Алгоритм отказал в работе, кредите или жилье: можно ли узнать причину
Банк отклонил заявку, работодатель не пропустил резюме, а арендная платформа отказала кандидату без объяснения причин. Даже если решение принял алгоритм, компания не всегда обязана раскрывать исходный код или каждую математическую операцию. Однако в Евросоюзе человек уже может потребовать понятного объяснения того, какие его данные использовались и как они повлияли на результат.
27 июля 2026 года в ЕС вступил в силу Digital Omnibus on AI, который перенес применение основного массива правил для высокорисковых систем из приложения III к AI Act на 2 декабря 2027 года. К ним относятся алгоритмы, используемые при найме, оценке кандидатов и кредитоспособности. До этой даты главным действующим инструментом защиты граждан остается GDPR и сформированная Судом ЕС практика по автоматизированным решениям.
Сначала нужно понять, действительно ли решение принял алгоритм
Не всякая автоматизация считается решением, подпадающим под самые строгие гарантии GDPR. Компания может использовать программу для сортировки документов, проверки заполненных полей или обнаружения дубликатов, а окончательное решение поручать сотруднику. В таком случае сам факт использования алгоритма еще не означает, что отказ был полностью автоматическим.
Статья 22 GDPR защищает человека от решения, которое основано исключительно на автоматизированной обработке, имеет юридические последствия или сопоставимо серьезно влияет на его положение. Европейский совет по защите данных относит к таким решениям ситуации, когда компьютер без реального участия человека определяет доступ к кредиту, работе или другой значимой возможности.
Формальное присутствие сотрудника не обязательно превращает решение в человеческое. Если специалист лишь подтверждает автоматически сформированный результат, не проверяя исходные данные и не имея реальной возможности изменить вывод, такое вмешательство может оказаться недостаточным. Содержательное человеческое рассмотрение предполагает, что сотрудник понимает рекомендацию системы, критически ее оценивает и вправе принять другое решение.
Поэтому первый вопрос к компании должен звучать точнее, чем «использовали ли вы искусственный интеллект»:
Было ли решение принято исключительно автоматически, без содержательного участия сотрудника? Если нет, какую роль результат скоринга, профилирования или ранжирования сыграл в окончательном решении?
Алгоритм может не называться искусственным интеллектом и при этом подпадать под GDPR. Регламент регулирует обработку персональных данных, а не конкретный тип программного обеспечения.
Что можно узнать по GDPR уже сейчас
GDPR дает человеку право выяснить, обрабатывает ли организация его персональные данные, для каких целей, откуда они были получены и кому передавались. При наличии автоматизированного принятия решений можно запросить «значимую информацию» о задействованной логике, а также о значении и предполагаемых последствиях такой обработки. Эти сведения должны быть изложены ясно, доступно и понятным языком.
Компания не обязана высылать заявителю полный исходный код. Однако ответ не может сводиться к фразе «решение принято нашей внутренней моделью риска». Человеку должны объяснить, какие категории его данных учитывались, какие факторы имели значение и как обработка привела к конкретному результату.
Если решение было исключительно автоматическим и существенно повлияло на человека, статья 22 GDPR по общему правилу запрещает такую процедуру. Исключения возможны, когда автоматизация необходима для заключения или исполнения договора, прямо разрешена законом либо основана на явном согласии человека.
Если решение необходимо для заключения или исполнения договора либо основано на явном согласии, организация должна обеспечить как минимум возможность человеческого вмешательства, изложения позиции и оспаривания результата. Если автоматизация прямо разрешена законодательством ЕС или страны, конкретные меры защиты должны быть предусмотрены этим законом.
Организация должна ответить на запрос без неоправданной задержки и обычно не позднее одного месяца. При сложном или объемном обращении срок можно продлить еще на два месяца, но заявителя должны уведомить о продлении и объяснить его причину. По общему правилу информация предоставляется бесплатно.
Суд ЕС объяснил, что означает «понятная логика»
Наиболее подробно европейские суды разбирали автоматизированные решения в сфере кредитного скоринга. В 2023 году Суд ЕС рассмотрел дело немецкого кредитного бюро SCHUFA и постановил, что автоматическое формирование показателя кредитоспособности само может считаться автоматизированным решением, если банк или другая компания придает ему определяющее значение.
Это важно, поскольку компании нередко разделяют ответственность. Кредитное бюро утверждает, что оно только рассчитало балл, а банк — что решение основано на данных внешнего поставщика. Суд указал: если рассчитанный показатель играет определяющую роль в решении третьей стороны, его нельзя считать нейтральной справочной информацией.
В феврале 2025 года Суд ЕС уточнил объем объяснения в деле Dun & Bradstreet Austria. Компания должна описать процедуру и принципы, реально примененные к данным конкретного человека, так, чтобы он понял, какие персональные данные использовали и каким образом они повлияли на результат. Простая передача сложной формулы или текста алгоритма не выполняет это требование.
Суд допустил, что полезным способом объяснения может стать информация о том, как изменение отдельных данных повлияло бы на результат. Например, компания может сообщить, что иной уровень дохода, отсутствие определенной задолженности или исправление адресной информации привели бы к другой категории риска. Это не требует раскрывать весь алгоритм, но позволяет человеку проверить данные и понять решение.
Ссылка на коммерческую тайну также не дает права автоматически отказать в объяснении. Если компания считает, что раскрытие затронет защищенную информацию или данные третьих лиц, она должна передать спорные сведения надзорному органу или суду, который сможет сопоставить конкурирующие права.
При найме GDPR уже действует, а AI Act пока работает не полностью
AI Act прямо относит к высокорисковым системы, используемые для размещения таргетированной рекламы вакансий, анализа и фильтрации заявок, оценки кандидатов, а также принятия решений о повышении, увольнении, распределении заданий и контроле работников. Европейский законодатель объясняет это тем, что такие системы могут влиять на карьеру, доход и права работников, а также воспроизводить прежние модели дискриминации.
Но это не означает, что все специальные обязанности AI Act уже применяются к работодателям и разработчикам таких систем. После принятия Digital Omnibus правила для высокорисковых систем из приложения III начнут действовать 2 декабря 2027 года.
Ранее RTVI рассказывал, какие требования AI Act уже начали действовать в отношении дипфейков и другого контента, созданного искусственным интеллектом.
До этой даты отложены основные положения третьей главы AI Act: классификация высокорисковых систем и требования к управлению рисками, качеству данных, технической документации, журналам событий, прозрачности, точности, безопасности и человеческому контролю. Позже начнет полноценно действовать и основной массив обязанностей организаций, использующих такие системы при работе с людьми.
Однако работодатель уже сейчас не освобожден от GDPR, трудового законодательства и правил о недискриминации. Если резюме автоматически отфильтровали на основании возраста, места проживания, образования, истории занятости или иных персональных данных, кандидат может запросить информацию об обработке и проверить, было ли решение полностью автоматическим.
Особенно важна разница между обычной сортировкой и фактическим отказом. Программа, которая только распределяет заявки по папкам, не обязательно принимает значимое решение. Но система, которая присваивает кандидату низкий балл и исключает его из дальнейшего отбора без содержательной проверки рекрутером, гораздо ближе к сфере статьи 22 GDPR.
При отказе в кредите защита наиболее определенна
AI Act прямо относит к высокорисковым системы, которые оценивают кредитоспособность физических лиц или формируют их кредитный рейтинг. Исключение предусмотрено для систем обнаружения финансового мошенничества. Регламент объясняет особый статус скоринга тем, что он влияет не только на доступ к деньгам, но и к таким базовым услугам, как жилье, электричество и связь.
До декабря 2027 года специальные технические и организационные требования AI Act в этой сфере остаются отложенными. Но решения по делам SCHUFA и Dun & Bradstreet уже позволяют требовать по GDPR не абстрактное описание модели, а объяснение обработки конкретных данных заявителя.
В запросе банку или кредитному бюро имеет смысл отдельно спросить:
— какие данные использовались для оценки;
— из каких источников они поступили;
— какой показатель или категория были сформированы;
— какую роль этот показатель сыграл в отказе;
— какие данные можно исправить;
— можно ли передать заявку на рассмотрение сотруднику.
Если кредитное бюро рассчитало балл, а банк принял решение, запрос стоит направить обеим организациям. Одна может отвечать за создание профиля, другая — за его использование при заключении договора.
С жильем граница проходит не по слову «аренда», а по типу оценки
AI Act не относит любой алгоритм отбора арендаторов к высокорисковым системам автоматически. В приложении III прямо названы государственные решения о доступе к важнейшим пособиям и услугам, включая социальную и жилищную помощь, а также оценка кредитоспособности физических лиц. Обычный частный арендодатель, который ранжирует кандидатов по собственным критериям, в отдельную категорию не вынесен.
Поэтому необходимо различать как минимум три ситуации.
Если муниципальный орган использует систему для решения о предоставлении социального жилья или жилищной помощи, такой случай может относиться к высокорисковой сфере публичных услуг.
Если платформа или агентство оценивает финансовую надежность человека, рассчитывая его кредитоспособность или аналогичный скоринг, система может попасть в категорию кредитной оценки.
Если частный собственник использует алгоритм для общего ранжирования претендентов — например, по доходу, профессии, адресу, семейному положению или истории поведения на платформе, — специальные нормы AI Act применимы не столь очевидно. Но GDPR продолжает действовать, если используются персональные данные, а решение принимается полностью автоматически и существенно влияет на возможность получить жилье.
Дополнительно могут применяться национальные нормы об аренде, защите потребителей и дискриминации. Они различаются между странами ЕС, поэтому единого европейского ответа на любой отказ в частной аренде пока нет.
Дает ли AI Act отдельное право на объяснение уже сейчас
Статья 86 AI Act устанавливает право получить ясное и содержательное объяснение роли высокорисковой системы в принятии решения и основных элементов самого решения. Оно касается случаев, когда результат системы из приложения III имеет юридические последствия или сопоставимо серьезно затрагивает здоровье, безопасность либо основные права человека.
Статья 86 формально применяется с 2 августа 2026 года, поскольку ее прямо не включили в число отложенных положений. Однако она относится к решениям на основе высокорисковых систем из приложения III, тогда как правила их классификации и основные обязанности начнут применяться 2 декабря 2027 года.
Кроме того, статья 86 действует только в той мере, в какой право на объяснение уже не предусмотрено другим законодательством ЕС. Поэтому в случаях обработки персональных данных основным основанием запроса пока остается GDPR, а самостоятельная практическая роль статьи 86 в переходный период требует дальнейших разъяснений надзорных органов и судов.
До появления устойчивой практики запрос надежнее строить прежде всего на статьях 12, 13, 14, 15 и 22 GDPR.
Как потребовать объяснение отказа
Сначала необходимо направить запрос организации, которая приняла решение: работодателю, банку, арендной платформе, агентству или государственному органу. Если известно, что оценку подготовил внешний поставщик, аналогичный запрос стоит отправить и ему.
Компания вправе попросить подтвердить личность, но не должна собирать для этого больше данных, чем необходимо. Ответ должен быть понятным: массив технической документации, математическая формула без пояснений или ссылка на коммерческую тайну сами по себе не заменяют объяснения.
Если организация не отвечает в установленный срок, отказывает без достаточных оснований или предоставляет формальный ответ, человек может обратиться в национальный орган по защите данных. GDPR также сохраняет возможность судебной защиты.
Объяснение не всегда отменяет решение
Право узнать логику оценки не означает автоматического права получить кредит, работу или квартиру. Компания может после пересмотра снова отказать, если использовала законные критерии, исправила ошибочные данные и приняла решение с реальным участием человека.
Но объяснение дает возможность обнаружить три принципиально разные проблемы: фактическую ошибку в данных, незаконную полностью автоматическую процедуру или критерий, который может приводить к дискриминации.
Именно поэтому запрос должен быть направлен не только на получение общей информации об алгоритме. Его цель — установить, какие данные использовали применительно к конкретному человеку, какую роль они сыграли и кто способен пересмотреть результат.
Пока специальные правила AI Act для найма и кредитного скоринга отложены, эта защита остается фрагментарной. GDPR уже позволяет открыть часть «черного ящика», но не гарантирует подробного объяснения любого отказа. С декабря 2027 года требования к высокорисковым системам должны усилить контроль за тем, как такие инструменты создаются, проверяются и используются. Частный рынок аренды при этом останется одной из наиболее спорных зон.