A mesterséges intelligenciára vonatkozó rendelet legahamarabb alkalmazandó szakaszai a tiltott MI-gyakorlatokra vonatkozó előírások (MI Rendelet, 5. cikk), amelyek 6 hónappal az MI Rendelet hatályba lépését követően, azaz 2025. február 2-től már alkalmazandóvá is válnak. Az MI Rendeletet részletesen bemutató sorozatom előző részében ezen tiltott MI-gyakorlatok közül mutattam be az első négyet, a mai posztban pedig folytatom a tiltott MI-gyakorlatok bemutatását további négy tiltott gyakorlat részletes ismertetésével. (A két posztban tehát valamennyi tiltott gyakorlat bemutatásra kerül.)

1. Milyen tiltott MI-gyakorlatokat nevesít az MI Rendelet?

Az MI Rendelet az alábbi gyakorlatokat sorolja a tiltott MI-gyakorlatok körébe: 

• tudatalatti vagy célzottan manipulatív vagy megtévesztő technikákat alkalmazó MI-rendszerek,
• egy személy vagy személyek meghatározott csoportjának sebezhetőségét kihasználó MI-rendszerek, 
• társadalmi pontozási MI-rendszerek,
• a bűncselekmények valószínűségével kapcsolatos kockázatértékelésre szánt MI-rendszerek,
• arcfelismerő adatbázisok,
• érzelemfelismerésre alkalmazott MI-rendszerek munkahelyeken és oktatási intézményekben történő használata,
• biometrikus kategorizálási rendszerek,
• "valós idejű" távoli biometrikus azonosító rendszerek alkalmazása bűnüldözési célokra, a nyilvánosság számára hozzáférhető helyeken.  

2. Az egyes tiltott MI-gyakorlatokkal kapcsolatos legfőbb tudnivalók 

Az alábbiakban az egyes tiltott gyakorlatokat veszem végig és megnézem, hogy (i) milyen technikák, módszerek alkalmazása, (ii) milyen cél, illetve hatás elérése, és (iii) milyen következmények, eredmények elérése esetén valósulhat meg az elfogadhatatlanul magas kockázattal járó gyakorlat. Egyes gyakorlatok esetében, ahol erre az MI Rendelet lehetőséget biztosít, a tilalom alóli kivételeket is bemutatom. Ahol lehetséges példákkal is szemléltetem az egyes tiltott MI-gyakorlatokat.   

Ahogy látni fogjuk a tilalmak az adott MI-rendszerek forgalomba hozatalára, üzembe helyezésére vagy használatára vonatkoznak. Ezen fogalmakat az alábbiak szerint határozza meg az MI Rendelet: 

• forgalomba hozatal: valamely MI-rendszer vagy általános célú MI-modell első alkalommal történő forgalmazása az uniós piacon (3. cikk, 9. pont);
• üzembe helyezés: valamely MI-rendszer első használatra történő, a szolgáltató általi rendelkezésre bocsátása közvetlenül az alkalmazó számára vagy saját használatra az Unióban, a rendeltetésének* megfelelően (3. cikk, 11. pont); [*rendeltetés: "az MI-rendszer azon használata, amelyre a szolgáltató azt szánta, beleértve a használat sajátos körülményeit és feltételeit, a szolgáltató által a használati utasításban, a promóciós vagy értékesítési anyagokban és nyilatkozatokban, valamint a műszaki dokumentációban megadott információk szerint", 3. cikk, 12. pont]
• használat: erre vonatkozóan nem tartalmaz külön meghatározást az MI Rendelet. A használat elsősorban az "alkalmazó" fogalmán keresztül jelenik meg ("alkalmazó: olyan természetes vagy jogi személy, hatóság, ügynökség vagy egyéb szerv, aki vagy amely a felügyelete alá tartozó MI-rendszert használja, kivéve, ha az MI-rendszert személyes, nem szakmai jellegű tevékenység során használja", lásd 3. cikk, 4. pont).

(A számozás az alábbiakban igazodik az MI Rendelet 5. cikke szerinti felsoroláshoz, illetve az ennek megfelelően az előző poszt 2. pontjában megkezdett részletes ismertetéshez.)

2.5 Arcfelismerő adatbázisok létrehozatala (5. cikk (1) bek. e) pont)

Az arcfelismerő adatbázisok nem célzott lekérdezés (web scraping) útján történő létrehozatalára és bővítésére vonatkozó tilalom szükségessége elég könnyen indokolható, hiszen ilyen jellegű szolgáltatás jelenleg is elérhető a piacon. A Clearview AI nevű cég lényegében ezt csinálja és bár évek óta zajlanak hatósági és bírósági eljárások a céggel szemben, ezt a tevékenységet továbbra is folytatja (egy 2023. októberi BBC cikk szerint nagyságrendileg 30 milliárd képet gyűjtöttek össze az adatbázisukba az internetről és hírek szerint, az USA-ban több, mint 1 millió rendőrség általi lekérdezés történt az adatbázisból 2023-ig).   

Az MI Rendelet tilalma kapcsán a fő kérdés, hogy mit értünk "nem célzott lekérdezés" (web scraping) alatt. Az ICO (angol adatvédelmi hatóság) által alkalmazott meghatározás szerint, a nem célzott webes lekérdezés (web scraping) tipikusan automatizált szoftver használatát jelenti, amely a weboldalak "feltérképezésére", információk gyűjtésére, másolására és/vagy kinyerésére, valamint ezen információk tárolására (pl. adatbázisban) szolgál, további felhasználás céljából. Az információ bármi lehet, ami az érinett weboldalakon megtalálható (pl. kép, videó, szöveg, stb.). 

2.6 Érzelemfelismerésre alkalmazott MI-rendszerek munkahelyeken és oktatási intézményekben történő használata (5. cikk (1) bek. f) pont)

Az érzelemfelismeréssel kapcsolatos - részleges - tilalom oka arra vezethető vissza, hogy ezen MI-rendszerek tudományos alapjával kapcsolatban komoly aggályok merültek fel, különösen amiatt, mert az érzelmek kifejezése jelentősen eltérhet egymástól kultúránként és helyzetenként, sőt akár egyetlen személy esetében is (lásd Preambulum (44) bekezdés).

Az MI Rendelet egyébként definiálja az  „érzelemfelismerő rendszer” fogalmát, amely a meghatározás szerint "a természetes személyek érzelmeinek vagy szándékainak a biometrikus adataik alapján történő azonosítására, illetve kikövetkeztetésére szolgáló MI-rendszer." (MI Rendelet, 3. cikk 39. pont) Mit értünk ebben a körben érzelem alatt? Az MI Rendelet alapján (lásd Preambulum (18) bekezdés, kiemelés tőlem):

a fogalom érzelem vagy szándék alatt például a következőket érti: boldogság, szomorúság, düh, meglepettség, undor, zavar, izgatottság, szégyen, megvetés, elégedettség és derű. Nem foglalja magában a fizikai állapotokat, például a fájdalmat vagy a kimerültséget; ezek például olyan rendszerekhez kapcsolódnak, amelyeket hivatásos pilóták vagy járművezetők kimerültségi állapotának detektálására használnak balesetek megelőzése céljából. Nem foglalja magában az egyértelműen nyilvánvaló kifejezések, gesztusok vagy mozdulatok puszta detektálását sem, kivéve, ha ezeket érzelmek azonosítására vagy kikövetkeztetésére használják. A szóban forgó kifejezések közé tartozhatnak az alapvető arckifejezések, például a rosszalló tekintet vagy a mosoly, illetve a gesztusok, például a kéz, a kar vagy a fej mozgatása, de a személy hangjának jellemzői is, például a felemelt hang vagy a suttogás. 

A fő aggodalomra - az MI Rendelet preambuluma alapján - az adhatja tehát az okot, hogy az érzelmek felismerésére vagy az azokra való következtetésekre szolgáló rendszerek diszkriminatív eredményekhez vezethetnek és tolakodóak lehetnek. Ennek ellenére nem általános tilalmat állapít meg az MI Rendelet, hanem olyan helyzetekre fókuszál, ahol az  erőviszonyok tipikusan kiegyensúlyozatlanok, így a munkahelyekre és az oktatási intézményekre. Ugyanakkor orvosi (például terápiás használatra szánt MI-rendszerek) vagy biztonsági okokból még ebben a körben is lehetnek a tilalom alól kivételek. 

Az érzelemfelismerő rendszerek - legalábbis azok, amelyek nem esnek a tiltott MI-gyakorlatok körébe - nagy kockázatú MI-rendszerek minősülnek (lásd az MI Rendelet III. sz. mellékletét), illetve az MI Rendelet szerinti tájékoztatási kötelezettség hatálya alá is esnek (MI Rendelet, 50. cikk (3) bekezdés). 

2.7. Biometrikus kategorizálási rendszerek (5. cikk (1) bek. g) pont)

Az MI Rendelet szerint „biometrikus kategorizálási rendszer” a biometrikus adataik alapján a természetes személyek meghatározott kategóriákba sorolására szolgáló MI-rendszer, kivéve, ha az egy másik kereskedelmi szolgáltatás mellett kiegészítő jelleggel bír, és objektív technikai okokból feltétlenül szükséges. (MI Rendelet 3. cikk 40. pont)

A biometrikus adat fogalma alatt az adatvédelmi jogszabályokban meghatározottakat kell érteni, azaz „biometrikus adat” egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat. (Lásd GDPR 4. cikk 14. pont, 2018/1725 rendelet 3. cikk 18. pont, illetve 2016/680 irányelv 3. cikk 13. pont.)

A biometrikus kategorizálási rendszerek alkalmazására vonatkozó tilalom alól ismer tehát kivételt az MI Rendelet és a preambulumban példákat is találunk erre (lásd Preambulum (30) bekezdés, kiemelés tőlem): 

Ez a tilalom nem terjedhet ki az uniós vagy nemzeti joggal összhangban beszerzett biometrikus adatkészletek biometrikus adatok szerint történő jogszerű címkézésére, szűrésére vagy kategorizálására, például képek hajszín vagy szemszín szerinti válogatására, ami felhasználható például a bűnüldözés területén. 

Fontos azonban, hogy mivel a biometrikus adatok a személyes adatok különleges kategóriájába tartoznak, így amennyiben a biometrikus kategorizális rendszerek nem esnek tilalom hatálya alá, úgy nagy kockázatú MI rendszernek minősülnek (lásd MI Rendelet III. sz. melléklet, erre a jelen blogsorozat későbbi részeiben, a nagy kockázatú MI-rendszerek kapcsán még visszatérek). Az MI Rendelet szerinti továbbá - ha nem esnek ezek a rendszerek tilalom hatálya alá - tájékoztatási kötelezettség is vonatkozik rájuk (MI Rendelet, 50. cikk (3) bekezdés). 

Az MI Rendelet meghatározza a bűnüldözés fogalmát is, amely a bűnüldöző hatóságok által vagy a nevükben folytatott, a bűncselekmények megelőzését, nyomozását, felderítését, büntetőeljárás alá vonását vagy büntetőjogi szankciók végrehajtását célzó tevékenységek, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését is (3. cikk, 46. pont). 

2.8 "Valós idejű" távoli biometrikus azonosító rendszerek alkalmazása bűnüldözési célokra, a nyilvánosság számára hozzáférhető helyeken (5. cikk (1) bek. h) pont)

Ezen tilalom kereteinek meghatározása kapcsán mindenekelőtt a kapcsolódó fogalmakat kell tisztáznunk. Az MI Rendelet szerint (lásd 3. cikk, 35. és 41-43. pontok): 

• „biometrikus azonosítás”: az ember testi, fiziológiai, viselkedési, illetve pszichológiai jellemzőinek automatikus felismerése a természetes személy személyazonosságának megállapítása céljából, az adott egyén biometrikus adatainak az adatbázisban tárolt egyének biometrikus adataival való összehasonlítása révén;
• „távoli biometrikus azonosító rendszer”: a természetes személyek olyan azonosítására szolgáló MI-rendszer, amely azonosítás az adott személyek aktív közreműködése nélkül, jellemzően távolról, adataiknak a referencia-adatbázisban szereplő biometrikus adatokkal való összehasonlítása révén történik;
• „valós idejű távoli biometrikus azonosító rendszer”: olyan távoli biometrikus azonosító rendszer, amelyben a biometrikus adatok rögzítése, az összehasonlítás és az azonosítás jelentős késleltetés nélkül történik, ami nemcsak az azonnali azonosítást foglalja magában, hanem az intézkedések kijátszásának elkerülése érdekében a korlátozott rövid késleltetéseket is;
• „nem valós idejű távoli biometrikus azonosító rendszer”: a valós idejű távoli biometrikus azonosító rendszertől eltérő távoli biometrikus azonosító rendszer.

Tekintettel arra, hogy a tilalom a nyilvánosság számára hozzáférhető helyekre vonatkozik, így fontos azt is tisztázni, mi minősülhet ilyen helynek. Az MI Rendelet szerint „a nyilvánosság számára hozzáférhető hely” olyan köz- vagy magántulajdonban álló fizikai terület, amely meghatározatlan számú természetes személy számára hozzáférhető, függetlenül attól, hogy esetleg alkalmazandók-e bizonyos hozzáférési feltételek, valamint függetlenül a befogadóképesség esetleges korlátaitól (3. cikk, 44. pont). Az MI Rendelet preambuluma részletesebb eligazítást is ad a nyilvánosság számára hozzáférhető helyek fogalmának értelmezése és határai kapcsán (lásd Preambulum (19) bekezdés, kiemelés tőlem): 

E rendelet alkalmazásában a „nyilvánosság számára hozzáférhető hely” fogalma alatt bármely olyan fizikai hely értendő, amely meghatározatlan számú természetes személy számára hozzáférhető, függetlenül attól, hogy a szóban forgó hely magán- vagy köztulajdonban van-e, és függetlenül attól a tevékenységtől, amelyre a hely használható, mint például kereskedelem (például üzletek, éttermek, kávézók), szolgáltatások (például bankok, szakmai tevékenységek, vendéglátás), sport (például uszodák, edzőtermek, stadionok), közlekedés (például busz-, metró- és vasútállomások, repülőterek, közlekedési eszközök), szórakoztatás (például mozik, színházak, múzeumok, koncert- és konferenciatermek), illetve szabadidő vagy egyéb (például közutak és terek, parkok, erdők, játszóterek). Helyénvaló, hogy egy hely akkor is a nyilvánosság számára hozzáférhetőnek minősüljön, ha az esetleges kapacitási vagy biztonsági korlátozásoktól függetlenül a belépésre bizonyos előre meghatározott olyan feltételek vonatkoznak, amelyeket meghatározatlan számú személy teljesíthet, mint például jegy vagy vonaljegy megvásárlása, előzetes regisztráció vagy bizonyos életkori korlátozás. Ezzel szemben egy hely nem tekinthető a nyilvánosság számára hozzáférhetőnek, ha a hozzáférés a közbiztonsághoz vagy -védelemhez közvetlenül kapcsolódó uniós vagy nemzeti jog alapján vagy az adott helyen hatáskörrel rendelkező személy akaratának egyértelmű kinyilvánítása révén konkrét és meghatározott természetes személyekre korlátozódik. Önmagában a hozzáférés tényleges lehetősége (például egy nyitott ajtó vagy a kerítésben lévő nyitott kapu) nem jelenti azt, hogy a hely a nyilvánosság számára hozzáférhető, amennyiben ennek ellenkezőjére utaló jelöléseket (például a belépést tiltó vagy korlátozó táblákat) helyeztek el, vagy a körülmények ennek ellenkezőjére utalnak. A vállalati és gyárhelyiségek, valamint azok az irodák és munkahelyek, ahová csak az érintett munkavállalók és szolgáltatók léphetnek be, a nyilvánosság számára nem hozzáférhető helyek. Helyénvaló, hogy a börtönök és a határellenőrzési területek ne tartozzanak a nyilvánosság számára hozzáférhető helyek közé. Néhány más terület mind a nyilvánosság számára nem hozzáférhető területekből, mind a nyilvánosság számára hozzáférhető területekből is állhat, mint például egy magántulajdonú lakóház folyosója, amelyen keresztül egy orvosi rendelőt lehet megközelíteni, vagy egy repülőtér. Az online terek sem tartoznak ide, mivel nem fizikai helyek. Azt, hogy egy adott hely hozzáférhető-e a nyilvánosság számára, mindazonáltal eseti alapon kell meghatározni, figyelembe véve a szóbanforgó egyedi helyzet sajátosságait.

(A bűnüldözés fogalma kapcsán lásd a biometrikus kategorizálási rendszernél írtakat.)

(A távoli biometrikus azonosító rendszerek, beleértve a valós idejű távoli biometrikus azonosító rendszer esetleges alkalmazásának részletes feltételeivel, amit az MI Rendelet is részletesen szabályoz pl. az 5. cikk (2)-(9) bekezdéseiben, a későbbiekben még foglalkozom.)