GDPR ma artykuł 22 który często jest pomijany przy dyskusjach o AI — a który jest bezpośrednio relevantny dla agentów. Artykuł 22 mówi: „Osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa.”
Agent który decyduje o przyznaniu kredytu, o zatrudnieniu, o ubezpieczeniu — podejmuje decyzję która „istotnie wpływa” na osobę. GDPR wymaga prawa do interwencji człowieka.
Czym jest automated decision making
Automated decision making (ADM) to podejmowanie decyzji mających skutki prawne lub istotnie wpływających na osobę fizyczną wyłącznie przez system automatyczny — bez znaczącej interwencji człowieka — regulowane przez artykuł 22 GDPR, który przyznaje osobom prawo do wyjaśnienia decyzji, do sprzeciwu i do ludzkiej interwencji w procesie decyzyjnym.
Art. 22 GDPR — co wymaga
Zakaz decyzji wyłącznie automatycznych (z wyjątkami): decyzje wywołujące skutki prawne lub istotnie wpływające na osobę nie mogą być podejmowane wyłącznie automatycznie. Wyjątki: niezbędność do umowy, wyraźna zgoda osoby, przepis prawa.
Prawo do wyjaśnienia: osoba ma prawo uzyskać wyjaśnienie logiki decyzji i jej znaczenia oraz przewidywanych konsekwencji.
Prawo do ludzkiego przeglądu: osoba ma prawo zażądać przeglądu decyzji przez człowieka, wyrażenia swojego stanowiska i zakwestionowania decyzji.
Agenty AI a Art. 22
Wiele systemów agentowych wpadnie pod Art. 22. Agent który automatycznie odrzuca wniosek kredytowy, agent który filtruje CV bez ludzkiego przeglądu, agent który decyduje o taryfie ubezpieczeniowej — to są decyzje istotnie wpływające na osobę.
„Znacząca interwencja ludzka” która wyłącza Art. 22 to nie rubber-stamping przez człowieka który zatwierdza każdą decyzję AI bez faktycznej oceny. GDPR oczekuje że człowiek faktycznie ocenia decyzję — co oznacza odpowiedni training, dostęp do informacji i realne możliwości odrzucenia rekomendacji AI.
AI Act + Art. 22 razem
Dla systemów agentowych w obszarach wysokiego ryzyka AI Act nakłada wymagania dokumentacji i human oversight, a Art. 22 GDPR nakłada prawa do wyjaśnienia i ludzkiej interwencji. Oba muszą być spełnione jednocześnie. Compliance AI Act nie zwalnia z compliance GDPR Art. 22 i vice versa.