RODO obowiązuje od 2018 roku, na długo przed AI Act

Zanim ktokolwiek zaczął mówić o europejskim prawie o sztucznej inteligencji, w Unii Europejskiej obowiązywał już przepis, który w praktyce reguluje jedno z najbardziej wrażliwych zastosowań AI: podejmowanie decyzji o człowieku bez udziału człowieka. RODO (ogólne rozporządzenie o ochronie danych osobowych) weszło w życie 25 maja 2018 roku i od tego czasu obowiązuje bezpośrednio we wszystkich krajach członkowskich. Jego artykuł 22 bywa nazywany najstarszym realnym “przepisem o AI” w europejskim prawie, mimo że słowo “sztuczna inteligencja” w ogóle się w nim nie pojawia.

Co dokładnie mówi art. 22 RODO

Artykuł 22 RODO daje osobie, której dane dotyczą, prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeśli taka decyzja wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. W praktyce chodzi o sytuacje takie jak automatyczna odmowa kredytu, automatyczne odrzucenie kandydatury w rekrutacji na podstawie algorytmicznego scoringu, czy automatyczne rozwiązanie umowy na podstawie systemu wykrywania nadużyć.

Kluczowe jest słowo “wyłącznie”. Jeśli w procesie decyzyjnym uczestniczy realnie działający człowiek, który może zmienić rekomendację algorytmu, przepis w zasadzie się nie stosuje w pełnym zakresie. To dlatego wiele firm buduje procesy tak, żeby ostateczną decyzję formalnie podejmował pracownik, nawet jeśli w praktyce niemal zawsze podąża za sugestią systemu.

Trzy gwarancje, jakie daje przepis

Tam, gdzie decyzja jest w pełni zautomatyzowana i wywołuje istotne skutki, RODO przewiduje dla osoby, której dotyczy, konkretne uprawnienia:

  • prawo do uzyskania interwencji człowieka ze strony administratora danych,
  • prawo do wyrażenia własnego stanowiska,
  • prawo do zakwestionowania decyzji.

Administrator danych musi też, zgodnie z ogólnymi zasadami przejrzystości RODO, poinformować osobę o samym fakcie zautomatyzowanego podejmowania decyzji oraz, w rozsądnym zakresie, o logice stojącej za nim i o tym, jakie znaczenie i przewidywane konsekwencje ma takie przetwarzanie.

Art. 22 nie zakazuje zautomatyzowanego podejmowania decyzji. Wprowadza dla niego warunki brzegowe: musi istnieć podstawa prawna (np. umowa, zgoda albo wyraźne przyzwolenie prawa krajowego), a osoba, której dotyczy decyzja, musi mieć realną możliwość odwołania się do człowieka.

Jak to się ma do AI Act: dwie różne, uzupełniające się podstawy prawne

Częsty błąd to myślenie, że AI Act “zastępuje” RODO w kontekście AI, albo odwrotnie. W rzeczywistości oba akty prawne działają równolegle i regulują różne aspekty tego samego zjawiska.

RODO, art. 22 AI Act
Co reguluje Ochronę danych osobowych i prawa jednostki wobec zautomatyzowanej decyzji Bezpieczeństwo i przejrzystość samego systemu AI jako produktu/usługi
Kiedy się stosuje Gdy przetwarzane są dane osobowe i decyzja jest w pełni zautomatyzowana Niezależnie od tego, czy przetwarzane są dane osobowe
Główne uprawnienie/obowiązek Prawo do interwencji człowieka, wyrażenia stanowiska, zaskarżenia decyzji Klasyfikacja ryzyka, dokumentacja, nadzór człowieka nad systemem, przejrzystość wobec użytkownika
Od kiedy obowiązuje Od 2018 roku Etapami od 2024 roku, pełny zakres w kolejnych latach

System AI wykorzystywany na przykład do oceny kandydatów w rekrutacji może więc jednocześnie podlegać: obowiązkom RODO (bo przetwarza dane osobowe kandydatów i może podejmować decyzje o istotnych skutkach) oraz obowiązkom AI Act jako system wysokiego ryzyka (bo rekrutacja jest wprost wymieniona w załączniku do rozporządzenia jako obszar wysokiego ryzyka). Więcej o tym, jak wygląda takie podwójne pokrycie prawne w rekrutacji, opisuje artykuł AI Act w rekrutacji. Ogólne wprowadzenie do klasyfikacji ryzyka w AI Act znajdziesz w artykule Cztery poziomy ryzyka w AI Act.

Dlaczego to ma znaczenie dla firm korzystających z gotowych narzędzi AI

Wiele małych i średnich firm nie buduje własnych systemów scoringowych, tylko korzysta z gotowych narzędzi (systemów HR, platform do oceny zdolności kredytowej, narzędzi do automatycznej segmentacji klientów). To nie zwalnia ich z obowiązków RODO: jeśli firma jako administrator danych wykorzystuje taki system do podejmowania w pełni zautomatyzowanych decyzji o klientach lub pracownikach, to właśnie ona, nie dostawca narzędzia, odpowiada za zapewnienie zgodności z art. 22.

W praktyce oznacza to konieczność świadomego zaprojektowania procesu: kto i w jaki sposób może zakwestionować automatyczną decyzję, jak wygląda ścieżka odwołania, i czy w ogóle istnieje realny, nie tylko formalny, udział człowieka w decyzji.

Wyjątki od zasady: kiedy w pełni zautomatyzowana decyzja jest dopuszczalna

Art. 22 RODO nie jest zakazem bezwzględnym. Rozporządzenie przewiduje trzy sytuacje, w których w pełni zautomatyzowana decyzja, mimo istotnych skutków dla osoby, której dotyczy, jest dopuszczalna: gdy jest niezbędna do zawarcia lub wykonania umowy między tą osobą a administratorem danych, gdy zezwala na nią wprost prawo Unii Europejskiej lub prawo krajowe (z zastrzeżeniem odpowiednich środków ochrony praw i wolności danej osoby), albo gdy osoba wyraziła na nią wyraźną zgodę. Nawet w tych trzech sytuacjach administrator musi jednak wdrożyć odpowiednie środki ochrony interesów osoby, której dane dotyczą, w tym co najmniej prawo do uzyskania interwencji człowieka, wyrażenia własnego stanowiska i zaskarżenia decyzji.

To rozróżnienie ma znaczenie praktyczne: firma, która na przykład automatycznie ocenia zdolność kredytową klienta w ramach zawierania z nim umowy, może korzystać z pierwszego wyjątku, ale wciąż musi zapewnić mu ścieżkę odwołania się od takiej decyzji do człowieka.

Szersze tło: mapa regulacji, które się nakładają

Art. 22 RODO to tylko jeden fragment większej układanki europejskiego prawa cyfrowego. Pełny przegląd tego, jak RODO, AI Act i inne unijne regulacje nakładają się na siebie w jednej firmie, opisuje artykuł Mapa unijnych regulacji cyfrowych.

Najczęściej zadawane pytania

Czy art. 22 RODO dotyczy tylko dużych firm z rozbudowanymi systemami scoringowymi?

Nie. Dotyczy każdego administratora danych, który podejmuje w pełni zautomatyzowane decyzje wywołujące istotne skutki wobec osoby fizycznej, niezależnie od wielkości firmy. Skala systemu nie ma znaczenia, ma znaczenie charakter decyzji.

Czy AI Act zastępuje obowiązki z RODO?

Nie. Oba akty prawne obowiązują równolegle. AI Act reguluje głównie bezpieczeństwo i przejrzystość systemu AI jako takiego, a RODO chroni prawa osoby, której dane są przetwarzane, w tym prawo do niepodlegania wyłącznie zautomatyzowanej decyzji.

Czy wystarczy formalnie wyznaczyć pracownika do “zatwierdzania” decyzji algorytmu?

To zmniejsza ryzyko naruszenia art. 22, ale tylko jeśli udział człowieka jest realny: pracownik musi mieć rzeczywistą możliwość i kompetencje, żeby zmienić rekomendację systemu, a nie tylko formalnie kliknąć “zatwierdź”.

Czy to jest porada prawna?

Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę zgodności konkretnego procesu decyzyjnego z RODO i AI Act powinien przeprowadzić radca prawny lub adwokat.