Az Európai Unió mesterséges intelligencia (MI) szabályozása átfogó keretrendszert biztosít a mesterséges intelligencia alkalmazásának biztonságos és etikus használatára. A 2024. augusztus 1-én hatályba lépett Európai Parlament és Tanács 2024/1689 rendelete (MI rendelet) célja, hogy a mesterséges intelligencia fejlődése ne veszélyeztesse az alapvető jogokat, a magánélet védelmét.
Az MI rendelet világos kockázati kategóriákat állapít meg, amelyek a különböző MI rendszerek különböző szintű ellenőrzését és megfelelési kötelezettségeit írják elő. A rendelet az MI rendszereket a kockázataik alapján négy fő kategóriába sorolja: minimális, limitált, magas kockázatú és tiltott MI rendszerek.
Az MI rendelet lehetővé teszi a minimális kockázatú mesterséges intelligencia alkalmazások szabad használatát. Ebbe a kategóriába tartoznak például az MI-kompatibilis videojátékok, spamszűrők vagy olyan egyszerűbb rendszerek, amelyek nem veszélyeztetik a felhasználók jogait vagy biztonságát. Az EU-ban jelenleg alkalmazott MI-rendszerek nagy része ebbe a csoportba sorolható. Az MI rendszerek esetén, így a minimális kockázatú rendszereknél is vannak alapvető kötelezettségek. Az ilyen rendszerek esetén is tájékoztatni kell a felhasználókat arról, hogy MI-rendszerrel lépnek interakcióba, kivéve, ha ez az adott körülmények között ez egyértelmű a felhasználók számára.
A limitált kockázatú MI rendszerek olyan alkalmazásokat jelentenek, amelyek kisebb hatással vannak az emberek jogaira és biztonságára. Ilyen lehet például egy chatbot vagy személyre szabott reklámok, amelyek nem veszélyeztetik közvetlenül a felhasználók jogait, de átláthatóságot igényelnek. A szabályozás előírja, hogy ezeknél a rendszereknél egyértelműen tájékoztatni kell a felhasználókat arról, hogy MI rendszerrel lépnek kapcsolatba. MI által generált tartalmakat, például reklámokat, is megfelelően azonosítani kell és jelezni kell az MI használatát. Az átláthatóság biztosítása segít abban, hogy a felhasználók tudatos döntéseket hozhassanak. Ugyanakkor, bár ezek a rendszerek limitált kockázattal járnak, adatvédelmi és adatbiztonsági kockázatokkal is szembesülhetünk ezek használata során. Például, ha egy felhasználó személyes adatokat is tartalmazó szöveget, adatállományt tölt fel egy ilyen rendszerbe, amelyeket az MI eszköz tanulásra felhasznál, adatvédelmi incidens következhet be. Az adatvédelmi incidens esetén szigorú előírásokat kell betartani, tájékoztatási kötelezettségeket kell teljesíteni az adatvédelmi hatóság és az érintettek felé, mindez súlyos következményekkel járhat az adatkezelőre és természetesen a személyes adatok érintettjeire nézve is. Amennyiben a feltöltött szöveg üzleti titkot tartalmaz, akkor a vállalat könnyen kerülhet szerződésszegő pozícióba szerződéses partnereivel szemben, vagy saját üzleti titka kompromittálásával kerülhet kedvezőtlen helyzetbe. Megjegyezzük, hogy különböző Data Loss Prevention eszközök képesek kiszűrni azt, hogy a felhasználó munkavállalók esetlegesen adatállományt töltenek fel valamilyen MI rendszerbe, pl. ChatGPT-be. Ne felejtsük el azonban, hogy ezen eszközöknek is vannak adatvédelmi vonatkozásai, hiszen az ilyen eszközök a munkavállalók tevékenységet figyelik. A munkavállalókat tájékoztatni kell arról, ha ilyen eszközöket használ a vállalat az adatszivárgás megelőzése érdekében.
A harmadik kategóriát a magas kockázatú MI rendszerek jelentik. A magas kockázatú MI rendszerek azok, amelyek közvetlen hatással vannak az emberek életére, jogaira és biztonságára. Ilyen rendszerek lehetnek például az egészségügyi diagnosztikai eszközök, amelyek betegségeket diagnosztizálnak és kezeléseket azonosítanak, a hitelpontozási rendszerek, amelyek a személyek pénzügyi lehetőségeit befolyásolják, valamint a toborzási eszközök, vagy munkavállalói teljesítményértékelő eszközök, amelyek a munkavállalói kiválasztást és előléptetést segítik elő.
Ezeknél a rendszereknél szigorú kockázatértékelés szükséges annak biztosítására, hogy a felhasználók jogai védve maradjanak, és hogy a rendszer által hozott döntések megfeleljenek a jogszabályoknak. Az adatoknak magas minőségi követelményeknek kell megfelelniük, hogy minimalizálják a diszkriminációs hatásokat és megakadályozzák, hogy az egyéneket hátrányosan érintse az algoritmusok működése. A magas kockázatú mesterséges intelligencia rendszerek esetében különösen fontos az emberi felügyelet a kockázatok csökkentése érdekében, amit megfelelő ellenőrzési mechanizmusokkal kell biztosítani. Az ilyen rendszerek forgalomba kerülése után a fentiek felügyelete az illetékes piacfelügyeleti hatóságok feladatai közé tartoznak. Az alkalmazók felelnek ugyanakkor az emberi ellenőrzésért és a rendszer működésének nyomon követéséért. A szolgáltatóknak pedig gondoskodniuk kell a forgalomba hozatal utáni nyomonkövetési rendszer működtetéséről, amely lehetővé teszi a rendszer teljesítményének és esetleges kockázatainak hatékony monitorozását.
Az adatvédelmi vonatkozások különösen meghatározóak a magas kockázatú MI alkalmazásoknál, mivel az ilyen rendszerek érzékeny személyes adatokat kezelhetnek. Az Egyesült Királyság Adatvédelmi Felügyeleti Hatósága (ICO) a „MI rendszerek a toborzásban” c. jelentése[1] az MI alapú toborzási eszközökkel kapcsolatban ismerteti részletesen az adatvédelmi kockázatokat és azok kezelését. Az ilyen eszközöknél fontos, hogy az algoritmusokat rendszeresen teszteljék a pontosság és elfogultság szempontjából, hogy azok ne eredményezzenek negatív diszkriminációt. A toborzási MI rendszereknél az átláthatóság biztosítása is elengedhetetlen: a jelölteket részletes tájékoztatásban kell részesíteni arról, hogyan használják fel az adataikat. Az adatminimalizálás elvét is szem előtt kell tartani annak érdekében, hogy az MI eszközökkel csak a szükséges adatokat gyűjtsék és dolgozzák fel. Ezen túlmenően, a toborzás során (és véleményünk szerint bármely, a munkaviszony során) használt MI rendszerek adatkezelésére vonatkozóan adatvédelmi hatásvizsgálatokat (Data Privacy Impact Assessment) kell végezni, hogy az esetleges kockázatokat időben fel lehessen mérni és kezelni. Megjegyezzük, hogy meg kell különböztetni a mesterséges intelligenciáról szóló szabályozás szerinti jogi hatásvizsgálatot (ld. később) és az adatvédelmi hatásvizsgálatot. Míg az előbbi a mesterséges intelligencia rendszerek jogi és etikai kockázataira összpontosít, addig az utóbbi az adatkezelési kockázatok azonosítására és kezelésére irányul. Az adatvédelmi megfelelés érdekében a vizsgálat lefolytatása szükséges lehet olyan esetekben is, amikor az MI rendelet nem ír elő jogi hatásvizsgálatot, mert például az adott MI rendszer nem tekinthető magas kockázatúnak. Illetve, ahogy azt lent részletesen kifejtjük, a magas kockázatú MI rendszerek kapcsán az MI rendelet előírásai csak 2026. augusztus 2-tól lesznek alkalmazandóak, ugyanakkor azon adatkezelők számára, akik ilyen rendszereket használnak, a GDPR előírásait már most figyelembe kell venni, amely a fentiek szerint adatvédelmi hatásvizsgálat lefolytatását teszi szükségessé.
Az ICO jelentése hangsúlyozza, hogy a toborzási eszközök használatakor el kell kerülni a diszkriminációt, és minden adatkezelésnek összhangban kell lennie a GDPR szerinti célhoz kötöttség és jogszerűségi elveivel.
A NAIH Budapest Bank Zrt. ügyében 2022. február 8-án hozott, 85-3/2022 sz.[2] határozatában rávilágít, hogyan válhat a mesterséges intelligencia alkalmazása magas kockázatúvá, ha az érzékeny adatokat – például az ügyfelek érzelmi állapotát – kezel. A Budapest Bank panaszkezelési folyamatai során egy mesterséges intelligencián alapuló érzelemfelismerő és elemző rendszer segítségével határozták meg, hogy mely ügyfeleket kell visszahívni. A NAIH álláspontja szerint az ilyen érzelemfelismerő és elemző rendszer használata önmagában is súlyos adatvédelmi aggályokat vet fel, nem beszélve a megfelelő tájékoztatás hiányáról, illetve a konkrét esetben a bank által végzett érdekmérlegelés sem volt megfelelő. A NAIH rekordösszegű, 250 millió Forintos bírságot szabott ki a jogellenes adatkezelés miatt.
A magas kockázatú MI rendszereket követően, a legszigorúbb kategóriát a tiltott MI rendszerek képviselik, ide tartoznak azok a rendszerek, amelyek megpróbálják befolyásolni a felhasználók döntéseit, vagy amelyek az emberek sebezhetőségét kihasználva, például fogyatékossággal élők vagy hátrányos helyzetű csoportok esetében próbálnak manipulálni.
Teendők
A fenti MI kategóriákkal kapcsolatban az első kulcsfontosságú dátum 2025. február 2., amikor a tiltott mesterséges intelligencia rendszerekre vonatkozó előírásokat alkalmazni kell.
Következik a fenti határidőből, hogy a vállalatoknak még 2025. február 2. napját megelőzően fel kell mérniük, hogy az általuk használt MI rendszerek nem esnek-e a tiltott kategóriába. Ehhez értékelni kell a használt MI rendszerek jellemzőit, funkcióit, kockázatait. Az MI rendelet alapján a tiltott rendszerek alkalmazása súlyos bírságokat vonhat maga után, amelyek akár 35 millió eurót, vagy a vállalat éves globális bevételének 7%-át is elérhetik.
Az MI rendelet 2026. augusztus 2-tól kezdve a magas kockázatú MI rendszerekre vonatkozó megfelelési követelmények érvényesítését írja elő. Ekkor már minden, a magas kockázatú kategóriába sorolt rendszernek meg kell felelnie a részletes szabályozásnak, amely többek között a generált naplók megőrzésére és az alapvető jogi hatásvizsgálatok elvégzésére vonatkozik. A kötelezettségszegés súlyos pénzbírságokat vonhat maga után, amely akár 15 millió eurót, vagy a vállalat globális éves árbevételének 3%-át is elérhetik.
A fentiek mellett fontos, hogy ne feledkezünk meg a GDPR előírásairól sem. A GDPR bár nem említi kifejezetten a mesterséges intelligenciát, annak 22. cikke (automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást), közvetetten a mesterséges intelligencia rendszerek használatának ellenőrzésére is vonatkozik. Ugyanis ezek a rendszerek gyakran hoznak olyan automatizált döntéseket, amelyek hatással vannak az egyénekre.
Ahhoz, hogy egy vállalat biztosan megfeleljen az MI rendelet előírásainak, az első lépés egy általános hatásvizsgálat, illetve kockázatelemzés elvégzése a használt MI rendszerek kapcsán. Ez a folyamat segít felmérni, hogy az alkalmazott MI rendszerek milyen kockázati besorolásba esnek, és lehetőséget ad arra, hogy a vállalatok időben felkészüljenek a jogszabályi megfelelésre. A hatásvizsgálat elvégzése különösen fontos a 2025. februári határidő előtt, mivel ekkorra már el kell kerülni a tiltott MI rendszerek alkalmazását. Az ilyen rendszerekre vonatkozóan az MI rendelet a legszigorúbb szankciókat írja elő, így a vállalatok számára elengedhetetlen, hogy már most átvizsgálják az általuk használt rendszereket, és megfelelő intézkedéseket hozzanak.
[1] https://ico.org.uk/action-weve-taken/audits-and-overview-reports/ai-tools-in-recruitment/