Pochodzenie danych treningowych AI: zgodność zaczyna się przed pierwszym uruchomieniem modelu
Zespół wdrożeniowy często koncentruje się na skuteczności modelu: dokładności, czasie odpowiedzi i redukcji kosztów.
Opracowanie: Zespół redakcyjny WILIŃSKI LEGAL
Zespół wdrożeniowy często koncentruje się na skuteczności modelu: dokładności, czasie odpowiedzi i redukcji kosztów. Tymczasem jeden z najpoważniejszych problemów powstaje przed treningiem — przy pozyskaniu danych. Legalność użycia zbioru nie wynika z tego, że plik jest publicznie dostępny, a możliwość technicznego pobrania nie oznacza prawa do jego dowolnego wykorzystania komercyjnego.
Trzy porządki, których nie wolno mieszać
Pierwszy to prawa autorskie i pokrewne, obejmujące warunki kopiowania i eksploracji tekstów oraz danych. Drugim jest ochrona danych osobowych, w szczególności podstawy i zgodności celu przetwarzania według RODO. Trzecim jest tajemnica przedsiębiorstwa, umowy o poufności i warunki dostępu do baz. Brak naruszenia praw autorskich nie przesądza, że wolno przetwarzać dane osobowe, a usunięcie imion i nazwisk nie oznacza automatycznie skutecznej anonimizacji.
Eksploracja tekstów i danych
Dyrektywa (UE) 2019/790 przewiduje szczególne rozwiązania dla eksploracji tekstów i danych, w tym odrębny reżim dotyczący badań naukowych i ogólniejszy wyjątek, w którym znaczenie może mieć skuteczne zastrzeżenie praw przez uprawnionego. Trzeba sprawdzić krajową implementację, legalny dostęp do zbioru i sposób zastrzeżenia. Nie wystarcza powołanie się na hasło „TDM” bez analizy konkretnej czynności oraz daty jej dokonania. Obowiązki wynikające z AI Act dotyczące dostawców modeli ogólnego przeznaczenia są zagadnieniem odrębnym od cywilnoprawnej podstawy pozyskania danych.
Minimalna dokumentacja provenance
Dla każdego istotnego zbioru należy zachować informacje o źródle, dacie pozyskania, licencji, ograniczeniach pól wykorzystania, danych osobowych, usunięciu duplikatów i procedurze realizacji sprzeciwów. Warto odnotować podmiot odpowiedzialny za decyzję, wykorzystywaną wersję zbioru i jego późniejsze aktualizacje. Dostawca zewnętrzny powinien przedstawić adekwatne gwarancje, ale ogólne zapewnienie „we comply with all laws” nie zastępuje oceny odpowiedzialności i praw do wyników. Ryzyka rosną, gdy w zbiorze są informacje objęte tajemnicą zawodową lub dane o postępowaniach karnych.
Przykład zastosowania: zbiór zdjęć z internetu
Firma pozyskuje do treningu systemu rozpoznawania obiektów zdjęcia dostępne w sieci. Raport prawny powinien ustalić źródło i zasady licencji dla każdej istotnej kategorii plików, możliwość zastosowania wyjątku TDM oraz skuteczność ewentualnego zastrzeżenia praw. Jeżeli kadry zawierają rozpoznawalne osoby, powstaje dodatkowy problem RODO, a użycie danych biometrycznych może istotnie zmienić analizę. Weryfikacji wymaga też, czy obrazy nie zostały pozyskane z zasobów chronionych umową lub tajemnicą. „Open web” jest opisem miejsca publikacji, a nie kategorią prawną legalizującą cały zbiór.
Trzy niezależne warstwy zgodności
Badanie legalności zbioru treningowego powinno osobno uwzględniać prawa autorskie i prawa do baz danych, ochronę danych osobowych oraz obowiązki regulacyjne dotyczące modeli lub systemów AI. Posiadanie technicznego dostępu do obrazu, książki czy strony internetowej nie oznacza automatycznie prawa do dowolnego użycia jej zawartości. Podobnie sama zgodność z wyjątkiem na potrzeby eksploracji tekstów i danych nie przesądza o legalnej podstawie przetwarzania danych osobowych. Uczciwy audyt wymaga odrębnych konkluzji dla każdej warstwy.
Licencja, TDM i skuteczny sprzeciw podmiotu uprawnionego
Dyrektywa 2019/790 wprowadza mechanizmy dotyczące eksploracji tekstów i danych, ale ich zastosowanie zależy od przesłanek oraz implementacji krajowej. W określonych sytuacjach znaczenie ma zastrzeżenie praw przez uprawnionego w odpowiedniej postaci. Nie należy przedstawiać scrapingu jako działania z definicji legalnego ani przyjmować, że każdy publicznie widoczny dokument wolno pobrać do uczenia modelu. Weryfikacja musi uwzględniać warunki licencji, sposób pozyskania danych, ich charakter i odnotowane zastrzeżenia.
Rejestr pochodzenia jako dowód staranności
W procesie wdrożeniowym warto utrzymywać ewidencję źródeł danych: właściciel zbioru, data pobrania, podstawa dostępu, licencja, wersja, ewentualny sprzeciw, dane osobowe i reguły usuwania. Brak tej dokumentacji utrudnia zarówno reakcję na żądanie usunięcia danych, jak i przedstawienie prawidłowej oceny ryzyka. Zbiory pozyskane od dostawców zewnętrznych wymagają odrębnej kontroli oświadczeń kontraktowych, prawa do sublicencjonowania i możliwości audytu.
Zmiany modelu a obowiązek ponownego badania
Zgodność oceniona w fazie prototypu może nie obejmować późniejszego douczenia, połączenia z usługą generowania treści lub wykorzystania modelu w innym celu. Dlatego procedura powinna definiować momenty ponownej oceny, odpowiedzialność właściciela produktu, testy bezpieczeństwa i zasady obsługi roszczeń. Nie należy mylić udokumentowania pochodzenia danych z gwarancją, że rezultat modelu nigdy nie naruszy cudzych praw.
Konkluzja
Dokumentowanie pochodzenia danych jest dla AI tym, czym łańcuch dowodowy dla ekspertyzy cyfrowej: umożliwia ocenę wiarygodności i legalności całego procesu. Dobrze skonstruowany rejestr źródeł ma wartość nie tylko compliance, lecz także przy sporze o prawa do modelu lub wyniku.
Podstawa i źródła: dyrektywa (UE) 2019/790; RODO; rozporządzenie (UE) 2024/1689; https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32019L0790 ; https://eur-lex.europa.eu/legal-content/PL/ALL/?uri=CELEX:32016R0679
Powiązane analizy
- Sporządź wykaz zbiorów, dostawców i licencji.
- Sprawdź podstawy wykorzystania utworów i baz danych.
- Zidentyfikuj dane osobowe i właściwe podstawy RODO.
- Udokumentuj zastrzeżenia i ograniczenia wykorzystania.
- Ustal procedurę aktualizacji i usuwania danych.
Udostępnij tę analizę
Jeśli materiał może pomóc innym zrozumieć problem prawny, przekaż odnośnik dalej.