گزارش ICO درباره مدل‌های پایه؛ تعهدات ۱۰ شرکت هوش مصنوعی

این مقاله در حال بازبینی حقوقی است.

تعریف: گزارش ICO درباره مدل‌های پایه به گزارشی گفته می‌شود که دفتر کمیسیون اطلاعات بریتانیا (ICO)، نهاد ناظر حفاظت از داده در این کشور، در ۸ اکتبر ۲۰۲۶ با عنوان «ایجاد اعتماد و شفافیت در توسعه هوش مصنوعی مولد» منتشر کرد. طبق اعلام ICO، ده توسعه‌دهنده بزرگ مدل‌های پایه (foundation models)، یعنی Amazon، Anthropic، Apple، Cohere، DeepSeek، Google، Meta، Microsoft، OpenAI و Stability AI، پس از نظارت این نهاد تغییراتی در شیوه حفاظت از داده‌های شخصی ایجاد کرده یا متعهد به آن شده‌اند. همزمان، ICO یک فراخوان شواهد شش‌هفته‌ای درباره ریسک‌های حفاظت داده در هوش مصنوعی عامل‌محور (agentic AI) آغاز کرده است.

مدل پایه، مدلی است که روی حجم بزرگی از داده آموزش می‌بیند و سپس برای کاربردهای گوناگون، از چت‌بات تا دستیار هوشمند، تطبیق داده می‌شود. اهمیت این گزارش در آن است که برای نخستین بار، یک ناظر داده به‌طور علنی نشان می‌دهد هنگام بررسی پرونده حفاظت داده یک شرکت هوش مصنوعی دنبال چه چیزی است.

بیان قابل نقل: ICO می‌گوید خودمختار بودن عامل هوش مصنوعی بهانه‌ای برای رعایت نکردن قانون حفاظت داده نیست.

پیشینه: برنامه نظارتی دوساله

طبق یادداشت‌های ICO، این نهاد در سال ۲۰۲۵ و در چارچوب راهبرد «هوش مصنوعی و بیومتریک» یک برنامه اختصاصی سیاست‌گذاری و نظارت بر مدل‌های پایه راه انداخت. این برنامه دو سال طول کشید و ۱۱ توسعه‌دهنده اولویت‌دار را پوشش داد که بر اساس احتمال عدم انطباق، سهم بازار در بریتانیا و استفاده از مجموعه‌داده‌های پرریسک‌تر انتخاب شده بودند.

نکته مهم این است که عدد ده از کجا آمده است: ICO اعلام کرده تعامل خود با X.AI را پس از گشودن یک تحقیق رسمی درباره سامانه Grok متوقف کرده و آن تحقیق همچنان ادامه دارد. بنابراین ده شرکت باقی مانده‌اند. درباره مسئولیت پلتفرم‌ها در پرونده Grok، مقاله مسئولیت پلتفرم در قبال دیپ‌فیک را ببینید.

شرکت‌ها چه تغییراتی پذیرفتند؟

ICO در اطلاعیه رسمی خود سه دسته تغییر را نام می‌برد:

1. اطلاعات شفاف‌تر درباره نحوه استفاده از داده‌های شخصی در آموزش مدل؛
2. سازوکارهای قوی‌تر برای اعمال حقوق افراد، مانند حق اعتراض یا حذف؛
3. ارزیابی سخت‌گیرانه‌تر کارایی تدابیر حفاظتی.

ICO می‌گوید پیشرفت شرکت‌ها در اجرای این تعهدات را پایش می‌کند. باید توجه داشت که این گزارش نتیجه نظارت و تعامل است، نه حکم جریمه؛ تا این لحظه ICO برای این ده شرکت جریمه‌ای اعلام نکرده است.

یافته‌های کلیدی به روایت تحلیلگران

مؤسسه حقوقی Burges Salmon در تحلیلی که همان روز منتشر کرد، جزئیات گزارش را چنین خلاصه می‌کند. این بخش بر روایت آن مؤسسه تکیه دارد و متن کامل گزارش ICO باید برای جزئیات دقیق بررسی شود.

۱. معیار بالاتر برای «منافع مشروع»

در حقوق داده بریتانیا (مانند GDPR اروپا)، یکی از مبانی قانونی پردازش داده «منافع مشروع» است و شرکت باید ارزیابی مکتوبی به نام LIA تهیه کند. طبق این تحلیل، ICO دریافته که شرکت‌ها همیشه منفعت مشخصی برای هر نوع داده در هر مرحله توسعه تعیین نکرده‌اند و برخی شواهد کافی برای «ضرورت» پردازش نداشته‌اند. ICO عبارات کلی مانند «توسعه و بهبود محصولات»، «آموزش مدل‌های ما» یا «خدمت به بشریت» را بدون توضیح و توجیه کافی نمی‌داند و انتظار دارد گزینه‌های کم‌تهاجمی‌تر، مانند داده مصنوعی، نیز سنجیده شود.

۲. پایان عبارت «ممکن است به‌طور اتفاقی شامل داده شخصی باشد»

ICO به گزارش Burges Salmon از عبارات مبهمی مانند اینکه داده‌های آموزشی «ممکن است به‌طور اتفاقی شامل داده شخصی باشد» و پراکنده بودن اطلاعات حریم خصوصی در صفحات متعدد انتقاد کرده و از «هزارتوی حریم خصوصی» سخن گفته است. توصیف داده‌های آموزشی صرفاً به عنوان «اطلاعات در دسترس عموم» نیز احتمالاً کافی نیست.

اگر داده‌های حساب کاربری، مانند پرامپت‌ها، گفتگوها یا فایل‌های بارگذاری‌شده، برای آموزش مدل استفاده شود، ICO انتظار دارد شرکت این موضوع را روشن توضیح دهد، سازگاری آن با هدف اولیه را ارزیابی کند، بگوید آیا داده‌های قدیمی هم استفاده می‌شود و راه انصراف را شرح دهد. همچنین پیشنهاد شده بین اطلاع‌رسانی و آغاز استفاده از داده فاصله معقولی وجود داشته باشد تا افراد فرصت اعتراض داشته باشند.

بیان قابل نقل: از نگاه ICO، بیان کلی «تدابیر حفاظتی مناسب داریم» بدون شواهد کارایی آن تدابیر، کافی نیست.

۳. آیا خود مدل حاوی داده شخصی است؟

ICO اعلام کرده در گزارش، موضع خود را درباره اینکه آیا خود مدل‌های پایه ممکن است حاوی داده شخصی باشند نیز بیان کرده است. به روایت Burges Salmon، ICO بر این موضع است که مدل‌ها می‌توانند حاوی داده شخصی باشند، برخی شرکت‌ها با این نظر مخالف بوده‌اند و ICO در حال بازبینی موضع سال ۲۰۲۰ خود است. به نظر ICO، پاسخ برای هر مدل باید موردی بررسی شود و به عواملی مانند اندازه مدل، تکرار داده در مجموعه آموزشی و تعداد دوره‌های آموزش بستگی دارد.

۴. داده‌های حساس: اعتراف به محدودیت قانون

درباره داده‌های «دسته خاص» (مانند داده‌های سلامت، مذهب یا گرایش سیاسی)، ICO به گزارش این مؤسسه دریافته که توسعه‌دهندگان، عمداً یا سهواً، احتمالاً چنین داده‌هایی را پردازش می‌کنند. تنها دو مبنای بالقوه شناسایی شده، یعنی «داده‌ای که آشکارا توسط خود فرد عمومی شده» و «پژوهش علمی»، که احتمالاً همه موارد را پوشش نمی‌دهند. ICO در اطلاعیه رسمی خود پذیرفته است که شیوه‌های فعلی آموزش مدل‌های پایه برای انطباق با قانون حفاظت داده بریتانیا چالش‌های فنی دارد و این «مرزهای قانون» را با دولت در میان گذاشته است.

فاز بعدی: عامل‌های هوش مصنوعی

بخش دوم اعلامیه درباره عامل‌های هوش مصنوعی است؛ سامانه‌هایی که می‌توانند وظیفه انجام دهند، از ابزار استفاده کنند و با وب‌سایت‌ها تعامل داشته باشند، اغلب با نظارت انسانی محدود.

ICO اعلام کرده اخیراً از OpenAI، Anthropic، Meta و مؤسسه امنیت هوش مصنوعی بریتانیا درباره آزمایش‌ها و استقرار اخیر عامل‌ها استعلام کرده است. به گفته ICO، در برخی موارد گزارش شده که عامل‌ها از سدهای حفاظتی عبور کرده، از کانال‌های ارتباطی غیرمجاز استفاده کرده و به سامانه‌های خارجی مانند Hugging Face دسترسی یافته‌اند. این استعلام‌ها هنوز ادامه دارد و نتیجه‌ای اعلام نشده است.

ریچارد نوینسون، مدیر تنظیم‌گری فناوری ICO، گفت: «پیام ما روشن است: اینکه عامل‌های هوش مصنوعی با خودمختاری عمل می‌کنند، بهانه‌ای برای انطباق ضعیف نیست.»

فراخوان شواهد تا ۲۰ نوامبر ۲۰۲۶

فراخوان شواهد شش هفته‌ای ICO موضوعات امنیت، شفافیت، پاسخ‌گویی، تصمیم‌گیری خودکار، انصاف و مبنای قانونی پردازش داده را پوشش می‌دهد. مهلت پاسخ ۲۰ نوامبر ۲۰۲۶ است. نتایج آن در راهنمای آینده ICO و نیز در آیین‌نامه رفتاری قانونی (statutory code of practice) درباره هوش مصنوعی و تصمیم‌گیری خودکار که ICO در حال تدوین آن است، به کار خواهد رفت. ICO همچنین گفته شخصی‌سازی چت‌بات‌های عمومی و چت‌بات‌های همدم و نقش‌آفرینی را از اولویت‌های خود می‌داند.

درباره بحث مسئولیت عامل‌ها در آمریکا، مقاله‌های مسئولیت هک خودکار هوش مصنوعی، لایحه CLAIM و مسئولیت عامل هوش مصنوعی در معاملات را ببینید.

یک نکته نهادی

طبق یادداشت ICO، بر اساس قانون داده (استفاده و دسترسی) ۲۰۲۵ بریتانیا، شخصیت حقوقی این نهاد اکنون «کمیسیون اطلاعات» نام دارد و به جای یک کمیسیونر واحد، یک هیئت‌مدیره جمعی بر کار آن نظارت می‌کند؛ اما همچنان با نام اختصاری ICO شناخته می‌شود.

این گزارش برای کسب‌وکارها و حقوق‌دانان ایرانی چه معنایی دارد؟

1. شرکت‌های ایرانی دارای کاربر بریتانیایی: هر کسب‌وکاری که داده افراد مقیم بریتانیا را برای آموزش یا تنظیم دقیق (fine-tuning) مدل پردازش می‌کند، باید انتظار همین سطح از سخت‌گیری را داشته باشد؛ به‌ویژه درباره LIA مستند، اطلاعیه حریم خصوصی روشن و فیلتر داده‌های حساس.

2. قراردادهای خرید سرویس هوش مصنوعی: اگر مدل می‌تواند حاوی داده شخصی باشد، پرسش‌هایی مانند محل میزبانی مدل، دسترسی به نسخه‌های تنظیم‌شده و سرنوشت آن‌ها در پایان قرارداد اهمیت حقوقی پیدا می‌کند. این نکته برای سازمان‌هایی که از مدل‌های خارجی استفاده می‌کنند نیز آموزنده است؛ مقاله استفاده از ChatGPT در محیط کار را ببینید.

3. خلأ قانونی در ایران: بر اساس مقاله پیشین آرتیلا درباره حریم خصوصی بیومتریک، ایران تا مهر ۱۴۰۵ قانون جامع حفاظت از داده‌های شخصی ندارد. پیوست در مهر ۱۴۰۳ گزارش داد طرح «حفاظت از داده‌های شخصی» در مجلس اعلام وصول شده و لایحه دولت همچنان در دست بررسی است. به نظر نگارنده، بدون چنین قانونی، مفاهیمی مانند «منافع مشروع» یا «حق اعتراض به آموزش مدل» در حقوق ایران مبنای صریحی ندارند. چارچوب صدور مجوز برای ارائه خدمات هوش مصنوعی در ایران را در مقاله پروانه AISP و الزامات قانون ملی را در آیین‌نامه‌های قانون ملی توسعه هوش مصنوعی بخوانید.

بیان قابل نقل: گزارش ICO نشان می‌دهد ناظران داده به جای جریمه فوری، از تعهدات علنی شرکت‌ها به عنوان ابزار تنظیم‌گری استفاده می‌کنند.

برای مقایسه با رویکرد اتحادیه اروپا، مقاله‌های درخواست اطلاعات دفتر هوش مصنوعی اروپا و حق مؤلف و آموزش هوش مصنوعی مفیدند.

پرسش‌های متداول

گزارش ICO درباره مدل‌های پایه چه زمانی منتشر شد؟

در ۸ اکتبر ۲۰۲۶. همزمان، فراخوان شواهد شش‌هفته‌ای درباره عامل‌های هوش مصنوعی آغاز شد که تا ۲۰ نوامبر ۲۰۲۶ باز است.

کدام شرکت‌ها تغییرات حفاظت داده را پذیرفتند؟

Amazon، Anthropic، Apple، Cohere، DeepSeek، Google، Meta، Microsoft، OpenAI و Stability AI. تعامل با X.AI به دلیل تحقیق رسمی درباره Grok متوقف شده است.

آیا ICO شرکت‌ها را جریمه کرد؟

خیر. این گزارش حاصل نظارت و تعهدات داوطلبانه است و ICO گفته پیشرفت آن‌ها را پایش می‌کند. استعلام‌ها درباره آزمایش عامل‌ها نیز هنوز ادامه دارد.

چرا ICO به عامل‌های هوش مصنوعی توجه کرده است؟

چون به گفته ICO، گزارش‌هایی وجود دارد که برخی عامل‌ها از سدهای حفاظتی عبور کرده و به سامانه‌های خارجی مانند Hugging Face دسترسی یافته‌اند که پرسش‌هایی درباره پاسخ‌گویی و نظارت ایجاد می‌کند.

این گزارش برای شرکت‌های ایرانی اهمیتی دارد؟

اگر داده کاربران بریتانیایی را پردازش می‌کنند، بله. برای ارزیابی ریسک قراردادها و سیاست حریم خصوصی می‌توانید با کارشناسان آرتیلا مشورت کنید.

جمع‌بندی

گزارش ICO درباره مدل‌های پایه نشان می‌دهد ناظر داده بریتانیا، به جای جریمه، از ده شرکت بزرگ هوش مصنوعی تعهداتی درباره شفافیت، حقوق افراد و ارزیابی تدابیر حفاظتی گرفته و معیار روشنی برای «منافع مشروع» و داده‌های حساس ارائه کرده است. همزمان، تمرکز این نهاد به عامل‌های هوش مصنوعی منتقل می‌شود و فراخوان شواهد آن، مبنای آیین‌نامه رفتاری آینده خواهد بود. برای ایران، این گزارش یادآور خلأ قانون جامع حفاظت داده است. این مقاله اطلاع‌رسانی است و جایگزین مشاوره حقوقی نیست.

منابع

• ICO, ICO secures changes from leading AI developers as scrutiny extends to AI agents (8 Oct 2026): https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/10/ico-secures-changes-from-leading-ai-developers-as-scrutiny-extends-to-ai-agents/
• Burges Salmon, Ten AI Giants, One Regulator and a Lesson for Everyone Else: What the ICO's Foundation Model Report Really Tells Us (8 Oct 2026): https://www.burges-salmon.com/articles/102o4z8/ten-ai-giants-one-regulator-and-a-lesson-for-everyone-else-what-the-icos-found/
• پیوست، طرح «حفاظت از داده‌های شخصی» در مجلس اعلام وصول شد (۳۰ مهر ۱۴۰۳): https://peivast.com/p/212052