A piros csapatos tesztelés (red teaming) nem egy új tesztelési technika, de az elmúlt időszakban szélesebb körben is egyre inkább figyelmet kap a mesterséges intelligencia (MI) rendszerek sérülékenységeinek tesztelésével kapcsolatban. Olyannyira így van ez, hogy az Egyesült Államok elnökének 2023. október 30-án kiadott MI rendelete kifejezetten előírja bizonyos MI rendszerek esetében a piros csapatos tesztelést. 

Az alábbiakban röviden a piros csapatos tesztelés kérdésével foglalkozom, különös tekintettel az MI rendszereket érintően végzett ilyen jellegű tesztekre. 

Red teaming is not a new testing technique, but recently it has received increasing attention in connection with testing the potential vulnerabilities of Artificial Intelligence (AI) systems. Even the Executive Order issued by the President of the United States on October 30, 2023 requires red team testing for certain AI systems.

In the following, I will briefly address the topic of red team testing, with the focus on the application of such testing  technique regarding AI systems.

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) - az Infotv. vonatkozó rendelkezései alapján - minden évben megrendezi az adatvédelmi tiszviselők éves konferenciáját, amelyen az adott év hatósági oldalról legfontosabbnak tekintett adatvédelmi és információszabadság témáit tárgyalják a Hatóság munkatársai. A konferencián elhangzottak a hatósági gyakorlat alakulása kapcsán jó iránytűként szolgálnak, így az adatkezelőknek és adatfeldolgozóknak érdemes figyelemmel kísérniük ezeket az előadásokat. 

A 2023. évi előadások az alábbi főbb témákat fedték le: 

• Újdonságok az információs jogok kapcsán, a 2023-as év statisztikái (Dr. habil. Péterfalvi Attila, NAIH elnök)
• Uniós adatvédelmi fejlemények (Dr. Sziklay Júlia PhD, NAIH nemzetközi elnökhelyettes)
• Az Európai Unió Digitális Csomagja és az adatvédelem (Dr. Vass Norbert)
• Mesterséges intelligencia és adatvédelem: hatósági tapasztalatok (Dr. Vass Norbert)
• A GDPR bírságkiszabási szabályaival összefüggő 4/2022. számú Európai Adatvédelmi Testület iránymutatásról (Dr. Barabás Gergely)
• A NAIH adatvédelmi incidensekkel kapcsolatos fontosabb döntései 2023-ban (Dr. Eszteri Dániel)
• A költségvetési szervek új közzétételi kötelezettsége, az átláthatósági hatósági eljárás tapasztalatai (Dr. Tóth Éva)
• Az adatvédelmi tisztviselők helyzetére és szerepére vonatkozó 2023. évi felmérések, és egyes, a tisztviselők által feltett kérdések (Dr. Kiss Attila)

Alig két évvel a nemzeti adatvagyon törvény (2021. évi XCI. törvény) elfogadása és hatálybalépése után, rövidesen lényegesen megújul a nemzeti adatvagyon hasznosításának keretrendszere, miután a Parlament elfogadta "A nemzeti adatvagyon hasznosításának rendszeréről és az egyes szolgáltatásokról" szóló törvényt (a köztársasági elnöknek aláírásra megküldött törvény szövege elérhető itt). (A Parlament döntését követően a köztársasági elnök aláírása szükséges még, hogy az új törvény közzétételre kerülhessen a Magyar Közlönyben.)

A jogszabály többek között uniós jogszabályi implementációs kötelezettségeknek is eleget tesz: 

• egyrészt a nyílt hozzáférésű adatokról és a közszféra információinak további felhasználásáról szóló,  2019/1024 irányelvnek való megfelelést célozza (itt írtam korábban az irányelvről), 
• másrészt az európai adatkormányzásról szóló 2022/868 rendelet végrehajtásához szükséges rendelkezéseket is megállapít, 
• továbbá a belső piaci szolgáltatásokról szóló, 2006/123/EK irányelvnek való megfelelést szolgálja.

Az új nemzeti adatvagyon szabályozás hatálybelépésével egyidejűleg hatályát veszti majd a közadatok újrahasznosításáról szóló 2012. évi LXIII. törvény, és korábbi, nemzeti adatvagyonról szóló 2021. évi XCI. törvény is.

A német alkotmánybíróság 1983. december 15-én meghozott, a németországi népszámlálási törvénnyel kapcsolatos ítélete (ún. "népszámlálási-ítélet") az adatvédelmi jogfejlődés és az adatvédelmi jogalkalmazás alakulását alapvetően meghatározta és a mai napig érezteti a hatását. Az alábbiakban a 40 éves népszámlálási-ítélet hátterét és az adatvédelmi gondolkodásra gyakorolt hatását tekintem át röviden. 

The judgment of the German Constitutional Court of 15 December 1983 on the German Census Act of 1983 (the so-called "census judgment") had a long-lasting effect on the development of data protection law. Below I briefly review the background of the 40-year-old census judgment and its impact on the thinking about data protection.

Az elmúlt hét legnagyobb figyelmet kapott - komoly adatvédelmi vonatkozásokkal is bíró - eseménye az EU mesterséges intelligencia rendelete körüli egyeztetések maratoni utolsó fordulója volt, amely végül eredményt hozott és elvi megállapodás született az Európai Parlament és a Tanács között az MI rendelet tartalma kapcsán.

Talán kevesebb reflektorfény vetült rá, de az Európai Bíróság sem tétlenkedett a múlt héten, ami az adatvédelmet érintő ítéletek közzétételét illeti, hiszen több ügyben is fontos iránymutatásokat tartalmazó döntések jelentek meg. Az alábbiakban röviden a Bíróság múlt héten közzétett adatvédelmi tárgyú ítéleteinek néhány főbb elemét emelem ki. 

In recent weeks, negotiations over the Regulation on Artificial Intelligence (AI Act) filled the news that finally led a hard-won political deal. However, this is not the only legislative topic that seems to be coming to an agreement at EU level. A political agreement was reached between the European Parliament and the Council on the so-called Cyber Resilience Act. 

Az elmúlt hetekben a mesterséges intelligencia rendelet (AI Act) körüli, éjszakába nyúló egyeztetések és végül a nagy nehezen összehozott politikai egyezség töltötték ki a híreket. Nem ez volt azonban az egyetlen jogalkotási téma, ami uniós szinten révbe érni látszik. Politikai egyezség született ugyanis a Parlament és a Tanács között az ún. kiberreziliencia jogszabály (Cyber Resilience Act) tekintetében is. 

A mesterséges intelligencia (MI) használata kapcsán számos esetben botlunk személyes adatok kezelését érintő kérdésekbe. A különböző MI rendszerek fejlesztése, tanítása, tesztelése, használata ugyanis gyakran személyes adat kezelésével jár. Nem véletlen, hogy az elmúlt időszakban az adatvédelmi hatóságok figyelme is az MI-vel összefüggő adatkezelési kérdések felé fordult. Ez megjelenik egyrészt az alakuló joggyakorlatban, illetve az egymás után publikált iránymutatásokban, ajánlásokban is.