4.1. Nødvendighetsvilkåret

Det første tiltaket fastsettes i artikkel 10 (5) bokstav a, hvor det stilles krav om at:

Tiltaket fremstår som overflødig. Det følger allerede av dataminimeringsprinsippet nedfelt i GDPR artikkel 5 (1) bokstav c at behandlingen skal være «begrenset til det som er nødvendig for formålene de behandles for».^{(12)Se også GDPR fortalepunkt 39.} Dette legges til grunn i GDPR fortalepunkt 39, hvor det fremgår at «[p]ersonopplysninger bør [bare] behandles […] dersom formålet med behandlingen ikke med rimelighet kan oppfylles på annen måte».

Den behandlingsansvarlige må da begrense seg til å behandle de personopplysningene som er nødvendige for å oppnå formålene med behandlingen. Alternativt – dersom det ikke er nødvendig – ikke behandle noen personopplysninger.^{(13)EDPB – Retningslinje 04/2019, avsnitt 76.} Å skille ut dette som et eget selvstendig tilleggsvilkår^{(14)Se Ottemo (2024) punkt 4.2.1 og 4.2.8 for mer om bakgrunnen og konsekvensen av utskillingen av disse vilkårene som tilleggsvilkår.}, som skal hensyntas utover det som følger av GDPR, utgjør dermed ikke et særlig tiltak.

4.2. Sikkerhets- og privatlivsbeskyttende tiltak

Det andre tiltaket fastsettes i artikkel 10 (5) bokstav b:

Lignende, etter GDPR artikkel 32 (1), skal den behandlingsansvarlige og databehandleren «gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen», idet det hensyntas «den tekniske utviklingen».

Den vide ordlyden «egnede tekniske og organisatoriske tiltak» hensyntatt «den tekniske utviklingen» (EN: «state of the art») i GDPR artikkel 32 (1) fanger opp KI-forordningens artikkel 10 (5) bokstav b «state-of-the-art security and privacy-preserving measures». Mens vilkårene i KI-forordningen er absolutte, har GDPR en risikobasert tilnærming, hvor hva som er «egnet» relativiseres ut ifra risikoen. Etter GDPR er det klart at det er den behandlingsansvarlige og databehandleren som selv må finne de tiltakene som er egnet for å avbøte risikoen.^{(16)Kuner mfl. (2020), s. 635.}

EU-domstolen har påpekt at vurderingen av om et tiltak er egnet er todelt. Det er først nødvendig å «[…] identify the risks of a personal data breach caused by the processing concerned and their possible consequences for the rights and freedoms of natural persons», for så å «[…] ascertain whether the measures implemented by the controller are appropriate to those risks, taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of that processing».^{(17)EU-domstolen, VB [C5] C 340/21, avsnitt 42.}

Særlige kategorier av personopplysninger vil av sin sensitive art kreve en høyere grad av beskyttelse,^{(18)Skullerud mfl. (2023), Artikkel 32. Sikkerhet ved behandlingen, Juridika [Tilgjengelig: https://juridika.no/no/lov/2016-04-27-679/%C2%A732/kommentar/] (lest 06.09.2024).} og da særlig i konteksten trening av høyrisiko KI-systemer. Slike KI-systemer utgjør i utgangspunktet og per definisjon nettopp en stor risiko for individers fundamentale rettigheter.^{(19)Se KI-forordningen fortalepunkt 48.} Det vil dermed stilles strenge krav etter GDPR før et sikkerhets- og privatlivsbeskyttende tiltak etter GDPR artikkel 32 (1) i en KI-forordning-artikkel 10 (5)-situasjon kan anses som «egnet».

Mens KI-forordningen ikke sier hva standarden er, henviser den likevel til hva som er «state-of-the-art» innenfor sikkerhets- og privatlivsbeskyttende tiltak. Dette fremstår intetsigende og gir lite veiledning. Hva som til enhver tid er det absolutte «state-of-the-art» av tiltak, vil variere og være vanskelig å stadfeste. Ordlyden oppsetter dermed et absolutt, men et innholdsmessig ukjent krav.

Etter GDPR artikkel 32 (1) skal hva som er «state of the art» tilsvarende hensyntas ved iverksetting av tiltak. Her spesifiseres det imidlertid at sikkerhetsnivået som oppnås ved dette skal være «egnet». Dette gir den behandlingsansvarlige og databehandlere et spillerom for hvilke tiltak som skal iverksettes.^{(20)Voigt og von dem Bussche (2024), s. 40–41.} Som EDPB har påpekt, er «state of the art»-begrepet etter GDPR «[…] a dynamic concept that cannot be statically defined at a fixed point in time, but should be assessed continuously in the context of technological progress».^{(21)EDPB – Retningslinje 04/2019, avsnitt 20, riktig da som en kommentar angående GDPR artikkel 25 (1), men ordlyden er tilsvarende.} Artikkel 32 (1) setter videre krav til tiltak som må iverksettes, ikke et resultat som må oppnås.^{(22)Kuner mfl. (2020), s. 637.} EU-domstolen har stadfestet at «[…] the controller is obliged to mitigate the risks of personal data breaches and not prevent all breaches of those data».^{(23)EU-domstolen, MediaMarktSaturn [C5] C-687/21, avsnitt 39.} «[S]tate of the art»-kravet etter GDPR skal altså kun hensyntas som ett av flere moment i en større dynamisk og sammensatt egnethetsvurdering.

KI-forordningen oppstiller på sin side dette som et absolutt vilkår. Det foreligger ingen vurdering av egnethet. Dette vilkåret vil da på grunn av dets innholdsmessige flytende – men absolutte – natur bli tilnærmet umulig for leverandøren å etterleve. Det overnevnte utsagnet fra EDPB illustrerer hvor høye krav det isolert sett stilles for å etterleve hva som er «state-of-the-art» etter KI-forordningen. Kravet i KI-forordningen står i motsetning til det tilsvarende, men relative og dermed mer etterlevbare kravet etter GDPR artikkel 32 (1).

KI-forordningen artikkel 10 (5) bokstav b fremstår ikke som særlig tilpasset eller tydelig på hvilke tiltak som skal iverksettes.^{(24)Som GDPR artikkel 9 (2) bokstav g krever av det supplerende rettsgrunnlaget, se punkt 2.} De risikorelative kravene etter GDPR vil langt på vei stille tilsvarende strenge krav, men vil i motsetning være enklere å etterleve. Videre er pseudonymisering allerede særskilt nevnt som et tiltak som – dersom egnet – skal tas for å sikre «egnede tekniske og organisatoriske tiltak», jfr. GDPR artikkel 32 (1) bokstav a. Det er vanskelig å se hvordan hvordan KI-forordningen artikkel 10 (5) bokstav b bidrar ytterligere til å sikre behandlingen av personopplysningene utover det som allerede følger av GDPR. Tvert imot kan bestemmelsen bidra til å skape større usikkerhet knyttet til hvilke tiltak som er tilstrekkelige.

4.3. Konfidensialitetsvilkåret

Det tredje tiltaket fastsettes i artikkel 10 (5) bokstav c:

«[M]easures» som skal sikre at personopplysningene er «secured», «protected» og «subject to suitable safeguards», er allerede omfattet av ordlyden «egnede tekniske og organisatoriske tiltak» etter GDPR artikkel 32 (1). Tekniske og organisoriske tiltak som ikke tilfredsstiller disse vilkårene, kan etter den brede ordlyden vanskelig anses som «egnet».

Adgang til personopplysningene og konfidensialitet er allerede regulert eksplisitt i henholdsvis GDPR artikkel 32 (1) bokstav b og GDPR artikkel 32 (2). Tilsvarende kommer til uttrykk i GDPR artikkel 32 (4), ved at den behandlingsansvarlige og databehandleren skal forsikre seg om at fysiske personer med tilgang til personopplysningene «behandler […] [person]opplysninger bare etter instruks fra den behandlingsansvarlige».

Tiltakene som pålegges etter artikkel 10 (5) bokstav c kan da vanskelig anses som hverken egnet eller særlig etter GDPR artikkel 9 (2) bokstav g.

4.4. Overføringsforbudet

Det fjerde tiltaket fastsettes i artikkel 10 (5) bokstav d:

Reguleringen av overføring av personopplysninger til andre parter utrykkes «relativt» i flere av bestemmelsene i GDPR, særlig gjennom reguleringer tilknyttet konfidensialitet og utilsiktet tilgang. GDPR oppsetter imidlertid ikke noen harde forbud mot å dele særlige kategorier av personopplysninger til tredjeparter.

Mens kravene til konfidensialitet kan – for å være «egnet» –^{(25)Se GDPR artikkel 32 (1) bokstav b.} kreve at informasjonen ikke under noen omstendigheter skal oversendes til andre parter, er imidlertid dette sjeldent aktuelt. Et slikt forbud kan ikke oppstilles som et absolutt krav ved all bruk av KI etter GDPR. GDPR har ikke noe utgangspunkt om at særlige kategorier aldri kan deles til tredjeparter. GDPR vil imidlertid kreve flere og bedre tekniske og organisatoriske tiltak for å ivareta sikkerheten og bøte på risikoen assosiert med å oversende særlige kategorier av personopplysninger, kontra alminnelige personopplysninger. Dersom dette, samt et rettsgrunnlag etter GDPR artikkel 9 (2) foreligger, er oversending, overføring og annen tilgjengeliggjøring i utgangspunktet tillatt og i samsvar med GDPR.

Videre, og betydelig mer problematisk, er det usikkert om KI-forordningen med delingsforbudet har ment å forby bruken av databehandlere. Disse vil etter ordlyden omfattes av «other parties». I GDPR er «tredjepart[er]» (EN: «third party») legaldefinert som enhver annen enn databehandlere, m.m.^{(26)Se GDPR artikkel 4 (10).} Dersom KI-forordningens ordlyd ikke er ment å ekskludere databehandlere, er det uforståelig at EU-lovgiver velger en annen terminologi enn den som allerede er legaldefinert på personvernrettsfeltet. Å benytte seg av andre etablerte legaldefinisjoner i andre EU-rettsakter er en lovgivningsteknikk som hyppig brukes av EU for å sikre uniform forståelse på tvers av rettsaktene. Se f.eks. legaldefinisjonen av særlige kategorier av personopplysninger og personopplysninger i henholdsvis KI-forordningen artikkel 3 (37) og (50).

Et slikt forbud vil da utelukke at noen behandler særlige kategorier av personopplysninger på leverandørens vegne for å bidra med å motkjempe og korrigere skjevheter i KI-systemene. Databehandlere som over tid bygger opp inngående kompetanse i å effektivt motkjempe skjevheter i KI-systemer, kan da ikke tilby sine tjenester til utviklere av KI-systemer. Leverandørene vil da bli tvunget til å løse dette uten databehandlere. Databehandlertjenester utgjør på generelt grunnlag ofte sentrale funksjoner i behandlingen av personopplysninger, for eksempel lagringstjenester. Den behandlingsansvarlige vil da bryte med KI-forordningen dersom den benytter seg av disse tredjemannstjenestene. Å kategorisk utelukke databehandlere ved skjevhetskorrigering og -oppdagelse av KI-systemer er lite hensiktsmessig, og vil gjøre det uforholdsmessig vanskelig for leverandører å luke ut skjevheter fra sine systemer.

Det er påfallende at KI-forordningen skal stenge for en såpass sentral del av databehandlingssfæren som databehandlere utgjør uten å drøfte problemstillingen i fortalen eller under lovgivningsprosessen. Både bestemmelsens ordlyd, valget av ordlyden «in addition» i KI-forordningen artikkel 10 (5),^{(27)Betydningen av denne ordlyden blir ytterligere problematisert i Ottemo (2024).} samt ordlyden «without prejudice» i KI-forordningen artikkel 2 (7),^(28)Ibid. åpner derimot for at KI-forordningen nettopp kan avvike løsningen etter GDPR og særregulere disse tilfellene. KI-forordningen artikkel 10 (5) bokstav d fremstår som lite gjennomtenkt, og som en dårligere løsning enn det som allerede følger av GDPR.

4.5. Sletting av personopplysninger

Det femte tiltaket fastsettes i artikkel 10 (5) bokstav e:

At personopplysningene skal slettes «once the bias has been corrected» kan utledes allerede fra grunnprinsippene i GDPR: Personopplysninger skal ikke lagres «i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for», jfr. GDPR artikkel 5 (1) bokstav e. Det samme følger av GDPR artikkel 17 (1) bokstav a: den registrerte har rett til å få sine personopplysninger slettet dersom personopplysninger ikke lenger er «nødvendige for formålet som de ble samlet inn eller behandlet for». Er skjevheten korrigert, er formålet for behandlingen av personopplysningene oppnådd. At personopplysningene etter KI-forordningen slettes når de har nådd «the end of its retention period», følger og defineres allerede av lagringsbegrensningsprinsippet etter overnevnte GDPR artikkel 5 (1) bokstav e.

Det er imidlertid interessant at artikkel 10 (5) bokstav e ikke tar stilling til slettingsplikten og dens betydning for oppdagelse av skjevheter. Det er vanskelig for en leverandør å vite om alle skjevheter i et KI-system faktisk er oppdaget og korrigert. Dette gjør at det kan være uheldig for leverandører å korrigere skjevheter løpende, og at leverandøren heller venter til at eventuelle skjevheter har samlet seg opp. De særlige kategoriene av personopplysninger må nemlig etter ordlyden slettes «once the bias has been corrected».^{(29)Min kursivering.} De må slettes allerede ved første skjevhetskorrigering. De kan som en konsekvens ikke benyttes til å finne andre potensielle uoppdagede skjevheter – eksisterende eller fremtidige. Mens dette trolig ikke har vært lovgivers intensjon,^{(30)Rettskildene er tause angående problemstillingen.} så gir den uklare ordlyden et uheldig tolkningsrom.

4.6. Begrunnelse i behandlingsprotokollene

Det sjette og siste tiltaket fastsettes i artikkel 10 (5) bokstav f:

Dette er nytt ved KI-forordningen og har ikke en direkte tilsvarende regulering etter GDPR. Et krav om å rettferdiggjøre behandlingen i behandlingsprotokolen foreligger ikke etter GDPR artikkel 30 eller GDPR for øvrig.

GDPR krever imidlertid at en behandlingsansvarlig som planlegger å foreta behandlingsaktiviteter som «medføre[r] en høy risiko for fysiske personers rettigheter og friheter», skal foreta en vurdering av personvernkonsekvensene, jfr. GDPR artikkel 35 (1). En slik personvernkonsekvensvurdering (DPIA^{(31)«Data Protection Impact Assessment» på engelsk.}) skal minst inneholde «en vurdering av om behandlingsaktivitetene er nødvendige og står i et rimelig forhold til formålene», jfr. GDPR artikkel 35 (7) bokstav b. Det ligger i høyrisiko KIs natur at de utgjør en «høy risiko for fysiske personers rettigheter og friheter».^{(32)Se KI-forordningen fortalepunkt 48.} At det behandles sensitive personopplysninger, herunder særlige kategorier av personopplysninger, er i seg selv et moment i vurderingen av hvorvidt det skal utføres en DPIA.^{(33)Artikkel 29-gruppen – Retningslinje (2017), s. 9.} I en slik personvernkonsekvensvurdering er det naturlig å vurdere både hvorvidt en trenger å behandle særlige kategorier av personopplysninger, og for hvor lang tid.^{(34)Skullerud mfl. (2023), Artikkel 35. Vurdering av personvernkonsekvenser, Juridika [Tilgjengelig: https://juridika.no/no/lov/2016-04-27-679/%C2%A735/kommentar/] (lest 09.09.2024).} At en ikke skal behandle flere – eller mer sensitive –^{(35)Se Kuner mfl. (2020), s. 317, dataminimeringsprinsippet omfatter ikke bare personopplysningskvantitet, men også kvalitet.} personopplysninger enn hva som er nødvendig, følger som tidligere nevnt av dataminimeringsprinsippet, jfr. GDPR artikkel 5 (1) bokstav c.

Selv om det altså ikke stilles krav om at den behandlingsansvarlige fører nødvendighetsvurderingen inn i behandlingsprotokollene etter GDPR, vil GDPR uansett pålegge den behandlingsansvarlige å foreta en tilsvarende vurdering om behandlingsaktivitetens nødvendighet gjennom DPIA-en. Vurderingene vil da ha store overlapp. KI-forordningen kunne dermed ha unngått unødvendig dobbeltarbeid ved å minimum stadfeste at personvernkonsekvensvurderingen alltid skal foretas, eller ved å bestemme at denne skal inkluderes i behandlingsprotokollene. Å oppstille dette som et nytt selvstendig krav – med tilhørende selvstendig vurdering – fremstår unødvendig.