'Semua Bikin Profil Ghibli, Amankah Kebocoran Data Asli?' ChatGPT dan Pelanggaran Data Pribadi

Tanya jawab dengan Kim Tae-hwan, pengacara spesialis hak kekayaan intelektual Firma Hukum Daeryun (Perseroan Terbatas)

Belakangan, membuat foto profil bergaya Ghibli dengan ChatGPT sedang tren. Gaya gambar yang lucu dan hangat membuat orang otomatis tersenyum saat melihatnya, tetapi memikirkan bahwa foto asli dipelajari oleh kecerdasan buatan (AI) dan dapat dipakai untuk hal lain juga terasa mengerikan. Sejak dirilis pada November 2022, AI generatif ChatGPT terus-menerus menuai masalah terkait pengelolaan data pribadi. Sebab, karena AI mempelajari dan menyimpan data pribadi saat layanan digunakan, ia tidak dapat lepas dari masalah pelanggaran data pribadi.

Bagian yang menjadi masalah dalam perlindungan data pribadi muncul dalam proses pembelajaran AI. AI memproses data tak terstruktur seperti teks dan gambar sambil mempelajari pola, struktur, dan susunan. Saat itu, AI mungkin kurang mengetahui bahwa nomor registrasi penduduk, alamat, informasi kesehatan, dan sebagainya merupakan data pribadi yang sensitif. Karena itu, dalam proses menghafal informasi yang dipelajari lalu mengeluarkannya kembali, informasi dapat terekspos. Faktor-faktor semacam ini menimbulkan kemungkinan kebocoran data pribadi atau pelanggaran hak subjek data.

Kami mendengar penjelasan pengacara spesialis hak kekayaan intelektual mengenai isu hukum dan cara meresponsnya terkait hal ini. Berikut tanya jawab dengan Kim Tae-hwan, pengacara spesialis hak kekayaan intelektual Firma Hukum Daeryun (Perseroan Terbatas).

▶ Apabila model AI mempelajari dan memanfaatkan informasi setiap individu, apakah hal itu dapat termasuk pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan?

Apabila model AI mempelajari dan memanfaatkan data pribadi setiap individu, hal itu dapat menjadi masalah sebagai pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan. Menurut Undang-Undang Perlindungan Data Pribadi Korea Selatan, dalam mengumpulkan, menggunakan, dan menyediakan data pribadi mutlak diperlukan dasar hukum yang sah. Pasal 15 Undang-Undang Perlindungan Data Pribadi Korea Selatan mengatur bahwa saat mengumpulkan dan menggunakan data pribadi harus memenuhi persetujuan subjek data atau syarat hukum.

Pasal 15 dan Pasal 17 undang-undang yang sama membatasi penggunaan atau penyediaan data pribadi di luar tujuan. Bagian yang menjadi masalah dalam perkara ini dapat dikatakan adalah 'persetujuan subjek data'. Untuk memproses data pribadi, persetujuan subjek data harus mendahului. Namun, apabila data pribadi yang termuat dalam data yang dipelajari model AI merupakan informasi yang sudah dipublikasikan, dapat ada kasus yang memungkinkan pemrosesan tanpa persetujuan, sehingga perlu ditelaah.

Isu lain bergantung pada bagaimana kepentingan sah pengendali data pribadi diakui. Tujuan memproses data pribadi harus berlandaskan kebutuhan usaha yang wajar dan sah, dan tujuan itu harus dapat dinilai lebih diutamakan daripada hak atau kepentingan subjek data.

Dengan kata lain, sebesar apa pun kepentingan pengendali data pribadi, apabila menimbulkan pelanggaran berlebihan terhadap subjek data, atau apabila data pribadi digunakan dengan cara yang tidak diduga subjek data, 'kepentingan sah' tidak diakui. Dalam situasi seperti ini, apabila data pribadi dijadikan bahan pembelajaran AI atau dimanfaatkan secara sekunder, kemungkinan menjadi pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan meningkat.

Tulisan pemberitahuan penyediaan data pribadi yang terlalu kecil pun melanggar hukum

▶ Seiring perkembangan sains dan teknologi, masalah pemrosesan data pribadi kian bertambah. Jika mengalami kerugian akibat kebocoran data pribadi, apa cara meresponsnya?

Tindakan hukum yang dapat diambil untuk merespons kerugian akibat kebocoran data pribadi secara garis besar dapat menggunakan cara seperti denda atau sanksi administratif berupa pembayaran uang dari instansi administratif, gugatan ganti rugi perdata, dan pengaduan pidana. Sebenarnya, gugatan representatif terkait AI belum berjalan di negara kita sehingga merupakan hal yang rumit. Sebagai isu terkait data pribadi, dapat dicontohkan kasus pidana representatif, yaitu kasus Homeplus (putusan Mahkamah Agung Korea Selatan 7 April 2017, nomor 2016도13263). Ini adalah kasus di mana dalam proses mengumpulkan dan menyediakan data pribadi untuk undian hadiah, hal-hal yang harus diberitahukan menurut Pasal 15 Undang-Undang Perlindungan Data Pribadi Korea Selatan tidak dijalankan dengan benar, dan ketentuan mengenai Pasal 17 Undang-Undang Perlindungan Data Pribadi Korea Selatan pun tidak dipatuhi dengan benar.

Khususnya, karena pemberitahuan mengenai penyediaan data pribadi ditulis dengan huruf kecil, konsumen tidak berada dalam situasi yang cukup untuk membaca dan menyetujuinya. Hal ini melanggar tuntutan hukum bahwa dalam proses memperoleh persetujuan subjek data mutlak harus ada pemberitahuan dan persetujuan yang jelas. Akhirnya, berdasarkan Pasal 72 angka 2 dan Pasal 59 angka 1 Undang-Undang Perlindungan Data Pribadi Korea Selatan, Homeplus dan penanggung jawabnya dikenai pertanggungjawaban pidana. Kasus tersebut dapat disebut yurisprudensi penting yang menyajikan tolok ukur hukum bagi kasus-kasus serupa di kemudian hari, sebagai kasus pelanggaran Undang-Undang Perlindungan Data Pribadi Korea Selatan karena 'ketidakcukupan persetujuan' dan 'pemberitahuan yang tidak jelas'.

▶ Bagi pelaku usaha layanan AI selaku pengendali data pribadi, strategi apa yang harus disusun untuk mematuhi hukum terkait seperti Undang-Undang Perlindungan Data Pribadi Korea Selatan?

Proses model AI mempelajari dan memanfaatkan data pribadi berpotensi melanggar Undang-Undang Perlindungan Data Pribadi Korea Selatan. Karena itu, pengembang AI dan penyedia layanan harus memperjelas dasar hukum yang sah, serta secara ketat memastikan pengamanan keamanan dan jaminan hak subjek data. Meskipun memproses data pribadi yang telah dipublikasikan menurut Undang-Undang Perlindungan Data Pribadi Korea Selatan, dasar hukum dan standar pengamanan keamanannya harus dipatuhi, dan penting untuk memperoleh persetujuan subjek data secara jelas.

Secara konkret, harus menyiapkan prosedur persetujuan dan mengelola secara ketat agar tidak ada penggunaan atau penyediaan data pribadi di luar tujuan pemrosesan. Untuk mencegah kebocoran data pribadi, langkah pengamanan keamanan pun harus diperkuat. Pengamanan keamanan harus mencakup langkah teknis, manajerial, dan fisik terkait penyusunan rencana pengelolaan internal, penyimpanan catatan akses, dan sebagainya sebagaimana ditetapkan dalam Pasal 29 Undang-Undang Perlindungan Data Pribadi Korea Selatan.

[Baca artikel selengkapnya]
"Ramai-ramai profil Ghibli, apakah kebocoran foto asli tidak masalah"… ChatGPT dan pelanggaran data pribadi (buka tautan)