Sebastian Juul
EU-landenes ministre har vedtaget en forhandlingsposition, der gør det muligt at træne kunstig intelligens på europæernes personlige data uden udtrykkeligt samtykke.
Beslutningen faldt onsdag den 21. oktober, da Rådet for Den Europæiske Union godkendte sit forhandlingsmandat til den såkaldte Digital Omnibus-pakke. Pakken samler en række ændringer af GDPR, cookieregler og cybersikkerhedsregler, og den vigtigste del for almindelige brugere er en ny artikel 88bis, der eksplicit lader “berettiget interesse” blive retligt grundlag for at træne og drive AI-systemer på persondata.
Formelt er ændringen stadig et forslag. Rådet skal nu forhandle med EU-Parlamentet, som endnu ikke har vedtaget sin egen position, og først derefter kan reglerne skrives ind i GDPR.
Fra samtykke til berettiget interesse
I dag kræver GDPR som udgangspunkt enten samtykke eller en snæver juridisk undtagelse, før en virksomhed må behandle persondata. Rådets tekst åbner for, at virksomheder i stedet kan påberåbe sig “berettiget interesse” efter GDPR’s artikel 6, stk. 1, litra f, når data skal bruges til at udvikle eller drive et AI-system, fremgår det af Tech Policy Laws gennemgang af mandatet.
Teksten kræver samtidig tekniske og organisatoriske sikkerhedsforanstaltninger, og den fastholder brugerens ret til at gøre indsigelse efter GDPR’s artikel 21. En tilhørende betragtning understreger, at det “ikke i sig selv” udgør en berettiget interesse at udvikle AI, så virksomhederne skal foretage en konkret afvejning fra sag til sag.
Noyb taler om digital ekspropriering
Den østrigske privatlivs-organisation noyb, grundlagt af aktivisten Max Schrems, har reageret skarpt på forslaget. Organisationen frygter, at historisk data indsamlet gennem årtier, inklusive data om personer der aldrig har været kunder, vil kunne bruges til at træne AI-modeller uden samtykke.
“Under de her forslag ville AI-firmaernes profit stå over europæernes grundlæggende ret til privatliv. Det er intet mindre end en digital ekspropriering af europæerne,” udtaler Max Schrems i en pressemeddelelse fra noyb.
Ifølge noyb får store teknologiselskaber som Meta, Google og OpenAI dermed adgang til at bruge gamle opslag, chatbeskeder og brugerdata, der oprindeligt blev indsamlet til helt andre formål. Organisationen peger på, at aktiviteter, der i dag kræver samtykke, i princippet bliver lovlige, så længe de foregår “i kontekst af AI”.
Rådet taler om forenkling
Fra politisk hold lyder begrundelsen anderledes. Det irske formandskab, der har ledt forhandlingerne, fremhæver, at ændringerne skal fjerne administrative byrder for europæiske virksomheder.
“Disse foranstaltninger vil mindske omkostningerne til regelefterlevelse og styrke konkurrenceevnen og innovationen,” udtalte Thomas Byrne, Irlands minister for europæiske anliggender, ved vedtagelsen i Rådet.
Hvad sker der nu
Trilog-forhandlingerne mellem Rådet, Parlamentet og Kommissionen kan først gå i gang, når Parlamentet har vedtaget sin position. Flere kilder peger på, at forhandlingerne tidligst ventes i foråret 2027.
Indtil da gælder GDPR’s nuværende regler. Danske brugere kan fortsat kræve udtrykkeligt samtykke, før deres persondata bruges til at træne AI-modeller, og klage til Datatilsynet, hvis en virksomhed ikke overholder reglerne.
