GDPR
Angol megfelelő: GDPR (General Data Protection Regulation), magyarul általános adatvédelmi rendelet
A GDPR az Európai Unió adatvédelmi rendelete, amely a személyes adatok kezelését szabályozza. 2018. május 25. óta alkalmazandó, közvetlenül, tehát magyar jogszabályba átültetés nélkül is kötelező.
A rendelet a személyes adatra vonatkozik, vagyis minden olyan adatra, amiből egy élő ember azonosítható: névre, e-mail-címre, telefonszámra, ügyfélazonosítóra, egyes esetekben az IP-címre. Ami nem köthető emberhez, arra nem terjed ki, tehát egy termékleírás vagy egy gépnapló önmagában nem tartozik ide. Területileg ott alkalmazandó, ahol az érintett az Unióban van, függetlenül attól, hol áll a szolgáltató szervere, ezért az amerikai AI-szolgáltató használata sem vonja ki a céget alóla.
Az AI-hoz három ponton ér hozzá közvetlenül. Az első a jogalap: személyes adatot nem azért lehet betenni egy modellbe, mert hasznos, hanem akkor, ha van rá jogalap, ezt pedig a betétel ELŐTT kell tisztázni, nem utólag.
A második az automatizált döntéshozatal: a rendelet külön foglalkozik azzal az esettel, amikor egy döntés kizárólag gépi úton születik, ráadásul jogi hatással vagy hasonlóan jelentős következménnyel jár az érintettre; ilyenkor az érintettnek többletjogai vannak, például emberi beavatkozást kérhet. A harmadik az adattovábbítás: ha a cég egy külső modellszolgáltatót használ, az jellemzően adatfeldolgozóvá válik, amihez írásos megállapodás kell, valamint tisztázni kell, hova kerül az adat földrajzilag, meg meddig őrzik.
Ez a szócikk fogalmat magyaráz, nem jogi tanács: konkrét ügyben a cég adatvédelmi felelősét vagy ügyvédjét kell megkérdezni, a hatályos rendeletszöveg pedig a döntő, nem ez a bekezdés.
Példa: Egy tizennégy fős magyar HR-szolgáltató AI-t állít az önéletrajzok előszűrésére: a rendszer pontozza a jelölteket, a listát pedig rangsorolva adja át az ügyfélnek. Két külön kérdés merül fel, gyakran összekeverik őket. Az egyik, hogy a jelöltek adata mehet-e egyáltalán a modellhez, illetve milyen jogalapon, milyen tájékoztatással. A másik, hogy a rangsor alapján születik-e olyan döntés, amit ténylegesen nem néz át ember. Ha a gyakorlatban az ügyfél a lista alját nem nyitja meg, akkor emberi felügyeletről beszélni félrevezető. A mérce: legyen írásban, hogy a pontszám csak sorrendet ad, az elutasítást pedig névvel megnevezett személy hozza meg, plusz legyen kimutatható, hány jelöltet nézett át ténylegesen ember.
Forrás: Az Európai Parlament, valamint a Tanács (EU) 2016/679 rendelete, közismert nevén GDPR; az alkalmazás kezdőnapja 2018. május 25. Az adatfeldolgozói viszonyra vonatkozó rész a 28. cikk, ezt a Kreatív Kontroll saját, aláírt szerződései is így hivatkozzák. Az automatizált döntéshozatalra vonatkozó szabály cikkszámát a szócikk szándékosan nem írja ki, mert azt a hatályos szövegben kell ellenőrizni. A három AI-érintkezési pont kiemelése, valamint a példa a szótár saját értelmezése, nem jogi állásfoglalás.
Rokon fogalmak: EU AI Act, human-in-the-loop, human, kontrollelv, input, autonóm