Privatperson betyr ikke nødvendigvis privat bruk
AI-briller kan være en flott måte å filme at poden er på scenen uten å gå glipp av å se det med egne øyne, eller til å få hjelp når du trenger å oversette menyen på ferietur. Begge er eksempler på aktiviteter vi gjør som privatpersoner, og GDPR gjelder ikke for personlige eller familiemessige aktiviteter. Men, det er ikke alt man gjør som privatperson som er unntatt fra loven. For eksempel vil offentlig publisering, slik som når man legger ut et bilde på sosiale medier, ikke være unntatt selv om man er privatperson. Konsekvensen er da at man er omfattet av GDPR og har rollne som behandlingsansvarlig med alt av ansvar og plikter som følger med.
Tre bruksmetoder, fire ulike personvernsituasjoner
Tilsynet i Hamburg kommer til at det ikke er tilstrekkelig å se på brillene i seg selv, men også hvordan de brukes. Ansvar og plikter varierer etter bruken:
Vanlig filming og fotografering
Her gjelder de samme reglene som for mobilkameraer. Bilder som tas for helt personlige formål og som ikke deles er tillatt.
Publisering
Publisering i sosiale medier eller annet krever som hovedregel samtykke, inkludert at man har samtykket til selve publiseringen. Det finnes unntak, men de er begrensede.
Bruk av AI-funksjoner
Når personopplysningene overføres til en AI-leverandør sier tilsynet at dette som hovedregel vil kreve samtykke.
Man kan tenke seg at synshemmede eller ved navigasjonshjelp eller liknende vil ha behov som gjør at man kan lovlig bruke brillene med AI-funksjon etter å ha skrevet en interesseavveining som brukes som behandlingsgrunnlag, men dette er et smalt unntak.
Men her er det en viktig fallgruve: Dersom man ikke har sagt nei til at AI-leverandøren kan bruke informasjonen fra brillene til treningsformål, altså at de bruker informasjon til å forbedre AI-tjenesten, så skjerpes kravene betydelig. Man vil da være felles behandlingsansvarlig sammen med leverandøren (f.eks. Meta). Dette er en situasjon de færreste privatpersoner ønsker eller vet å håndtere juridisk, og en fordeling av personvernplikter mellom partene slik GDPR da krever er lite gjennomførbart i praksis.
Et lite lys er ikke nok
Samlet så kan de se vanskelig ut å bruke AI-briller på en god måte. I praksis vil det være svært vanskelig å innhente samtykker fra alle man ser på med brillene påskrudd, og selv da har man en plikt til informasjon. Hamburg-tilsynet forteller at lyset som varsler at det filmes ikke alene oppfyller kravene til åpenhet, og foreslår som mulig løsning at man bruker en refleksvest med tydelig påskrift om at det skjer lyd- og bildeopptak. Ikke særlig praktisk med andre ord.
I sum så ser man at å bruke AI-briller ukritisk innebærer en reell risiko for brukeren. Samtidig så har produsenten et ansvar. Det europeiske personvernrådet understreker at tilbydere må oppfylle sine egne plikter som behandlingsansvarlige.
Dette kan virke brutalt, men tanken er at den viktigste personen i denne diskusjonen er ikke den som kjøpte brillene, men den som tilfeldigvis havner foran dem.
