Nieuprawnione wykorzystanie danych przez dostawcę AI – kto odpowiada i jakie grożą kary?

1. Czy dostawca AI może trenować model na danych klienta?

Nieuprawnione wykorzystanie danych przez dostawcę AI może naruszać RODO i prowadzić do zmiany jego roli prawnej. Jeżeli dostawca sztucznej inteligencji wykorzystuje dane osobowe klienta do trenowania modeli AI poza zakresem udokumentowanych poleceń i samodzielnie określa cele oraz sposoby ich przetwarzania, zgodnie z art. 28 ust. 10 RODO jest uznawany za administratora w odniesieniu do tego przetwarzania. Klient korzystający z systemu AI również ma obowiązek weryfikować dostawcę i warunki powierzenia danych.

2. Kto odpowiada za naruszenie RODO przez dostawcę AI? Jakie kary grożą za wykorzystanie danych bez zgody? Odpowiedzialność dostawcy AI może obejmować kary administracyjne, odszkodowania i sankcje karne. Nielegalne przetwarzanie danych osobowych przez sztuczną inteligencję może skutkować działaniami Prezesa UODO, roszczeniami z art. 82 RODO, odpowiedzialnością kontraktową oraz – po spełnieniu ustawowych przesłanek – odpowiedzialnością karną osób fizycznych. Za naruszenie obowiązków podmiotu przetwarzającego z art. 28 RODO grozi kara do 10 mln euro lub 2% całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa.
3. Czy klient odpowiada za nieuprawnione wykorzystanie danych przez dostawcę?

RODO, AI Act i prawo autorskie ograniczają wykorzystywanie danych do trenowania sztucznej inteligencji. Dostawcy modeli AI ogólnego przeznaczenia podlegają obowiązkom z art. 53 AI Act dotyczącym m.in. polityki zgodności z prawem autorskim i publikowania streszczenia treści treningowych, z uwzględnieniem przepisów przejściowych. Przedsiębiorcy korzystający z narzędzi AI powinni sprawdzać umowy powierzenia, zasady retencji danych, transfery poza EOG, warunki trenowania modeli oraz ochronę tajemnicy przedsiębiorstwa.