GDPR: право не бути предметом лише автоматизованого рішення
27 квітня 2016 року Європейський парламент і Рада підписали Загальний регламент про захист даних (GDPR), який застосовується з 25 травня 2018 року. Стаття 22 дає людині право не бути предметом рішення, заснованого виключно на автоматизованому обробленні, зокрема профілюванні, якщо воно має для неї правові чи подібно суттєві наслідки.
Чому це важливо
Норма, що діє прямо в усіх державах ЄС і карає штрафом від обороту, поставила межу для рішень, які ухвалює алгоритм без людини, і дала людині право знати про логіку такого рішення. Через п'ять років пропозиція Акта про ШІ будувалася як доповнення до цього регламенту, а не замість нього.
Стаття 22(2) знімає заборону, якщо рішення потрібне для договору, дозволене правом Союзу чи держави з належними запобіжниками або засноване на явній згоді — будь-яка одна з трьох підстав. Для договору й згоди стаття 22(3) вимагає щонайменше права на втручання людини, права висловити свою позицію й оскаржити рішення; стаття 22(4) забороняє такі рішення на особливих категоріях даних, крім двох винятків статті 9(2). Стаття 15(1)(h) дає право знати про існування автоматизованого рішення і дістати змістовну інформацію про задіяну логіку, значення й очікувані наслідки; той самий рядок стоїть у статтях 13 і 14. Декларація (71) як приклади називає автоматичну відмову в онлайн-кредиті та найм через e-recruiting без людини. За порушення прав зі статей 12–22 стаття 83(5) передбачає штраф до 20 млн євро або до 4 % світового річного обороту, залежно від того, що більше. Запис не стверджує, що регламент дає «право на пояснення» окремого рішення: такого виразу в тексті статей немає.