A mesterséges intelligencia rendszerek (a továbbiakban: MI-rendszerek) egyre több szolgáltatásba és termékbe kerülnek valamilyen formában – gyakran az avatatlan szem számára észrevétlenül – beépítésre. Az Európai Parlament és a Tanács (EU) 2024/1689 számú, a mesterséges intelligenciáról szóló rendeletének (a továbbiakban: MI Rendelet) alapelvi szintű követelménye a transzparencia, azaz, hogy az alkalmazó átlátható módon tájékoztassa a felhasználókat, illetve a fogyasztókat a részükre nyújtott szolgáltatás részét képző MI-rendszerek alkalmazásáról és működéséről.

Az MI Rendelet tájékoztatási kötelezettségei, kockázatalapú átláthatósági rendszert alkotnak, amelynek célja, hogy a természetes személyek minden releváns helyzetben felismerhessék az általuk igénybe vett szolgáltatások körében az MI-rendszerek működését és hatását. Az MI Rendelet általánosságban írja elő, hogy minden olyan interakció során, amelyben természetes személy MI-rendszerrel kerül kapcsolatba, a felhasználót – hacsak ez számára nem nyilvánvaló – egyértelműen és jól észlelhető módon tájékoztatni kell arról, hogy a kommunikáció vagy a szolgáltatás MI alapú. A szabályozás ugyanakkor speciális, szigorított tájékoztatási követelményeket határoz meg bizonyos technológiák esetében. Az érzelemelemző és biometrikus adatok alapján kategorizáló rendszerek alkalmazóinak minden esetben közölniük kell, hogy a személy mely jellemzői alapján történik az elemzés, míg a mesterségesen létrehozott vagy manipulált kép-, hang- vagy videótartalmak (deepfake-ek) esetében szintén kötelező a mesterséges előállítás tényének egyértelmű feltüntetése.

A tájékoztatásnak minden esetben időben, az első interakció előtt vagy annak pillanatában, jól láthatóan, valamint akadálymentes módon kell megtörténnie, úgy, hogy az érintett személy ténylegesen képes legyen megérteni a rendszer működését és szerepét. Az MI Rendelet ezen túlmenően a nagy kockázatú MI-rendszerek esetében előírja, hogy az alkalmazónak részletes, érthető és teljes körű tájékoztatást kell biztosítania a rendszer korlátairól, kockázatairól és működéséről. Ez a többrétegű rendszer biztosítja, hogy a felhasználók ne csupán felismerjék az MI jelenlétét, hanem megfelelő minőségű információ birtokában értékelhessék annak hatásait.

Ezen kötelezettségeknek az alkalmazó azonban csak akkor lehet képes megfelelni, ha:

1. Naprakész és pontos ismeretekkel rendelkezik a szolgáltatásnyújtás körében használt MI-rendszerekről, amelynek előfeltétele egy részletes és rendszeresen frissített MI-rendszer nyilvántartás.
2. Részletes információval és tényleges megértéssel rendelkezik az egyes MI-rendszerek működési logikájáról, döntési mechanizmusáról, teljesítményéről és korlátairól, a „black box” hatás minimalizálása érdekében.
3. Az alkalmazónak biztosítania kell, hogy a szolgáltatásnyújtás körében a munkavállalók szabályozott, ellenőrzött módon használják az MI-rendszereket. Ehhez megfelelő belső szabályzatok, oktatás és kontrollmechanizmusok szükségesek. Ezzel párhuzamosan kiemelt jelentőségű a „shadow AI” visszaszorítása, hiszen amennyiben az alkalmazó nem képes biztosítani, hogy a ténylegesen használt MI-rendszerek köre egybeessen a nyilvántartásában szereplő eszközökkel, úgy nincs abban a helyzetben, hogy teljes körű, pontos és jogszabálynak megfelelő tájékoztatást nyújtson a felhasználók felé.

A fentiek hiányában az alkalmazó nem képes eleget tenni a vonatkozó tájékoztatási és átláthatósági kötelezettségeknek, hiszen nem tud hiteles információt szolgáltatni olyan MI-rendszerekről, amelyeket maga sem ismer kellő mélységben. A felhasználók tájékoztatására és az MI-rendszerek átláthatóságára vonatkozó előírások tehát nem elszigetelt jogi kötelezettségeket jelentenek, hanem szorosan kapcsolódnak és függenek az alkalmazó belső MI irányítási, kockázatkezelési és megfelelési rendszeréhez, mivel az alkalmazó csak akkor lesz képes megfelelni a rá vonatkozó tájékoztatási követelményeknek, ha az alkalmazott MI-rendszerek és azok használata felett valódi kontrollt gyakorol.

Az MI Rendelettel párhuzamosan más jogterületek is telepítenek tájékoztatási kötelezettségeket az alkalmazókra

Az MI Rendelet szerinti tájékoztatási kötelezettségek teljesítése nem mentesíti az alkalmazókat a párhuzamosan alkalmazandó fogyasztóvédelmi és adatvédelmi jogi előírások teljesítése alól, amelyek általánosságban érvényesülnek, tehát alapvetően nem függenek az adott MI-rendszer MI Rendelet szerinti kockázati besorolásától. Az alkalmazóknak tehát – ha az MI-rendszerükkel személyes adatokat is kezelnek – egyszerre legalább három szabályozási rezsim tájékoztatási követelményeit kell összehangoltan és maradéktalanul érvényesíteniük. Az MI Rendelet átláthatósági szabályait, a fogyasztói jogok védelmére irányuló tájékoztatási kötelezettségeket, valamint a GDPR és Infotv. alapú adatvédelmi tájékoztatási követelményeket. Ez a párhuzamosság az MI-rendszerek adatintenzív jellege miatt különös figyelmet igényel, hiszen az adatkezelés gyakran együtt jár profilalkotással és ehhez kapcsolódó automatizált döntéshozatallal.

A NAIH‑85‑3/2022. számú döntése rámutat továbbá, hogy az MI alapú elemzések gyakran profilalkotásnak minősülnek és ezzel összefüggésben az alkalmazónak többlet tájékoztatási kötelezettsége keletkezik. Ezekben az esetekben a GDPR 13–14. cikkei és a Nemzeti Adatvédelmi és Információszabadság Hatóság gyakorlata egyértelművé teszik, hogy – függetlenül annak MI Rendelet szerinti kockázati besorolásától – az MI-rendszer felhasználásával megvalósuló adatkezelés esetén az érintetteket előzetesen, átláthatóan, az adatkezelés logikájára is kiterjedő tartalommal kell tájékoztatni arról, hogy az MI-rendszer milyen adatokat és hogyan dolgoz fel, és ennek milyen következménye lehet az érintettekre nézve.

Emellett a fogyasztóvédelmi jog is megköveteli azt, hogy az alkalmazó ne alkalmazzon a fogyasztók megtévesztésére alkalmas gyakorlatokat, és az MI alapú szolgáltatások működéséről, azok fogyasztóra gyakorolt hatásáról világos, valós és teljes körű információt adjon. Ez különösen releváns, ha az alkalmazó által alkalmazott MI-rendszer olyan döntéstámogató mechanizmust alkalmaz, amely a fogyasztói élményt vagy ügyintézést érdemben befolyásolja, például automatizált sorba rendezést, kockázati besorolást vagy panaszkezelési prioritások meghatározását.

A GDPR és a fogyasztóvédelmi jog egyaránt tiltja az olyan adatkezelési gyakorlatot vagy tájékoztatást, amely elhallgatja az MI-rendszer használatát a szolgáltatás során és annak működésének lényegét, és ezzel torzítja az érintett vagy fogyasztó döntési helyzetét. Így tehát ahol az MI-rendszerek működése rejtve marad a felhasználó vagy az érintett előtt, és az alkalmazó csupán formális, tartalmilag elégtelen tájékoztatást ad, ott a tájékoztatási kötelezettség megsértése mind adatvédelmi, mind fogyasztóvédelmi jogsértést eredményezhet. Tehát az MI‑rendszerek átláthatóságára vonatkozó megfelelés nem szűkíthető le kizárólag az MI Rendelet előírásaira, mivel a fogyasztóvédelmi és adatvédelmi jog számos olyan MI alapú adatkezelés és szolgáltatás esetében is önálló és kötelező tájékoztatási kötelezettségeket telepít az alkalmazóra, amelyek vonatkozásában az MI Rendelet szerinti kockázati besorolás önmagában nem eredményezne konkrét átláthatósági kötelezettséget.

A tájékoztatás tartalmi és forma követelményei

Arra vonatkozóan, hogy mi tekinthető jó gyakorlatnak, illetve, hogy az alkalmazóknak milyen követelményeknek kell megfelelniük az MI-rendszerek alkalmazásáról szóló felhasználói tájékoztatás során, hasznos iránymutatást ad a Gazdasági Versenyhivatal Versenytanácsának VJ/20/2023. (Microsoft/Bing) ügyben hozott határozata. A döntés – bár konkrét versenyjogi összefüggésben született – világosan rögzíti azokat az elvárásokat, amelyek általános megfelelési szempontként is értelmezhetők a mesterséges intelligenciát alkalmazó szervezetekkel szemben.

1. Az MI interakció világos közlése már a belépési ponton

Az MI-rendszereken alapuló szolgáltatások fogyasztóvédelmi megítélésének sarokköve, hogy a felhasználónak már a szolgáltatással való legelső találkozáskor tudnia és értenie kell, hogy a szolgáltatásnyújtást nem ember végzi, illetve, ha szolgáltatás során MI-rendszerrel lép interakcióba akkor azt, hogy nem emberrel, hanem MI-rendszerrel kommunikál. Ez a követelmény nem pusztán formai, a közlésnek nyelvileg és vizuálisan egyaránt jól észlelhetőnek kell lennie már a használat megkezdésének pillanatában. Az erről való tájékoztatást nem helyettesíti az MI-rendszer használatának kikövetkeztethető jellege, az egyéb dokumentumokban fellelhető utalások vagy az elfogadott ÁSZF-be rejtett nyilatkozat.

Nem megfelelő például az a gyakorlat, ha egy chatbot-ot használó szervezet a felhasználói felületen kizárólag egy lábjegyzet méretű, halvány szürke szöveggel közli, hogy a felhasználó „automatizált rendszerrel” beszélget, miközben a prominens szlogenként mindenhol az szerepel, hogy „Beszélgessen szakértőnkkel!”.

2. A működés lényegének és forráslogikájának közérthető ismertetése

Az alkalmazó köteles röviden, de lényegre törően bemutatni az MI-rendszer működésének alapvető logikáját, azaz, hogy az milyen adatokra és forrásokra támaszkodik, milyen feldolgozási módszert alkalmaz, és mindebből milyen megbízhatósági sajátosságok következnek. Ez jelenti a webes forrásokra épülő összegzés, a modell alapú generálás vagy az adatbázis lekérdezésen alapuló működés fogyasztó számára értelmezhetővé tételét, és ezen MI-rendszerek megbízhatósági kockázatainak legalább általános szintű bemutatását is. Fontos rögzíteni, hogy a szükséges információk „összeillesztését” nem lehet a felhasználóra delegálni, így a releváns információk elszórva történő közlése, vagy az idegen nyelvű dokumentumokra mutató linkek nem minősülnek valódi fogyasztói tájékoztatásnak. A tájékoztatásnak nyelvileg hozzáférhetőnek (magyar nyelvűnek), terjedelmében emészthetőnek és szerkezetében egységesnek és következetesnek kell lennie.

Nem megfelelő gyakorlat tehát, ha egy MI-rendszer azt ígéri a felhasználónak, hogy „megtalálja a legjobb ajánlatokat”, de sehol nem közli, hogy a válaszokat egy nagy nyelvi modell generálja nyilvánosan elérhető weboldalak adatai alapján, amelyeket nem valós időben frissít.

3. Hibalehetőségek és pontatlanságok hangsúlyos közlése

Az MI-rendszer hallucinációjának, ténybeli pontatlanságának, a hiányos vagy kontextusidegen eredmény lehetőségét jól látható módon kell jelezni a felhasználó felé, a használat előtt és a használat közben is. A gyakorlatban ez a felhasználói felületen rögzített tájékoztatásokat, kontextusérzékeny jelzéseket és a döntési pillanatokhoz igazított figyelmeztetéseket jelent. A marketing üzenetek és a MI-rendszer korlátainak közlése között tartalmi és vizuális egyensúlyt kell teremteni. Ha az előnyök kiemelt súllyal jelennek meg a főüzenetben, a korlátoknak azonos láthatósággal és hangsúllyal kell megjelenniük

Nem megfelelő gyakorlat, ha például egy jogi dokumentum összegző MI-rendszer a főoldalon azt kommunikálja, hogy „Pontos jogi elemzés másodpercek alatt”, miközben az oldal alján, kis betűvel szerepel: „Az eredmények tájékoztató jellegűek.”

4. MI-rendszerre vonatkozó szuperlatívuszok mellőzése

Különös körültekintéssel kell eljárni minden olyan kommunikáció során, amely a szolgáltatás jellemzőit kategorikus vagy szuperlatívusz jellegű állításokkal (például: megbízható, naprakész és teljes körű válasz) írja le. Az alkalmazó nem állíthat, és nem is sugalmazhat olyan abszolút vagy relatív megbízhatóságot, amely ellentétes az MI-rendszer működési korlátaival. Javasolt a képességek reális, feltételes és pontosan körülírt bemutatása, és az olyan tartalmú kommunikáció kerülése, ami a hibamentesség vagy a teljesség benyomását keltheti.

Így nem megfelelő például az a gyakorlat, ha egy MI-rendszerre épülő egészségügyi tájékoztató alkalmazás a letöltési oldalon azt hirdeti, hogy „Megbízható egészségügyi tanácsok, azonnal.” mivel az MI-rendszer képességei vonatkozásában túlzó kommunikáció azt sugallja, hogy az MI-rendszer válaszai felérnek akár egy orvosi konzultációval.

5. Tárgykör-specifikus felelősségkizárás

Az alkalmazónak világosan közölnie kell, hogy az MI-rendszer eredményei nem minősülnek jogi, egészségügyi vagy pénzügyi tanácsnak, illetve, hogy azok felhasználásához emberi ellenőrzés, valamint kontextus specifikus és külső forrásból való verifikáció szükséges.

Nem megfelelő gyakorlat tehát, ha egy pénzügyi kalkulátor MI-rendszer befektetési javaslatokat generál és az azt használó szervezet csupán az ÁSZF‑ben utal arra, hogy a szolgáltatás nem minősül befektetési tanácsadásnak.

6. Tájékoztatás a felhasználói input „sorsáról” és az ahhoz kapcsolódó adatkezelésről

A felhasználót tájékoztatni kell arról, hogy mi történik az általa az MI-rendszerbe bevitt adatokkal. Ezeket az alkalmazó vagy – ha az személyében eltér – az MI-rendszer fejlesztője (MI Rendelet szerinti szolgáltató) felhasználja-e tanításra (és ha igen, ennek személyre szabására a felhasználónak milyen beállítási lehetőségei vannak), megjelenhetnek-e más felhasználók találataiban, valamint, hogy a felhasználó milyen eljárásban kérheti a jogsértő vagy hibás tartalom eltávolítását.

A fentiek alapján nem megfelelő, ha egy chatbot-ot használó szervezet a felhasználói felületen sehol nem közli, hogy a felhasználó által bevitt adatokat felhasználja a modell továbbfejlesztéséhez, és az csak az adatkezelési tájékoztatóból derül ki.

7. Visszajelzés ösztönzése ≠ felelősségkizárás

A felhasználói visszajelzés (feedback/report) lehetőségének biztosítása hasznos termékfejlesztési eszköz, de nem helyettesíti a hibalehetőségekről és az MI-rendszer korlátairól szóló előzetes és felhasználói felületen történő tájékoztatást. A „Tanuljunk együtt! Ellenőrizze a tényeket, és tegye a következőt: osszon meg visszajelzést, hogy tanulhassunk belőle és fejlődhessünk” narratíva – amely a hibák kezelését mintegy közös tanulási folyamatként pozícionálja – nem mentesíti a szolgáltatást a proaktív tájékoztatási kötelezettsége alól.

Így nem megfelelő például az a gyakorlat, ha egy fordítószolgáltatás a főoldalon kizárólag egy „Segítsen jobbá tenni a fordítást!” visszajelzési gombot helyez el és önmagában ezt tekinti a hibák kezelésére irányuló tájékoztatásnak.

A fentiekben kifejtett követelmények nagy száma és összetett jellege rávilágít arra, hogy egy MI-rendszer használata napjainkban összetett, többdimenziós compliance feladat, amelynek egyik központi – és a gyakorlatban talán leginkább alábecsült – eleme a fogyasztók, felhasználók és érintettek megfelelő tájékoztatása az MI-rendszer igénybevételéről.

Ezen tájékoztatási kötelezettség teljesítése azért kíván különös körültekintést az alkalmazóktól, mert – amint azt a fentiekben bemutatásra került – az alkalmazó kommunikációjának egyidejűleg több jogterület követelményeinek kell megfelelnie. Az MI Rendelet átláthatósági előírásai, a tisztességtelen kereskedelmi gyakorlatokra vonatkozó fogyasztóvédelmi szabályok és az adatvédelmi szabályozás egymást kiegészítve érvényesülnek. Egyetlen felületi közlés, szlogen vagy éppen annak hiánya így egyaránt vizsgálat tárgyát képezheti az MI piacfelügyeleti hatóság, a fogyasztóvédelmi hatóság, az adatvédelmi hatóság, sőt adott esetben az ágazati felügyeletek részéről is. A többirányú jogterületi kitettség pedig értelemszerűen többszörös bírságkockázattal jár.

Mindezek fényében az alkalmazók számára nem elegendő az egyes jogterületek követelményeinek elszigetelt, silószerű kezelése. Az MI-rendszer felelős üzemeltetéséhez kapcsolódó tájékoztatási kötelezettségek teljesítése integrált compliance szemléletet, jogterületeken átívelő elemzést, a felhasználói felületek tudatos, a jogszabályi követelményeknek megfelelő tervezését, valamint a szabályozási környezet folyamatos nyomon követését igényli.

Megjelent a Wolters Kluwer Jogászvilág kiadványában.

A cikk szerzője dr. Farkas Márton ügyvéd – Réti, Várszegi és Társai Ügyvédi Iroda | PwC Legal. A Réti, Várszegi és Társai Ügyvédi Iroda | PwC Legal a jogászvilág.hu szakmai partnere.