Mesterséges intelligencia – az új kolléga, aki mindent tud rólunk?

Az utóbbi években a hazai vállalatoknál is jelentősen elterjedt a mesterséges intelligencia (MI) alkalmazása – gondoljunk csak a chatbotokra vagy egyes információbiztonsági eszközökre, mint az adatok kiszivárgását megelőző vagy a biztonsági eseményeket felismerő szoftverekre. Az MI használatával a cégek növelhetik hatékonyságukat, miközben a költségeiket is csökkenthetik, de az új technológia sok adatvédelmi jogi kérdést is felvet.

Az MI működése a munkahelyen elsősorban a munkáltató érdekeit szolgálja, de az adatkezelés nem járhat a munkavállalók szabadságának, jogainak, érdekeinek szükségtelen és aránytalan korlátozásával. Így bár lehet, hogy alapvető üzleti érdek teszi indokolttá a mesterséges intelligencia alkalmazását, a munkáltató mégsem használhatja azt a dolgozók totális megfigyelésére – például minden egyes számítógépes műveletük vizsgálatára vagy akár a munkavállalók személyiségének elemzésére e-mailjeik szóhasználata, nyelvezete alapján.

Azt is fontos megvizsgálni, hogy az MI használata egyáltalán szükséges és alkalmas-e a kitűzött cél eléréséhez. Például egy teljesítményértékelő szoftver tud-e valós és hiteles képet adni a munka minőségéről, megalapozhatja-e az előléptetésről szóló döntést, és egyáltalán indokolt-e a bevezetése, vagy ugyanazt az eredményt MI használata nélkül is el lehet-e érni.

 Így például a technikai problémák megoldása céljából működő chatbot nem gyűjthet a munkavállaló hangulatára vonatkozó adatokat. A személyes adatok csak a gyűjtésükre okot adó célokkal összeegyeztethetően kezelhetők – így az e-mailek biztonsági célú elemzését tilos felhasználni a dolgozók egymással szembeni viselkedésének megfigyelésére.

Mivel az MI még ma is új technológiának számít, a használata általában magas kockázattal jár a munkavállalók, illetve egyéb érintettek jogaira és szabadságaira nézve, így a munkáltatónak a bevezetésről szóló döntés előkészítésekor minden esetben adatvédelmi hatásvizsgálatot kell, illetőleg érdemes lefolytatnia. Az ilyen vizsgálat során többek között azt kell megvizsgálni, hogy a magas kockázat megfelelő intézkedésekkel mérsékelhető-e olyan szintre, amely már megfelel a szükségesség és arányosság elvének.

Ilyen eset, ha az adatkezelés célja a munkavállalók munkájának megfigyelése, vagy ha az MI a munkavállaló teljesítménye, illetve viselkedése alapján „profilt” hoz létre. Ha a munkáltató az adatvédelmi hatásvizsgálat eredménye alapján bizonytalan abban, hogy az említett magas kockázat megfelelően mérsékelhető-e, köteles kikérnie a NAIH véleményét is. Lényeges az is, hogy ha az adatkezelés jogalapját a munkáltató vagy egy harmadik fél (például az anyacég) jogos érdeke jelenti, a munkáltatónak a szükségesség, arányosság és alkalmasság szempontjait egy érdekmérlegelési tesztben is meg kell vizsgálnia.

A mesterséges intelligencia sok esetben gépi tanulás (machine learning) útján fejlődik, ami nagyon leegyszerűsítve azt jelenti, hogy a kezelt adatok alapján saját magát fejleszti. Fontos azonban, hogy a munka törvénykönyve alapján a munkáltató csak olyan személyes adat közlését követelheti a munkavállalótól, amely a munkaviszony szempontjából lényeges. Kiemelendő az is, hogy a célhoz kötöttség elve alapján a személyes adatokat nem lehet olyan célból kezelni, amely nem összeegyeztethető a gyűjtést indokoló eredeti célokkal. Így – hacsak nem anonimizált személyes adatokról van szó –, a munkavállalók személyes adatai az esetek túlnyomó többségében nem használhatók fel a mesterséges intelligencia fejlesztéséhez. 

Érdemes kiemelni, hogy ha az adatkezelés jogalapja a munkáltató vagy egy harmadik fél jogos érdeke – ami a mesterséges intelligencia használata esetén rendkívül gyakori –, a munkavállaló jogosult tiltakozni az adatkezelés ellen, aminek a jogosságát a munkáltatónak meg kell vizsgálnia. Lényeges kérdésekben – például munkaviszony megszüntetésével, a munkavégzés helyének megváltoztatásával vagy munkabérrel kapcsolatos kérdésekben – nem javasolt, és a szükségesség, valamint az arányosság elve miatt az esetek túlnyomó többségében nem is lehet kizárólag automatizált működésén alapuló döntést hozni.

 A tájékoztatásnak nem feltétlenül kell tartalmaznia a folyamat konkrét műszaki leírását, azonban a munkáltatónak többek között egyértelművé kell tennie, hogy az adatkezelésnek mi a célja és jogalapja, mely személyes adatokat kezeli, ki fog azokhoz hozzáférni – például külső szolgáltató –, és továbbítják-e a személyes adatokat az Európai Gazdasági Térségen kívülre. Emellett világossá kell tenni azt is, hogy az adatkezeléssel hozott döntések teljesen mentesek-e az emberi beavatkozástól, és ha igen, azt, hogy milyen logika áll a döntéshozatal mögött, és az ilyen döntéseknek az érintettekre nézve milyen jelentősége van.

Az új technológiát kiemelt gondossággal kell alkalmazni, mert a mesterséges intelligenciával kapcsolatos nem megfelelő adatkezelés jelentős bírsággal is járhat. Jelenleg viszonylag kevés olyan hatósági döntés érhető el nyilvánosan, amelyben a NAIH a mesterséges intelligenciával kapcsolatos adatkezelési műveleteket vizsgált, de az egyik ilyenben a hatóság rekordösszegű, 250 millió forintos adatvédelmi bírságot szabott ki egy bankkal szemben. A hitelintézet többek között arra használta az MI-t, hogy elemezze az ügyfélhívásokat fogadó munkavállalói érzelmeit, és az így gyűjtött adatok alapján értékelje teljesítményüket. Az ügyben a NAIH megállapította, hogy az érzelmek kiértékelése nem bizonyíthatóan hatékony a munkavállalók teljesítményének kiértékelésére, és egy ilyen megoldás súlyosan korlátozza a dolgozók önrendelkezési jogát is. A hatóság azt is hangsúlyozta, hogy a munkahelyi adatkezeléseknél a munkáltatónak mindig figyelembe kell vennie, hogy a foglalkoztató és a munkavállaló közötti alá-fölé rendeltségi viszony miatt a dolgozók kiszolgáltatott helyzetben lehetnek az adatkezelés során. 

Szem előtt tartandó, hogy az EU-ban ki szeretnének dolgozni egy olyan rendeletet, amely megteremti az MI-re vonatkozó harmonizált európai szabályozást, és amely minden tagállamban közvetlenül alkalmazandó lesz. Ha ezt elfogadják, az új szabályok a mesterséges intelligenciára vonatkozó adatvédelmi jogi követelményekre is kihatással lesznek.