I onsdags godkände EU:s medlemsstater en ändring av GDPR som skulle sätta OpenAI:s, Anthropics, Googles, Metas och SpaceX:s vinstintressen framför européernas grundläggande rätt till dataskydd. Enligt den godkända texten ska behandling av personuppgifter ”i samband med AI” automatiskt vara laglig. Framför allt skulle de stora teknikföretagen kunna använda alla personuppgifter som samlats in under de senaste decennierna praktiskt taget utan några begränsningar, så länge detta sker ”i samband” AI. Schrems: ”Enligt den överenskomna texten skulle AI-företagens vinster i regel gå före européernas grundläggande rätt till integritet. Detta är inget annat än en digital expropriering av européerna.” Allt detta sker trots att nyckelpersoner inom AI-företagen aktivt varnar för de enorma riskerna som är förknippade med deras egna produkter.
De sista hindren faller: Trumfar AI-företagens vinster dataskyddet? Somen del av förslaget till ”Digital Omnibus” hävdade Europeiska kommissionen att man endast skulle göra mindre ändringar för att förenkla för EU-företagen. Samtidigt hävdade man uttryckligen att man skulle upprätthålla en ”hög skyddsnivå” för människor i Europa. Därför valdes ett ”snabbt förfarande”. Detta skedde utan att någon grundläggande rättighetsbedömning genomfördes eller att den europeiska expertgruppen för dataskydd direkt involverades.
Artikel 88c, enligt Europeiska kommissionens förslag (nu artikel 88bis i rådets dokument), syftar till att frigöra användningen av personuppgifter för AI. Förslaget ligger för närvarande hos rådet, där det irländska ordförandeskapet för närvarande har ledningen. Irland fungerar också som EU-huvudkontor för majoriteten av de amerikanska och kinesiska AI-företagen.
Digital expropriering: godkänd i rådet. Med stöd av Tyskland och andra EU-stormakter godkände rådet (som företräder EU:s medlemsstater) på onsdagen att företag i princip ska tillåtas göra vad som helst när de använder personuppgifter ”i samband med AI”. Detta innebär att AI-företagens kommersiella intressen i allmänhet skulle gå före användarnas grundläggande rättigheter. Detta generella tillstånd skulle även gälla personer som aldrig har varit kunder hos ett AI-företag och uppgifter som matats in för flera decennier sedan, till exempel i chattar eller på sociala medier. Alla personuppgifter som ett AI-företag på något sätt kan få tag på skulle omfattas av bestämmelsen. Det skulle inte finnas något behov av att be användarna om samtycke. Istället antas det automatiskt att företagen har ett överordnat ”berättigat intresse” om de använder eller tränar någon AI-produkt.
Rådet har lagt till en hänvisning till de befintliga rättigheterna och skyldigheterna enligt artikel 21 (rätten att välja bort behandling i specifika fall) och artikel 24 i GDPR (kravet på tekniska och organisatoriska åtgärder för att uppfylla rättsliga skyldigheter), men dessa påstådda ”skyddsåtgärder” skulle gälla för all behandling även utan denna hänvisning. I praktiken kräver den nya artikel 88a om AI inga väsentliga skyddsåtgärder.
Max Schrems: ”I onsdags enades EU:s medlemsstater om att ta våra uppgifter och mata in dem i AI-företag gratis. I årtionden har vi sagt till människor att deras data är säkra och, i bästa fall, används för annonser. Nu kan Google, Meta och Microsoft helt enkelt använda alla data de har samlat in nästan utan begränsningar och för vilket projekt som helst som innehåller någon form av ’AI’-komponent. Detta är den största gåvan som EU:s medlemsstater någonsin har gett till de stora amerikanska techföretagen.”
Försäljningen av europeiska uppgifter till USA och Kina. Politikerna verkar tro att den europeiska ekonomin kommer att gynnas av att så många lagar som möjligt avskaffas. Man kan dock förvänta sig raka motsatsen: de flesta EU-företag har varken tillgång till samma datamängder eller det kapital som krävs för att konkurrera med amerikanska företag. I många fall kan detta också innebära att de uppgifter som samlas in av EU-företag (men som behandlas på plattformar eller tjänster utanför EU) skulle hamna hos leverantörer i USA eller Kina.
Max Schrems: ”Denna lagändring gynnar främst de stora aktörerna, de som har samlat in enorma mängder europeiska data. Detta är en total utförsäljning av europeiska data till globala företag. Det skulle också leda till att en stor mängd kunskap flyter från EU-företag till USA eller Kina. Ur ett industripolitiskt perspektiv är ett sådant tillvägagångssätt ren galenskap.”
En fritt utformad fullmakt för en hel teknik? Vanligtvistillåter GDPR behandling för specifika ändamål (t.ex. lagring för skatteregister eller bedrägeribekämpning). Den överenskomna artikel 88c (eller artikel 88bis) legitimerar dock en hel teknik. Oavsett vilket syfte den används för skulle vilket AI-system som helst lagligen kunna samla in vilka personuppgifter som helst som standard. Den föreslagna artikeln skulle till exempel även tillåta träning och användning av AI för manipulation, desinformation, generering av nakenbilder eller drönare som dödar människor, och i själva verket vilket annat tvivelaktigt syfte som helst. Många behandlingsåtgärder som hittills varit olagliga skulle plötsligt kunna bli lagliga – bara för att de utförs ”i samband” ett AI-system. Till exempel är databehandling för personliga reklamändamål (utan samtycke) för närvarande olaglig i EU. Nu skulle dock reklam plötsligt kunna bli laglig om den anpassas med hjälp av AI-teknik.
Max Schrems: ”Det är som att säga att allt är tillåtet – oavsett vad man gör – så länge det görs med AI. Om något är olagligt i ett Excel-kalkylblad är det lagligt om det görs med en AI-agent. Det är fullständigt absurt att ge en högriskteknik förmånsbehandling framför alla andra datorsystem.”
Det 45 år gamla löftet om dataskydd håller på att rasa samman. På europeisk nivå har dataskyddslagstiftning funnits sedan 1981. I årtionden har européerna lovats att ett sådant (förmodat) ”strikt” dataskydd skulle säkerställa att plattformar som Twitter/X, Facebook eller Instagram, och företag som Google eller Microsoft, som samlar in enorma mängder data, ”aldrig” skulle använda dem för andra ändamål än de för vilka de delades. Den föreslagna artikeln 88c (eller nu 88bis) bryter detta löfte: all insamlad data står plötsligt till förfogande för vilken användning som helst av vilket AI-system som helst.
Max Schrems: ”Sedan 1980-talet har vi lovat människor att även om stora företag får lagra data, får de endast använda den i begränsad utsträckning. Artikel 88bis öppnar dock plötsligt slussarna och tillåter obegränsad användning av all data för AI.”
Ytterligare omfattande inskränkningar av skydd och rättigheter. Dessutom har EU:s medlemsstater föreslagit att definitionen av ”personuppgifter” ska begränsas drastiskt. Detta innebär bland annat att det är oklart om spårning på nätet fortfarande skulle omfattas av GDPR. Detta ska ske med hjälp av så kallade ”pseudonymer”, som i regel inte längre ska omfattas av GDPR. Problemet är att de flesta IT-system i första hand arbetar med pseudonymer (såsom användar-ID, spårnings-ID, IP-adresser eller personnummer). Beslutet om huruvida uppgifter fortfarande är ”personuppgifter” skulle i första hand fattas av de företag som omfattas av lagstiftningen. Sådana debatter brukar dra ut på tiden i åratal och drabbas av enorma förseningar och enorma kostnader – alltså allt annat än en ”förenkling”.
Max Schrems: ”Dessa ändringar är hämtade direkt ur strategiboken hos vilken stor advokatbyrå som helst som försvarar de stora teknikföretagen. Vi har tillbringat år i domstolar och inför myndigheter för att få dessa påståenden avvisade. EU-lagstiftaren kommer sannolikt att ge dem en extra skjuts och därmed göra EU-lagstiftningen ännu mer komplex och omöjlig att tillämpa.”
Nästa stridsfält: Europaparlamentet. Denna överenskommelse är inte en överenskommelse om den slutgiltiga lagen. Rådet måste förhandla fram den slutgiltiga formuleringen med Europaparlamentet, som ännu inte har intagit någon ståndpunkt. Europeiska kommissionen är den tredje institutionen som är inblandad i den så kallade ”trepartssamtal” som ska leda fram till en slutgiltig EU-lag. Kommissionen har redan för en tid sedan gjort en helomvändning och prioriterar för närvarande tydligt industrilobbyns intressen framför de grundläggande rättigheterna.
Europaparlamentets ståndpunkt är fortfarande under utarbetande. Medan de flesta inom Europeiska folkpartiet (EPP) tenderar att argumentera för att införa fler och fler kryphål i EU:s digitala lagstiftning, har ledamöter från center-vänsterfraktionerna hittills motsatt sig detta och förespråkar att status quo bibehålls. I allt högre grad motsätter sig även grupper på den yttersta högerkanten förslag om ett ”fritt pass” för Big Tech.
Sista hoppet: EU-domstolen? Dencentrala frågan verkar vara om en lag utan några meningsfulla begränsningar på något sätt kan förenas med EU:s grundläggande rättigheter. Tidigare har EU-domstolen ogiltigförklarat EU-lagstiftning i fall som rörde betydligt mindre allvarliga kränkningar av EU:s grundläggande rättigheter, såsom datalagring eller överföring av EU-data till USA.
Max Schrems: ”Om lagstiftaren har förlorat all känsla för proportioner och riktning kan medborgarna bara vända sig till domstolarna. Varje extrem lag som löper stor risk att ogiltigförklaras skulle samtidigt bara skapa mer rättslig osäkerhet istället för den utlovade förenklingen.”
