Πίσω από τις διακηρύξεις κρύβεται όμως μια δομική αντίφαση. Η νομοθεσία δυσκολεύεται να ακολουθήσει τον ρυθμό της τεχνολογίας, προβλέποντας δικαιώματα που ισχύουν κυρίως στα χαρτιά, ενώ αποδεικνύονται τεχνικά δυσεφάρμοστα και οικονομικά ασύμφορα. Το
Ενώ πολλοί αντιλαμβάνονται τα προσωπικά δεδομένα στενά (όνομα, διεύθυνση, τηλέφωνο) υιοθετώντας τη λογική “δεν έχω τίποτα να κρύψω”, στον ψηφιακό κόσμο δεδομένο συνιστά κάθε αναζήτηση, κλικ, χρόνος παραμονής, αγορά ή μετακίνηση. Πρόκειται για ψηφιακά ίχνη μας που συσχετίζονται αλγοριθμικά και σχηματίζουν προφίλ που προβλέπουν συμπεριφορά. Αξίζει να θυμόμαστε ότι το διαδίκτυο είναι η υποδομή (καλωδιώσεις) επικοινωνίας, ενώ οι πλατφόρμες που οργανώνουν συναλλαγές πάνω του αποτελούν κάτι εντελώς διαφορετικό.
Κολοσσοί όπως η Google, η Meta, η Amazon, η Microsoft και η Apple λειτουργούν ως ιδιωτικοί, κλειστοί χώροι δεδομένων (walled gardens), ελέγχοντας απόλυτα υπηρεσίες και πρόσβαση. Από τα αρχικά δεδομένα παράγονται συναγόμενες πληροφορίες δεύτερου, τρίτου ή περαιτέρω βαθμού, τις οποίες ο χρήστης ποτέ δεν δήλωσε ρητά. Εφόσον όμως αφορούν ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο, συνιστούν προσωπικά δεδομένα κατά τον GDPR.
Τεχνητή Νοημοσύνη: Όταν Τα Δικαιώματα Συναντούν Την Τεχνολογία
Ο ενωσιακού δικαίου κανονισμός GDPR, σχεδιασμένος το 2016, προϋπέθετε ότι τα δεδομένα βρίσκονται σε γεωγραφικά εντοπίσιμες εγγραφές και στατικά μητρώα επεξεργασίας δεδομένων των επιχειρήσεων. Η γενετική Τεχνητή Νοημοσύνη (generative AI) ανέτρεψε πλήρως αυτή την υπόθεση.
Ένα αλγοριθμικό μοντέλο δεν είναι απλή αποθήκη αρχείων γιατί “διαβάζει” λίμνες δεδομένων (data lakes) δισεκατομμυρίων εγγραφών που φιλοξενούνται σε data centers των μεγάλων πλατφορμών και ενσωματώνει μοτίβα στα βάρη (αριθμητικές τιμές – συντελεστές που καθορίζουν πόσο σημαντική είναι η σύνδεση ανάμεσα σε δύο ψηφιακούς “νευρώνες”) του νευρωνικού δικτύου (το ψηφιακό ανάλογο των συνάψεων του ανθρώπινου εγκεφάλου).
Ερχόμενοι στη “μηχανική απο-εκπαίδευση” ενός αλγορίθμου (machine unlearning) για τη δοκιμασία επαναταυτοποίησης, αυτή είναι δυσχερής και δαπανηρή. Η αφαίρεση ενός δεδομένου από ήδη εκπαιδευμένο αλγοριθμικό μοντέλο μοιάζει με την προσπάθεια να αφαιρέσεις ένα γραμμάριο ζάχαρης από ψημένο κέικ.
Η πιο αξιόπιστη λύση, η επανεκπαίδευση, κοστίζει υπέρογκα ποσά. Έτσι, όταν ένας χρήστης ζητά μεταφορά ή διαγραφή των δεδομένων του (δικαιώματα κατά το GDPR), η εταιρεία μπορεί τυπικά να σβήσει το όνομά του από μια λίστα, ενώ το μοντέλο συνεχίζει να αναπαράγει πληροφορίες που βασίστηκαν σ’ αυτό. Ο νόμος ικανοποιείται τυπικά, αλλά η ιδιωτικότητα όχι. Επιπλέον, επειδή τα μοντέλα εκπαιδεύονται σε δεδομένα πολλών ετών, το άτομο μπορεί να έχει αλλάξει διεύθυνση ή επώνυμο, οικογενειακή κατάσταση κλπ παραμένοντας εγκλωβισμένο σε ένα “προφίλ-φάντασμα” του παρελθόντος.
Η Ανωνυμία δεν είναι αυτό που φαίνεται
Η αφαίρεση του ονόματος δεν εγγυάται ανωνυμία. Γνωρίσματα κοινά σε εκατομμύρια ανθρώπους, όταν συνδυαστούν, περιορίζουν δραστικά τον κύκλο των πιθανών προσώπων (η κλασική έρευνα της Latanya Sweeney στο MIT το 1997 έδειξε ότι με συνδυασμό ταχυδρομικού κώδικα, φύλου και ημερομηνίας γέννησης ταυτοποίησε το 87% των Αμερικανών).
Ένα σύνολο δεδομένων που προστατεύει έναν κάτοικο της Αθήνας μπορεί να εκθέτει ανεπανόρθωτα έναν κάτοικο μικρού χωριού. Όσο περισσότερο γενικεύεις, τόσο χάνεις από τη χρησιμότητα του αλγορίθμου και αυξάνεις τον κίνδυνο εσφαλμένης απόδοσης.
Το ίδιο ισχύει και για τα μοντέλα ΤΝ. Με τη Γνωμοδότηση 28/2024, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB) διευκρίνισε ότι ένα αλγοριθμικό μοντέλο εκπαιδευμένο με προσωπικά δεδομένα δεν είναι αυτομάτως ανώνυμο. Οι Κατευθυντήριες οδηγίες του από 02/2026 απαιτούν να μην μπορεί με κάποιο εγγραφόμενο στοιχείο να ξεχωρίζει το άτομο μοναδικά, να μην είναι δυνατή η διασύνδεση και να μην εξάγεται συμπέρασμα για αυτό.
Αν έστω και μια αποτύχει, τα δεδομένα δεν είναι ανώνυμα. Ωστόσο, αποδέχεται την πιθανότητα επαναταυτοποίησης ατόμου έστω και εάν οι παραπάνω δοκιμασίες είναι επιτυχείς, αλλά την κρίνει ως “αμελητέα”, χωρίς όμως να παρέχει σαφή μεθοδολογία μέτρησής της, οπότε κινδυνεύει να μείνει κενή και αφηρημένη διακήρυξη.
Τρεις αρχιτεκτονικές που δυσκολεύουν τον Έλεγχο
Οι μεγάλες πλατφόρμες αξιοποιούν τρεις κύριες αρχιτεκτονικές διακίνησης: Πρώτη, δεδομένα αποθηκεύονται στην ΕΕ, αλλά αντίγραφα ασφαλείας διοχετεύονται στις ΗΠΑ, βασιζόμενα σε εταιρικές διαβεβαιώσεις χωρίς ανεξάρτητη επαλήθευση. Δεύτερη, δεδομένα παραμένουν σε ευρωπαϊκούς διακομιστές, αλλά χειριστές στις ΗΠΑ συνδέονται απομακρυσμένα. Κατά το EDPB, η απομακρυσμένη πρόσβαση συνιστά διαβίβαση ακόμη κι αν δεν μετακινείται φυσικό αρχείο.
Τρίτη, το περιεχόμενο μένει πίσω από ευρωπαϊκά τείχη, αλλά τα μεταδεδομένα (IP, τοποθεσία, χρόνος, logs) ρέουν σε πραγματικό χρόνο προς τις ΗΠΑ, παράγοντας ψυχολογικά προφίλ χωρίς μετακίνηση πρωτογενών αρχείων.
Σε αυτό το τοπίο, τα συνθετικά δεδομένα (μοντέλα εκπαιδευμένα σε πραγματικά δεδομένα που παράγουν “συνθετικούς ανθρώπους”) προβάλλονται ως λύση ανωνυμοποίησης. Ωστόσο, η ανωνυμία τους δεν είναι ποτέ απόλυτη. Οφείλουν να συνοδεύονται από αυστηρούς ελέγχους ποιότητας, διαφορετικά κινδυνεύουν να ενισχύσουν τα ίδια προβλήματα ιδιωτικότητας που ευαγγελίζονται ότι λύνουν.
Αδυναμία ελέγχου και εμπορευματοποίηση
Η Οδηγία ePrivacy (ρυθμίζει την ιδιωτικότητα στις ηλεκτρονικές επικοινωνίες) λειτουργεί ως ειδικός νόμος (lex specialis) σε σχέση με τον γενικό κανονισμό προστασίας δεδομένων GDPR. Απαιτεί εκ των προτέρων συγκατάθεση για πρόσβαση στη συσκευή μας (μέσων παρακολούθησης cookies, pixels, fingerprinting).
Ωστόσο, στην πράξη του ψηφιακού μάρκετινγκ (e-marketing), παρατηρείται συστηματική καταστρατήγηση. Παρότι η ePrivacy δεν επιτρέπει εναλλακτικές βάσεις για την πρόσβαση στο τερματικό μας, οι επιχειρήσεις επικαλούνται συχνά το “έννομο συμφέρον” (Legitimate Interest – LIA) του GDPR (Άρθρο 6(1)(f)) για τη μεταγενέστερη επεξεργασία και το profiling.
Ασφαλώς, η πώληση αγαθών αποτελεί θεμιτό εμπορικό συμφέρον (Άρθρο 68 του Χάρτη ΕΕ). Ωστόσο, όπως έχει κρίνει το Δικαστήριο της ΕΕ, η εξατομίκευση διαφημίσεων μέσω συνεχούς παρακολούθησής μας συνιστά δυσανάλογη προσβολή της ιδιωτικότητας και δεν μπορεί να αποτελέσει έννομο συμφέρον που υπερισχύει της προστασίας των θεμελιωδών δικαιωμάτων του χρήστη (υποθέσεις Criteo, Meta/Bundeskartellamt).
Στο σημείο αυτό ξεσπά ο μεγάλος διάλογος για τα Ψηφιακά Δικαιώματα. Η ΕΕ διακήρυξε ότι οι αξίες και τα θεμελιώδη δικαιώματά εκτός διαδικτύου πρέπει να εφαρμοστούν και στο ψηφιακό περιβάλλον. Πρόκειται για την ιδιωτικότητα ως θεμελιώδες ανθρώπινο δικαίωμα (Άρθρο 8 Χάρτη ΕΕ) ή ως καταναλωτικό προϊόν;
Οι πλατφόρμες όμως, όταν η νομική βάση του “επιχειρείν”, ως έννομο συμφέρον τους απορρίφθηκε δικαστικά, εισήγαγαν το εκβιαστικό μοντέλο “Pay or OK” (Pay αρχικά 9,99€/μήνα or Consent), απαιτώντας χρηματική συνδρομή για την προστασία της ιδιωτικότητας, διαφορετικά να παρέχουμε αναγκαστική συγκατάθεση στην παρακολούθησή μας.
Η παρέμβαση του EDPB και της Κομισιόν ξεκαθάρισε ότι η συγκατάθεση υπό οικονομικό εξαναγκασμό είναι άκυρη, επιβάλλοντας δωρεάν εναλλακτικές με μη επεμβατικές διαφημίσεις. Παρ’ όλα αυτά, η διαδεδομένη “κόπωση συγκατάθεσης” (consent fatigue) συνεχίζει να οδηγεί τους χρήστες να πατούν μηχανικά “αποδοχή όλων”, ενώ έτσι ο σκοπός της “βελτίωσης αλγορίθμου” μετατρέπεται σε λευκή επιταγή που ακυρώνει την αρχή της ελαχιστοποίησης στη χρήση των δεδομένων μας.
Τεχνητή Νοημοσύνη: Το Άρθρο 86
Το άρθρο 86 του Κανονισμού περί Τεχνητής Νοημοσύνης- AI Act προβλέπει μεν δικαίωμα για παροχή επεξήγησης στον συναλλασσόμενο για ψηφιακά συστήματα υψηλού κινδύνου, όχι όμως πλήρη τεχνική αποκάλυψη της αρχιτεκτονικής του αλγορίθμου, επειδή προστατεύεται από πνευματικά δικαιώματα. Ποιος κρίνει όμως τι είναι υψηλός κίνδυνος; Κατά το άρθρο 6 παρ. 3, ο ίδιος ο πάροχος τεκμηριώνει την αξιολόγησή του. Ωστόσο, ακόμα και αυτή η μορφή προστασίας, θα καθυστερήσει.
Μέσω της νομοθετικής δέσμης μέτρων διευκόλυνσης της ΕΕ (το λεγόμενο πακέτο Digital Omnibus), η υποχρεωτική εφαρμογή των κανόνων για τα συστήματα υψηλού κινδύνου του Παραρτήματος ΙΙΙ μετατέθηκε από τον Αύγουστο του 2026 στον Δεκέμβριο του 2027. Η μετάθεση αυτή δημιουργεί ένα παρατεταμένο νομοθετικό κενό, ενώ οι αλγόριθμοι συνεχίζουν να λαμβάνουν κρίσιμες αποφάσεις
Εξάλλου, θυμίζουμε ότι η άνοδος του cloud SaaS συνέπεσε με την “αυστηροποίηση” για τα cookies τρίτων. Φοβούμενες πρόστιμα, πολλές ευρωπαϊκές επιχειρήσεις εγκατέλειψαν τους servers τους καταφεύγοντας στους “ασφαλείς” περιτοιχισμένους ψηφιακού χώρους δεδομένων walled gardens των πλατφορμών των Big Tech.
Περιορίστηκε μεν η ιχνηλάτησή μας από τρίτους, αλλά οι πλατφόρμες συνέχισαν να συλλέγουν first-party δεδομένα (με χαρακτηριστικότερη καμπή την υπαναχώρηση της Google τον Οκτώβριο του 2025 από την πλήρη κατάργηση των third-party cookies). Σήμερα, οι ευρωπαϊκές επιχειρήσεις είναι εγκλωβισμένες σε αυτά τα ψηφιακά οικοσυστήματα, επωμιζόμενες αποκλειστικά το νομικό ρίσκο (joint controllership) απέναντι στις εποπτικές Αρχές.
Η ευθύνη αυτή, ωστόσο, εξουδετερώνεται στην πράξη από τη δομική αδυναμία αστυνόμευσης του παγκοσμίου ιστού web. Οι Εποπτικές Αρχές καλούνται να ελέγξουν εκατομμύρια ιστότοπους διαθέτοντας μόλις λίγους ελεγκτές, αφήνοντας τον στατιστικό κίνδυνο ελέγχου για μια επιχείρηση ελάχιστο. Παράλληλα, για τους κολοσσούς της τεχνολογίας, τα πρόστιμα δεν λειτουργούν αποτρεπτικά, γιατί απλά ενσωματώνονται στους ισολογισμούς ως απλό “κόστος επιχειρείν” (cost of doing business), σφραγίζοντας το κενό επιβολής (enforcement gap).
Το Δάνειο που δεν δόθηκε
Μια τράπεζα απορρίπτει αίτηση δανείου βάσει αυτοματοποιημένης αλγοριθμικής αξιολόγησης. Η διατύπωση του άρθρου 22 του GDPR παραμένει γκρίζα. Το άρθρο 22 κατοχυρώνει δικαίωμα μη υπαγωγής σε αποκλειστικά αυτοματοποιημένες αποφάσεις, μια γραμμή που επιβεβαίωσε το Δικαστήριο της ΕΕ στην υπόθεση SCHUFA (C-634/21), όπου έκρινε ότι η αυτοματοποιημένη βαθμολόγηση κρίσης, συνιστά “απόφαση”, όταν η τράπεζα στηρίζεται καθοριστικά σ’ αυτήν. Ωστόσο, στην πράξη κυριαρχεί τριπλή ασυμμετρία εις βάρος του πολίτη:
- Πληροφοριακή. Ο πολίτης αγνοεί ότι επηρεάστηκε από αλγόριθμο.
- Αποδεικτική. Τα δεδομένα και τα logs βρίσκονται αποκλειστικά στον οργανισμό.
- Θεσμική. Οι εποπτικές αρχές στερούνται κρίσιμων πόρων (όπως επεσήμανε η ελληνική ΑΠΔΠΧ στη Γνωμοδότηση 9/2026 για το εθνικό νομοσχέδιο του AI Act, επαναλαμβάνοντας τις αδυναμίες που τόνιζε από το 2020).
Στην υπόθεση Dun & Bradstreet Austria (C-203/22), το Δικαστήριο της ΕΕ έκρινε ότι ο πολίτης δικαιούται επεξήγηση, χωρίς όμως πρόσβαση στον πηγαίο κώδικα λόγω εμπορικού απορρήτου. Όταν επικαλούνται εμπορικό απόρρητο, τη στάθμιση κάνουν οι αρχές και το Δικαστήριο.
Όμως, πώς παρέχεται επεξήγηση στον συναλλασσόμενο στις περιπτώσεις που μεσολαβούν διαδοχικές βαθμίδες συναγωγής συμπερασμάτων που τον αφορούν και λαμβάνουν χώρα μέσα σε ένα αδιαφανές “μαύρο κουτί” (black box); Στη περίπτωση αυτή ένα σφάλμα στο αρχικό στάδιο πολλαπλασιάζεται, οδηγώντας ενδεχόμενα σε άδικες απορρίψεις
Γεωγραφία, Δημόσιο και τεχνολογικά εργαλεία
Η εξωεδαφική ισχύς του GDPR προσκρούει στα όρια της επιβολής των συμφωνιών διακίνησης δεδομένων από την ΕΕ στις ΗΠΑ με πιο πρόσφατο το πλαίσιο EU-US Data Privacy Framework το οποίο λειτουργεί μεν για αυτοπιστοποιημένες εταιρείες, αλλά δεν παρέχει στις ευρωπαϊκές αρχές δικαιώματα επιθεώρησης επί αμερικανικού εδάφους. Όταν δε τιμωρείται μια δημόσια υπηρεσία, το πρόστιμο πληρώνεται από τον κρατικό προϋπολογισμό, χωρίς υπαλληλικές συνέπειες ή αποζημίωση των θιγόμενων.
Σε επίπεδο πρόληψης, προτείνονται μέτρα προστασίας από τον αρχικό σχεδιασμό ενός αλγοριθμικού μοντέλου (άρθρο 25 GDPR). Στη γενετική Τεχνητή Νοημοσύνη- generative AI, η επαναταυτοποίηση μπορεί να προκύψει από έμμεσα μοτίβα, όπως η “απομνημόνευση” (αναπαραγωγή αυτούσιων δεδομένων εκπαίδευσης) ή οι επιθέσεις αντιστροφής (model inversion), όπου εισβολέας αναγκάζει το σύστημα να αποκαλύψει πληροφορίες πραγματικών προσώπων.
Οι τεχνικές απαντήσεις περιλαμβάνουν φίλτρα εξόδου, συνθετικά δεδομένα και διαφορική ιδιωτικότητα (differential privacy), η οποία “ντύνει” τα δεδομένα με ελεγχόμενο μαθηματικό “θόρυβο” (τεχνητές, ελεγχόμενες αλλοιώσεις και στρογγυλοποιήσεις στους αριθμούς). Ενώ η τεχνική αυτή αποδίδει σε μεγάλα πληθυσμιακά δείγματα, μειώνει δραστικά τη χρησιμότητα σε μικρούς πληθυσμούς (π.χ. χωριά), καθώς ο απαιτούμενος θόρυβος αλλοιώνει τα νούμερα καταστρέφοντας την πληροφορία.
Οι υποστηρικτές βλέπουν μια αναγκαία ασπίδα, ενώ οι επικριτές αντιτείνουν ότι η τεχνητή αλλοίωση μειώνει την ακρίβεια (επικίνδυνο στην ιατρική), πνίγει τις ευρωπαϊκές start-ups με κόστη συμμόρφωσης και αφήνει την επαναταυτοποίηση μαθηματικά εφικτή.
Συμπέρασμα – Από τη θεωρία στην Πράξη
Το θεσμικό πλαίσιο αποτελεί ένα περίπλοκο πλέγμα κανόνων (GDPR, AI Act, DMA, DSA, e-Privacy) με διαρκείς καθυστερήσεις εφαρμογής (COM(2020) 264 και COM(2024) 357). Ενδεικτικά, τον Σεπτέμβριο του 2026, 13 κράτη με πρωτοβουλία της Αυστρίας ζήτησαν “Ευρωπαϊκό Έτος Εφαρμογής” με παύση νέων κανόνων δικαίου, ενώ τον Οκτώβριο, Γερμανία, Ιταλία και Βέλγιο ζήτησαν “φρένο έκτακτης ανάγκης” για νομοθεσία που δημιουργεί υπερβολικό βάρος.
Δεν ζητάμε λιγότερη προστασία, αλλά προστασία που λειτουργεί. Όσο οι αρχές αρκούνται σε θεωρητικές απαιτήσεις χωρίς υποχρεωτικές, ανεξάρτητες πιλοτικές μετρήσεις, η προστασία θα παραμένει βιτρίνα. Η παραγωγή αλυσιδωτών κανονισμών με ανέφικτη εφαρμογή παραλύει την ευρωπαϊκή καινοτομία και ενισχύει τη μονοπωλιακή ισχύ των Big Tech.
Η Ευρώπη οφείλει να μεταβεί από τον κανονιστικό δογματισμό στον τεχνολογικό ρεαλισμό. Διαφορετικά, θα συνεχίσει να νομοθετεί για έναν ανύπαρκτο κόσμο, παραδίδοντας τα κλειδιά του μέλλοντος στους τεχνολογικούς κολοσσούς στο όνομα και μόνο της προστασίας της ιδιωτικότητας.
Λάντσας Σπύρος
