Coraz więcej organizacji wykorzystuje systemy sztucznej inteligencji do wspierania, a niekiedy wręcz podejmowania decyzji dotyczących konkretnych osób – w rekrutacji, ocenie zdolności kredytowej, ubezpieczeniach czy obsłudze klienta. W tym kontekście szczególnego znaczenia nabiera art. 22 RODO, regulujący zautomatyzowane podejmowanie decyzji, w tym profilowanie.
Prawo do sprzeciwu wobec decyzji podjętej wyłącznie przez maszynę
Artykuł 22 RODO przyznaje osobie, której dane dotyczą, prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu – w tym profilowaniu – jeżeli decyzja ta wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa.
Kiedy zautomatyzowana decyzja jest dopuszczalna?
RODO przewiduje trzy sytuacje, w których taka decyzja może zostać podjęta zgodnie z prawem:
- jest niezbędna do zawarcia lub wykonania umowy,
- jest dozwolona prawem Unii Europejskiej lub prawem krajowym, które przewiduje odpowiednie środki ochrony praw,
- osoba, której dane dotyczą, wyraziła na to wyraźną zgodę.
Nawet jeśli jeden z tych warunków jest spełniony, administrator musi zapewnić odpowiednie zabezpieczenia: prawo do uzyskania interwencji ludzkiej, prawo do wyrażenia własnego stanowiska oraz prawo do zakwestionowania decyzji.
Dane szczególnych kategorii pod dodatkową ochroną
Jeżeli zautomatyzowana decyzja opiera się na danych szczególnych kategorii – np. dotyczących zdrowia, pochodzenia rasowego czy poglądów politycznych – RODO przewiduje dodatkowe, surowsze ograniczenia. Co do zasady wymagana jest wówczas wyraźna zgoda lub odrębna podstawa prawna, wraz ze szczególnymi środkami ochrony.
Co to oznacza w praktyce dla systemów AI?
RODO wymaga od administratorów stosowania właściwych procedur matematycznych i statystycznych, wdrożenia mechanizmów korygujących błędy w danych oraz zapobiegania skutkom dyskryminującym. Profilowanie obejmuje każdą zautomatyzowaną analizę służącą ocenie cech osobowych, wyników w pracy, sytuacji ekonomicznej czy przewidywaniu zachowań, jeśli analiza ta w istotny sposób wpływa na daną osobę.
Innymi słowy: wdrażając system AI wspierający podejmowanie decyzji dotyczących ludzi, organizacja musi z góry ustalić, czy decyzja będzie w pełni zautomatyzowana, czy będzie jej towarzyszył realny, merytoryczny udział człowieka. Nadzór człowieka pozostaje kluczowym elementem zgodnego z prawem wdrożenia rozwiązań AI.