Nhóm bảo vệ quyền riêng tư chỉ trích EU vì thay đổi luật dữ liệu để chiều lòng AI

Cuộc chiến pháp lý giữa các nhóm bảo vệ quyền riêng tư và chính quyền châu Âu đang nóng trở lại, khi Ủy ban châu Âu (EC) đề xuất nới lỏng các quy định bảo vệ dữ liệu cá nhân để tạo điều kiện cho sự phát triển của trí tuệ nhân tạo.

Nội dung thay đổi gây tranh cãi

Tổ chức vận động None of Your Business (noyb), do luật sư người Áo Max Schrems đứng đầu, cho rằng đề xuất sửa đổi luật bảo vệ dữ liệu "trong bối cảnh AI" thực chất là sự từ bỏ các nguyên tắc bảo vệ dữ liệu vốn có của Liên minh châu Âu.

Hồi tháng 9, EC tuyên bố sẽ khởi động một "chương trình đầy tham vọng" nhằm tăng cường năng lực cạnh tranh của EU và "giảm mạnh gánh nặng pháp lý cho người dân, doanh nghiệp và cơ quan hành chính". Cơ quan này đề xuất những "điều chỉnh tức thì" đối với pháp luật kỹ thuật số để thúc đẩy sức cạnh tranh.

Trong một văn bản tóm tắt, EC viết rằng: "Khi việc xử lý dữ liệu cá nhân là cần thiết vì lợi ích của bên kiểm soát dữ liệu trong bối cảnh phát triển và vận hành kỹ thuật của một hệ thống AI… hoặc một mô hình AI, thì việc xử lý đó có thể được tiến hành vì lợi ích chính đáng."

Noyb lập luận rằng các sửa đổi đối với Điều 88c mà EC đề xuất — một bản dự thảo thỏa hiệp bị rò rỉ của Hội đồng EU đổi tên thành Điều 88bis — sẽ cho phép các ông lớn công nghệ sử dụng toàn bộ dữ liệu cá nhân thu thập trong nhiều thập kỷ qua mà gần như không bị ràng buộc, miễn là việc đó diễn ra "trong bối cảnh" AI.

"Tịch thu kỹ thuật số" người châu Âu?

Ông Schrems gay gắt: "Theo những đề xuất này, lợi nhuận của các công ty AI sẽ lấn át quyền riêng tư cơ bản của người châu Âu. Đây chẳng qua là một hành động tịch thu kỹ thuật số đối với người dân châu Âu."

Theo nhóm vận động này, những thay đổi trên có thể khiến người chưa từng là khách hàng của bất kỳ công ty AI nào — nhưng từng nhập dữ liệu vào hệ thống từ nhiều thập kỷ trước, chẳng hạn qua trò chuyện hay mạng xã hội — bỗng dưng thấy dữ liệu cá nhân của mình nằm trong tay các công ty AI.

"Một phần lớn các quốc gia thành viên EU giờ đây cho rằng lợi ích của Elon Musk, Mark Zuckerberg, Google hay OpenAI trong việc tạo ra lợi nhuận khổng lồ nên được đặt lên trên quyền bảo vệ dữ liệu cơ bản của người châu Âu."

— Max Schrems

Điểm mấu chốt mà noyb phản đối là việc không cần xin sự đồng ý của người dùng: các công ty mặc nhiên được coi là có "lợi ích chính đáng" vượt trội nếu họ huấn luyện hoặc sử dụng bất kỳ sản phẩm AI nào. Ông Schrems nói thêm: "Mọi thứ chúng ta từng nhập vào hệ thống kỹ thuật số, hoặc mọi thứ mà các tập đoàn AI có được bằng cách khác, đều trở thành miếng mồi hợp pháp cho các tập đoàn AI sử dụng."

Nguy cơ đối đầu tại tòa án tối cao châu Âu

Noyb cáo buộc EC đã từ bỏ các ưu tiên bảo vệ dữ liệu để phục vụ lợi ích của giới vận động hành lang ngành công nghệ. Trong khi đó, quan điểm của Nghị viện châu Âu vẫn còn chia rẽ.

Tuy nhiên, Tòa án Công lý Liên minh châu Âu (CJEU) có thể sẽ là nơi xem xét liệu những thay đổi đề xuất có tương thích với các quyền cơ bản của EU hay không.

"Trong quá khứ, Tòa án Công lý châu Âu từng bác bỏ luật của EU trong những vụ việc có mức độ xâm phạm quyền cơ bản ít nghiêm trọng hơn nhiều, như lưu trữ dữ liệu hay chuyển dữ liệu EU sang Mỹ."

— Tuyên bố của noyb

Đây không phải lần đầu noyb đối đầu với Brussels và thắng lớn. Tổ chức này nổi tiếng nhờ hai lần đánh bại các hiệp định chuyển dữ liệu xuyên Đại Tây Dương tại CJEU: Thỏa thuận Safe Harbor (năm 2015, trong vụ Schrems I) và EU-US Privacy Shield (năm 2020, vụ Schrems II).

Ông Schrems cho rằng con đường pháp lý có thể là lựa chọn duy nhất còn lại để ngăn chặn việc pha loãng luật bảo vệ dữ liệu nhằm thỏa mãn ngành AI.

"Nếu nhà lập pháp đã mất hết thước đo và phương hướng, thì người dân chỉ còn biết cầu cứu tòa án. Bất kỳ luật cực đoan nào có nguy cơ bị lật ngược cao cũng chỉ tạo thêm bất ổn pháp lý — thay vì sự đơn giản hóa như đã hứa."

— Max Schrems

Ý nghĩa với người dùng Việt Nam

Dù câu chuyện diễn ra tại châu Âu, tác động có thể lan xa. GDPR từ lâu đã trở thành chuẩn mực toàn cầu về bảo vệ dữ liệu, và nhiều quốc gia — trong đó có Việt Nam với Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân — đang xây dựng khung pháp lý theo hướng tương tự.

Nếu EU nới lỏng các quy tắc cho AI, các tập đoàn công nghệ lớn có thể sẽ viện dẫn tiền lệ này để gây sức ép lên những thị trường khác, trong đó có Việt Nam. Điều đó đặt ra câu hỏi: liệu dữ liệu của người dùng Việt — từ tin nhắn, bài đăng mạng xã hội đến lịch sử tìm kiếm — có bị đưa vào các mô hình AI mà không có sự đồng ý rõ ràng hay không?

Trong khi đó, một diễn biến đáng chú ý khác là vụ Grindr phải trả 26 triệu bảng Anh để dàn xếp một vụ kiện tập thể về quyền riêng tư tại Anh — cho thấy áp lực pháp lý đối với các công ty công nghệ liên quan đến dữ liệu cá nhân vẫn đang ngày càng lớn.