Kire vonatkozik az alapjogi hatásvizsgálat (FRIA), és mi a viszonya a GDPR szerinti DPIA-hoz?
Zárt, szűk alanyi kör: közjog által szabályozott szervek, közszolgáltatást nyújtó magánszervezetek, valamint a hitelképesség-értékelő és az élet- vagy egészségbiztosítási kockázatértékelő rendszerek alkalmazói. Egy átlagos magáncég HR-célú AI-használata nem esik ide — ott viszont a GDPR 35. cikk szerinti adatvédelmi hatásvizsgálat jellemzően kötelező.
A FRIA kötelező tartalma hat pont: az érintett folyamatok leírása; a használat időtartama és gyakorisága; az érintett személyek és csoportok kategóriái; a konkrét kárkockázatok; az emberi felügyeleti intézkedések megvalósítása; végül a kockázatok bekövetkezése esetén megteendő intézkedések és a panaszkezelés. Az eredményt be kell jelenteni a piacfelügyeleti hatóságnak.
Két félreértést érdemes kimondani. A „közszolgáltatást nyújtó magánszervezet” nem a nagyvállalat szinonimája: a preambulum (96) oktatás, egészségügy, szociális szolgáltatás, lakhatás, igazságszolgáltatás jellegű, közfeladatként végzett szolgáltatásokra utal. Ugyanakkor a kör nem szűkíthető a közszférára sem: a tisztán magánjogi bank, hitelező és az élet- vagy egészségbiztosító akkor is FRIA-köteles, ha semmilyen közfeladatot nem lát el. A vagyon- vagy gépjármű-biztosítási árazás viszont nem tartozik ide.
A DPIA-hoz való viszony: ha valamely FRIA-kötelezettség már teljesül a GDPR 35. cikke szerinti hatásvizsgálat révén, a FRIA kiegészíti azt. Nem alternatíva és nem duplikáció — a két dokumentum összevonható, de a FRIA hat pontját akkor is le kell fedni, és a FRIA-hoz hatósági bejelentés társul, ami a DPIA-nál nincs. Hivatalos sablon egyelőre nem jelent meg; ennek nincs mentesítő hatása.
Összetettebb eset?
Ha a besorolás vagy a szerepkör nem egyértelmű, érdemes konkrét tényálláson végigmenni.
KapcsolatfelvételKapcsolódó kérdések
- Kell-e FRIA egy magáncégnek HR-AI használatakor?
- Mi a különbség a FRIA és a DPIA között?
- Ki minősül közszolgáltatást nyújtó magánszervezetnek?
- Kell-e FRIA a biztosítási árazáshoz?
- Van-e hivatalos FRIA-sablon?
- Be kell-e jelenteni a FRIA eredményét a hatóságnak?
- Összevonható-e a FRIA és a DPIA egy dokumentumba?
Tovább a tudásbázisban
- Milyen kötelezettségei vannak az alkalmazónak magas kockázatú AI-rendszernél?A 26. cikk tizenkét bekezdést tartalmaz, de nem mind kötelezettség és nem mind mindenkire szól. Egy vásárló magáncégre a mag: a használati útmutató szerinti használat, kompetens emberi felügyelet, a bemeneti adatok relevanciája, a működés monitorozása, a naplók legalább hat hónapos megőrzése, és a hatósággal való együttműködés.
- Mit kell átadni az AI-rendszer alkalmazójának a 13. cikk alapján?A 13. cikk kettős: egyrészt tervezési követelmény, hogy a rendszer működése kellően átlátható legyen a kimenet értelmezéséhez, másrészt tartalmi minimumlista a használati útmutatóra. Az útmutatónak tömörnek, teljesnek, helyesnek és világosnak kell lennie, és hat témakört kell lefednie a rendeltetéstől a pontossági mérőszámokon át a naplókezelésig.
- Mit követelhet a munkavállaló és az érintett személy, ha AI-rendszer dönt róla?Három, eltérő erősségű jogosultság. A munkavállalói tájékoztatás előzetes és kollektív: a munkáltató a használat előtt tájékoztatja a képviselőket és az érintett munkavállalókat. Az érintetti tájékoztatás egyszerű használati közlés. A 86. cikk szerinti magyarázati jog viszont valódi, kérelemre teljesítendő igény — de csak hátrányos, jelentős hatású döntéseknél.
- Magas kockázatú AI-nak számít az önéletrajz-szűrő vagy a HR-értékelő rendszer?Igen. A III. melléklet 4. pontja a toborzástól a munkaviszony megszűnéséig terjedő teljes életciklust lefedi: célzott álláshirdetés-megjelenítés, jelentkezésszűrés, jelöltértékelés, előléptetés, elbocsátás, viselkedés- vagy személyiségalapú feladatkiosztás, valamint a munkavégzés megfigyelése és értékelése. Ez a legtipikusabb vállalati magas kockázatú eset. A megfelelési határidő 2027. december 2., a besorolási döntést viszont már most érdemes írásba foglalni.