Статья 88c GDPR: что изменит для обучения ИИ на персональных данных

Дискуссию вокруг цифрового пакета ЕС Digital Omnibus нередко сводят к простой формуле: компаниям хотят разрешить обучать ИИ на персональных данных без согласия пользователей. Это слишком грубое и не вполне точное описание.

Речь идёт о проекте статьи 88c GDPR — Общего регламента ЕС по защите данных. Она прямо признавала бы законный интерес из статьи 6(1)(f) GDPR возможным правовым основанием для обработки персональных данных, если такая обработка функционально необходима для законного проектирования, разработки или использования системы либо модели ИИ. Это не отменяет GDPR, не делает автоматически допустимым веб-скрейпинг и не устраняет требование согласия там, где оно предусмотрено другими нормами.13

Важно не смешивать два разных досье. Статья 88c относится к проекту Digital Omnibus по данным, который всё ещё проходит законодательную процедуру ЕС. Его окончательный текст не согласован. А отдельный Digital Omnibus по ИИ уже принят как Регламент (ЕС) 2026/1744.

Что именно могла бы изменить статья 88c

По предложенной формулировке контролёр данных или третье лицо потенциально смогли бы опираться на законный интерес при обработке персональных данных на протяжении жизненного цикла ИИ-системы или модели — но лишь когда это функционально необходимо для её законного проектирования, разработки или использования.3

По сути, это сделало бы более явным путь, который в отдельных ситуациях уже существует в GDPR. Европейский совет по защите данных (EDPB) ранее указывал, что законный интерес иногда может быть подходящим основанием при разработке и внедрении моделей или систем ИИ.45

Однако слово «может» здесь принципиально. Компании недостаточно заявить, что создание модели отвечает её интересам. Ей по-прежнему пришлось бы пройти обычную проверку законного интереса:

• определить реальный и законный интерес;
• показать, что обработка необходима для этого интереса;
• сопоставить его с правами и свободами людей, чьи данные используются.15

Кроме того, продолжают действовать иные нормы ЕС и национального права, которые требуют согласия. Поэтому статья 88c не была бы универсальной лицензией на сбор любых открытых или закрытых персональных данных для обучения моделей.1

Какие гарантии обсуждаются

Главный спор идёт не столько о том, может ли законный интерес когда-либо применяться к ИИ, сколько о том, какие ограничения должны его сопровождать.

Среди обсуждаемых гарантий — минимизация данных при отборе источников и обучении, технические и организационные меры защиты, содержательная прозрачность, а также механизмы для машиночитаемых возражений или отказа от использования данных. Предлагаемый подход также предусматривает безусловное право возразить против соответствующей обработки, связанной с ИИ.13

Именно эти ограничения определяют, будет ли оценка законного интереса реальной, а не формальной. Минимизация данных не позволяет собирать всё подряд только потому, что информация может когда-нибудь пригодиться. Прозрачность даёт человеку возможность понять, что происходит с его данными. А эффективное право на возражение не должно сводиться к спрятанной в настройках опции.

Чувствительные данные — не «свободная зона»

В обсуждениях Совета ЕС связанное исключение для специальных категорий данных предлагалось ограничить более узким случаем: случайной и остаточной обработкой. То есть контролёр изначально не намеревался обрабатывать чувствительные данные, но они неизбежно оказались внутри основной операции обработки. Это не то же самое, что целенаправленно собирать чувствительные персональные данные как материал для обучения.2

Почему EDPB и EDPS высказали сомнения

EDPB и Европейский инспектор по защите данных (EDPS) не отрицали, что законный интерес иногда может служить основанием для обработки, связанной с ИИ. Их основная позиция состояла в том, что специальная статья 88c не нужна: действующий анализ по GDPR уже допускает такой вывод в подходящих обстоятельствах.45

Опасение регуляторов носит и практический, и юридический характер. Новая специальная норма для ИИ может восприниматься не как разъяснение, а как выход за его пределы — и тем самым создать неопределённость вокруг устоявшихся гарантий GDPR. Их мнение носит консультативный, а не обязательный характер, но в переговорах оно имеет вес.5

Статус статьи 88c: вопрос остаётся открытым

Законодательные материалы показывают, что работа в Совете ЕС шла непросто. Запланированное голосование COREPER — комитета постоянных представителей государств ЕС — по переговорному мандату Совета отменили, поскольку по открытым вопросам не удалось достичь согласия. Затем работа перешла к председательству Ирландии в Совете ЕС.

В программе ирландского председательства заявлена цель добиться соглашения с Европейским парламентом по пакету Digital Omnibus до конца 2026 года. Но представленные официальные материалы сами по себе не подтверждают, что статья 88c окончательно возвращена в финальную позицию Совета.

Наиболее точная формулировка сейчас такова: статья 88c остаётся предметом политического спора и переговоров. Её нельзя считать действующим юридическим основанием, которым компании уже могут пользоваться вместо соблюдения нынешних требований GDPR.

Не путать с уже принятым Digital Omnibus по ИИ

Отдельный Digital Omnibus по ИИ уже стал законом — это Регламент (ЕС) 2026/1744.

Он меняет сроки применения отдельных частей AI Act — Акта ЕС об искусственном интеллекте. В частности, обязанности для самостоятельных высокорисковых систем из приложения III начнут применяться 2 декабря 2027 года. Для высокорисковых систем, встроенных в регулируемые продукты, предусмотрен более поздний срок.1920

Когда требования приложения III начнут действовать, они будут включать оценку и снижение рисков, качественные наборы данных для уменьшения дискриминационных последствий, журналирование и прослеживаемость, документацию, информацию для эксплуатирующих систему организаций, человеческий надзор, меры устойчивости и кибербезопасности.20

Эти обязанности AI Act отделены от вопроса GDPR: на каком основании допустимо обрабатывать персональные данные для обучения ИИ. Перенос сроков для высокорисковых систем не означает принятия статьи 88c.

Что это означает для разработчиков и пользователей

Для разработчиков статья 88c могла бы дать больше ясности в тексте закона, но не стала бы упрощённым маршрутом к соответствию требованиям. По-прежнему нужны документированная оценка необходимости и баланса интересов, минимизация данных, понятное информирование и рабочие процедуры для обработки возражений.

Для людей, чьи данные могут использоваться, ключевой вопрос — сохранятся ли в итоговом законе содержательные ограничения. Действительно ли использование данных необходимо? Останется ли работа с чувствительными данными строго ограниченной? Будут ли возражения технически действенными, а не символическими?

Европа не отказалась от превентивного регулирования ИИ. Принятый AI Omnibus отложил часть обязанностей для высокорисковых систем, тогда как отдельный проект по данным ищет более ясную правовую конструкцию для некоторых видов обработки данных, связанных с ИИ. Окончательный баланс определят переговоры Совета ЕС и Европарламента, а затем — толкование и правоприменение принятого текста.19