Штучний інтелект і права людини: виклики, гарантії та європейський шлях України

Технології штучного інтелекту дедалі активніше застосовуються у сфері державного управління, цифрових послуг та в інших сферах, де під час ухвалення рішень, які можуть впливати на права і свободи людини. У зв’язку з цим особливого значення набуває формування в Україні належної системи правового регулювання, нагляду та гарантій захисту прав людини під час використання таких технологій.

Уповноважений Верховної Ради України з прав людини здійснює парламентський контроль за додержанням конституційних прав і свобод людини і громадянина та захист прав кожного на території України і в межах її юрисдикції на постійній основі. Важливо звернути увагу, що нагляд у сфері штучного інтелекту має бути не лише технічним заходом моніторингу, а комплексним аудитом впливу алгоритмів на конституційні права громадян.

Першочерговим елементом такої системи є обов’язкова оцінка впливу на фундаментальні права, яка, зокрема, має включати оцінку впливу на захист даних. Організації повинні завчасно аналізувати ризики дискримінації, порушення приватності та можливого обмеження свободи вираження поглядів.

У межах виконання свого мандата наша інституція, як і європейські колеги та Європейський інспектор захисту даних (EDPS), наголошує, що нагляд за сферою штучного інтелекту має бути ризик-орієнтованим і не може бути фрагментарним. Саме тому Україні необхідна єдина інституційна рамка, у межах якої державні органи нагляду та майбутній національний регулятор працюватимуть у взаємодії.

Зокрема, спільно з Міністерством цифрової трансформації України проведено низку нарад і консультацій за участю європейських інституцій щодо майбутньої моделі нагляду за сферою ШІ в Україні.

Також за підтримки EU4DigitalUA опубліковано методичний матеріал «Права людини в епоху штучного інтелекту», у якому проаналізовано підходи Європейського Союзу до формування наглядових органів у сфері ШІ та надано рекомендації щодо захисту персональних даних.

Таким чином, при розробці державних рішень, Уповноважений Верховної Ради України з прав людини, як орган парламентського контролю у сфері захисту персональних даних, очікує, що під час використання технологій штучного інтелекту будуть забезпечуватися принципи мінімізації даних та захисту даних за замовчуванням (Privacy by design), а автоматизовані системи будуть підпорядковуватися чіткій вертикалі відповідальності працівників.

Гармонізація з GDPR як фундамент AI-екосистеми

Наближення українського законодавства до європейського, зокрема до Загального регламенту про захист даних (GDPR), є однією з  вимог Європейської Комісії у процесі вступу України до Європейського Союзу.
У звітах про Прогрес України в межах Пакета розширення Європейського Союзу Європейська Комісія регулярно наголошує на необхідності оновлення законодавства про захист персональних даних та впровадження найкращих європейських стандартів у цій сфері.

Модернізація законодавства про захист персональних даних та його повна гармонізація з GDPR є фундаментальною умовою для розвитку будь-якої AI-екосистеми в Україні.

Наразі в українському правовому полі існує парадокс: високий рівень цифровізації послуг випереджає розвиток правових гарантій захисту персональних даних.

У межах участі в Робочій групі зі штучного інтелекту Європейської мережі національних інституцій з прав людини (ENNHRI) наша інституція активно обмінюється досвідом з європейськими національними інституціями з прав людини, які вже стикаються з реальними порушеннями прав людини. Йдеться, зокрема, про дискримінацію, збір чутливих даних про здоров’я, переконання або особисте життя, а також неможливість реалізації права людини на пояснення автоматизованого рішення чи права на заперечення проти автоматизованого профілювання.

Таким чином, сьогодні для України критичною прогалиною є відсутність дієвого незалежного наглядового органу з достатніми ресурсами для проведення аудитів алгоритмічних систем та перевірки їх відповідності принципам захисту приватності за замовчуванням (Privacy by Design).

Відповідальні інновації та готовність до агентного ШІ

Сьогодні розвиток технологій відбувається безпрецедентно швидкими темпами, і Україна не може дозволити собі залишатися осторонь цього процесу. Водночас цифровий прогрес не повинен створювати умови, за яких права людини приносяться в жертву інноваціям.

Саме тому ключовим підходом має стати впровадження моделі відповідальних інновацій, за якої розробники здійснюють оцінку впливу на права людини, впроваджують принципи захисту даних, а швидкість інновацій супроводжується такою ж швидкістю створення захисних механізмів.

Практичним інструментом такого балансу можуть бути «регуляторні пісочниці», де розробники можуть тестувати високотехнологічні рішення під наглядом регулятора та виявляти ризики дискримінації чи витоку даних ще до виходу продукту на ринок.

Питання готовності України до впровадження агентного ШІ (agentic AI) сьогодні лежить не лише в площині технологій, а насамперед у площині правової зрілості та інституційної довіри. Агентні системи, здатні діяти автономно від імені користувача чи держави, потребують чіткої системи відповідальності, яку ще належить сформувати.

Згідно з європейськими стандартами та позицією Європейського інспектора захисту даних (EDPS), будь-яка агентна система у державному секторі повинна мати вбудований механізм людського втручання (human-in-the-loop).

Поки в Україні немає належного нормативного врегулювання штучного інтелекту, законодавчо закріпленого права на пояснення автоматизованого рішення та чітких механізмів відшкодування шкоди, завданої такими системами, впровадження агентного ШІ у публічній сфері має бути виваженим і поступовим.

З боку Уповноваженого Верховної Ради України з прав людини пріоритетом номер один є оновлення законодавства про захист персональних даних та його повна гармонізація з GDPR у найближчий час.

Дані є основою для будь-якого штучного інтелекту. Без сучасного законодавства, правових гарантій для громадян і запобіжників для організацій ми ризикуємо поставити персональні дані громадян під загрозу.

Таким чином, узгодження законодавства з GDPR є критичною точкою, де перетинаються інтереси держави, бізнесу та людини. Для громадян це реальні інструменти захисту: право знати, як алгоритм ухвалює рішення, право заперечити проти профілювання та право на приватність, для бізнесу зрозумілі правила гри та вихід на європейський ринок, а для держави - можливість створити сильного незалежного регулятора, який матиме ресурси для реального аудиту алгоритмів.