UODO chce wiedzieć, co Chat GPT robi z naszymi danymi

Nie wiadomo, jak Chat GPT przetwarza nasze dane osobowe, a informacje, jakie generuje nie zawsze są prawdziwe. Dlatego prezes Urzędu Ochrony Danych Osobowych wszczął postępowanie przeciwko jego twórcom, spółce OpenAI i właśnie skierował do niej pytania. Chce wiedzieć m.in. skąd i w jakim celu spółka pozyskała dane skarżącego. Realizacja obowiązków informacyjnych czy prawa do bycia zapomnianym może być w przypadku Chata GPT niemożliwa - wskazują prawnicy.

Chat GPT „wkuł” sporą część zasobów dostępnych w internecie – w pierwotnej, udostępnionej wersji - do 2021 r., teraz orientuje się również w informacjach z 2022 r., a także, jeżeli użytkownik włączy tę opcje, potrafi przeszukać internet w czasie rzeczywistym. Nie dziwi zatem, że wiele osób mocno ciekawiło, co AI wie na ich temat.

Firma korzystająca z Chat GPT powinna się zabezpieczyć przed naruszeniem praw autorskich>>

UODO zadaje pytania

Tak też stało się w sprawie, którą zainteresował się prezes Urzędu Ochrony Danych Osobowych – skarżący poprosił Chata GPT, by wskazał mu, co o nim wie. AI wykonało polecenie, ale albo oparło się na złych danych, albo samodzielnie uzupełniło luki, wymyślając część informacji. Użytkownik zażądał sprostowania informacji, jednak spółka Open AI się z tego nie wywiązała. Nie poinformowała również, jakie dane na jego temat przetwarza Chat GPT - stąd skarga do UODO. Jej autor wskazał również, że spółka udzielała wymijających odpowiedzi, czym naruszyła art. 12 i art. 5 ust. 1 lit a RODO (obowiązek przejrzystego informowania i przejrzystej komunikacji) oraz nie wywiązała się z obowiązku informacyjnego. Nie poinformowała bowiem na etapie przetwarzania danych do trenowania AI, skąd ma dane skarżącego i do kogo one trafią.

Urząd Ochrony Danych Osobowych wszczął postępowanie i właśnie wezwał Open AI do ustosunkowania się do treści skargi oraz do złożenia wyjaśnień i dowodów. Chce m.in., by spółka przedstawiła mu ogólny opis usługi i wskazała, czy jest ona jedynym administratorem danych.

Pyta m.in. o wypełnienie obowiązków informacyjnych, czyli o to, w jaki sposób informacje wymagane zgodnie z art. 14 są przekazywane użytkownikom i innym osobom (np. tym, których dane są gromadzone w celu szkolenia algorytmu usługi). UODO chce też wiedzieć kiedy spółka pozyskała dane osobowe skarżącego w związku z usługą ChatGPT, z jakiego źródła, w jakim celu i jaka była podstawa prawna tego działania.

Rewolucja technologiczna tylko na przejrzystych zasadach

- Sztuczna inteligencja to technologia oparta na danych - tłumaczy Jakub Groszkowski Zastępca Prezesa UODO. - Ochrona danych w kontekście dynamicznego rozwoju technologii, jaki obserwujemy obecnie, jest zagadnieniem skomplikowanym i wymagającym. Sztuczna inteligencja jest zjawiskiem globalnym, ma charakter transgraniczny i może dotyczyć całej ludzkości. Rozwój i wykorzystanie sztucznej inteligencji musi odbywać się zgodnie z etyką i wartościami uznawanymi przez ludzkość oraz z poszanowaniem godności ludzkiej. Podążanie za zasadami etycznymi w procesie tworzenia i wdrażania rozwiązań SI to konieczność i wymóg prawny, który powinien być wyraźnie sformułowany przez ustawodawcę – podkreśla.

Wskazuje, że konieczne jest pilne uregulowanie kwestii prawnych związanych z powstawaniem i wdrażaniem technologii SI, a także stały monitoring wszelkich zmian wprowadzonych do tego prawa. - Zadanie to powinno być realizowane w porozumieniu z twórcami systemu sztucznej inteligencji, podmiotami wykorzystującymi tę technologię, a także z organizacjami społecznymi i środowiskiem naukowym – dodaje. Podkreśla też, że ponieważ z usługi można korzystać na terenie UE, do przetwarzania danych osobowych mają zastosowanie przepisy RODO.

Nie pierwsza taka sprawa

Z podobnego założenia wyszedł włoski odpowiednik UODO – na początku roku zablokował korzystanie z usługi, wskazując, że zasady jej działania w kontekście przetwarzania danych są nietransparentne. Urząd wskazał, że firma nielegalnie zbiera dane użytkowników i nie zapobiega dostępowi nieletnich do nieodpowiednich treści. Blokada nie trwała jednak długo, Włosi mogą już korzystać z Chata GPT, po tym jak spółka zdecydowała się wprowadzić pewne zmiany  - udostępniła formularz, którego użytkownicy z UE mogą użyć, by usunąć swoje dane oraz zobowiązała się do weryfikacji wieku użytkowników z Włoch.

Nie wiadomo jeszcze, jak potoczy się sprawa dotycząca Polski. Można natomiast zauważyć, że sam Chat GPT jest dość ostrożny w odpowiedziach na pytania o konkretną osobę – jeżeli nie jest to osoba publiczna, dowiemy się jedynie, że „nie jest szeroko rozpoznawalną osobą”. Nieco bardziej kreatywny jest Bing, który poproszony o wygenerowanie i zredagowanie odpowiedzi, nie ograniczy się jedynie do ogólnie dostępnych danych, ale gotowy jest dodać coś od siebie (np. że autorka niniejszego artykułu jest laureatką Nagrody Literackiej Nike).

Kłamstwo wpisane w naturę

- Oczywiście nie możemy powiedzieć, że skoro ta technologia jest relatywnie nowa, to nie da się do niej zastosować RODO. RODO jest na tyle otwarte i technologicznie neutralne, że jest to możliwe, ale nie jest to łatwe zadanie – mówi Prawo.pl dr Iga Małobęcka-Szwast z Kancelarii Wardyński i Wspólnicy. – Przede wszystkim musimy zrozumieć, że generatywna sztuczna inteligencja nie działa jak wyszukiwarka Google, nie pokazuje nam, co jest na nasz temat napisane na konkretnych stronach internetowych. Ona te dane przetwarza i generuje nową treść, często samodzielnie wypełniając luki, jeśli jakichś informacji nie posiada. Często zachodzi tu zjawisko tzw. halucynacji, które jest wpisane w działanie takich systemów jak ChatGPT – algorytm zwykle nie powie po prostu „nie wiem”, tylko najzwyczajniej zmyśli odpowiedź. Nie ma tu znaczenia, czy na temat książki, której nie zna, czy na temat osoby, o której nie ma pojęcia – wskazuje. Zresztą ostrzeżenie o tym, że Chat GPT może nas sprowadzić na manowce i przedstawiać nieprawdziwe informacje, jest zawarte w interfejsie usługi. – I choćby z tego względu trudne jest w tym wypadku proste zastosowanie prawa do sprostowania, mówimy bowiem o sprostowaniu treści, które za każdym razem są inne i które zawsze, jako użytkownicy, powinniśmy weryfikować i traktować sceptycznie – wskazuje dr Iga Małobęcka-Szwast. Dodaje przy tym, że firma niezależnie od swojego modelu biznesowego powinna w jasny i przejrzysty sposób odpowiadać na pytania o zakres i sposób przetwarzania danych osobowych.  

- Należy też dookreślić, jak spełnione powinny zostać obowiązki informacyjne, zwłaszcza w odniesieniu do danych, na których uczył się algorytm, choć tu należy też wziąć pod uwagę, że RODO przewiduje w tym względzie wyjątek, z którego Open AI może chcieć skorzystać – informowanie nie jest konieczne, jeżeli okazałoby się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku – wskazuje. Jednak nawet w takim przypadku Open AI powinno podjąć odpowiednie środki zastępcze, czyli udostępnić wymagane informacje publicznie (np. na swojej stronie internetowej lub w aplikacji).

Obowiązek informacyjny nie do wykonania

Wątpliwości co sposobu, w jaki twórcy Open AI mieliby spełnić obowiązek informacyjny, ma dr hab. Marlena Sakowska-Baryła, radca prawny, partner w Sakowska-Baryła, Czaplińska Kancelaria Radców Prawnych Sp.p. – To algorytm, który zbiera dane z całego internetu. I oczywiście, możemy się upierać przy realizacji obowiązku informacyjnego w sposób, do jakiego przywykliśmy, ale uważam, że w tym przypadku nie jest to możliwe do zrealizowania. Choćby dlatego, że skoro Chat GPT pobiera dane z innych stron internetowych, to nie bardzo ma jak się skontaktować z osobami, o których informacje przetwarza. Moim zdaniem ze względu na to i na skalę przetworzonych informacji wysłanie każdej osobie maila z informacją o przetwarzaniu jej danych osobowych, czy inny klasyczny sposób powiadamiania, jest niemożliwy do spełnienia – podkreśla prof. Sakowska-Baryła.  

Prof. Sakowska-Baryła podkreśla, że w czasach informacje są łatwo dostępne i szeroko rozpowszechniane, musimy się zastanowić, czy obecne narzędzia prawne, w tym RODO, skutecznie odpowiadają na potrzeby ochrony prywatności. - Choć idea, że nie powinno się wkraczać w naszą prywatność bez naszej zgody, wydaje się oczywista, to w praktyce realizacja tego prawa w obliczu nowych technologii i sposobów komunikacji może być wyzwaniem – tłumaczy. 

Niełatwo o bycie zapomnianym

Problematyczna może być też kwestia realizacji prawa do bycia zapomnianym. - W przypadku, gdy dane osoby są szeroko dostępne w sferze publicznej, zwłaszcza jeśli osoba ta sama dzieliła się nimi, np. poprzez wzmianki w gazetach czy rejestrach publicznych, realizacja tego prawa staje się bardziej skomplikowana. W takich sytuacjach musimy rozważyć, czy usunięcie tych informacji nie narusza praw innych, takich jak wolność wypowiedzi czy interes publiczny – wskazuje prof. Sakowska-Baryła.

W tym wypadku pomocny może być wspomniany wyżej formularz, który firma udostępniła, reagując na obawy włoskiego urzędu zajmującego się ochroną danych osobowych. Eksperci są jednak zgodni – w odniesieniu do algorytmów przetwarzających takie ilości danych, kluczowe jest zapewnienie przejrzystości działania, choćby po to, by w miarę możliwości zapobiegać niekontrolowanemu agregowaniu danych i szczegółowemu profilowaniu konkretnych osób . Trzeba bowiem przypomnieć, że już użycie prymitywniejszych narzędzi pozwalało - jak pokazała afera Cambridge Analytica - wpływać na wyniki wyborów w USA i referendum w sprawie Brexitu, a to nic, wobec możliwości, jakie i  tej materii, daje generatywna sztuczna inteligencja.

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.