Câu hỏi quan trọng không phải là một hệ thống có được gọi là “AI” hay không. Theo GDPR — Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu, ở Đức thường được gọi là DSGVO — điều cần xem là trong một mô hình AI cụ thể có xử lý dữ liệu cá nhân hay không, chẳng hạn ở giai đoạn phát triển hoặc khi đưa vào sử dụng, và việc xử lý đó đã được đánh giá đầy đủ về mặt bảo vệ dữ liệu hay chưa ^[3][4].

EDPB Opinion 28/2024, tức ý kiến của Ủy ban Bảo vệ Dữ liệu châu Âu về một số khía cạnh bảo vệ dữ liệu liên quan đến mô hình AI, là mốc tham chiếu quan trọng trong các nguồn hiện có ^[4]. Văn bản này không tạo ra “giấy phép trắng” cho mọi ứng dụng AI, nhưng cũng không nói rằng AI bị cấm một cách chung chung ^[3][4].

Kết luận ngắn gọn

Nói “AI tuân thủ GDPR” là quá rộng. Nói “dùng AI là vi phạm GDPR” cũng không chính xác. Cách tiếp cận của EDPB là xem xét bối cảnh mô hình AI có thể xử lý dữ liệu cá nhân, rồi đánh giá chính hoạt động xử lý đó ^[3][4].

Trong thông tin công bố ngày 18/12/2024, EDPB nêu ba câu hỏi trung tâm của Opinion 28/2024: khi nào và bằng cách nào mô hình AI có thể được coi là ẩn danh; liệu “lợi ích hợp pháp” có thể được dùng làm cơ sở pháp lý cho việc phát triển hoặc sử dụng mô hình AI hay không; và điều gì xảy ra nếu mô hình AI được phát triển bằng dữ liệu cá nhân từng bị xử lý trái pháp luật ^[3].

Vì vậy, với Đức cũng như toàn EU, các nguồn này không cho thấy một câu trả lời đặc biệt kiểu “AI luôn được phép” hoặc “AI luôn bị cấm”. Cần nhìn vào từng hoạt động xử lý: dữ liệu cá nhân nào được dùng, dùng để làm gì, dựa trên cơ sở pháp lý nào, và có rủi ro gì cho các bước xử lý tiếp theo ^[2][3][4].

EDPB Opinion 28/2024 thực sự nói gì?

Opinion 28/2024 chỉ nhắm đến “một số khía cạnh bảo vệ dữ liệu” liên quan đến việc xử lý dữ liệu cá nhân trong bối cảnh các mô hình AI ^[4]. Nói cách khác, đây không phải là câu trả lời cho mọi vấn đề pháp lý về AI, mà là hướng dẫn cho một số điểm GDPR đặc biệt quan trọng ^[3][4].

Điểm này rất đáng chú ý trong thực tế: một dự án AI không được đánh giá chỉ bằng nhãn công nghệ của nó. Cơ quan quản lý sẽ nhìn vào việc dữ liệu cá nhân được xử lý như thế nào trong bối cảnh cụ thể ^[3][4]. Ba chủ đề nổi bật là tính ẩn danh của mô hình, khả năng dựa vào cơ sở “lợi ích hợp pháp”, và tác động của việc dữ liệu có thể đã bị xử lý trái luật trong giai đoạn phát triển ^[2][3].

1. Mô hình AI không tự động là ẩn danh

Một hiểu lầm phổ biến là: nếu dữ liệu cá nhân đã được “hòa” vào mô hình thì mô hình đó tự động trở thành ẩn danh. Thông tin của EDPB cho thấy cơ quan bảo vệ dữ liệu phải đánh giá tính ẩn danh của mô hình AI theo từng trường hợp ^[3].

Điều này có nghĩa là chỉ tuyên bố “mô hình của chúng tôi đã ẩn danh” là chưa đủ. Câu hỏi thực sự là trong hoàn cảnh cụ thể, với mô hình cụ thể, có thể coi mô hình đó là ẩn danh hay không ^[3].

Việc kiểm tra càng quan trọng nếu dữ liệu cá nhân vẫn còn được giữ lại trong mô hình. Tài liệu hội thảo của ENISA về Opinion 28/2024 mô tả các tình huống trong đó dữ liệu cá nhân còn tồn tại trong mô hình có thể ảnh hưởng đến tính hợp pháp của hoạt động xử lý sau này; khi đó cần đánh giá theo từng trường hợp ^[2].

2. “Lợi ích hợp pháp” có thể dùng được, nhưng không tự động

EDPB Opinion 28/2024 xem xét rõ việc liệu “lợi ích hợp pháp” có thể được dùng làm cơ sở pháp lý cho phát triển hoặc sử dụng mô hình AI hay không ^[3]. Đây là một điểm quan trọng, nhưng không phải tấm vé thông hành cho mọi dự án.

Từ các tài liệu của EDPB hiện có, không thể suy ra rằng mọi hoạt động phát triển AI hoặc mọi trường hợp dùng AI đều mặc nhiên được bảo đảm bằng cơ sở “lợi ích hợp pháp”. Vấn đề là cơ sở này có đủ vững cho hoạt động xử lý cụ thể hay không ^[3].

Đánh giá sẽ nhạy cảm hơn nếu các bước xử lý trước đó đã có vấn đề. Tài liệu của ENISA nêu các trường hợp trong đó, nếu hoạt động xử lý về sau dựa trên lợi ích hợp pháp, thì sự bất hợp pháp ban đầu có thể cần được tính đến trong phần đánh giá lợi ích hợp pháp ^[2].

3. Lịch sử huấn luyện có vấn đề vẫn có thể để lại hệ quả

Một điểm cốt lõi khác của Opinion 28/2024 là điều gì xảy ra nếu mô hình AI được phát triển bằng dữ liệu cá nhân đã bị xử lý trái pháp luật ^[3].

Hệ quả thực tế là: nguồn gốc dữ liệu có vấn đề không tự biến mất chỉ vì về sau người ta không dùng trực tiếp tập dữ liệu ban đầu mà dùng mô hình AI. Nếu dữ liệu cá nhân còn được giữ lại trong mô hình, điều đó có thể ảnh hưởng đến tính hợp pháp của hoạt động xử lý sau này; theo tài liệu của ENISA, đây cũng là vấn đề phải đánh giá theo từng trường hợp ^[2].

Khi có nhiều bên tham gia, trách nhiệm càng phải được phân định rõ. Tài liệu của ENISA phân biệt các tình huống có cùng một bên kiểm soát dữ liệu hoặc các bên kiểm soát dữ liệu khác nhau, đồng thời nhấn mạnh rằng mỗi bên kiểm soát dữ liệu nên bảo đảm tính hợp pháp của hoạt động xử lý thuộc trách nhiệm của mình ^[2].

Danh sách kiểm tra GDPR cho dự án AI

Danh sách dưới đây không thay thế tư vấn pháp lý cho từng trường hợp. Nó tóm tắt những điểm kiểm tra nổi bật từ các tài liệu của EDPB và ENISA về mô hình AI.

1. Xác định giai đoạn và mục đích

Cần làm rõ hoạt động đang được xem xét là phát triển, triển khai, hay một dạng xử lý khác liên quan đến mô hình AI. Thông tin của EDPB nói rõ đến việc sử dụng dữ liệu cá nhân cho phát triển và triển khai mô hình AI ^[3].

2. Kiểm tra yếu tố dữ liệu cá nhân

Cần ghi nhận dữ liệu cá nhân có được xử lý hay không, và nếu có thì ở khâu nào. Opinion 28/2024 tập trung chính vào việc xử lý dữ liệu cá nhân trong bối cảnh mô hình AI ^[4].

3. Chứng minh tính ẩn danh, đừng chỉ tuyên bố

Nếu muốn coi mô hình là ẩn danh, đánh giá đó phải có cơ sở trong trường hợp cụ thể. Theo thông tin của EDPB, cơ quan bảo vệ dữ liệu sẽ xem xét tính ẩn danh của mô hình AI theo từng trường hợp ^[3].

4. Kiểm tra cơ sở pháp lý cụ thể

Nếu dựa vào “lợi ích hợp pháp”, cần đánh giá cơ sở này có thể áp dụng như thế nào cho chính hoạt động phát triển hoặc sử dụng đang xét ^[3]. Các nguồn hiện có không cho thấy có một ngoại lệ chung dành riêng cho AI ^[3][4].

5. Xem cả nội dung mô hình lẫn lịch sử dữ liệu

Cần xem liệu dữ liệu cá nhân có còn trong mô hình hay không, và dữ liệu ở giai đoạn phát triển đã được xử lý hợp pháp hay chưa. Cả hai điểm này đều có thể liên quan đến các bước xử lý sau ^[2][3].

6. Làm rõ trách nhiệm giữa các bên

Nếu nhiều tổ chức cùng tham gia phát triển, cung cấp hoặc sử dụng mô hình, cần xác định rõ ai chịu trách nhiệm cho bước xử lý nào. Tài liệu của ENISA nhấn mạnh mỗi bên kiểm soát dữ liệu nên bảo đảm tính hợp pháp của hoạt động xử lý của chính mình ^[2].

Những hiểu lầm thường gặp

“Không thấy dữ liệu thô nữa thì mô hình đã ẩn danh.” Không đơn giản như vậy. Theo EDPB, việc một mô hình AI có ẩn danh hay không phải được đánh giá theo từng trường hợp ^[3].

“Cứ viện dẫn lợi ích hợp pháp là đủ.” Opinion 28/2024 xem xét liệu và bằng cách nào lợi ích hợp pháp có thể được sử dụng; điều đó không đồng nghĩa với việc mọi trường hợp dùng AI đều tự động được biện minh ^[3].

“Mô hình đã huấn luyện xong thì nguồn gốc dữ liệu không còn quan trọng.” Opinion 28/2024 bàn trực tiếp đến trường hợp mô hình AI được phát triển bằng dữ liệu cá nhân bị xử lý trái pháp luật ^[3]. Nếu dữ liệu cá nhân còn được giữ lại trong mô hình, điều này có thể ảnh hưởng đến hoạt động xử lý về sau ^[2].

Điểm cần nhớ

Ở Đức và EU, AI không mặc nhiên tuân thủ GDPR chỉ vì nó là AI. Nhưng AI cũng không bị cấm chỉ vì nó là AI. Bài kiểm tra đáng tin cậy là: hoạt động xử lý dữ liệu cá nhân cụ thể diễn ra như thế nào, mô hình có thật sự ẩn danh hay không, cơ sở pháp lý là gì, dữ liệu còn nằm trong mô hình đến đâu, và liệu có hệ quả từ việc xử lý dữ liệu trái luật trước đó hay không ^[2][3][4].