A mesterséges intelligencia (MI) robbanásszerű térnyerésével az algoritmusok az üzleti és társadalmi tevékenységek alapvető motorjaivá váltak. Az MI-rendszerek (gépi tanulás, mélytanulás, prediktív analitika) képesek hozzáférni a korábban kihasználatlan, strukturálatlan vállalati adatok (úgynevezett „sötét adatok”) tömegéhez, amelyek a becslések szerint a céges adatvagyon akár 90%-át is kitehetik. Ez a technológiai ugrás azonban alapvető adatvédelmi és etikai kérdéseket vet fel, és komoly feszültséget generál az Európai Unió általános adatvédelmi rendeletével (GDPR).
A probléma középpontjában az olyan tech-óriások állnak, mint a Google és a Meta (Facebook/Instagram), amelyek gigantikus mennyiségű személyes adatot (keresési előzményeket, viselkedési mintákat, biometrikus adatokat) gyűjtenek és elemeznek az MI segítségével, hogy személyre szabott hirdetéseket és tartalomajánlást nyújtsanak.
1. A GDPR alapelvei kontra az MI működésének technikai realitása
Az MI-alapú adatfeldolgozás jellege több ponton is élesen ütközik a GDPR klasszikus, lineáris adatkezelési modelljével.
Adatminimalizálás versus „Adatéhség”
A GDPR 5. cikke kimondja az adatminimalizálás és a célhoz kötöttség elvét, vagyis azt, hogy az adatkezelésnek csak a feltétlenül szükséges és előre meghatározott, legitim célra szabad szorítkoznia. Ezzel szemben az MI-rendszerek működési logikája az „adatéhségre” épül: minél nagyobb és heterogénebb adathalmazból tanulhat az algoritmus, annál pontosabb kimenetet képes produkálni.
Előzetes célmeghatározás versus Adaptív tanulás
A GDPR megköveteli, hogy a célokat már az adatgyűjtés pillanatában tisztázzák és ismertessék a felhasználóval. Az adaptív MI-rendszerek (például az ügyfélszolgálati chatbotok) azonban dinamikusan fejlődnek, és a működésük során utólag olyan új funkciókat és összefüggéseket tanulhatnak meg (pl. termékajánlás, prediktív döntések), amelyek túlmutatnak az eredeti deklarált célon.
Személyes adat versus Inferált információ
A GDPR szerint minden információ személyes adatnak minősül, amely alapján egy természetes személy közvetve vagy közvetlenül azonosítható. Az MI-rendszerek nemcsak gyűjtik, hanem generálják is az adatokat: a felhasználók online szokásaiból viselkedési profilokat, preferenciákat, hitelképességi mutatókat vagy akár egészségügyi kockázatokat vezetnek le (inferált adatok). Bár ezek származtatott információk, a GDPR értelmében személyes adatnak minősülnek, ha összekapcsolhatók az egyénnel.
Átláthatóság és a „Fekete doboz” (Black Box) probléma
A mélytanulást alkalmazó modellek belső működése gyakran az emberi szem számára értelmezhetetlen: az algoritmus fogadja a bemenetet, és generálja a kimenetet, de a döntési logika átláthatatlan. A GDPR ezzel szemben rögzíti, hogy az adatkezelésnek az érintett számára átláthatónak kell lennie. Bár a teljes forráskódot nem kell felfedni, az adatkezelő köteles érthető magyarázatot adni a döntési logikáról és annak várható hatásairól.
2. Automatizált döntéshozatal és az érintetti jogok érvényesítése
A GDPR 22. cikke főszabályként tiltja, hogy a felhasználókra nézve kizárólag automatizált adatfeldolgozással (emberi beavatkozás nélkül) hozzanak olyan döntést, amely joghatással jár vagy őt jelentősen érinti.
Annak érdekében, hogy egy rendszer ne minősüljön jogsértő módon tisztán automatizáltnak, valódi és érdemi emberi felülvizsgálatra van szükség. Ha a humán szereplőnek csak formális, felszínes szerepe van (csupán rányom a gép által előkészített döntésre, de azt valójában nem módosíthatja), az nem mentesít a GDPR 22. cikkének szigorú korlátozásai alól.
Két kiemelkedő európai bírósági ítélet is formálta ezt a területet:
- Dun & Bradstreet Austria ügy ($C-203/22$): Az Európai Bíróság (EUB) kimondta, hogy az érintettnek joga van megérteni az automatizált döntés logikáját, és nem elég csupán az algoritmus nevét megadni; rövid, érthető magyarázat szükséges.
- SCHUFA Holding ügy ($C-634/21$): Az EUB rögzítette, hogy a formális emberi döntést előkészítő gépi/algoritmikus lépések is automatizált döntéshozatalnak minősülnek, ha azok meghatározó, jelentős hatást gyakorolnak a végső kimenetelre.
A „Felejtéshez való jog” technikai korlátai
Az érintetti jogok közül az egyik legnagyobb technológiai kihívás a törléshez (felejtéshez) való jog (17. cikk) érvényesítése. Ha egy felhasználó kéri az adatai törlését, az MI-modellek esetében rendkívül nehéz és költséges az implicit módon már beépült információk kivonása. A teljes biztonsághoz sokszor a modell teljes újratanítására (retraining) lenne szükség. A kutatások ugyan dolgoznak olyan eljárásokon, mint a machine unlearning (gépi elfelejtés) vagy az approximate deletion (közelítő törlés), ám ezek jelenleg nagy modelleknél még nem skálázhatók, és többnyire csak korlátozott tesztkörnyezetben működnek.
3. Tech-óriások a hatóságok kereszttüzében: Meta és Google
A platformok gazdasági modelljének középpontjában az MI-alapú adatértékelés áll, amellyel több százmilliárd eurós hirdetési bevételeket generálnak. Ez a gyakorlat azonban folyamatos jogi konfliktusok forrása.
Meta (Facebook, Instagram)
A Meta kiterjedt profilozási rendszert működtet a célzott hirdetések kiszolgálására. Korábban a vállalat az Általános Szerződési Feltételekre (szerződéses szükségességre) vagy a jogos érdekre hivatkozva végezte a profilalkotást. Az Európai Adatvédelmi Testület (EDPB) és a Bíróság döntései nyomán azonban egyértelművé vált: sem a szerződés teljesítése, sem a jogos érdek nem szolgálhat jogalapként a célzott reklámokhoz és az MI-alapú profilozáshoz; ehhez kifejezett, önkéntes és előzetes hozzájárulás (consent) szükséges.
A Meta válaszul bevezette a „consent-or-pay” (fizess vagy hozzájárulj) modellt Európában, ahol a hozzájárulás megtagadása esetén a felhasználó köteles díjat fizetni a szolgáltatásért. Ez komoly GDPR és fogyasztóvédelmi aggályokat vetett fel, mivel nem biztosít valódi, nyomásgyakorlástól mentes választási lehetőséget, és felmerült a megtévesztő minták (dark patterns) alkalmazásának gyanúja is.
A hatóságok emellett gigantikus bírságokkal szankcionálták a céget:
- 1,2 milliárd eurós bírság (2023): Az EDPB szabta ki az EU–USA közötti jogellenes adattovábbítások miatt.
- 390 millió eurós bírság (2023): A Facebook és Instagram jogellenes (szerződéses jogalapra épített) hirdetési adatkezelése miatt.
- Biometrikus adatok szigorítása: A Meta 2021-ben leállította az EU-ban az automatikus arcfelismerő rendszerét a biometrikus adatokra vonatkozó szigorú szabályok (9. cikk) miatt. Bár 2024-ben felmerült a funkció visszahozatala fiókvisszaállítási és csalásmegelőzési célból, az EU-ban a szigorú szabályozási környezet miatt ezt nem aktiválták.
A Google a Search, YouTube, Maps és Chrome szolgáltatások összekapcsolásával végez globális felhasználói profilozást. Emiatt a francia CNIL már 2019-ben 50 millió eurós bírságot szabott ki a vállalatra a nem megfelelő tájékoztatás és a hiányos hozzájárulás miatt.
A szabályozási nyomásra (beleértve a Digital Markets Act – DMA előírásait) a Google jelentős technológiai válaszokat fejlesztett ki:
- Consent Mode V2: 2024 márciusától kötelező az EGT területén. Ez a technológia biztosítja, hogy a Google hirdetési és analitikai MI-rendszerei kizárólag akkor tanulhassanak a felhasználói adatokból és végezhessenek prediktív konverzió-optimalizálást, ha a felhasználó ehhez a weboldali banneren kifejezetten hozzájárult.
- Topics API (Privacy Sandbox): A harmadik féltől származó sütik (3rd party cookies) kivezetésére tervezett megoldás. Bár a Google szerint ez kevésbé tolakodó, mert a böngésző lokálisan, tematikus kategóriákba (pl. „Fitness”, „Travel”) sorolja a felhasználót, a Max Schrems-féle NOYB szervezet 2024 elején panaszt nyújtott be ellene. Érvelésük szerint a Topics API is személyes adatokat kezel és profilalkotást valósít meg, ráadásul a Chrome-ba épített hozzájárulási felületek bagatellizálják az adatkezelés hatását, ami sérti az aktív hozzájárulás elvét.
Generatív MI és a Scraping: A Gemini (korábban Bard) esete
A generatív nyelvi modellek tréningje során a Google nyilvánosan elérhető webes tartalmakat (cikkeket, fórumbejegyzéseket, közösségi média kommenteket) gyűjt be automatizált adatlehalászással (web scraping). Ez a módszer rengeteg azonosítható természetes személyhez köthető adatot is magában foglal.
2023 júniusában az ír adatvédelmi hatóság (DPC) konkrétan blokkolta a Bard (ma Gemini) uniós bevezetését, mivel a vállalat nem nyújtott be előzetes adatvédelmi hatásvizsgálatot (DPIA), és nem tisztázta a felhasználói jogok érvényesíthetőségét. A Google végül csak egy hónappal később, komoly adatvédelmi fejlesztések bevezetése után indíthatta el a szolgáltatást az EU-ban. Ekkor integrálták a Privacy Hub-ot, és tették lehetővé a felhasználók számára az inputtörténet manuális törlését, valamint az adatmegőrzési idő (3, 18 vagy 36 hónap) testreszabását.
4. Új korszak a szabályozásban: A GDPR és az EU AI Act szimbiózisa
Az Európai Unió Mesterséges Intelligencia Rendelete (AI Act) nem helyettesíti, hanem kiegészíti a GDPR-t. Ha egy MI-rendszer életciklusa során (akár a tanítási fázisban, akár a működés közben) személyes adatokat kezel, mindkét jogszabály együttes és párhuzamos betartása kötelező.
Az AI Act egy kockázatalapú osztályozási rendszert vezet be:
| Kockázati szint | Példák az MI-alkalmazásokra | Főbb kötelezettségek |
| Tiltott (Unacceptable) | Biometrikus szociális pontozás, érzelemfelismerés diszkriminatív bias-szal, valós idejű közterületi arcfelismerés. | Az EU-ban teljes mértékben tiltott kategória. |
| Magas kockázatú (High-risk) | Hitelbírálat, személyazonosítás, munkaügyi Al döntéstámogatás, önvezető rendszerek. | Kötelező regisztráció az uniós adatbázisban, technikai dokumentáció, szigorú kockázatkezelés és alapjogi hatásvizsgálat (FRIA). |
| Korlátozott kockázat | Chatbotok, generatív modellek (Gemini, LLaMA), tartalomajánlók. | Szigorú felhasználói átláthatóság: kötelező jelezni, ha a felhasználó MI-vel kommunikál vagy mesterségesen generált tartalommal (deepfake) találkozik. |
| Minimális kockázat | Spam szűrők, MI-alapú játékok. | Nincs jelentős szabályozási kötelezettségük. |
A nagy platformok (Meta, Google) egyszerre minősülnek az MI-rendszerek fejlesztőinek (providers) és üzemeltetőinek (deployers). Emiatt összetett kötelezettségek terhelik őket: az AI Act alapján biztosítaniuk kell a tanítóadatok torzításmentességét, folyamatos naplózási rendszert (belső logok vezetése minimum 6 hónapig) kell fenntartaniuk, valamint az incidenseket azonnal jelenteniük kell a hatóságok felé.
A szankciók drasztikusak: az AI Act megsértéséért kiszabható bírságok elérhetik a 35 millió eurót vagy a vállalat globális éves forgalmának 7%-át – és ez a büntetés a GDPR-bírságokon felül értendő.
5. Konklúzió és a jövő irányvonalai
A mesterséges intelligencia működési logikája és az európai adatvédelmi jogi keretek integrációja még mindig komoly kihívások előtt áll. A jövőben a jogalkotók és a fejlesztők részéről az alábbi területekre kell a legnagyobb hangsúlyt fektetni:
- Magyarázható MI (XAI) fejlesztése: A „fekete doboz” megközelítést fel kell váltaniuk olyan modelleknek, amelyek döntési mechanizmusai auditálhatók és átlagos ember számára is értelmezhetők.
- Technológiai adatvédelem beépítése: Olyan adatvédelmi válaszok elterjedésére van szükség, mint a federated learning (föderált tanulás) vagy a differenciális adatvédelem, amelyek lehetővé teszik a modellek adaptív fejlődését anélkül, hogy túllépnék az eredetileg meghatározott célokat.
- A felhasználói kontroll kiterjesztése: Biztosítani kell a jogot a kizárólag profilozáson alapuló ajánlórendszerek kikapcsolására (amelyet a Digital Services Act – DSA is előír a legnagyobb platformoknak), lehetőséget adva a kronologikus vagy nem-személyre szabott tartalmak elérésére.
Az EU célja egyértelmű: nem az innováció elfojtása, hanem egy olyan etikus, átlátható és jogszerű digitális környezet fenntartása, ahol a technológiai fejlődés nem járhat az egyének alapvető információs önrendelkezési jogának feláldozásával.
(Sugár Péter egyesületi tagunk írását közöltük.)