Artikkelinnhold
KortversjonenVis merVis mindreEDPB vedtok Opinion 28/2024 om personopplysninger ved utvikling og bruk av KI-modeller.
- EDPB vedtok Opinion 28/2024 om personopplysninger ved utvikling og bruk av KI-modeller.
- EDPB avviste en generell antakelse om at en trent modell alltid er anonym.
- Uttalelsen veiledet anvendelsen av GDPR, som gjelder i Norge gjennom EØS. Den endret ikke lovteksten, og vurderingene måtte gjøres konkret for hver modell og behandling.
Hva skjedde
EDPB vedtok Opinion 28/2024 om personopplysninger ved utvikling og bruk av KI-modeller. Uttalelsen behandler når en modell kan anses anonym, hvordan berettiget interesse kan vurderes, og hvilke følger ulovlig behandling i treningsfasen kan få.
EDPB avviste en generell antakelse om at en trent modell alltid er anonym. Tilsynet må vurdere om personer kan identifiseres eller treningsdata hentes ut. Berettiget interesse krever formål, nødvendighet og en konkret interesseavveining.
Rettslig status i Norge
Uttalelsen veiledet anvendelsen av GDPR, som gjelder i Norge gjennom EØS. Den endret ikke lovteksten, og vurderingene måtte gjøres konkret for hver modell og behandling.
Bakgrunnen for saken
For anonymitet krevde EDPB en konkret vurdering av om personer kunne identifiseres eller opplysninger trekkes ut gjennom spørsmål til modellen. Ved berettiget interesse måtte virksomheten dokumentere formål, nødvendighet og interesseavveining, herunder hva personene med rimelighet kunne forvente. EDPB pekte på at ulovlig behandling under utviklingen kunne påvirke lovligheten ved senere bruk, med mindre modellen var blitt tilstrekkelig anonymisert.
Det gjør treningsdataenes opprinnelse, filtrering og slettemuligheter til leverandørspørsmål. En påstand om at «modellen lagrer ikke data» er ikke dokumentasjon på at terskelen for anonymitet er nådd.
En praktisk leverandørgjennomgang bør be om datakategorier og kilder, filtrering av særlige kategorier, testing mot uthenting og memorering, og håndtering av registrertes innsigelser. Svarene må vurderes mot den planlagte bruken; et generelt modellkort erstatter ikke virksomhetens egen nødvendighets- og interesseavveining. Nye modellversjoner bør utløse ny kontroll dersom treningsgrunnlag eller sikkerhetsmekanismer endres.
Praktiske konsekvenser
En beslutning om bruk bør angi hvilke datakilder og modelltester den bygger på, og hvilke endringer som gjør vurderingen foreldet. Dersom leverandøren ikke kan beskrive treningsgrunnlag eller uttrekkstesting tilstrekkelig, bør virksomheten begrense input, slå av lagring eller velge en løsning med bedre dokumentasjon.
Kilder
Det europeiske personvernrådet (EDPB): «EDPB opinion on AI models», 18. desember 2024.
Det europeiske personvernrådet (EDPB): «EDPB Opinion 28/2024 on AI models», 18. desember 2024.
Til diskusjon
Hvilken kontroll bør vi verifisere først?
