CDI报告：欧盟应改革GDPR以保持算法经济中的优势

《通用数据保护条例》（GDPR）被称为史上最严格的个人数据保护条例。从发布伊始，就饱受争议，尤其是专家认为GDPR的实施会对AI技术的应用和发展带来影响，主要集中在数据收集和使用方面。日前，Center for Data Innovation（数据创新中心）发布了题为 《The EU Needs to Reform the GDPR To Remain Competitive in the Algorithmic Economy》（欧盟应改革GDPR以保持算法经济中的优势） 的 报告 。其中详细分析了改革的必要性、欧盟数据保护的现状以及相关建议。

文章仅供参考，观点不代表本机构立场。

CDI报告：欧盟应改革GDPR以保持算法经济中的优势

作者：学术plus高级评论员 张涛

1、GDPR是什么？

欧盟议会于2016年4月14日通过了《通用数据保护条例（General Data Protection Regulations）》（“GDPR”），并于2018年5月25日在欧盟成员国内正式生效实施。该条例的适用范围极为广泛，任何收集、传输、保留或处理涉及到欧盟所有成员国内的个人信息的机构组织均受该条例的约束。

2、GDPR为什么要改革？

数字经济→算法经济

技术进步在至少过去30年内重塑了全球经济。 互联网经济 改变了企业通信、协作和交付产品和服务的方式。21世纪中叶，数据经济的到来让公私企业可以利用数据和分析技术来更好地做决策。数据经济最明显的变化就是CPS（空间物理系统）/IOT（物联网）系统的快速发展。世界已经步入 算法经济 的时代，企业的能力很大一部分取决于通过AI算法使用数据的能力。

数据是AI的关键

欧盟在开发、应用符合伦理的且安全的AI方面处于世界领先水平。而数据访问和使用能力是有效开发使用AI的必备部分， 数据是AI的关键驱动因素。许多机器学习算法都需要 大量高质量的训练数据 ，数据集越大，AI模型和算法就越准确，就可以越精确地推断出数据中的潜在关系。

法律监管，过犹不及

对数据算法的法律监管是决定一个企业竞争力的关键因素。2017年数据显示，AI项目的主要障碍就是对数据的访问限制。而欧盟的《通用数据保护条例》（GDPR） 明显限制了欧盟开发和使用AI的能力。 因为所有在欧盟开展业务的企业都要遵守GDPR。其中，最大的弊端就是限制了企业使用个人数据。目前来看，GDPR（1）确实大大增加了企业的合规成本负担。（2）降低了特定行业企业的竞争能力。

而GDPR是2014年开始起草，那时机器学习算法的应用还不广泛，显然已经不能适应当下AI的迅猛发展了，过时的法律也与新出现的算法经济格格不入。总而言之，GDPR已经给欧盟AI的发展脱了后腿。因此，亟需改变。

3、AI算法的价值，到底有多高？

AI已被看做是创新、增长和社会福利的主要驱动因素。虽然AI带来的具体的经济价值很难预测，但必然会增加各行业自动化的水平，增加产量和单位收益。 根据麦肯锡的数据，应用AI技术和分析技术可以带来的年收益约为 9.5万亿到15.4万亿。

算法驱动的软件和机械系统要比人类更加高产。AI可以把工人从繁杂的简单重复劳动中解放出来。 使用AI之后，企业运作和管理流程会更加高效。 此外， AI还可以帮助解决与环境、公共健康、交通相关的挑战。 比如，政府机构使用AI来预防欺诈等。

4、GDPR的重重“枷锁”

4.1 GDPR限制数据的收集和使用

GDPR禁止企业使用除第一次收集后的其他数据。其中Article 5要求数据是为特定的、明确的和合法的目的收集的，并且是充分、相关且仅限于必要的内容。目的规范（purpose specification）和数据最小化（data minimization）这两个限制会通过限制企业收集新的数据和以其他目的重用已有的数据来限制企业创新。企业往往不清楚哪些数据是最有价值的，而事实上企业常通过融合数据集来创建新的价值，因此很难预测数据集的未来价值。而许多机器学习算法都得益于大量数据集，以增强算法的准确性和效率。通过对数据收集和使用上添加不必要的限制，GDPR使欧盟的企业与中国企业相比，处于竞争劣势。

4.2 GDPR对自动决策系统的限制

GDPR限制了企业使用个人数据来进行自动决策，主要通过以下两种方式：

一是GDPR第22条中赋予个人一项原则：即有权反对完全依靠自动化处理对数据做出具有法律影响或类似影响的决策，包括用户画像。因此，当企业使用AI来做出关于用户个人的决策时，用户有权要求对该决策做出人类检查（复查）。这个权利对使用AI来自动化进行决策的企业来说很难实现。对自动决策进行人类复查的成本是很高的，其中使用AI的主要原因是减少人类处理大量数据的时间。但GDPR的要求表明人类仍然要参与该过程。但是许多AI系统的复杂性都证明人类很难介入进行复查，不仅花费更多的时间还需要大量的专业人员。

二是第13到15条要求企业在自动决策中提供给个人关于自动决策过程逻辑的有意义信息。这表明企业必须能够解释对个人产生明显影响的决策的AI系统。虽然欧盟的指南并不要求企业透露全部的算法，但是提供的信息应该足以解释决策产生的过程。但因为神经网络等AI算法是黑盒的，所以很多AI系统本身就是无法解释的。所以说企业根本无法符合GDPR的解释算法决策过程逻辑的要求。即使可以解释算法决策过程的逻辑，这个过程也可能是不准确的，无法满足GDPR的要求。

4.3 GDPR增加了合规成本和风险

GDPR增加了企业使用AI的合规成本和风险。首先，企业必须与GDPR中的要求相一致，这增加了企业的直接成本，比如处理个人数据要首先获得用户同意，要雇佣数据保护专员。其次，由于法律的模糊性以及数据保护机构解释的不确定性，企业还面临潜在的合规风险。风险和不确定性意味着企业在限制数据使用等方面会增加产生错误的可能性。而且合规成本会随着AI投资的增加而增加。

4.4 公共领域的数据处理

GDPR考虑到在重要公共领域的个人数据收集和使用。政府可以和应当自由地使用授权，包括在医疗、教育和环境等领域。比如法国就计划通过法律允许企业在特定领域访问和使用个人数据时不需要获取用户同意。这些行动在缓解GDPR对特定领域数据访问的负面影响起着关键的作用。

4.5 数据信任

开发和使用AI的企业需要能够在特定领域风险数据，比如医疗健康和交通领域。但GDPR的复杂性带来了明显的合规性挑战。为了让数据能够更加容易和频繁地进行交换， 英国已经提出了数据信任（data trust）的概念， 定义了一个框架来以一种公平、安全和公正的方式来分享数据。其目的是通过建立政府和行业之间重用数据共享协议来使企业间数据分享更加容易。协议还可用帮助交换那些本无法以其他方式交换的敏感和专用数据。欧盟和经合组织(OECD)都提到过企业间数据共享的重要性和开发数据分享框架的需求。

4.6 开放数据实践

欧盟成员国可用创建和分享更多的政府开放数据来支持AI技术的开发和应用。欧盟委员会在关于开放数据的政策中提到：允许公共单元数据重用与其他目的，包括商业目的……因为AI这样的新技术的开发需要大量的高质量数据。

在欧盟层面，欧盟委员会引入了 开放数据倡议（open data initiatives） 来扩大数据重用和数据共享的可能性。许多欧盟成员国也有自己的开放数据倡议，但在开放数据的数量和质量方面都有所不同。

5、改革建议

基于以上分析，为了改善欧洲AI的监管环境，为算法经济改革GDPR，研究人员建议：

（1）扩大公共领域数据处理的能力。欧盟应修订GDPR以允许公共领域的数据处理，以促进欧盟的数据改革。创建欧盟范围内的豁免来鼓励AI在健康、医疗和环境保护等领域的应用。

（2）允许以最小风险对数据进行再利用。欧盟应当修订GDPR以允许企业对已经收集的数据进行重新利用，但要保证对个人用户带来危害的威胁最小，且数据不能从一个控制方转移到其他控制方。

（3）不对自动决策系统进行惩罚。欧盟应当删除GDPR中算法决策的人类复查权。因为这对使用AI的企业来说成本是非常高的，而且无法确保人类的决策并算法决策更加公平、没有偏见。欧盟应修订GDPR来确保透明性、解释性、中立性和基于决策的本质和严重性，而不是考虑决策是由人类还是算法给出的。

（4）允许决策只做基本解释。欧盟应当修订GDPR来确保使用算法的企业只需要披露系统工作和使用数据的基本信息而不是披露系统处理的逻辑信息。披露基本信息更加可行，而且不涉及披露企业专用信息。

（5）根据带来伤害的程度进行处罚。欧盟应修订GDPR来根据对用户带来的伤害的级别和企业应受的处罚级别来进行处罚。这能确保对违反GDPR的行为的处罚更加公平合理。

总结

欧盟在加速AI技术应用方面做了许多努力，但GDPR从数据保护管理的层面对AI系统做出了限制。如不改革，欧盟在AI全球竞争中将处于结构性劣势，而其他国家会通过AI技术的应用来获取竞争性优势。

声明：本文来自学术plus，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。