Keskiviikkona EU:n jäsenvaltiot hyväksyivät GDPR-asetukseen muutoksen, joka asettaisi OpenAI:n, Anthropicin, Googlen, Metan ja SpaceX:n taloudelliset edut etusijalle eurooppalaisten tietosuojaan liittyvään perusoikeuteen nähden. Hyväksytyn tekstin mukaan henkilötietojen käsittely ”tekoälyn yhteydessä” olisi automaattisesti laillista. Erityisesti suuret teknologiayritykset voisivat käyttää kaikkia viime vuosikymmeninä kerättyjä henkilötietoja käytännössä ilman rajoituksia, kunhan tämä tapahtuu ”AI:n yhteydessä”. Schrems: ”Hyväksytyn tekstin mukaan tekoälyyritysten voitot menisivät tyypillisesti eurooppalaisten yksityisyyden perusoikeuden edelle. Tämä ei ole muuta kuin eurooppalaisten digitaalinen pakkolunastus.” Kaikki tämä tapahtuu huolimatta siitä, että tekoälyyritysten avainhenkilöt varoittavat aktiivisesti omien tuotteidensa aiheuttamista valtavista riskeistä.
Viimeisetkin rajoitukset poistuvat: Voittavatko tekoälyyritysten voitot tietosuojan? Osana”Digital Omnibus” -ehdotusta Euroopan komissio väitti tekevänsä vain vähäisiä muutoksia EU-yritysten toiminnan yksinkertaistamiseksi. Samalla se ilmoitti nimenomaisesti säilyttävänsä ”korkean suojan tason” eurooppalaisille. Siksi valittiin ”nopeutettu menettely”. Tämä tehtiin ilman perusoikeusarviointia tai ilman, että Euroopan tietosuojan asiantuntijaryhmää otettiin suoraan mukaan.
Euroopan komission ehdottama 88 c artikla (nykyisin neuvoston asiakirjassa 88 bis artikla) tähtää henkilötietojen käytön vapauttamiseen tekoälyn tarpeisiin. Ehdotus on tällä hetkellä neuvostossa, jossa Irlannin puheenjohtajakaudella on tällä hetkellä ohjat käsissään. Irlanti toimii myös EU:n pääkonttorina suurimmalle osalle yhdysvaltalaisista ja kiinalaisista tekoälyyrityksistä.
Digitaalinen pakkolunastus: hyväksytty neuvostossa. Saksan ja muiden EU:n suurvaltojentuella neuvosto (joka edustaa EU:n jäsenvaltioita) hyväksyi keskiviikkona, että yrityksille tulisi yleisesti sallia käytännössä mitä tahansa henkilötietojen käytössä ”tekoälyn yhteydessä”. Tämä tarkoittaa, että tekoälyyritysten kaupalliset edut menisivät yleensä käyttäjien perusoikeuksien edelle. Tämä yleinen sallimus koskisi myös ihmisiä, jotka eivät ole koskaan olleet tekoälyyrityksen asiakkaita, sekä vuosikymmeniä sitten syötettyjä tietoja, esimerkiksi chat-keskusteluista tai sosiaalisesta mediasta. Kaikki henkilötiedot, joihin tekoälyyritys jollain tavalla pääsee käsiksi, kuuluisivat tämän säännöksen piiriin. Käyttäjiltä ei tarvitsisi pyytää suostumusta. Sen sijaan oletetaan automaattisesti, että yrityksillä on ensisijainen ”oikeutettu etu”, jos ne käyttävät tai kouluttavat mitä tahansa tekoälytuotetta.
Neuvosto on lisännyt viittauksen GDPR:n 21 artiklan mukaisiin nykyisiin oikeuksiin ja velvollisuuksiin (oikeus kieltäytyä tietyissä tapauksissa) sekä 24 artiklaan (tarve toteuttaa oikeudelliset velvollisuudet teknisin ja organisatorisin keinoin), mutta nämä väitetyt ”suojatoimet” koskisivat kaikkea tietojen käsittelyä myös ilman kyseistä viittausta. Pohjimmiltaan uusi tekoälyä koskeva 88 bis artikla ei vaadi mitään olennaisia suojatoimia.
Max Schrems: ”Keskiviikkona EU:n jäsenvaltiot sopivat ottavansa tietomme ja syöttävänsä ne tekoälyyrityksille ilmaiseksi. Olemme vuosikymmenten ajan kertoneet ihmisille, että heidän tietonsa ovat turvassa ja että niitä käytetään parhaimmillaan mainonnassa. Nyt Google, Meta ja Microsoft voivat käyttää kaikkia keräämiään tietoja lähes rajoituksetta ja mihin tahansa projektiin, jossa on mukana jonkinlainen ’tekoäly’-komponentti. Tämä on suurin lahja, jonka EU:n jäsenvaltiot ovat koskaan antaneet yhdysvaltalaisille suurille teknologiayrityksille.”
Eurooppalaisten tietojen myynti Yhdysvaltoihin ja Kiinaan. Poliitikot näyttävät uskovan, että Euroopan talous hyötyy mahdollisimman monen lain kumoamisesta. Voidaan kuitenkin odottaa juuri päinvastaista: useimmilla EU-yrityksillä ei ole pääsyä yhtä suureen tietomäärään eikä pääomaa, jolla ne voisivat kilpailla yhdysvaltalaisten suuryritysten kanssa. Monissa tapauksissa tämä voisi myös tarkoittaa, että EU:n yritysten keräämät tiedot (joita kuitenkin käsitellään EU:n ulkopuolella sijaitsevilla alustoilla tai palveluissa) päätyisivät palveluntarjoajille Yhdysvaltoihin tai Kiinaan.
Max Schrems: ”Tämä lainsäädännön muutos hyödyttää ensisijaisesti suuria toimijoita, jotka ovat keränneet valtavia määriä eurooppalaisia tietoja. Kyseessä on eurooppalaisten tietojen täydellinen myynti globaaleille suuryrityksille. Se johtaisi myös siihen, että suuri määrä osaamista virtaisi EU:n yrityksistä Yhdysvaltoihin tai Kiinaan. Teollisuuspolitiikan näkökulmasta tällainen lähestymistapa on hulluutta.”
Vapaat kädet koko teknologian suhteen? YleensäGDPR sallii tietojen käsittelyn tiettyihin tarkoituksiin (esim. säilyttäminen verotustietojen tai petosten ehkäisyn vuoksi). Sovittu 88c artikla (tai 88bis artikla) kuitenkin laillistaa kokonaisen teknologian. Käyttötarkoituksesta riippumatta mikä tahansa tekoälyjärjestelmä voisi oletusarvoisesti kerätä laillisesti mitä tahansa henkilötietoja. Esimerkiksi ehdotettu artikla sallisi tekoälyn kouluttamisen ja käytön myös manipulointiin, disinformaatioon, alastonkuvien luomiseen tai tappajadroonien kehittämiseen sekä mihin tahansa muuhun kyseenalaiseen tarkoitukseen. Monet käsittelytoimet, jotka ovat tähän asti olleet laittomia, voisivat yhtäkkiä muuttua laillisiksi – pelkästään siksi, että ne tehdään ”AI-järjestelmän yhteydessä” tekoälyjärjestelmän puitteissa. Esimerkiksi henkilökohtaiseen mainontaan tähtäävä tietojen käsittely (ilman suostumusta) on tällä hetkellä laitonta EU:ssa. Mainonta voisi kuitenkin yhtäkkiä muuttua lailliseksi, jos se räätälöidään tekoälyteknologian avulla.
Max Schrems: ”Se on kuin sanoisi, että kaikki käy – mitä tahansa teetkin – kunhan se tehdään tekoälyn avulla. Jos jokin on laitonta Excel-taulukossa, se on laillista, jos se tehdään tekoälyagentin avulla. On täysin järjetöntä antaa etuuskohtelua riskialttiille teknologialle kaikkien muiden tietokonejärjestelmien kustannuksella.”
45 vuotta kestänyt tietosuojalupaus on romahtamassa. Euroopan tasolla tietosuojalainsäädäntöä on ollut voimassa vuodesta 1981 lähtien. Eurooppalaisille on vuosikymmenten ajan luvattu, että tällainen (oletettavasti) ”tiukka” tietosuoja varmistaisi, etteivät Twitter/X:n, Facebookin tai Instagramin kaltaiset alustat eikä Googlen tai Microsoftin kaltaiset yritykset, jotka keräävät valtavia määriä tietoja, ”koskaan” käyttäisi niitä muihin tarkoituksiin kuin mihin ne on jaettu. Ehdotettu 88c artikla (tai nykyisin 88bis) rikkoo tämän lupauksen: kaikki kerätyt tiedot ovat yhtäkkiä kenen tahansa tekoälyjärjestelmän käytettävissä mihin tahansa tarkoitukseen.
Max Schrems: ”1980-luvulta lähtien olemme luvanneet ihmisille, että vaikka suuret yritykset saattavat säilyttää tietoja, niitä saa käyttää vain rajoitetusti. Artikla 88bis avaa kuitenkin yhtäkkiä padot ja sallii kaikkien tietojen rajoittamattoman käytön tekoälyyn.”
Lisää mittavia rajoituksia suojalle ja oikeuksille. Lisäksi EU:n jäsenvaltiot ovat ehdottaneet ”henkilötietojen” määritelmän rajuja kavennuksia. Tämä tarkoittaa muun muassa sitä, että on epäselvää, kuuluuko verkkoseuranta edelleen GDPR:n piiriin. Tämän on tarkoitus tapahtua niin sanottujen ”pseudonyymien” avulla, joita GDPR ei enää säännönmukaisesti kattaisi. Ongelmana on, että suurin osa IT-järjestelmistä toimii ensisijaisesti pseudonyymien avulla (kuten käyttäjätunnukset, seurantatunnukset, IP-osoitteet tai henkilötunnukset). Päätös siitä, ovatko tiedot edelleen ”henkilökohtaisia”, jäisi pääasiassa lain sääntelemien yritysten tehtäväksi. Tällaiset keskustelut venyvät tyypillisesti vuosien mittaisiksi ja aiheuttavat menettelyille valtavia viivästyksiä ja kustannuksia – eli kaikkea muuta kuin ”yksinkertaistamista”.
Max Schrems: ”Nämä muutokset ovat suoraan minkä tahansa suurta teknologia-alaa puolustavan suuren asianajotoimiston pelikirjasta. Olemme viettäneet vuosia tuomioistuimissa ja viranomaisten edessä saadaksemme nämä väitteet hylätyiksi. EU:n lainsäätäjä todennäköisesti vauhdittaa niitä entisestään ja tekee siten EU:n lainsäädännöstä entistä monimutkaisempaa ja täytäntöönpanokelvottomampaa.”
Seuraava taistelukenttä: Euroopan parlamentti. Tämä sopimus ei ole lopullista lakia koskeva sopimus. Neuvoston on neuvoteltava lopullisesta sanamuodosta Euroopan parlamentin kanssa, joka ei ole vielä ottanut kantaa asiaan. Euroopan komissio on kolmas toimielin, joka on mukana niin sanotussa ”kolmikantaneuvotteluihin”, jotka johtavat lopulliseen EU-lakiin. Komissio on jo jonkin aikaa sitten tehnyt 180 asteen käännöksen ja asettaa tällä hetkellä selvästi teollisuuden eturyhmien edut perusoikeuksien edelle.
Euroopan parlamentin kanta on vielä muotoutumassa. Vaikka suurin osa Euroopan kansanpuolueen (EPP) jäsenistä pyrkii puoltamaan yhä useampien porsaanreikien lisäämistä EU:n digitaalilainsäädäntöön, keskusta-vasemmistolaisista ryhmistä tulevat Euroopan parlamentin jäsenet ovat toistaiseksi vastustaneet tätä ja kannattavat nykytilanteen säilyttämistä. Yhä useammat myös äärioikeistolaiset ryhmät vastustavat ehdotuksia, jotka antaisivat suurille teknologiayrityksille ”vapaalipun”.
Viimeinen toivo: Euroopan unionin tuomioistuin?Keskeinenkysymysnäyttää olevan, voidaanko laki, jossa ei ole merkittäviä rajoituksia, millään tavalla sovittaa yhteen EU:n perusoikeuksien kanssa. Aiemmin Euroopan unionin tuomioistuin on kumonnut EU-lainsäädäntöä tapauksissa, joissa EU:n perusoikeuksia on loukattu huomattavasti vähemmän, kuten tietojen säilyttämisen tai EU:n tietojen siirron Yhdysvaltoihin yhteydessä.
Max Schrems: ”Jos lainsäätäjä on menettänyt kaiken suhteellisuudentajunsa ja suunnan, kansalaiset voivat kääntyä vain tuomioistuinten puoleen. Mikä tahansa äärimmäinen laki, jolla on suuri riski tulla kumotuksi, aiheuttaisi samalla vain lisää oikeudellista epävarmuutta sen sijaan, että se yksinkertaistaisi asioita, kuten on luvattu.”
