Čl. 86 · Právo na vysvětlení rozhodnutí v konkrétním případě

1. Každá dotčená osoba, na niž se vztahuje rozhodnutí, které přijal zavádějící subjekt na základě výstupu z vysoce rizikového systému AI uvedeného v příloze III, s výjimkou systémů uvedených v bodě 2 této přílohy, a které má právní účinky nebo se dotčené osoby podobně významně dotýká způsobem, o němž se tato osoba domnívá, že má nepříznivý dopad na její zdraví, bezpečnost nebo základní práva, má právo získat od zavádějícího subjektu jasná a smysluplná vysvětlení ohledně úlohy tohoto systému AI v rozhodovacím postupu a v hlavních prvcích přijatého rozhodnutí.

2. Odstavec 1 se nepoužije na používání systémů AI, u nichž výjimky nebo omezení povinnosti podle uvedeného odstavce vyplývají z unijního nebo vnitrostátního práva v souladu s právem Unie.

3. Tento článek se použije pouze v rozsahu, v němž právo uvedené v odstavci 1 není právem Unie upraveno jinak.

Související ustanovení: čl. 2 odst. 1 písm. g (dotčené osoby v Unii), čl. 3 bod 1 (systém AI), čl. 6 odst. 2 a příloha III (vysoce rizikové oblasti), čl. 13 (transparentnost a poskytování informací zavádějícím subjektům), čl. 26 odst. 11 (informování dotčených fyzických osob), čl. 85 (stížnost)

I. Právo na vysvětlení a jeho zařazení

1 Čl. 86 je druhým pilířem prostředků nápravy a jediným individuálním hmotným právem, které nařízení přiznává dotčené osobě přímo vůči provozovateli. Zatímco čl. 85 obrací stěžovatele k veřejnému dozoru, čl. 86 zakládá nárok jednotlivce na vysvětlení vůči zavádějícímu subjektu. Právo je vázáno na dotčenou osobu, tedy na osobu nacházející se v Unii, na kterou nařízení pamatuje jako na adresáta ochrany (čl. 2 odst. 1 písm. g).

2 Nositelem povinnosti je zavádějící subjekt (nikoli poskytovatel), a to proto, že právě zavádějící subjekt je tím, kdo na základě výstupu systému rozhodnutí učiní. Rozdělení rolí zde odpovídá logice celého nařízení: povinnost tíží toho aktéra, který je s dotčenou osobou v rozhodovacím vztahu, byť technický základ dodal poskytovatel.

II. Věcný rozsah: která rozhodnutí a které systémy

3 Právo se aktivuje jen při kumulativním splnění několika znaků. Zaprvé musí jít o rozhodnutí přijaté zavádějícím subjektem na základě výstupu z vysoce rizikového systému AI uvedeného v příloze III. Rozsah je tedy zúžen na vysoké riziko podle přílohy III; na systémy vysokého rizika podle přílohy I (produktově vázané) ani na systémy nižších pásem se čl. 86 nevztahuje.

4 Zadruhé je z působnosti výslovně vyňat bod 2 přílohy III. Ověřil jsem zněním přílohy, že bodem 2 je kritická infrastruktura, tedy systémy AI určené jako bezpečnostní komponenty v řízení a provozu kritické digitální infrastruktury, silniční dopravy nebo dodávek vody, plynu, topení či elektřiny. Mám za to, že výluka dává smysl proto, že tyto systémy zpravidla nečiní individualizovaná rozhodnutí o konkrétní osobě, nýbrž zajišťují provoz infrastruktury. Chybí u nich adresát, jemuž by se vysvětlení individuálního rozhodnutí poskytovalo.

5 Zatřetí musí mít rozhodnutí kvalifikovaný účinek: musí mít právní účinky nebo se dotčené osoby podobně významně dotýkat, a to způsobem, o němž se osoba domnívá, že má nepříznivý dopad na její zdraví, bezpečnost nebo základní práva. Práh je tedy dvojí. Objektivně jde o rozhodnutí s právními účinky nebo obdobně významným dopadem. Subjektivně se váže na přesvědčení osoby o nepříznivém dopadu na vyjmenované statky. Zdůrazňuji, že běžné, nikoli významné dopady právo neaktivují. Týž práh vymezuje bod 171 odůvodnění (rozhodnutí s právními účinky nebo obdobně významným dotčením a s domnělým nepříznivým dopadem na zdraví, bezpečnost nebo základní práva).

6 Formulace „právní účinky nebo podobně významně dotýká” není náhodná; kopíruje jazyk čl. 22 GDPR o automatizovaném individuálním rozhodování. To předznamenává vztah obou úprav, k němuž se vracíme v oddíle IV.

III. Nositel povinnosti a obsah vysvětlení

7 Obsahem práva je nárok získat od zavádějícího subjektu jasná a smysluplná vysvětlení ohledně úlohy tohoto systému AI v rozhodovacím postupu a v hlavních prvcích přijatého rozhodnutí. Zdůrazňuji dvě hranice tohoto obsahu. Vysvětlení se týká úlohy systému v postupu a hlavních prvků rozhodnutí, nikoli úplného zpřístupnění algoritmu, zdrojového kódu nebo obchodního tajemství. Zároveň musí být „jasné a smysluplné”, tedy srozumitelné adresátovi, nikoli formální odbyté sdělení. Mám za to, že měřítkem je, zda vysvětlení umožní dotčené osobě pochopit, jak se výstup systému promítl do rozhodnutí, a případně se proti rozhodnutí bránit dostupnými prostředky. Toto měřítko má oporu v bodě 171 odůvodnění, podle něhož má být vysvětlení jasné a smysluplné a má poskytnout základ, na němž dotčené osoby mohou vykonávat svá práva. Účelem vysvětlení tedy není pouhá informovanost, nýbrž reálná možnost dotčené osoby na rozhodnutí navázat obranou.

8 Právo na vysvětlení je nutné číst společně s informační povinností zavádějícího subjektu podle čl. 26 odst. 11. Podle tohoto ustanovení zavádějící subjekt, který na základě vysoce rizikového systému podle přílohy III přijímá rozhodnutí o fyzických osobách nebo při něm pomáhá, dotčené osoby informuje, že jsou použití takového systému vystaveny. Obě ustanovení se doplňují: čl. 26 odst. 11 zakládá předběžnou informaci o tom, že systém je použit, čl. 86 následné vysvětlení konkrétního rozhodnutí. Teprve dohromady umožňují dotčené osobě reálně reagovat.

IV. Výluky a subsidiarita (odst. 2 a 3), vztah k čl. 22 GDPR

9 Odstavec 2 vylučuje použití práva tam, kde výjimky nebo omezení odpovídající povinnosti vyplývají z unijního nebo vnitrostátního práva v souladu s právem Unie. Jde o odkaz na sektorové a jiné režimy, které mohou poskytnutí vysvětlení omezit (například z důvodu ochrany utajovaných informací nebo výkonu veřejné moci). Výjimku je nutné vykládat zdrženlivě: musí mít oporu v právu Unie nebo ve vnitrostátním právu, které je s právem Unie v souladu, nestačí libovůle zavádějícího subjektu.

10 Odstavec 3 zavádí výslovnou subsidiaritu. Čl. 86 se použije pouze v rozsahu, v němž právo uvedené v odstavci 1 není právem Unie upraveno jinak. Právo na vysvětlení podle nařízení tedy ustupuje tam, kde srovnatelné právo poskytuje jiný unijní předpis. Sám text čl. 86 žádný takový předpis nejmenuje, jde o obecnou subsidiární klauzuli. Obě omezení potvrzuje bod 171 odůvodnění, podle něhož se právo na vysvětlení nevztahuje na systémy AI, u nichž výjimky nebo omezení vyplývají z unijního či vnitrostátního práva (odst. 2), a uplatní se jen v rozsahu, v jakém toto právo dosud není stanoveno právem Unie (odst. 3).

11 Mám za to, že paradigmatem takového jiného unijního práva je čl. 22 GDPR (obecné nařízení o ochraně osobních údajů, nařízení (EU) 2016/679), který jsme pro tento účel ověřili ve znění v knihovně. Čl. 22 GDPR přiznává subjektu údajů právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, které má právní účinky nebo se ho obdobně významně dotýká. V odstavci 3 mu zaručuje alespoň právo na lidský zásah, právo vyjádřit svůj názor a právo rozhodnutí napadnout. Obě úpravy se ovšem liší spouštěčem. Čl. 22 GDPR dopadá jen na rozhodnutí učiněná výhradně automatizovaně, kdežto čl. 86 nařízení se vztahuje na rozhodnutí zavádějícího subjektu učiněné na základě výstupu systému, tedy i tehdy, je-li do rozhodování zapojen člověk.

12 Z tohoto rozdílu plyne praktický dosah čl. 86. Tam, kde je rozhodnutí čistě automatizované a zpracovává osobní údaje, se plně uplatní čl. 22 GDPR a čl. 86 pro svou subsidiaritu ustoupí. Tam, kde do rozhodnutí vstupuje lidský článek (takže čl. 22 GDPR nedopadá), avšak člověk se opírá o výstup vysoce rizikového systému, vyplňuje čl. 86 mezeru a zakládá samostatné právo na vysvětlení. Podle našeho názoru je právě tato konstelace, tedy rozhodnutí s člověkem ve smyčce opřené o výstup AI, těžištěm praktického významu čl. 86.

13 Za pozornost stojí odchylka mezi zněním článku a jeho odůvodněním. Bod 171 odůvodnění mluví o rozhodnutí, které je „založeno především na výstupech” z vysoce rizikového systému, kdežto normativní text čl. 86 odst. 1 váže právo na rozhodnutí přijaté „na základě výstupu” systému, bez slova „především”. Mám za to, že rozhodné je znění článku. Odůvodnění je jen vodítkem a nemůže zúžit jeho jasný text. Formulace bodu 171 odůvodnění nicméně naznačuje, že výstup systému má být hlavním podkladem rozhodnutí, k čemuž lze přihlédnout v hraničních případech, kdy je podíl systému na rozhodnutí okrajový. Tam, kde je člověk ve smyčce a výstup systému tvoří jen dílčí a podružný vstup, může být sporné, zda jde ještě o rozhodnutí učiněné „na základě výstupu” ve smyslu čl. 86; jeho váhu je pak nutné posoudit podle okolností.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Kdy právo vzniká. Žadateli je zamítnuta žádost o dávku a rozhodnutí se opíralo o výstup vysoce rizikového systému podle přílohy III. Právo na vysvětlení mu vzniká. Kdyby týž systém spadal do bodu 2 přílohy III (kritická infrastruktura), právo by mu nevzniklo, protože ten bod je z čl. 86 vyňatý.

2. Co se vysvětluje. Nejde o zdrojový kód ani o váhy modelu. Jde o úlohu systému v rozhodovacím postupu a o hlavní prvky přijatého rozhodnutí. Odpověď „rozhodl algoritmus” povinnost nesplňuje, stejně jako vydání celé technické dokumentace.

3. Obchodní tajemství jako mez, ne jako vypínač. Zavádějící subjekt může odepřít podrobnosti chráněné obchodním tajemstvím. Nemůže se jím ale zbavit povinnosti vysvětlit úlohu systému a hlavní prvky rozhodnutí.

Co z toho plyne v praxi

Pro zavádějící subjekt: připravte si vzor vysvětlení dřív, než přijde první žádost. Vysvětlení psané ad hoc pod tlakem bývá buď příliš obecné, nebo prozradí víc, než musí.

Pro dotčenou osobu: právo podle čl. 86 stojí vedle práv podle čl. 22 GDPR, nenahrazuje je. U rozhodnutí založeného výhradně na automatizovaném zpracování máte navíc právo na lidský zásah, právo vyjádřit názor a právo rozhodnutí napadnout.

Z judikatury

Zatím žádná k tomuto nařízení. K čl. 22 GDPR existuje praxe Soudního dvora, která k obsahu vysvětlení u automatizovaného rozhodování říká podstatné věci a lze ji použít jako výkladovou analogii. Analogii, ne přímo použitelný precedens; před citací si rozhodnutí ověřte a přečtěte celé.

Otevřené otázky

1. Jak podrobné vysvětlení stačí. „Jasné a smysluplné” je otevřený pojem a nařízení k němu nedává měřítko.

2. Kde přesně končí obchodní tajemství. Mez mezi ochranou know-how a právem na vysvětlení není v textu určená a půjde o ni nejvíc.

3. Vztah k čl. 22 GDPR. Obě práva se překrývají, ale nejsou totožná. Jak se uplatní souběžně a co se stane při rozporu, teprve ustálí praxe.