Wokół analityki wielkich zbiorów danych narosło przekonanie, że technologia rozwija się w próżni prawnej. To jednak złudzenie – operacje te podlegają rygorystycznym ramom, a kluczem do zrozumienia technicznego źródła tych ryzyk jest model 4Vs (Volume, Velocity, Variety, Veracity). To właśnie te cztery cechy sprawiają, że tradycyjne, manualne metody kontroli zgodności z prawem (compliance) całkowicie zawodzą, wymuszając pełną automatyzację, która bez ścisłego nadzoru łatwo wymyka się spod kontroli.
RODO nakazuje zbieranie tylko tylu danych, ile jest niezbędne do osiągnięcia konkretnego celu. Tymczasem potęga Big Data tkwi w gromadzeniu petabajtów informacji „na zapas” i szukaniu w nich ukrytych korelacji. Im większa skala (Volume), tym większe ryzyko, że system przetwarza dane nadmiarowe, a w przypadku wycieku – skala naruszenia prywatności staje się masowa.
Tradycyjne procedury prawne zakładają, że człowiek może przeanalizować proces, zanim ten się wydarzy. W Big Data strumienie danych płyną i są analizowane w ułamkach sekund (Velocity) – na przykład podczas licytacji reklam w czasie rzeczywistym (RTB) czy monitoringu ruchu miejskiego. Przy tej prędkości żadna ludzka komórka prawna nie jest w stanie zweryfikować, czy system w danym momencie nie narusza prawa. Decyzje o profilowaniu użytkownika zapadają natychmiastowo i masowo.
Dane w Big Data to nie tylko uporządkowane tabele w Excelu. To niesformatowany miks tekstów z mediów społecznościowych, nagrań głosowych, geolokalizacji czy historii kliknięć (Variety). Ta różnorodność powoduje, że systemy łączą pozornie niegroźne, publiczne informacje (np. polubienia i trasy przejazdów) i na ich podstawie potrafią bezbłędnie zidentyfikować konkretnego człowieka oraz poznać jego intymne sekrety. Klient nigdy nie wie, na co właściwie wyraża zgodę, ponieważ systemy potrafią wyciągnąć wnioski z danych, których on sam nigdy nie uznałby za prywatne.
Wielkie zbiory danych bardzo często zawierają informacje zaszumione, niepełne lub fałszywe (Veracity). Jeśli algorytm podejmuje decyzje na podstawie niesprawdzonych danych, pojawia się zjawisko „garbage in, garbage out” (śmieci na wejściu, śmieci na wyjściu). W efekcie system może podjąć błędną i krzywdzącą decyzję o człowieku.
Ponieważ cechy te (ogromna masa, zawrotna prędkość i chaos strukturalny danych) uniemożliwiają ludzki nadzór, biznes musiał oddać pełną kontrolę algorytmom. To właśnie ta wymuszona przez 4Vs automatyzacja tworzy realne zagrożenia w codziennym życiu:
W ten sposób model 4Vs domyka pułapkę: techniczna charakterystyka danych zmusza nas do porzucenia ludzkiej kontroli na rzecz automatycznych algorytmów. Te z kolei – pozbawione wbudowanych na etapie projektowania hamulców prawnych i etycznych (privacy-by-design) – błyskawicznie przekształcają narzędzia optymalizacji biznesu w systemy masowej, bezprawnej inwigilacji i profilowania obywateli.
Europa staje się dziś globalnym liderem w wyznaczaniu cyfrowych granic. Dotychczasowy fundament, jakim było Ogólne Rozporządzenie o Ochronie Danych (RODO) oraz przepisy dotyczące plików cookies (ePrivacy), to zaledwie początek. Przedsiębiorcy muszą dziś opanować zupełnie nową mapę drogową unijnych regulacji, określaną często jako cyfrowy wielopak:
Cena za zignorowanie tych przepisów jest gigantyczna. Kary finansowe sięgające od kilku do nawet 7% globalnego rocznego obrotu przedsiębiorstwa mogą doprowadzić do upadku nawet stabilne podmioty. Co więcej, w wielu systemach prawnych odpowiedzialność za najcięższe naruszenia schodzi na poziom personalny, dotykając bezpośrednio członków zarządu i kadrę menedżerską. Chodzi tu o świadome przetwarzanie danych bez podstawy prawnej czy udaremnianie kontroli.
W wymiarze operacyjnym walka o zgodność z przepisami (compliance) toczy się każdego dnia na poziomie mikro. Współczesne definicje danych osobowych dawno wykroczyły poza imię, nazwisko czy PESEL. Dziś daną osobową jest unikalny identyfikator zapisany w pliku cookie, adres IP, dane geolokalizacyjne. A w zaawansowanej analityce nawet profil behawioralny tworzony na podstawie dynamiki korzystania z klawiatury (keystrokes).
Użytkownicy internetu są coraz bardziej świadomi swoich praw. Organizacje na całym świecie mierzą się z plagą tzw. Monster DSAR (Data Subject Rights Requests) – masowych i niezwykle obszernych żądań obywateli o wgląd w każdą informację, jaką firma na ich temat posiada, oraz o realizację „prawa do bycia zapomnianym”. Ręczna obsługa takich zapytań paraliżuje działy prawne, co wymusza wdrażanie zaawansowanej automatyzacji i systemów typu privacy-by-design. Sytuację komplikuje fakt, że w przypadku jakiegokolwiek incydentu i wycieku danych (np. do sieci dark web), administrator ma zaledwie 72 godziny na zgłoszenie tego faktu organowi nadzorczemu i podjęcie działań naprawczych.
Do tego dochodzi skomplikowany węzeł praw autorskich. W dobie generatywnej sztucznej inteligencji (GenAI) pytania o to, kto jest autorem dzieła stworzonego przez algorytm, komu przysługują prawa autorskie do promptów oraz jak chronić tradycyjne treści cyfrowe przed nielegalnym „scrapowaniem” (wykorzystywaniem do trenowania modeli AI), stały się jednym z największych wyzwań współczesnej cywilizacji.
Samo przestrzeganie litery prawa to jednak za mało, by przetrwać i rozwijać się na współczesnym rynku. Prawo z natury jest reaktywne – opisuje rzeczywistość, która już się wydarzyła. W obszarze tak dynamicznym jak technologie cyfrowe, to etyka musi stać się kompasem wskazującym drogę tam, gdzie nie sięgają jeszcze kodeksy.
Wdrażanie koncepcji Godnej Zaufania Sztucznej Inteligencji (Trustworthy AI) opiera się na fundamentach wykraczających poza czysty pragmatyzm prawny. Chodzi o budowanie systemów, które:
Pojawiają się nawet głosy postulujące rozszerzenie klasycznych, asimovowskich zasad robotyki o nową regułę czyli absolutny zakaz udawania człowieka przez systemy AI i wprowadzania użytkowników w błąd co do natury ich rozmówcy.
Z perspektywy technologicznej odpowiedzią na te dylematy stają się innowacje sprzyjające prywatności. Przykładem jest prywatność różnicowa (differential privacy). To zaawansowana metoda matematyczna polegająca na celowym wprowadzaniu kontrolowanego szumu informacyjnego do baz danych. Pozwala ona na wyciąganie globalnych wniosków statystycznych i trendów z wielkich zbiorów danych, uniemożliwiając jednocześnie identyfikację jakiejkolwiek konkretnej jednostki.
Nowoczesne zarządzanie danymi wymaga porzucenia silosowego myślenia. Bezpieczeństwo i rozwój firmy zależą od stworzenia sprawnego, interdyscyplinarnego zestawu narzędzi. Od rzetelnych umów powierzenia danych (DPA) i transparentnych polityk prywatności, po etyczne kodeksy postępowania wewnątrz organizacji.
Firmy, które wybiorą strategię ignorowania ryzyka lub będą działać na granicy prawa, prędzej czy później zderzą się z barierą gigantycznych kar lub kryzysów wizerunkowych. Prawdziwymi zwycięzcami cyfrowej rewolucji będą te organizacje, dla których etyczne postępowanie i szacunek dla ludzkiej prywatności staną się nie przykrym obowiązkiem, ale głównym filarem strategii biznesowej.
Doing the right thing po prostu się opłaca.
Sztuczna Inteligencja w praktyce. Adaptacja AI w firmach dla Menedżerów
Francuski Instytut Gospodarki Polska Sp. z o.o.
ul. Filtrowa 75 / 5, 02-032 Warszawa
NIP: 5251562318
KRS: 0000159975
REGON: 012323640
This will close in 0 seconds
