Andmed on uus nafta? Kellele kuuluvad sinu andmed AI-ajastul?

Sissejuhatus: Sinu digitaalne jalajälg on kellegi teise kütus

Mäletad seda aega, kui “andmed on uus nafta” oli lihtsalt klišee, mida tehnoloogiakonverentsidel pilduda? Noh, see aeg on möödas. Täna on andmed midagi palju enamat kui lihtsalt kütus – need on tehisintellekti DNA. Iga kord, kui sa postitad Instagrami pildi oma hommikusöögist, kirjutad Facebookis tulise kommentaari poliitika kohta või isegi lihtsalt sirvid veebi, toidad sa näljast masinat, mis õpib sinu pealt, kuidas olla “inimlikum”.

Aga siin on konks: kui andmed on nafta, siis kes on selle puurtorni omanik? Kas see oled sina, sest sina lõid selle sisu? Või on see Mark Zuckerberg, sest sa kasutasid tema platvormi? Või on see hoopis mõni tundmatu tehisintellekti idufirma San Franciscos, kes “kraapis” sinu andmed internetist ilma luba küsimata? See ei ole enam ainult teoreetiline vaidlus – see on võitlus meie privaatsuse, identiteedi ja digitaalse vabaduse eest.

Selles artiklis lammutame lahti andmete omandiõiguse keerulise maailma AI-ajastul. Uurime, kuidas Euroopa Liidu GDPR üritab masinatele päitseid pähe panna, millist rolli mängib selles kõiges Eesti Andmekaitse Inspektsioon ja mida sa saad tegelikult teha, et sinu andmed ei saaks järgmise süvavõltsingu või manipuleeriva algoritmi osaks. On aeg ärgata ja vaadata, mis toimub kapoti all.

Andmed kui toore: Kuidas AI meid “sööb”?

Kujuta ette, et sa oled maailma parim kokk. Sa oled aastaid lihvinud oma retsepte, katsetanud maitsetega ja kirjutanud need kõik üles oma avalikku blogisse. Ühel päeval avastad sa, et keegi on loonud roboti, mis on kõik sinu retseptid läbi lugenud, need meelde jätnud ja avanud nüüd restorani, mis pakub täpselt sinu stiilis toitu, aga kümme korda odavamalt. Ja mis kõige hullem – see robot ei maini kordagi sinu nime ega maksa sulle sentigi.

Täpselt see toimub praegu digitaalses maailmas. Tehisintellekti mudelid nagu ChatGPT või Midjourney on treenitud hiiglaslike andmehulkade peal, mis on internetist kokku kogutud. Seda protsessi nimetatakse “andmete kraapimiseks” (data scraping). See hõlmab kõike: uudisteartikleid, foorumipostitusi, sotsiaalmeedia sisu ja isegi koodi GitHubis. See on tekitanud tohutu eetilise ja juriidilise konflikti, mida oleme puudutanud ka artiklis AI-kunstnik Eesti Kunstiakadeemias.

Probleem on selles, et enamik meist ei andnud kunagi luba oma andmete kasutamiseks AI treenimiseks. Me andsime loa oma andmete kasutamiseks selleks, et suhelda sõpradega või jagada oma loomingut maailmaga. Aga tehnoloogiahiiud näevad seda teisiti – nende jaoks on kõik, mis on avalik, tasuta toore. See on viinud olukorrani, kus näiteks Meta teatas hiljuti, et hakkab kasutama Euroopa kasutajate andmeid AI treenimiseks, kui nad just ise sellest aktiivselt ei keeldu [1].

GDPR vs AI: Kas vana seadus suudab uut masinat ohjeldada?

Euroopa Liidu isikuandmete kaitse üldmäärus (GDPR) on olnud maailma kuldstandard privaatsuse kaitsel. See on andnud meile õiguse olla unustatud, õiguse andmete ülekandmisele ja kohustuse küsida nõusolekut. Aga AI on nagu vesi, mis leiab iga prao selles tammis. Kuidas sa rakendad “õigust olla unustatud” mudelile, mis on juba treenitud? Sa ei saa lihtsalt ühte andmepunkti ajust välja lõigata ilma kogu aju uuesti treenimata.

Teine suur väljakutse on läbipaistvus. GDPR nõuab, et andmetöötlus oleks arusaadav. Aga AI mudelid on sageli “mustad kastid” – isegi nende loojad ei tea täpselt, miks masin tegi just sellise otsuse või millist konkreetset andmepunkti ta kasutas. See tekitab olukorra, kus on raske tõestada, et sinu andmeid on väärkasutatud. Sarnaseid probleeme regulatsioonidega näeme ka teistes valdkondades, näiteks artiklis EL leevendas AI Acti.

“GDPR on nagu hobuvanker kiirteel – ta on väärikas ja õige, aga ta ei suuda sammu pidada tehisintellekti vormelautoga. Me vajame uusi reegleid, mis mõistavad koodi keelt.”

Õnneks ei ole Euroopa Liit käed rüpes istunud. Uus AI Act üritab täita neid lünki, jagades AI-süsteemid riskikategooriatesse ja seades karmimad nõuded neile, mis võivad mõjutada inimeste põhiõigusi. Aga võitlus käib iga meetri pärast ja tehnoloogiahiiud teevad tugevat lobitööd, et reegleid leevendada.

Eesti eesliinil: Andmekaitse Inspektsioon ja meie turvalisus

Eesti on tuntud oma e-riigi ja digitaalse innovatsiooni poolest, kuid see tähendab ka, et me oleme rünnakutele ja andmete väärkasutusele haavatavamad. Siin astub mängu Andmekaitse Inspektsioon (AKI). Nende roll on olla meie digitaalne valvur, kes kontrollib, et nii riigiasutused kui ka ettevõtted järgiksid reegleid.

AKI on viimasel ajal pööranud suurt tähelepanu tehisintellektile. Oma 2024. aasta aastaraamatus märgivad nad, et AI mudelite treenimine isikuandmetega on IKÜM-i (isikuandmete kaitse üldmääruse) kohaselt andmetöötlus ja sellele kehtivad kõik tavapärased reeglid [2]. See tähendab, et “kraapimine” ei ole automaatselt seaduslik, eriti kui see puudutab tundlikke andmeid.

Eesti on ka osa Euroopa Andmekaitsenõukogust, mis on loonud eraldi rakkerühma ChatGPT uurimiseks. See näitab, et me ei ole lihtsalt passiivsed pealtvaatajad, vaid osaleme aktiivselt globaalsete reeglite kujundamises. Meie eesmärk on leida tasakaal innovatsiooni ja privaatsuse vahel – et me ei jääks tehnoloogiliselt maha, aga ei müüks ka oma hinge masinatele. USA lähenemisest sarnastele probleemidele saad lugeda artiklist USA testib AI-mudeleid enne väljalaset.

Kellele kuuluvad andmed? Juriidiline hall ala

See on küsimus, mis paneb juristid öösiti higistama. Traditsiooniliselt kuuluvad andmed sellele, kes need kogus või lõi. Aga AI-ajastul on piirid hägustunud. Kui AI loob sinu andmete põhjal uue teose, siis kellele see kuulub? Kui AI analüüsib sinu terviseandmeid ja leiab uue ravimeetodi, siis kas sul on õigus osale selle kasumist?

Eesti seadused ei tunne hetkel otseselt “andmete omandiõigust” sellisel kujul nagu me tunneme kinnisvara omandiõigust. Meil on intellektuaalne omand ja meil on isikuandmete kaitse, aga nende vahel on suur tühi maa. See on hall ala, mida tehnoloogiahiiud osavalt ära kasutavad. Nad väidavad, et nad ei “omasta” andmeid, vaid lihtsalt “töötlevad” neid, et pakkuda paremat teenust.

See on viinud olukorrani, kus andmetest on saanud kaup, millega kaubeldakse ilma, et andmete tegelik allikas (sina!) sellest midagi teaks. Me näeme juhtumeid nagu Clearview AI, mis kogus miljardeid näopilte sotsiaalmeediast, et müüa näotuvastusteenust politseile. See on privaatsuse totaalne hävitamine ärilise kasumi nimel ja see on hoiatusmärk meile kõigile.

Mida sa saad teha? Praktilised sammud enesekaitseks

Kas me oleme siis täiesti relvitud? Mitte päris. Kuigi me ei saa peatada tehisintellekti arengut, saame me olla teadlikumad ja nõuda oma õigusi. Siin on mõned praktilised sammud, mida igaüks saab astuda:

Lõppkokkuvõttes on andmekaitse AI-ajastul nagu hügieen – see nõuab pidevat tähelepanu ja häid harjumusi. Me ei saa loota ainult seadustele, me peame ise olema oma andmete peremehed. Sest kui me ei hooli oma andmetest, siis keegi teine teeb seda meie eest – ja tõenäoliselt mitte meie huvides.

Korduma Kippuvad Küsimused

Viited

• [1] Delfi Ärileht: Meta hakkab sinu andmetega AI-d treenima
• [2] Andmekaitse Inspektsioon: Tähelepanekuid andmekaitse ja tehisintellekti (AI) seostest ja arengutest
• [3] NJORD Law: Kas tehisintellekt saab olla kooskõlas GDPR nõuetega?