Verschillende Europese lidstaten willen beschermingen in de GDPR afbouwen in naam van Europese AI, maar komen zo vooral tegemoet aan wensen van grote Amerikaanse AI-bedrijven.
Onder het Ierse voorzitterschap werkt de Europese Unie aan een afzwakking van de GDPR. Dat stelde privacy-groepering Noyb vast. Die organisatie doet vermoedelijk een belletje rinkelen: het gezicht ervan is advocaat Max Schrems. Naar hem zijn de Schrems I- en Schrems II-arresten vernoemd, waarbij Europese rechters de Commissie tot tweemaal toe hebben teruggefloten in verband met onvoldoende beschermde transfers van persoonsdata naar de VS.
Van extreem naar nog steeds verregaand
Noyb heeft verschillende documenten ingekeken, waaronder een extreem voorstel, en een iets afgezwakte compromistekst. Het oudere voorstel illustreert wat de algemene ambitie is van het kamp dat de regels wil veranderen, de compromistekst toont hoe die uiteindelijk in regelgeving kan terechtkomen.
De essentie is als volgt: verschillende lidstaten willen de bescherming van persoonsgegevens sterk afzwakken wanneer die gegevens gebruikt worden voor AI-gerelateerde zaken. Wanneer een bedrijf aantoont dat het gegevens gebruikt voor de ontwikkeling van AI, zou het mogelijk worden om persoonsgegevens wel redelijk vrij te verwerken. Beschermingen blijven bestaan, maar zwakke bewoordingen zorgen ervoor dat AI-bedrijven zich vrij gemakkelijk van bestaande verplichtingen rond de verwerking van persoonsgegevens kunnen afmaken.
AI legitimeert zichzelf
“De verwerking van persoonsgegevens in de context van de ontwikkeling en werking van een AI-systeem, of van een AI-model, mag uitgevoerd worden voor een legitiem belang van de verwerkingsverantwoordelijke of een derde partij”, klinkt het in de compromistekst. Die is afgezwakt van het eerste voorstel, waar nog letterlijk stond vermeld dat AI-training en operatie steeds vermoed wordt een legitieme interesse te zijn.
Een vermoedelijke meerderheid van de lidstaten van de EU zegt nu dat de belangen van Elon Musk, Marc Zuckerberg, Google of OpenAI, voor enorme winsten te boeken, voorrang verdienen over het Europese fundamentele recht op databescherming.
Max Schrems, Noyb
Het is de bedoeling om met een aanpassing van de GDPR de ontwikkeling van AI binnen Europa te faciliteren. In de praktijk zijn de uitzonderingen zo verwoord dat ze vooral de grote AI-specialisten zoals Anthropic, Google en OpenAI vrij spel geven. Een bedrijf als Google zou zo alle vergaarde persoonsgegevens, van klanten en niet-klanten, kunnen inzetten voor AI-training, ongeacht de leeftijd van de gegevens.
Erosie van bescherming
Goedkeuring van gebruikers zou niet meer nodig zijn. Bovendien gaan er ook stemmen op om het recht om gegevens te laten verwijderen in te perken. AI-bedrijven zouden daar niet op in moeten gaan, wanneer dat als te moeilijk wordt bevonden. Dat staat vooralsnog niet zo in de compromistekst.
De voorgestelde aanpassingen dreigen de bestaande beschermingen vrijwel helemaal te eroderen, waarschuwt Noyb: wanneer een organisatie de AI-kaart trekt, zou de bescherming van de GDPR grotendeels wegvallen.
Op maat van grote Amerikaanse spelers
Schrems denkt dat de voorgestelde aanpassingen gebeuren op maat van de grote spelers: “Een vermoedelijke meerderheid van de lidstaten van de EU zegt nu dat de belangen van Elon Musk, Marc Zuckerberg, Google of OpenAI, voor enorme winsten te boeken, voorrang verdienen over het Europese fundamentele recht op databescherming.”
De grootste kritiek van Noyb is de te vrijblijvende aanpassing van artikel 88c in het extreme voorstel (88 bis in het compromisvoorstel) waarin alles dat te maken heeft met AI-technologie plots een voorkeursbehandeling krijgt. Bedrijven mogen al (persoons)gegevens verwerken, zelfs voor AI, indien ze daarvoor toestemming krijgen of een gerechtvaardigd belang hebben. Die toestemming moet echter specifiek zijn, of het belang voldoende groot. Nu dreigt ‘AI’ een troef te worden waarmee alles plots mag.
AI als troef
Daarbij valt het op dat niet alleen training maar ook de operationele werking van AI-systemen een vrijgeleide krijgt. Er zijn momenteel onvoldoende bepalingen in de tekst opgenomen om misbruik te voorkomen. Ongevraagd persoonsgegevens gebruiken om reclame te tonen, mag op dit moment bijvoorbeeld niet.
Maar wat als die reclame getoond wordt door een AI-systeem? Dan worden de persoonsgegevens immers gebruikt binnen de context van AI, wat volgens de voorstellen wel mag, merkt Noyb op. Meta, dat het sowieso al niet al te hoog op heeft met EU-recht, zal die interpretatie maar al te graag volgen.
Sterkere concurrentiepositie (maar voor wie?)
Voorstanders van de aanpassingen verwijzen naar minder strikte regels voor Europese bedrijven. In de praktijk zijn het echter vooral Amerikaanse en in mindere mate Chinese bedrijven die op een grote berg Europese persoonsgegevens zitten. Komen de nieuwe regels erdoor, dan zijn zij het die er als eerste van kunnen profiteren.
Bedrijven in de EU zelf hebben niet dezelfde toegang tot de enorme volumes aan data van Europeanen, zoals Schrems ook opmerkt. Die gegevens zitten bij de buitenlandse techreuzen. Hij argumenteert dat het bijgevolg waanzin is om deze aanpassingen door te voeren vanuit de ambitie om de Europese AI-sector te steunen. Het omgekeerde dreigt immers te gebeuren.
De EU lijkt in een soort paniekreactie de argumentatie van de grote AI-reuzen rond het vrije gebruik van data te volgen, in de moeilijk verdedigbare hoop dat Europese AI daarmee een boost zou krijgen. Het gevaar bestaat dat de reeds dominante Amerikaanse bedrijven zo nog dominanter worden. Bovendien toonden die bedrijven eerder al dat ze hun beveiliging niet op orde hebben.
Waar ligt de economische meerwaarde?
Daar komt nog bij dat het zwaartepunt van de hype rond AI misschien wel rond de grote bouwers van AI-modellen zit, maar de economische meerwaarde niet meteen. Steeds meer wordt duidelijk dat bedrijven AI in de praktijk inzetten op maat van wat ze nodig hebben, en daartoe open modellen niet schuwen. Zelfs in de VS vindt er een verschuiving naar buitenlandse ‘open weight’-modellen plaats. Het is dus niet zo dat de economische toekomst van de EU in de context van AI gekoppeld is aan een vrijgeleide voor OpenAI, Anthropic, Meta, Google en anderen.
Schrems ziet de situatie niet rooskleurig in, en overweegt een nieuwe trip naar het Europese Hof: “Sinds de jaren ’80 hebben we mensen beloofd dat grote bedrijven misschien wel de data in handen hebben, maar ze daarmee alleen de toestemming hebben om die gelimiteerd te gebruiken. Artikel 88 bis zet de sluisdeuren nu open en laat ongelimiteerd gebruik van alle data toe voor AI.”
Eer het zover is, moet er nog onderhandeld worden. De ontwerptekst is niet finaal. Zoals Noyb aangeeft, staat er veel op het spel in de komende gesprekken tussen Europese wetgevers.