Разработки IT-специалистов последних лет показывают широкое распространение искусственного интеллекта (далее - ИИ) в обыденной жизни: система «умный дом», использование ИИ при проведении сложных медицинских операций, во время поиска информации¹ и ее обработки. Например, не так давно Сбербанк анонсировал запуск своей нейросети Kandinsky 2.1, которая способна генерировать изображения на основе написанного текста².

Такое стремительное развитие ИИ заставляет юристов задуматься о его правовом статусе: дискуссии о правосубъектности ИИ и авторском праве на результаты деятельности ИИ не стихают последние годы³.

Важным является вопрос защиты персональных данных (далее - ПД). Это объясняется обработкой ПД при помощи системы ИИ без согласия субъекта ПД и аккумулированием ИИ больших объемов данных. Так, известны дела, связанные с американской компании Open AI, работающей на основе машинного обучения, и ChatGPT. Итальянский регулятор отметил, что компания массово собирает и хранит ПД пользователей, не имея правовой базы на подобные действия⁴, что свидетельствует о слабых механизмах защиты ПД.

Актуальность темы связана и с политико-правовым курсом, заданным еще в середине 2020 г. в Указе Президента РФ от 21 июля 2020 г. N 474 "О национальных целях развития Российской Федерации на период до 2030 года", где одной из приоритетных национальных целей была отмечена цифровая трансформация до 2030 г.⁵. Во исполнении указа Президента Российской Федерации и п. 2 перечня поручений Президента Российской Федерации от 31 декабря 2020 года № Пр-2242 на региональном уровне были разработаны стратегии цифровой трансформации⁶

Понятие "искусственного интеллекта"

Одной из интерпретаций ИИ является объяснение понятия через комплекс технологических решений, позволяющих имитировать когнитивные функции человека для достижения результатов, сопоставимых с результатами интеллектуальной деятельности человека⁸. Однако подобное определение не столь однозначно и в научной доктрине существуют и иные взгляды на искусственный интеллект. Кто-то определяет ИИ через компьютерную систему, которая подобна интеллекту человека⁹. Более абстрактное определение в научной доктрине выражалось В.Н. Ручкиным, который представляет ИИ в качестве системы мета-процедур, имитирующих деятельность человека¹⁰.

В зарубежном законодательстве также существует ряд споров относительно того, как определять ИИ. Так, американское законодательство в сфере обороны и национальной безопасности предлагает несколько подходов к пониманию ИИ: искусственная система, копирующая процесс мышления и действия человека (когнитивные структуры и нейронные сети), набор методов (машинное обучение), искусственная система для осуществления рациональных действий и др¹¹.

В то же время учеными отмечается, что ИИ сам по себе должен быть взаимосвязан с внешним миром и воспринимать окружающую среду при помощи датчиков или иных механизмов, тем самым ИИ, по заявлению Стюарта Рассела, является агентом, действующим лицом¹².

Обобщая представленные выше позиции, можно утверждать, что ИИ является некой пародией на когнитивные способности человека, которые позволяют ему достигать определенных результатов и выполнять ряд сложных задач. В работе речь идет об общем (сильном) ИИ, который по своим способностям в будущем должен соответствовать интеллектуальным возможностям человека Artificial general intelligence (AGI).

В свою очередь, обработка персональных данных представляет собой любое действие, совершаемое с использованием средств автоматизации или без использования таких средств с ПД¹³.

Одним из ключевых аспектов в регулировании ИИ в рамках обработки ПД является поиск баланса между интересами компаний и интересами частных лиц. В Распоряжении Правительства РФ от 19.08.2020 N 2129-р «Об утверждении Концепции развития регулирования отношений в сфере технологий искусственного интеллекта и робототехники до 2024 года» одним из направлений отмечается соблюдение баланса между требованиями по защите ПД и необходимостью их использования для обучения систем ИИ. Проблема заключается в том, что на данный момент существует перевес в сторону крупных компаний, собирающих ПД и затем использующих их за рамками предусмотренного согласия субъекта ПД. Так, данные Европейской организации потребителей показывают, что примерно половина европейцев согласна с тезисом о том, что использование ИИ ведет к злоупотреблению персональными данными¹⁴. Постоянные утечки информации и скандалы фирм-гигантов (например, Сбера¹⁵) вызывают недоверие в обществе со стороны субъектов ПД, кто беспокоится о безопасности своих данных¹⁶.
В ходе работы автор подсвечивает существующие проблемы и ищет баланс в интересах разных социальных групп и государства.

Искусственный интеллект и персональные данные работников

Одной из проблем является внедрение и использование ИИ в больших компаниях для контроля за деятельностью работников и систематизации полученных данных¹⁷.

Работодатели заинтересованы в использовании ИИ при выполнении технических процессов, связанных с систематизацией ПД сотрудников. Систематизация ПД при помощи ИИ позволяет работодателям собрать базу данных о сотрудниках. Использование ИИ может сократить временные и финансовые издержки на использование услуг бухгалтера и менеджера, а сохраненные средства могут быть перераспределены на развитие продуктов компании. Кроме того, ИИ способен беспрерывно собирать ПД сотрудников, оперативнее оценивая их состояние и профессиональные потребности¹⁸. Подобный анализ внутренней удовлетворенности сотрудников компании гораздо сложнее провести без использования технических средств.

Однако использование ИИ может усилить информатизацию и скопление больших данных о сотрудниках в одной базе данных (на основе ИИ можно собирать не только такие ПД как телефон, ФИО, электронная почта и т.п., но и биометрические данные). Это увеличивает риски утечки большого числа данных, особенно в компаниях, где отсутствует хорошо защищенные сервера с собранными ПД.

Кроме того, атмосфера «паноптикума»¹⁹, возникающая из-за не прекращаемого контроля ИИ за работой сотрудников может негативно сказываться на работоспособности и эффективности производства. Так, одним из последних громких дел был скандал сотрудников Wildberries, которые из-за неподъемных штрафов начали закрывать пункты выдачи товаров в знак протеста контролю за каждым действием сотрудника²⁰. Внедрение ИИ вызовет чувство постоянной слежки. Подобные кейсы известны и зарубежным правопорядкам: в 2021 г. компания Аmazon запустила систему нейросети, которая способна отследить деятельность водителя во время движения и составить «рейтинг безопасности», влияющий на карьерный рост работника²¹. Подобный чрезмерный контроль со стороны компании, когда сотрудник понимает, что каждый его шаг отслеживает ИИ, приводит к стрессам и вредит производительности. Контроль не только сказывается на экономической эффективности компании, но и может нарушить право на частную жизнь и нормы законодательства о персональных данных.

Искусственный интеллект и биометрическая аутентификация

Сейчас распространена практика применения биометрической аутентификации по опечаткам пальцев, скану лица, сетчатки глаза или голоса²⁴. Так, государственные органы, органы местного самоуправления и юридические лица могут использовать единую биометрическую систему для аутентификации физического лица после получения согласия²⁵.

Такие системы, несомненно, могут упростить жизнь современному человеку:

• ускорить процесс оплаты покупок (в сети магазинов X5, «Магнит», кафе «Прайм» и «ВкусВилл» запущена оплата по системе «Оплата одним взглядом»)²⁶;
• улучшить безопасность при заграничных перелетах (в современных загранпаспортах содержится биометрический электронный чип, позволяющий точно идентифицировать лицо, вылетающее за границу)²⁷;
• отслеживать опасных преступников и являться доказательством, предъявляемым в суде (так, КоАП РФ не предусматривает каких-либо ограничений или особенностей для признания фото, видеоматериалов, данных биометрической идентификации доказательствами по делу об административном правонарушении)²⁸.

При этом ИИ в таких ситуациях не привязывает ПД конкретного субъекта к числовым кодам изображения (англ. Facial Recognition), а сопоставляет лицо человека с имеющимися фото и видеоизображениями в системах и идентифицирует пользователей на основе имеющейся информации³⁰.

С опорой на подобный механизм работы ИИ судебная практика приходит к выводу об отсутствии нарушения законодательства о ПД³¹. Подобная логика неоднократно используется государственными органами в вопросах мониторинга в период коронавирусной инфекции³², вручения повесток³³ и выписывания штрафов за неоплату проезда. С одной стороны, подобное регулирование способно сократить количество правонарушений ввиду постоянного контроля «большого брата». С другой стороны, внедрение ИИ представляется обходом норм о ПД в части необходимости получить согласие субъекта ПД на обработку. Это рассуждение основывается на том, что государственные органы могут злоупотреблять предоставленными им правами и повышать риск утечки ПД.

Так, ст. 23 GDPR предусматривает исключения из правил о необходимости получить согласие субъекта, когда речь идет об обеспечении национальной безопасности, обороны, общественной безопасности и иных целях в общем публичном интересе Союза³⁴. Похожая норма существует и в российском законодательстве (п. 1 ст. 152.2 ГК РФ). Она предусматривает возможность обработки информации в государственных, общественных и или иных публичных интересах³⁵. Такие нормы открывают простор для, как заявлял И. А. Покровский, субъективно-свободного судебного произвола³⁶.

Кроме того, подобное рассуждение позволяет государственным органам «избегать» предусмотренной за нарушение норм о защите ПД ответственности. Подобной точки зрения придерживается и ряд юристов³⁷. Позиция основывается на том, что по факту государственным органам предоставляется свобода в определении границ законной государственной обработки ПД.

Так, немецкий судья К. Ранзони при толковании Конвенции в отношении гарантий защиты права в случае хранения ПД, делал вывод, что публичные цели не ограничиваются борьбой с терроризмом и национальной безопасностью, в связи с этим ПД могут быть предоставлены не только суду и прокуратуре, но и иным государственным органам (таможня, налоговая служба)³⁸. В США также существует идея о необходимости предоставлять доступ к ПД правоохранительным органам³⁹. Она была закреплена в Clarifying Lawful Overseas Use of Data Act (CLOUD Act) и позволила правоохранительным органам вне зависимости от места хранения ПД изымать данные у сервис-провайдеров⁴⁰.

Это создает дисбаланс между интересами субъекта ПД и интересами государственных органов, желающих использовать ПД граждан без их согласия.

Кроме того, существование единых систем ПД, созданных государством, создает большие риски утечки ПД миллионов граждан и нарушения их конституционных прав и свобод. Полученные из «умных светофоров», камер наблюдения ПД попадают в единое цифровое хранилище данных (ЕЦХД⁴¹), доступ к которым может быть взломан.

Искусственный интеллект и систематизация персональных данных

ИИ способен соединять, систематизировать, ранжировать и извлекать собранные ПД с Интернет-сайтов⁴⁵. Это может быть предпосылкой для создания системы социального рейтинга, которая уже существует в Китае (система социального доверия)⁴⁶.

Такая система может, действительно, уменьшить количество маргинальных организаций и обеспечить превентивные меры развития преступности. Однако из-за формальных критериев, используемых при анализе информации, высок риск ошибок ИИ и нарушения конституционных принципов равенства граждан перед законом⁴⁷, а именно ст. 19 Конституции Российской Федерации. Нарушения во многом связаны с технологиями, используемыми ИИ при принятии решений: опора ИИ на принятые ранее решения и существующие стереотипы, в том числе расовые, приводит к неготовности ИИ к нестандартным ситуациям и поведению граждан. Так, известно скандальное дело с арестом Роберта Уильямса, когда программа не смогла отличить его от другого темнокожего преступника⁴⁸.

Еще одним вариантом нарушения равенства граждан может выступать контролируемое использование платформами дискриминирующих технологий ИИ. Исследования показывают, что ИИ может стать инструментом дискриминации определенных категорий граждан (например, известно дело Facebook, который смог при помощи алгоритмов ИИ исключить из потенциальных категорий арендаторов некоторые меньшинства: афроамериканцев, евреев и т. п.⁴⁹). Подобное дискриминирующее воздействие ИИ было выведено в США неправительственной организации ProPublica. Она, проанализировав ИИ, используемый для оценки риска рецидива, вывела ряд дискриминационных положений в формируемых вопросах ИИ и его конечных результатах⁵⁰.

Актуален и вопрос объективности применения санкций для лиц, совершивших правонарушения, которое было замечено ИИ. Так, гражданин в Китае не только может быть привлечен к уголовной или административной ответственности за совершение правонарушения, но может быть понижен в социальном рейтинге и ограничен в получении определенных благ (выезд за границу, посещение определенных мероприятий и т.п.).

Существование рейтингов наблюдается и в упомянутом ранее кейсе с компанией Amazon, которая на основе собранных ПД о водителях, составляла рейтинг безопасных таксистов⁵¹. Это обостряет риск стать «неблагонадежным» для ИИ в ситуациях, когда водитель сделал нестандартное, но правомерное действие, которое было воспринято ИИ негативно и повлияло на место в рейтинге.

Подобные инициативы крупных компаний идут в противоречие с Регламентом № 2018/1725 Европейского парламента и Совета Европейского союза "О защите физических лиц при обработке персональных данных", который определяет, что субъект ПД должен иметь право не подчиняться решению, которое основывается исключительно на автоматизированной обработке⁵². Подобной логикой обладает и ст. 16 ФЗ о ПД, запрещающей принятие юридических решений только на основании автоматизированной обработки ПД. Это опять же связано с возможными ошибками и недочетами ИИ, не способного решать нестандартные ситуации.

Подведем итоги

На данный момент сложно дать однозначный ответ на вопрос о том, каким образом в будущем будет строиться взаимодействие системы ИИ и защита ПД. Существующая судебная практика и рассмотренные аргументы выше оставляют вопрос открытым и требующим дальнейших рассуждений в канве защиты права лица на частную жизнь. Необходимость такой политико-правовой идеи опирается на тот факт, что ИИ, собирая ПД, имея представления о ежедневных покупках человека, передвижениях, разговорах и даже состоянии здоровья, может контролировать жизнь человека, манипулировать его потребностями.

В свою очередь компании, осознавая коммерческую ценность созданных ИИ баз данных, будут заинтересованы в их покупке для дальнейшего продвижения своих товаров. Подобная практика подтверждается многомиллиардными суммами, которые компании-гиганты используют для развития технологий ИИ. Так, только за 2019 г. компания Microsoft инвестировала более 1 млрд евро в развитие ChatGPT OpenAI⁵⁴. Подобные кейсы ставят под сомнение идею защиты ПД и их неприкосновенность. Безусловно, подобная политика компаний идет вразрез со ст. 9 Федерального закона Российской Федерации "О персональных данных" от 27.07.2006 № 152-ФЗ (далее - ФЗ о ПД) и создает нарушение права на частную жизнь, а также вызывает опасения со стороны юридического сообщества.

Кроме того, в связи с многочисленными утечками и постоянными взломами серверов больших компаний все больше ПД попадают в Интернет без согласия субъектов ПД. При этом субъекты не получают должных компенсаций за такие нарушения. Так, КоАП предусматривает максимальный штраф в размере 100 т. р. за невыполнение оператором условий сохранности ПД. Размер такого штрафа гораздо ниже выгоды, которую получит компания от передачи ПД 3-му лицу. Цены на такие слитые базы данных могут варьироваться: от 100 рублей до миллиона рублей за одну базу⁵⁵. В этом плане России необходимо ориентироваться на опыт США в вопросах штрафов: США предоставляет большую свободу операторам в вопросе сбора и обработки информации, но при этом за нарушение локальных норм следуют весьма значительные штрафы, превышающие российские в несколько раз⁵⁶.

Такими механизмами могут стать законодательные изменения, предусматривающие ответственность компаний за использование ИИ, а также государственные субсидии на разработку механизмов сбора, хранения персональных данных на серверах компании. Это позволит сократить издержки и сфокусировать внимание компании не только на выгоде от использования ИИ, но и на необходимости обеспечить приватность своим пользователям.

Еще одним важным механизмом будет считаться обеспечение прозрачности обработки собранных данных: право субъекта быть информированным о собранных ПД⁵⁸ и создание системы доверия между операторами и субъектами ПД: субъект ПД понимает, как, с какой целью, каким образом обрабатываются его ПД, в свою очередь оператор и его сотрудники, пройдя системное обучение по работе с персональными данными, понимают их ценность и необходимость их защиты. Подобный подход наблюдается у американского законодателя: предоставление операторам свободы для создания системы доверия между субъектами ПД и операторами ПД⁵⁹. Такое регулирование может быть использовано и в России.

Такими механизмами могут стать законодательные изменения, предусматривающие ответственность компаний за использование ИИ, а также государственные субсидии на разработку механизмов сбора, хранения персональных данных на серверах компании. Это позволит сократить издержки и сфокусировать внимание компании не только на выгоде от использования ИИ, но и на необходимости обеспечить приватность своим пользователям.

Еще одним важным механизмом будет считаться обеспечение прозрачности обработки собранных данных: право субъекта быть информированным о собранных ПД⁵⁸ и создание системы доверия между операторами и субъектами ПД: субъект ПД понимает, как, с какой целью, каким образом обрабатываются его ПД, в свою очередь оператор и его сотрудники, пройдя системное обучение по работе с персональными данными, понимают их ценность и необходимость их защиты. Подобный подход наблюдается у американского законодателя: предоставление операторам свободы для создания системы доверия между субъектами ПД и операторами ПД⁵⁹. Такое регулирование может быть использовано и в России.