قانون هوش مصنوعی اروپا: ملاحظه 39
«هرگونه پردازش داده‌های زیست‌سنجی و سایر داده‌های شخصی که در استفاده از سامانه‌های هوش مصنوعی برای شناسایی زیست‌سنجی دخیل است ــ به‌جز در ارتباط با استفاده از سامانه‌های شناسایی زیست‌سنجی از راه دورِ بلادرنگ در فضاهای در دسترس عموم برای اهداف اجرای قانون که در این مقرره تنظیم شده است ــ باید همچنان با تمامی الزامات ناشی از ماده ۱۰ دستورالعمل (EU) 2016/680 منطبق باشد. برای اهدافی غیر از اجرای قانون، ماده ۹ (۱) مقرره (EU) 2016/679 و ماده ۱۰(۱) مقرره (EU) 2018/1725 پردازش داده‌های زیست‌سنجی را، جز در استثناهای محدود پیش‌بینی‌شده در همان مواد، ممنوع می‌کنند. در اجرای ماده ۹(۱) مقرره (EU) 2016/679، استفاده از شناسایی زیست‌سنجی از راه دور برای اهدافی غیر از اجرای قانون پیش‌تر نیز موضوع تصمیمات ممنوعیتی از سوی مراجع ملی حفاظت از داده قرار گرفته است.»تحلیل ملاحظه 39
این ملاحظه مکمل مستقیم ملاحظه ۳۸ است و مرز میان «قاعده خاص» و «قاعده عام» را در حوزه پردازش داده‌های زیست‌سنجی دقیق‌تر ترسیم می‌کند. اگر ملاحظه ۳۸ توضیح می‌داد که در حوزه خاصِ شناسایی زیست‌سنجی بلادرنگ برای اجرای قانون، AI Act به‌عنوان قانون خاص (lex specialis) مقدم است، ملاحظه ۳۹ روشن می‌کند که خارج از آن حوزه خاص، رژیم عمومی حفاظت از داده همچنان به‌طور کامل حاکم باقی می‌ماند.نخستین نکته محوری این ملاحظه آن است که استثنای خاصِ مقرر در AI Act بسیار محدود و مضیق است. تنها یک سناریوی بسیار خاص ــ یعنی شناسایی زیست‌سنجی از راه دورِ بلادرنگ در فضای عمومی برای اجرای قانون ــ از چارچوب ویژه AI Act تبعیت می‌کند. هر نوع پردازش دیگرِ داده‌های زیست‌سنجی در سامانه‌های شناسایی زیستی، خارج از آن سناریوی خاص، به رژیم عمومی حقوق حفاظت از داده بازمی‌گردد.
دومین نکته مهم، برای حوزه اجرای قانون (اما خارج از آن سناریوی خاصِ بلادرنگ در فضای عمومی)، همچنان ماده ۱۰ دستورالعمل 2016/680 حاکم است. این یعنی اگر یک مرجع انتظامی از سامانه شناسایی زیستی در شرایط دیگری استفاده کند ــ مثلاً خارج از فضای عمومی یا نه به‌صورت بلادرنگ ــ دیگر در چارچوب خاص AI Act قرار نمی‌گیرد و باید کاملاً مطابق رژیم عمومی پردازش داده‌های حساس در حوزه اجرای قانون عمل کند.
سومین نکته محوری، برای اهداف غیر از اجرای قانون، قانون‌گذار صراحتاً به GDPR و مقرره 2018/1725 ارجاع می‌دهد و یادآوری می‌کند که داده‌های زیست‌سنجی اصولاً از داده‌های حساس‌اند و پردازش آن‌ها در اصل ممنوع است، مگر در استثناهای محدود. این تأکید بسیار مهم است، زیرا نشان می‌دهد AI Act قرار نیست برای استفاده‌های غیر انتظامی از شناسایی زیستی، یک مسیر تسهیل‌گر یا مجوزدهنده جدید باز کند.
چهارمین نکته مهم، متن صریحاً یادآور می‌شود که حتی پیش از AI Act نیز مراجع ملی حفاظت از داده در اروپا، استفاده از شناسایی زیست‌سنجی از راه دور برای اهداف غیر انتظامی را در مواردی ممنوع کرده‌اند. این اشاره بسیار مهم است، زیرا نشان می‌دهد محدودسازی این فناوری صرفاً محصول AI Act نیست، بلکه پیشاپیش نیز در رویه نهادهای حفاظت از داده اروپا ریشه داشته است.
پنجمین نکته، این ارجاع به رویه مراجع ملی حفاظت از داده یک کارکرد تفسیری مهم دارد: قانون‌گذار می‌خواهد روشن کند که AI Act نه‌تنها محدودیت‌های موجود را تضعیف نمی‌کند، بلکه بر بستری از محدودیت‌های از پیش موجود بنا می‌شود. بنابراین، AI Act نباید به‌اشتباه به‌عنوان مجوز ضمنی برای گسترش شناسایی زیستی در بخش خصوصی یا استفاده‌های غیر انتظامی فهمیده شود.
ششمین نکته مهم، این ملاحظه عملاً یک تقسیم کار حقوقی روشن ایجاد می‌کند: سناریوی خاصِ انتظامیِ بلادرنگ در فضای عمومی تحت رژیم خاص AI Act؛ سایر سناریوهای انتظامی تحت Directive 2016/680؛ و سناریوهای غیر انتظامی تحت GDPR و مقرره 2018/1725. این تقسیم‌بندی یکی از مهم‌ترین کلیدهای فهم معماری حقوقی تنظیم شناسایی زیست‌سنجی در اتحادیه اروپاست.
در نهایت، ملاحظه ۳۹ روشن می‌کند که AI Act یک استثنای محدود و کنترل‌شده برای یک سناریوی خاص می‌سازد، اما بیرون از آن سناریو، قواعد سخت‌گیرانه عمومی حفاظت از داده همچنان با تمام قوت حاکم‌اند و شناسایی زیست‌سنجی، به‌ویژه در استفاده‌های غیر انتظامی، همچنان یک حوزه شدیداً محدود و حساس باقی می‌ماند.
منبع: ترجمه شده توسط بخش فناوری های نوین سایت راسخون
