A hitelképesség értékelése jól mutatja, hogyan találkoznak a különböző szabályozási rétegek.
Az MI-rendelet III. mellékletének 5. b) pontja a természetes személyek hitelképességének értékelésére vagy hitelpontszámának megállapítására szánt MI-rendszereket a nagy kockázatú felhasználások között nevesíti. Az adott besorolási pont alól kivételt képeznek a pénzügyi csalás észlelésére használt rendszerek, ez azonban nem jelent általános mentességet az MI-rendelet alól.
A besorolásnál a 6. cikk további, meghatározott feltételekhez kötött kivételeit is figyelembe kell venni. Ezek nem alkalmazhatók korlátlanul: a III. mellékletben említett, természetes személyekre vonatkozó profilalkotást végző MI-rendszereket a rendelkezés szerint mindig nagy kockázatúnak kell tekinteni.
A nagy kockázatú rendszerekhez a megfelelő alkalmazási időponttól többek között kockázatkezelési, adatkormányzási, dokumentációs és emberi felügyeleti követelmények kapcsolódnak.
A hitelképesség-értékelésnél egy további kötelezettség is megjelenik: az ilyen nagy kockázatú MI-rendszer alkalmazójának az első használat előtt alapjogi hatásvizsgálatot (FRIA) kell végeznie. Ennek célja annak feltárása, hogy a konkrét alkalmazási környezetben milyen hatással lehet a rendszer az érintett személyekre és alapvető jogaikra, és milyen emberi, szervezeti vagy egyéb intézkedésekkel kezelhetők ezek a kockázatok. A 2026-os módosítás ugyanakkor csökkenti a párhuzamos dokumentációt: ha valamely FRIA-követelményt a GDPR szerinti adatvédelmi hatásvizsgálat (DPIA) már megfelelően lefed, a FRIA hivatkozhat a DPIA megfelelő részeire vagy átveheti azokat.
Az Európai Unió Bírósága a SCHUFA-ügyben arra is rámutatott, hogy maga az automatizált hitelképességi pontszám előállítása is a GDPR 22. cikke szerinti automatizált döntéshozatal körébe kerülhet, ha a pontszámra a későbbi szerződéses döntés során meghatározó mértékben támaszkodnak.
Az MI-rendelet szerinti emberi felügyelet a rendszer hatékony ellenőrzését, kimenetének megfelelő értelmezését és a szükséges emberi beavatkozás lehetőségét célozza. A GDPR-nál viszont azt is vizsgálni kell, hogy a konkrét ügyfélre vonatkozó, joghatással vagy hasonlóan jelentős hatással járó döntés kizárólag automatizált adatkezelésen alapul-e.
Ha az ügyintéző csak jóváhagyja a rendszer eredményét, miközben nincs tényleges mérlegelési lehetősége vagy hatásköre az eltérésre, az ember puszta jelenléte még nem feltétlenül jelent érdemi emberi közreműködést.
A kizárólag automatizált, jelentős hatású döntéshozatal ugyanakkor nem minden esetben tilos. A GDPR meghatározott kivételeket enged: a szerződés megkötéséhez vagy teljesítéséhez való szükségesség, megfelelő jogszabályi felhatalmazás, illetve az érintett kifejezett hozzájárulása esetén. Ezek alkalmazhatóságát és a kapcsolódó garanciákat külön kell megvizsgálni; az automatizálás kényelmessége önmagában nem azonos a szükségességgel.
A banki MI egyik fontos kérdése ezért nem pusztán az, hogy van-e ember a folyamatban, hanem az, hogy mit csinál ténylegesen.
Hitelbírálat, csalásfelderítés, ügyfélazonosítás, pénzmosás-megelőzés, virtuális asszisztensek: a mesterséges intelligencia egyre több ponton épül be a banki működésbe. Miközben az MI gyorsíthatja a folyamatokat és erősítheti a biztonságot, új működési, adatvédelmi és információbiztonsági kockázatokat is létrehoz. A feladat ezért már nem egyszerűen az MI bevezetése, hanem annak kontrollált beépítése a bank működésébe.
Szerző:
Liber Ádám, PhD, LL.M.
FIP, CIPP/E, CIPM, CISM, CRISC
Irodavezető partner ügyvéd, BLB Legal
