Hamburgs dataskyddsombud klargör regler för AI och stora språkmodeller

Hamburgs dataskydds- och informationsfrihetsombudsman (HmbBfDI) har presenterat riktlinjer för användningen av artificiell intelligens (AI) och stora språkmodeller (LLM), såsom ChatGPT. I ett nytt diskussionsunderlag granskas hur utnyttjandet av dessa teknologier överensstämmer med EU:s allmänna dataskyddsförordning (GDPR).

Enligt den Hamburgska dataskyddsmyndigheten utgör LLM-modeller en del av ett större AI-system som behandlar användares inmatningar och genererar svar baserade på datorsannolikhetsmodeller. Även om LLM-modeller tränas med enorma mängder data, som kan inkludera personuppgifter, menar myndigheten att denna träningsprocess abstraherar informationen så att den direkta kopplingen till enskilda individer förloras. Modellen lär sig generella mönster och samband, inte identifierbara detaljer om personer. Därför innehåller dessa modeller i sig inga personuppgifter, och man kan inte åberopa GDPR-rättigheter mot dem.

Ombudets bedömning omfattar även så kallade "privacy attacks", där det görs riktade försök att extrahera träningsdata från modellerna. Myndigheten hänvisar till EU-domstolens praxis och konstaterar att sådana attacker vanligtvis skulle kräva orimliga tekniska och tidsmässiga resurser. Därför uppfyller de oftast inte kriterierna för att avslöja personuppgifter. Sådana åtgärder är för närvarande främst begränsade till vetenskaplig forskning och modellförbättring.

Praktiskt innebär detta att företag inte behöver oroa sig för att användningen av LLM-modeller i sig skulle bryta mot GDPR, även om modellen tränats med olagligt insamlad data. Företagets ansvar uppstår om det själva använder eller tränar modeller med personuppgifter utan korrekt rättslig grund, eller om det inte säkerställer dataskyddspraxis och ansvarsfördelning hos tredjepartsleverantörer av modeller.