隨著人工智慧（Artificial Intelligence, AI）技術的進步，AI在零售業、銀行與醫療等各領域都有了驚人的應用，推動了AI技術與資料利用等方面的創新，然而使用AI的組織仍然須持續面對挑戰，例如AI是解決問題的正確方式嗎？AI會產生什麼樣的道德問題？我們如何確定AI的使用是合法的？
儘管AI提供了一個能夠顯著改善社會的機會，然而AI的使用往往也會帶來風險（從AI系統帶來的安全風險到歧視與偏見的風險），而對於組織來說，如何評估AI的使用對資料保護的法令遵循性將會是一大挑戰。
英國個資保護主管機關ICO（Information Commissioner’s Office）於今（2020）年7月30日發布「人工智慧與資料保護指引（Guidance on AI and data protection）」，提供設計、架構與實施AI系統的法令遵循路線圖，其內容約略分為以下幾個面向。
AI的問責與治理
在運用得當的情形下，AI將使組織更具效率與創新。但是，AI也對個人的權利與自由以及組織的法令遵循挑戰帶來巨大的風險。
與其他處理個人資料的技術相同，相同的資料保護概念也適用於AI的使用。資料保護法中，透過風險導向的方法要求組織在特定情形下遵守義務並採取適當措施，因此在法令遵循面必須包含評估個人權利和自由的風險，並進而識別、管理和減輕這些風險。
AI系統的合法性、公平性與透明性
首先，AI系統的開發與部署往往涉及針對不同目的以不同方式處理個人資料，組織必須分解每個不同處理操作，並為每個操作確定目的和適當的合法依據，以便遵守合法性原則。
其次，當組織使用AI系統來推斷個人的資料，則為了使處理過程更加公平，組織應確保1.該系統在統計上足夠準確，並且避免歧視，以及2.考慮個人合理期望的影響。
例如用於預測貸款還款率的AI系統在以下情況可能會被認為違反公平原則：
1.作出經常被證明是錯誤的預測。
2.導致群體間（例如男人與女人間）結果的差異，且無法證明是為實現合法目標的適當手段。
3.以個人無法合理預期的方式利用個人資料。
最後，組織需要透明得瞭解如何在AI系統中處理個人資料，以遵守透明性原則。（可以參考揭開黑箱，說清楚講明白—可解釋性AI人工智慧）
AI系統的安全性
使用AI處理個人資料對於風險有著重要的影響，因此組織需要仔細評估與管理這些風險。然而，實際上並不存在一種「萬能的」安全方法，組織應針對不同個人資料處理所產生的風險等級與類別，分別採取適當的安全措施。
指引內也提到兩大適用AI模型的隱私攻擊種類，「模型反轉（model inversion）」與「成員推斷（membership inference）」，組織應該檢視自身的風險管理實踐情形，以確保個人資料在AI的使用環境中是安全的。
AI系統的資料最小化
資料最小化原則要求組織確定實現目標所需最小數量的個人資料，並且僅處理該個人資料（GDPR第5條第1項第c款參照）。AI系統通常需要大量資料，乍看之下彷彿難以符合資料最小化原則，然而資料最小化原則並不意謂著「不處理任何個人資料」或「處理大量資料就會違法」，關鍵的地方在於，組織是否僅處理其所需要的個人資料。
AI系統與個人權利
依據資料保護法，當事人對於其個人資料有許多相關權利，無論在AI系統的開發或是部署的生命週期各階段中，均有當事人權利的適用，組織應予以重視，例如以下情形：
- 訓練資料（training data）。
- 用於預測的資料及預測本身的結果。
- AI的模型內。
例如零售業者打算以過去的交易資料來預測消費者行為，需要大量的客戶交易資料集來訓練模型。而在將客戶交易資料轉換用於訓練統計模型的訓練資料時，儘管訓練資料已經較難連結到特定的個人，然而如果其仍然能單獨或與組織可能要處理的其他資料（即使不能與客戶的名字相連結）共同「挑選（single out）」相關的個人，此部分仍有資料保護法的適用，而組織應於當事人行使其權利行使時，將此部分納入考量。
※歡迎加入喵喵科技法律隨筆，持續接收科技法律的新知！
※你可能會對這些文章有興趣
1.揭開黑箱，說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵？英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩，該怎麼辦？
5.投資個資保護的價值？
喵喵科技法律隨筆 