هل الذكاء الاصطناعي متوافق مع GDPR؟ ما الذي ينطبق في ألمانيا والاتحاد الأوروبي

السؤال الأدق ليس: هل النظام «ذكاء اصطناعي»؟ بل: هل يعالج بيانات شخصية في مرحلة التطوير أو الاستخدام، وعلى أي أساس قانوني، وبأي مخاطر لاحقة؟ هذا هو المنطق الذي تتحرك ضمنه اللائحة العامة لحماية البيانات في الاتحاد الأوروبي، المعروفة اختصاراً بـ GDPR وبالألمانية بـ DSGVO، عند تقييم نماذج الذكاء الاصطناعي .

رأي المجلس الأوروبي لحماية البيانات EDPB رقم 28/2024 هو المرجع الأبرز في هذه المسألة ضمن المصادر المتاحة هنا؛ فهو يتناول جوانب محددة من حماية البيانات عند معالجة البيانات الشخصية في سياق نماذج الذكاء الاصطناعي . لكنه لا يقول إن كل ذكاء اصطناعي مسموح، ولا إن كل استخدام للذكاء الاصطناعي ممنوع .

الخلاصة السريعة

القول إن «الذكاء الاصطناعي متوافق مع GDPR» بإطلاق عبارة واسعة أكثر من اللازم. وبالمثل، فالقول إن كل استخدام للذكاء الاصطناعي غير مشروع تلقائياً ليس دقيقاً. مواد EDPB تتعامل مع نماذج الذكاء الاصطناعي باعتبارها سياقاً قد تُعالَج فيه بيانات شخصية، ثم تقيّم هذه المعالجة تحديداً .

في بيان صدر في 18 ديسمبر/كانون الأول 2024، لخص المجلس الأوروبي لحماية البيانات ثلاث مسائل رئيسية في Opinion 28/2024: متى وكيف يمكن اعتبار نموذج ذكاء اصطناعي مجهول الهوية، وما إذا كان يمكن استخدام «المصلحة المشروعة» كأساس قانوني لتطوير نماذج الذكاء الاصطناعي أو استخدامها، وما الذي يحدث إذا طُوّر نموذج باستخدام بيانات شخصية عولجت بطريقة غير قانونية .

لذلك، لا تقود هذه المصادر إلى إجابة خاصة مبسطة لألمانيا بمعزل عن الاتحاد الأوروبي. التقييم العملي يبدأ من المعالجة نفسها: ما البيانات الشخصية المعنية؟ لأي غرض؟ على أي أساس قانوني؟ وهل قد تؤثر مرحلة التطوير في مشروعية الاستخدام اللاحق؟

ما الذي يوضحه رأي EDPB 28/2024 فعلاً؟

الرأي لا يغطي كل سؤال قانوني ممكن عن الذكاء الاصطناعي. عنوانه ونطاقه يركزان على «جوانب معينة من حماية البيانات» مرتبطة بمعالجة البيانات الشخصية في سياق نماذج الذكاء الاصطناعي .

وهذه نقطة مهمة للشركات والجهات العامة والمطورين: لا يكفي وصف النظام بأنه «مدعوم بالذكاء الاصطناعي» للحكم عليه. التقييم يدور حول بيانات الأشخاص، والغرض من استخدامها، والأساس القانوني، وما إذا كان النموذج نفسه قد يحتفظ بعناصر ذات طابع شخصي .

1. نموذج الذكاء الاصطناعي ليس مجهول الهوية تلقائياً

من الأخطاء الشائعة افتراض أن البيانات الشخصية «تذوب» داخل النموذج بمجرد التدريب، وبالتالي يصبح النموذج مجهول الهوية. بيان EDPB يقول إن سلطات حماية البيانات يجب أن تقيّم ما إذا كان نموذج الذكاء الاصطناعي مجهول الهوية بحسب كل حالة على حدة .

عملياً، لا تكفي عبارة عامة مثل: «النموذج لا يعرض البيانات الخام». المطلوب هو تقييم قابل للدفاع عنه يوضح لماذا يمكن، في الظروف المحددة، اعتبار النموذج مجهول الهوية أو لا .

وتصبح المسألة أكثر حساسية إذا كانت بيانات شخصية محتفظاً بها داخل النموذج. مادة عرض صادرة عن ENISA بشأن رأي EDPB تعرض سيناريوهات قد يؤثر فيها احتفاظ النموذج ببيانات شخصية في مشروعية المعالجة اللاحقة، مع الحاجة إلى تقييم كل حالة على حدة .

2. «المصلحة المشروعة» قد تصلح أحياناً، لكنها ليست بطاقة عبور عامة

يتناول رأي EDPB صراحة ما إذا كان يمكن استخدام المصلحة المشروعة كأساس قانوني لتطوير نماذج الذكاء الاصطناعي أو استخدامها، وكيف يمكن ذلك . هذه إشارة مهمة، لكنها لا تعني أن كل مشروع ذكاء اصطناعي يمكن تبريره تلقائياً بهذا الأساس.

الفكرة ليست أن «المصلحة المشروعة» تصلح دائماً، بل أن على الجهة المسؤولة أن تثبت أن هذا الأساس مناسب للمعالجة المحددة: في مرحلة التطوير أو النشر أو الاستخدام الفعلي للنموذج .

وتزداد الصعوبة إذا كانت هناك مشكلة في خطوات سابقة. فمادة ENISA تشير إلى حالات يجب فيها، عند الاعتماد لاحقاً على المصلحة المشروعة، أخذ عدم المشروعية الأولي في الاعتبار ضمن تقييم المصلحة المشروعة .

3. تاريخ التدريب قد يلاحق النموذج

من النقاط المركزية في Opinion 28/2024 السؤال الآتي: ماذا لو طُوّر نموذج ذكاء اصطناعي باستخدام بيانات شخصية كانت قد عولجت بشكل غير قانوني؟

المغزى العملي أن أصل البيانات لا يختفي ببساطة لأن الجهة لم تعد تستخدم قاعدة البيانات الأصلية، بل تستخدم نموذجاً مدرباً عليها. إذا بقيت بيانات شخصية داخل النموذج، فقد يؤثر ذلك في مشروعية المعالجة اللاحقة، وتؤكد مادة ENISA أن الأمر يحتاج إلى تقييم بحسب الحالة .

وعندما تتعدد الأطراف، تصبح المسؤوليات أكثر أهمية. مادة ENISA تميز بين سيناريوهات يكون فيها المسؤول عن المعالجة هو نفسه، وسيناريوهات يكون فيها مسؤولون مختلفون، وتؤكد أن على كل مسؤول عن المعالجة ضمان مشروعية معالجته الخاصة .

قائمة فحص مختصرة لمشاريع الذكاء الاصطناعي وفق GDPR

هذه القائمة لا تغني عن استشارة قانونية متخصصة. لكنها تلخص أسئلة عملية مستمدة من مواد EDPB وENISA بشأن نماذج الذكاء الاصطناعي.

1. حدّد المرحلة والغرض

هل نتحدث عن تدريب النموذج؟ تطويره؟ نشره؟ استخدامه في خدمة أو منتج؟ بيان EDPB يتحدث صراحة عن استخدام البيانات الشخصية في تطوير نماذج الذكاء الاصطناعي ونشرها .

2. افحص وجود بيانات شخصية

وثّق أين تظهر البيانات الشخصية في السلسلة: في بيانات التدريب، أو الاختبار، أو المدخلات، أو المخرجات، أو داخل النموذج نفسه. Opinion 28/2024 يخص معالجة البيانات الشخصية في سياق نماذج الذكاء الاصطناعي .

3. لا تفترض إخفاء الهوية

إذا قيل إن النموذج مجهول الهوية، فيجب دعم ذلك بتحليل محدد. وفق بيان EDPB، تقييم ما إذا كان نموذج الذكاء الاصطناعي مجهول الهوية يتم بحسب كل حالة على حدة من جانب سلطات حماية البيانات .

4. اختبر الأساس القانوني بدقة

إذا كان الاعتماد على المصلحة المشروعة، فالسؤال ليس: هل نملك مصلحة؟ بل: هل تكفي هذه المصلحة كأساس قانوني لهذه المعالجة المحددة في هذا السياق؟ رأي EDPB يتناول ما إذا كان يمكن استخدام هذا الأساس لتطوير نماذج الذكاء الاصطناعي أو استخدامها، وكيف يمكن ذلك . ولا تظهر في المصادر المتاحة هنا أي «استثناء عام» للذكاء الاصطناعي من قواعد GDPR .

5. راجع محتوى النموذج وسجل التدريب

ينبغي فحص ما إذا كانت بيانات شخصية باقية في النموذج، وما إذا كانت البيانات المستخدمة في مرحلة التطوير قد عولجت بصورة مشروعة. كلا الأمرين قد يكون مهماً للمعالجة اللاحقة .

6. افصل المسؤوليات بين الأطراف

إذا شاركت جهات متعددة في التطوير أو التوفير أو الاستخدام، فيجب توضيح من هو المسؤول عن كل خطوة معالجة. مادة ENISA تؤكد أن على كل مسؤول عن المعالجة ضمان مشروعية معالجته الخاصة .

سوء فهم يتكرر كثيراً

«النموذج مجهول الهوية لأنني لا أرى البيانات الخام». ليس بالضرورة. بيان EDPB يقول إن مجهولية نموذج الذكاء الاصطناعي تُقيّم بحسب الحالة .

«المصلحة المشروعة تكفي دائماً». لا. رأي EDPB يناقش ما إذا كان يمكن استخدام المصلحة المشروعة وكيف، لكنه لا يحولها إلى مبرر تلقائي لكل استخدام للذكاء الاصطناعي .

«بعد التدريب لا تعود طريقة جمع البيانات مهمة». هذا تبسيط خطر. الرأي يتناول تحديداً ما يحدث عندما يطوَّر نموذج باستخدام بيانات شخصية عولجت بصورة غير قانونية . وإذا كانت بيانات شخصية محتفظاً بها في النموذج، فقد يؤثر ذلك في مشروعية المعالجة اللاحقة .

النتيجة

في ألمانيا والاتحاد الأوروبي، لا يصبح الذكاء الاصطناعي متوافقاً مع GDPR لمجرد أنه ذكاء اصطناعي، ولا يصبح غير قانوني لمجرد أنه يستخدم نماذج تعلم آلي. الاختبار الحقيقي هو معالجة البيانات الشخصية: هل توجد؟ هل الأساس القانوني مناسب؟ هل النموذج مجهول الهوية فعلاً؟ وهل توجد مشكلة في البيانات المستخدمة لتطويره قد تؤثر في الاستخدام اللاحق؟