Intian tietosuojalain haasteet tekoälyn aikakaudella: Keskustelu paljasti kipupisteitä

Intiassa käyty suljetun oven keskustelu tekoälyn ja yksityisyyden suojan ympärillä on nostanut esiin perustavanlaatuisia kysymyksiä henkilötietojen omistajuudesta ja siitä, miten olemassa olevia tietosuojaperiaatteita sovelletaan tekoälymallien koulutukseen. Keskustelu, joka pidettiin Chatham House -sääntöjen alaisena, paljasti syviä erimielisyyksiä siitä, miten Intian digitaalista henkilötietojen suojaa koskeva laki (DPDP Act, 2023) soveltuu tekoälyn vaatimaan datan keräämiseen ja käyttöön, varsinkin kun laki ei ole vielä täysin voimassa.

Keskustelun osallistujat totesivat, että tekoälyn koulutuksen tarpeet ovat ristiriidassa perinteisten, verkkopalveluiden aikakaudelle suunniteltujen tietosuojaperiaatteiden kanssa. Erityisesti haasteita aiheuttavat suuren datamäärän hankkiminen, useiden sääntelyperusteiden samanaikainen käyttö ja käyttötarkoitussidonnaisuuden periaate, joka rajoittaa kerätyn datan uudelleenkäyttöä. Intian DPDP-laki tarjoaa pääasiassa kaksi perustetta henkilötietojen käsittelylle: suostumuksen ja tietyt laissa määritellyt "oikeutetut käytöt", mikä eroaa esimerkiksi EU:n GDPR:n kuudesta käsittelyperusteesta. Tämä aukko voi vaikeuttaa tekoälykehittäjien toimintaa.

Alan toimijat, kuten IAMAI (Internet and Mobile Association of India), ovat jo pyytäneet hallitusta sallimaan julkisesti saatavilla olevan henkilötiedon käytön tekoälymallien koulutukseen ilman erillistä lupaa. Heidän mukaansa datan julkisuuden varmistaminen tekoälyn mittakaavassa on epäkäytännöllistä. Keskustelussa nousi esiin myös pohdinta siitä, onko "omistajuus" ylipäätään oikea tapa ajatella henkilötietoja. Yksi näkemys oli, että käyttäjä ei omista tietojaan samalla tavalla kuin hän ei omista puhelinnumeroaan, vaan hänellä on vain oikeus kontrolloida sen käyttöä. Toiset taas korostivat, että omistajuuden ajatuksen sivuuttaminen voi heikentää yksilön perustavanlaatuista oikeutta yksityisyyteen.

Lisäksi keskusteltiin myös mahdollisuuksista harjoittaa tekoälyä ilman suoraa pääsyä raakaan henkilödataan, esimerkiksi käyttämällä pseudonymisoitua tai paikallisesti käsiteltyä dataa. Pohdittiin myös, voisiko Intian Data Empowerment and Protection Architecture (DEPA) -järjestelmää soveltaa tekoälyn koulutukseen "tokenisoituna" datana. Vaikka Intian DPDP-laki on jo hyväksytty, sen täytäntöönpano on vielä kesken, ja arvioiden mukaan suostumusten hallintajärjestelmien odotetaan olevan toiminnassa vasta vuoden 2026 puolivälissä. Tämä viive jättää alalle epävarmuutta ja haasteita lainsäädännön soveltamisessa.