Магистрант, кафедра информационного права и цифровых технологий; магистрант, кафедра «Информационная безопасность автоматизированных систем», Институт электронной техники и приборостроения; специалист по защите данных, ответственный за безопасность ИИ-систем, ООО «Экосистема недвижимости "Метр квадратный"», Москва
410056, Саратов, ул. Вольская, 1;
410008, Саратов, ул. Политехническая, 77к1.
Artem A. Olifirenko — Master’s student, Department of Information Law and Digital Technologies; Master’s student, Department of Information Security of Automated Systems, Institute of Electronic Engineering and Instrumentation; Data Protection Specialist, responsible for AI governance and security, “Ecosystem Real Estate ‘Metr Kvadratny’” LLC, Moscow
1, Volskaya st., Saratov, Russia, 410056;
77-1, Polytechnicheskaya st., Saratov, Russia, 410008
The adoption of the EU Artificial Intelligence Act (AI Act) established mandatory life-cycle regulation of AI systems in the European Union while preserving the validity of the General Data Protection Regulation (GDPR). The training stage of AI models has consequently become a point of intersection between two regulatory regimes: while the AI Act emphasizes data quality and representativeness along with risk management and documentation of training processes, the GDPR sets out the applicable principles of lawfulness, data minimization, purpose, and storage limitation, as well as providing data subjects with a set of safeguards and remedies. In practical terms, this interaction creates a risk of legally defective model training due to the pursuit of representativeness through excessive data collection and repeated re-use of personal data. This article examines the permissibility and organization of AI model training under the joint application of the AI Act and the GDPR. The research sets out to substantiate a legal model that enables proportionate technical and organizational safeguards while preserving training quality and ensuring the lawfulness of personal data processing that respects the fundamental rights of data subjects. As well as combining doctrinal legal analysis of the AI Act requirements on risk management and data governance with a comparative assessment of the GDPR principles and procedural tools for ensuring lawful processing, the methodology involves a systematization of typical governance artefacts used in the development and deployment of high-risk AI systems. The results are presented as an integrated compliance-by-design model for actors involved in the training stage. A practical distinction between an “AI system” and an “AI model” is substantiated: whereas an AI system is qualified as an organizational and technical envelope comprising the model, infrastructure, input and output interfaces, monitoring, and human interaction, an AI model is treated as the algorithmic core trained on data and used to infer outputs. This distinction can be applied to allocate obligations between the provider and entities deploying or operating the system. The proposed mechanism for reconciling dataset representativeness and accuracy with the GDPR data minimization principle through a documented feature inventory is based on a necessity rationale for each class of data and the exclusion of irrelevant attributes alongside an assessment of indirect discrimination risks. The choice of safeguards (pseudonymization, anonymization, aggregation, synthetic generation, and differential privacy) to data sensitivity, use context, and the level of risk to fundamental rights is carried out on the basis of a proportionality model. This model is supported by the outcomes of a data protection impact assessment and a fundamental rights impact assessment. Finally, a practical legal governance loop for the training life cycle is formulated to cover the determination of the purpose and legal basis, limits on dataset re-use, access control and logging, as well as retention and deletion rules, along with procedures for revisiting training parameters and monitoring after deployment. The proposed model increases legal certainty and provides a reproducible framework for aligning the AI Act and GDPR during the training stage.
Принятие европейского Акта об искусственном интеллекте (AI Act) закрепило обязательное регулирование жизненного цикла систем искусственного интеллекта в Европейском союзе при сохранении действия Общего регламента по защите данных (GDPR). Стадия обучения ИИ-моделей оказалась в зоне пересечения двух режимов: Акт об ИИ ориентирует участников на качество и репрезентативность наборов данных, управление рисками и документирование процесса обучения, тогда как Общий регламент о защите данных фиксирует принципы правомерности, минимизации, ограничения целей и сроков хранения, а также предоставляет субъекту персональных данных комплекс гарантий и средств защиты. В практических проектах это создает риск юридически дефектного обучения, когда стремление к репрезентативности реализуется через избыточный сбор и повторное использование данных. Статья исследует допустимость и организацию обучения ИИ-моделей при совместном применении Акта об ИИ и Общего регламента о защите данных. Цель исследования состоит в обосновании правовой модели, позволяющей выстроить соразмерные технические и организационные гарантии, сохранить качество обучения и одновременно обеспечить законность обработки персональных данных и защиту основных прав. Методология включает нормативно-догматический анализ требований Акта об ИИ к системе управления рисками и управлению данными, сопоставление с принципами Общего регламента о защите данных и процедурными инструментами обеспечения законности обработки, а также систематизацию типовых управленческих артефактов, используемых при разработке и эксплуатации высокорисковых ИИ-систем. Результаты исследования представлены как согласованная модель поведения участников на стадии обучения. Обосновано прикладное разграничение «ИИ-система» и «ИИ-модель»: система квалифицируется как организационно-техническая оболочка, включающая модель, инфраструктуру, интерфейсы ввода и вывода, мониторинг и взаимодействие с человеком, тогда как модель рассматривается как алгоритмическое ядро, обученное на данных и применяемое для вывода результатов; данное разграничение используется для распределения обязанностей провайдера и лиц, внедряющих или эксплуатирующих систему. Предложен механизм согласования репрезентативности и достоверности наборов данных с принципом минимизации через документируемую инвентаризацию признаков, обоснование необходимости каждого класса данных и исключение нерелевантных атрибутов с одновременной оценкой риска косвенной дискриминации. Разработана модель соразмерности защитных мер, связывающая выбор псевдонимизации, анонимизации, агрегирования, синтетической генерации и дифференциальной приватности с чувствительностью данных, контекстом использования и уровнем риска для основных прав, подтверждаемым результатами оценки воздействия на защиту данных и оценки воздействия на основные права. Сформулирован практический контур правового обеспечения жизненного цикла обучения: постановка цели и правового основания, ограничение повторного использования наборов данных, контроль доступа и журналирование операций, правила сроков хранения и удаления, а также процедуры пересмотра параметров обучения и мониторинга после внедрения. Предложенная модель повышает предсказуемость правоприменения и задает воспроизводимый порядок согласования требований Акта об ИИ и Общего регламента о защите данных на стадии обучения.
The authors declare that there are no conflicts of interest present.