GDPR 2.0 un mākslīgais intelekts: kāpēc standarta lielie valodas modeļi nevar atbilst datu aizsardzības likumiem
The Nightmare Scenario
Here is a scenario that keeps Chief Privacy Officers and Data Protection Officers awake at night. It is not a data breach. It is not a hack. It is a customer exercising their fundamental rights under European law.
A customer (let us call him Mr. Schmidt) sends an email to your company. He cites Article 17 of the General Data Protection Regulation: the "Right to Erasure," commonly known as the Right to be Forgotten. He is no longer a customer. He wants his personal data deleted from all your systems. He has the legal right to demand this, and you have 30 days to comply.
For your traditional IT systems, this is a solved problem. Your database administrator runs a script: DELETE FROM customers WHERE id = 'schmidt_42';. The rows disappear from PostgreSQL. The backups are purged according to your retention schedule. The log entries are anonymized. You send Mr. Schmidt a confirmation email documenting what was deleted. Compliance achieved. The process costs approximately EUR 50 in administrative overhead.
But there is a problem. Last quarter, your data science team used customer support logs (including thousands of emails and chat transcripts from Mr. Schmidt over his 8-year relationship with your company) to fine-tune your Customer Service AI. This Large Language Model has ingested Mr. Schmidt's complaints, his shipping addresses, his payment disputes, perhaps even medical information he mentioned in a product liability claim.
Mr. Schmidt's data does not exist in the AI as a row in a table. It has been dissolved. It has been tokenized, converted into high-dimensional embedding vectors, and diffused across billions of floating-point weights. It is not stored in any human-readable form. It exists as a probabilistic tendency for the model to generate certain token sequences when prompted in certain ways.
Jūs nevarat izpildīt SQL vaicājumu neironu tīklā. Jūs nevarat noteikt, kuri konkrētie neironi "glabā" Šmita kunga piegādes adresi. Ja modelim uzdodat jautājumu "Kāda ir adrese klientam schmidt_42?", tas var to ģenerēt no savām izšķīdušajām atmiņām. Vai arī var neģenerēt. Bet dati tur ir, iebūvēti modeļa svaru matemātiskajā struktūrā.
Lai patiesi "dzēstu" Šmita kunga datus, jums būtu pilnībā jāiznīcina modelis un jāapmāca tas no nulles, rūpīgi izslēdzot visus ar viņu saistītos datus. Ja šis modelis maksāja EUR 5 miljonus un tā apmācība uz H100 GPU klastera prasīja trīs mēnešus, tad viens GDPR pieprasījums no viena klienta tikko ir kļuvis par finansiālu katastrofu.
Un jums ir 2 miljoni klientu. Kas notiek, kad rīt pienāk nākamais dzēšanas pieprasījums? Un vēl nākamais parīt?
Juridiskā realitāte: GDPR 17. pants sīkāk
GDPR 17. pants ir nepārprotams. Tajā teikts, ka "datu subjektam ir tiesības panākt, ka pārzinis bez nepamatotas kavēšanās dzēš personas datus, kas attiecas uz viņu".
Regula dzēšanu definē kā datu padarīšanu "vairs nepieejamus". Eiropas tiesas un datu aizsardzības iestādes to konsekventi interpretējušas kā prasību pēc faktiskas dzēšanas, nevis tikai datu slēpšanas vai deaktivizēšanas. Dati ir jāiznīcina tādā veidā, lai to atjaunošana būtu neiespējama.
Neironu tīkliem, kas apmācīti uz personas datiem, tas rada neiespējamu situāciju:
- Dati netiek "glabāti" nevienā atgūstamā formā. Tie ir pārveidoti statistiskos modeļos, kas izkliedēti miljardiem parametru.
- Nav nekādas "dzēšanas" darbības. Neironu tīklu arhitektūras nepiedāvā mehānismu, kā noņemt konkrētu apmācības piemēru ietekmi.
- Atkārtota apmācība ir ekonomiski nepieļaujama. Lieliem modeļiem pilnīga atkārtota apmācība izmaksā miljoniem eiro un prasa mēnešus.
- Daļēja atkārtota apmācība nedarbojas. Tādas metodes kā "mašīnmācīšanās atcelšana" nevar pierādāmi noņemt datus. Datu rēgs paliek nosakāms.
Juridiskās sekas ir smagas. GDPR pārkāpumi var radīt naudas sodus līdz EUR 20 miljoniem vai 4% no gada globālā apgrozījuma, atkarībā no tā, kurš rādītājs ir lielāks. Lielam uzņēmumam sistemātiska nespēja izpildīt dzēšanas pieprasījumus var nozīmēt atbildību miljardu apmērā.
Kāpēc "mašīnmācīšanās aizmiršana" ir nepatiesa cerība
Akadēmiskā datorzinātņu kopiena ir intensīvi strādājusi pie jomas, ko sauc par "mašīnmācīšanās aizmiršanu". Mērķis ir izstrādāt algoritmus, kas var ķirurģiski atjaunināt modeļa svarus, lai "aizmirstu" konkrētus apmācības piemērus bez nepieciešamības veikt pilnīgu pārtrenēšanu.
Tas izklausās daudzsološi. Praksē lieliem modeļiem tā ir neatrisināta problēma, un, visticamāk, tā ir neatrisināma fundamentālu matemātisku ierobežojumu dēļ.
Problēma 1: Katastrofālā aizmiršana
Neironu tīkli mācās, pielāgojot svarus, lai samazinātu prognožu kļūdu visā apmācības datu kopā. Svari kodē pārklājošus, izkliedētus attēlojumus. Mēģinājums ķirurģiski modificēt svarus, lai noņemtu vienu zināšanu daļu, parasti bojā saistīto zināšanu strukturālo integritāti.
Pētnieki ir atklājuši, ka aizmiršanas mēģinājumi izraisa "katastrofālo aizmiršanu", kad modelis zaudē spējas, kas ir daudz plašākas par mērķa datiem. Modelis, kas apmācīts uz klientu apkalpošanas datiem, pēc aizmiršanas procedūras, kas vērsta uz vienu klientu, var "aizmirst", kā veidot gramatiski pareizus teikumus.
Problēma 2: Verifikācija nav iespējama
Pat pēc aizmiršanas procedūras, kā jūs pierādāt, ka dati patiešām ir noņemti? Izsmalcināti uzbrukumi, piemēram, dalības secināšanas uzbrukumi un modeļa inversijas uzbrukumi, var noteikt, vai konkrēti dati bija daļa no apmācības kopas. Pētījumi ir parādījuši, ka pašreizējās aizmiršanas metodes neiztur šos testus. Apmācības datu statistiskā signatūra joprojām ir nosakāma.
Ja regulators auditē jūsu modeli un konstatē, ka, neskatoties uz jūsu "aizmiršanas" procedūru, modelis joprojām uzrāda modeļus, kas raksturīgi Šmita kunga datiem, jūs neatbilstat prasībām. Pierādīšanas pienākums ir jums, lai demonstrētu pilnīgu dzēšanu, un ar pašreizējo tehnoloģiju šo pierādījumu nevar nodrošināt.
Problēma 3: Tiesiskais precedents
Eiropas datu aizsardzības iestādes vēl nav oficiāli lēmušas, vai mašīnmācīšanās aizmiršana atbilst GDPR prasībām. Tomēr izpildes tendence liecina, ka tās pieprasīs demonstrējamu, pārbaudāmu dzēšanu. "Mēs palaidām algoritmu, kas, iespējams, samazināja datu ietekmi" diez vai apmierinās regulatorus, kas ir pieraduši pie datubāzes DELETE priekšrakstu noteiktības.
Arhitektūras risinājums: spriešanas un datu atdalīšana
Uzņēmumā Dweve mēs jau agri sapratām, ka mašīnmācīšanās aizmiršana ir slazds. Arhitektūras problēmu nevar atrisināt ar algoritmiskiem ielāpiem. Risinājums ir izstrādāt AI sistēmas, kurās problēma vispār nekad nepastāv.
Mūsu pieeja balstās uz fundamentālu arhitektūras principu: stingra spriešanas spēju un personas datu atdalīšana. AI modelis satur intelektu (spēju spriest, analizēt un ģenerēt). Personas dati atrodas atsevišķās, pārvaldāmās krātuves sistēmās, kur tos var pienācīgi pārvaldīt, auditēt un dzēst.
1. princips: uz ierobežojumiem balstīti modeļi bez personas datiem
Dweve pamatmodeļi ir veidoti, izmantojot bināro ierobežojumu atklāšanu, nevis tradicionālo dziļo mācīšanos uz personas datiem. Mēs apmācām savus pamatmodeļus (1 937 algoritmus Dweve Core un 456 ierobežojumu kopas Dweve Loom) tikai uz stingri nepersoniskiem avotiem:
- Zinātniskie raksti un tehniskā dokumentācija (publiskais domēns)
- Atvērtā pirmkoda repozitoriji (licencēti)
- Sintētiski spriešanas uzdevumi un loģikas mīklas
- Anonimizēti, apkopoti statistiskie modeļi
- Formālās specifikācijas un strukturētas zināšanu bāzes
Pirms jebkura apmācības procesa sākuma mēs agresīvi filtrējam personas identificējošo informāciju (PII). Mūsu septiņu posmu epistemoloģiskā cauruļvada Dweve Spindle ietvaros automatizēta PII noteikšana ir daļa no kandidāta un iegūtās informācijas posmiem. 32 aģentu hierarhijā ir specializēti aģenti personas datu identificēšanai un noņemšanai, pirms tie var nonākt zināšanu sistēmā.
Rezultātā modeļi saprot valodu, loģiku, spriešanu un nozares zināšanas, nesatur neviena konkrēta indivīda personas informāciju. Tie saprot jēdzienu "klienta sūdzība", nezinot, kas ir konkrētais klients. Tie var analizēt piegādes strīdu, nekad nav redzējuši Šmita kunga adresi.
2. princips: izpildlaika konteksta ievade
Ja modelis nesatur personas datus, kā tas palīdz Šmita kungam ar viņa konkrēto jautājumu par viņa konkrēto pasūtījumu?
Atbilde ir izpildlaika konteksta ievade. Kad Šmita kungs jautā "Kur ir mans pasūtījums?", mūsu sistēma:
- Autentificē un autorizē pieprasījumu - Pārbauda Šmita kunga identitāti un viņa tiesības piekļūt šiem datiem.
- Veic vaicājumu drošā datu krātuvē - Iegūst Šmita kunga attiecīgos ierakstus no tradicionālas, GDPR atbilstošas datubāzes (viņa nesenos pasūtījumus, piegādes statusu, izsekošanas numurus).
- Ievada kontekstu darba atmiņā - Ievieto iegūtos datus modeļa konteksta logā kopā ar viņa jautājumu.
- Ģenerē atbildi - Modelis izmanto savas spriešanas spējas, lai analizētu sniegto kontekstu un ģenerētu noderīgu atbildi.
- Notīra kontekstu - Tūlīt pēc atbildes ģenerēšanas konteksta logs tiek iztukšots. Personas dati atmiņā pastāvēja tikai milisekundes, kas nepieciešamas pieprasījuma apstrādei.
Uzvedne faktiski kļūst: "Šeit ir klienta ieraksts: [strukturēti dati no datubāzes]. Klients jautā: 'Kur ir mans pasūtījums?' Lūdzu, sniedziet noderīgu atbildi."
Modelis "neatceras" Šmita kungu starp sesijām. Tas neuzkrāj zināšanas par viņu. Katra mijiedarbība ir bezstāvokļa. Personas dati plūst caur sistēmu kā ūdens caur cauruli, īslaicīgi skarot spriešanas dzinēju, bet nekad tajā neuzsūcoties.
3. princips: pārvaldāms zināšanu dzīves cikls
Dweve Spindle nodrošina uzņēmuma līmeņa zināšanu pārvaldību ar pilnu dzīves cikla pārvaldību. Katra informācijas vienība, kas nonāk sistēmā, tiek izsekota caur mūsu septiņu posmu epistemoloģisko cauruļvadu:
- Kandidāts: Neapstrādāta informācija tiek identificēta un marķēta ar avotu, laikspiedolu un datu klasifikāciju.
- Iegūtā: Strukturēta informācija tiek iegūta ar PII noteikšanu.
- Analizētā: Tiek sadalīta atomāros faktos ar sensitivitātes klasifikāciju.
- Savienotā: Tiek saistīta ar zināšanu grafu ar attiecību kartēšanu.
- Pārbaudītā: Daudzavotu validācija un precizitātes apstiprināšana.
- Sertificētā: Kvalitātes nodrošināšana ar ticamības novērtējumu.
- Kanoniskā: Autoritatīvs statuss ar pilnu revīzijas izsekošanu.
Attiecībā uz personas datiem šī sistēma nodrošina, ka katrai informācijas vienībai ir skaidra izcelsme, noteikts glabāšanas termiņš un dzēšanas ceļš. Kad Šmits kungs pieprasa datu dzēšanu, mēs varam:
- Identificēt katru sistēmu, kurā pastāv viņa dati
- Veikt dzēšanu visās sistēmās
- Izveidot atbilstības ziņojumu, kas precīzi parāda, kas tika dzēsts, kad un no kurienes
- Pierādīt, ka nevienā modeļa svarā nav palikuši atlikušie dati (jo to tur nekad nav bijis)
Diferenciālā privātums apkopotai mācībai
Ir likumīgi lietošanas gadījumi, kad jāmācās no datiem, kas ietver personas informāciju. Slimnīca var vēlēties apmācīt mākslīgo intelektu, lai no pacientu skenējumiem atklātu agrīnas vēža pazīmes. Apdrošināšanas uzņēmums var vēlēties modelēt riska modeļus no atlīdzību vēstures. Banka var vēlēties atklāt krāpšanas modeļus no darījumu datiem.
Šiem gadījumiem Dweve ievieš diferenciālo privātumu (DP), zelta standartu privātumu saglabājošā mašīnmācībā.
Diferenciālais privātums ir matemātiska sistēma, kas sniedz pierādāmas privātuma garantijas. Mācīšanās procesa laikā mēs pievienojam kalibrētu statistisko troksni aprēķiniem. Mēs ierobežojam jebkura atsevišķa datu punkta ietekmi, lai tas nevarētu dominēt apgūtajos modeļos.
Rezultāts ir modelis, kas apgūst populācijas līmeņa modeļus ("Pacientiem ar raksturlielumiem X, Y, Z ir paaugstināts stāvokļa W risks"), bez iespējas reproducēt konkrētas personas datus ("Pacientam Hansam Šmitam ir ģenētiskais marķieris Z").
Ar diferenciālo privātumu mēs varam aprēķināt matemātisko privātuma budžetu, ko sauc par epsilons (ε). Šī vērtība kvantificē maksimālo iespējamo privātuma noplūdi. Mēs varam pierādīt regulatoriem: "Varbūtība identificēt jebkuru indivīdu no šī modeļa ir ierobežota ar ε, kas ir zem regulatīvā sliekšņa." Privātums pārvēršas no neskaidra solījuma matemātiskā garantijā ar formālu pierādījumu.
Šī pieeja atbilst GDPR principam "privātums pēc dizaina un pēc noklusējuma" (25. pants). Privātuma aizsardzība nav pēcpārdoma vai izvēles rūtiņa. Tā ir iebūvēta matemātiskajos pamatos tam, kā sistēma mācās.
Atbilstības priekšrocība
Daudzi uzņēmumi, īpaši tie, kas darbojas jurisdikcijās ar vājāku privātuma aizsardzību, uzskata GDPR par nastu. Viņi privātumu uztver kā izmaksu centru, juridisku šķērsli, inovācijas kavēkli.
Mēs skatāmies uz to citādi. Pareizi īstenota GDPR atbilstība ir konkurences priekšrocība.
Uzticēšanās: Klientiem arvien vairāk rūp tas, kā tiek apstrādāti viņu dati. Demonstrējama apņemšanās ievērot privātumu (ne tikai privātuma politika, kas aprakta smalkajā drukā, bet faktiski arhitektūras lēmumi, kas padara ļaunprātīgu izmantošanu neiespējamu) veido uzticēšanos, kas pārvēršas klientu lojalitātē un vēlmē dalīties ar datiem.
Riska mazināšana: GDPR naudas sodi ir ievērojami, taču reputācijas kaitējums no privātuma pārkāpumiem var būt vēl lielāks. Uzņēmumi, kas privātumu iebūvē savā arhitektūrā, novērš veselas riska kategorijas.
Labākas sistēmas: Arhitektūras ierobežojumi, kas nodrošina privātumu (atbildību sadale, skaidras datu plūsmas, revīzijas žurnāli, dzīves cikla pārvaldība), vienlaikus rada arī labāk izstrādātas sistēmas. Tās ir vieglāk uzturēt, atkļūdot un testēt. Privātums un kvalitāte viens otru pastiprina.
Nākotnes drošība: Privātuma regulējums kļūst tikai stingrāks. ES Mākslīgā intelekta akts, kas stājas spēkā 2026. gadā, pievieno papildu prasības MI sistēmām, kas apstrādā personas datus. Uzņēmumi, kas šodien veido privātumam atbilstošu arhitektūru, rīt nebūs spiesti pārveidot savas sistēmas.
Ko tas nozīmē jūsu organizācijai
Ja izvietojat MI sistēmas, kas mijiedarbojas ar personas datiem, jums ir izvēle:
1. iespēja: Cerēt uz labāko. Izvietojiet standarta LLM, apmāciet tos uz klientu datiem un ceriet, ka regulatoriem neradīsies jautājumi. Ceriet, ka "mašīnmācīšanās atcelšanas" algoritmi nobriest, pirms jūs pieķer. Ceriet, ka naudas sodi paliks tikai teorētiski.
Šī ir pieeja, ko šodien izmanto lielākā daļa MI pārdevēju. Tā ir arī pieeja, kas novedīs pie milzīgām atbilstības neveiksmēm, pastiprinoties izpildei.
2. iespēja: Iebūvējiet atbilstību arhitektūrā. Izvietojiet MI sistēmas, kas no paša sākuma izstrādātas tā, lai ievērotu datu dzīves ciklu, uzturētu revīzijas žurnālus un nodrošinātu patiesu dzēšanu. Izmantojiet modeļus, kas satur inteliģenci, nesatur personas datus. Ieviesiet diferenciālo privātumu jebkurai apkopotai mācīšanās, kurai jāskar personas dati.
Šāda ir Dweve pieeja. Sākumā tas prasa vairāk darba, taču tā novērš veselas juridiskā, reputācijas un finansiālā riska kategorijas.
Ceļš uz priekšu
VDAR tika pieņemts 2018. gadā, pirms pastāvēja pašreizējā lielo valodas modeļu paaudze. Regulas izstrādātāji nevarēja paredzēt īpašo problēmu, ko rada personas dati, kas izšķīdināti neironu tīkla svaros.
Taču viņu formulētie principi joprojām ir spēkā: fiziskām personām ir pamattiesības uz saviem personas datiem, tostarp tiesības panākt to dzēšanu. Jebkura mākslīgā intelekta sistēma, kas nevar ievērot šīs tiesības, būtībā neatbilst prasībām. Nav nozīmes tam, cik iespaidīgas ir iespējas vai cik vērtīgas ir atziņas. Ja datus nevar dzēst, jūs pārkāpjat likumu.
Uzņēmumi, kas plauks mākslīgā intelekta laikmetā, nav tie, kas uzkrāj visvairāk datu vai apmāca lielākos modeļus. Tie ir tie, kas veido visuzticamākās sistēmas. Sistēmas, kas spēj izskaidrot savus lēmumus, ievēro lietotāju tiesības un var pierādīt atbilstību ar arhitektūru, nevis solījumiem.
Dweve veido mākslīgo intelektu, kas pēc konstrukcijas ievēro datu tiesības. Mūsu Binary Constraint Discovery arhitektūra nodrošina, ka personas dati nekad nenonāk modeļa svaros. Mūsu Spindle zināšanu pārvaldības platforma nodrošina pilnīgu dzīves cikla pārvaldību ar pilnīgiem revīzijas ierakstiem. Mūsu diferenciālās privātuma ieviešanas nodrošina apkopotu mācīšanos ar matemātiskām privātuma garantijām.
Ja jūsu organizācija saskaras ar mākslīgā intelekta un privātuma regulējuma krustpunktu, ja jums ir nepieciešamas mākslīgā intelekta iespējas bez VDAR saistībām, ja vēlaties veidot klientu uzticību, demonstrējot privātuma aizsardzību, mums vajadzētu runāt.
Tiesības tikt aizmirstam nav izvēles jautājums. Tas ir likums. Un ar pareizu arhitektūru tas ir sasniedzams.