Hogyan viszonyul egymáshoz az EU AI Act és a GDPR?
Párhuzamosan, egymás mellett alkalmazandók — egyik sem váltja ki a másikat. Az AI Act termékbiztonsági logikájú, a GDPR jogalap-logikájú. Egy rendszer lehet AI Act-konform és mégis GDPR-sértő, és fordítva is. A 2. cikk (7) bekezdés kimondja, hogy a rendelet nem érinti az uniós adatvédelmi jogot.
Két kivétel van, ahol az AI Act önálló, GDPR-en kívüli kezelési felhatalmazást teremt: a 10. cikk (5) a torzításdetektálásra, és az 59. cikk a szabályozói sandboxra. Mindenhol máshol a GDPR sértetlen — az AI Act-megfelelés nem jogalap, és nem is helyettesíti a jogalapot.
A gyakorlati következmény két irányban áll. Egy magas kockázatú toborzási rendszer teljesítheti a kockázatkezelési, adatkormányzási és emberi felügyeleti követelményeket, miközben a tanítóadat gyűjtésének nincs érvényes jogalapja. Fordítva: egy teljesen szintetikus adaton tanított érzelemfelismerő rendszer munkahelyi bevezetése a GDPR-t nem sérti, mégis tiltott gyakorlat az 5. cikk (1) f) pontja szerint.
Jogtechnikailag nincs lex specialis-viszony. Ütközésnél nem elsőbbségi szabály dönt, hanem a két normarendszer kumulatív teljesítése kötelező. Ahol az AI Act szigorúbb átláthatóságot ír elő (13., 50., 86. cikk), az többlet a GDPR 13-15. cikkéhez képest, nem alternatíva. A két megfelelési programot ezért érdemes egymás mellé tenni, nem egymás helyett futtatni.
Nem biztos benne, hogy ez Önökre vonatkozik?
Két perc, tizenkét kérdés, és megkapja, hogy a cége mely kötelezettségek alá esik — regisztráció nélkül.
AI Act ellenőrzés indításaKapcsolódó kérdések
- Elég-e a GDPR-megfelelés az AI Acthez?
- Lehet-e egy AI-rendszer AI Act-konform, de GDPR-sértő?
- Melyik hatóság jár el AI-s adatvédelmi ügyben?
- Kell-e új adatkezelési tájékoztató az AI bevezetésekor?
- Ad-e az AI Act jogalapot személyes adat kezelésére?
- Melyik szabály az erősebb, a GDPR vagy az AI Act?
Tovább a tudásbázisban
- Milyen jogalapon lehet személyes adatot használni AI-tanításhoz?A gyakorlatban a GDPR 6. cikk (1) f) pontja szerinti jogos érdek az egyetlen skálázható jogalap. Az EDPB 28/2024. véleménye ezt nem zárja ki, de dokumentált, háromlépcsős érdekmérlegeléshez köti. A hozzájárulás nagy volumenű adatgyűjtésnél nem működőképes. Az „a modell definíció szerint anonim” állítás nem tartható.
- Mi a különbség a DPIA és a FRIA között, és összevonható-e a kettő?Más a védett érdek, a kötelezett és a kiváltó ok. A DPIA az adatkezelőt terheli, tárgya a személyesadat-kezelés; a FRIA az alkalmazót, tárgya az alapjogi hatás. Egyik sem váltja ki a másikat, de a 27. cikk (4) kiegészítő viszonyt ír elő, így egyetlen, kétfejezetes dokumentumban elvégezhetők.
- Melyik magyar hatóság ellenőrzi az EU AI Act betartását?A piacfelügyeleti hatóság és az egyablakos kapcsolattartó pont a gazdasági és energetikai miniszter, a bejelentő hatóság a Nemzeti Akkreditáló Hatóság. A pénzügyi szektor magas kockázatú rendszereinél az MNB jár el. A NAIH nem az AI Act alapján, hanem változatlanul a GDPR alapján marad játékban.