A mesterséges intelligencia (MI) széleskörű alkalmazása új dimenzióba emeli az adatvédelmi megfelelés problémakörét. A GDPR és az MI Rendelet (az EU mesterséges intelligenciáról szóló rendeletének) együttes értelmezése szerint az érintetteknek továbbra is megilletnek a személyes adatok és egyéb alapvető jogok védelmére vonatkozó uniós jogok és jogorvoslatok, beleértve az egyedi ügyekre kiterjedő, kizárólagosan automatizált döntéshozatalhoz kapcsolódó jogokat is. A gyakorlatban ez a követelmény különös nehézségeket vet fel az éles üzemre állított MI-rendszerek esetében.
Mikor minősül egy MI „profilalkotónak” a GDPR szerint?
A GDPR értelmezése alapján a profilalkotás „a személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére… használják.” A preambulum továbbá írja, hogy az érintettet tájékoztatni kell arról, milyen logika alapján történik az automatizált adatkezelés és milyen következményekkel járhat.
Az MI alkalmazása gyakran eleget tesz a profilalkotás formális feltételeinek, mert
- maga az adatkezelés automatizált;
- az MI elemzési vagy értékelési műveleteket hajt végre személyes adatokon;
- ezek az elemzések egy adott magánszemély jellemzőire vonatkozó következtetések, előrejelzések kialakítását szolgálják.
A kulcskérdés tehát az elemzés célja: ha az MI célja egy adott személyhez kapcsolódó jellemzők értékelése vagy előrejelzése, akkor a GDPR szerinti profilalkotásról van szó. Ennek jogi megítélése több szakmai terület – jog, informatika, adattudomány, adatkormányzás – együttműködését igényli.
Transzparencia-kötelezettségek profilalkotó MI esetén
A profilalkotást megvalósító MI-felhasználások közé tartozik többek között a személyre szabott marketing, hitelbírálat, pénzügyi csalások felderítése, toborzás, interaktív ügyfélszolgálati chatbotok viselkedésfigyeléssel vagy munkavállalók ellenőrzése MI-vel.
Már a profilalkotásról való tájékoztatás hagyományosan is nehéz feladat volt: az érintettnek érthetően el kell magyarázni, ki és milyen módon figyeli az online viselkedését, és ez hogyan vezet megjelenő személyre szabott tartalomhoz. Az MI bevonása tovább bonyolítja ezt, mert
- előbb érthetően ismertetni kell, mi az MI — noha az MI Rendelet ad egy definíciót, az értelmezés gyakran bonyolult még szakmai körökben is; a várható felhasználói kör műszaki jártassága pedig erősen eltérő lehet;
- másodszor el kell magyarázni az MI alapú profilozás logikáját és azt, hogy miért jutott a rendszer adott következtetésre — itt ütközik az úgynevezett „black box” probléma, amely szerint a gépi tanuláson alapuló algoritmusok döntési mechanizmusai sokszor nem teljesen átláthatóak sem a felhasználó, sem akár a fejlesztő számára.
A kérdés aktuálisságát jelzi az Európai Unió Bíróságához (C‑203/22 számú ügy, CK, Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien) kapcsolódó jogi eljárás és az ehhez fűzött ügyésszéki vélemény (Advocate General véleménye, 2024. szeptember 12.). Az állásfoglalás arra mutat rá, hogy a transzparens tájékoztatás nem feltétlenül írja elő az algoritmus műszaki részleteinek teljes feltárását: elegendő lehet a döntéshozatal legfontosabb szempontjairól és azok súlyáról, továbbá arról informálni, hogy az alkalmazott módszerek és kritériumok hogyan befolyásolták a konkrét eredményt. Ugyanakkor az állásfoglalás elismeri az üzleti titok védelmének jelentőségét, amely nem adhat általános felmentést a tájékoztatási kötelezettség alól.
A szerző szerint ez az irány előremutató: nem várja el az algoritmusok teljes technikai feltárását, viszont megköveteli, hogy a rendszer működése magyarázható legyen az érintett felé.
Automatizált döntéshozatal — emberi beavatkozás joga és különleges adatok
Ha az MI nem csak előrejelzést vagy ajánlást ad, hanem emberi beavatkozás nélkül hoz olyan döntést, amely joghatással jár vagy jelentősen érinti az érintettet, akkor a GDPR különös szabályai lépnek életbe. A GDPR alapvetően tiltja az ilyen kizárólag automatizált döntéshozatalt, kivéve ha
- azt uniós vagy tagállami jog kifejezetten engedélyezi,
- vagy a döntés a szerződés megkötéséhez/teljesítéséhez szükséges,
- vagy az érintett kifejezett hozzájárulását adta.
Mindezek mellett a tájékoztatási kötelezettség — az automatizált döntéshozatal tényére, a használt logikára és a várható következményekre vonatkozó információkra — mindenképpen érvényes.
További garanciaként a GDPR megadja az érintettnek a jogot, hogy emberi beavatkozást kérjen, kifejezhesse álláspontját és kifogást emeljen a döntéssel szemben. Ennek biztosítása azonban több gyakorlati problémát vet fel:
- az MI rendszerek black box jellege miatt a döntést felülvizsgáló embernek érdemi és nem csak jelképes vizsgálatot kell tudnia lefolytatni, amelyhez az összes releváns adatot figyelembe kell venni; ha maga az adatkezelő sem érti teljesen az MI döntésének okát, az ilyen érdemi felülvizsgálat gyakran nem kivitelezhető;
- ezért a gyakorlatban az adatkezelők számára reális megoldás lehet, hogy az emberi beavatkozást kérő ügyeket teljesen kivonják az MI-alapú döntéshozatal hatóköréből, azaz az MI outputját figyelmen kívül hagyják; ez viszont felveti a szükségesség és arányosság kérdését a döntéshozatali folyamat tervezése szempontjából.
Különös figyelemmel kell lenni a különleges (érzékeny) adatok használatára: automatizált döntéshozatal ilyen adatok alapján csak szűk törvényi kivétellel lehetséges, például az érintett kifejezett hozzájárulása vagy jelentős közérdeken alapuló jogszabályi felhatalmazás esetén. Ha az adatkezelő nem szűri megfelelően a bemeneti adatkört, vagy az érintett maga visz be érzékeny adatot a rendszerbe, komoly jogsértési kockázat és súlyosabb szankciók lehetnek a következmények.
Ajánlott gyakorlati lépések az adatkezelők számára
A cikk alapján két alapvető lépés tűnik elengedhetetlennek:
-
Olyan MI rendszerdokumentáció alkalmazása, amelyből a rendszer működési elvei kellő mértékben kiolvashatók és így reális esély nyílik a transzparencia-kötelezettségek teljesítésére. Jelenleg az MI Rendelet ilyen dokumentációt főként a nagy kockázatú MI rendszerekre ír elő.
-
A rendszer célját és a tervezett adatkört figyelembe vevő alapos jogi elemzés végrehajtása még a bevezetés előtt, hogy megállapítható legyen: felmerül-e profilalkotás vagy automatizált döntéshozatal a GDPR szerinti értelemben. Még ha az alkalmazott MI megfelel is az MI Rendelet előírásainak, a GDPR követelményeit külön is teljesíteni kell.
Az MI Rendelet egyébként előírja, hogy az MI rendszerre vonatkozó információkat a GDPR szerinti adatvédelmi hatásvizsgálat során is figyelembe kell venni.
Következtetés és további kérdések
A cikksorozat két lépcsőben vizsgálta az MI és az adatvédelem kapcsolatát: a tanítási és az éles üzemre vonatkozó fázisokat. A tárgyaltak csak a felületét érintik azoknak a kérdéseknek, amelyeket az MI és az adatvédelmi jog kapcsolata felvet: szereplők jogi státusza (adatkezelő, adatfeldolgozó, közös adatkezelés), szerződéses és felelősségi kérdések, az adatvédelmi hatásvizsgálatok gyakorlati nehézségei, incidenskezelés, gyermekeket érintő MI-adatkezelések, adathordozhatóság és nemzetközi adattovábbítások. Ezek mind további részletes elemzést igényelnek.
Végül a szerző egy, a Harvey nevű jogi MI által 2024. szeptember 19-én elmondott viccet idézi záróüzenetként: „Miért nem megy a GDPR tanácsadó a tengerpartra? Mert fél, hogy túl sok adatot hagy a homokban!”
