Короткий ответ: нельзя сказать, что «ИИ соответствует GDPR» вообще и всегда. Но столь же неверно утверждать, что любой ИИ в ЕС автоматически незаконен. В логике GDPR важна не этикетка «искусственный интеллект», а то, обрабатываются ли персональные данные при разработке или использовании конкретной модели, с какой целью, на каком правовом основании и с какими рисками ^[3][4].

Главный ориентир в имеющихся источниках — Opinion 28/2024 Европейского совета по защите данных. Этот документ касается отдельных аспектов защиты данных при обработке персональных данных в контексте ИИ‑моделей ^[4]. Он не даёт бизнесу «карт-бланш», но и не вводит общего запрета на ИИ ^[3][4].

Фактчек в двух словах

Фраза «ИИ GDPR‑совместим» слишком широкая. GDPR работает иначе: проверяется не технология в целом, а конкретная операция обработки данных — например, сбор данных для обучения, дообучение модели, развёртывание сервиса или использование модели в продукте ^[3][4].

В сообщении от 18 декабря 2024 года EDPB выделил три центральных вопроса Opinion 28/2024: когда и как ИИ‑модель может считаться анонимной, можно ли и как использовать «законный интерес» как правовое основание для разработки или применения ИИ‑моделей, а также что происходит, если модель была разработана с использованием персональных данных, обработанных незаконно ^[3].

Для Германии из этих материалов не следует отдельного упрощённого ответа. Поскольку речь идёт о требованиях GDPR в ЕС, немецкий контекст также требует проверки конкретной обработки: какие персональные данные затронуты, зачем они используются, на каком основании и может ли история разработки повлиять на последующие этапы ^[2][3][4].

Что на самом деле разъясняет Opinion 28/2024

Opinion 28/2024 прямо посвящена не всем вопросам права об ИИ, а «отдельным аспектам защиты данных», связанным с обработкой персональных данных в контексте ИИ‑моделей ^[4]. Поэтому документ не закрывает все юридические риски ИИ‑проектов, но задаёт важную рамку для GDPR‑оценки ^[3][4].

Практический смысл такой: проект нельзя признать законным или незаконным только потому, что в нём используется ИИ. Нужно смотреть, есть ли персональные данные, остаются ли они в модели, можно ли говорить об анонимности, есть ли правовое основание и не тянется ли за моделью проблемная история обучения ^[2][3].

1. ИИ‑модель не становится анонимной автоматически

Распространённая ошибка звучит так: если исходные данные уже не видны пользователю, значит модель анонимна. EDPB формулирует осторожнее: вопрос о том, является ли ИИ‑модель анонимной, надзорные органы по защите данных должны оценивать в каждом конкретном случае ^[3].

Иными словами, одной фразы «данные растворились в модели» недостаточно. Нужна обоснованная оценка того, может ли именно эта модель в этих условиях считаться анонимной ^[3].

Особенно важна такая проверка, если персональные данные фактически сохраняются в модели. В материалах ENISA по Opinion 28/2024 описываются сценарии, где сохранение персональных данных в модели может повлиять на законность последующей обработки; для этого требуется оценка по обстоятельствам дела ^[2].

2. «Законный интерес» возможен, но это не универсальная кнопка

Opinion 28/2024 отдельно рассматривает, можно ли и как опираться на законный интерес как правовое основание при разработке или использовании ИИ‑моделей ^[3]. Для компаний это важный пункт, но он не означает автоматического разрешения.

Из материалов EDPB не следует, что любая разработка или любое применение ИИ всегда покрывается законным интересом. Проверяется, подходит ли это основание для конкретной операции обработки данных ^[3].

Ситуация становится ещё чувствительнее, если ранние этапы обработки были проблемными. Материалы ENISA указывают, что при последующей обработке на основании законного интереса первоначальная незаконность может учитываться в такой оценке ^[2].

3. Проблемное обучение модели может иметь последствия позже

Ещё один ключевой вопрос Opinion 28/2024: что делать, если ИИ‑модель была разработана с использованием персональных данных, которые ранее обрабатывались незаконно ^[3].

Практический вывод: сомнительное происхождение данных не исчезает автоматически только потому, что вместо исходного набора данных теперь используется модель. Если персональные данные сохраняются в модели, это может повлиять на законность последующей обработки; материалы ENISA также говорят о необходимости оценки по конкретным обстоятельствам ^[2].

Если в проекте участвуют несколько сторон, важно разграничить ответственность. Материалы ENISA различают сценарии с одним и разными контролёрами данных и подчёркивают: каждый контролёр должен обеспечивать законность собственной обработки ^[2].

Короткая GDPR‑проверка для ИИ‑проекта

Это не замена индивидуальной юридической консультации, а практическая рамка по тем пунктам, которые следуют из материалов EDPB и ENISA.

1. Разделите этапы проекта

Сначала определите, о чём именно идёт речь: разработка модели, её развёртывание, последующее использование или иной этап. Сообщение EDPB прямо касается использования персональных данных для разработки и deployment ИИ‑моделей ^[3].

2. Проверьте, есть ли персональные данные

Зафиксируйте, где именно обрабатываются персональные данные. Opinion 28/2024 посвящена именно обработке персональных данных в контексте ИИ‑моделей ^[4].

3. Докажите анонимность, а не просто заявите о ней

Если модель считается анонимной, это должно быть обосновано. По позиции EDPB, анонимность ИИ‑модели оценивается надзорными органами по защите данных в каждом конкретном случае ^[3].

4. Отдельно проверьте правовое основание

Если проект опирается на законный интерес, нужно показать, почему это основание применимо именно к данной разработке или данному использованию модели ^[3]. Общего исключения «для ИИ» из имеющихся источников не следует ^[3][4].

5. Посмотрите, что осталось внутри модели

Важно понять, сохраняются ли персональные данные в модели и были ли они законно обработаны на этапе разработки. Оба фактора могут быть значимыми для последующих операций ^[2][3].

6. Разграничьте ответственность участников

Если модель разрабатывает одна организация, предоставляет другая, а использует третья, нужно ясно определить, кто отвечает за какой этап обработки. В материалах ENISA подчёркивается, что каждый контролёр должен обеспечивать законность своей собственной обработки ^[2].

Частые заблуждения

«Модель анонимна, потому что исходные данные не видны». Не обязательно. EDPB указывает, что анонимность ИИ‑модели должна оцениваться по конкретным обстоятельствам ^[3].

«Законный интерес подходит всегда». Нет. Opinion 28/2024 рассматривает, можно ли и как использовать законный интерес, но это не превращает его в универсальное основание для любого ИИ‑проекта ^[3].

«После обучения происхождение данных уже не важно». Тоже нет. Opinion 28/2024 прямо рассматривает ситуацию, когда модель была разработана с использованием незаконно обработанных персональных данных ^[3]. Если персональные данные сохраняются в модели, это может влиять на последующую обработку ^[2].

Вывод

ИИ в Германии и ЕС не становится GDPR‑совместимым просто потому, что это ИИ. Но и сам факт использования ИИ не означает запрета. Надёжный фактчек звучит так: решает конкретная обработка персональных данных — включая анонимность модели, правовое основание, содержимое модели и возможные последствия незаконной обработки данных на этапе разработки ^[2][3][4].