Αρχές Προστασίας Δεδομένων και διακυβέρνηση της τεχνητής νοημοσύνης: ο ρόλος τους στο κανονιστικό πλαίσιο του AI Act

1. Εισαγωγή: η κανονιστική λογική του AI Act και η θέση των Αρχών Προστασίας Δεδομένων
Η ραγδαία ανάπτυξη των τεχνολογιών τεχνητής νοημοσύνης έχει αναδείξει νέες προκλήσεις για το δίκαιο της Ευρωπαϊκής Ένωσης, ιδίως σε τομείς όπως η απασχόληση, η εκπαίδευση, η υγεία, η δημόσια διοίκηση, η επιβολή του νόμου και η διαχείριση των συνόρων. Οι τεχνολογίες αυτές μπορούν να επηρεάσουν όχι μόνο την ιδιωτικότητα και την προστασία δεδομένων, αλλά και ένα ευρύτερο πλέγμα θεμελιωδών δικαιωμάτων, όπως η μη διάκριση, η ανθρώπινη αξιοπρέπεια, η ελευθερία έκφρασης και η αποτελεσματική δικαστική προστασία. Στο πλαίσιο αυτό, η Ευρωπαϊκή Ένωση υιοθέτησε τον Κανονισμό (ΕΕ) 2024/1689 για την τεχνητή νοημοσύνη, γνωστό ως AI Act.

Ο AI Act εισάγει ένα οριζόντιο ρυθμιστικό πλαίσιο για τα συστήματα τεχνητής νοημοσύνης, βασισμένο σε κατηγοριοποίηση κινδύνου. Η κανονιστική του λογική διαφοροποιείται από εκείνη του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR). Ενώ ο GDPR επικεντρώνεται πρωτίστως στη νομιμότητα της επεξεργασίας προσωπικών δεδομένων, ο AI Act ρυθμίζει συστήματα τεχνητής νοημοσύνης ως τεχνολογικά προϊόντα ή συστήματα που τίθενται σε κυκλοφορία, σε λειτουργία ή σε χρήση στην ενιαία αγορά. Η επιλογή αυτή αντανακλά μια κανονιστική μετατόπιση: από τον έλεγχο συγκεκριμένων μορφών επεξεργασίας δεδομένων προς ένα μοντέλο προληπτικής ρύθμισης τεχνολογικών συστημάτων βάσει κινδύνου. Υπό την έννοια αυτή, ο AI Act συνδέεται στενά με το ευρύτερο δίκαιο ασφάλειας προϊόντων της Ένωσης και ιδίως με το Νέο Νομοθετικό Πλαίσιο (New Legislative Framework – NLF), το οποίο οργανώνεται γύρω από έννοιες όπως η αξιολόγηση συμμόρφωσης, η τεχνική τεκμηρίωση, η δήλωση συμμόρφωσης, η σήμανση CE (Conformité Européenne) και η εποπτεία της
Σελ. 17 αγοράς. Ο AI Act αποτελεί μία πράξη ψηφιακής πολιτικής και ταυτόχρονα πράξη ενωσιακού δικαίου εναρμόνισης προϊόντων με έντονη διάσταση προστασίας θεμελιωδών δικαιωμάτων.

Παρά τη διακριτή κανονιστική τους λογική, ο AI Act και ο GDPR παρουσιάζουν σημαντικές αλληλεπικαλύψεις. Ο ΑI Act «προϋποθέτει» τον GDPR. Πολλά συστήματα τεχνητής νοημοσύνης βασίζονται σε εκτεταμένη επεξεργασία προσωπικών δεδομένων, συχνά και ειδικών κατηγοριών δεδομένων. Οι δύο Kανονισμοί λειτουργούν, επομένως, παράλληλα: ο GDPR ρυθμίζει την επεξεργασία δεδομένων ως τέτοια, ενώ ο AI Act ρυθμίζει το ίδιο το σύστημα τεχνητής νοημοσύνης ως πηγή κινδύνων για την ασφάλεια και τα θεμελιώδη δικαιώματα.

Στο νέο αυτό κανονιστικό περιβάλλον, οι Αρχές Προστασίας Δεδομένων καταλαμβάνουν ιδιάζουσα θέση. Από τη μία πλευρά, διαθέτουν ήδη εμπειρία στην εποπτεία ψηφιακών τεχνολογιών, στην αξιολόγηση αυτοματοποιημένων αποφάσεων, στη βιομετρική επεξεργασία και στις εκτιμήσεις αντικτύπου. Από την άλλη πλευρά, ο AI Act τις εντάσσει σε ένα πεδίο που διασυνδέεται στενά με το δίκαιο προϊόντων, την τεχνική συμμόρφωση και τη διοικητική λογική της εποπτείας της αγοράς.
Το βασικό ερώτημα του παρόντος άρθρου είναι, συνεπώς, υπό ποιες θεσμικές, οργανωτικές και λειτουργικές προϋποθέσεις οι Αρχές Προστασίας Δεδομένων μπορούν να ασκήσουν αποτελεσματικά τους νέους ρόλους που προκύπτουν από τον AI Act. Υποστηρίζεται ότι οι Αρχές αυτές είναι θεσμικά κατάλληλες ιδίως για την άσκηση καθηκόντων προστασίας θεμελιωδών δικαιωμάτων, αρμοδιοτήτων εποπτείας της αγοράς και συντονισμού, πλην όμως η ανάληψή τους δεν μπορεί να θεωρείται αυτονόητη και προϋποθέτει ουσιώδη οργανωτικό μετασχηματισμό και ενίσχυση τεχνικής επάρκειας.

2. Οι απαγορευμένες πρακτικές τεχνητής νοημοσύνης
Κεντρικό στοιχείο του AI Act αποτελεί η κατηγορία των απαγορευμένων πρακτικών τεχνητής νοημοσύνης. Σύμφωνα με το άρθρο 5 του Kανονισμού, ορισμένες χρήσεις τεχνητής νοημοσύνης θεωρούνται ασύμβατες με τις αξίες της Ευρωπαϊκής Ένωσης και απαγορεύονται πλήρως. Η επιλογή του νομοθέτη να θεσπίσει ρητές απαγορεύσεις έχει ιδιαίτερη σημασία, καθώς σηματοδοτεί ότι ορισμένοι κίνδυνοι δεν μπορούν να αντιμετωπιστούν επαρκώς μέσω κατάλληλων μέτρων συμμόρφωσης.
Μεταξύ των απαγορευμένων πρακτικών περιλαμβάνονται συστήματα που χρησιμοποιούν τεχνικές που μπορούν να επηρεάσουν υποσυνείδητα τα άτομα ή σκοπίμως χειριστικές μεθόδους προκειμένου να επηρεάσουν ουσιωδώς τη συμπεριφορά φυσικών προσώπων, κατά τρόπο που ενδέχεται να προκαλέσει σημαντική βλάβη. Αντίστοιχα, απαγορεύονται συστήματα που εκμεταλλεύονται την ευαλωτότητα φυσικών προσώπων ή συγκεκριμένων ομάδων λόγω ηλικίας, αναπηρίας ή κοινωνικοοικονομικής κατάστασης. Ιδιαίτερη πολιτική και νομική βαρύτητα έχει η απαγόρευση συστημάτων κοινωνικής βαθμολόγησης από δημόσιες Αρχές. Η κοινωνική βαθμολόγηση συνδέεται με αξιολόγηση ή ταξινόμηση προσώπων βάσει συμπεριφορών ή χαρακτηριστικών που δεν σχετίζονται αναγκαία με τον επιδιωκόμενο σκοπό και μπορεί να οδηγήσει σε αποκλεισμούς ή άνιση μεταχείριση σε βάθος χρόνου. Εξίσου κρίσιμη είναι η απαγόρευση της ανάπτυξης ή χρήσης συστημάτων που δημιουργούν βάσεις δεδομένων αναγνώρισης προσώπου μέσω μη στοχευμένης συλλογής εικόνων από το διαδίκτυο ή από υλικό κλειστών κυκλωμάτων παρακολούθησης. Η διάταξη αυτή αντανακλά τις έντονες ανησυχίες που είχαν ήδη διατυπωθεί από εποπτικές Αρχές, ερευνητές και οργανισμούς θεμελιωδών δικαιωμάτων ως προς τη μαζική βιομετρική επιτήρηση και την αδιάκριτη εξαγωγή βιομετρικών προτύπων από δημόσια διαθέσιμες εικόνες (βλ. και Ενότητα 7).
Οι πρακτικές που απαγορεύονται από το Άρθρο 5 του Κανονισμού για την Τεχνητή Νοημοσύνη αφορούν τη διάθεση στην αγορά, τη θέση σε λειτουργία ή τη χρήση συγκεκριμένων συστημάτων τεχνητής νοημοσύνης. Όσον αφορά τα συστήματα απομακρυσμένης βιομετρικής ταυτοποίησης σε πραγματικό χρόνο, η απαγόρευση του Άρθρου 5 παράγραφος 1 στοιχείο η΄ εφαρμόζεται μόνο στη χρήση τους.

Οι απαγορεύσεις αυτές δεν έχουν μόνο δηλωτικό χαρακτήρα. Λειτουργούν ως σκληρό όριο του Κανονισμού και καθορίζουν το πεδίο του τεχνολογικά και νομικά ανεπίτρεπτου. Υπό την έννοια αυτή, αποτελούν το πρώτο επίπεδο κανονιστικής παρέμβασης του AI Act και βασικό σημείο αναφοράς για κάθε εθνική Αρχή που καλείται να εποπτεύσει την εφαρμογή του. Δεδομένου ότι στην συντριπτική τους πλειοψηφία οι απαγορευμένες πρακτικές αυτές αφορούν συστήματα τεχνητής νοημοσύνης μέσω των οποίων πραγματοποιείται και επεξεργασία προσωπικών δεδομένων, είναι προφανές ότι έχει παράλληλη εφαρμογή και ο GDPR μέσω των Αρχών Προστασίας Δεδομένων.
Σελ. 183. Τα συστήματα τεχνητής νοημοσύνης υψηλού κινδύνου
Τα συστήματα τεχνητής νοημοσύνης υψηλού κινδύνου αποτελούν τον πυρήνα της κανονιστικής παρέμβασης του AI Act. Σύμφωνα με το άρθρο 6 του Kανονισμού, ένα σύστημα τεχνητής νοημοσύνης χαρακτηρίζεται ως υψηλού κινδύνου όταν είτε αποτελεί προϊόν ή στοιχείο ασφαλείας προϊόντος που εμπίπτει σε ενωσιακή νομοθεσία εναρμόνισης είτε χρησιμοποιείται σε τομείς που απαριθμούνται στο Παράρτημα III του Κανονισμού. Οι τομείς αυτοί περιλαμβάνουν, μεταξύ άλλων, την εκπαίδευση και την επαγγελματική κατάρτιση, την απασχόληση και τη διαχείριση εργαζομένων, την πρόσβαση σε βασικές ιδιωτικές και δημόσιες υπηρεσίες, την επιβολή του νόμου, τη διαχείριση συνόρων, τη δικαιοσύνη και τις δημοκρατικές διαδικασίες. Η κοινή συνισταμένη των τομέων αυτών είναι ότι οι αποφάσεις ή οι αξιολογήσεις που παράγονται από τα σχετικά συστήματα μπορούν να επηρεάσουν άμεσα τη νομική ή κοινωνική θέση των πολιτών.
Για τα συστήματα υψηλού κινδύνου, ο Κανονισμός προβλέπει ένα πλέγμα υποχρεώσεων συμμόρφωσης για τους παρόχους και τους φορείς ανάπτυξης ή χρήσης συστημάτων Τεχνητής Νοημοσύνης. Μεταξύ των βασικών απαιτήσεων περιλαμβάνονται: η εφαρμογή συστήματος διαχείρισης κινδύνου, η υιοθέτηση κατάλληλων πρακτικών διακυβέρνησης δεδομένων, η τήρηση τεχνικής τεκμηρίωσης, η καταγραφή γεγονότων, η παροχή επαρκούς πληροφόρησης στους χρήστες, η εξασφάλιση ανθρώπινης εποπτείας και η επίτευξη κατάλληλου επιπέδου ακρίβειας, ανθεκτικότητας και κυβερνοασφάλειας.

Η κανονιστική λογική είναι σαφής. Ο νομοθέτης δεν επιχειρεί να απαγορεύσει κάθε χρήση τεχνητής νοημοσύνης με δυνητικές επιπτώσεις στα δικαιώματα των πολιτών, αλλά να επιβάλει αυξημένες οργανωτικές και τεχνικές εγγυήσεις στα συστήματα που ενέχουν ιδιαίτερο ρυθμιστικό κίνδυνο. Κατά συνέπεια, τα συστήματα υψηλού κινδύνου αποτελούν το κατεξοχήν πεδίο στο οποίο η διοικητική εποπτεία αποκτά ουσιαστικό περιεχόμενο.
4. Το Παράρτημα Ι και η σύνδεση με το Νέο Νομοθετικό Πλαίσιο
Η αρχιτεκτονική του AI Act συνδέεται στενά με το Νέο Νομοθετικό Πλαίσιο της Ευρωπαϊκής Ένωσης, το οποίο διέπει την εναρμόνιση της νομοθεσίας για τα προϊόντα στην ενιαία αγορά. Το Παράρτημα Ι του Κανονισμού απαριθμεί τη σχετική τομεακή νομοθεσία της Ένωσης, όπως τη νομοθεσία για τα ιατροτεχνολογικά προϊόντα, τα μηχανήματα, τα παιχνίδια ή άλλες κατηγορίες ρυθμιζόμενων προϊόντων. Όταν ένα σύστημα τεχνητής νοημοσύνης αποτελεί προϊόν ή στοιχείο ασφαλείας προϊόντος που εμπίπτει σε μία από τις πράξεις αυτές και υπόκειται σε αξιολόγηση συμμόρφωσης από τρίτο φορέα, τότε το σύστημα χαρακτηρίζεται υψηλού κινδύνου δυνάμει του άρθρου 6. Με τον τρόπο αυτό, ο ενωσιακός νομοθέτης εντάσσει τις απαιτήσεις του AI Act στις ήδη υφιστάμενες διαδικασίες συμμόρφωσης και αποφεύγει τον κανονιστικό κατακερματισμό.
Η σύνδεση αυτή έχει και θεσμικές συνέπειες. Οι διαδικασίες ελέγχου, η τεχνική τεκμηρίωση, η δήλωση συμμόρφωσης και η σήμανση CE (Conformité Européenne) αποκτούν βαρύτητα και για τον χώρο της τεχνητής νοημοσύνης. Η σήμανση CE είναι υποχρεωτική ένδειξη συμμόρφωσης που δηλώνει ότι ένα προϊόν πληροί τις ευρωπαϊκές προδιαγραφές υγείας, ασφάλειας και περιβαλλοντικής προστασίας, οπότε επιτρέπεται η ελεύθερη κυκλοφορία του στην αγορά της ΕΕ/ΕΟΧ. Αυτό σημαίνει ότι η εποπτεία των σχετικών συστημάτων δεν μπορεί να περιορίζεται σε αφηρημένες αξιολογήσεις δικαιωμάτων, αλλά πρέπει να λαμβάνει υπόψη και τις δομές του δικαίου προϊόντων και της αγοράς.
5. Το πλαίσιο διακυβέρνησης του AI Act
Το σύστημα διακυβέρνησης που θεσπίζει ο AI Act είναι πολυεπίπεδο και αποσκοπεί στη συνεκτική εφαρμογή του Κανονισμού σε ολόκληρη την Ευρωπαϊκή Ένωση. Σε επίπεδο Ευρωπαϊκής Ένωσης, κομβικό ρόλο διαδραματίζει η Ευρωπαϊκή Υπηρεσία Τεχνητής Νοημοσύνης (AI Office) της Ευρωπαϊκής Επιτροπής, ιδίως σε σχέση με τα μοντέλα γενικού σκοπού τεχνητής νοημοσύνης, καθώς και ως μηχανισμός τεχνικής εμπειρογνωμοσύνης και υποστήριξης της ομοιόμορφης εφαρμογής του Κανονισμού. Παράλληλα, το Ευρωπαϊκό Συμβούλιο Τεχνητής Νοημοσύνης (AI Board) λειτουργεί ως φόρουμ συνεργασίας και συντονισμού μεταξύ των κρατών μελών και της Επιτροπής.
Σε εθνικό επίπεδο, τα κράτη μέλη υποχρεούνται να ορίσουν τις αρμόδιες εθνικές Αρχές, στις οποίες περιλαμβάνονται ιδίως οι Αρχές Εποπτείας της Αγοράς, οι Κοινοποιούσες Αρχές και οι Αρχές Θεμελιωδών Δικαιωμάτων, καθώς και να καθορίσουν ένα Ενιαίο Σημείο Επαφής για τους σκοπούς του Κανονισμού. Το σύστημα αυτό επιδιώκει να συνδυάσει την ευρωπαϊκή συνοχή με την εθνική διοικητική ευθύνη. Η εφαρμογή του AI Act δεν εξαρτάται μόνο από τη νομική ερμηνεία
Σελ. 19 των διατάξεών του, αλλά και από την αποτελεσματική διασύνδεση διοικητικών μηχανισμών που προέρχονται από διαφορετικές ρυθμιστικές παραδόσεις: την προστασία θεμελιωδών δικαιωμάτων, την εποπτεία προϊόντων, την κυβερνοασφάλεια και την ψηφιακή ρύθμιση.

Σε αυτό ακριβώς το σημείο καθίσταται κρίσιμος ο ρόλος των Αρχών Προστασίας Δεδομένων. Η συμμετοχή τους στο νέο θεσμικό οικοσύστημα μπορεί να ενισχύσει την προστασία θεμελιωδών δικαιωμάτων στο πλαίσιο εφαρμογής του AI Act. Ωστόσο, η αποτελεσματική ένταξή τους στο πολυεπίπεδο αυτό σύστημα προϋποθέτει σαφή οριοθέτηση αρμοδιοτήτων και συντονισμό με Αρχές που λειτουργούν βάσει διαφορετικής κανονιστικής λογικής.
6. Η σχέση μεταξύ FRIA και DPIA
Η εφαρμογή του AI Act εισάγει επίσης, μεταξύ άλλων, ένα νέο εργαλείο προληπτικής αξιολόγησης: την Εκτίμηση Επιπτώσεων στα Θεμελιώδη Δικαιώματα (Fundamental Rights Impact Assessment – FRIA). Η FRIA παρουσιάζει εμφανείς λειτουργικές συγγένειες με την Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων (Data Protection Impact Assessment – DPIA) του άρθρου 35 GDPR, χωρίς όμως να ταυτίζεται με αυτήν. Η DPIA αποτελεί κεντρικό προληπτικό εργαλείο του GDPR. Σκοπός της είναι να υποχρεώσει τον υπεύθυνο επεξεργασίας να εντοπίσει, πριν από την έναρξη της επεξεργασίας, τους κινδύνους για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων και να υιοθετήσει κατάλληλα μέτρα μετριασμού.

Η FRIA κινείται στην ίδια λογική ex ante αξιολόγησης, αλλά το αντικείμενό της είναι διαφορετικό, αφού σχετίζεται με συγκεκριμένα συστήματα τεχνητής νοημοσύνης υψηλού κινδύνου. Συνεπώς, η υποχρέωση εκπόνησης FRIA δεν προϋποθέτει την ύπαρξη επεξεργασίας προσωπικών δεδομένων, ενώ η DPIA απαιτείται σε κάθε περίπτωση όπου η επεξεργασία προσωπικών δεδομένων ενδέχεται να δημιουργεί υψηλό κίνδυνο, ακόμη και αν δεν εμπλέκεται σύστημα ΤΝ υψηλού κινδύνου. Επίσης, η DPIA έχει ως αντικείμενο την αξιολόγηση των επιπτώσεων των προβλεπόμενων πράξεων επεξεργασίας στα υποκείμενα των δεδομένων και στα θεμελιώδη δικαιώματά τους, συμπεριλαμβανομένης της προστασίας των προσωπικών δεδομένων. Ως εκ τούτου, μπορεί να καλύπτει όχι μόνο τις πράξεις που υλοποιούνται μέσω ενός συστήματος ΤΝ, αλλά το σύνολο των πράξεων που εξυπηρετούν τον τελικό σκοπό της επεξεργασίας. Η FRIA επικεντρώνεται στον εντοπισμό των ειδικών κινδύνων για τα δικαιώματα φυσικών προσώπων που ενδέχεται να επηρεαστούν, καθώς και στον καθορισμό μέτρων για τον περιορισμό των κινδύνων αυτών, λαμβάνοντας υπόψη και επιπτώσεις σε ομάδες ατόμων και, ενδεχομένως, συστημικές επιδράσεις στα θεμελιώδη δικαιώματα. Οι δύο διαδικασίες δεν είναι εναλλακτικές αλλά, σε πολλές περιπτώσεις, συμπληρωματικές. Όταν ένα σύστημα τεχνητής νοημοσύνης υψηλού κινδύνου επεξεργάζεται προσωπικά δεδομένα και ταυτόχρονα ενδέχεται να επιφέρει ευρύτερες ή συστημικές επιπτώσεις στα θεμελιώδη δικαιώματα, μπορεί να απαιτείται τόσο DPIA όσο και FRIA.
Η εμπειρία των Αρχών Προστασίας Δεδομένων στην αξιολόγηση DPIA είναι, συνεπώς, καθοριστικής σημασίας. Η σύνδεση αυτή είναι δηλωτική για τη θεσμική θέση των Αρχών Προστασίας Δεδομένων στο οικοσύστημα του AI Act. Οι Αρχές αυτές διαθέτουν ήδη εμπειρία σε προληπτικά εργαλεία αξιολόγησης κινδύνου, γεγονός που τις καθιστά κατάλληλες να συμβάλουν στην ανάπτυξη ερμηνευτικών και ελεγκτικών προσεγγίσεων και για τη FRIA. Πλην όμως, η μεταφορά της εμπειρίας αυτής απαιτεί διεπιστημονική προσέγγιση και ειδική αντίληψη των κινδύνων που δημιουργούν τα συστήματα τεχνητής νοημοσύνης.
7. Η εμπειρία από την εφαρμογή του GDPR και η υπόθεση Clearview
Η εφαρμογή του GDPR έχει ήδη δημιουργήσει σημαντική πρακτική εμπειρία σε ζητήματα που σχετίζονται με την εποπτεία αλγοριθμικών και αυτοματοποιημένων συστημάτων. Οι Αρχές Προστασίας Δεδομένων έχουν έρθει αντιμέτωπες με ερωτήματα που αφορούν την αυτοματοποιημένη λήψη αποφάσεων, την κατάρτιση προφίλ, την αδιαφάνεια πολύπλοκων μοντέλων και την έκταση της επεξεργασίας βιομετρικών δεδομένων. Χαρακτηριστικό παράδειγμα των προκλήσεων αυτών αποτελεί η υπόθεση της εταιρείας Clearview AI. Η εταιρεία ανέπτυξε σύστημα αναγνώρισης προσώπου βασισμένο στη μαζική συλλογή εικόνων από το διαδίκτυο και από πλατφόρμες κοινωνικής δικτύωσης, δημιουργώντας μια εξαιρετικά εκτεταμένη βάση βιομετρικών προτύπων. Ευρωπαϊκές Αρχές Προστασίας Δεδομένων διαπίστωσαν ότι η πρακτική αυτή παραβίαζε βασικές αρχές του GDPR, ιδίως την αρχή της νομιμότητας, της διαφάνειας και της ελαχιστοποίησης των δεδομένων.

Ο ΑΙ Αct απαγορεύει ρητώς τη δημιουργία βάσεων δεδομένων αναγνώρισης προσώπου μέσω μη στοχευμένης συλλογής εικόνων από το διαδίκτυο ή από συστήματα παρακολούθησης. Υπό την έννοια αυτή, η υπόθεση Clearview λειτουργεί ως παράδειγ
Σελ. 20 μα συνέχειας, αλλά και μετατόπισης, μεταξύ του κανονιστικού πλαισίου του GDPR και της νέας αρχιτεκτονικής του AI Act: προβλήματα που αναδείχθηκαν αρχικά ως ζητήματα προστασίας δεδομένων αποκτούν πλέον και αυτοτελή θέση στο δίκαιο της τεχνητής νοημοσύνης.

8. Οι Αρχές Προστασίας Δεδομένων ως Αρχές Προστασίας Θεμελιωδών Δικαιωμάτων
Ο AI Act προβλέπει τη συμμετοχή Αρχών Προστασίας Θεμελιωδών Δικαιωμάτων στο σύστημα διακυβέρνησης της τεχνητής νοημοσύνης. Ως Αρχές Προστασίας Θεμελιωδών Δικαιωμάτων, οι Αρχές Προστασίας Δεδομένων μπορούν να αξιολογούν τις επιπτώσεις των συστημάτων τεχνητής νοημοσύνης στα δικαιώματα των πολιτών και να εξετάζουν τις σχετικές εκτιμήσεις επιπτώσεων που διενεργούνται για συστήματα υψηλού κινδύνου. Ο ρόλος αυτός είναι κατεξοχήν δικαιωματικός και συνδέεται με τη γενικότερη αποστολή των Αρχών αυτών ως θεσμικών εγγυητών του κράτους δικαίου στον ψηφιακό χώρο.
Η προστασία δεδομένων προσωπικού χαρακτήρα αποτελεί αναπόσπαστο μέρος του ευρωπαϊκού συστήματος θεμελιωδών δικαιωμάτων, όπως κατοχυρώνεται στον Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης. Ως εκ τούτου, οι Αρχές Προστασίας Δεδομένων καλούνται να αξιολογούν όχι μόνο ζητήματα νομιμότητας επεξεργασίας, αλλά και ευρύτερες επιπτώσεις σε δικαιώματα όπως η ιδιωτικότητα, η μη διάκριση και η ανθρώπινη αξιοπρέπεια. Η εμπειρία αυτή αποκτά ιδιαίτερη σημασία στο πλαίσιο της τεχνητής νοημοσύνης, όπου οι κίνδυνοι δεν περιορίζονται στην επεξεργασία δεδομένων, αλλά εκτείνονται σε ζητήματα διαφάνειας, λογοδοσίας και αλγοριθμικής προκατάληψης.
Σχεδόν σε όλα τα κράτη μέλη, οι Αρχές Προστασίας Δεδομένων εμφανίζονται ως θεσμικά πρόσφορες για την ανάληψη του ρόλου αυτού, λόγω της εμπειρίας τους στην προστασία της ιδιωτικής ζωής και άλλων δικαιωμάτων στο ψηφιακό περιβάλλον. Η εμπειρία των Αρχών Προστασίας Δεδομένων σε υποθέσεις profiling, βιομετρικής επεξεργασίας, αλγοριθμικών αποφάσεων και εκτιμήσεων αντικτύπου τις καθιστά ιδιαίτερα κατάλληλες να συμβάλουν στην εφαρμογή του AI Act. Ωστόσο, η καταλληλότητα αυτή δεν πρέπει να θεωρείται ούτε αυτονόητη ούτε αυτάρκης. Η εποπτεία θεμελιωδών δικαιωμάτων στον χώρο της τεχνητής νοημοσύνης απαιτεί συχνά και τεχνική κατανόηση των ίδιων των συστημάτων, καθώς και δυνατότητα συνεργασίας με άλλες αρμόδιες Αρχές ή εμπειρογνώμονες. Υπό την έννοια αυτή, οι Αρχές Προστασίας Δεδομένων μπορούν πράγματι να αποτελέσουν θεσμικά ισχυρό πυρήνα προστασίας θεμελιωδών δικαιωμάτων στο πλαίσιο του AI Act.
9. Ο ρόλος των Αρχών Προστασίας Δεδομένων στα Ρυθμιστικά Δοκιμαστήρια Τεχνητής Νοημοσύνης
Ιδιαίτερη θέση στο κανονιστικό πλαίσιο του AI Act καταλαμβάνουν τα λεγόμενα ρυθμιστικά δοκιμαστήρια τεχνητής νοημοσύνης (AI regulatory sandboxes), δηλαδή ελεγχόμενα κανονιστικά περιβάλλοντα ανάπτυξης και δοκιμής συστημάτων τεχνητής νοημοσύνης υπό την εποπτεία των αρμόδιων Αρχών. Τα δοκιμαστήρια αυτά επιδιώκουν να συνδυάσουν την καινοτομία με την κανονιστική συμμόρφωση, επιτρέποντας σε παρόχους, ιδίως μικρομεσαίες επιχειρήσεις και νεοφυείς εταιρείες, να αναπτύσσουν και να δοκιμάζουν νέα συστήματα υπό πραγματικές ή ημι-πραγματικές συνθήκες, με παράλληλη εποπτική καθοδήγηση.

Κατά τη λειτουργία των sandboxes, όταν τα υπό δοκιμή συστήματα βασίζονται σε επεξεργασία προσωπικών δεδομένων ή/και ενέχουν αυξημένο κίνδυνο για την ιδιωτικότητα, τη μη διάκριση ή άλλα θεμελιώδη δικαιώματα, η συμμετοχή των Αρχών Προστασίας Δεδομένων αναμένεται να συμβάλει στην ενσωμάτωση των σχετικών εγγυήσεων ήδη από το στάδιο του σχεδιασμού. Παράλληλα, τα δοκιμαστήρια αυτά μπορούν να επιτελέσουν και λειτουργία θεσμικής μάθησης. Για τις ίδιες τις Αρχές, προσφέρουν τη δυνατότητα απόκτησης τεχνικής και ρυθμιστικής εμπειρίας πριν από την πλήρη ενεργοποίηση πιο απαιτητικών αρμοδιοτήτων εποπτείας. Για τους συμμετέχοντες φορείς, δημιουργούν ένα πλαίσιο νομικής ασφάλειας και έγκαιρης καθοδήγησης.
Η συμμετοχή των Αρχών Προστασίας Δεδομένων στα sandboxes είναι, επομένως, ιδιαιτέρως πρόσφορη. Δεν αρκεί να στηριχθεί μόνο στην εμπειρία από τον GDPR, καθώς απαιτεί και θεσμική ετοιμότητα για συνεργασία με άλλες αρμόδιες Αρχές καθώς και τεχνική ικανότητα κατανόησης της λειτουργίας των ίδιων των συστημάτων τεχνητής νοημοσύνης.
10. Οι Αρχές Προστασίας Δεδομένων ως Αρχές Εποπτείας της Αγοράς
Πέραν του ρόλου τους ως Αρχών Προστασίας Θεμελιωδών δικαιωμάτων, οι Αρχές Προστασίας Δεδομένων μπορούν, να ορισθούν και ως Αρχές Εποπτείας της Αγοράς (Market Surveillance Authorities) για συστήματα τεχνητής νοημοσύνης υψηλού κινδύνου. Η δυνατότητα αυτή είναι θεσμικά σημαντική, αλλά δεν είναι αυτονόητη. Η εποπτεία της αγοράς προέρχεται από διαφορετική κανονιστική παράδοση από εκείνη της προστασίας δεδομένων. Ενώ ο GDPR οργανώνεται γύρω από τη νομιμότητα της επεξεργασίας και την προστασία δικαιωμάτων
Σελ. 21των υποκειμένων, η εποπτεία της αγοράς εντάσσεται στη λογική του δικαίου προϊόντων και του ελέγχου συμμόρφωσης τεχνολογικών αντικειμένων που κυκλοφορούν στην ενιαία αγορά.
Η λειτουργία της εποπτείας της αγοράς διέπεται, σε γενικό επίπεδο, από τον Κανονισμό (ΕΕ) 2019/1020 για την εποπτεία της αγοράς και τη συμμόρφωση προϊόντων. Στο πλαίσιο αυτό, η αρμόδια Αρχή δεν εξετάζει μόνο αφηρημένα νομικά ζητήματα, αλλά κινείται μέσα από μια αλληλουχία διοικητικών και τεχνικών βημάτων: στοχοθέτηση, επιλογή ή εντοπισμό προϊόντων ή συστημάτων, πρόσβαση στην τεχνική τεκμηρίωση, αξιολόγηση συμμόρφωσης και, εφόσον απαιτείται, λήψη μέτρων επιβολής. Στο επίπεδο της εποπτείας της αγοράς, κρίσιμο ρόλο έχουν και οι μηχανισμοί διοικητικής συνεργασίας που έχουν αναπτυχθεί στο πλαίσιο του ενωσιακού δικαίου προϊόντων, όπως οι ομάδες administrative cooperation (ADCOs) και τα σχετικά συστήματα ανταλλαγής πληροφοριών, ιδίως το ICSMS. Η ενσωμάτωση του AI Act σε αυτό το περιβάλλον επιβεβαιώνει ότι η διακυβέρνηση της τεχνητής νοημοσύνης δεν οργανώνεται αποκλειστικά γύρω από ατομικά δικαιώματα ή ατομικές καταγγελίες, αλλά και γύρω από μηχανισμούς προληπτικής διοικητικής εποπτείας, τυποποίησης και διαχείρισης κινδύνου.
Η λογική αυτή έχει μεγάλη σημασία για τα συστήματα τεχνητής νοημοσύνης. Διαφοροποιημένη από τη λογική του GDPR, όπου η παρέμβαση των εποπτικών Αρχών ενεργοποιείται συχνά κατόπιν καταγγελίας ή συγκεκριμένης παραβίασης δικαιωμάτων, το σύστημα του AI Act εστιάζει περισσότερο στην προληπτική διαχείριση συστημικών κινδύνων και στη διοικητική εποπτεία μη συμμορφούμενων τεχνολογικών συστημάτων. Η μετάβαση αυτή από την προστασία έναντι ατομικής βλάβης προς τη διαχείριση συστημικών κινδύνων μεταβάλλει και τον ίδιο τον ρόλο της εποπτικής Αρχής. Για μια Αρχή Προστασίας Δεδομένων, η ανάληψη καθηκόντων Αρχής Εποπτείας της Αγοράς προϋποθέτει, συνεπώς, ουσιαστική διεύρυνση της θεσμικής της αποστολής. Η Αρχή πρέπει να είναι σε θέση να εξετάζει τεχνικούς φακέλους, να αξιολογεί διαδικασίες αξιολόγησης της συμμόρφωσης (conformity assessment), να κατανοεί πρότυπα, να αναλύει τη λειτουργία μοντέλων και, εφόσον απαιτείται, να συνεργάζεται με μηχανικούς, επιστήμονες δεδομένων (data scientists) ή εργαστήρια δοκιμών (testing laboratories). Οι μηχανισμοί αναφοράς σοβαρών περιστατικών και δυσλειτουργιών συστημάτων τεχνητής νοημοσύνης υψηλού κινδύνου μπορούν επίσης να αποτελέσουν κρίσιμη πηγή ενεργοποίησης των αρμοδιοτήτων των Αρχών Εποπτείας της Αγοράς και να συνδεθούν με τη λογική της μεταγενέστερης εποπτείας συμμόρφωσης.
Τα ανωτέρω δεν οδηγούν βέβαια στο συμπέρασμα ότι οι Αρχές Προστασίας Δεδομένων δεν συνίσταται να αναλαμβάνουν τέτοιες αρμοδιότητες. Απλώς καθίσταται σαφές ότι η επιλογή αυτή δεν πρέπει να στηρίζεται στην παραδοχή ότι η εμπειρία από τον GDPR μεταφέρεται αυτομάτως στο πεδίο του δικαίου προϊόντων. Η ανάθεση ρόλου Αρχής Εποπτείας της Αγοράς σε μια Αρχή Προστασίας Δεδομένων είναι θεσμικά εφικτή, αλλά υπό την προϋπόθεση ουσιαστικής ενίσχυσης της τεχνικής και οργανωτικής ικανότητάς της.
11. Όταν η Αρχή Προστασίας Δεδομένων λειτουργεί ως Αρχή Προστασίας Θεμελιωδών Δικαιωμάτων και ως Αρχή Εποπτείας της Αγοράς
Η ανάθεση στην ίδια Αρχή τόσο του ρόλου της Αρχής Προστασίας Θεμελιωδών Δικαιωμάτων όσο και του ρόλου της Αρχής Εποπτείας της Αγοράς συνιστά μία από τις σύνθετες θεσμικές επιλογές στο πλαίσιο του AI Act. Η επιλογή αυτή παρουσιάζει εμφανή πλεονεκτήματα, αλλά και προκλήσεις.
Το βασικό πλεονέκτημα έγκειται στη δυνατότητα συγκέντρωσης τεχνογνωσίας. Ένα σύστημα τεχνητής νοημοσύνης υψηλού κινδύνου δεν είναι μόνο τεχνικό προϊόν ούτε μόνο πηγή επιπτώσεων στα δικαιώματα, αλλά είναι και τα δύο ταυτόχρονα. Μια Αρχή που μπορεί να κατανοεί συγχρόνως τη λογική της προστασίας θεμελιωδών δικαιωμάτων και τη λογική της τεχνικής συμμόρφωσης ενδέχεται να παρεμβαίνει ταχύτερα, πιο συνεκτικά και με λιγότερους διαθεσμικούς κατακερματισμούς. Ταυτόχρονα, η συνύπαρξη των δύο ρόλων δημιουργεί σημαντικές απαιτήσεις λειτουργικού διαχωρισμού. Ο ρόλος της Αρχής Προστασίας Θεμελιωδών Δικαιωμάτων είναι κατεξοχήν δικαιωματικός και εστιάζει στις επιπτώσεις των συστημάτων τεχνητής νοημοσύνης στην ιδιωτικότητα, στη μη διάκριση, στην ελευθερία έκφρασης και γενικότερα στα δικαιώματα του Χάρτη. Αντίθετα, ο ρόλος της Αρχής Εποπτείας της Αγοράς αφορά τη συμμόρφωση του συστήματος ως προϊόντος με οργανωτικές και τεχνικές απαιτήσεις, και στην επιβολή κυρώσεων όταν απαιτείται. Οι οπτικές αυτές είναι συμπληρωματικές, αλλά διαφορετικές.
Για τον λόγο αυτό, όταν η ίδια εποπτική Αρχή ασκεί και τους δύο ρόλους, απαιτούνται σαφείς εσωτερικές οργανωτικές εγγυήσεις: διαφορετικές ομάδες χειρισμού, διακριτές ροές εργασίας, πρωτόκολλα πρόσβασης στην τεχνική τεκμηρίωση, σαφείς κανόνες εσωτερικής διαβίβασης πληροφοριών και λειτουργικός διαχωρισμός στη λήψη αποφάσεων, . Οι λεγόμενοι chinese
Σελ. 22walls δεν υποδηλώνουν απόλυτη απομόνωση, αλλά επαρκή θεσμική αυτοτέλεια ώστε να αποφεύγεται σύγχυση διαδικασιών, προδικασία ή αμφιβολία ως προς την αμεροληψία της Αρχής.
Κατά συνέπεια, η συνδυασμένη άσκηση των δύο ρόλων μπορεί να είναι θεσμικά επωφελής, αλλά μόνον εφόσον υποστηρίζεται από ουσιαστική εσωτερική αναδιοργάνωση. Διαφορετικά, η συσσώρευση αρμοδιοτήτων κινδυνεύει να οδηγήσει όχι σε συνεκτική εποπτεία, αλλά σε θεσμική υπερφόρτωση.
12. Η Αρχή Προστασίας Δεδομένων ως Eνιαίο Σημείο Επαφής
Μία ακόμη κρίσιμη θεσμική διάσταση του AI Act είναι η απαίτηση ορισμού εθνικού Ενιαίου Σημείου Επαφής (Single Point of Contact – SPoC) . Ο ρόλος αυτός δεν έχει απλώς επικουρικό ή γραμματειακό χαρακτήρα. Συνιστά κεντρικό μηχανισμό διασύνδεσης μεταξύ των εθνικών Αρχών, της Ευρωπαϊκής Επιτροπής, του AI Office και των Αρχών άλλων κρατών μελών. Από λειτουργική άποψη, η ανάθεση του ρόλου αυτού σε Αρχή Προστασίας Δεδομένων μπορεί να εμφανίζεται πρόσφορη. Οι Αρχές αυτές διαθέτουν ήδη εμπειρία σε διασυνοριακούς μηχανισμούς συνεργασίας, ιδίως λόγω της εφαρμογής του GDPR, και έχουν εξοικειωθεί με πολύπλοκες διαδικασίες ανταλλαγής πληροφοριών και θεσμικού συντονισμού. Η εμπειρία αυτή μπορεί να αξιοποιηθεί και στο πλαίσιο του AI Act.
Ωστόσο, ο ρόλος του SPoC δεν πρέπει να συγχέεται με τον ρόλο της Αρχής Προστασίας Θεμελιωδών Δικαιωμάτων ή της Αρχής Εποπτείας της Αγοράς. Πρόκειται πρωτίστως για ρόλο διοικητικού συντονισμού. Αν ανατεθεί σε Αρχή Προστασίας Δεδομένων, η τελευταία δεν λειτουργεί πλέον μόνο ως εποπτικός φορέας αλλά και ως θεσμικός κόμβος ροής πληροφοριών και διασύνδεσης. Αυτό συνεπάγεται πρόσθετες οργανωτικές απαιτήσεις: χαρτογράφηση των αρμόδιων εθνικών φορέων, καθιέρωση σταθερών καναλιών επικοινωνίας, ανάπτυξη κοινών διαδικασιών και δυνατότητα ταχείας ανταπόκρισης σε υποθέσεις με διασυνοριακή διάσταση.
Η επιλογή αυτή μπορεί να είναι θεσμικά εύλογη, ιδίως σε κράτη μέλη όπου οι Αρχές Προστασίας Δεδομένων διαθέτουν ήδη ισχυρή διοικητική και διασυνοριακή εμπειρία. Δεν είναι, όμως, ουδέτερη. Ενισχύει περαιτέρω τη θέση τους στο θεσμικό οικοσύστημα του AI Act και, ως εκ τούτου, προϋποθέτει ανάλογη ενίσχυση πόρων και διοικητικής υποστήριξης.
13. Προκλήσεις εφαρμογής και εποπτείας του AI Act
Η εφαρμογή του AI Act δημιουργεί ένα πεδίο εποπτείας διαφορετικό από εκείνα που είναι ήδη γνωστά στις παραδοσιακές διοικητικές Αρχές. Η τεχνητή νοημοσύνη δεν αποτελεί αποκλειστικά ζήτημα προστασίας δεδομένων ούτε αποκλειστικά ζήτημα τεχνικής ασφάλειας προϊόντων. Πρόκειται για σύνθετο ρυθμιστικό αντικείμενο που απαιτεί συνδυασμό νομικής ανάλυσης, τεχνικής κατανόησης και θεσμικού συντονισμού.
Η πρώτη μεγάλη πρόκληση αφορά την τεχνική επάρκεια. Για να είναι σε θέση μια Αρχή να αξιολογεί ουσιαστικά ένα σύστημα τεχνητής νοημοσύνης υψηλού κινδύνου, δεν αρκεί η κατοχή νομικής γνώσης. Απαιτείται κατανόηση της αρχιτεκτονικής συστημάτων, των datasets, της λογικής μηχανικής μάθησης, της τεχνικής τεκμηρίωσης και των διαδικασιών αξιολόγησης συμμόρφωσης. Η ανάγκη αυτή είναι ιδιαιτέρως έντονη όταν η Αρχή καλείται να ασκήσει καθήκοντα εποπτείας της αγοράς.
Η δεύτερη πρόκληση αφορά την οργανωτική επάρκεια. Μια Αρχή που ενδέχεται να λειτουργεί ταυτόχρονα ως Αρχή Προστασίας Θεμελιωδών Δικαιωμάτων, ως Αρχή Εποπτείας της Αγοράς και, ενδεχομένως, ως Ενιαίο Σημείο Επαφής χρειάζεται σαφή εσωτερική κατανομή αρμοδιοτήτων, επαρκές προσωπικό, λειτουργικούς διαχωρισμούς και δομημένες διαδικασίες λήψης αποφάσεων. Η απλή τυπική ανάθεση αρμοδιοτήτων δεν επαρκεί, καθώς απαιτείται πραγματική μετάβαση και μετασχηματισμός.
Η τρίτη πρόκληση αφορά τη διαθεσμική συνεργασία. Η εφαρμογή του AI Act προϋποθέτει συνεργασία με αρχές προστασίας καταναλωτών, κυβερνοασφάλειας, τομεακές ρυθμιστικές αρχές, φορείς πιστοποίησης και μηχανισμούς ευρωπαϊκού συντονισμού. Επομένως, η αποτελεσματική εποπτεία δεν εξαρτάται μόνο από τις εσωτερικές δυνατότητες της κάθε Αρχής, αλλά και από τη δυνατότητά της να ενταχθεί σε σταθερά δίκτυα συνεργασίας.
Τέλος, υπάρχει επίσης η πρόκληση της ιεράρχησης των εποπτικών πόρων. Ο AI Act δεν μπορεί να εφαρμοσθεί αποτελεσματικά χωρίς στοχοθέτηση βάσει του κινδύνου (risk-based targeting). Οι αρμόδιες Αρχές οφείλουν να αναπτύξουν στρατηγικές προτεραιοποίησης, δίνοντας έμφαση στα συστήματα, στους τομείς και στους φορείς που ενέχουν τη μεγαλύτερη πιθανότητα σοβαρής μη συμμόρφωσης ή βλάβης σε πρόσωπα. Η αναλογικότητα, συνεπώς, δεν αφορά μόνο την επιβολή μέτρων, αλλά και τον ίδιο τον σχεδιασμό της εποπτείας.
14. Συμπεράσματα
Ο AI Act εισάγει ένα νέο κανονιστικό μοντέλο για τη ρύθμιση της τεχνητής νοημοσύνης στην Ευρωπαϊκή Ένωση, το οποίο συνδυάζει τη λογική της προστασίας θεμελιωδών δικαιωμάτων με τη λογική του δικαίου ασφάλειας προϊόντων και της εποπτείας της αγοράς. Στο νέο αυτό πλαίσιο, οι Αρχές Προστασίας Δεδομένων καταλαμβάνουν κεντρική θέση, λόγω της εμπειρίας τους στην εποπτεία ψηφιακών τεχνολογιών, στην αξιολόγηση αλγοριθμικών πρακτικών και στην προστασία των δικαιωμάτων των πολιτών.
Η θεσμική αυτή θέση δεν είναι, ωστόσο, ενιαία, ούτε αυτονόητη. Οι Αρχές Προστασίας Δεδομένων εμφανίζονται κατάλληλες για την ανάληψη ρόλων που σχετίζονται με την προστασία θεμελιωδών δικαιωμάτων καθώς και τον διοικητικό συντονισμό. Η
Σελ. 23ανάθεση αρμοδιοτήτων εποπτείας της αγοράς απαιτεί ουσιώδη μετατόπιση από τη λογική της κλασικής εποπτείας του GDPR προς ένα περιβάλλον τεχνικής συμμόρφωσης και διαχείρισης συστημικού κινδύνου.
Η αποτελεσματική ένταξη των Αρχών Προστασίας Δεδομένων στο κανονιστικό οικοσύστημα που διαμορφώνει ο AI Act προϋποθέτει την ανάπτυξη επαρκούς τεχνικής εξειδίκευσης, την προσαρμογή της οργανωτικής τους δομής και τη διασφάλιση σαφούς λειτουργικού διαχωρισμού μεταξύ των διαφορετικών εποπτικών ρόλων που καλούνται να ασκήσουν. Υπό τις προϋποθέσεις αυτές, οι Αρχές Προστασίας Δεδομένων μπορούν να εξελιχθούν σε κομβικούς θεσμούς της ευρωπαϊκής διακυβέρνησης της τεχνητής νοημοσύνης, συμβάλλοντας στην ισορροπία μεταξύ τεχνολογικής καινοτομίας, προστασίας θεμελιωδών δικαιωμάτων και εύρυθμης λειτουργίας της ενιαίας αγοράς.
Για την ελληνική έννομη τάξη, η ενδεχόμενη ανάθεση στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αρμοδιοτήτων που υπερβαίνουν το παραδοσιακό πλαίσιο εποπτείας του GDPR καθιστά αναγκαίο έναν προσεκτικό θεσμικό σχεδιασμό. Η ενίσχυση των πόρων της, τεχνικών και διοικητικών, σε συνδυασμό με την πρόβλεψη κατάλληλων οργανωτικών εγγυήσεων για τον διαχωρισμό των διαφορετικών εποπτικών λειτουργιών, μπορεί να επιτρέψει στην Αρχή να διαδραματίσει έναν ουσιαστικό και αναβαθμισμένο ρόλο στη διακυβέρνηση της τεχνητής νοημοσύνης σε εθνικό και ευρωπαϊκό επίπεδο, συμβάλλοντας στην αποτελεσματική και αξιόπιστη εφαρμογή του νέου κανονιστικού πλαισίου.
Τέλος, ένα γενικότερο μήνυμα: Η πρόοδος της τεχνολογίας δεν είναι ασύμβατη με τα θεμελιώδη δικαιώματα. Απαιτεί ευέλικτο αλλά σαφές νομικό πλαίσιο, θεσμικούς ελέγχους και ενεργή κοινωνική συμμετοχή. Η ενίσχυση του ρόλου των Αρχών Προστασίας Δεδομένων, τόσο μέσα από τον GDPR όσο και από τον AI Act, διασφαλίζει ότι η τεχνητή νοημοσύνη θα χρησιμοποιείται με λογοδοσία, μετριοπάθεια και ανθρώπινη εποπτεία. Σε αυτή τη μετάβαση, σε έναν κόσμο που αλλάζει γρήγορα και ψηφιακά, οι Αρχές Προστασίας Δεδομένων καλούνται να παίξουν αυτό το διπλό ρόλο: του εγγυητή των δικαιωμάτων αλλά και της καθοδήγησης της καινοτομίας με κέντρο τον άνθρωπο.