AI и приватность: что происходит с загруженной фотографией?

Короткий ответ: фото, загруженное в AI-инструмент, обычно отправляется на удаленную систему, там его обрабатывает модель, а результат возвращается вам. Сохраняется ли фото, как долго, используется ли оно для улучшения моделей и с кем делится инструмент - зависит от его политики конфиденциальности. Эта статья не относится к какому-либо конкретному инструменту. Мы объясняем, что обычно происходит с фотографией, на что смотреть в политике и какие права дают GDPR и KVKK. Это не юридическая консультация.

Что обычно происходит с загруженным фото?

В большинстве AI-инструментов процесс выглядит так (политика конкретного инструмента может его менять):

1. Загрузка: фото по сети передается в систему инструмента или к поставщику модели, который использует инструмент.
2. Обработка: модель читает фото и вносит нужные изменения.
3. Результат: вам показывают итог, который часто сохраняется в вашей истории.
4. Журналирование и проверка: система может записывать запросы; для контроля злоупотреблений записи могут проверяться.
5. Дальнейшее использование: по политике фото или результаты могут использоваться для улучшения сервиса либо удаляться через определенное время.

Поэтому важно, является ли инструмент одной компанией или передает фото сторонним поставщикам моделей. В политиках таких поставщиков называют «субобработчиками» или «поставщиками услуг».

Является ли фото персональными данными?

Узнаваемое фото человека обычно является персональными данными. GDPR определяет персональные данные как любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу. Другие данные внутри фото тоже несут информацию: в фотографиях, снятых телефоном, обычно есть встроенные сведения (EXIF) - время съемки, модель устройства и иногда местоположение. Вывески и вид дома на заднем плане, лица других людей - это тоже информация.

На что смотреть в политике конфиденциальности?

Вопрос	Где в политике?	Хороший признак
Кто обрабатывает мое фото?	Раздел о контролере данных и субобработчиках	Компания и контакты указаны, поставщики перечислены
Для чего оно используется?	Цели обработки	Цель ясна; «предоставление услуги» и «улучшение» указаны отдельно
Используется ли для обучения модели?	Формулировки «улучшение сервиса», «обучение»	Сказано прямо, есть возможность отказаться
Как долго хранится?	Раздел о сроках хранения	Указан срок или критерий его определения
С кем делится?	Получатели и передачи данных	Категории получателей и передача за рубеж указаны
Как удалить?	Права и настройки аккаунта	Есть шаги для удаления аккаунта и истории
Дети?	Возрастные ограничения	Указан возрастной предел и информация о родителях

Если ничего из этого не удается найти или политика отсутствует, не загружайте в такой инструмент чувствительные фото.

Какие права дает GDPR?

В ЕС организации, обрабатывающие данные, обязаны сообщать вам: кто они, цели обработки, получателей, срок хранения и ваши права (статья 13 GDPR). Руководство EDPB перечисляет права отдельного человека:

• Доступ: узнать, обрабатываются ли ваши данные, и получить бесплатно их копию.
• Исправление: исправить неверные данные и дополнить неполные.
• Удаление: в определенных случаях, например когда данные больше не нужны для цели сбора, потребовать их удаления.
• Ограничение обработки: организация может хранить данные, но не может проводить с ними другие операции.
• Переносимость: получить свои данные в структурированном, распространенном и машиночитаемом формате; только при определенных условиях.
• Возражение: возразить против обработки на основании законного интереса или общественного интереса по причинам, связанным с вашей конкретной ситуацией; возражение против маркетинга должно привести к прекращению без обоснования.

Организация должна ответить на запрос в течение месяца; для сложных запросов срок может быть продлен еще на два месяца, но об этом нужно сообщить в течение первого месяца. Если она отказывает, она должна объяснить причину и сообщить о праве подать жалобу в надзорный орган.

Какие права дает KVKK?

Согласно Закону о защите персональных данных № 6698 (KVKK), контролер данных при сборе данных обязан сообщить вам свою личность, цель обработки, кому и с какой целью данные могут передаваться, способ сбора, правовое основание и ваши права из статьи 11 (статья 10). По статье 11 вы можете обратиться к контролеру данных, чтобы:

• Узнать, обрабатываются ли персональные данные, и запросить информацию.
• Узнать цель обработки и использовались ли данные в соответствии с ней.
• Узнать третьих лиц, которым данные передаются в стране или за рубежом.
• Потребовать исправления, если данные неполные или обработаны неверно.
• Потребовать удаления или уничтожения данных при соблюдении условий и уведомления третьих лиц, которым данные переданы.
• Возразить против результата, который возник исключительно на основании автоматического анализа и неблагоприятен для вас.
• Потребовать возмещения ущерба, если он возник из-за незаконной обработки.

По статье 13 контролер данных рассматривает обращение в зависимости от его характера и в кратчайший срок, но не позднее тридцати дней, бесплатно; он принимает запрос или отказывает с объяснением причин. Если обращение отклонено, ответ недостаточен или на него не ответили в срок, вы можете подать жалобу в Совет по защите персональных данных (статья 14).

Модели ИИ и персональные данные

Остается ли в обученной модели персональная информация, - вопрос, которым занимаются регуляторы. Европейский совет по защите данных (EDPB) принял 18 декабря 2024 года мнение 28/2024 о некоторых аспектах защиты данных, связанных с моделями ИИ; оно подготовлено по запросу ирландского надзорного органа и охватывает правовые основания и анонимизацию. Британский ICO также выделил в руководстве по ИИ и защите данных отдельные разделы о законности и прозрачности. На практике: если компания использует ваши фото для обучения, она обычно должна сказать об этом прямо. Если она этого не делает, смело спрашивайте.

Практические шаги для защиты фото

1. Не загружайте лишнего: не отправляйте документы, паспорта, фото детей и чужие личные фото.
2. Уберите данные о местоположении: в телефоне есть настройка, которая отключает геометки при публикации.
3. Обрежьте кадр: уберите с фона вывески, документы и номера.
4. Спросите разрешение других людей: если на фото кто-то еще, спросите до загрузки.
5. Проверьте настройки: найдите возможность отключить использование для обучения и очистить историю.
6. Очищайте историю: когда работа закончена, удалите результаты и загрузки.
7. Используйте свои права: отправьте запрос на доступ или удаление и следите за сроком ответа.

Пример запроса: «Здравствуйте, я хочу узнать, обрабатываются ли мои персональные данные, связанные с моим аккаунтом; прошу сообщить цели обработки и получателей, а также удалить загруженные мною фотографии.»

Передача за рубеж и субобработчики

Многие AI-инструменты могут отправлять фото на серверы или к поставщикам моделей в других странах. В KVKK передача персональных данных за рубеж регулируется отдельной статьей (статья 9), обязанности возлагаются на контролера данных; статья 11 дает право узнать, кому данные переданы в стране или за рубежом. В ЕС передача за пределы ЕЭЗ также подчиняется отдельным правилам GDPR. Поэтому в политике ищите разделы «получатели», «передача» и «субобработчики».

Если эти разделы неясны, вопрос простой: куда идет мое фото и с какой целью? Если инструмент не дает четкого ответа, подумайте дважды, прежде чем загружать чувствительное фото. Ответ можно получить и по короткому письму; сохраните письменный ответ.

Типичные ошибки

• Загрузка без чтения политики: срок хранения и использование для обучения указаны именно там.
• Считать, что бесплатный инструмент ничего не берет: данные могут быть частью модели бизнеса; читайте политику.
• Загрузка чужого фото без разрешения: возникают вопросы согласия и персональных данных.
• Забыть про данные о местоположении: встроенная информация может остаться в файле.
• Думать, что после удаления все исчезло: резервные копии и записи поставщика могут храниться дольше; проверьте срок в политике.

Какие фото не стоит загружать вовсе?

Некоторые фото слишком чувствительны, чтобы рисковать: документы, водительские права, банковские карты, изображения с адресом и номерами машин, фото детей, информация о здоровье и чужие личные воспоминания. Если такой снимок все же нужно обработать, сначала закройте или обрежьте чувствительные части. Вместо того чтобы сразу загружать самое личное фото в новый инструмент, попробуйте обычный тестовый снимок и посмотрите, как инструмент себя ведет.

Итоги

• Фото обычно обрабатывается на удаленной системе; хранение, обучение и передача зависят от политики.
• Узнаваемое фото - персональные данные; встроенные сведения, например геометки, тоже информация.
• В политике ищите контролера, цели, обучение, срок хранения, получателей и удаление.
• GDPR и KVKK дают право на доступ, исправление, удаление и возражение; ответ на запрос по GDPR - в течение месяца, по KVKK - не позднее тридцати дней.
• Не загружайте чувствительные фото, очищайте метаданные, спрашивайте разрешение людей и очищайте историю.