्तिक डेटा विशिष्ट, स्पष्ट आणि कायदेशीर हेतूंसाठीच गोळा करणे आवश्यक आहे आणि त्या हेतूंशी विसंगत असलेल्या पद्धतीने त्यावर पुढील प्रक्रिया केली जाऊ नये. ऑर्डरची पूर्तता, ग्राहक सहाय्य किंवा फसवणूक प्रतिबंधासाठी गोळा केलेल्या डेटावर अल्गोरिदमला प्रशिक्षित करणे ही एक पुढील प्रक्रिया आहे, आणि ती केवळ तेव्हाच कायदेशीर ठरते जेव्हा ती नियमावलीने निर्धारित केलेली सुसंगतता चाचणी उत्तीर्ण करते.

ती चाचणी केवळ एक औपचारिकता नाही. ती मूळ उद्देश आणि नवीन उद्देश यांच्यातील संबंध, ज्या संदर्भात डेटा गोळा केला गेला तो संदर्भ आणि त्या आधारावर व्यक्ती वाजवीपणे काय अपेक्षा करू शकते, डेटाचे स्वरूप आणि त्यात विशेष श्रेणींचा समावेश आहे की नाही, नवीन प्रक्रियेचे संभाव्य परिणाम, आणि छद्मनामीकरण (pseudonymisation) किंवा एनक्रिप्शन (encryption) यांसारख्या सुरक्षा उपायांचे अस्तित्व याबद्दल विचारते. वैद्यकीय किंवा आर्थिक नोंदींचा डेटासेट ही चाचणी उत्तीर्ण करेल, परंतु अनामिक केलेल्या ऑपरेशनल लॉगचा डेटासेट ती उत्तीर्ण करेल.

एक सोपा मार्ग आहे, आणि तो सहसा समजल्यापेक्षा अधिक मर्यादित आहे. सार्वजनिक हितासाठी संग्रहण करण्याकरिता, वैज्ञानिक किंवा ऐतिहासिक संशोधनासाठी किंवा सांख्यिकीय हेतूंसाठी केलेली पुढील प्रक्रिया सुसंगत मानली जाते, मात्र त्यासाठी संशोधन प्रक्रियेसाठी आवश्यक सुरक्षा उपाययोजना अस्तित्वात असणे आवश्यक आहे. संशोधनाच्या नावाखाली केलेला व्यावसायिक मॉडेलचा विकास पात्र ठरत नाही; हा अपवाद उत्पादन सुधारणेसाठी नसून, पद्धतशीर आणि नैतिक मानकांच्या अधीन असलेल्या खऱ्या संशोधनासाठी आहे. जिथे सुसंगततेची चाचणी पूर्ण होत नाही, तिथे तुम्हाला एका नवीन कायदेशीर आधाराची आणि बहुतेक प्रकरणांमध्ये, संबंधित लोकांना नवीन माहितीची आवश्यकता असते.

याचा व्यावहारिक परिणाम असा आहे की, उद्देशांची मर्यादा माहिती गोळा करण्याच्या वेळीच हाताळावी लागते. उद्देशांचे वर्णन इतक्या व्यापक शब्दांत करणारी गोपनीयता विधाने, जी अर्थहीन ठरतील, ती नंतरच्या प्रशिक्षण सत्रात उपयोगी पडणार नाहीत; कारण चाचणीमध्ये व्यक्ती वाजवीपणे काय अपेक्षा करू शकते हे पाहिले जाते, मसुद्यामुळे तांत्रिकदृष्ट्या काय शक्य आहे हे नाही. नेदरलँड्समध्ये गोपनीयता धोरण लिहिण्याविषयीची आमची मार्गदर्शिका , उद्देशांचे वर्णन प्रामाणिक आणि वापरण्यायोग्य अशा दोन्ही प्रकारे कसे करावे हे स्पष्ट करते.

जेव्हा मॉडेलला सर्वकाही हवे असते तेव्हा किमानता, धारणा आणि अचूकता

डेटा कमीत कमी ठेवण्यासाठी वैयक्तिक डेटा पुरेसा, सुसंगत आणि आवश्यकतेपुरता मर्यादित असणे आवश्यक आहे. हे तत्त्व अशा विकास पद्धतीशी खऱ्या अर्थाने विसंगत आहे, जिचा तर्क असा आहे की अधिक डेटामुळे एक चांगले मॉडेल तयार होते, आणि या विसंगतीकडे दुर्लक्ष करून ती सोडवता येत नाही. ती एका लेखी युक्तिवादाने सोडवली जाऊ शकते: नमूद केलेल्या उद्देशासाठी कोणती फील्ड्स आवश्यक आहेत, त्यांच्याशिवाय कशाची चाचणी केली गेली आणि उर्वरित भाग का वगळण्यात आला. एक नियंत्रक जो हे दाखवू शकतो की डेटासेट मोठा असला तरीही विश्लेषणाची भूमिका समर्थनीय आहे. स्टोरेज स्वस्त आहे म्हणून सर्व काही ठेवणाऱ्या नियंत्रकाची भूमिका समर्थनीय नसते.

स्टोरेजच्या मर्यादेमुळे कालांतराने तोच प्रश्न निर्माण होतो. ट्रेनिंग डेटा, फीचर स्टोअर्स, मॉडेल चेकपॉइंट्स आणि इन्फरन्स लॉग्स हे सर्व टिकवून ठेवण्याच्या बंधनात येतात आणि प्रत्येकासाठी एका विशिष्ट उद्देशाशी निगडित स्वतंत्र कालावधी आवश्यक असतो. इन्फरन्स लॉग्स अनेकदा विसरले जातात आणि त्यांमध्ये अनेकदा ट्रेनिंग सेटपेक्षाही जास्त वैयक्तिक डेटा असतो.

या संदर्भात अचूकतेच्या तत्त्वाकडे अनेकदा दुर्लक्ष केले जाते आणि त्याला एक कायदेशीर पैलू आहे जो सहजपणे नजरेतून सुटू शकतो. वैयक्तिक डेटा अचूक असणे आवश्यक आहे आणि, जिथे आवश्यक असेल तिथे, तो अद्ययावत ठेवला पाहिजे, आणि व्यक्तींना त्यात सुधारणा करण्याचा अधिकार आहे. जेव्हा एखादे मॉडेल ओळखण्यायोग्य व्यक्तीबद्दल आउटपुट तयार करते, तेव्हा ते आउटपुट स्वतःच वैयक्तिक डेटा असते. एखादी व्यक्ती खराब क्रेडिट जोखीम असलेली, संभाव्य फसवणूक करणारी किंवा अयोग्य उमेदवार आहे असा काढलेला निष्कर्ष हा त्या व्यक्तीबद्दलचा डेटा असतो, तो चुकीचा असू शकतो आणि त्याला आव्हान दिले जाऊ शकते. अशी प्रणाली तयार करणे, ज्यात असे आउटपुट दुरुस्त केले जाऊ शकत नाहीत, एक अनुपालन समस्या निर्माण करते जी नंतर कितीही दस्तऐवजीकरण करूनही सुटणार नाही.

डेटा संरक्षण प्रभाव मूल्यांकन कधी अनिवार्य असते

जेव्हा एखाद्या प्रकारच्या प्रक्रियेमुळे व्यक्तींच्या हक्कांना आणि स्वातंत्र्यांना उच्च धोका निर्माण होण्याची शक्यता असते, तेव्हा डेटा संरक्षण प्रभाव मूल्यांकन अनिवार्य असते, आणि नियमावलीत विशेषतः तीन प्रकरणे नमूद केली आहेत: स्वयंचलित प्रक्रियेवर आधारित वैयक्तिक पैलूंचे पद्धतशीर आणि व्यापक मूल्यांकन, ज्यामध्ये प्रोफाइलिंगचा समावेश आहे, आणि ज्यावर कायदेशीर किंवा तत्सम महत्त्वपूर्ण परिणाम असलेले निर्णय आधारित असतात; विशेष श्रेणीतील डेटाची किंवा गुन्हेगारी शिक्षेच्या डेटाची मोठ्या प्रमाणावर प्रक्रिया; आणि सार्वजनिकरित्या उपलब्ध असलेल्या क्षेत्राचे मोठ्या प्रमाणावर पद्धतशीर निरीक्षण. बहुतेक गंभीर बिग डेटा प्रकल्प पहिल्या किंवा दुसऱ्या प्रकारात मोडतात.

ऑटोरिटाइट पर्सून्सगेगेन्सने (Autoriteit Persoonsgegevens) नेदरलँड्समध्ये ज्या प्रक्रिया कार्यांसाठी मूल्यांकनाची नेहमीच आवश्यकता असते, त्यांची एक यादी देखील प्रकाशित केली आहे. यामध्ये मोठ्या प्रमाणावरील प्रोफाइलिंग, कर्मचाऱ्यांचे पद्धतशीर मूल्यांकन, आरोग्य डेटा प्लॅटफॉर्म आणि कॅमेरा प्रणालींचा वापर यांसारख्या क्षेत्रांचा समावेश आहे. प्रकल्पाच्या सुरुवातीला सर्वात आधी याच दस्तऐवजाचा संदर्भ घेतला पाहिजे, कारण त्यामुळे मूल्यांकनाची गरज आहे की नाही यावरील वादच दूर होतो.

वेळेसंबंधी दोन मुद्दे निर्णायक आहेत. मूल्यांकन प्रक्रिया सुरू होण्यापूर्वी केले पाहिजे, ज्याचा अर्थ एआय प्रकल्पात प्रशिक्षण डेटा संकलित करण्यापूर्वी, उपयोजनापूर्वी नव्हे. आणि जिथे मूल्यांकनात असा उच्च अवशिष्ट धोका दिसून येतो, जो तुम्ही कमी करू शकत नाही, तिथे पुढील कार्यवाही करण्यापूर्वी तुम्ही पर्यवेक्षी प्राधिकरणाचा सल्ला घेतलाच पाहिजे. ती सल्लामसलत टाळणे हे स्वतःच एक उल्लंघन आहे, प्रक्रिया कायदेशीर ठरली तरीही.

अल्गोरिथमिक प्रणालीचे उपयुक्त मूल्यांकन हे प्रमाणित साच्याच्या पलीकडे जाते. यामध्ये हे नोंदवले जाते की, मॉडेलला कोणते डेटा स्रोत आणि कोणत्या आधारावर माहिती पुरवली जाते, मॉडेलला स्वतःहून काय ठरवण्याची परवानगी आहे आणि माणूस काय ठरवतो, प्रभावित व्यक्तीला आउटपुट कसे समजावून सांगितले जाते, संरक्षित गटांविरुद्ध पक्षपातीपणा तपासण्यासाठी प्रशिक्षण डेटाची चाचणी कशी केली गेली, आणि मॉडेल चुकल्यास काय होते. हे ते प्रश्न आहेत जे नियामक सर्वप्रथम विचारतो.

Autoriteit Personsgegevens याची अंमलबजावणी कशी करते

डच पर्यवेक्षक प्राधिकरण 'ऑटोरिटाइट पर्सून्सगेगेवेन्स' (Autoriteit Persoonsgegevens) आहे, जे डच अंमलबजावणी कायदा 'उइटव्होरिंग्सवेट एव्हीजी' (Uitvoeringswet AVG) सोबत जीडीपीआरची (GDPR) अंमलबजावणी करते. त्याचे अधिकार चेतावणी आणि ताकीद देण्यापासून ते दंड भरण्याच्या अधीन असलेला आदेश, प्रक्रियेवर तात्पुरती किंवा कायमची बंदी आणि प्रशासकीय दंड आकारण्यापर्यंत आहेत. हे नियमन कमाल मर्यादा निश्चित करते: खालच्या स्तरासाठी दहा दशलक्ष युरो किंवा एकूण जागतिक वार्षिक उलाढालीच्या दोन टक्के, आणि मूलभूत तत्त्वे, कायदेशीर आधार, डेटा धारकांचे अधिकार आणि आंतरराष्ट्रीय हस्तांतरणावरील नियमांचे उल्लंघन केल्यास वीस दशलक्ष युरो किंवा चार टक्के, यापैकी जी रक्कम जास्त असेल ती आकारली जाईल.

डच कार्यपद्धतीत अंमलबजावणीचे दोन विषय दिसून येतात आणि दोन्ही थेट बिग डेटाशी संबंधित आहेत. पहिला विषय आहे पारदर्शकता: अलीकडील कारवाईचा एक मोठा भाग अशा गोपनीयता विधानांशी संबंधित आहे, ज्यात कोणता डेटा, कोणत्या उद्देशासाठी आणि किती काळासाठी वापरला जातो हे सुगम भाषेत स्पष्ट केलेले नसते. उद्देशाचे अस्पष्ट वर्णन हे मसुद्यातील त्रुटी म्हणून नव्हे, तर स्वतःच एक उल्लंघन मानले जाते. दुसरा विषय आहे अल्गोरिदमवरील देखरेख. प्राधिकरणाकडे अल्गोरिदमच्या पर्यवेक्षणासाठी एक समर्पित विभाग आहे आणि ते अल्गोरिदमच्या धोक्यांवर नियतकालिक अहवाल प्रकाशित करते. चौकशीचा विषय बनण्यापूर्वी प्राधिकरणाला काय अपेक्षित आहे, याचे निवेदन म्हणून हे अहवाल वाचण्यासारखे आहेत.

अंमलबजावणीसोबतच उल्लंघनाची सूचना देण्याचे कर्तव्यही येते. वैयक्तिक डेटा उल्लंघनाची माहिती विनाकारण विलंब न करता आणि शक्य असल्यास, त्याची जाणीव झाल्यापासून बहात्तर तासांच्या आत प्राधिकरणाला कळवणे आवश्यक आहे, मात्र जर त्या उल्लंघनामुळे व्यक्तींना धोका निर्माण होण्याची शक्यता नसेल तर गोष्ट वेगळी; जर व्यक्तींना धोका जास्त असेल, तर त्यांनाही माहिती देणे आवश्यक आहे. एआय (AI) वातावरणात मूल्यांकन करणे पूर्वीपेक्षा अधिक कठीण झाले आहे, कारण तडजोड झालेल्या प्रशिक्षण संचाचा (training set) किंवा फीचर स्टोअरचा (feature store) परिणाम त्यामध्ये असलेल्या प्रत्येकाच्या डेटावर होतो आणि त्याचे परिणाम मॉडेलने घेतलेल्या प्रत्येक निर्णयापर्यंत पोहोचतात. लक्षात घ्या की हे सायबरबेव्हेलिग्सवेट (Cyberbeveiligingswet) अंतर्गत घटना कळवण्याच्या कर्तव्यांपेक्षा एक वेगळे बंधन आहे. सायबरबेव्हेलिग्सवेट ही एनआयएस२ (NIS2) ची डच अंमलबजावणी असून, ती १५ ऑगस्ट २०२६ पासून लागू झाली आहे आणि तिच्या कार्यक्षेत्रातील संस्थांवर चोवीस व बहात्तर तासांच्या स्वतःच्या सूचना मुदती लादते. एनआयएस२ आणि डच सायबरसुरक्षा कायद्याचा आमचा आढावा स्पष्ट करतो की या दोन्ही प्रणाली एकमेकांच्या सोबत कशा काम करतात.

एआय कायदा जीडीपीआरची जागा घेत नाही.

युरोपियन युनियनचा कृत्रिम बुद्धिमत्ता कायदा एआय प्रणालींना उत्पादने म्हणून नियंत्रित करतो: तो जोखमीनुसार त्यांचे वर्गीकरण करतो आणि पुरवठादार व तैनात करणाऱ्यांवर बंधने घालतो. तो वैयक्तिक डेटावर प्रक्रिया करण्यासाठी कोणताही कायदेशीर आधार देत नाही, आणि त्याचे पालन केल्याने जीडीपीआरच्या पालनाविषयी काहीही सूचित होत नाही. जेव्हा एखादी एआय प्रणाली वैयक्तिक डेटावर प्रक्रिया करते, तेव्हा दोन्ही कायदे पूर्णपणे आणि समांतरपणे लागू होतात.

नियोजनासाठी वेळापत्रक महत्त्वाचे आहे. अस्वीकार्य पद्धतींवरील बंदी, सामान्य उद्देशाच्या एआय मॉडेल्ससाठीची बंधने आणि लोकांशी संवाद साधणाऱ्या किंवा कृत्रिम सामग्री निर्माण करणाऱ्या प्रणालींसाठीची पारदर्शकतेची कर्तव्ये आधीच अंमलात आहेत. डिजिटल सर्वसमावेशक पॅकेजद्वारे उच्च-जोखीम प्रणाली स्थगित करण्यात आली: परिशिष्ट III मध्ये सूचीबद्ध केलेल्या उच्च-जोखीम प्रणालींसाठीची बंधने आता २ डिसेंबर २०२७ पासून लागू होतील, आणि परिशिष्ट I अंतर्गत नियंत्रित उत्पादनांचे सुरक्षा घटक असलेल्या प्रणालींसाठीची बंधने २ ऑगस्ट २०२८ पासून लागू होतील. एआय दायित्व निर्देशासाठीचा स्वतंत्र प्रस्ताव मागे घेण्यात आला आहे, त्यामुळे एआय प्रणालीमुळे झालेल्या नुकसानीचे दायित्व हे करार आणि अपकृत्यावरील सामान्य डच नियमांनुसार आणि युरोपियन उत्पादन दायित्व प्रणालीनुसार नियंत्रित केले जात राहील.

डेटा-आधारित संस्थेसाठी याचा व्यावहारिक परिणाम असा आहे की, GDPR विश्लेषण आजही एक बंधनकारक मर्यादा आहे, तर AI कायदा हे ठरवतो की त्याच प्रणालीला या दशकाच्या अखेरपर्यंत कोणत्या कागदपत्रांची, चाचणीची आणि मानवी देखरेखीची आवश्यकता असेल. हे दोन्ही उपक्रम स्वतंत्रपणे केल्यास कामाची पुनरावृत्ती होते; ते एकत्र केल्यास तसे होत नाही. EU AI कायदा आणि उच्च-जोखमीच्या AI प्रणालींवरील आमच्या मार्गदर्शिकांमध्ये वर्गीकरण आणि जबाबदाऱ्या तपशीलवार मांडल्या आहेत.

सामूहिक दावे आणि नुकसान भरपाई: जोखमीची दिवाणी बाजू

नियामक दंड हा एकमेव धोका नाही, आणि नेदरलँड्समध्ये तो कदाचित सर्वात मोठाही नसेल. 'वेट अफविकेलिंग मासशाडे इन कलेक्टिव्ह अॅक्टी' (WAMCA) हा कायदा, कठोर प्रशासकीय आणि निधीविषयक आवश्यकता पूर्ण करणाऱ्या एखाद्या फाउंडेशन किंवा संस्थेला, एका परिभाषित गटाच्या वतीने नुकसान भरपाईसाठी सामूहिक दावा दाखल करण्याची परवानगी देतो, ज्यात नेदरलँड्समध्ये वास्तव्य करणाऱ्या लोकांसाठी यातून बाहेर पडण्याचा (ऑप्ट-आउट) पर्याय उपलब्ध आहे. डेटा-आधारित प्रक्रिया हे एक स्वाभाविक लक्ष्य आहे: डिझाइनचा एकच निर्णय प्रत्येक वापरकर्त्यावर सारख्याच प्रकारे परिणाम करतो, आणि सामूहिक दाव्यासाठी नेमकी हीच एकरूपता आवश्यक असते.

जीडीपीआर (GDPR) स्वतःच्या बाजूने याला बळकटी देतो. उल्लंघनामुळे ज्या कोणालाही भौतिक किंवा अभौतिक नुकसान झाले आहे, त्यांना नियंत्रक किंवा प्रक्रियाकर्त्याकडून नुकसान भरपाई मिळवण्याचा हक्क तो देतो, आणि डेटा संरक्षणाच्या क्षेत्रात कार्यरत असलेल्या ना-नफा संस्थेला, काही प्रकरणांमध्ये डेटा धारकांच्या वतीने, त्यांच्या आदेशाशिवायही खटला दाखल करण्याची परवानगी देतो. युरोपियन कोर्टाने पुष्टी केली आहे की ग्राहक-संरक्षण संघटना त्या आधारावर कारवाई करू शकते.

याला एक मर्यादा आहे, आणि ती प्रतिवादींसाठी उपयुक्त आहे. युरोपियन कोर्ट ऑफ जस्टिसने असे मत मांडले आहे की GDPR चे उल्लंघन केल्याने आपोआप नुकसान भरपाईचा हक्क निर्माण होत नाही: दावा करणाऱ्याला प्रत्यक्ष झालेले नुकसान आणि कार्यकारण संबंध सिद्ध करावा लागतो, जरी एकदा अमूर्त नुकसान सिद्ध झाल्यावर त्याच्या गंभीरतेसाठी कोणतीही मर्यादा लागू होत नाही. त्यामुळे डच प्रथेनुसार वैयक्तिक नुकसान भरपाईची रक्कम माफक राहिली आहे, परंतु लाखो लोकांच्या वर्गाचे गणित चित्र पूर्णपणे बदलून टाकते. मोठ्या नुकसानीच्या बाबतीत सामूहिक दाव्यांवरील आमचा लेख ही कार्यवाही कशी चालते याचे वर्णन करतो.

जेव्हा डेटा सर्व ठिकाणांहून येतो, तेव्हा नियंत्रक कोण असतो?

बिग डेटा प्रकल्प क्वचितच एकाच संस्थेपुरते मर्यादित राहतात. ब्रोकरद्वारे डेटा समृद्ध केला जातो, क्लाउड प्रोव्हायडरद्वारे होस्ट केला जातो, ॲनालिटिक्स एजन्सीद्वारे स्वच्छ केला जातो आणि विक्रेत्याने पुरवलेल्या मॉडेलमध्ये टाकला जातो. या प्रत्येक संबंधाचे अचूक वर्णन करणे आवश्यक असते, कारण भूमिकांच्या वाटपावरूनच कोणावर कोणती जबाबदारी आहे आणि नियामकाला कोण उत्तरदायी आहे हे ठरते.

नियंत्रक प्रक्रियेचे उद्देश आणि साधने निश्चित करतो; प्रोसेसर केवळ नियंत्रकाच्या लेखी सूचनांनुसारच कार्य करतो. जेव्हा दोन किंवा अधिक पक्ष संयुक्तपणे उद्देश आणि साधने निश्चित करतात, तेव्हा ते संयुक्त नियंत्रक असतात आणि त्यांनी एका व्यवस्थेमध्ये आपापल्या जबाबदाऱ्या स्पष्ट करणे आवश्यक आहे, विशेषतः माहिती प्रदान करण्यासाठी आणि व्यक्तींच्या विनंत्या हाताळण्यासाठी, ज्या व्यक्ती कोणत्याही परिस्थितीत त्यांच्यापैकी कोणाविरुद्धही आपले हक्क बजावू शकतात. करारामध्ये वापरलेले नाव निर्णायक नसते: महत्त्वाचे हे आहे की डेटावर का आणि कशी प्रक्रिया करायची हे प्रत्यक्षात कोण ठरवते. जो पुरवठादार आपले स्वतःचे उत्पादन सुधारण्यासाठी तुमचा डेटा वापरण्याचा हक्क राखून ठेवतो, तो त्या मर्यादेपर्यंत, करारामध्ये त्याला काहीही म्हटले असले तरी, स्वतःच्या उद्देशांसाठी नियंत्रक बनतो.

एआयच्या संदर्भात पुरवठादार करारांमधील दोन कलमांकडे विशेष लक्ष देणे आवश्यक आहे. पहिले कलम म्हणजे पुरवठादाराला प्रशिक्षणासाठी किंवा सेवा सुधारण्यासाठी ग्राहकांची सामग्री वापरण्याची परवानगी देणारे कलम; जर हे कलम करारामध्ये असेल, तर तुम्ही वैयक्तिक डेटा दुसऱ्या नियंत्रकाला उघड करत आहात आणि त्या प्रकटीकरणासाठी तुम्हाला एक आधार आणि सूचना देणे आवश्यक आहे. दुसरे कलम म्हणजे उप-प्रक्रियाकर्ता कलम, कारण मॉडेल पुरवठादार अनेकदा पुढील पुरवठादारांवर आणि युरोपियन आर्थिक क्षेत्राबाहेरील पायाभूत सुविधांवर अवलंबून असतात, ज्यामुळे हस्तांतरणाचे नियम लागू होतात. असा प्रक्रिया करार, ज्यात आवश्यक विषयवस्तूचा समावेश आहे परंतु डेटाचे नेमके काय होते याचे वर्णन नाही, तो तपासात फारसा उपयुक्त ठरत नाही.

शेवटी, हे लक्षात ठेवा की उत्तरदायित्वाच्या तत्त्वानुसार पुरावा सादर करण्याची जबाबदारी नियंत्रकावर असते. केवळ नियमांचे पालन करणे पुरेसे नाही; प्रत्यक्षात तयार केलेल्या प्रणालींशी जुळणाऱ्या नोंदी, मूल्यांकन आणि करारांच्या आधारे तुम्हाला ते सिद्ध करता आले पाहिजे.

पुढील प्रकल्प सुरू होण्यापूर्वी काय तयारी करावी

बिग डेटासाठीची अनुपालनता डिझाइनच्या टप्प्यावरच तयार केली जाते, कारण नियमांनुसार डिझाइनद्वारे आणि पूर्वनिर्धारितपणे डेटा संरक्षण आवश्यक आहे: योग्य तांत्रिक आणि संघटनात्मक उपाययोजना प्रत्यक्ष प्रक्रियेमध्येच समाविष्ट करणे आवश्यक आहे, आणि पूर्वनिर्धारितपणे प्रत्येक विशिष्ट उद्देशासाठी आवश्यक असलेल्या वैयक्तिक डेटावरच प्रक्रिया केली जाऊ शकते. नंतर बदल करणे खर्चिक आणि सहसा अपूर्ण असते.

व्यवहारात पाच गोष्टींमुळे फरक पडतो. मॉडेलच्या मालकीच्या विभागांऐवजी, प्रत्येक मॉडेलमागील डेटा प्रवाहांचे वर्णन करणारी प्रक्रिया कार्यांची नोंद ठेवा. प्रशिक्षणामध्ये समाविष्ट असलेल्या पुढील प्रक्रियेसह, प्रत्येक प्रक्रिया कार्यासाठी कायदेशीर आधार निश्चित करा आणि लिहून ठेवा, आणि त्यासोबत वैध हितसंबंधांचे मूल्यांकन ठेवा. डेटा संकलित करण्यापूर्वी परिणामांचे मूल्यांकन करा, आणि जिथे अवशिष्ट धोका जास्त असेल तिथे पर्यवेक्षी प्राधिकरणाचा सल्ला घ्या. मॉडेल किंवा प्लॅटफॉर्मच्या प्रदात्यांसह, डेटा हाताळणाऱ्या प्रत्येक पुरवठादारासोबत डेटा प्रक्रिया करार करा, आणि त्यांना त्यांच्या स्वतःच्या उद्देशांसाठी तुमच्या डेटासोबत काय करण्याची परवानगी आहे हे तपासा; या आवश्यकता आमच्या डेटा प्रक्रिया कराराच्या मार्गदर्शिकेत नमूद केल्या आहेत . आणि डेटा कुठे जातो हे तपासा: युरोपियन आर्थिक क्षेत्राबाहेर हस्तांतरणासाठी नियमावलीच्या प्रकरण V अंतर्गत हस्तांतरण यंत्रणा आणि हस्तांतरण परिणाम मूल्यांकनाची आवश्यकता असते, आणि वैयक्तिक तृतीय देशांची भूमिका बदलू शकते.

सर्वात महत्त्वाचे म्हणजे, मॉडेल तयार करणारे लोक आणि जोखमीचे मूल्यांकन करणारे लोक यांनी एकाच दस्तऐवजावर काम करावे. नियमावलीचा पाया आमच्या ' जनरल डेटा प्रोटेक्शन रेग्युलेशन'च्या आढाव्यात सारांशित केला आहे, आणि वैयक्तिक डेटा एआय प्रणालीमध्ये टाकल्यामुळे निर्माण होणारे विशिष्ट प्रश्न, स्वयंचलित निर्णय प्रक्रियेपासून ते प्रभावित लोकांच्या हक्कांपर्यंत, नेदरलँड्समधील जीडीपीआर आणि एआयवरील आमच्या संबंधित लेखात हाताळले आहेत.

काही सामान्य प्रश्न

एआय मॉडेलला प्रशिक्षण देण्यासाठी आपण कोणता कायदेशीर आधार वापरावा?

बहुतेक व्यावसायिक संदर्भांमध्ये, उत्तर 'वैध हितसंबंध' हे असते, ज्याला हितसंबंध, आवश्यकता आणि संतुलन साधण्याचा प्रयत्न यांचा समावेश असलेल्या लेखी मूल्यांकनाचा आधार असतो. जिथे डेटा संवेदनशील असतो किंवा त्याच्या वापरामुळे संबंधित लोकांना आश्चर्य वाटेल, तिथे संमतीला प्राधान्य दिले जाते, परंतु ती खरोखरच मुक्त आणि रद्द करण्यायोग्य असली पाहिजे, जे प्रशिक्षण संचासाठी आयोजित करणे कठीण आहे. करारासाठीची आवश्यकता मॉडेल विकासाला जवळजवळ कधीच लागू होत नाही, कारण ते प्रशिक्षण ग्राहकाने मागितलेले नसते. तुम्ही कोणताही आधार निवडा, प्रक्रिया सुरू होण्यापूर्वी त्याची नोंद करा: भूतकाळाच्या संदर्भात आधार निवडणे हा कोणताही आधार नाही असे मानले जाते.

जर आपण प्रथम डेटा अनामित केला, तरीही GDPR लागू होतो का?

अनामीकरण खरोखरच प्रभावी ठरल्यासच. जेव्हा वापरल्या जाणाऱ्या सर्व संभाव्य पद्धती आणि त्यासोबत एकत्रित केल्या जाऊ शकणाऱ्या इतर डेटासेटचा विचार करता, कोणासाठीही पुन्हा ओळख पटवणे वाजवीपणे शक्य नसते, तेव्हा डेटा अनामित मानला जातो. नावे काढून टाकणे, ओळखकर्त्यांच्या जागी हॅश वापरणे किंवा लहान गटांमध्ये एकत्रित करणे हे सहसा त्या मानकापेक्षा कमी पडते आणि परिणामी छद्मनामित डेटा तयार होतो, जो पूर्णपणे नियमांच्या अधीन राहतो. जिथे एखादा प्रकल्प कार्यक्षेत्राबाहेर मानण्याचा आधार अनामीकरण असेल, तिथे त्या निष्कर्षाची चाचणी करून तो दस्तऐवजीकृत करणे आवश्यक आहे आणि जेव्हा जेव्हा डेटासेटमध्ये बदल होईल तेव्हा त्यावर पुन्हा विचार करणे गरजेचे आहे.

ग्राहक डेटाचा पुनर्वापर करण्यासाठी आपण संशोधन अपवादावर अवलंबून राहू शकतो का?

क्वचितच. वैज्ञानिक किंवा सांख्यिकीय हेतूंसाठी केलेली पुढील प्रक्रिया मूळ हेतूशी सुसंगत मानली जाते, परंतु हा अपवाद मान्यताप्राप्त पद्धतशीर मानकांनुसार केलेल्या आणि छद्मनामीकरण व प्रवेश निर्बंध यांसारख्या सुरक्षा उपायांच्या अधीन असलेल्या संशोधनासाठी आहे. एखाद्या व्यावसायिक पक्षाने स्वतःच्या फायद्यासाठी केलेला उत्पादन विकास किंवा मॉडेल सुधारणा, त्यात डेटा सायन्सचा समावेश असल्यामुळे संशोधन ठरत नाही. जर सुसंगतता चाचणी आपोआप पूर्ण होत नसेल, तर तुम्हाला एका नवीन कायदेशीर आधाराची आणि बहुतेक प्रकरणांमध्ये, संबंधित व्यक्तींना नवीन माहितीची आवश्यकता असते.

मॉडेलला प्रशिक्षण दिल्यानंतर जर कोणी संमती मागे घेतली तर काय होते?

माघार भविष्यासाठी प्रभावी ठरते आणि त्यामुळे पूर्वीची प्रक्रिया पूर्वलक्षी प्रभावाने बेकायदेशीर ठरत नाही, परंतु याचा अर्थ असा होतो की त्या आधारावर डेटा यापुढे वापरला जाऊ शकत नाही. व्यावहारिकदृष्ट्या, यासाठी त्या व्यक्तीला प्रशिक्षण संचातून (training set), फीचर स्टोअर्स आणि लॉग्समधून काढून टाकण्याची, आणि जिथे तसे दाखवता येईल तिथे मॉडेलमध्ये त्या व्यक्तीचा डेटा प्रतिबिंबित होत नाही याची खात्री करण्यासाठी मॉडेलला पुन्हा प्रशिक्षित करण्याची किंवा इतर मार्गांनी सुनिश्चित करण्याची क्षमता आवश्यक असते. मॉडेल प्रशिक्षणासाठी संमती हा एक अवघड आधार असण्यामागील हे एक कारण आहे, आणि हा प्रश्न पहिली विनंती आल्यानंतर विचारण्याऐवजी डिझाइनच्या टप्प्यातच उत्तर देण्यासारखा आहे.

कसे Law and More मदत करू शकता

Law and More आम्ही डच आणि आंतरराष्ट्रीय संस्थांना ॲनालिटिक्स आणि एआयच्या डेटा संरक्षणाच्या बाबतीत सल्ला देतो: कायदेशीर आधार निवडणे आणि त्याचे दस्तऐवजीकरण करणे, वैध हितसंबंधांचे आणि परिणामांचे मूल्यांकन करणे, छाननीत टिकून राहतील अशी गोपनीयता विधाने आणि प्रक्रिया करार तयार करणे, 'ऑटोरिटाइट पर्सून्सगेगेवेन्स'ला प्रतिसाद देणे, आणि व्यक्तींनी किंवा प्रतिनिधी संस्थांनी केलेल्या दाव्यांचा बचाव करणे. जर तुम्ही डेटा-आधारित प्रकल्पाची योजना आखत असाल किंवा एखाद्या नियामकाने आधीच संपर्क साधला असेल, तर आम्हाला तुमच्यासोबत फाईल पाहण्यास आनंद होईल.