Automatisert avgjørelse: når er menneskelig vurdering en rett?
Forstå når en avgjørelse er helautomatisk og betydelig. Et eksempel skiller reell menneskelig vurdering, teknisk støtte og aktuelle vernetiltak.
Et datasystem foreslår et svar. Et annet system sender et endelig avslag uten at en person har vurdert saken. Begge bruker teknologi, men personvernreglene om automatiserte avgjørelser skiller mellom slike situasjoner. Det er ikke nok å spørre om «KI var involvert».
To forhold må undersøkes sammen: Var avgjørelsen utelukkende automatisert, uten reell menneskelig innflytelse? Og fikk den rettsvirkning eller en tilsvarende betydelig virkning for personen? Først da har du utgangspunktet for å forstå særregelen og de aktuelle unntakene.
Et menneske som bare trykker send
I dette oppdiktede eksemplet søker Daniel om en betalt tjeneste som har stor økonomisk betydning for ham. Leverandørens system samler opplysninger, beregner et resultat og velger avslag. En ansatt ser bare på en kø og trykker «send alle». Daniel får et brev med et personnavn nederst.
Navnet beviser ikke alene at saken har fått en individuell menneskelig vurdering. Daniel vil vite om den ansatte faktisk kunne undersøke saken, endre resultatet og ta hensyn til opplysningene hans. Det er handlingen og innflytelsen som betyr noe, ikke bare at en ansatt finnes et sted i prosessen.
Tenk så på en annen prosess: Systemet sorterer søknader, men en ansvarlig person gjennomgår Daniels opplysninger, vurderer forslaget og kan velge en annen konklusjon. Dette er ikke uten videre samme situasjon. Teknologi kan støtte en beslutning uten at beslutningen blir helautomatisk.
Eksemplet fastslår ikke om en bestemt leverandørs løsning er lovlig. Det viser hvilke opplysninger som mangler før Daniel kan forstå hva som har skjedd.
Begge vilkårene må være til stede
En automatisk sortering av en ufarlig visningsliste har ikke nødvendigvis tilsvarende betydning som en avgjørelse som vesentlig påvirker en persons økonomi eller tilgang til viktige tjenester. Samtidig kan en betydelig avgjørelse være tatt av et menneske etter individuell behandling.
Datatilsynets veiledning om automatiserte avgjørelser forklarer at særvernet gjelder helautomatiske individuelle avgjørelser med rettsvirkning eller tilsvarende vesentlig virkning. Begrepene må ikke reduseres til at alle programmer er forbudt, eller at ethvert automatisk svar gir samme krav på menneskelig gjennomgang.
| Spørsmål Daniel stiller | Hvorfor det er relevant |
|---|---|
| Hvem tok den endelige avgjørelsen? | Skiller maskinelt forslag fra faktisk avgjørelsesmakt |
| Hva gjorde den ansatte i min sak? | Avklarer om menneskets innflytelse var reell |
| Hvilken virkning har avslaget? | Hjelper å vurdere betydningen for personen |
| Hvilket grunnlag brukes for helautomatikk? | Gjør eventuelle unntak og vernetiltak synlige |
| Hvordan kan jeg få forklare meg og bestride resultatet? | Retter oppfølgingen mot prosessen som faktisk er brukt |
Daniel bør beskrive virkningen for seg selv konkret. At et svar er irriterende, er ikke i seg selv det samme som vesentlig betydning. På den andre siden blir en alvorlig virkning ikke ubetydelig bare fordi brevet kom raskt.
Hovedregel, unntak og rettigheter må leses sammen
Hovedregelen gir vern mot slike betydelige helautomatiske avgjørelser. Det finnes bestemte unntak, blant annet når det er nødvendig for en avtale, når lov gir adgang med relevante garantier, eller ved uttrykkelig samtykke. «Vi bruker et effektivt system» er ikke i seg selv navnet på et slikt unntak.
Ved unntak knyttet til avtale eller uttrykkelig samtykke skal personen blant annet kunne kreve menneskelig inngripen, uttrykke sitt syn og bestride avgjørelsen. For lovhjemlede løsninger må de aktuelle lovreglene og garantiene undersøkes. Det er derfor upresist å love identisk menneskelig omprøving i enhver offentlig automatisert prosess uten å se på hjemmelen.
Daniel kan spørre hvilken prosess og hvilket grunnlag som er brukt før han velger videre oppfølging. Dersom registrerte fakta er feil, kan også retting av personopplysninger være relevant. En rettet opplysning og en ny vurdering av en avgjørelse er fortsatt forskjellige spørsmål.
Be om informasjon som gjør prosessen forståelig
Daniel kan be om å få forklart om avgjørelsen var helautomatisk, hvilken betydning personopplysningene hadde, og hvordan han kan bruke relevante rettigheter. Han trenger ikke kunne lese programmets kildekode for å spørre hvordan saken ble avgjort. Samtidig betyr retten til informasjon ikke automatisk at han skal få alle interne dokumenter uten vurdering.
Guiden om personverninnsyn og saksinnsyn hjelper ham å formulere behovet. Datatilsynets virksomhetsveiledning beskriver hvordan rettighetsforespørsler håndteres. Ord til skriftlig oppfølging finnes i digitale skjema og søknader.
Det mest nyttige sluttspørsmålet er dermed ikke «Var dette en datamaskin?», men «Hvem hadde reell innflytelse, hva betydde resultatet, og hvilket vern gjelder i akkurat denne prosessen?»