Hvaða skyldur hvíla á fyrirtæki sem notar gervigreind til að meta fólk eða taka ákvarðanir?

Stutta svarið

Fyrirtæki má ekki fela gervigreind að velja fólk, meta lánshæfi eða stýra aðgangi að þjónustu án skýrs tilgangs, lögmæts grundvallar og virks mannlegs eftirlits. Lög nr. 90/2018 og GDPR gilda um sjálfvirkar ákvarðanir, fræðslu, áreiðanleika, öryggi og áhrifamat. Jafnræðislög gilda þótt mismunun stafi af líkani eða gögnum. Birgirinn tekur ekki yfir ábyrgðina.

Staðan 27. júlí 2026: , eins og henni var breytt með , hefur þýðingu fyrir EES en hefur ekki verið tekin upp í EES-samninginn. Samkvæmt er gerðin enn til skoðunar hjá EES/EFTA-ríkjunum. Hún er því ekki sjálfkrafa gildandi lög á Íslandi á yfirferðardegi greinarinnar. Fyrirtæki sem býður kerfi eða notar útkomu þess í ESB getur fallið undir gildissvið reglugerðarinnar þar.

Hvað telst ákvörðun um einstakling?

Notkun	Dæmi um veruleg áhrif	Helstu reglur sem þarf að kanna
Ráðningar og starfsmannastjórnun	Umsókn síuð út, frammistaða metin eða uppsögn undirbúin	Persónuvernd, jafnræði og vinnuréttur
Lán, tryggingar og greiðslumat	Synjun, lakari kjör eða verðlagning	Persónuvernd, neytenda- og fjármálareglur
Menntun eða nauðsynleg þjónusta	Aðgangur, forgangur eða réttindi ráðast af einkunn	Persónuvernd, jafnræði og sérlög
Einföld aðstoð	Maður tekur sjálfstæða lokaákvörðun	Almennar skyldur gilda enn, en 22. gr. á ekki endilega við

Einkunn getur verið hluti ákvörðunar ef henni er fylgt án sjálfstæðs mats. Í taldi dómstóll ESB sjálfvirkt lánshæfismat geta talist ákvörðun þegar þriðji aðili byggir samningsákvörðun að verulegu leyti á því.

Fyrst þarf lögmætan grundvöll fyrir gögnunum

Samkvæmt 2. gr. hefur GDPR lagagildi hér á landi. Fyrirtæki sem ákveður tilgang og aðferðir vinnslunnar er almennt ábyrgðaraðili. Það þarf meðal annars að:

skilgreina afmarkaðan tilgang og vinnsluheimild samkvæmt 6. gr. GDPR;
lágmarka gagnasöfnun og varðveislu og tryggja rétt og uppfærð gögn;
fræða um tilgang, heimildir, viðtakendur, varðveislu og réttindi;
gera vinnslusamning og tryggja viðeigandi öryggi.

Afleidd einkunn um einstakling er persónuupplýsing og viðkvæm gögn þarfnast sérstakrar undanþágu frá banni 9. gr. GDPR.

Hvenær er alfarið sjálfvirk ákvörðun bönnuð?

„Skráður einstaklingur skal eiga rétt á því að ekki sé tekin ákvörðun eingöngu á grundvelli sjálfvirkrar gagnavinnslu, þ.m.t. gerðar persónusniðs, sem hefur réttaráhrif að því er hann sjálfan varðar eða snertir hann á sambærilegan hátt að verulegu leyti.“

—

Þrjú skilyrði þurfa því almennt að fara saman: um er að ræða ákvörðun, hún byggist eingöngu á sjálfvirkri vinnslu og hún hefur réttaráhrif eða sambærilega veruleg áhrif. Sjálfvirk synjun lánsumsóknar eða útlokun úr ráðningarferli getur fallið hér undir.

Þrjár afmarkaðar undanþágur eru vegna nauðsynjar við samningsgerð, sérstakrar lagaheimildar með verndarráðstöfunum eða afdráttarlauss samþykkis. Samþykki starfsmanns er vandasamt vegna valdaójafnvægis.

Þá þarf að tryggja rétt til raunverulegrar mannlegrar íhlutunar, til að koma sjónarmiðum á framfæri og vefengja niðurstöðu. Stimplun starfsmanns á tillögu kerfisins án heimildar, tíma eða gagna er ekki slík yfirferð.

Einstaklingurinn á rétt á skiljanlegum upplýsingum

Fræðslan má ekki takmarkast við setninguna „við notum gervigreind“. Þegar 22. gr. á við gera 13.–15. gr. GDPR ráð fyrir marktækum upplýsingum um rökin að baki vinnslunni, þýðingu hennar og fyrirhugaðar afleiðingar fyrir einstaklinginn.

Í , taldi dómstóll ESB að ábyrgðaraðili þyrfti að útskýra með gagnsæjum og skiljanlegum hætti verklagið og meginreglurnar að baki niðurstöðunni. Skýringin á að gera einstaklingnum kleift að leiðrétta rangar forsendur eða vefengja niðurstöðuna.

Mat á áhrifum þarf oft að fara fram fyrir notkun

Fyrirtæki á ekki að setja kerfið fyrst í notkun og meta áhættu síðar. Samkvæmt 29. gr. laga nr. 90/2018 og 35. gr. GDPR þarf mat á áhrifum á persónuvernd fyrir vinnslu sem er líkleg til að hafa mikla áhættu í för með sér, einkum þegar ný tækni er notuð. Reglugerðin nefnir sérstaklega kerfisbundið og umfangsmikið mat á persónulegum þáttum sem byggist á sjálfvirkri vinnslu og leiðir til ákvarðana með réttaráhrif eða sambærileg veruleg áhrif.

Matið lýsir tilgangi, nauðsyn, meðalhófi, áhættu og mótvægisaðgerðum. Ef mikil eftirstöðvaáhætta er eftir skal hafa fyrirframsamráð við Persónuvernd samkvæmt 30. gr. laganna og 36. gr. GDPR.

Reiknirit má ekki mismuna

vernda meðal annars gegn mismunun við ráðningar, framgang, laun, starfskjör og uppsagnir vegna kynþáttar, þjóðernisuppruna, trúar, lífsskoðunar, fötlunar, skertrar starfsgetu, aldurs, kynhneigðar, kynvitundar, kyneinkenna eða kyntjáningar. Kynjamismunun fellur jafnframt undir lög nr. 150/2020.

Hlutlaust viðmið getur falið í sér óbeina mismunun ef það kemur verr við verndaðan hóp, nema lögmætt markmið og nauðsyn aðferðarinnar verði sýnd fram á. Því þarf að kanna hvort söguleg gögn eða staðgengilsbreytur valdi hópamun.

banna bæði beina og óbeina mismunun á sviðum samfélagsins utan vinnumarkaðar. Það getur skipt máli þegar reiknirit ráðstafar aðgangi að vöru, þjónustu, menntun eða félagslegri vernd.

Hvað bætir gervigreindarreglugerð ESB við?

Gervigreindarreglugerðin flokkar kerfi eftir áhættu og hlutverki. Sá sem setur kerfi á markað er oft veitandi og fyrirtæki sem notar það undir eigin stjórn notkunaraðili. Veruleg breyting getur þó fært notkunaraðila í stöðu veitanda.

Kerfi í ráðningum, starfsmannastjórnun, menntun, lánshæfismati og tilteknum nauðsynlegum þjónustum geta verið hááhættukerfi samkvæmt III. viðauka. Afmarkaðar undanþágur eru fyrir kerfi sem hafa ekki veruleg áhrif á niðurstöðu, en kerfi í þessum notkunarflokkum sem felur í sér gerð persónusniðs telst alltaf hááhættukerfi samkvæmt 6. gr.

Þegar skyldurnar taka gildi í ESB þarf notkunaraðili hááhættukerfis samkvæmt 26. gr. að nota það eftir leiðbeiningum, tryggja viðeigandi inntaksgögn, vakta rekstur, tilkynna áhættu og alvarleg atvik og geyma sjálfvirka atvikaskráningu í minnst sex mánuði.

„Deployers shall assign human oversight to natural persons who have the necessary competence, training and authority, as well as the necessary support.“

—

Atvinnurekandi þarf þá að upplýsa fulltrúa starfsfólks og starfsmenn áður en hááhættukerfi er tekið í notkun. Einstaklingur skal einnig upplýstur um slíkt kerfi í ákvörðun um hann. Mat á áhrifum á grundvallarréttindi samkvæmt 27. gr. gildir aðeins um tiltekna notkunaraðila og kerfi, ekki öll fyrirtæki.

Í 86. gr. er auk þess, að tilteknum skilyrðum uppfylltum, réttur til marktækrar skýringar á hlut kerfisins og helstu þáttum ákvörðunar. Hann kemur til viðbótar réttindum samkvæmt persónuverndarlögum.

Sum notkun er bönnuð í ESB

Dæmi um bannaða notkun samkvæmt 5. gr.	Mikilvæg afmörkun
Skaðleg leynd, blekkjandi eða meðvitað stýring	Þarf að raska upplýstri ákvörðun og geta valdið verulegu tjóni
Misnotkun á viðkvæmni vegna aldurs, fötlunar eða félagslegrar eða efnahagslegrar stöðu	Sama krafa er um hegðunarröskun og verulegt tjón
Félagsleg einkunnagjöf með ótengdri, óréttlætanlegri eða óhóflegri meðferð	Nær til opinberra aðila og einkaaðila
Tilfinningagreining á vinnustað eða í menntastofnun	Undanþága er vegna læknisfræðilegra eða öryggistengdra ástæðna
Lífkennileg flokkun til að álykta um til dæmis kynþátt, stjórnmálaskoðanir, trú, stéttarfélagsaðild eða kynhneigð	Afmarkaðar undantekningar reglugerðarinnar þarf að lesa þröngt

Samkvæmt 50. gr. á fólk almennt að vita af beinum samskiptum við gervigreind og notkun tilfinninga- eða lífkennilegrar flokkunar. Djúpfalsanir og tiltekið gervigreindarefni þarf einnig að merkja, með nánari undantekningum.

Hvenær taka ESB-reglurnar gildi?

Dagsetning í ESB	Helstu ákvæði
2. febrúar 2025	I. og II. kafli, þar á meðal skilgreiningar, gervigreindarlæsi og bönnuð notkun
2. ágúst 2025	Tiltekin stjórnsýslu-, eftirlits- og viðurlagaákvæði og reglur um almenn gervigreindarlíkön
2. ágúst 2026	Meginhluti reglugerðarinnar, meðal annars gagnsæisskyldur 50. gr.
2. desember 2026	Ný bönn í 5. gr. vegna tiltekins kynferðislegs gerviefnis og frestur til að merkja efni úr kerfum sem voru komin á markað
2. desember 2027	1.–3. þáttur III. kafla fyrir hááhættukerfi samkvæmt 2. mgr. 6. gr. og III. viðauka
2. ágúst 2028	Sömu þættir fyrir hááhættukerfi samkvæmt 1. mgr. 6. gr. og I. viðauka, einkum kerfi tengd tilteknum vörum

Tímalínunni var breytt með reglugerð (ESB) 2026/1744, sem tók gildi í ESB 27. júlí 2026. Upptaka í EES-samninginn og íslensk innleiðing þarf að liggja fyrir áður en gildistaka hér er staðfest.

Tíu skref fyrir fyrirtækið

Skrá þarf hvert kerfi, tilgang, ábyrgðarmann, birgi og hvaða ákvarðanir það hefur áhrif á.
Kortleggja þarf inntak, afleidd gögn, viðtakendur, geymslu og millilandaflutning.
Skrá þarf tilgang og vinnsluheimild og kanna sérstaklega 9. og 22. gr. GDPR.
Ákvarða þarf hlutverk fyrirtækis og birgis: ábyrgðaraðili, vinnsluaðili, sameiginlegur ábyrgðaraðili, veitandi eða notkunaraðili.
Framkvæma þarf mat á áhrifum á persónuvernd fyrir notkun ef áhættan krefst þess og samþætta síðar mat á grundvallarréttindum ef 27. gr. gervigreindarreglugerðarinnar á við.
Prófa þarf gagnagæði, villutíðni, hópamun og öryggi fyrir gangsetningu.
Veita þarf mannlegum yfirferðaraðila raunverulega heimild, tíma, þjálfun, samhengi og möguleika á að hafna tillögu kerfisins.
Upplýsa þarf um gögn, helstu viðmið, áhrif, leiðréttingu, skýringu og mannlega endurskoðun.
Varðveita þarf útgáfur, inntak, atvikaskrár, mannleg frávik og rök lokaákvörðunar innan heimilla varðveislumarka.
Vakta þarf útkomu eftir gangsetningu, endurmeta við breytingar og stöðva notkun ef áhætta, mismunun eða rangar niðurstöður fara úr viðmiðum.

Niðurstaða

Fyrirtækið þarf nú þegar að sýna fram á lögmæta og hóflega vinnslu, virða 22. gr. GDPR, tryggja skýringar og vefengingarleið og koma í veg fyrir mismunun.

Hún var ekki hluti EES-samningsins 27. júlí 2026 en getur náð til starfsemi í ESB. Stjórnkerfið þarf því að byggja á gagnsæi, skjalfestri áhættu og mannlegri ábyrgð.

Heimildir

This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.