Euroopa Liidu Nõukogu soovib laiendada üldist andmekaitsemäärust, lisades eraldi reegli tehisintellekti jaoks. Uus artikkel 88bis kannab pealkirja “Töötlemine tehisintellekti arendamise ja kasutamise kontekstis” ning on selgesõnaliselt mõeldud võimaldama isikuandmete töötlemist tehisintellekti süsteemide ja tehisintellekti mudelite arendamiseks ja käitamiseks “õigustatud huvi” alusel vastavalt GDPR artikli 6 lõike 1 (f) alusel. Seega ei oleks asjaosaliste eelnev nõusolek põhimõtteliselt vajalik.
Tekst on osa nn digitaalsest omnibusest. ELi liikmesriigid leppisid selle mandaadi osas kokku Euroopa Parlamendiga läbirääkimisteks 21. oktoobril 2026. See ei ole veel kohaldatav seadus, vaid nõukogu ametlik seisukoht läbirääkimiste osas, mis nüüd järgnevad.
Vastav osa 33a mainib ka selgesõnaliselt tehisintellekti süsteemide ja mudelite treenimist. Samal ajal selgitab Nõukogu, et tehisintellekti arendamine ei kujuta automaatselt õigustatud huvi. Igas üksikus juhtumis tuleb uurida, mis eesmärki töötlemine täidab ja kas andmesubjekti huvid või põhiõigused on ülimuslikud. Lastele tuleb pöörata erilist tähelepanu; kui EL-i või riiklik õigus nõuab selgesõnaliselt nõusolekut, jääb see siiski vajalikuks.
ELi valitsused kiitsid heaks GDPR-i muudatuse, mis lubab ettevõtetel treenida tehisintellekti eurooplaste isikuandmete põhjal ilma nõusolekuta. See muudab tehisintellekti koolituse võimalikuks “legitiimseks huviks”, hinnates seda juhtumipõhiselt. Parlament peab siiski nõustuma. Max Schrems nimetab seda eurooplaste “digitaalseks sundvõõrandamiseks”. https://t.co/hCXn3AQMKa
— International Cyber Digest (@IntCyberDigest) 26. oktoober 2026
See muudaks oluliselt varasemat loogikat teatud tehisintellekti rakenduste puhul. Ettevõtted ei pea igal juhul esmalt küsima andmesubjekti nõusolekut, vaid võivad kasutada oma majanduslikku või muud õigustatud huvi, tingimusel, et on täidetud ettenähtud huvide tasakaalustamine ja GDPR-i muud nõuded.
Samal ajal nõuab nõukogu tehnilisi ja organisatsioonilisi kaitsemeetmeid. Muuhulgas mainitakse andmete minimeerimist, mudelis jäävate andmete kaitset ja õigust esitada vastuväiteid GDPR artikli 21 alusel. Andmesubjektid võivad sellisele töötlemisele põhimõtteliselt vastu vaielda.
Eelnõus on ka määrus isikuandmete erikategooriate kohta. Tundlik info, mis tahtmatult satub andmekogumitesse arenduseks, treenimiseks, testimiseks või AI-mudeli valideerimiseks, tuleks võimalusel kustutada. Kui kustutamine on tehniliselt võimatu või võimalik ainult ebaproportsionaalse pingutusega, tuleks neid tehniliselt kaitsta edasise töötlemise või väljundi eest.
Max Schremsi ümber tegutsev andmekaitseorganisatsioon reageerib teravalt. Ta räägib eurooplaste “digitaalsest sundvõõrandamisest” ja hoiatab, et tulevikus võivad suured tehnoloogiaettevõtted kergemini toetuda aastate jooksul kogutud ulatuslikele andmekogumitele, et arendada ja opereerida tehisintellekti süsteeme. Noyb on eriti mures, et algselt kogutud andmeid muudel eesmärkidel võiks kasutada tehisintellekti jaoks just sel alusel.
Nõukogu seevastu õigustab digitaalset omnibussi Euroopa konkurentsivõime, innovatsiooni edendamise ja ettevõtete regulatiivsete koormuste vähendamise eesmärgiga. Ametlikus teates märgitakse selgelt, et isikuandmete töötlemise õiguslik alus tehisintellektiga seoses tuleb täpsustada.
See tähendab, et Euroopa seisab silmitsi kaugeleulatuva otsusega: liikmesriigid soovivad GDPR-is selgesõnaliselt sätestada, et tehisintellekti arendamine ja toimimine võib teatud tingimustel põhineda isikuandmetel isegi ilma subjektide eelneva nõusolekuta.
Kas see reegel tegelikult seaduseks saab, otsustatakse läbirääkimistel Euroopa Parlamendiga.
