比利时数据保护机构发布人工智能指南

fabiha01

比利时数据保护机构发布人工智能指南 谈到人工智能 (AI) 系统，有两项欧盟法规对其使用有重大影响。这两项法规就是我们熟知的《通用数据保护条例》（GDPR）和《人工智能法案》（AIA），后者2024年8月1日才生效。

此后，为了简化合规性，比利时数据保护局 (DPA) 发布了有关这两项法规之间相互作用的指南。

首先，了解什么是人工智能很重要。比利时数据保护法提供了《信息保护法》第 3.1 条中此类系统定义的简化版本。更具体地说，对他们来说，人工智能系统是一种专门设计用于分析数据、识别模式并利用这些知识做出明智决策或预测的计算机系统，并且在某些情况下可以从数据中学习并随着时间的推移进行调整。

本博文的其余部分将解释比利时 DPA 如何体现 GDPR 和 AIA 之间的互补性。

GDPR 和 AIA 的原则
合法性、透明度和公平性。
虽然 GDPR 指的是合法的数据处理——即使用第 6 条中包含的法律依据，没有该依据就无法开始处理——但 AIA 禁止某些人工智能系统，例如社交评分系统。此外，GDPR 的公平原则也因 AIA 的偏见和歧视规则而得到强化。最后，GDPR 和 AIA 都规定了透明度义务。 AIA 更进一步，为所有系统设定了基准透明度水平——例如，披露人类正在与人工智能系统交互，并通过信息义务为高风险人工智能系统设定更高水平的透明度。

目的限制和数据最小化：
这些原则确保人工智能系统不会收集过多的数据或将其用于非预期目的。通过强调明确说明和记录预期目的的必要性，新西兰商业传真列表 AIA 增强了 GDPR 对高风险 AI 系统的目的限制原则。

准确性：
为了避免歧视性结果，AIA 要求高风险 AI 系统在 GDPR 原则的基础上使用高质量、公正的数据。

存储限制：尽管 AIA 没有扩展这一原则，但值得注意的是，它对 AI 有影响，因为它规定个人数据的存储时间只能达到根据 GDPR 获取数据的目的所需的时间。

问责：
GDPR 要求组织通过各种措施证明其对个人数据处理的责任。尽管《人工智能法案》没有明确解决证明责任的问题，但它通过纳入风险管理方法和文档要求等要素，与 GDPR 原则保持一致。

自动决策（ADM）
关于 ADM，这两项法规都强调了人类参与的价值：GDPR 赋予个人反对完全自动化决策的能力，而 AI 法案则要求对高风险 AI 系统进行主动的人工监督，以防止偏见并保证此类系统的负责任的开发和应用。

处理安全性
GDPR 建立了技术和组织措施 (TOM) 来确保安全处理和合规性，而 AIA 则通过要求高风险系统采取强有力的安全措施对此进行补充。尽管 AIA 的义务与 TOM 类似，但它们更进一步解决了 AI 系统特有的特定漏洞。

数据主体权利
AIA 通过强调清晰解释如何在 AI 系统中使用数据的重要性，强化了 GDPR 中包含的数据主体权利。

后续步骤
这篇博文是对比利时数据保护局就 GDPR 与 AI 法案之间的相互作用所提供的指导的总结。

作为 AI 系统的所有者，最好同时查阅 GDPR 和 AIA 以确保合规。然而，这并不是一个时间敏感的问题，因为 AIA 的规定仅在 2025 年适用于禁止和通用人工智能 (GPAI) 系统，并在 2027 年适用于高风险系统。