– A SCHUFA-ügy hozadéka: az automatizált hitelbírálat gyakorlatát felül kell vizsgálni –

A banki hitelbírálat egyre inkább automatizált módon történik, emberi beavatkozás nélkül. A folyamat végén lehet, hogy egy személy hoz majd formális döntést, de ahogy az újabb esetek is mutatják, a humán kontrollerek ilyenkor szinte mindig az AI által meghatározott score (hitelbírálati) értékekre támaszkodnak. Nem látják át, hogy a rendszer milyen súllyal és milyen tényezők alapján kalkulálta az ügyfelet minősítő pontszámot. Ezen a gyakorlaton változtathat az Európai Bíróság SCHUFA-ügyben nemrég meghozott döntése.

Az Európai Unió Bírósága (EUB) a SCHUFA ügyben kimondta, hogy az automatizált hitelbírálat, a „credit scoring” csak szigorú feltételek mellett megengedett. Az EUB szerint – a GDPR előírásai alapján – automatizált (emberi beavatkozás nélküli) döntéshozatalnak minősül egy független hitelminősítő cég által az AI alkalmazásával kalkulált score érték, ha bizonyos értékszám alatt a bank szinte kivétel nélkül megtagadja a hitel nyújtását. A hitelbírálat világában a SCHUFA ügynek messzemenő hatásai lesznek. A bankoknak fokozottan kell figyelniük, hiszen innentől kezdve sokkal tágabb körben érvényesül az automatizált döntéshozatal GDPR szerinti tilalma.

Az EUB most először adott iránymutatást az „automatizált döntéshozatal” fogalmával kapcsolatban arra a helyzetre, amikor az úgynevezett „assistive” AI készíti elő az emberi döntéshozatalt.

A kérdés a következő: a döntés előkészítése tekinthető-e automatizált döntéshozatalnak? Egyrészt nem tekinthető automatizált döntéshozatalnak, hiszen a végleges formális döntést a bank valamely dolgozója hozza meg. Másrészt lehet, hogy mégis annak kell tekinteni, mivel az assistive AI a döntés előkészítésével olyan mértékben determinálja azt, hogy az előkészítés valójában már magát a döntést jelenti.

Az ügy mérföldkő lehet. Ha az automatizált döntéshozatalt eszerint értelmezzük, úgy az automatizált döntéshozatal GDPR 22. cikk szerinti tilalma is szélesebb körben érvényesül.

Ezen tilalom alól csak bizonyos feltételek mellett lehet mentesülni, például amikor az automatizált döntéshozatalra a „hitelszerződés teljesítése” érdekében van szükség. Ekkor a folyamatba megfelelő garanciákat kell beépíteni, mint például az ügyfél külön tájékoztatása és joga arra, hogy emberi beavatkozást kérjen és kapjon, kifejthesse álláspontját, magyarázatot kapjon a döntésről és panasszal éljen.

A SCHUFA-ügy háttere

A SCHUFA egy német hitelminősítő cég, amely szerződő partnerei (pl. bankok és távközlési vállalatok) számára gyűjt információkat a fogyasztók fizetőképességéről és ezáltal előrejelzéseket készít az AI segítségével az érintett fogyasztók jövőbeli viselkedéséről („score”), például egy hitel visszafizetése kapcsán. A score érték azon a feltevésen alapul, hogy valamely személyt bizonyos hasonló jellemzőkkel bíró személyekkel sorol egy csoportba (az alkalmazott logika: ha a csoport tagjai bizonyos módon jártak el, úgy valószínű, hogy az érintett személy, mint a csoport tagja, szintén bizonyos módon fog eljárni).

Az ügy azzal indult, hogy a bank – miután megkapta a SCHUFA előrejelzését – megtagadta a hitelnyújtást a kérelmezőnek. Ezután a kérelmező kérte, hogy a SCHUFA adjon tájékoztatást a róla nyilvántartott személyes adatokról.

A SCHUFA válaszában közölte, hogy hitelképességével kapcsolatban 86% score értéket állapított meg, egyben ismertette a score-érték kiszámításának módját, azonban üzleti titokra hivatkozva megtagadta a tájékoztatást arról, hogy melyik információt milyen súllyal veszi figyelembe a rendszer. A SCHUFA azt is közölte az érintettel, hogy ő csupán továbbítja az információkat a banknak, a döntést a bank hozza meg.

A kérelmező panaszával a hesseni adatvédelemi hatósághoz fordult és tájékoztatást kért az adatkezelésről, beleértve az automatizált döntéshozatal logikáját is. A hesseni adatvédelmi hatóság elutasította a panaszt azzal az érveléssel, hogy a SCHUFA pusztán a score értéket állapítja meg, de a bank az, aki a döntést meghozza, ezért a SCHUFA-ra nem alkalmazható az GDPR 22. cikk szerinti automatikus döntéshozatal tilalma.

Ezt követően a kérelmező megtámadta a hatóság döntését a németországi Wiesbaden közigazgatási bírósága előtt. A wiesbadeni bíróság az előzetes döntéshozatal eljárása keretében az EUB felé továbbította az ügyet. Az EUB-nak meg kellett vizsgálnia, hogy a score előrejelzések automatizált döntéshozatalnak minősülnek-e, ha a végleges, formális döntést a bank hozza meg, de a bank a döntést elsősorban a SCHUFA által megadott score értékre alapozza.

Az EUB bíróság döntése

Az EUB elvetette azt a formális megközelítést, miszerint a score érték megállapítása csak előkészítő aktusnak minősülhet, és csak a bank által elfogadott aktus minősülhet automatizált döntéshozatalnak.

Ha a score érték döntő szerepet játszik a hitel nyújtásában, azaz a nem megfelelő score érték szinte minden esetben azt eredményezi, hogy a bank megtagadja a hitel nyújtását, úgy a score értékek önmagukban is a GDPR 22. cikke szerinti automatizált döntéshozatalnak minősülnek, ugyanis csak ez biztosíthatja az érintettek hatékony védelmét.

Mit hoz a jövő?

Magyarországon nem elterjedt a SCHUFA-hoz hasonló, általános hitelminősítő cégek bevonása a folyamatba, de a Magyar Bankszövetség is foglalkozik a hasonló külső szolgáltatók bevonási lehetőségével. Ezt elsősorban FinTech és Big Data szolgáltatókon keresztül tartja megvalósíthatónak, akik a Bankszövetség szerint több és részletesebb adattal rendelkeznek az ügyfelek fizetési szokásairól, mint a bankok és így akár pontosabb hitelbírálati folyamatot alakíthatnak ki. Ezért a jövőben a SCHUFA-ügy tanulságai Magyarországra is megfelelően irányadók lehetnek.

Ha egy bank külső szolgáltató score értékeire szeretne támaszkodni, úgy a banknak meg kell vizsgálnia, hogy ez mennyiben lehetséges, vagyis a szolgáltató tevékenysége mennyiben feleltethető meg a GDPR 22. cikkben meghatározott tilalom alóli mentesítő feltételeknek. Javasolt a felek között rendezni, hogy hogyan oszlik meg a felelősség a GDPR megfelelőség tekintetében és az emberi felülvizsgálatot mindenképpen érdemes alapértelmezetten beépíteni a folyamatba.