Стаття 88c GDPR і навчання ШІ: що насправді може змінити Digital Omnibus

Навколо Digital Omnibus ЄС поширюється спрощене твердження: нібито компаніям хочуть дозволити навчати моделі штучного інтелекту на персональних даних без згоди людей. Однак запропонована стаття 88c GDPR не є таким необмеженим дозволом.

Її задум — прямо визнати законний інтерес за статтею 6(1)(f) GDPR можливою правовою підставою для обробки персональних даних, якщо це функціонально необхідно для законного проєктування, розроблення або використання системи чи моделі ШІ. Це не скасовує GDPR, не легалізує автоматично збирання даних із вебсайтів і не робить згоду непотрібною там, де її вимагає інше право ЄС або національне законодавство.13

Ключове уточнення: стаття 88c належить до пропозиції Digital Omnibus щодо даних, а не до окремого Digital Omnibus щодо ШІ, який уже набув статусу ухваленого регламенту. Пропозиція щодо даних ще проходить законодавчу процедуру, тож її остаточний текст і результат не визначені.

Що саме могла б змінити стаття 88c

За запропонованим формулюванням контролер даних або третя сторона потенційно могли б посилатися на законний інтерес для обробки даних протягом життєвого циклу ШІ — але лише коли така обробка функціонально необхідна для законного проєктування, розроблення чи використання системи або моделі.3

Тобто норма радше зробила б чіткішим шлях, який за певних обставин уже може існувати в межах GDPR. Європейська рада із захисту даних (EDPB) раніше зазначала, що законний інтерес у деяких випадках може бути належною правовою підставою для розроблення та розгортання моделей або систем ШІ.45

Але слово «може» тут принципове. Компанія не могла б просто заявити, що її інтерес у створенні моделі переважає все інше. Вона все одно мала б пройти звичний для GDPR тест законного інтересу:

• визначити реальний законний інтерес;
• довести, що обробка необхідна для його досягнення;
• зважити цей інтерес із правами та свободами людей, чиї дані обробляються.15

Так само продовжували б діяти інші норми ЄС і держав-членів, які вимагають згоди. Отже, стаття 88c не була б загальною ліцензією на збирання будь-яких відкритих чи приватних персональних даних для тренування моделей.1

Запобіжники: чому саме вони визначатимуть реальний ефект

Дискусія точиться не тільки про те, чи може законний інтерес бути підставою для ШІ-обробки, а й про обмеження, які мають супроводжувати таку обробку.

Серед обговорюваних гарантій — мінімізація даних під час добору джерел і навчання, технічні та організаційні заходи захисту, змістовна прозорість, а також механізми, що розпізнають машиночитані заперечення або відмови від обробки. Запропонований підхід також передбачає безумовне право заперечити проти відповідної ШІ-пов’язаної обробки.13

Саме ці запобіжники показують, чи є оцінка законного інтересу реальною, а не формальною. Мінімізація даних не дає розробнику підстави збирати все підряд лише тому, що інформація може стати корисною колись у майбутньому. Прозорість потрібна, аби людина могла зрозуміти, що відбувається з її даними. А ефективне право на заперечення не може зводитися до непомітного перемикача в налаштуваннях.

Чутливі дані не пропонують зробити «вільними для використання»

У дискусіях Ради ЄС щодо пов’язаного винятку для чутливих даних акцент зроблено на значно вужчій ситуації: випадковій та залишковій обробці спеціальних категорій даних. Ідеться про випадок, коли контролер не мав наміру обробляти чутливі дані, але певна їх частина неминуче трапляється в межах основної операції обробки. Це не те саме, що навмисно збирати чутливі персональні дані як матеріал для навчання.2

Чому EDPB та EDPS висловили застереження

Європейська рада із захисту даних (EDPB) і Європейський наглядовий орган із захисту даних (EDPS) не заперечували, що законний інтерес інколи може бути підставою для ШІ-пов’язаної обробки. Їхня головна позиція полягає в тому, що спеціальна стаття 88c може бути зайвою: чинний аналіз GDPR уже допускає такий висновок у відповідних випадках.45

Їхнє застереження має і практичний, і юридичний вимір. Нова спеціальна норма для ШІ може сприйматися не як уточнення, а як розширення дозволу — і тим самим створити невизначеність навколо усталених гарантій GDPR. Позиція регуляторів має консультативний, а не обов’язковий характер, проте вона важлива для законодавчих переговорів.5

Чи «повернули» статтю 88c: остаточної відповіді немає

Доступні законодавчі матеріали свідчать, що робота в Раді ЄС була суперечливою. Заплановане голосування COREPER — комітету постійних представників держав-членів — щодо переговорного мандата Ради скасували, оскільки не вдалося погодити відкриті питання. Після цього робота продовжилася під головуванням Ірландії в Раді ЄС.

Програма ірландського головування ставить за мету досягти домовленості з Європейським парламентом щодо пакета Digital Omnibus до кінця 2026 року. Водночас надані офіційні матеріали не підтверджують незалежно, що статтю 88c остаточно повернули до фінальної позиції Ради.

Тому найобережніше формулювання таке: стаття 88c залишається політично спірною та предметом переговорів. Її поки не можна вважати чинною правовою підставою, на яку компанії можуть посилатися замість дотримання наявних вимог GDPR.

Не плутати два різні пакети Digital Omnibus

Плутанина частково виникає через інший документ — Digital Omnibus щодо ШІ, який уже ухвалено як Регламент (ЄС) 2026/1744.

Він змінює графік застосування окремих положень Акта ЄС про штучний інтелект. Зокрема, обов’язки для автономних високоризикових систем, перелічених у Додатку III, почнуть застосовуватися з 2 грудня 2027 року. Для високоризикових систем, вбудованих у регульовані продукти, передбачено пізніший строк.1920

Коли вимоги Додатка III почнуть діяти, вони охоплюватимуть оцінювання та пом’якшення ризиків, якісні набори даних для зниження ризику дискримінації, журналювання і простежуваність, документацію, інформацію для операторів систем, людський нагляд, а також заходи із забезпечення надійності та кібербезпеки.20

Ці обов’язки Акта про ШІ відокремлені від питання GDPR: чи має компанія законну підставу обробляти персональні дані для навчання ШІ. Відтермінування вимог для високоризикового ШІ не означає ухвалення статті 88c.

Що це означає для розробників і людей, чиї дані можуть використати

Для розробників стаття 88c могла б дати більше текстової ясності, але не стала б коротким шляхом до відповідності законодавству. Обґрунтований підхід і надалі вимагав би задокументованої оцінки необхідності та балансу інтересів, мінімізації даних, прозорого інформування і дієвих процедур для розгляду заперечень.

Для людей головне питання — чи збереже остаточний закон змістовні межі: чи справді використання даних буде необхідним, чи залишаться чутливі дані жорстко обмеженими та чи можна буде технічно реалізувати заперечення, а не лише заявити про нього на папері.

Загальна картина не свідчить, що Європа відмовилася від превентивного регулювання ШІ. Ухвалений ШІ-Omnibus відклав частину обов’язків для високоризикових систем, тоді як окрема пропозиція щодо даних шукає чіткішу правову конструкцію для деяких видів обробки даних, пов’язаних із ШІ. Остаточний баланс залежатиме від переговорів Ради та Європейського парламенту, а також від тлумачення й правозастосування будь-якого ухваленого тексту.19