Europejska Rada Ochrony Danych (EROD) opublikowała nowe wytyczne, które mogą istotnie wpłynąć na sposób projektowania i wykorzystywania systemów sztucznej inteligencji w Europie. Dokumenty dotyczą trzech obszarów mających kluczowe znaczenie dla rozwoju AI: anonimizacji danych, automatycznego pozyskiwania informacji z internetu (web scrapingu) oraz wykorzystania technologii blockchain zgodnie z RODO.
To kolejny krok w dostosowywaniu europejskich przepisów do dynamicznego rozwoju generatywnej sztucznej inteligencji. Nowe wytyczne mają pomóc przedsiębiorstwom, instytucjom publicznym i dostawcom technologii lepiej interpretować przepisy dotyczące ochrony danych osobowych oraz ograniczyć ryzyko prawne związane z wykorzystywaniem AI.
Kiedy dane rzeczywiście stają się anonimowe?
Jednym z najważniejszych dokumentów przyjętych podczas 122. posiedzenia plenarnego EROD są wytyczne dotyczące anonimizacji danych. Ich celem jest doprecyzowanie, kiedy informacje przestają być danymi osobowymi w rozumieniu RODO. Dokument uwzględnia najnowsze orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej, w tym wyrok w sprawie C-413/23 EDPS przeciwko SRB, który podkreśla, że ocena anonimowości zawsze zależy od konkretnego kontekstu oraz możliwości identyfikacji osoby przez określony podmiot. EROD przypomina, że dane można uznać za anonimowe wyłącznie wtedy, gdy nie odnoszą się do osoby zidentyfikowanej ani możliwej do zidentyfikowania. Samo usunięcie imienia, nazwiska czy numeru identyfikacyjnego nie oznacza jeszcze skutecznej anonimizacji.
Trzy kryteria skutecznej anonimizacji
Nowe wytyczne przedstawiają praktyczne ramy pozwalające ocenić, czy proces anonimizacji zakończył się powodzeniem. EROD wskazuje trzy podstawowe kryteria:
- brak możliwości wyodrębnienia konkretnego rekordu,
- brak możliwości powiązania danych z innymi zbiorami informacji,
- brak możliwości wyciągania wniosków prowadzących do identyfikacji osoby.
Spełnienie wszystkich trzech warunków pozwala uznać dane za anonimowe. Jeżeli choć jedno z kryteriów nie zostanie spełnione, administrator powinien przeprowadzić dodatkową analizę ryzyka. Dokument opisuje również dwa podejścia do oceny anonimowości. Pierwsze uwzględnia rzeczywiste możliwości identyfikacji przez konkretne podmioty i odzwierciedla obowiązujący standard prawny. Drugie ma charakter bardziej konserwatywny i pozwala administratorowi stosować bardziej rygorystyczne założenia, zwiększając pewność, że dane rzeczywiście utraciły charakter danych osobowych.
Web scraping pozostaje objęty przepisami RODO
Drugim istotnym dokumentem są wytyczne dotyczące automatycznego pobierania danych z internetu na potrzeby trenowania modeli generatywnej sztucznej inteligencji. EROD jednoznacznie wskazuje, że jeżeli web scraping obejmuje dane osobowe, wszystkie operacje związane z ich pozyskiwaniem, przechowywaniem, organizowaniem czy późniejszym wykorzystywaniem podlegają przepisom RODO. To szczególnie istotne w kontekście dynamicznego rozwoju dużych modeli językowych, których skuteczność opiera się na analizie ogromnych zbiorów danych pochodzących z internetu.
Jakie obowiązki mają administratorzy danych?
Nowe wytyczne przypominają, że organizacje wykorzystujące web scraping powinny posiadać odpowiednią podstawę prawną przetwarzania danych oraz przestrzegać podstawowych zasad RODO, takich jak ograniczenie celu, minimalizacja danych, prawidłowość i przejrzystość. EROD zaleca również korzystanie wyłącznie z wiarygodnych źródeł informacji, dokumentowanie momentu pobrania danych oraz ich weryfikację przed wykorzystaniem podczas trenowania modeli sztucznej inteligencji. Jednocześnie Rada wskazuje, że w niektórych przypadkach administrator nie będzie zobowiązany do indywidualnego informowania każdej osoby, której dane zostały pozyskane, jeżeli byłoby to niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku.
Dane wrażliwe wymagają szczególnej ostrożności
Szczególną uwagę poświęcono przetwarzaniu danych szczególnych kategorii, takich jak informacje dotyczące zdrowia, poglądów politycznych, przekonań religijnych czy orientacji seksualnej. EROD przypomina, że ich przetwarzanie pozostaje co do zasady zabronione. Jeżeli podczas web scrapingu dochodzi do pozyskania takich danych, administrator musi spełnić zarówno wymagania art. 6 RODO dotyczące podstawy prawnej, jak i jedną z przesłanek określonych w art. 9 ust. 2 RODO. Każdy przypadek powinien być oceniany indywidualnie, a organizacje powinny wdrożyć odpowiednie środki techniczne i organizacyjne ograniczające ryzyko przetwarzania danych wrażliwych.
Blockchain również musi być zgodny z RODO
Podczas posiedzenia EROD przyjęła również ostateczną wersję wytycznych dotyczących wykorzystania technologii blockchain. Dokument pomaga organizacjom projektować rozwiązania blockchain zgodnie z wymaganiami RODO oraz wyjaśnia konsekwencje różnych architektur tej technologii dla ochrony danych osobowych. EROD podkreśla, że wykorzystanie blockchain nie zwalnia administratorów z obowiązków wynikających z przepisów o ochronie danych. Projektowanie takich systemów powinno uwzględniać zasady privacy by design oraz privacy by default, czyli ochronę prywatności już na etapie tworzenia rozwiązania.
Trwają konsultacje publiczne
EROD skierowała wytyczne dotyczące anonimizacji oraz web scrapingu do konsultacji publicznych, które potrwają do 30 października 2026 roku. Organ zachęca przedsiębiorców, ekspertów, organizacje społeczne oraz środowiska naukowe do zgłaszania uwag, które następnie przeanalizuje przed przyjęciem ostatecznej wersji dokumentów.
Nowe wytyczne wyznaczają kierunek rozwoju AI w Europie
Przyjęte dokumenty pokazują, że europejskie organy ochrony danych przygotowują się na kolejne etapy rozwoju generatywnej sztucznej inteligencji. Szczególne znaczenie mają wytyczne dotyczące web scrapingu, ponieważ automatyczne pozyskiwanie danych z internetu pozostaje jednym z fundamentów budowy nowoczesnych modeli AI. Jednocześnie EROD wyraźnie podkreśla, że rozwój technologii nie może odbywać się kosztem praw osób, których dane są przetwarzane. Oznacza to, że przedsiębiorstwa rozwijające rozwiązania AI będą musiały jeszcze większą uwagę poświęcić zgodności z RODO, dokumentowaniu procesów przetwarzania danych oraz wdrażaniu mechanizmów ograniczających ryzyko naruszenia prywatności. Nowe wytyczne mogą stać się jednym z najważniejszych punktów odniesienia dla firm rozwijających generatywną sztuczną inteligencję, dostawców technologii oraz organizacji wykorzystujących anonimizację danych i blockchain. W praktyce pokazują one, że przyszłość AI w Europie będzie opierać się nie tylko na innowacyjności, ale również na odpowiedzialnym zarządzaniu danymi i zgodności z regulacjami.
Źródło: https://uodo.gov.pl/
