Бъдещата европейска законодателна рамка на изкуствения интелект и защита на личните данни при дистанционна биометрична идентификация
На 19.02.2020 г. Европейската комисия оповести своята визия за бъдещата законодателна рамка, която да осигури и ускори развитието на високите технологии в рамките на Европейския съюз /изкуствен интелект/[1]. На 20.10.2020 г. тя бе последвана от две резолюции на Европейския парламент с препоръки и предложения за Регламент относно отговорността за експлоатацията на системи с изкуствен интелект[2] и Регламент относно етичните принципи за разработването, внедряването и използването на изкуствен интелект, роботика и свързаните с тях технологии[3].
Един от фокусите на бъдещата законодателна рамка е създаването на специфични изисквания за някои конкретни приложения на изкуствения интелект, които се възприемат като „високорискови“[4], сред които попадат и използваните за дистанционна биометрична идентификация[5]. С това се поставя и началото на обществен дебат „за конкретните обстоятелства, ако има такива, които биха могли да оправдаят използването на изкуствен интелект за дистанционна биометрична идентификация (като лицево разпознаване) на обществени места и относно общите гаранции[6].
В първия си доклад относно оценката и прегледа на Регламент (ЕС) 2016/679 /Общ регламент относно защитата на данните, /ОРЗД// от 24.06.2020 г.[7], Комисията отчита, че едно от предизвикателствата пред бъдещото прилагане на Регламента е свързано с това да се изясни как установените принципи да се прилагат към конкретни технологии, като например изкуствения интелект, блок-веригите, интернет на предметите или лицевото разпознаване, които изискват постоянно наблюдение[8].
1. Въпроси и походи във връзка с правното регулиране на изкуствения интелект.
Правното регулиране на изкуствения интелект е едно от най-сериозните предизвикателства пред правната система както на Общността, така и пред националните правни системи на държавите – членки, тъй като очертава една сложна картина, в която се задават въпроси за необходимостта от предстоящо преосмисляне на основни понятия и институти на позитивното право.
Посоката за това е зададена от Комисията по правни въпроси на Европейския парламент в проект на Доклад с препоръки към Комисията по гражданскоправни правила за роботиката от 31.05.2016 г.[9] В доклада се посочва необходимостта от обсъждане на въпроса за правния статут на автономните роботи и се поставя въпросът за това дали тяхното естество да бъде разглеждано в светлината на съществуващите правни категории /физически лица, юридически лица/ или следва да се създаде нова категория със собствени специфични характеристики и последици по отношение на разпределянето на права и задължения, включително отговорност за вреди. Това, от своя страна, поставя друг въпрос, а именно дали обикновените правила за отговорността са достатъчни, или има необходимост нови принципи и правила, с които да се внесе яснота относно правната отговорност на различните участници във връзка с отговорността за действията и пропуските на роботите в случаите, когато причината не може да бъде проследена назад до конкретен човешки участник, както и дали действията или пропуските на роботите, които са причинили вреда, е можело да бъдат избегнати. Така правната отговорност – както договорната /доколкото машините, проектирани да избират своите контрагенти, да договарят условия, да сключват договори и да вземат решения, биха могли да ги прилагат/, така и извъндоговорната /рамката на обективната отговорност или отговорността без вина може да не е достатъчна/ – произтичаща от увреждащото действие на даден робот, се превръща във въпрос от изключително важно значение, се отбелязва още в проекта на доклада.
В този контекст се въвежда понятието „електронно лице“, като се препоръчва на Комисията за целите на изработване на бъдещия законодателен инструмент „да се изследват последиците от всички възможни правни решения“, включително за „създаване на специален правен статут за роботи в дългосрочен план, така, че поне най-усъвършенстваните автономни роботи да могат да придобият статут на електронни лица, отговорни за обезщетяване на всички вреди, които могат да причинят, и възможно прилагане на електронна субектност за случаите, в които роботите вземат автономни решения или по друг начин взаимодействат независимо с трети страни“ /т. 31, б. „е“ от проекта на доклада/. Тази концепция се запазва и в окончателния Доклад на Комисията по правни въпроси[10], приет с Резолюция на Европейския парламент от 16.02.2017 г.[11]
От гледна точка на теорията на правото в окончателния доклад са поставени сериозни въпроси, свързани с преразглеждането на основни правни институти като правосубектност и гражданска отговорност /в частност обективна отговорност/. Ще се наложи ли тези правни институти, с цялата им сложност и оправдана доктринална консервативност, да бъдат преразгледани и интерпретирани за целите на придаване на елементи на правосубектност на „електронното лице“? Изправени ли сме пред формулирането на изцяло нови правни институти? Трудно е да си представим създаването на фикционен юридически субект, подобно на ЮЛ, чрез който юридико-технически способ изкуственият интелект (електронното лице) да придобие нормативно установена индивидуализация и правосубектност. Очевидно е, поне на този етап на развитие на обществото, че регулирането на отношението човек – изкуствен интелект – външна среда следва да се основава на сигурността. От правна гледна точка тази сигурност в обществото се постига чрез установения правен ред, който определя правилата и границите на дължимо и възможно поведение на субектите в рамките на социалното взаимодействие, включително рамките на тяхната отговорност, в което взаимодействие, засега, изкуственият интелект не участва в качеството на правен субект[12].
На практика в последващите документи и актове на Европейския парламент и Европейската комисия в разглежданата предметна област идеята за „електронно лице“ е изоставена, като се налага по-умерен подход и той се основава на виждането, че независимо от характеристиките „автономност“ и „адаптивност“[13], едно от ключовите изисквания към политиката на регулиране на изкуствения интелект и интелигентните роботи е тя да бъде основана на „човешкия фактор и надзор“, както и да бъде възприет подход, „основан на риска“[14].
Заедно с това в темата за бъдещото правно регулиране на изкуствения интелект се поставя и въпросът за етичната рамка, която се свързва и с възможностите за саморегулация извън хипотезата на определени като високорискови изкуствен интелект, роботика и свързани с тях технологии. Връзката между правната и етичната рамка стои в основата на Съобщение на Европейската комисия от април 2019 г. – „Изграждане на доверие в ориентирания към човека изкуствен интелект“[15]. Документът реферира към публикуваната от Комисията през април 2018 г. Европейска стратегия „Artificial Intelligence for Europe“[16] и посочва нееднозначно необходимостта от подходяща правна рамка, която следва да бъде съпътствана и от подходяща етична рамка. Със задачата да изготви етични насоки за изкуствения интелект и да подготви набор от препоръки за общата политика в тази област Комисията натоварва създадената от нея Експертна група на високо ниво по въпросите на изкуствения интелект[17]. В насоките, изготвени от Експертната група и представени през март 2019 г., се определят седем ключови „изисквания, които приложенията на изкуствения интелект трябва да спазват, за да се смятат за надеждни“. На първо място сред тях експертната група посочва „човешкия фактор и надзор“.
Горните положения са отразени в препоръки на Европейския парламент към Комисията относно етичните аспекти на изкуствения интелект, роботиката и свързаните с тях технологии, заедно с предложение за Регламент относно етичните принципи за разработването, внедряването и използването на изкуствен интелект, роботика и свързаните с тях технологии[18]. В разглеждания контекст в документа се посочва, че разработването, внедряването и използването на високорисков изкуствен интелект, роботика и свързани с тях високорискови технологии, включително, но не само от хора, следва винаги да се водят от етични принципи и да са проектирани така, че да зачитат и допускат човешкия фактор и демократичен надзор, както и да дават възможност за възвръщане на човешкия контрол, когато е необходимо, чрез прилагане на подходящи контролни мерки. Един от принципите, на които се основава предложеният Регламент е „зачитане на неприкосновеността на личния живот и ограниченията за използването на биометрично разпознаване“. По-конкретно, етичните граници на използването на изкуствения интелект, роботиката и свързаните с тях технологии, включително софтуер, алгоритми и данни, използвани или генерирани от такива технологии, следва надлежно да се вземат предвид при използването на технологии за разпознаване от разстояние, например разпознаване на биометрични данни, и по-специално лицево разпознаване, за целите на автоматичното идентифициране на физически лица /Съображение 38 от предложението за Регламент/. Тяхното разработване, внедряване и използване следва да е в съответствие с разпоредбите на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета[19] и Директива 2002/58/ЕО на Европейския парламент и на Съвета[20].
2. Защита на личните данни при автоматизирано вземане на решения съгласно ОРЗД.
На практика Общият регламент относно защита на данните съдържа ефективни решения за правното регулиране на изкуствения интелект и в частност в случаите на обработка на лични данни чрез автоматизирано вземане на решения.
Член 22, параграф 1 от Регламента гласи: „Субектът на данните има право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данните или по подобен начин го засяга в значителна степен“.
Това ограничение на чл. 22, параграф 1, обаче, не се прилага за всички случаи на автоматизирана обработка. То се отнася до конкретни обстоятелства, а именно, когато решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, поражда правни последици за дадено лице или по подобен начин го засяга в значителна степен. Това означава, че в процеса по вземане на решение няма човешка намеса. Както се посочва в Насоките относно автоматизираното вземане на индивидуални решения и профилирането за целите на Регламент (ЕС) 2016/679 на Работна група за защита на личните данни по чл. 29[21] – „Администраторът не може да заобиколи разпоредбите на член 22, като изфабрикува човешка намеса. Например ако дадено лице рутинно прилага автоматично генерирани профили към физически лица, без това да оказва действително въздействие върху резултата, това пак ще представлява решение, основаващо се единствено върху автоматизирано обработване. За да е налице човешка намеса, администраторът трябва да гарантира, че надзорът по отношение на решението е реален, а не само символичен. Надзорът следва да се извършва от лице, което разполага с правомощия и е компетентно да промени решението. То следва да проучи всички съответни данни като част от анализа“.
Интерес с оглед разбирането и прилагането на посочената разпоредба представляват разясненията на Работната група по отношение посочените две хипотези – „решение, което поражда правни последици“ и „по подобен начин го засяга в значителна степен“. „Правна последица означава, че решението, основаващо се единствено на автоматизирано обработване, засяга законовите права на дадено лице, например свободата на сдружаване с други лица, гласуване на избори или осъществяване на правни действия. Правна последица също така може да бъде последица, която засяга правния статут на дадено лице или неговите права съгласно договор. Примерите за такъв вид последици включват автоматизирани решения относно физическо лице, които водят до: анулиране на договор; придобиване на право или отказ на конкретно социално плащане, което се предоставя по закон, например детски надбавки или помощи за жилищно настаняване; отказ за приемане в държава или на получаване на гражданство“. Дори процесът по вземане на решения да не оказва въздействие върху законовите права на хората, той пак може да попада в обхвата на член 22, ако поражда последици, които са равностойни като въздействие или по подобен начин ги засягат в значителна степен.
В документа на Работната група се отбелязва още, че е „трудно да се прецизира какво точно би се счело за достатъчно значително, за да бъде обхванато от изискването, но следните решения биха могли да попаднат в тази категория: решения, които засягат финансовото положение на дадено лице, например допустимостта му да получи кредит; решения, които засягат достъпа на дадено лице до здравни услуги; решения, с които на дадено лице се отказва възможност за заетост или които поставят лицето в много неизгодна позиция; решения, които засягат достъпа на дадено лице до образование, например прием в университет“.
При всички тези случаи ненамесата на човека при вземане на решение може да доведе до нарушаване на правата на субектите на данни. Може да доведе включително до различни дискриминационни практики.
В този смисъл са и Насоките на Европейския комитет по защита на данните относно защитата на данните на етапа на проектирането и по подразбиране от 20.10.2020 г.[22] В контекста на принципа за точност на данните в документа се привежда пример за използването на изкуствен интелект от застрахователните компании, като се посочва, че за целите на неговото обучение на първо място следва да се използват само псевдонимизирани данни. Също така както по време на неговата разработка, така и преди пускането на продукта, той се проверява за надеждност и недискриминационност. Когато изкуственият интелект е напълно обучен, застрахователната компания използва резултатите от оценките на застрахователния риск без да се основава единствено на тях, за да реши дали да предостави застраховка освен ако решението не е взето в съответствие с изключенията в член 22, параграф 2 от ОРЗД. Застрахователната компания също преглежда редовно резултатите от автоматизирано взетото решение /чрез изкуствен интелект/, за да поддържа надеждността и когато е необходимо, коригира алгоритъма.
Подходът за защита на личните данни „при проектиране“ и „по подразбиране“ е възприет в препоръките на Европейския парламент към Комисията относно етичните аспекти на изкуствения интелект, роботиката и свързаните с тях технологии за целите на осигуряване на правната сигурност при разработване, внедряване и използване на изкуствен интелект, като ясно е направена връзката между етичните и правни норми, стояща в основата на разглежданата законодателна концепция. В тях се подчертава асиметрията между хората, които си служат с технологии с изкуствен интелект, и онези, които си взаимодействат с тях и са предмет на тяхното въздействие и в тази връзка, доверието на гражданите в изкуствения интелект може да се изгради единствено върху регулаторна рамка, основаваща се на „етика по подразбиране“ и „етика при проектирането“, която да гарантира, че всеки пуснат в действие изкуствен интелект изцяло зачита и спазва Договорите, Хартата и вторичното право на Съюза.
3. Специфични изисквания за дистанционна биометрична идентификация[23].
Общият регламент относно защита на личните данни забранява обработването на специални категории лични данни, сред които са и „биометрични данни“, освен в случаите, когато е налице някое от изрично посочените изключения по чл. 9, параграф 2 от Регламента. Биометричните данни по смисъла на чл. 4, т. 14 от Общия регламент са „лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни“. В Съображение 51 от Регламента се посочва, че „когато снимки, съответно видеозаписи, се обработват чрез специални технически средства, позволяващи уникална идентификация или удостоверяване на автентичността на дадено физическо лице, е налице обработване на биометрични данни“. За изясняване на това правило ще посочим Становище на Комисията за защита на личните данни във връзка със законосъобразността на използването на автоматизирани средства за обработка на лични данни[24], което разглежда една от възможностите за дистанционна биометрична идентификация, осъществявана чрез система за видеонаблюдение. Случаят се отнася до „монтирани входно-изходни камери за лицево разпознаване, свързани с електронния дневник на училището“. Същите имат за цел „превенция и ефективен контрол на отсъствията по неуважителни причини на учениците и в по-общ план превенция на ранното отпадане на учениците от образователната система, преодоляване случаите на фиктивно записани ученици, както и рационалното и законосъобразно разходване на финансов ресурс за образование“.
В своето становище Комисията отбелязва: „Без да се отрича или омаловажава обществената значимост на преследваните образователни и социални цели, същите не са пропорционални на предлаганото изключително интрузивно обработване на чувствителни лични данни. Поради тези причини използването на камери за лицево разпознаване в училище не отговаря за задължителните изисквания на Общия регламент за законосъобразност и пропорционалност на обработването на лични данни. В тази връзка визираните от РУО – П. към Министерството на образованието и науката обществено полезни цели следва да бъдат реализирани с други способи, а не чрез обработване на биометрични данни и то на деца“. „В допълнение на предходното, съгласно разпоредбите на чл. 22, пар. 1 от Общия регламент, субектът на данни има право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за него или по подобен начин го засяга в значителна степен. Свързването на камери за лицево разпознаване с електронния дневник на училището предполага подобна хипотеза на автоматизирано решение. За да е допустимо, то трябва да е предвидено в законодателството или да се основава на изричното съгласие на субекта на данните, респективно на неговия родител или настойник“.
„Мащабно обработване на биометрични данни за целите на уникалната идентификация на физическо лице, което не е спорадично“[25] попада в хипотезата на обработване, при което съществува вероятност то „да породи висок риск за правата и свободите на физическите лица“ и за което се изисква администраторът да извърши оценка на въздействието (член 35, параграф 1 от ОРЗД)[26]. Като високорискови, в контекста на задължението за извършване на оценка на въздействието, ОРЗД определя систематичната и подробната оценка на личните аспекти по отношение на физически лица, която се базира на автоматично обработване, включително профилиране, и служи за основа на решения, които имат правни последици за физическото лице или по подобен начин сериозно засягат физическото лице, както и систематично мащабно наблюдение на публично достъпна зона /чл. 35, пар. 3, б. „а“ и „в“/[27].
Основният подход, възприет от европейския законодател в областта на правното регулиране на високите технологии е основан на риска, съобразно който се търси пресечната точка, балансът между развитието на технологиите и правата на човека, или използваните от европейския законодател термини „необходимост“ и „пропорционалност“. Очевидно е, че фокусът на предложената регулация пада върху „задълженията във връзка с високорисковите технологии“ /Глава II от предложения Регламент/ и в търсене на тази необходима и пропорционална законодателна намеса от изключително важно значение е „високорисковите технологии“ да бъдат ясно дефинирани. В съображение 11 от предложения Регламент се посочва, че за целите на оценяването на изкуственият интелект, роботиката и свързаните с тях технологии като високорискови следва да се взема предвид секторът, в който те се разработват, внедряват или използват, тяхната специфична употреба или цел и тежестта на нараняването или вредата, която може да се очаква да настъпи. Степента на тежест следва да се определи въз основа на обхвата на евентуалното нараняване или вреда, броя на засегнатите лица, общата стойност на причинените вреди, както и вредата за обществото като цяло[28]. Към текста е приложен „Изчерпателен и кумулативен списък на високорисковите сектори и на високорисковите употреби или цели, които могат да доведат до евентуално нарушаване на основните права и правилата за безопасност“. Един от основните принципи на предвидената правна регулация по отношение на всички високорискови технологии е те да се разработват, внедряват и използват по начин, който гарантира пълен надзор от страна на човека по всяко време и който дава възможност при необходимост човешкият контрол да се възвърне, включително чрез промяна или спиране на тези технологии.
Този принцип в пълна степен следва да се отнася до случаите на дистанционна биометрична идентификация на лицата. В предложения Регламент се предвижда и допълнително ограничение, съгласно което използването и събирането на биометрични данни с цел дистанционна идентификация на обществени места като биометрично разпознаване или разпознаване на лица се внедрява или използва единствено от публичните органи на държавите членки за цели от съществен обществен интерес /чл. 12/.
Тук следва да се постави въпроса за обхвата на понятието „обществени места“, под което вероятно следва да се разбира „публично достъпна зона“, както е посочено в чл. 35, пар. 3, б. „в“ от ОРЗД[29]. Съгласно тълкуването на РГ29 „публично достъпна зона“ е „всяко място, достъпно за гражданите, например площад, търговски център, улица, пазар, железопътна гара или обществена библиотека“. В допълнение, понятието „публичен орган“ е дефинирано в § 1, т. 17 от ДР на Закона за защита на личните данни като „държавен или местен орган, както и структура, чиято основна дейност е свързана с разходване на публични средства“.
В заключение
Следва да отбележим, че предвижданата регулаторна рамка в областта на изкуствения интелект на първо място има характеристиката на необходимост. Доколко тя може да бъде адекватна в свят на иновации и високи технологии, е въпрос, в отговора на който се съдържа известна доза обоснован песимизъм, ако въпросът се разглежда от гледна точка на установените от векове юридико-технически конструкции и доктринални понятия на правната теория, които се проектират в механизма на правно регулиране. Това оправдава и предпазливостта на съвременния европейски и национален законодател в разглежданата предметна област. В Резолюцията на Европейския парламент от 20 октомври 2020 г. с препоръки към Комисията относно рамка за етичните аспекти на изкуствения интелект, роботиката и свързаните с тях технологии се отчита, че принципът на предпазливост, който направлява законодателството на Съюза, следва да бъде в центъра на всяка рамка за изкуствения интелект, като едновременно с това се призовава за ясен и последователен модел на управление, който да даде възможност на дружествата и новаторите да развиват допълнително изкуствения интелект, роботиката и свързаните с тях технологии.
