AI vs. GDPR: Plán identifikace osob s pomocí AI narazil
Dánský úřad pro ochranu osobních údajů vydal negativní stanovisko k plánu města Kodaň vyvinout nástroje umělé inteligence k identifikaci občanů, kteří potřebují rehabilitaci, jelikož vnitrostátní právní předpisy, na které se odvolává pro účely čl. 6 odst. 1 písm. e) GDPR a čl. 6 odst. 3 GDPR, nebyly dostatečně konkrétní, pokud jde o rozsah použití umělé inteligence.
Dne 22. března 2023 požádalo město Kodaň dánský úřad pro ochranu osobních údajů o vydání stanoviska, zda může zákonně vyvinout a zavést nástroj umělé inteligence k identifikaci občanů, kteří potřebují rehabilitaci.
V této žádosti město předložilo následující informace týkající se zdrojů použitých údajů, právního základu pro zpracování a účelů zpracování:
Za prvé, účelem algoritmu bylo pomoci zpřístupnit rehabilitační služby širšímu demografickému okruhu osob. Jeho účelem nebylo připravit o rehabilitační služby občany, kteří by na ně za normálních okolností měli nárok, ale spíše pomoci pracovníkům městského úřadu zjistit, kteří další občané rehabilitační pomoc potřebují.
Za druhé, zdrojem údajů, které chtělo město zpracovat, byly národní lékařské záznamy pacientů, které obsahovaly informace jako číslo sociálního pojištění, věk, datum narození a pohlaví.
Zatřetí, město se chtělo odvolat na čl. 6 odst. 1 písm. e) a čl. 9 odst. 1 písm. g) nařízení GDPR. Podle čl. 6 odst. 3 GDPR musí být odvolání se na čl. 6 odst. 1 písm. e) GDPR jako právní základ pro zpracování stanoveno právem Unie nebo členského státu. V důsledku toho město Kodaň uvedlo, že se opírá o článek 86 dánského zákona o sociálních službách. Tento článek stanoví, že místní rada musí nabízet rehabilitační služby obyvatelům, kteří mají tělesné postižení.
Stanovisko
Dánský úřad pro ochranu údajů vydal negativní stanovisko k plánu města vyvinout nástroj umělé inteligence, protože vnitrostátní právní předpisy, o které se opírá, nedefinují rozsah použití nástroje umělé inteligence.
Úřad dospěl k závěru, že použití nástroje AI by představovalo vysoce rizikové zpracování, neboť nástroj AI by vytvořil předpověď podporující rozhodování o jednotlivém občanovi, která by ovlivnila jeho přístup ke zdravotním službám. I když nástroj AI neměl obyvatele připravit o rehabilitační služby a měl mít pozitivní důsledky, jeho použití by přesto mohlo být pro subjekty údajů rušivé.
V důsledku toho bylo spoléhání se města na článek 86 dánského zákona o sociálních službách nedostatečné. Článek 86 pouze ukládal místním radám zákonnou povinnost poskytovat rehabilitační služby, ale nevymezoval rozsah použití AI ani neposkytoval pokyny pro její provádění. Proto se město nemohlo pro účely čl. 6 odst. 3 nařízení GDPR odvolávat na článek 86.