“¿Está bien que a todo el mundo se le filtre su perfil de Ghibli?”... Chat GPT y la infracción de privacidad

Preguntas y respuestas con Kim Tae-hwan, abogado especializado en derechos de propiedad intelectual de Bufete de abogados Daeryun

Hoy en día, es popular crear perfiles al estilo Ghibli con ChatGPT. Las lindas y cálidas ilustraciones te hacen sonreír en el momento en que las ves, pero también puede dar miedo pensar que la inteligencia artificial (IA) pueda aprender las fotos originales y usarlas para otros fines. Desde su lanzamiento en noviembre de 2022, la IA generativa ChatGPT ha planteado constantemente problemas relacionados con la gestión de la información personal. Esto se debe a que la IA aprende y almacena información personal cuando utiliza el servicio, por lo que no puede estar libre de problemas de infracción de la privacidad.

Los problemas con la protección de la información personal surgen durante el proceso de aprendizaje de la IA. La IA aprende patrones, estructuras y disposiciones mientras procesa datos no estructurados, como texto e imágenes. En este momento, es posible que la IA no sepa que los números de registro de residentes, las direcciones, la información de salud, etc. son información personal confidencial. Por lo tanto, la información puede quedar expuesta en el proceso de memorización y reimpresión de información aprendida. Debido a estos factores, existe la posibilidad de que se filtre información personal o se violen los derechos del interesado.

Escuchamos a un abogado especializado en derechos de propiedad intelectual sobre cuestiones legales y contramedidas relacionadas con esto. Este es un intercambio de preguntas y respuestas con Kim Tae-hwan, abogado especializado en derechos de propiedad intelectual en Bufete de abogados Daeryun.

▶ Si un modelo de IA aprendiera y utilizara información individual, ¿podría constituir una violación de la Ley de Protección de Información Personal?

Si un modelo de IA aprende y utiliza la información personal de un individuo, esto puede convertirse en un problema como violación de la Ley de Protección de Información Personal. Según la Ley de Protección de Información Personal, una base legal legítima es esencial para recopilar, utilizar y proporcionar información personal. El artículo 15 de la Ley de Protección de Información Personal estipula que se debe cumplir con el consentimiento del interesado o con los requisitos legales al recopilar y utilizar información personal.

Los artículos 15 y 17 de la misma Ley restringen el uso o suministro de información personal para fines distintos de los previstos. La parte problemática en este caso puede verse como el "consentimiento del interesado". Para procesar información personal, primero se debe obtener el consentimiento del interesado. Sin embargo, si la información personal incluida en los datos aprendidos por el modelo de IA ya es información pública, puede haber casos en los que pueda procesarse sin consentimiento, por lo que es necesaria una revisión.

Otra cuestión depende de cómo reconocer los intereses legítimos del procesador de información personal. El propósito del procesamiento de información personal debe basarse en necesidades comerciales razonables y legítimas, y se debe considerar que el propósito tiene prioridad sobre los derechos o intereses del sujeto de la información.

En otras palabras, no importa cuán grandes sean los intereses del procesador de información personal, si la información personal se utiliza de una manera que cause una infracción excesiva al interesado o de una manera que el interesado no espera, no se reconoce el "interés legítimo". En esta situación, si la información personal se utiliza para el aprendizaje de la IA o para un uso secundario, aumenta la probabilidad de violar la Ley de Protección de Información Personal.

La fuente del aviso de suministro de información personal es ilegal incluso si es demasiado pequeña

▶ Con el desarrollo de la ciencia y la tecnología, los problemas con el procesamiento de información personal están aumentando. Si ha sufrido una filtración de información personal, ¿cuáles son sus contramedidas?

Las medidas legales que se pueden tomar para responder a los daños causados ​​por las filtraciones de información personal incluyen multas o recargos de agencias administrativas, reclamaciones por daños civiles y cargos penales. De hecho, en Corea aún no se han llevado a cabo demandas representativas relacionadas con la IA, lo que hace que sea una cuestión difícil. En cuanto a cuestiones relacionadas con la información personal, se puede citar como ejemplo el caso Homeplus (sentencia del Tribunal Supremo 2016Do13263, sentenciada el 7 de abril de 2017), una causa penal representativa. Este es un incidente en el que los avisos bajo el Artículo 15 de la Ley de Protección de Información Personal no se implementaron adecuadamente en el proceso de recopilación y suministro de información personal para el sorteo, y las disposiciones del Artículo 17 de la Ley de Protección de Información Personal tampoco se siguieron adecuadamente.

En particular, el aviso sobre el suministro de información personal estaba escrito en letras minúsculas, lo que dificultaba que los consumidores lo leyeran y aceptaran en su totalidad. Esto viola el requisito legal de que se debe proporcionar un aviso y consentimiento claros en el proceso de obtener el consentimiento del interesado. Al final, Homeplus y el responsable fueron declarados penalmente responsables de conformidad con el artículo 72, apartado 2 y el artículo 59, apartado 1 de la Ley de protección de datos personales. Este caso es una violación de la Ley de Protección de Información Personal debido a "falta de consentimiento" y "aviso poco claro", y se puede decir que es un precedente importante que establece estándares legales para casos similares en el futuro.

▶ En el caso de los proveedores de servicios de IA que son procesadores de información personal, ¿qué estrategias deberían desarrollar para cumplir con las leyes relacionadas, como la Ley de Protección de Información Personal?

El proceso de aprendizaje y uso de información personal de un modelo de IA tiene el potencial de violar las leyes de protección de información personal. Por lo tanto, los desarrolladores y proveedores de servicios de IA deben aclarar los fundamentos legales legítimos y garantizar exhaustivamente la seguridad y garantizar los derechos de los interesados. Incluso cuando se procesa información personal divulgada de conformidad con la Ley de Protección de Información Personal, se deben cumplir las bases legales y los estándares de seguridad, y es importante obtener claramente el consentimiento del interesado.

Se debe establecer y gestionar exhaustivamente un procedimiento de consentimiento específico para garantizar que la información personal no se utilice ni se proporcione para fines distintos de aquel para el que fue procesada. También deben reforzarse las medidas de seguridad para evitar la filtración de información personal. Garantizar la seguridad debe incluir medidas técnicas, administrativas y físicas relacionadas con el establecimiento de un plan de gestión interna y el mantenimiento de registros de acceso, como se especifica en el artículo 29 de la Ley de Protección de Información Personal.

[Ver artículo completo]
"¿Está bien que todos filtren el perfil original de Ghibli?"... Chat GPT e infracción de información personal (enlace)