EU-rådet vil endre GDPR: Snart kan tech-gigantene trene AI på dine data uten å spørre deg

De 27 EU-landenes faste representanter (Coreper) ble 21. oktober enige om en forhandlingsposisjon på den såkalte digitale omnibus-pakken. Mandatet, som Rådet selv kaller en forenkling av regelverket, legger inn en ny bestemmelse i personvernforordningen (GDPR) som eksplisitt tillater at selskaper utvikler og drifter AI-modeller på grunnlag av «legitim interesse», en behandlingshjemmel som ikke krever at den enkelte sier ja.

Irlands europaminister Thomas Byrne, hvis land har formannskapet, sa i pressemeldingen fra Rådet at mandatet skal forenkle reglene om personvern, databeskyttelse og cybersikkerhet for virksomheter, offentlige forvaltninger og innbyggere, samtidig som de politiske målene opprettholdes.

Nyvinningen heter Artikkel 88 bis og flytter AI-trening fra samtykke-sporet over i et balansetest-spor. Resultatet: har selskapet en «legitim interesse» som veier tyngre enn personvernet ditt, kan dataene brukes, uten at det må spørre først.

Fra samtykke til balansetest

Rådsmandatet omfatter også nye garantier som skal gjøre det mulig å bruke sensitive data i både biometrisk verifisering og AI-modelltrening. Rådet strøk flere av vernene som EU-kommisjonen opprinnelig hadde lagt inn, blant annet en ubetinget rett til å reservere seg, og erstattet den med den generelle innsigelsesretten i Artikkel 21 i GDPR.

Les også: Sier du ja til utvidet garanti i kassen: Du betaler trolig for noe du aldri trenger

I praksis betyr det at bevisbyrden snus. Der dagens regel typisk krever at selskapet henter inn samtykke før det bruker persondataene dine, legger forslaget opp til at behandlingen er lovlig som utgangspunkt. Vil du ut, må du selv reservere deg.

Personvernaktivister: «Digital ekspropriasjon»

Reaksjonen fra personvernhold har vært hard. Den østerrikske juristen Max Schrems og hans organisasjon noyb hevder forslaget favoriserer tech-selskapene på bekostning av fundamentale rettigheter.

«Under disse forslagene ville profitten til AI-selskapene trumfe europeernes grunnleggende rett til personvern. Dette er intet mindre enn en digital ekspropriasjon av europeere», sa Schrems til The Register i en kommentar til lekkede utkast i september.

noyb har tidligere beskrevet pakken som «det største angrepet på europeernes digitale rettigheter på årevis» og varslet at saken kan ende i EU-domstolen hvis den vedtas i nåværende form. Argumentet er at data lagt inn hos europeiske tjenester for lenge siden, kan bli hentet fram og brukt til AI-trening uten at brukerne vet om det.

Les også: Fiat Grande Panda elektrisk: Ny 400 km-versjon ligger 63.000 kroner under Renault 5

EØS-avtalen gjør det norsk

Fordi Norge er bundet av GDPR gjennom EØS-avtalen, vil endringene gjelde her på nøyaktig samme vilkår som i EU-landene. Det europeiske personvernrådet (EDPB), der Datatilsynet deltar fra norsk side, har i en felles uttalelse pekt på at forslaget risikerer å svekke vernet for personer bosatt i EØS, og rådet frarådet opprinnelig flere av endringene.

Metas plan om å trene sine språkmodeller på brukerdata fra Facebook og Instagram har allerede vist hvordan selskaper lener seg på legitim interesse som grunnlag, en praksis Artikkel 88 bis vil forankre direkte i lovteksten.

Hva skjer nå

Rådsmandatet er en forhandlingsposisjon, ikke vedtatt lov. Teksten skal nå til trilog-forhandlinger med Europaparlamentet, som fortsatt arbeider med sin egen posisjon i de ansvarlige komiteene. Først etter at Rådet, Parlamentet og Kommisjonen er enige om en endelig tekst, blir reglene bindende.

Fram til dess kan norske brukere benytte den eksisterende innsigelsesretten i Artikkel 21 i GDPR overfor tjenester som allerede baserer AI-trening på legitim interesse, og klage til Datatilsynet dersom et selskap avviser kravet.

Les også: Har du Ring, Eufy eller Nest på døra: Produsenten kan dele opptakene dine med politiet uten varsel til deg

Les også: Mange elbileiere trodde bilen var vedlikeholdsfri: En regning på over 10.000 kroner kan overraske deg etter fem år