Mit jelent a GDPR 22. cikke és a SCHUFA-ítélet a HR- és hitelezési AI-ra?
A 22. cikk önállóan él tovább az AI Act mellett. A SCHUFA-ítélet (C-634/21) szerint már a pontszám előállítása is automatizált döntéshozatalnak minősül, ha a harmadik fél meghatározó mértékben erre támaszkodik. A megfelelési teher tehát a scoring-szolgáltatót is terheli, nem tolható át kizárólag a felhasználóra.
Ezt egészíti ki a 2025. február 27-i Dun & Bradstreet Austria ítélet (C-203/22): a GDPR 15. cikk (1) h) pontja szerinti „érdemi információ az alkalmazott logikáról” tömör, átlátható és érthető magyarázatot követel az eljárásról és a ténylegesen alkalmazott elvekről. Az algoritmus képlete nem elegendő, de az üzleti titokra hivatkozás sem zárhatja ki általánosan a hozzáférést.
HR és hitelezés egyaránt magas kockázatú terület a III. melléklet 4., illetve 5. b) pontja szerint. A gyakorlati következtetés hármas: kell a 22. cikk (2) szerinti kivétel — szerződés teljesítése, uniós vagy tagállami jog, vagy kifejezett hozzájárulás —, plusz a (3) szerinti garanciák, az emberi beavatkozás, az álláspont kifejtése és a kifogás joga.
A 14. cikk szerinti emberi felügyelet önmagában nem teszi „nem kizárólag automatizálttá” a döntést: a pecsételő emberi jóváhagyás a bírói gyakorlat szerint nem elég. Az AI Act 86. cikke szerinti magyarázathoz való jog 2026. augusztus 2. óta további réteget ad ehhez.
Összetettebb eset?
Ha a besorolás vagy a szerepkör nem egyértelmű, érdemes konkrét tényálláson végigmenni.
KapcsolatfelvételKapcsolódó kérdések
- Lehet-e AI-val automatikusan elutasítani egy álláspályázót?
- Mit mondott ki a SCHUFA-ítélet a hitelpontszámról?
- Elég-e egy ember jóváhagyása az automatizált döntéshez?
- Milyen magyarázatot kérhet az érintett az AI-döntésről?
- Mit jelent az AI Act 86. cikke szerinti magyarázathoz való jog?
- Magas kockázatú-e a hitelbírálati AI?
Tovább a tudásbázisban
- Magas kockázatú AI-nak számít az önéletrajz-szűrő vagy a HR-értékelő rendszer?Igen. A III. melléklet 4. pontja a toborzástól a munkaviszony megszűnéséig terjedő teljes életciklust lefedi: célzott álláshirdetés-megjelenítés, jelentkezésszűrés, jelöltértékelés, előléptetés, elbocsátás, viselkedés- vagy személyiségalapú feladatkiosztás, valamint a munkavégzés megfigyelése és értékelése. Ez a legtipikusabb vállalati magas kockázatú eset. A megfelelési határidő 2027. december 2., a besorolási döntést viszont már most érdemes írásba foglalni.
- Hogyan viszonyul egymáshoz az EU AI Act és a GDPR?Párhuzamosan, egymás mellett alkalmazandók — egyik sem váltja ki a másikat. Az AI Act termékbiztonsági logikájú, a GDPR jogalap-logikájú. Egy rendszer lehet AI Act-konform és mégis GDPR-sértő, és fordítva is. A 2. cikk (7) bekezdés kimondja, hogy a rendelet nem érinti az uniós adatvédelmi jogot.
- Mi a különbség a DPIA és a FRIA között, és összevonható-e a kettő?Más a védett érdek, a kötelezett és a kiváltó ok. A DPIA az adatkezelőt terheli, tárgya a személyesadat-kezelés; a FRIA az alkalmazót, tárgya az alapjogi hatás. Egyik sem váltja ki a másikat, de a 27. cikk (4) kiegészítő viszonyt ír elő, így egyetlen, kétfejezetes dokumentumban elvégezhetők.