مسئولیت مدنی و قراردادی تولیدکنندگان و ارائه دهندگان محصولات هوش مصنوعی در قبال نقض حقوق داده های کاربران
گسترش محصولات و سامانه های مبتنی بر هوش مصنوعی، به ویژه مدل های مولد و سامانه های تعاملی، موجب شده است داده های کاربران به یکی از مهم ترین عناصر رابطه حقوقی میان تولیدکنندگان، ارائه دهندگان و استفاده کنندگان این فناوری تبدیل شود. ورود داده های شخصی، اطلاعات هویتی، مکاتبات، تصاویر، داده های رفتاری و سایر اطلاعات قابل انتساب به اشخاص به سامانه های هوش مصنوعی، در کنار امکان ذخیره، تحلیل، بازتولید و استفاده ثانویه از این داده ها، پرسش اساسی درباره مبنای مسئولیت اشخاص دخیل در چرخه تولید و ارائه این محصولات را مطرح می کند. از این منظر، نقض حقوق داده های کاربران صرفا یک مسئله فنی یا امنیتی نیست، بلکه می تواند واجد آثار مهم در قلمرو مسئولیت مدنی و قراردادها باشد.
در تحلیل حقوقی این مسئولیت، نخست باید میان «تولیدکننده» و «ارائه دهنده» محصول هوش مصنوعی تفکیک قائل شد. تولیدکننده، اصولا در مرحله طراحی، توسعه، آموزش و معماری محصول نقش اساسی دارد، در حالی که ارائه دهنده ممکن است مسئول عرضه، میزبانی، پردازش داده یا فراهم کردن دسترسی کاربر به سامانه باشد. در برخی موارد یک شخص یا شرکت هر دو نقش را بر عهده دارد، اما در سامانه های پیچیده هوش مصنوعی، زنجیره ارزش ممکن است از چندین بازیگر مستقل تشکیل شود. همین امر، تعیین شخص مسئول و احراز رابطه سببیت میان رفتار هر یک از آنان و خسارت وارده به کاربر را با دشواری مواجه می کند.
از منظر قراردادی، استفاده از بسیاری از محصولات هوش مصنوعی بر مبنای پذیرش شرایط استفاده و سیاست های حریم خصوصی شکل می گیرد. این اسناد می توانند منشا تعهداتی مانند محرمانگی، محدودیت هدف پردازش، اتخاذ تدابیر امنیتی، عدم انتقال غیرمجاز داده و رعایت حقوق کاربر باشند. بنابراین، چنانچه ارائه دهنده برخلاف تعهدات قراردادی خود داده های کاربر را برای هدفی خارج از توافق پردازش یا در اثر عدم رعایت الزامات امنیتی افشا کند، مسئولیت قراردادی وی قابل طرح خواهد بود. در حقوق ایران، این مسئولیت را می توان در چارچوب قواعد عمومی قراردادها و الزام متعهد به جبران خسارت ناشی از عدم اجرای تعهد تحلیل کرد.
با وجود این، وجود قرارداد نباید موجب مصونیت مطلق تولیدکننده یا ارائه دهنده در برابر مسئولیت مدنی شود. داده های شخصی در بسیاری از موارد با حقوقی مانند حریم خصوصی، حیثیت، آزادی اراده و حقوق شخصیت ارتباط پیدا می کنند و نقض این حقوق می تواند مستقل از رابطه قراردادی، فعل زیان بار محسوب شود. بنابراین، در مواردی که رفتار تولیدکننده یا ارائه دهنده موجب ورود خسارت به حقوق و منافع مشروع کاربر شود، قواعد مسئولیت قهری نیز قابلیت اعمال خواهد داشت. اهمیت این تفکیک زمانی آشکارتر می شود که زیان دیده شخصی باشد که اساسا طرف قرارداد با تولیدکننده نبوده یا خسارت وارده به حقی فراتر از تعهدات قراردادی مربوط باشد.
یکی از دشوارترین مسائل در این حوزه، احراز تقصیر و رابطه سببیت است. معماری پیچیده مدل های هوش مصنوعی و وابستگی آن ها به داده های عظیم آموزشی موجب می شود تعیین منشا دقیق یک نقض داده، برای کاربر عادی بسیار دشوار باشد. برای نمونه، افشای اطلاعات ممکن است ناشی از نقص طراحی، ضعف امنیتی، آموزش نامناسب مدل، خطای پردازشی، دسترسی غیرمجاز شخص ثالث یا حتی تعامل میان چند سامانه باشد. ازاین رو، معیار ارزیابی رفتار تولیدکننده نباید صرفا رفتار یک شخص متعارف تلقی شود؛ بلکه باید تخصص حرفه ای، میزان کنترل بر سامانه، قابلیت پیش بینی خطر و امکان اتخاذ تدابیر پیشگیرانه نیز مورد توجه قرار گیرد. در چنین شرایطی، هرچه تولیدکننده یا ارائه دهنده کنترل بیشتری بر چرخه جمع آوری و پردازش داده داشته باشد، انتساب مسئولیت به وی نیز توجیه بیشتری خواهد داشت.
در حقوق تطبیقی، روند تقنینی جدید نیز به سمت افزایش تکالیف حرفه ای ارائه دهندگان هوش مصنوعی حرکت کرده است. برای نمونه، مقررات اتحادیه اروپا در قالب AI Act، برای ارائه دهندگان سامانه های هوش مصنوعی تکالیفی در زمینه شفافیت، مستندسازی، امنیت و مدیریت ریسک مقرر کرده و برای ارائه دهندگان مدل های هوش مصنوعی با کاربرد عمومی نیز تعهدات ویژه ای پیش بینی نموده است. (Digital Strategy) از اوایل ۲۰۲۶ نیز الزامات مربوط به شفافیت برخی سامانه های هوش مصنوعی، از جمله سامانه های تعاملی و محتوای تولیدشده توسط هوش مصنوعی، وارد مرحله اجرا شده است. (Digital Strategy) این تحولات نشان می دهد که مسئولیت تولیدکنندگان هوش مصنوعی دیگر صرفا پس از تحقق خسارت مطرح نمی شود، بلکه تکالیف پیشگیرانه و الزامات مربوط به طراحی ایمن و شفاف سامانه نیز به تدریج به بخشی از استاندارد رفتار حرفه ای تبدیل می شوند.
از سوی دیگر، مسئله جبران خسارت ناشی از نقض حقوق داده های کاربران تنها به زیان مالی محدود نیست. افشای اطلاعات خصوصی، پردازش غیرمجاز داده، ایجاد پروفایل نادرست یا استفاده از داده در تصمیم گیری های خودکار می تواند موجب ورود خسارت معنوی و لطمه به حریم خصوصی و شخصیت فرد شود. بنابراین، نظام مسئولیت باید امکان جبران هر دو نوع خسارت مادی و معنوی را مورد توجه قرار دهد. همچنین در تعیین میزان مسئولیت، باید به میزان کنترل هر یک از بازیگران بر داده، نوع داده، قابلیت پیش بینی خطر و اقدامات اتخاذشده برای جلوگیری از وقوع خسارت توجه کرد.
در نهایت، به نظر می رسد تحلیل مسئولیت تولیدکنندگان و ارائه دهندگان محصولات هوش مصنوعی در حقوق ایران نیازمند رویکردی ترکیبی است که قواعد مسئولیت قراردادی را در کنار قواعد عام مسئولیت مدنی و حمایت از حقوق شخصیت قرار دهد. قرارداد می تواند منشا تعهدات مشخص طرفین باشد، اما نمی تواند در همه موارد مانع اعمال قواعد آمره یا عمومی مسئولیت مدنی شود. از سوی دیگر، تحولات حقوق تطبیقی نشان می دهد که حرکت به سوی مسئولیت حرفه ای، شفافیت، قابلیت ردیابی و تکالیف
پیشگیرانه، می تواند مبنای مناسبی برای توسعه حقوق ایران در این زمینه باشد.
بر این اساس، تعیین مسئولیت باید نه صرفا بر مبنای وقوع نقض داده، بلکه بر پایه میزان کنترل و نقش هر یک از بازیگران، قابلیت پیش بینی خطر، سطح مراقبت حرفه ای و رابطه سببیت میان رفتار آنان و خسارت وارده صورت گیرد؛ رویکردی که می تواند میان حمایت موثر از حقوق داده های کاربران و ضرورت توسعه فناوری های نوین تعادل ایجاد کند.