Правовые проблемы защиты персональных данных при использовании искусственного интеллекта

Стремительное распространение технологий искусственного интеллекта стало одним из наиболее значимых факторов трансформации современной цифровой экономики. Алгоритмы машинного обучения сегодня используются практически во всех сферах общественных отношений: от банковского скоринга и электронной коммерции до здравоохранения, кадрового управления и государственного администрирования. Основным ресурсом, обеспечивающим эффективность подобных технологий, выступают данные, среди которых особое место занимают персональные данные граждан.

Чем сложнее становятся системы искусственного интеллекта, тем более остро проявляются противоречия между традиционными правовыми механизмами защиты персональных данных и фактическими особенностями функционирования алгоритмов машинного обучения. Законодательство о персональных данных исторически формировалось применительно к моделям обработки информации, предполагающим наличие понятного оператора, определённой цели обработки и возможности осуществления контроля со стороны субъекта данных. Однако современные алгоритмические системы зачастую функционируют по принципам, существенно отличающимся от классических представлений о сборе и использовании информации.

В результате возникает целый комплекс правовых проблем, затрагивающих вопросы законности обработки данных, обеспечения конфиденциальности, реализации прав субъектов персональных данных, распределения юридической ответственности, а также прозрачности алгоритмических решений.

В этих условиях развитие искусственного интеллекта требует не только совершенствования отдельных норм законодательства, но и переосмысления базовых правовых конструкций, лежащих в основе регулирования персональных данных.

Искусственный интеллект как новый объект правового регулирования

Современные системы искусственного интеллекта отличаются от традиционных информационных технологий способностью самостоятельно выявлять закономерности в массивах данных, формировать прогнозы и принимать решения без прямого программирования каждого отдельного действия.

Ключевой особенностью машинного обучения является зависимость качества алгоритма от объёма и разнообразия используемых данных. Чем больше данных получает система, тем выше точность её моделей и прогнозов. Именно поэтому разработчики и операторы систем искусственного интеллекта заинтересованы в постоянном расширении массивов информации, используемых для обучения нейросетей.

С правовой точки зрения данная особенность создаёт принципиальное противоречие с фундаментальными принципами законодательства о персональных данных.
В частности, законодательство традиционно исходит из необходимости:

• ограничения целей обработки данных;
• минимизации объёма собираемой информации;
• обеспечения определённости целей обработки;
• ограничения сроков хранения данных;
• информированности субъекта о характере обработки.

Между тем обучение искусственного интеллекта зачастую требует многократного использования информации в целях, которые на момент её первоначального сбора невозможно определить исчерпывающим образом.
Фактически возникает конфликт между принципом технологической эффективности и принципом правовой определённости.

Проблема законности обработки персональных данных при обучении алгоритмов

Одной из наиболее сложных проблем становится обеспечение законности обработки персональных данных в процессе обучения искусственного интеллекта.
Классическая модель регулирования предполагает наличие конкретной цели обработки данных. Однако в рамках машинного обучения данные нередко используются для выявления закономерностей, которые заранее неизвестны разработчику.

Возникает закономерный вопрос: можно ли считать законной обработку данных в целях, которые будут сформированы самим алгоритмом в будущем?
Практика показывает, что многие организации формулируют цели обработки максимально широко:

• улучшение качества сервисов;
• развитие технологий;
• совершенствование программных продуктов;
• обучение интеллектуальных систем.

Подобные формулировки позволяют юридически обосновывать последующее использование информации, однако одновременно снижают уровень правовой определённости и затрудняют реализацию прав субъектов данных.
Особенно остро данная проблема проявляется при использовании больших языковых моделей и генеративного искусственного интеллекта, способных обучаться на огромных массивах текстовой информации, содержащей сведения о конкретных физических лицах.

При этом субъект персональных данных зачастую не располагает информацией о том:
— была ли использована информация о нём при обучении алгоритма;
— каким образом она была обработана;
— возможно ли её удаление из обученной модели;
— какие последствия может вызвать использование алгоритмом соответствующих данных.

В результате право на информированное согласие постепенно утрачивает своё первоначальное значение.

Кризис института согласия на обработку персональных данных

Традиционно согласие субъекта рассматривается как один из центральных механизмов обеспечения законности обработки персональных данных.
Однако применительно к технологиям искусственного интеллекта эффективность данного механизма вызывает всё больше вопросов.

Во-первых, пользователь объективно не способен оценить все потенциальные способы использования своих данных при обучении нейросетей.

Во-вторых, алгоритмы могут создавать новые производные данные, которые не существовали на момент получения согласия.

В-третьих, даже подробная политика конфиденциальности не позволяет субъекту понять реальный масштаб последующей обработки информации.

Формально согласие может быть получено в полном соответствии с требованиями закона, однако фактически субъект не обладает необходимым объёмом сведений для принятия осознанного решения.

Таким образом, в условиях развития искусственного интеллекта институт согласия постепенно превращается в юридическую фикцию, не обеспечивающую реальной защиты интересов граждан.

Представляется, что дальнейшее развитие законодательства должно быть направлено на переход от исключительно формального согласия к модели динамического управления персональными данными.

Такая модель могла бы предусматривать:
— возможность оперативного изменения условий обработки;
— поэтапное предоставление согласия;
— автоматизированное уведомление о новых способах использования данных;
— цифровые механизмы контроля над алгоритмической обработкой информации.

Конфиденциальность персональных данных в условиях машинного обучения

Серьёзные правовые риски возникают и в сфере обеспечения конфиденциальности информации.
Распространённым заблуждением является представление о том, что после обезличивания данные полностью утрачивают связь с конкретным человеком.

Современные технологии анализа больших данных демонстрируют обратное.
Даже при отсутствии прямых идентификаторов комбинация различных параметров зачастую позволяет установить личность субъекта с высокой степенью вероятности.

Дополнительные риски создают сами модели искусственного интеллекта.
Научные исследования последних лет подтверждают возможность так называемых атак на извлечение данных из обученных моделей. В отдельных случаях алгоритмы способны воспроизводить информацию, содержащуюся в обучающей выборке, включая персональные сведения пользователей.

Соответственно, утечка информации может происходить не только из базы данных оператора, но и через функционирование самой интеллектуальной системы.

Это обстоятельство требует расширения традиционного понимания информационной безопасности.
Объектом защиты должны выступать не только данные как таковые, но и алгоритмические модели, созданные на их основе.

Право субъекта на удаление данных и проблема цифровой памяти искусственного интеллекта

Одним из ключевых прав субъектов персональных данных является право требовать прекращения обработки информации и её удаления.
Однако применительно к системам искусственного интеллекта реализация данного права сталкивается с серьёзными техническими ограничениями.

После завершения обучения нейросети персональные данные перестают существовать в первоначальном виде и становятся частью математической модели.

Удаление исходной записи из базы данных не означает автоматического исключения соответствующей информации из обученного алгоритма.
Фактически возникает ситуация, при которой требования законодательства о прекращении обработки данных оказываются технически невыполнимыми без полного переобучения модели.

Для бизнеса это означает значительные финансовые затраты и серьёзные организационные сложности.

Для граждан — риск невозможности полноценной реализации принадлежащих им прав.

Очевидно, что существующее регулирование не учитывает специфику функционирования современных систем искусственного интеллекта и нуждается в существенной корректировке.

Алгоритмическая дискриминация и защита прав субъектов данных

Особое значение приобретает проблема алгоритмической дискриминации.

Алгоритмы обучаются на исторических массивах данных, которые зачастую отражают существующие социальные и экономические перекосы.

В результате система способна воспроизводить и даже усиливать дискриминационные практики.
Подобные риски наиболее заметны в следующих сферах:

• кредитный скоринг;
• страхование;
• подбор персонала;
• государственные услуги;
• медицинская диагностика.

Для субъектов персональных данных основная сложность заключается в том, что дискриминационное решение может быть принято автоматически и без возможности понять логику его формирования.

Отсутствие прозрачности алгоритмов существенно затрудняет судебную защиту нарушенных прав.

Гражданин может столкнуться с отказом в кредите, трудоустройстве или предоставлении услуги, не имея возможности установить, какие именно данные и какие алгоритмические параметры стали основанием для такого решения.
Таким образом, проблема защиты персональных данных постепенно выходит за рамки информационного права и начинает затрагивать фундаментальные вопросы обеспечения равенства и недопустимости дискриминации.

Прозрачность алгоритмов как условие законности обработки данных

Одним из наиболее дискуссионных вопросов современной правовой науки является проблема объяснимости искусственного интеллекта.
Многие современные нейросетевые модели относятся к категории так называемых «чёрных ящиков», когда даже разработчики не способны полностью объяснить механизм формирования конкретного результата.

С точки зрения законодательства о персональных данных подобная ситуация представляется крайне проблематичной.

Если оператор не способен объяснить:
— какие данные использовались;
— каким образом они были обработаны;
— по каким причинам было принято конкретное решение,
то возникает вопрос о возможности признания такой обработки законной и добросовестной.

Для бизнеса непрозрачность алгоритмов означает рост регуляторных рисков.

Для государства — снижение уровня доверия к цифровым технологиям.

Для граждан — невозможность эффективно защищать свои права.

Поэтому одним из перспективных направлений развития законодательства становится закрепление обязанности операторов обеспечивать достаточную степень объяснимости алгоритмических решений.
Речь идёт не о раскрытии коммерческой тайны или исходного программного кода, а о создании механизмов, позволяющих установить причинно-следственную связь между используемыми данными и принимаемыми решениями.

Юридическая ответственность за нарушения, вызванные искусственным интеллектом

Не менее сложным остаётся вопрос распределения ответственности за нарушения законодательства о персональных данных, связанные с использованием искусственного интеллекта.
Традиционная модель ответственности предполагает наличие конкретного субъекта, действия которого привели к нарушению закона.

Однако в алгоритмических системах причинно-следственная связь зачастую оказывается существенно сложнее.

Потенциальными участниками правоотношений могут выступать:
— разработчики алгоритма;
— поставщики обучающих данных;
— владельцы цифровой платформы;
— оператор персональных данных;
— пользователь системы искусственного интеллекта.

Возникает вопрос о том, кто должен нести ответственность, если нарушение стало следствием самообучения алгоритма, а не прямых действий конкретного лица.
Представляется, что современное законодательство должно исходить из принципа повышенной ответственности лиц, внедряющих и эксплуатирующих системы искусственного интеллекта.
Именно они получают экономическую выгоду от использования подобных технологий и обладают возможностью контролировать связанные с ними риски.

Алгоритмическая подотчётность как новый принцип регулирования

Развитие искусственного интеллекта демонстрирует ограниченность традиционных механизмов защиты персональных данных.

В этой связи всё более востребованной становится концепция алгоритмической подотчётности.
Суть данного подхода заключается в возложении на операторов обязанности не только соблюдать формальные требования законодательства, но и постоянно подтверждать безопасность, справедливость и правомерность функционирования используемых алгоритмов.

Алгоритмическая подотчётность может включать:

• проведение обязательных оценок рисков;
• независимый аудит алгоритмов;
• документирование процессов машинного обучения;
• мониторинг дискриминационных эффектов;
• оценку воздействия на права субъектов данных;
• регулярную отчётность перед регуляторами.

Фактически речь идёт о формировании нового института цифрового комплаенса, способного обеспечить баланс между технологическими инновациями и защитой фундаментальных прав личности.

Сравнительно-правовой анализ регулирования персональных данных и искусственного интеллекта: опыт Европейского союза, Великобритании, США и Китая

Развитие технологий искусственного интеллекта привело к формированию различных моделей правового регулирования в сфере защиты персональных данных. Несмотря на общность базовых вызовов, связанных с алгоритмической обработкой информации, отдельные юрисдикции демонстрируют принципиально разные подходы к соотношению инновационного развития и защиты прав личности.

Наиболее показательными в этом отношении являются модели Европейского союза, Великобритании, Соединённых Штатов Америки и Китайской Народной Республики, каждая из которых формирует собственную концепцию регулирования искусственного интеллекта и оборота данных.

Европейский союз: приоритет фундаментальных прав и риск-ориентированное регулирование

Европейский союз остаётся наиболее последовательной юрисдикцией в вопросах нормативного контроля за использованием персональных данных при разработке и внедрении систем искусственного интеллекта.
Основой европейской модели продолжает выступать Общий регламент по защите данных (GDPR), который рассматривает защиту персональных данных как одно из фундаментальных прав человека. Вместе с тем бурное развитие генеративного искусственного интеллекта выявило ограниченность традиционных механизмов GDPR, что обусловило принятие специального регулирования в форме AI Act.

Концептуально европейский подход строится вокруг риск-ориентированной модели регулирования. Законодатель исходит из того, что уровень правовых обязанностей должен зависеть от потенциального воздействия конкретной системы искусственного интеллекта на права и свободы человека.

Особое значение имеет введение специальных требований к прозрачности алгоритмов. Провайдеры и операторы отдельных категорий систем искусственного интеллекта обязаны информировать пользователей о взаимодействии с алгоритмом, а также обеспечивать маркировку контента, созданного или модифицированного искусственным интеллектом.

Принципиально важным является и усиление требований к качеству обучающих данных. Европейское регулирование фактически связывает вопросы защиты персональных данных с проблематикой алгоритмической дискриминации и требует проведения оценки рисков, связанных с предвзятостью обучающих выборок.

Вместе с тем европейская модель сталкивается с рядом серьёзных практических проблем.

Во-первых, остаётся открытым вопрос о возможности реального соблюдения требований прозрачности применительно к крупным языковым моделям и самообучающимся нейросетям. Во-вторых, сохраняется неопределённость относительно практической реализации права на удаление персональных данных из уже обученных моделей. В-третьих, бизнес всё чаще указывает на значительные издержки соблюдения одновременно требований GDPR, AI Act, NIS2 и иных цифровых регламентов.

Тем не менее именно Европейский союз сегодня формирует наиболее комплексную систему регулирования, в центре которой находятся права субъекта данных и принцип алгоритмической подотчётности.

Великобритания: эволюционное развитие через институты защиты данных

После выхода из Европейского союза Великобритания сохранила значительную часть нормативной архитектуры GDPR, однако постепенно начала формировать собственную модель регулирования искусственного интеллекта.
В отличие от ЕС британский законодатель отказался от создания единого комплексного закона об искусственном интеллекте по аналогии с AI Act. Вместо этого используется модель секторального регулирования через уже существующие институты защиты данных и полномочия профильных регуляторов.

Ключевую роль играет Управление комиссара по информации (ICO), которое последовательно развивает правовые механизмы контроля за автоматизированным принятием решений и алгоритмической обработкой данных. Особое внимание уделяется вопросам профилирования, автоматизированного принятия решений и обеспечению значимого человеческого контроля над результатами работы алгоритмов.

Значительный интерес представляет реформа британского законодательства 2025–2026 годов, связанная с изменением подхода к автоматизированному принятию решений. Если ранее регулирование строилось преимущественно вокруг ограничений на использование полностью автоматизированных решений, то новая модель делает акцент на праве субъекта оспаривать такие решения и требовать дополнительных гарантий защиты.

Фактически Великобритания постепенно переходит от запретительной модели к модели управляемой ответственности. С практической точки зрения данный подход представляется более гибким для бизнеса. Однако он одновременно увеличивает значение корпоративного комплаенса, поскольку именно на операторов возлагается обязанность доказать наличие эффективных механизмов человеческого контроля и предотвращения алгоритмической дискриминации.

Британская модель демонстрирует стремление сохранить баланс между инновациями и защитой персональных данных без чрезмерного нормативного давления на технологический сектор.

Соединённые Штаты Америки: фрагментарное регулирование и акцент на рыночные механизмы

Американский подход существенно отличается как от европейской, так и от британской моделей.
На федеральном уровне Соединённые Штаты до настоящего времени не располагают единым законом о защите персональных данных, сопоставимым с GDPR. Регулирование остаётся фрагментарным и осуществляется посредством сочетания отраслевых нормативных актов, законодательства отдельных штатов и надзорной деятельности Федеральной торговой комиссии (FTC).

В контексте искусственного интеллекта американская модель традиционно ориентирована на стимулирование инноваций и ограниченное вмешательство государства в развитие технологий.

Вместе с тем активное внедрение генеративного искусственного интеллекта привело к усилению дискуссии о необходимости установления дополнительных гарантий защиты персональных данных.

Особую роль начинает играть практика FTC, которая рассматривает непрозрачное использование пользовательских данных для обучения алгоритмов как потенциальное нарушение требований добросовестной коммерческой практики. Регулятор обращает внимание на недостаточную информированность пользователей о механизмах использования их данных в целях обучения искусственного интеллекта и на ограниченность возможностей контроля со стороны граждан.

Характерной особенностью американской модели является активное использование судебных механизмов защиты прав. Именно судебные процессы становятся важнейшим инструментом формирования правил обращения с данными при обучении нейросетей.

В последние годы в США существенно возросло количество споров, связанных с использованием персональных данных и цифрового контента для обучения генеративных моделей без получения прямого согласия правообладателей и субъектов данных. Дополнительным подтверждением этой тенденции стали законодательные инициативы, предусматривающие усиление ответственности за использование персональных данных при обучении искусственного интеллекта без надлежащего разрешения.

Американская система пока остаётся наиболее либеральной среди ведущих мировых юрисдикций, однако тенденция к постепенному усилению контроля за алгоритмической обработкой данных становится всё более заметной.

Китай: сочетание цифрового суверенитета и жёсткого государственного контроля

Китайская Народная Республика за последние годы сформировала одну из наиболее быстро развивающихся систем регулирования искусственного интеллекта.
В отличие от США китайская модель предполагает активное участие государства в управлении цифровой средой. В отличие от Европейского союза основное внимание уделяется не только защите прав субъектов данных, но и вопросам информационной безопасности, общественной стабильности и государственного контроля над цифровыми платформами.

Базовым нормативным актом выступает Закон о защите персональной информации (PIPL), который во многом заимствует отдельные элементы европейского подхода. Закон закрепляет принцип согласия как основное основание обработки персональных данных, вводит специальные требования к обработке чувствительной информации и распространяет своё действие на иностранных операторов, работающих с данными китайских граждан.

Особый интерес представляет регулирование алгоритмических систем.

Китайское законодательство требует обеспечения прозрачности автоматизированных решений, предоставляет пользователям право отказаться от отдельных форм алгоритмического профилирования и предусматривает дополнительные обязанности для операторов цифровых платформ, использующих рекомендательные алгоритмы.

Одновременно Китай стал одной из первых стран мира, принявших специальные правила регулирования генеративного искусственного интеллекта и технологий глубокого синтеза (deep synthesis). Такие акты предусматривают обязательства по предотвращению распространения недостоверной информации, обеспечению безопасности обучающих данных, защите персональной информации и проведению внутреннего контроля алгоритмов.

Китайская модель отличается высоким уровнем регуляторного вмешательства и существенно более широкими полномочиями государственных органов по контролю за цифровыми платформами.
С точки зрения бизнеса данный подход обеспечивает большую правовую определённость в вопросах государственного надзора, однако одновременно увеличивает объём обязательных требований к разработчикам и операторам систем искусственного интеллекта.

Общие тенденции и перспективы развития регулирования

Сравнительный анализ показывает, что несмотря на различия правовых моделей ведущие мировые юрисдикции постепенно приходят к схожему пониманию ключевых рисков использования искусственного интеллекта.

Практически во всех рассматриваемых правопорядках наблюдаются следующие тенденции:

• усиление требований к прозрачности алгоритмических решений;
• расширение прав субъектов данных при автоматизированной обработке информации;
• формирование механизмов контроля за дискриминационными эффектами алгоритмов;
• развитие обязательных процедур оценки рисков;
• постепенный переход от формального соблюдения требований о согласии к модели алгоритмической подотчётности;
• усиление ответственности операторов и разработчиков интеллектуальных систем.

При этом Европейский союз делает ставку на приоритет фундаментальных прав личности, Великобритания — на гибкое регулирование через существующие институты защиты данных, Соединённые Штаты — на сочетание рыночных механизмов и судебного контроля, а Китай — на комплексное государственное управление цифровой средой.

В долгосрочной перспективе именно концепция алгоритмической подотчётности, объединяющая требования прозрачности, управляемости и юридической ответственности, вероятно, станет ключевым элементом международного регулирования искусственного интеллекта и обработки персональных данных.

Распространение технологий искусственного интеллекта поставило под сомнение эффективность целого ряда классических правовых конструкций, лежащих в основе законодательства о персональных данных. Принципы целевого ограничения обработки, информированного согласия, удаления информации и прозрачности принятия решений формировались в условиях традиционных информационных систем и всё чаще демонстрируют недостаточную адаптированность к реалиям автономного машинного обучения.

Современные алгоритмы способны использовать данные способами, которые невозможно полностью предсказать на момент их сбора, создавать новые массивы производной информации и принимать решения без очевидной для человека логики. В результате существенно возрастает риск нарушения прав субъектов персональных данных, снижается эффективность традиционных механизмов контроля и усложняется привлечение виновных лиц к юридической ответственности.

В этих условиях дальнейшее развитие правового регулирования должно быть связано не с механическим ужесточением требований к обработке данных, а с модернизацией самих базовых институтов цифрового права. Особого внимания требует реформирование института согласия на обработку персональных данных, который должен эволюционировать от формальной процедуры к инструменту реального контроля граждан над использованием их информации.

Не менее важным направлением является нормативное закрепление принципа алгоритмической подотчётности, предполагающего обязанность разработчиков и операторов искусственного интеллекта обеспечивать прозрачность, проверяемость и правомерность алгоритмических решений. Именно сочетание технологической инновационности и усиленных гарантий защиты прав личности способно стать основой устойчивого развития цифровой экономики в условиях стремительного распространения искусственного интеллекта.

Телеграм: t.me/ainewsline

Источник: alrf.ru

Комментарии: