Adatvédelmi hatásvizsgálat (DPIA)
Az adatvédelmi hatásvizsgálat (DPIA) a GDPR — nem az AI Act — szerinti önálló jogintézmény, amelyet az adatkezelőnek kell elvégeznie, ha egy adatkezelés valószínűsíthetően magas kockázatot jelent a természetes személyek jogaira és szabadságaira. Sok AI-alapú HR- vagy hitelbírálati megoldás jellemzően DPIA-köteles, még akkor is, ha az AI Act szerinti alapjogi hatásvizsgálat (FRIA) alanyi köre nem terjed ki rá.
A jogalapot a GDPR 35. cikke adja, az AI Act ehhez a 26. cikk (9) és a 27. cikk (1)–(5) bekezdésében kapcsolódik kereszthivatkozással. A DPIA és a FRIA között három lényeges különbség van: a védett érdek (a DPIA a személyes adat kezelését, a FRIA az alapjogi hatást vizsgálja), a kötelezett (a DPIA az adatkezelőt, a FRIA a szűk körű alkalmazói kategóriát terheli), és a kiváltó ok (a DPIA a magas kockázatú adatkezelést, a FRIA a magas kockázatú AI-rendszer bevezetését köti ki). A gyakorlatban egy átlagos magyar kkv-nál, amely HR-célú AI-t vezet be, a FRIA jellemzően nem alkalmazandó (mert nem esik a szűk alanyi körbe), a DPIA viszont igen, mert a munkavállalói adatok AI-alapú profilalkotása tipikusan magas kockázatú adatkezelésnek minősül a GDPR értelmében. A 27. cikk (4) bekezdése szerint a két vizsgálat kiegészítő viszonyban áll, ezért egyetlen, kétfejezetes dokumentumban is elvégezhetők.
Egy HR-célú AI-t bevezető kkv-nak jellemzően nem a FRIA-t, hanem a GDPR szerinti DPIA-t kell elvégeznie — ezt a kettőt gyakran összekeverik, pedig más a kötelezett kör és más az eljárás.
Dokumentált AI-jártassági képzésre van szüksége?
A 4. cikk gondossági kötelem: nem a tudás önmagában számít, hanem hogy a cég bizonyíthatóan tett érte. Az alapcsomagunkkal ez ingyen elkezdhető.
Ingyenes kezdésKapcsolódó fogalmak
- Alapjogi hatásvizsgálat (FRIA)Az alapjogi hatásvizsgálat (FRIA) egy szűk alanyi körre — közjog által szabályozott szervekre, közszolgáltatást nyújtó magánszervezetekre, valamint a hitelképesség-értékelő és biztosítási kockázatértékelő rendszerek alkalmazóira — vonatkozó kötelezettség, amely a magas kockázatú AI-rendszer alapjogi hatásait méri fel a használatba vétel előtt. Egy átlagos magáncég HR-célú AI-használata nem esik ide.
- AdatkormányzásAz adatkormányzás a magas kockázatú AI-rendszer tanító-, validációs és tesztadathalmazaira vonatkozó nyolc gyakorlatot foglalja magában, valamint azt az anyagi mércét, hogy az adathalmazok relevánsak, kellően reprezentatívak, és a lehető legnagyobb mértékben hibamentesek és teljesek legyenek. Hibátlan adathalmazt a jogalkotó nem követel, hanem a rendeltetéshez mért, dokumentált gondosságot.
- AlkalmazóAlkalmazó az, aki AI-rendszert saját felügyelete alatt használ szakmai tevékenységében — kivéve, ha a rendszert nem szakmai, tisztán személyes tevékenység keretében veszi igénybe. A puszta használat, bármilyen intenzív, nem tesz szolgáltatóvá; az alkalmazóra a jóval szűkebb 26. cikk vonatkozik.
Kapcsolódó kérdések a tudásbázisban
- Mi a különbség a DPIA és a FRIA között, és összevonható-e a kettő?Más a védett érdek, a kötelezett és a kiváltó ok. A DPIA az adatkezelőt terheli, tárgya a személyesadat-kezelés; a FRIA az alkalmazót, tárgya az alapjogi hatás. Egyik sem váltja ki a másikat, de a 27. cikk (4) kiegészítő viszonyt ír elő, így egyetlen, kétfejezetes dokumentumban elvégezhetők.
- Hogyan viszonyul egymáshoz az EU AI Act és a GDPR?Párhuzamosan, egymás mellett alkalmazandók — egyik sem váltja ki a másikat. Az AI Act termékbiztonsági logikájú, a GDPR jogalap-logikájú. Egy rendszer lehet AI Act-konform és mégis GDPR-sértő, és fordítva is. A 2. cikk (7) bekezdés kimondja, hogy a rendelet nem érinti az uniós adatvédelmi jogot.
- Kire vonatkozik az alapjogi hatásvizsgálat (FRIA), és mi a viszonya a GDPR szerinti DPIA-hoz?Zárt, szűk alanyi kör: közjog által szabályozott szervek, közszolgáltatást nyújtó magánszervezetek, valamint a hitelképesség-értékelő és az élet- vagy egészségbiztosítási kockázatértékelő rendszerek alkalmazói. Egy átlagos magáncég HR-célú AI-használata nem esik ide — ott viszont a GDPR 35. cikk szerinti adatvédelmi hatásvizsgálat jellemzően kötelező.