Cadangan EU Artikel 88c dan Data Latihan AI: Apa Yang Sebenarnya Berubah?

Perbahasan tentang pakej Digital Omnibus Kesatuan Eropah (EU) kerap diringkaskan begini: syarikat bakal boleh melatih kecerdasan buatan (AI) menggunakan data peribadi tanpa persetujuan. Ringkasan itu terlalu luas dan boleh mengelirukan.

Peruntukan yang diperdebatkan ialah cadangan Artikel 88c GDPR. Ia akan mengiktiraf dengan jelas bahawa kepentingan sah (legitimate interest) di bawah Artikel 6(1)(f) GDPR boleh menjadi satu asas undang-undang bagi pemprosesan data peribadi yang perlu secara fungsian untuk mereka bentuk, membangunkan atau menggunakan sistem atau model AI secara sah. Ia bukan pemansuhan GDPR, bukan pengesahan automatik terhadap pengikisan data web, dan bukan juga menjadikan persetujuan tidak lagi penting apabila undang-undang lain mensyaratkannya.13

Penting untuk membezakan dua fail undang-undang. Artikel 88c berada dalam cadangan Digital Omnibus mengenai data, yang masih melalui proses perundangan EU. Maka, teks muktamad dan hasilnya belum diputuskan.

Apa yang Artikel 88c boleh ubah

Di bawah rumusan yang dicadangkan, pengawal data atau pihak ketiga berpotensi menggunakan asas kepentingan sah bagi pemprosesan data peribadi sepanjang kitar hayat sistem atau model AI, jika pemprosesan itu perlu secara fungsian untuk reka bentuk, pembangunan atau penggunaannya yang sah.3

Ini pada asasnya menjadikan laluan yang boleh pun wujud di bawah GDPR lebih nyata dalam konteks AI. Lembaga Perlindungan Data Eropah (EDPB) sebelum ini menyatakan bahawa kepentingan sah mungkin, dalam keadaan tertentu, menjadi asas undang-undang yang sesuai untuk membangunkan dan menggunakan model atau sistem AI.45

Namun, perkataan “mungkin” amat penting. Syarikat tidak boleh sekadar mendakwa bahawa kepentingan membina model AI mengatasi hak orang ramai. Ia masih perlu memenuhi ujian biasa bagi kepentingan sah, termasuk:

• mengenal pasti kepentingan yang benar-benar sah;
• membuktikan pemprosesan itu perlu untuk kepentingan tersebut; dan
• menimbang kepentingan itu terhadap hak serta kebebasan individu yang datanya diproses.15

Selain itu, peraturan EU atau undang-undang negara anggota yang masih mewajibkan persetujuan akan terus terpakai. Justeru, Artikel 88c bukan kebenaran umum untuk mengumpul apa sahaja data peribadi, sama ada terbuka atau sulit, demi melatih model.1

Perlindungan yang dicadangkan: bukan sekadar formaliti

Tumpuan perbahasan bukan hanya pada persoalan sama ada kepentingan sah boleh digunakan, tetapi juga pada perlindungan yang mesti mengiringinya.

Antara perlindungan yang dibincangkan ialah peminimuman data ketika memilih sumber dan melatih model, langkah teknikal serta organisasi, ketelusan yang bermakna, dan mekanisme yang mengiktiraf bantahan atau pilihan keluar (opt-out) dalam format boleh dibaca mesin. Pendekatan itu juga merangkumi hak membantah tanpa syarat bagi pemprosesan AI yang berkaitan.13

Secara praktikal, perkara ini menentukan sama ada penilaian “kepentingan sah” benar-benar melindungi orang ramai atau hanya menjadi alasan di atas kertas:

• Peminimuman data menghalang hujah bahawa pembangun boleh mengumpul semua data hanya kerana ia mungkin berguna pada masa depan.
• Ketelusan membolehkan individu memahami bagaimana data mereka digunakan.
• Hak membantah yang berkesan memerlukan lebih daripada tetapan pilihan yang sukar ditemui atau tidak berfungsi secara teknikal.

Data sensitif bukan bahan latihan bebas

Perbincangan Majlis EU mengenai pengecualian berkaitan data sensitif mencadangkan skop yang lebih sempit: pemprosesan data kategori khas yang sampingan dan berbaki (incidental and residual). Maksudnya, pengawal data pada asalnya tidak berniat memproses data sensitif, tetapi sebahagian data tersebut tidak dapat dielakkan dalam operasi pemprosesan utama.

Ia berbeza daripada mengumpulkan data sensitif—misalnya data kesihatan, biometrik atau pandangan politik—secara sengaja sebagai bahan latihan AI.2

Mengapa EDPB dan EDPS membangkitkan kebimbangan

EDPB dan Penyelia Perlindungan Data Eropah (EDPS) tidak menafikan bahawa kepentingan sah kadangkala boleh menyokong pemprosesan berkaitan AI. Kebimbangan utama mereka ialah Artikel 88c khusus mungkin tidak diperlukan kerana analisis GDPR sedia ada sudah membenarkan kesimpulan itu dalam situasi yang sesuai.45

Menurut mereka, peruntukan AI khusus baharu boleh dibaca sebagai melangkaui penjelasan semata-mata dan mewujudkan ketidakpastian terhadap perlindungan GDPR yang telah mantap. Pandangan kedua-dua badan ini bersifat nasihat, bukan mengikat, tetapi tetap penting dalam rundingan perundangan.5

Status Artikel 88c: masih dipertikaikan, belum menjadi undang-undang

Bahan perundangan yang tersedia menunjukkan kerja Majlis EU masih tidak mencapai kata sepakat. Undian COREPER—jawatan kuasa wakil tetap negara anggota EU—yang dirancang untuk meluluskan mandat rundingan Majlis telah dibatalkan kerana isu tertunggak tidak dapat diselesaikan. Kerja itu kemudian diteruskan di bawah Presidensi Majlis EU oleh Ireland.

Program presidensi Ireland menyatakan sasaran untuk mencapai persetujuan dengan Parlimen Eropah mengenai pakej Digital Omnibus menjelang akhir 2026. Namun, bahan rasmi yang tersedia tidak membuktikan secara bebas bahawa Artikel 88c telah dimasukkan semula secara muktamad dalam pendirian akhir Majlis.

Huraian paling selamat ialah: Artikel 88c masih dipertikaikan secara politik dan boleh dirunding. Syarikat belum boleh menganggapnya sebagai asas undang-undang yang berkuat kuasa untuk menggantikan keperluan GDPR sedia ada.

Jangan keliru dengan Digital Omnibus mengenai AI

Kekeliruan timbul kerana terdapat satu langkah lain, iaitu Digital Omnibus mengenai AI, yang telah pun diterima pakai sebagai Peraturan (EU) 2026/1744.

Langkah itu mengubah jadual pelaksanaan beberapa bahagian Akta AI EU. Khususnya, kewajipan terhadap sistem AI berisiko tinggi yang disenaraikan dalam Lampiran III akan berkuat kuasa mulai 2 Disember 2027. Sistem AI berisiko tinggi yang terbina dalam produk terkawal pula mempunyai jadual yang lebih lewat.1920

Apabila kewajipan Lampiran III mula terpakai, ia merangkumi penilaian dan pengurangan risiko, set data berkualiti tinggi untuk mengurangkan hasil diskriminasi, rekod aktiviti dan kebolehkesanan, dokumentasi, maklumat kepada pihak yang menggunakan sistem, pengawasan manusia, serta langkah keteguhan dan keselamatan siber.20

Kewajipan Akta AI ini berasingan daripada persoalan GDPR: sama ada data peribadi boleh diproses untuk latihan AI. Penangguhan kewajipan AI berisiko tinggi tidak bermakna Artikel 88c telah diluluskan.

Apa maknanya kepada pembangun AI dan orang ramai

Bagi pembangun, Artikel 88c mungkin menawarkan kejelasan teks, tetapi bukan jalan pintas pematuhan. Pendekatan yang kukuh masih memerlukan penilaian keperluan dan keseimbangan yang didokumenkan, peminimuman data, amalan pemberitahuan yang telus, serta proses operasi untuk menerima dan melaksanakan bantahan.

Bagi individu, persoalan utama ialah sama ada undang-undang akhirnya mengekalkan had yang benar-benar bermakna: adakah penggunaan data itu benar-benar perlu, adakah data sensitif kekal dikawal secara sempit, dan adakah bantahan boleh dilaksanakan secara teknikal—bukan sekadar simbolik.

Arah perubahan yang lebih tepat bukanlah bahawa Eropah telah meninggalkan kawal selia AI secara pencegahan. Digital Omnibus mengenai AI yang telah diterima pakai menunda sebahagian kewajipan berisiko tinggi, manakala cadangan data yang berasingan meneliti laluan yang lebih jelas bagi sesetengah pemprosesan data berkaitan AI. Keseimbangan terakhir bergantung pada rundingan Majlis–Parlimen Eropah dan cara mana-mana teks yang diluluskan kelak ditafsir serta dikuatkuasakan.19