Suprapunerea dintre AI Act și GDPR. Provocări de conformare pentru companii românești care utilizează inteligență artificială

I. Un cadru normativ în doi timpi

Există o anumită simetrie neplăcută în felul în care companiile românești au ajuns să se confrunte cu Regulamentul (UE) 2024/1689 privind inteligența artificială sau AI Act în terminologia de afaceri. La fel cum, în 2018, organizațiile au descoperit dintr-o dată că au acumulat ani de practici neconforme cu protecția datelor, astăzi mulți operatori economici utilizează deja sisteme de inteligență artificială fără să fi evaluat în ce categorie de risc se încadrează acestea sau ce obligații decurg din această utilizare.

Diferența față de 2018 este că, de această dată, nu mai pornesc de la zero, sau cel puțin așa ar trebui să fie. Infrastructura de conformare construită în jurul GDPR oferă un schelet util, deși arhitectura AI Act nu se suprapune perfect peste aceasta. Cele două instrumente au logici diferite, urmăresc scopuri diferite și stabilesc mecanisme de supraveghere distincte. Acolo unde se intersectează, tensiunile sunt reale și, uneori, greu de rezolvat.

Prezentul articol nu se dorește a fi un ghid de conformare, ci mai degrabă o hartă a conflictelor de norme, o descriere a dilemelor operaționale pe care companiile le vor întâmpina în practică și, acolo unde e posibil, o propunere de răspuns rezonabil.

II. Două regulamente, o singură companie

AI Act și GDPR sunt instrumente cu ADN diferit. GDPR este, în esență, un regulament al drepturilor individuale, venind să protejeze persoana fizică față de prelucrarea datelor cu caracter personal, indiferent de contextul tehnic în care aceasta are loc. AI Act funcționează, dimpotrivă, după o cu totul altă logică. Nu pornește de la persoana afectată, ci de la sistemul care o poate afecta, pe care îl clasifică după riscul pe care îl prezintă și în jurul căruia distribuie obligații între toți actorii implicați, de la cel care a conceput algoritmul până la cel care îl utilizează în activitatea sa profesională.

Diferența de perspectivă contează enorm în practică. Sub GDPR, unitatea de analiză este persoana fizică și modul în care drepturile sale sunt respectatede către organizație. Sub AI Act, unitatea de analiză este sistemul tehnic (i.e., algoritmul, modelul, aplicația) și efectele sale asupra categoriilor de persoane sau asupra unor domenii vitale. Un sistem de inteligență artificială poate să nu prelucreze date cu caracter personal și totuși să intre sub incidența AI Act. Invers, un instrument de prelucrare a datelor personale poate să nu fie un sistem de inteligență artificială în sensul AI Act.

Dar zona de mijloc, și anume, în scenariul în care un sistem de inteligență artificială prelucrează date cu caracter personal, este vastă și populată de aproape toate aplicațiile comerciale relevante astăzi: sisteme de recrutare automată, scoring de credit, diagnosticare medicală asistată, detectare a fraudelor, sisteme de recomandări, aplicațiile de chat care integrează AI. Companiile care utilizează oricare dintre acestea trebuie să aplice simultan ambele cadre normative, ceea ce ridică o problemă fundamentală de arhitectură a conformării.

III. Zonele de tensiune: o coliziune între cele două regulamente

1. Datele de intrare și principiul minimizării datelor

Prin principiul minimizării datelor, GDPR impune ca datele prelucrate să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile pentru care sunt prelucrate. Principiul este deopotrivă o normă de conduită și un criteriu de legalitate a prelucrării.

AI Act nu cuprinde un principiu simetric. Ba mai mult, cerințele de calitate a datelor impuse sistemelor cu risc ridicat presupun, în mod implicit, seturi de date extinse, reprezentative și lipsite de erori sistematice. Testarea unui model de recrutare automată pentru a detecta și elimina discriminările pe criterii de vârstă sau gen necesită, prin natura lucrurilor, accesul la volume mari de date istorice, inclusiv date care, din perspectiva GDPR, pot fi excedentare față de scopul curent al prelucrării.

Tensiunea nu este ireconciliabilă, dar nici nu se rezolvă de la sine. Soluția implică două măsuri distincte. Prima este stabilirea unui temei juridic clar pentru prelucrarea datelor realizată în scop de testare și validare a modelului, de regulă interesul legitim al operatorului sau o dispoziție legală specifică. A doua este documentația separată pentru fiecare fază a ciclului de viață al sistemului, fie că vorbim de antrenament, testare sau producție. Fără această separare, compania poate ajunge într-o situație paradoxală, în care modelul de inteligență artificială este conform cu AI Act tocmai pentru că a fost antrenat pe volume mari de date, dar aceleași volume o plasează în neconformare cu GDPR, prin depășirea scopului declarat al prelucrării.

2. Dreptul la explicație între GDPR și AI Act

Articolul 22 GDPR interzice luarea de decizii exclusiv automatizate care produc efecte juridice sau care afectează în mod semnificativ persoana vizată, cu anumite excepții. Acolo unde excepțiile sunt aplicabile, norma europeană impune operatorului să asigure persoanei vizate dreptul la intervenție umană, dreptul de a-și exprima punctul de vedere și dreptul de a contesta decizia. Deși ”dreptul la explicație” nu apare ca un drept distinct în textul articolului, acesta a fost dedus din considerentele GDPR, și presupune că persoana vizată ar trebui să poată obține o explicație cu privire la decizia automatizată luată în legătură cu persoana sa.

AI Act vine cu o construcție mai explicită. Articolul 86 recunoaște persoanelor afectate de decizii luate cu sprijinul unui sistem cu risc ridicat dreptul de a obține o explicație cu privire la rolul acelui sistem în procesul decizional, precum și dreptul la o revizuire umană a deciziei. 

Cele două instrumente se apropie astfel mai mult decât pare la prima lectură. Dacă decizia a fost exclusiv automatizată, iar sistemul de inteligență artificială este mecanismul decizional însuși, explicarea rolului său și a principalelor elemente ale deciziei acoperă o bună parte din ceea ce GDPR cere prin dreptul la explicație. Diferența care rămâne este una de profunzime, nu de obiect. GDPR  indică spre logica aplicată cazului individual al persoanei respective, nu doar spre elementele principale ale deciziei ca tipologie. Această nuanță, aparent tehnică, devine semnificativă atunci când persoana vizată dorește să înțeleagă nu ce a cântărit sistemul în general, ci de ce a cântărit altfel în cazul ei.

Consecința practică este că o companie care primește o cerere de exercitare a acestui drept la explicație trebuie să construiască un răspuns care să satisfacă simultan ambele niveluri, cel reglementat de art. 86 AI Act, privind rolul sistemului și principalele elemente ale deciziei, și cel indicat de Art. 22 din GDPR, privind logica individualizată aplicată cazului concret. Dacă organizația nu a documentat modul în care rezultatele sistemului s-au tradus în decizia individuală, răspunsul va fi inevitabil incomplet față de unul dintre cele două instrumente. 

Există cel puțin trei tensiuni care complică și mai mult această construcție.

Prima privește câmpul de aplicare. Art. 22 GDPR vizează deciziile exclusiv automatizate, adică cele în care nicio judecată umană nu intervine în lanțul cauzal. Art. 86 AI Act se aplică și deciziilor luate cu sprijinul unui sistem de inteligență artificială, inclusiv acolo unde intervenția umană există formal. O companie care introduce un pas de validare umană poate ieși de sub incidența art. 22 GDPR, dar rămâne sub incidența art. 86 AI Act dacă sistemul utilizat este clasificat ca risc ridicat. Obligația de a oferi o explicație supraviețuiește, chiar dacă temeiul juridic se mută.

A doua privește modelele opace, și este poate cea mai semnificativă. Sistemele de tip rețea neuronală (în engleză large language models) nu pot furniza, prin natura lor, o descriere clară a rolului sistemului în decizie, nici o explicație individualizată a logicii aplicate, fără instrumente suplimentare de interpretabilitate. O companie care utilizează un astfel de model se poate afla în imposibilitate de a onora simultan cerințele ambelor instrumente, nu din lipsă de voință juridică, ci din lipsă de capacitate tehnică. Pentru fiecare organizație care a achiziționat un sistem de tip cutie neagră și l-a integrat în procese decizionale cu efecte semnificative pentru persoane, aceasta pare să devină o problemă presantă odată cu intrarea în vigoare a AI Act.

A treia privește momentul și forma explicației. Art. 86 AI Act cere o explicație a principalelor elemente ale deciziei, o formulare care poate fi satisfăcută printr-un răspuns ce descrie categoriile de factori luați în considerare. În schimb, GDPR indică spre ceva mai specific, și anume logica aplicată cazului acelei persoane. Diferența nu este de principiu, ci de granularitate, și devine vizibilă atunci când persoana vizată nu se mulțumește să afle ce contează în general în astfel de decizii, ci vrea să înțeleagă ce a contat în decizia luată în privința ei. Dacă implementatorul a achiziționat sistemul de la un furnizor extern și nu a primit documentație tehnică adecvată, acesta se află în situația de a datora o explicație pe care nu o poate formula.

3. Evaluările de impact: DPIA versus FRIA

GDPR impune realizarea unei evaluări a impactului asupra protecției datelor (DPIA) ori de câte ori prelucrarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a publicat liste de tipuri de prelucrări care impun obligatoriu DPIA, printre care se numără profilarea la scară largă, monitorizarea sistematică și prelucrarea datelor sensibile.

AI Act introduce, pentru implementatorii de sisteme cu risc ridicat o evaluare a impactului asupra drepturilor fundamentale, cunoscută și sub acronimul FRIA. Aceasta are o logică diferită față de evaluarea DPIA, impusă de GDPR, deoarece nu se concentrează exclusiv pe datele personale, ci pe impactul mai larg al sistemului de inteligență artificială asupra drepturilor și libertăților garantate de Carta drepturilor fundamentale a Uniunii Europene.

Problema practică este că puține companii au capacitatea de a le derula pe amândouă simultan. Metodologiile diferă, termenele diferă, iar autoritățile de supraveghere competente nu sunt aceleași. Regulamentul însuși a prevăzut această dificultate, permițând implementatorilor care au realizat deja o evaluare de impact sub GDPR să o valorifice și în scopul FRIA. Șablonul care ar trebui să faciliteze concret acest exercițiu nu a fost publicat încă, ceea ce lasă organizațiile să construiască metodologii proprii pe baza cerințelor din regulament.

Peisajul de supraveghere din România adaugă un nivel suplimentar de complexitate. Competența pentru AI Act nu revine unei singure autorități, ci mai multora, în funcție de sectorul vizat. Relevant pentru relația dintre cele două instrumente este că ANSPDCP, care supraveghează conformarea cu GDPR, preia și o porțiune din supravegherea AI Act, pentru anumite sisteme cu risc ridicat din zonele aplicării legii, gestionării frontierelor și administrării justiției. Acolo unde aceeași organizație răspunde față de aceeași autoritate sub ambele instrumente, imaginea e mai clară. Acolo unde nu, coordonarea rămâne un mecanism neformat, iar companiile nu știu încă față de cine se documentează și față de cine justifică.

La aceasta se adaugă o întrebare pe care puține companii și-au pus-o explicit, aceea a distribuirii interne a responsabilității pentru ambele evaluări. Răspunsul cel mai frecvent în practică, și cel mai discutabil, este responsabilul cu protecția datelor. De ce e discutabil va fi examinat în secțiunea următoare.

4. Relația operator-persoană împuternicită în lanțurile de aprovizionare a sistemelor AI

Sub GDPR, distincția dintre operator și persoana împuternicită de operator este bine sedimentată doctrinar și jurisprudențial. Sub AI Act, aceleași entități apar sub denumirile de furnizor, adică cel care pune pe piață sau pune în funcțiune sistemul AI, și implementator, adică cel care utilizează sistemul în cadrul activității sale de afaceri.

Cele două perechi de concepte nu se suprapun. O companie poate fi operator sub GDPR, în sensul că decide scopul și mijloacele prelucrării datelor personale, și, în același timp, implementator sub AI Act, în sensul că nu a dezvoltat modelul de inteligență artificială, dar îl utilizează. Furnizorul modelului de inteligență artificială poate fi persoană împuternicită sub GDPR, prelucrând date în numele operatorului, și furnizor sub AI Act, răspunzând pentru documentația tehnică și conformitatea sistemului AI.

Această necorelare are consecințe juridice directe în alocarea răspunderii. Un chatbot AI bazat pe un model lingvistic de mari dimensiuni, furnizat de o companie din afara Uniunii Europene, poate genera concomitent responsabilitate pentru furnizor sub AI Act și pentru compania româneasca sub GDPR. Contractele de achiziție a unor astfel de servicii trebuie redactate cu atenție la ambele niveluri de alocare a responsabilității, ceea ce în prezent nu se întamplă în marea majoritate a situațiilor.

IV. Cine răspunde? DPO-ul și noua sa realitate

GDPR a impus desemnarea unui responsabil cu protecția datelor (DPO) pentru anumite categorii de operatori, printre care se numară autoritățile publice, operatorii care efectuează monitorizare sistematică la scara largă sau care prelucrează categorii speciale de date la scara largă. Rolul acestuia este clar delimitat, având atribuții privind informarea și consilierea, monitorizarea conformării, cooperarea cu autoritatea de supraveghere, punct de contact pentru persoanele vizate. Esențial, GDPR garantează independența sa. Acesta nu primește instrucțiuni privind exercitarea sarcinilor sale și nu poate fi demis sau sancționat pentru exercitarea lor.

AI Act nu instituie un rol echivalent. Nu există un responsabil cu inteligența artificială reglementat ca atare, deși unele companii europene de dimensiuni mari au ales să creeze voluntar o astfel de funțtie. În acest vid legislativ, presiunea practică venită din structuri de conducere care doresc un singur punct de responsabilitate pentru toate problemele de conformare digitală se exercită natural în direcția responsabilului cu protecția datelor, fiind deja o funcție existentă în organizație cu o potențială pregătire adecvată să se ocupe și de AI Act.

O logică de altfel lacunară, în condițiile în care această soluție ridică, în cel puțin trei privințe, dileme juridice și organizatorice.

1. Conflictul de interese structural

DPO-ul are, prin natura mandatului său, o relație de conflict potențial cu restul organizației. Rolul său este să identifice neconformitățile și să le raporteze, nu să aprobe sau să valideze decizii de afaceri. Independența sa este garantată tocmai pentru că altfel ar fi tentat sau presat să minimizeze problemele identificate.

Dacă același DPO devine titularul conformării cu AI Act, ajunge să evalueze sisteme de inteligență artificială care prelucrează date cu caracter personal, cu alte cuvinte, să aprecieze dacă un sistem este conform atât cu GDPR, cât și cu AI Act. Dar evaluarea conformității unui sistem de inteligență artificială sub AI Act implică adesea validarea unor alegeri tehnice și organizatorice care, privite din perspectiva GDPR, ar putea ridica obiecții. Un DPO care avizează un sistem de recrutare automată din perspectiva AI Act este pus în situația de a minimiza, conștient sau nu, rezervele pe care le-ar ridica în calitate de gardian al conformării GDPR.

Altfel spus, cumulul de roluri transformă, de facto, un mecanism de control independent într-unul de auto-validare. Independența DPO-ului garantată de GDPR devine formală acolo unde DPO-ul evaluează sisteme pe care, dintr-un alt unghi, ar trebui să le supravegheze critic.

2. Competența tehnică și limitele mandatului

GDPR a permis ca DPO-ul să fie desemnat pe baza cunoștințelor juridice și de reglementare în materia protecției datelor. AI Act presupune o înțelegere tehnic-funcțională a sistemelor de inteligență artificială, incluzând gestionarea seturilor de date de antrenament, documentația tehnică, procedurile de gestionare a riscurilor, testarea de robustețe și evitarea erorilor sistematice. Sunt competențe pe care majoritatea responsabililor cu protecția datelor nu le dețin și nici nu li se poate pretinde să le dețină în temeiul mandatului actual. A le impune retroactiv înseamnă fie a schimba profilul funcției fără o bază normativă clară, fie a accepta o conformare AI Act realizată superficial.

3. Problema DPO extern

O caracteristică a pieței românești este proporția relativ mare a companiilor care și-au asigurat serviciile de DPO prin externalizare, fie prin contractarea unui avocat, fie prin apelarea la o firmă de consultanță specializată. Această structură, perfect legală sub GDPR, ridică întrebări suplimentare în contextul AI Act.

Se pune, în primul rând, întrebarea cine răspunde pentru neconformitatea unui sistem de inteligență artificială, compania sau DPO-ul extern care a avizat implementarea? Răspunsul juridic riguros este că DPO-ul nu poate fi tras la răspundere direct pentru neconformitatea operatorului, aceasta rămânând a organizației, dar poate angaja o răspundere contractuală sau deontologică dacă a dat avize eronate ori incomplete. Problema este că, în practică, contractele de DPO externalizat nu sunt structurate să acopere conformarea cu AI Act, iar delimitările sunt adesea difuze.

În al doilea rând, există un risc de conflict de interese orizontal. Un DPO extern care prestează servicii mai multor companii din același sector și care avizează sisteme similare se poate afla în situația de a aplica standarde inconsistente sau de a favoriza, chiar involuntar, un client față de altul în modul în care interpretează cerințele. Cadrul actual nu reglementează explicit această situație și nici nu oferă un mecanism de semnalare a ei.

Concluzii

Companiile românești care utilizează sisteme de inteligență artificială se află, în momentul de față, într-un interval de timp care nu va dura mult. Obligațiile prevăzute de AI Act pentru sistemele cu risc ridicat au intrat sau urmează să intre în vigoare în etape. Autoritățile de supraveghere vor începe să aplice normele, iar experiența GDPR arată că, după o perioadă de grație informală, sancțiunile urmează cu consecvență.

Tensiunile descrise în secțiunile anterioare anterioare nu sunt accidente de implementare. Sunt consecința firească a doi legiuitori care au pornit de la premise diferite și au construit instrumente cu logici diferite, fără să fi rezolvat în prealabil problema articulării lor. GDPR protejează persoana în raport cu prelucrarea datelor sale. AI Act gestionează riscul pe care un produs tehnic îl prezintă pentru categorii de persoane sau pentru valori sociale. Atunci când cele două perspective se intersectează, ceea ce se întamplă ori de cate ori un sistem de inteligență artificială prelucrează date personale, nu există un mecanism de reconciliere prestabilit. Există două seturi de norme, două seturi de autorități și o organizație plasată între ele.

Riscul nu este abstract, ci este unul concret și dublu. O companie care nu și-a cartografiat sistemele de inteligență artificială și nu și-a integrat conformarea cu AI Act în infrastructura existentă de protecție a datelor riscă să fie sancționată de două autorități diferite, pentru două seturi diferite de neconformități, cu amenzi care, cumulate, pot atinge praguri semnificative.

Există și un risc mai subtil, de natură reputațională și contractuală. Partenerii comerciali, mai ales cei din jurisdicții cu o cultură mai avansată a conformării, vor solicita din ce în ce mai des dovezi ale conformității cu AI Act. Companiile care nu au pregătit această documentație vor pierde nu doar în fața autorităților, ci și pe piață.

Paradoxul este că infrastructura GDPR, dacă a fost construită serios și nu doar formal, oferă un punct de plecare valoros. Evaluările de impact, registrele de prelucrare, mecanismele de răspuns la incidente, structurile contractuale cu furnizorii, toate pot fi adaptate, nu construite de la zero. Dar adaptarea necesită înțelegerea diferențelor, nu presupunerea asemănărilor. Iar această înțelegere, la ora actuală, lipsește în prea multe organizații.

Cel mai costisitor lucru nu va fi conformarea. Va fi ignorarea necesității ei până când nu va mai exista altă opțiune.