Képzeljünk el egy webáruházat, amely mesterséges intelligencia segítségével szeretné jobban megismerni vásárlóit. Az AI figyeli, hogy az adott személy mit néz meg, mennyi ideig habozik a vásárlás előtt, mely reklámokra reagál, illetve milyen árnál hagyja el az oldalt. Ezután úgy módosítja az ajánlatot, hogy az a lehető legvonzóbb legyen számára.
A mesterséges intelligencia ilyen jellegű alkalmazása önmagában még nem feltétlenül problémás.
De mi történik akkor, ha a rendszer ennél tovább megy? A rendelkezésre álló adatokból megállapítja, hogy egy konkrét vásárló pénzügyi nehézségekkel küzd, vagy hogy egy adott pillanatban különösen könnyen befolyásolható. Ezt a gyengeséget pedig célzottan arra kezdi felhasználni, hogy vásárlásra vagy olyan szerződés megkötésére ösztönözze, amelyet normál körülmények között nem kötött volna meg.
Ilyenkor már nem elegendő csupán a webáruház általános szerződési feltételeit, a GDPR-szabályokat, az adatvédelmi előírásokat vagy a szoftverszolgáltatóval kötött szerződést ellenőrizni. Az európai AI Act ugyanis olyan mesterségesintelligencia-felhasználási módokat is meghatároz, amelyek egyszerűen tilosak.
Ez lényeges különbség. Számos AI-rendszer esetében azt vizsgáljuk, milyen feltételeket kell egy vállalkozásnak teljesítenie ahhoz, hogy jogszerűen használhassa az adott rendszert.
Az EU AI Act abszolút vörös vonalakat is meghatároz
Az AI Act, vagyis az (EU) 2024/1689 rendelet a mesterséges intelligencia alkalmazását kockázati szintek szerint osztályozza. Bizonyos felhasználási módok esetében azonban az Európai Unió arra a következtetésre jutott, hogy nem elegendő további dokumentációt készíteni vagy újabb biztonsági intézkedéseket bevezetni.
Az 5. cikk ezért tiltott AI-gyakorlatokat határoz meg. Ezek a szabályok nem kizárólag a technológiai óriásvállalatokra vonatkoznak. Érinthetnek egy átlagos korlátolt felelősségű társaságot, biztosítót, bankot, marketingügynökséget, webáruház-üzemeltetőt vagy egy új AI-terméket fejlesztő startupot is.
Az AI Act különbséget tesz például a „szolgáltató” között, amely leegyszerűsítve az a szereplő, amely az AI-rendszert fejleszti vagy saját neve alatt piacra helyezi, valamint a „felhasználó szervezet” között, vagyis azon vállalat vagy más szervezet között, amely saját tevékenysége során alkalmazza az AI-t.
Ez nemcsak az AI Act szempontjából fontos, hanem tágabb értelemben a kereskedelmi jog, valamint a vállalat, annak vezetése vagy ügyvezetője felelőssége szempontjából is.
Amikor a személyre szabott reklám már nem csupán reklám
A reklám természetéből adódóan megpróbálja meggyőzni a vásárlót. Egy webáruház korábbi vásárlások alapján ajánl termékeket, egy bank az ügyfél igényei szerint kínál szolgáltatást, egy online platform pedig a felhasználó korábbi keresései alapján alakítja a megjelenített tartalmat.
Az AI Act mindezt nem tiltja automatikusan.
A határ ott léphető át, amikor az AI tudatalatti, szándékosan manipulatív vagy megtévesztő technikákat alkalmaz, és ezzel jelentősen gyengíti az érintett személy azon képességét, hogy tájékozott döntést hozzon. Ennek eredményeként olyan döntésnek kell születnie, amelyet az érintett egyébként nem hozott volna meg, és az ilyen magatartásnak jelentős kárt kell okoznia vagy ilyen kár bekövetkezésének valószínűségét kell magában hordoznia.
A tudatalatti technika leegyszerűsítve olyan befolyásolást jelent, amely az ember tudatos észlelésén kívül hat. Képzeljünk el egy pénzügyi termékeket kínáló alkalmazást. A felhasználó viselkedéséből képes felismerni, hogy az illető erős pénzügyi nyomás alatt áll. Ahelyett, hogy egyszerűen megjelenítené az ajánlatot, a rendszer célzottan elkezdi kihasználni ezt a helyzetet. Mesterségesen sürgető érzést kelt, úgy állítja be az ajánlatot, mintha az lenne az egyetlen megoldás, és a felhasználót egy számára kedvezőtlen fogyasztói hitel megkötése felé tereli.
Ebben az esetben már nem csupán a fogyasztóvédelmi jogot, a fogyasztói szerződést, az általános szerződési feltételeket vagy azt kell vizsgálni, hogy megtévesztő reklámról vagy más tisztességtelen kereskedelmi gyakorlatról van-e szó. Az AI Act szerinti tilalom is alkalmazandó lehet.
Továbbra is igaz ugyanakkor, hogy nem minden agresszív reklám minősül tiltott AI-manipulációnak. Önmagában az nem elegendő, hogy a reklám meggyőzte a fogyasztót. Az AI Act további feltételek teljesülését is megköveteli, többek között a döntéshozatal lényeges torzulását és jelentős kár bekövetkezését.
Ezért különbséget kell tenni a szokásos marketing, a kereskedelmi jog szerinti megtévesztő reklám, a gyakorlatban megvalósuló tisztességtelen verseny vagy fogyasztóvédelem, valamint az AI segítségével történő manipulációra vonatkozó külön tilalom között.
A social scoring nem csak állami környezetben létezhet
A „social scoring” fogalma első hallásra kissé távolinak tűnhet. Magyarul leginkább társadalmi pontozásnak vagy társadalmi minősítésnek nevezhető.
Az elv egyszerű. Az AI információkat gyűjt egy személyről, értékeli annak viselkedését vagy feltételezett tulajdonságait, majd ezekből egyfajta összesített minősítést hoz létre. Ezt követően ez alapján döntenek arról, hogyan bánjanak az adott személlyel.
Az AI Act bizonyos körülmények között tiltja az ilyen típusú értékelést.
Képzeljünk el egy biztosítót, amely egy biztosítási szerződés megkötésekor nemcsak a biztosítási kockázattal összefüggő információkat veszi figyelembe. Az AI elkezdi elemezni az ügyfél nyilvános közösségimédia-bejegyzéseit, vásárlási szokásait, szabadidős tevékenységeit és az élet különböző területeiről származó más információkat is.
Ezekből egy általános „megbízhatósági pontszámot” készít. Az alacsony pontszámmal rendelkező személytől ezt követően megtagadják a szolgáltatást, vagy számára jelentősen rosszabb feltételeket kínálnak.
Ez már egészen más, mint egy konkrét biztosítási vagy hitelkockázat szokásos értékelése. Különösen az számít, hogy az AI milyen adatokat kapcsol össze, milyen célból értékeli az adott személyt, és milyen következményekkel jár az így létrejövő pontszám.
Ha pedig személyes adatok kezelése is történik, az AI Act természetesen nem szorítja háttérbe a GDPR-t. Továbbra is vizsgálni kell az általános adatvédelmi rendeletet, valamint adott esetben a szlovák adatvédelmi jogszabályokat is.
Az AI Act és a GDPR egyszerűen két külön szabályozási réteget jelent. Az, hogy egy AI-felhasználási mód az AI Act alapján nem tiltott, még nem jelenti automatikusan azt, hogy adatvédelmi szempontból is jogszerű.
A szállítói szerződés vagy az általános szerződési feltételek nem teszik megengedetté a tiltott AI-használatot
Az üzleti életben megszokott, hogy számos kockázatot szerződéses úton kezelünk.
A szerződés kiegészíthető a szállító felelősségére, a jogszabályok betartására vonatkozó nyilatkozatra, az adatok felhasználásának szabályaira vagy az üzleti titokra vonatkozó rendelkezésekkel. Szükség esetén szerződésmódosítás írható alá, módosítható a licenc vagy az általános szerződési feltételek.
Az AI Act által tiltott gyakorlatok esetében azonban egy egyszerű szabály érvényes: egy szerződés nem teheti jogszerűvé azt az AI-felhasználást, amelyet a jogszabály tilt.
Ha például egy vállalat tiltott biometrikus kategorizálásra használ egy rendszert, azon nem segít, hogy a szállító a szerződésben jogszabályi megfelelést ígért. Ugyanígy nem lehet automatikusan abból kiindulni, hogy az érintett személy hozzájárulása minden problémát megold.
Bizonyos jogi rendszerekben a hozzájárulás kiemelten fontos. A GDPR is ismeri a hozzájárulás intézményét, és az intim tartalmakkal kapcsolatos új tilalom körében az AI Act is kifejezetten foglalkozik vele.
Ezért az AI-termékeket használó vállalatoknak a szerződés érvényességén, az általános szerződési feltételeken vagy a licencen túl is vizsgálniuk kell a jogi megfelelést.
Az AI Act nem önmagában működik: a GDPR, a fogyasztóvédelmi jog, a szerzői jog és más szabályok továbbra is alkalmazandók
A mesterséges intelligencia jogi értékelése során az egyik gyakori hiba az, amikor valaki egyetlen „AI-jogszabályt” keres, amely minden kérdésre választ ad.
Az európai szabályozás azonban nem így működik.
Az AI Act kifejezetten nem helyettesíti a GDPR-t, sem a meglévő adatvédelmi vagy fogyasztóvédelmi szabályokat.
Egyetlen AI-termék esetében ezért párhuzamosan szükséges lehet vizsgálni például:
- az AI Actet abból a szempontból, hogy milyen módon használható az AI;
- a GDPR-t és az (EU) 2016/679 rendeletet, ha a rendszer személyes adatokat kezel;
- a nemzeti adatvédelmi jogszabályokat;
- a fogyasztóvédelmi szabályokat, ha az AI-t fogyasztókkal kapcsolatban alkalmazzák;
- a tisztességtelen kereskedelmi gyakorlatokra vonatkozó szabályokat, ha a rendszer befolyásolja a vásárló kereskedelmi döntését;
- a tisztességtelen versenyre vagy a megtévesztő reklámra vonatkozó szabályokat;
- a szerzői jogot és a copyrighttal kapcsolatos szabályokat, ha az AI fényképekkel, szövegekkel, programkóddal vagy más védett művekkel dolgozik;
- a licencszerződéseket és a szellemi tulajdonjogokat, ha a vállalat külső modellt, adatbázist vagy szoftvert használ;
- valamint természetesen a klasszikus kereskedelmi jogot, a szerződéses szabályokat és a kártérítési felelősséget is.
A bírság összege több millió euró is lehet
A tiltott gyakorlatok az AI Act által legszigorúbban szankcionált jogsértések közé tartoznak.
Az 5. cikkben meghatározott tilalmak megsértése esetén az AI Act szabályai szerint akár 35 millió euró összegű, vagy a vállalkozás előző pénzügyi évben elért teljes éves világpiaci árbevételének 7%-áig terjedő közigazgatási bírság is kiszabható.
Ez természetesen nem jelenti azt, hogy minden kisvállalkozás vagy startup automatikusan 35 millió eurós bírságot kap. A szankció meghatározásakor figyelembe veszik az adott ügy konkrét körülményeit, és az AI Act a kisebb vállalkozásokra is külön szabályokat tartalmaz.
A maximális bírság összege ugyanakkor jól mutatja, hogy az Európai Unió mennyire komolyan kezeli ezeket a gyakorlatokat.
Egy korlátolt felelősségű társaság ügyvezetője, egy startup vagy bármely más vállalkozás számára ezért az AI-termék jogi vizsgálata nem lehet olyan kérdés, amellyel csak a szolgáltatás elindítása után kezdenek foglalkozni.