چرا تأیید صوری کاربر انسانی مانع از ممنوعیت‌های ماده ۲۲ مقررات عمومی حفاظت از داده‌ها برای هوش مصنوعی نمی‌شود؟

ورود ناظر انسانی تنها در شرایطی یک سامانه هوش مصنوعی را از شمول الزامات ماده ۲۲ مقررات عمومی حفاظت از داده‌ها (GDPR) خارج می‌کند که فرد از نظر سازمانی صلاحیت مستند، تخصص فنی و سابقه ثبت‌شده‌ای از وتو کردن پیشنهاد الگوریتم داشته باشد. هرگاه ارزیاب به شکلی پیش‌فرض تنها خروجی‌های محاسباتی ماشین را امضا کند، نهادهای تنظیم‌گر اروپایی فرایند را «تصمیم‌گیری کاملاً خودکار» قلمداد کرده و ممنوعیت‌های سخت‌گیرانه حقوقی را به جریان می‌اندازند.[1][3]

مرز میان «اعمال صلاحدید ماهوی» و «مهر تأیید صوری» اکنون به خط مقدم چالش‌های انطباق مقرراتی برای شرکت‌های توسعه‌دهنده هوش مصنوعی تبدیل شده است. ماده ۲۲ قانون حفاظت از داده‌های اتحادیه اروپا حق بنیادینی برای شهروندان قائل است: هیچ‌کس نباید صرفاً بر پایه پردازش‌های خودکاری که پیامدهای حقوقی یا اثرات چشمگیر مشابهی به همراه دارند، قضاوت شود.[2][4]

بسیاری از سازمان‌ها برای دور زدن این بند، ناظری صوری را در چرخه عملیات مستقر می‌کنند و تصور می‌نمایند هرگونه مداخله دستی، خصلت «کاملاً خودکار» بودن سامانه را از بین می‌برد. با این حال، تحلیل‌های حقوقی متأخر و رهنمودهای مراجع نظارتی نشان می‌دهند یک نگاه اجمالی و گذرا به خروجی هوش مصنوعی هرگز دخالت معنادار تلقی نمی‌شود.[1][5]

عدم پایبندی به مقررات تصمیم‌گیری خودکار عواقب مالی فلج‌کننده‌ای دارد. نهادهای تنظیم‌گر مجازند جریمه‌هایی تا سقف ۲۰ میلیون یورو یا ۴ درصد از کل گردش مالی سالانه جهانی شرکت متخلف تعیین کنند؛ این سازوکار جریمه، نقص ساختاری در گردش کار نظارت انسانی را به یک ریسک استراتژیک برای بنگاه‌های تجاری تبدیل کرده است.[4][5]

حساسیت رگولاتورها از همگرایی سه عامل ناشی می‌شود: خودکارسازی، مقیاس وسیع و اثرگذاری بر سرنوشت انسان‌ها. هنگامی که سامانه‌های هوش مصنوعی بدون ارزیابی نقادانه انسانی درباره مسائلی چون اعطای وام، استخدام، دسترسی به خدمات درمانی یا بیمه تصمیم می‌گیرند، خطاهای ساختاری و سوگیری‌های الگوریتمی به صورت تصاعدی بر میلیون‌ها نفر اثر منفی می‌گذارند.[5]

رویه قضایی شوفا

دیوان دادگستری اتحادیه اروپا در دسامبر ۲۰۲۳ با صدور حکم پرونده معروف به «شوفا» (SCHUFA - پرونده C-634/21) مبانی نظارت قضایی را متحول کرد. این دادگاه حکم داد که حتی تولید یک شاخص آماری برای اعتبارسنجی نیز در صورتی که تصمیم شخص ثالث وابسته به همان عدد باشد، مصداق بارز تصمیم‌گیری خودکار است.[4][5]

پیش از این رأی، آژانس‌های اعتبارسنجی و شرکت‌های نرم‌افزاری مدعی بودند داده‌ها و امتیازات آن‌ها صرفاً نقش ورودی مشورتی دارند و بار حقوقی نهایی فقط بر دوش بانک یا نهاد وام‌دهنده‌ای است که تصمیم آخر را می‌گیرد. دیوان این رخنه را مسدود کرد و صراحتاً گفت چنانچه امتیاز به شکل تعیین‌کننده سرنوشت معامله را رقم بزند، تصمیم‌گیرنده اصلی در عمل خود الگوریتم بوده است.[4]

با گسترش همین اصل منطقی، رتبه‌بندی‌های متقاضیان استخدام توسط مدل‌های یادگیری ماشین که مشخص می‌کنند چه کسی برای مصاحبه دعوت یا در سازمان پذیرفته شود، اکنون تصمیمی کاملاً خودکار تلقی می‌شوند. تحلیلگران مؤسسه حقوقی فیشر فیلیپس تأکید می‌کنند: «این تفسیر حقوقی، سطح تعهدات کارفرمایانی را که از ابزارهای امتیازدهی محاسباتی برای استخدام یا ارتقای شغلی استفاده می‌کنند، به شکل بی‌سابقه‌ای بالا برده است.»[5]

آستانه تعریف «اثر چشمگیر» در حقوق اروپا بالا نگه داشته شده و محدود به نتایجی است که موقعیت زیستی و مدنی فرد را دگرگون کند. بنابراین، یک موتور پیشنهاددهنده محتوا یا محصول مشمول ماده ۲۲ نخواهد بود، اما سامانه‌ای که مسدودسازی حساب بانکی، ابطال خسارت بیمه یا معرفی کاربر به عنوان مظنون پرونده کلاهبرداری را مدیریت می‌کند، مستقیماً زیر چتر این ماده قرار دارد.[2]

حتی در مواردی که تصمیم‌گیری خودکار به واسطه رضایت صریح متقاضی یا ضرورت‌های قراردادی مجاز شمرده می‌شود، سازمان موظف به طراحی حفاظ‌های امنیتی دقیق است. کاربر همواره این حق بنیادین را حفظ می‌کند که خواهان مداخله انسان شود، دیدگاه شخصی‌اش را توضیح دهد و صحت نتیجه‌گیری الگوریتم را به چالش بکشد.[2][4]

آزمون سه‌گانه برای احراز صلاحدید

خروج یک فرایند از زیر بار ممنوعیت‌های ماده ۲۲ مستلزم گذر از یک آزمون سه‌مرحله‌ای است: اختبار، صلاحیت و تأمل حقیقی. مشاوران نهاد انطباق هل ای‌آی (Hael AI) تأکید دارند: «گردش کاری که در آن تصمیمات ماشین هیچ‌گاه رد یا وتو نمی‌شوند، بارزترین سند آماری برای اثبات صوری بودن نظارت است.»[3]

در گام نخست، ارزیاب باید اختبار و قدرت واقعی برای رسیدن به تصمیمی متفاوت را دارا باشد؛ یعنی مجاز باشد توصیه هوش مصنوعی را بدون نیاز به ارجاع به سطوح بالاتر مدیریتی یا ترس از تنبیه و پیامدهای شغلی، لغو کند یا به کلی نادیده بگیرد.[3][5]

در گام دوم، ناظر باید تخصص لازم را داشته و به واقعیات پرونده دسترسی کامل داشته باشد؛ به این معنا که حوزه تخصصی مورد تصمیم را بشناسد و جزئیات پرونده فرد را مستقیماً ارزیابی کند، نه این‌که صرفاً یک شاخص آماری آماده‌شده توسط الگوریتم روی مانیتور مقابلش پدیدار شود.[3]

در گام سوم، فرایند باید زمان کافی برای تأمل واقعی را تضمین کند. اپراتوری که موظف است بر مبنای شاخص‌های سفت‌وسخت ارزیابی عملکرد (KPI) در عرض چند ثانیه تصمیمات را تأیید کند، عملاً هیچ قضاوت مستقلی انجام نمی‌دهد و چنین بازبینی‌ای از منظر قانون فاقد اثر است.[3][5]

حقوق‌دانان متأخر این وضعیت را مصداق نقض «قاعده منع تفویض صلاحدید» می‌دانند. یک نهاد عمومی می‌تواند از ماشین به مثابه ابزاری برای تسهیل امور استفاده کند، اما اجازه ندارد از طریق خودکارسازی، بار سنجش و صلاحدید را از دوش تصمیم‌گیرنده قانونی بردارد و مسئولیت را از بین ببرد.[6]

تحلیلگران تارنمای حقوقی لاوگریتیس (LawGratis) اشاره می‌کنند: «اگر قانون‌گذار به یک مقام صلاحیت اختیاری داده باشد، آن مقام نمی‌تواند مسئولیت ماهوی خود را به شرکت توسعه‌دهنده هوش مصنوعی منتقل کند، مگر این‌که قانون دقیقاً این سازوکار را تصریح کرده باشد.» حفظ پوششی ظاهری از نظارت انسانی، مصداقی از تفویض غیرقانونی اختیارات با مهر تایید صوری به شمار می‌رود.[6]

سنجش کمّی امضای صوری

شاخص‌های کنترل انطباق امروزه «نرخ نقض آرا» در طول زمان را اصلی‌ترین ملاک کمّی برای احراز صلاحدید واقعی می‌دانند. اگر داده‌ها نشان دهند ناظر انسانی در ۹۹.۸ درصد موارد رأی الگوریتم را تأیید کرده است، ادعای مداخله معنادار انسانی در مراجع قضایی رنگ می‌بازد.[2]

فرایند کاری که هیچ‌گاه خروجی الگوریتم را به چالش نکشد، به عنوان مدرک اثبات صوری‌سازی فرایند مورد استناد بازرسان قرار می‌گیرد. سازمان‌ها باید سازوکارها را به گونه‌ای بازطراحی کنند که تغییر پیشنهاد ماشین، امری طبیعی، تشویق‌شده و به طور منظم توسط تیم‌های حسابرسی ثبت و پایش شود.[2][3]

ناتوانی در ارائه داده‌های آماری مربوط به موارد اختلاف‌نظر میان انسان و ماشین در حسابرسی‌ها تخلف قطعی محسوب می‌شود. اگر شرکتی نتواند نشان دهد ناظران در چند درصد موارد با هوش مصنوعی مخالفت کرده‌اند، رگولاتور نتیجه می‌گیرد کارمند صرفاً نقش یک ترانزیتور بدون فکر برای مصوبات رایانه را بازی کرده است.[2]

برای ساختن یک سازوکار دفاع‌پذیر، ناظر موظف است دلایل شفاف خود برای موافقت یا مخالفت با پیشنهاد الگوریتم را مکتوب و مستند کند. این اقدام زنجیره‌ای از سوابق حسابرسی خلق می‌کند که اثبات می‌کند ناظر پرونده را به دقت خوانده، اطلاعات را سبک‌سنگین کرده و تصمیمی متکی بر استدلال شخصی گرفته است.[1]

چنانچه متقاضی به استناد حقوق خود خواستار ارزیابی مجدد تصمیم خودکار توسط یک انسان شود، سازمان موظف است حداکثر ظرف مدت ۳۰ روز به او پاسخ دهد. رویه بهینه آن است که بررسی مجدد به ناظری متفاوت از ارزیاب اولیه واگذار شود تا از سوگیری در بررسی دوباره جلوگیری به عمل آید.[1]

هم‌پوشانی با قانون هوش مصنوعی اروپا

این الزامات اکنون به شکلی موازی با قانون نوظهور هوش مصنوعی اتحادیه اروپا (EU AI Act) تلاقی پیدا کرده‌اند؛ قانونی که سامانه‌های فعال در اعتبارسنجی مالی، فرآیندهای استخدام و محاسبه حق بیمه عمر را بر اساس ضمیمه سوم خود سامانه‌های پرریسک می‌نامد. تکالیف این بخش از اوت ۲۰۲۶ لازم‌الاجرا خواهند شد.[4]

این دو چارچوب اگرچه هم‌پوشانی دارند، اما کارکردهای مستقلی را پیگیری می‌کنند: ماده ۲۲ حفاظی حقوقی برای افراد در برابر تصمیم‌گیری‌های انحصاری ماشین است، در حالی که قانون هوش مصنوعی تعهدات مرتبط با ایمنی محصول را برای توسعه‌دهندگان و به‌کارگیرندگان فناوری‌های پرریسک وضع می‌کند.[2][4]

اجرای تعهدات قانون هوش مصنوعی سازمان را از وظایف ماده ۲۲ معاف نمی‌کند و عکس این مسئله نیز صادق است. رد درخواست یک وام بانکی از طریق الگوریتم می‌تواند به طور هم‌زمان ضمانت‌های ماده ۲۲، حقوق دسترسی GDPR و رژیم نظارت انسانی قانون هوش مصنوعی را فعال سازد.[4]

ماده ۱۴ قانون هوش مصنوعی اروپا ناظران انسانی را مکلف می‌سازد ظرفیت‌ها و کاستی‌های سامانه را به دقت بشناسند. ناظر باید همواره نسبت به «سوگیری اتوماسیون» یا تمایل ناخودآگاه انسان به اعتماد کورکورانه به خروجی‌های رایانه‌ای هشیار بماند.[5]

همچنین شرکت‌های مستقرکننده ملزم به ثبت دقیق لاگ‌های عملیاتی سامانه هستند، به ویژه وقایعی که در آن ارزیاب انسانی دخالت کرده و مسیر پیشنهاد مدل را تغییر داده است. این الزام فنی در واقع همان ثبت نرخ وتو است که حسابرسان حفاظت از داده‌ها پیش‌تر آن را مطالبه می‌کردند.[4]

طراحی فرایندهای کاری قابل دفاع

مجموعه‌ها باید ماتریس جامع سامانه‌های هوش مصنوعی خود را استخراج کنند تا مشخص شود کدام بخش‌ها ذیل این دو قانون قرار می‌گیرند. مدلی که به غربالگری رزومه‌ها یا شناسایی تخلفات مالی می‌پردازد نیازمند بازنگری سریع سازوکارها بر مبنای ماده ۲۲ است تا جایگاه دقیق انسان در فرایند تصمیم شفاف شود.[5]

رابط کاربری نرم‌افزاری که پیش روی ناظر قرار می‌گیرد اثری حیاتی بر وضعیت انطباق دارد. داشبوردهای نرم‌افزاری باید داده‌های خام و عوامل اصلی مؤثر بر تصمیم هوش مصنوعی را برجسته سازند تا انسان بتواند منطق مدل را به چالش بکشد و به تأیید کورکورانه بسنده نکند.[3]

چنانچه الگوریتم بر مدل‌های پیچیده یادگیری ماشین مبتنی باشد، شفاف‌سازی کارکرد آن برای کاربران الزامی است. دیوان دادگستری اروپا در پرونده سال ۲۰۲۵ دان اند بردستریت (Dun & Bradstreet) تأکید کرد افراد حق دارند توضیحی صریح و روان دریافت کنند و شرکت‌ها نمی‌توانند به بهانه محرمانگی تجاری از ارائه آن سر باز زنند.[4]

در نهایت، دفاع قانونی در برابر ادعاهای نقض ماده ۲۲ کاملاً به وجود شواهد مستند از تأمل و ارزیابی عینی بستگی دارد. هنگامی که یک شهروند تصمیم سامانه‌ای را به دادگاه می‌کشاند، تنها ارائه آمار دقیق نرخ تغییر تصمیمات و استدلال‌های ثبت‌شده می‌تواند اثبات کند انسان ناظری مستقل بوده است، نه یک مجری بی‌اختیار برای ماشین.[5]