Het voorstel van de zogenoemde Digitale Omnibus heeft de nodige commotie veroorzaakt onder AI- en privacyjuristen. Deze Omnibus-wetsvoorstellen vormen een pakket van de Europese Commissie waarmee meerdere digitale wetten gelijktijdig worden aangepast, waaronder de Algemene verordening gegevensbescherming (‘AVG’) en de Data Act.
Het voorstel laat zien dat de Europese Commissie van plan is om onder meer de AVG op meerdere punten ingrijpend te wijzigen. Een belangrijke drijfveer lijkt de mondiale AI-race: de EU wil haar positie en concurrentievermogen versterken ten opzichte van de VS en China, die momenteel vooroplopen in AI-innovatie.
In één van onze eerdere blogs werden de mogelijke gevolgen van de Digitale Omnibus voor de AI-verordening al uiteengezet. In dit blog gaan we in op de voorgestelde wijzigingen aan de AVG, met een focus op het gebruik van (bijzondere) persoonsgegevens voor het trainen van AI-modellen. Voordat we de Digitale Omnibus bespreken, is het nuttig eerst kort de huidige regels rondom het gebruik van (bijzondere) persoonsgegevens voor het trainen van AI-modellen te behandelen.
Hoe zit het nu met het trainen van AI-modellen onder de AVG?
Eerder dit jaar kondigden verschillende sociale mediaplatformen, waaronder Facebook, LinkedIn en X, plannen aan om persoonsgegevens van gebruikers te gebruiken voor AI-trainingsdoeleinden. Dit wakkerde (opnieuw) de discussie aan over de vraag in hoeverre bedrijven persoonsgegevens mogen inzetten voor het trainen van AI-modellen.
Onder de AVG mogen persoonsgegevens alleen worden verwerkt wanneer er een rechtmatige grondslag is. Toestemming van gebruikers ligt als grondslag voor de hand, maar is in de praktijk lastig te bewerkstelligen wanneer AI-training plaatsvindt met de persoonsgegevens van miljoenen betrokkenen. Immers, hoe vraag je iedereen om toestemming? En hoe kunnen gebruikers geïnformeerd toestemming geven als niet duidelijk is welke gegevens worden gebruikt en voor welke doeleinden?
Veel bedrijven wijken daarom uit naar de grondslag gerechtvaardigd belang, bijvoorbeeld in het kader van het verbeteren van bestaande producten of het ontwikkelen van nieuwe digitale diensten. Volgens de European Data Protection (‘EDPB’) is een beroep op het gerechtvaardigd belang bij AI-training niet per definitie uitgesloten, maar hangt de rechtmatigheid af van de context, de aard van de gegevens, de verwachtingen van betrokkenen en passende waarborgen. Een beroep op het gerechtvaardigd belang vereist dus een zorgvuldige belangenafweging.
De Autoriteit Persoonsgegevens (‘AP’) stelt zich kritischer op ten aanzien van het gebruik van deze grondslag bij AI-training. Volgens de AP kan de effectiviteit van bepaalde maatregelen, zoals het filteren van persoonsgegevens voordat ze voor AI-training worden gebruikt, pas in de praktijk worden beoordeeld. Daarnaast roept zij consumenten op om hun recht van bezwaar uit te oefenen bij het gebruik van persoonsgegevens voor AI-trainingsdoeleinden door grote techbedrijven.
Het gebruik van bijzondere persoonsgegevens (zoals gegevens over etniciteit, religie of gezondheid) voor AI-trainingsdoeleinden ligt iets gevoeliger. De verwerking van bijzondere persoonsgegevens is onder de AVG in beginsel niet toegestaan, tenzij de gebruiker uitdrukkelijke toestemming geeft of één van de andere wettelijke uitzonderingsgronden zich voordoet. Als de betrokkene de bijzondere persoonsgegevens zelf duidelijk openbaar heeft gemaakt, kan dit in sommige gevallen een uitzondering op het verwerkingsverbod vormen. Dit moet dan voorafgaand aan de AI-training zorgvuldig worden beoordeeld. Indien bedrijven zich niet op een dergelijke uitzonderingsgrond kunnen beroepen, wordt de inzet van deze bijzondere persoonsgegevens voor AI-training als onrechtmatig beschouwd.
Wat verandert de Digitale Omnibus aan de AVG?
De Digitale Omnibus stelt voor om een nieuw artikel 88c aan de AVG toe te voegen, waarmee persoonsgegevens op basis van het gerechtvaardigd belang verwerkt mogen worden voor het trainen van AI-modellen. Dit houdt in dat er in principe geen toestemming van de betrokkenen nodig is om hun gegevens te gebruiken voor het trainen van AI-modellen. Dit verandert weinig aan de feitelijke situatie, aangezien het gebruik van persoonsgegevens voor AI-training nu toch veelal wordt gebaseerd op het gerechtvaardigd belang. Het artikel zou juist duidelijkheid scheppen, en de lopende discussie onder privacytoezichthouders over de toepassing van het gerechtvaardigd belang bij AI-training definitief oplossen.
Daarnaast blijkt uit het voorstel dat de Europese Commissie een extra uitzondering op het verwerkingsverbod van bijzondere persoonsgegevens wil opnemen in artikel 9 van de AVG, zodat het gebruik van deze gegevens voor de ontwikkeling en toepassing van AI-modellen mogelijk wordt. Hierdoor ontstaat er meer ruimte om bijzondere persoonsgegevens te gebruiken voor AI-training dan momenteel het geval is. De vraag is echter of dit wel wenselijk is. Het huidige verbod op het verwerken van bijzondere persoonsgegevens bestaat niet zonder reden: deze gegevens onthullen namelijk wezenlijke verschillen tussen mensen en groepen, zoals ras, etniciteit of seksuele voorkeur. Des te meer van deze gegevens worden gebruikt voor AI-training, des te beter AI-modellen worden in het profileren van personen. Daarnaast is het denkbaar dat een AI-model op basis van een grote hoeveelheid trainingsdata op den duur een vrij nauwkeurig profiel van een nieuwe betrokkene kan opstellen. Het risico hiervan hangt uiteindelijk af van hoe het model wordt ingezet door de gebruiksverantwoordelijke, maar het gevaar van misbruik of discriminatie ligt wel degelijk op de loer.
Wat betekent het voorstel voor de toekomst van de AVG?
De Digitale Omnibus betreft op dit moment slechts een voorstel. De inhoud zal naar verwachting nog onderwerp zijn van politieke onderhandelingen, en de voorgestelde wijzigingen zijn nog niet officieel vastgesteld. Voorlopig blijft de AVG zoals wij die kennen dus onverkort van kracht.
Het voorstel is echter niet zonder risico’s: het kan leiden tot rechtsonzekerheid, verwarring bij organisaties en mogelijk kostbare juridische procedures. De vraag is dan ook of de concurrentiepositie van Europese bedrijven hiermee daadwerkelijk wordt versterkt, of dat vooral Big Tech hiervan profiteert en haar macht ziet toenemen.
Tegelijkertijd kan het in sommige gevallen juist nuttig zijn om AI-modellen (tijdelijk) te trainen of testen met (bijzondere) persoonsgegevens, bijvoorbeeld om te kunnen zien of een systeem bevooroordeeld is of discriminerende uitkomsten geeft. Zonder inzicht in hoe systemen uitpakken voor verschillende groepen blijven structurele ongelijkheden immers al snel onzichtbaar.
Al met al roept het voorstel belangrijke vragen op over de toekomstbestendigheid van de AVG en de precaire balans tussen innovatie en de bescherming van fundamentele rechten. Zal het robuuste Europese privacy kader dan uiteindelijk toch moeten wijken voor de druk van internationale AI-ontwikkeling?
Wil je meer lezen over dit onderwerp? Bekijk ons vorige blog over de Digital Omnibus.
Blog: Digital Omnibus: versoepeling of ondermijning van de AVG?
