prop · H903203 · 2022-03-30 00:00:00 — En risk är att någon använder stulna uppgifter för att skapa en artificiell, fysisk kopia av de biometriska uppgifterna som kan användas vid tillträdes- eller åtkomstkontroll. En annan risk är att biometrisk data avslöjar känsliga uppgifter om den registrerade – exempelvis information om en medfödd sjukdom – som kan användas för att skada den enskilde.180 Ytterligare en potentiell risk är att en biometrisk uppgift – som till exempel en venprofil – svartlistas, om det blir allmänt känt att den är hackad. Därmed kan personen komma att nekas tillträde till platser och åtkomst till produkter och tjänster som bygger på autentisering med hjälp av just venernas struktur under huden. En rad åtgärder kan vidtas för att minska riskerna kring biometriska data. En grundläggande utgångspunkt är att ha en restriktiv hållning och bara använda biometriska uppgifter när det är absolut nödvändigt. Säkerhetsåtgärder som att säkerställa att sensorer inte kan manipuleras, säker lagring av mallar, kryptering och säkra kommunikationsvägar samt multifaktorsautentisering kan också minska riskerna. Andra riskminimerande åtgärder kan handla om att använda artificiell biometridata (som kan bytas ut). Biometriska uppgifter betraktas som en särskild kategori av personuppgifter (så kallade känsliga personuppgifter) enligt dataskyddsförordningen. Det är som utgångspunkt förbjudet att behandla känsliga personuppgifter. Behandling av sådana uppgifter är tillåten om något av de undantag som anges i förordningen är tillämpligt, till exempel uttryckligt samtycke från den enskilde.181 För den som behandlar denna typ av uppgifter gäller vidare bland annat att det vanligen krävs en högre säkerhetsnivå än för mer harmlösa personuppgifter. Behandling av biometriska uppgifter har också betydelse för riskbedömningen när personuppgiftsansvarig gör konsekvensbedömningar och kan vara avgörande för om personuppgiftsansvarig måste rapportera en personuppgiftsincident, då incidenter som omfattar biometriska uppgifter ofta medför en hög risk för enskilda. 180. , sid. 1. Artikel 9 dataskyddsförordningen. Sammanfattningsvis har tekniken stor potential att lösa en rad olika samhällsutmaningar, men förändrar spelreglerna för den personliga integriteten i grunden. Hamnar biometriska uppgifter i orätta händer kan integritetsskadan vara permanent, eftersom biometriska uppgifter inte, som ett lösenord, enkelt går att byta ut. 5.3.5.4 Särskilt om deep fakes Avslutningsvis finns ett riskområde som förtjänar att omnämnas särskilt, så kallade deep fakes. Deep fake är en benämning på falsk information som så genomarbetad att den verkar äkta, även vid relativt omfattande granskning. Området omfattar bland annat ”konstgjord media” – filmer, ljudinspelningar och fotografier – som efterliknar verkliga personer. Tekniken bygger bland annat på användning av AI och djupinlärning. Med hjälp av filminspelningar, fotografier och ljudinspelningar – data som kan ha biometriskt innehåll – av en verklig person kan en AI-modell läras upp till att skapa konstgjorda återgivningar av personen som är så verklighetstrogna att de är svåra att särskilja från äkta. Deep fake-videor kan till exempel visa ansiktet eller kroppen på en ”riktig” person, som pratar med en röst som är mycket lik dennes faktiska röst och agerar och använder mimik på ett sätt som denna brukar göra i verkliga livet. Men ansiktet, kroppen, rösten och rörelserna skapas av AI-modellen. Den brittiska regeringen har tagit fram en rapport om deep fakes och vilseledande information. En slutsats är att det inte räcker med lagstiftning för att hantera risker, det krävs även investeringar i ny teknik för att avslöja manipulationer. Den brittiska regeringen ser också behov av utbildningssatsningar för att höja kunskap om deep fakes bland medborgarna. Exempel på svensk forskning inom området är utveckling av en app som kan avslöja deepfakes.182 Det finns ännu ingen rättspraxis som rör dataskyddsförordningens eventuella tillämplighet på deep fakes. Det är uppenbart att upplärningen av AI-modellen omfattas av dataskyddsreglerna, eftersom stora mängder biometriska personuppgifter används i denna fas, men när modellen väl är upplärd behövs inte längre personuppgifterna. Då är det modellen som skapar ny data som efterliknar biometriska personuppgifter. Om deep fake-material är att betrakta som personuppgifter och om dataskyddsförordningen är tillämpbar på material skapat med deep fakemetoder är några av de rättsliga frågor som kommer att behöva prövas.183 Komet kommenterar 2020:27 Deep fakes, manipulerade filmer – korta faktablad om aktuell teknik. Frågor som reses rör exempelvis hur en film som skapats helt artificiellt, baserat på publik biometrisk data (röst, utseende, rörelsemönster etc.) från bland annat sociala media, ska hanteras ur ett personligt integritetsperspektiv. 5.4Teknik för att bearbeta och använda data De ökade möjligheterna att samla in data skulle i praktiken vara värdelösa om inte tekniken för att bearbeta och använda uppgifterna också tagit stora utvecklingssprång. Utvecklingen av AI är ett av de utvecklingsområden som haft störst påverkan på den personliga integriteten . De potentiella nyttorna är stora och mål är enligt den nationella inriktningen för AI att bli bäst i världen på att utnyttja AI:s möjligheter. använder av svenska företag och i offentlig sektor AI. innebär AI integritetsrisker för den enskilde i form av bland annat bristande transparens, diskriminering, försvårat ansvarsutkrävande, missbruk och fientlig användning. Särskilda risker finns vid automatiserade processer i beslutsfattande, när ett beslut kan få rättsliga konsekvenser för den enskilde. En pågående förändring med potential att påverka integritetsskyddet positivt handlar om var data i bearbetas – i centrala datacentra och serverhallar eller lokalt. Teknik för edge computing medför att bearbetning av data nu allt oftare kan ske lokalt, i uppkopplade enheter med låg kapacitet eller i lokala servrar. Detta innebär att data i mindre utsträckning behöver transporteras och delas, vilket kan skapa bättre kontroll. Ett av de områden där den omfattande bearbetningen av stora datamängder blir som mest uppenbar för många är den digitala annonsmarknaden. De komplexa och icke transparenta processerna som kan inkludera hundratals aktörer gör det i praktiken omöjligt för den enskilde att utnyttja sina rättigheter, till exempel att få information raderad. Såväl norska som brittiska myndigheter har i färska analyser kommit till slutsatsen att stora delar av den digitala annonsmarknaden systematiskt bryter mot dataskyddslagstiftningen. De enorma informationsmängder som kan samlas in med hjälp av ny teknik skulle i praktiken vara värdelösa om inte tekniken för att bearbeta och använda uppgifterna också tagit stora utvecklingssprång. De senaste decenniernas utveckling av olika Big data-metoder har utgjort en viktig förutsättning för förmågan att hantera den faktiska mängden data. Centralt i de senaste årens utveckling är att AI och andra tekniker som var tillgängliga endast för resursstarka och specialiserade aktörer, tillgängliggörs nu på bred front, exempelvis via allt billigare och mer lättanvända molntjänster med stor kapacitet att behandla data. En mer komplex bearbetning av personuppgifter kan därmed genomföras av fler. Tekniska lösningar för att bearbeta data är inte i särskilt stor utsträckning beroende av användarens tekniska förkunskaper eller förståelse för hur tekniken påverkar integritetsskyddet. Större datamängder kan bearbetas och bearbetningen genererar resultat som inte var möjliga att uppnå. I allt fler fall sker bearbetningen av data med helt eller delvis automatiserade metoder, i självlärande system som kontinuerligt utvecklas och förfinas. Tekniken skapar stor nytta och håller på att förändra flera branscher i grunden. Att anpassa och använda AI-lösningar på ett effektivt sätt spås bli en överlevnadsfråga inom många branscher. Drivkrafterna att snabbt implementera dem är därför mycket stark. Både de stora volymerna personuppgifter som bearbetas med den nya tekniken, samt resultaten av bearbetningen, innebär nya integritetsutmaningar. Några av dem behandlas i det följande. Utvecklingen av artificiell intelligens, AI, har gjort stora framsteg och dess potential är på många områden lovande. AI först användes har tekniken fått en allt större spridning. Förklaringarna finns bland annat i mer sofistikerade algoritmer, väsentligt ökad beräkningskapacitet och allt fler användningsområden inom såväl näringsliv som samhälle. En annan orsak är utveckling av hårdvara i datorer, vilken möjliggör snabb hantering av stora datamängder. Till exempel kan dagens AI system gå igenom tusentals patientjournaler . Slutligen har såväl modeller som algoritmer utvecklats , vilket medfört att data kan komma till användning på fler, och mer kraftfulla, sätt.184 Komet informerar 2020:30; Den nya tekniken – så fungerar den. Regeringen har i den nationella inriktningen för artificiell intelligens slagit fast att ska vara ledande i att ta tillvara möjligheterna som användning av AI kan ge, med syftet att stärka både den svenska välfärden och den svenska konkurrenskraften. Ett genomgående tema bör enligt den nationella inriktningen vara hållbarhet, med innebörden att AI-applikationer bör vara etiska, säkra, pålitliga och transparenta. Etiska och säkerhetsmässiga överväganden kan enligt regeringen inte vara en eftertanke i AI-applikationer, utan måste vara en integrerad del från det tidiga designarbetet.185 I de intervjuer som genomfört framhålls AI som ett av de utvecklingsområden som varit mest aktuella och haft störst påverkan på den personliga integriteten . 5.4.1.1 Vad är AI? Begreppet AI har ingen entydig definition eller allmänt vedertagen avgränsning. används termen som ett paraplybegrepp för teknik som kan lära av sina egna erfarenheter, bli smartare och mer eller mindre självständigt lösa komplexa problem i olika situationer. definierar AI som förmågan hos en maskin att efterlikna intelligent mänskligt beteende.186 , SCB har i en rapport definierat AI som system som uppvisar intelligent beteende genom att analysera sin omgivning och agera, med någon nivå av självbestämmande, för att uppnå specifika mål. AI-baserade system kan vara ren mjukvara eller inbyggda i hårdvara.187 Den stora uppmärksamhet som AI fått globalt beror framför allt på en ökad användning av maskininlärning i olika tillämpningar. Maskininlärning är teknik som gör det möjligt för datorer att ”tänka” och bli smartare . Genom att skapa matematiska algoritmer baserade på omfattande mängder data drar systemet slutsatser, lär sig och bygger nya algoritmer – utan att en människa behövt ge programmet den specifika instruktionen. Utvecklingen inom maskininlärning har gått mycket fort framåt , bland annat till följd av den ökade tillgången på större datamängder samt större och billigare processorkraft och lagringskapacitet. Vissa typer av maskininlärning bygger på samma principer som den mänskliga hjärnans nervnätverk med ett inmatningsskikt, ett eller flera dolda lager och ett utgående lager. Om det finns mer än ett dolt lager talar man om djupinlärning. Ofta används även termen neurala nätverk för denna typ av maskininlärning. Antalet lager i ett neuralt nätverk kan variera, men som exempel kan nämnas att Microsoft vann en tävling i bildigenkänning med ett nätverk bestående av 152 lager.188 som AI är en förutsättning för att förädla och dra nytta av stora datamängder är AI-algoritmerna beroende av stora datamängder för att läras upp. Begreppen AI och big data är därför nära förknippade med varandra. Big data, som på svenska ibland översätts till stordata eller stora data, syftar på mycket stora datamängder som kräver speciella metoder för analys. Uttrycket syftar oftast på ostrukturerade data, som inte kan ordnas i tabeller eller kalkylark. Datamängderna är så omfattande att de i praktiken inte kan bearbetas med traditionella program för analys och datautvinning. Big data kan ha många olika format och komma till exempel från sociala medier och webbplatser (till exempel Facebook, Youtube bloggar, foton och videofilmer), företagssystem (till exempel transaktioner, kundregister, kreditkortsdata och medicinska register) och IoT (till exempel sensordata om väder, trafik, mobiltelefoner och satellitbilder). Vissa bedömare menar att själva tekniken för AI (till exempel maskininlärning) och data är så intimt förknippade med varandra att en definition av AI bör inkludera båda dessa huvudkomponenter; algoritmer och data.189 Även om begreppet AI ibland används synonymt med maskininlärning och djupinlärning finns även andra typer av AI-teknik. Det kan handla om system som gör det möjligt för datorer att förstå hur olika typer av begrepp hör ihop och ska sorteras hierarkiskt (eng. ontology ) eller system som gör det möjligt för datorer att hantera värden mellan ja och nej (eng. fuzzy logic).190 5.4.1.2Utveckling av AI och dess potential i I en kartläggning av som presenterades 2018 konstaterades att tillämpningar av AI redan haft stor betydelse för utveckling av internetplattformar, informationssökning, bildigenkänning och automatöversättning. hade det praktiska genomslaget för AI enligt varit begränsat i stora delar av näringslivet och inom offentlig verksamhet i Sverige.191 ; Nationell inriktning för artificiell intelligens, 9d96e2f5d57ed14b/2018ai_webb.pdf 2018:08 Artificiell intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential () Artificiell intelligens i . Datatilsynet; Kunstig intelligens og personvern, 2018. COM (2020) 65 om artificiell intelligens - en EU-strategi för spetskompetens och förtroende. 2019:5, AI-miljöer i En översikt över miljöer som bidrar till utvecklingen av artificiell intelligens. 2018:8, Artificiell intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential. har inrättat ett nationellt center för artificiell intelligens, AI , som finansieras i samverkan mellan offentlig och privat sektor. Centret arbetar för att påskynda användningen av AI till förmån för samhället, svensk konkurrenskraft och landets invånare.192 , SCB redovisade ett regeringsuppdrag att kartlägga användningen av AI samt analys av stora datamängder i Sverige.193 Kartläggningen visade att användning av AI är vanligare inom offentlig än i privat sektor. Bland privata företag uppgav att de använt AI i någon form i sin verksamhet , medan motsvarande siffra inom den offentliga sektorn var . Den vanligaste anledningen att använda AI var bland företag att förbättra en existerande produkt eller tjänst, medan det i offentlig sektor var vanligast att använda AI för att förbättra interna processer. När det gäller hinder för att använda AI uppgav privat sektor att kostnad för tjänster eller utrustning utgjorde det största hindret för användning av AI. Inom offentliga sektorn utgjorde istället anställdas kompetens, utbildning eller erfarenhet det största hindret. har i flera sammanhang understrukit att regulatorisk utveckling när det gäller data och datatillgång kommer att vara av avgörande betydelse för AI-utveckling.194 Fundamentala behov av tillgång till data behöver balanseras med integritetsskydd, etik, tillit och samhällsskydd. Ett sätt att driva regulatorisk utveckling är enligt att relevanta aktörer med expertis och ansvar för reglering och regelövervakning bör medverka i innovationsprocesser där nya AI- tillämpningar utvecklas. Även DIGG framhåller regulatorisk utveckling som en framgångsfaktor för att främja AI-tillämpningen. I en rapport om AI i offentlig sektor konstaterade DIGG att det finns stor potential för offentlig förvaltning att använda AI men att det också krävs att ett antal förmågor utvecklas.195 Förmågor som behöver utvecklas är till exempel tydligare styrning och ledning, ändamålsenlig rättsutveckling, bättre förutsättningar för kompetensförsörjning, gemensam digital infrastruktur (teknik och data), data som strategisk resurs och ekosystem för samarbete och innovation. Bland de förslag som DIGG anser bör prioriteras först ingår att inrätta ett förfarande eller en mekanism för att ta fram författningsstöd för försöksverksamhet, eftersom det skulle kunna stimulera offentlig förvaltning till att genomföra försök med att använda AI. De regulatoriska sandlådor som prövats i bland annat framhålls av DIGG som ett gott exempel. För att underlätta en ändamålsenlig rättsutveckling föreslog DIGG också etableringen av rättsligt beredningsorgan – ett förslag som tidigare lämnats av . 5.4.1.3 Exempel på nyttor och risker med AI AI-teknik kan tillämpas på en rad olika områden. Bland de samhällsutmaningar som AI kan bidra till att lösa finns till exempel bättre förmåga att upptäcka, diagnostisera, förebygga och behandla allvarliga sjukdomar, ett mer effektivt jordbruk, nya metoder för klimat- och miljöskydd, minskad energianvändning, färre trafikolyckor, en bättre och mer effektiv offentlig sektor och ett säkrare samhälle. Exempel på vanliga uppgifter för ett AI-system är att välja den bästa åtgärden eller föreslå det bästa handlingsalternativet givet ett specifikt mål. Uppgiften kan exempelvis innefatta mönsterigenkänning, bildanalys, talförståelse, prediktiv analys skapande av bevis och spel. Systemet lär sig vilken åtgärd som ska vidtas eller vilket handlingsalternativ som ska rekommenderas genom att ta in och bearbeta data och lära upp algoritmer som är anpassade till det specifika ändamålet. Ett särskilt användningsområde handlar om olika system för automatisering och intelligent automatisering där mjuk- eller hårdvara utvecklas för att kunna fungera autonomt, utan att behöva styras eller kontrolleras av en människa. Det som automatiseras kan exempelvis vara informationsbearbetning, utförande av uppgifter och beslut. Intelligent automatisering innebär att automatiseringen är AI-baserad, med helt eller delvis autonoma system som är självlärande och som kan bearbeta stora mängder data.196 Intelligent automatisering och robotisering spänner över ett stort antal sektorer och innebär bland annat att personuppgifter behandlas på nya sätt och på fler platser. Exempel på sektorer där teknikutveckling genom automatisering pågår är hälsovård, konsumentprodukter, polis och rättsväsende, samt logistik och transport.197 () Artificiell intelligens i . Se till exempel 2018:8, Artificiell intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential. Myndigheten för digital förvaltning (DIGG) Främja den offentliga förvaltningens förmåga att använda AI. I2019/01416/DF och I2019/01020/DF. cuments/Multi-Annual_Roadmap2020_ICT-24_Rev_B_full.pdf. Nedan listas kortfattade exempel på konkreta användningsområden för AI inom olika sektorer som ger en bild över olika tillämpningsområden och potentialen med utvecklingen inom olika sektorer.198 •Hälso- och sjukvård – automatiska/bildbaserade diagnoser och dialogrobotar. Utvecklade datorprogram som ska kunna föra en ändamålsenlig dialog med människor, till exempel svara på frågor.199 •Offentlig sektor – effektivisering av arbetsflöden, automatisering av beslutsgångar och prediktion, att kunna förutse vad som kommer att hända.200 •Cybersäkerhet – automatiserad realtidsanalys av stora system och flera parallella säkerhetshot.201 •Försäkring – automatiserad riskbedömning och upptäckt av försäkringsbedrägerier. •Finans – robotrådgivare och automatiserade beslutsstöd baserade på kunddata och annan data som företagen har tillgång till. •Bioteknik – analys av mycket stora datamängder och prognostisering. •Handel – analys och förståelse av kundbeteenden för att förutsäga framtida köpbeteenden och anpassa erbjudanden. •Tillverkande industri – automatiserad diagnos och kvalitetskontroll. •Telekommunikation – optimering av nätverk och förstärkt cybersäkerhet. •Transport – säkerhetsfunktioner genom löpande övervakning och analys av förarens beteenden och uttryck. •Underhållning – filmmanus och musik som skapas via djupinlärning baserad på personlig data och marknadsdata. som AI rymmer stora möjligheter i de flesta sektorer aktualiserar utvecklingen både rättsliga utmaningar, säkerhetsfrågor och etiska dilemman. Riskerna för enskildas fri- och rättigheter innefattar bland annat bristande transparens, diskriminering, försvårat ansvarsutkrävande eller missbruk och fientlig användning men också risken för felaktig programmering av algoritmer, som leder till felaktiga eller snedvridna beslutsunderlag. Vissa av dessa risker beskrivs ytterligare i avsnitt 7.1.7 som ger exempel på forskning om AI. 198. ovation-map-explains-emerging-technologies-startups/. 200. lunchforelasning-ai/. 201. ned-and-explored-79fd25c10bfa. innovation och teknik (Komet) har i en kommentar om AI betonat urvalets betydelse för etisk träning av algoritmer vid maskininlärning. Om träningsdata inte är neutrala och rättvisande finns en risk för snedvridning och systematiska fel.202 De stora datamängder som kan analyseras med AI medför att enskildas kontroll över sina personuppgifter försvagas och ansvarsfrågor blir komplexa. Vem ska hållas ansvarig om en diagnos eller ett beslut som fattats med hjälp av AI blivit fel? Den som skapat algoritmerna, den som matat in data eller den som tillämpat AI- lösningen? När en personuppgiftsincident inträffar kring big data kan också mycket stora mängder uppgifter förloras och ett stort antal registrerade individer drabbas. Den ökade förmågan att finna samband i stora datamängder innebär också att det blir allt svårare för konsumenter att värdera vilka typer av data som är särskilt känsliga och i vilka sammanhang. När stora datamängder samkörs och analyseras ökar förmågan att identifiera individer även utifrån data som inte ursprungligen utgör personuppgifter, exempelvis med stöd av appar eller rörelsemönster som samlats in med IoT. Därmed utökas successivt integritetsskyddsområdet. Särskilda risker finns vid automatiserade processer i beslutsfattande, när ett beslut kan få konsekvenser för den enskilde. I dataskyddsförordningen begränsas möjligheten att fatta beslut som enbart grundar sig på automatiserad behandling (inklusive profilering).203 Det finns flera risker kopplade till automatiskt beslutsfattande, bland annat hur man säkerställer förfaranden som är rättssäkra och möjliggör att man kan uppmärksamma och utreda fel i bakomliggande tekniska förfaranden.204 I förordningen betonas vikten av att automatiskt beslutsfattande omgärdas av lämpliga skyddsåtgärder och transparens, bland annat information till den registrerade, rätt till mänskligt ingripande och rätt att få en förklaring till beslutet.205 Ett välkänt exempel är experimentet The moral från 2018 som undersöker moraliska dilemman för självkörande fordon. I experimentet studeras hur etiska principer till grund för styrning av maskiner varierar mellan olika länder och kulturer och om ställningstagande i ett dilemma skiljer sig åt beroende på kön, ålder eller inkomst. Experimentet illustrerar vikten av insyn i vilka data som använts för att träna en algoritm, för att kunna bedöma hur maskinen kommer att bete sig i ett skarpt läge. Komet lyfter bland annat fram att det kan finnas utmaningar med system som byggs i ett land med vissa preferenser, säljs i ett annat och används i ett tredje. Komet informerar 2020:30; Den nya tekniken – så fungerar den. Artikel 22 dataskyddsförordningen. Även förvaltningslagen innehåller en bestämmelse om automatiskt beslutsfattande, 28 §. SOU 2018:25 Juridik som stöd för förvaltningens digitalisering. I beaktandesats 71 till dataskyddsförordningen anges att tekniska och organisatoriska åtgärder ska vidtas som bland annat säkerställer att risken för fel minimeras och att personuppgifterna säkras genom att diskriminerande effekter förhindras. Även strukturer som bygger på mänskliga bedömningar kan resultera i systematiska fel, till exempel om en verksamhet har undermåliga rutiner eller fel kompetens hos dem som handlägger ärenden.