Când sistemul AI refuză creditul: AI Act și dreptul la explicație în deciziile financiare automate
Credit scoring-ul ca sistem AI cu risc ridicat
În practică, refuzul unei cereri de credit nu este comunicat în termeni spectaculoși. Solicitantul nu află că un model statistic l-a plasat într-o zonă de risc, că anumite variabile au influențat decisiv rezultatul sau că profilul său financiar a fost comparat cu istoricul unor persoane considerate similare. De cele mai multe ori, primește o formulă neutră: „scor insuficient”, „profil de risc neeligibil”, „criteriile interne de creditare nu sunt îndeplinite”.
Această neutralitate a limbajului nu mai este însă suficientă. Odată cu Regulamentul 2024/1689 privind inteligența artificială (în cele ce urmează „AI Act” sau „Regulamentul”), decizia financiară automată intră într-o nouă etapă de control juridic. Astfel, AI Act permite utilizarea inteligenței artificiale în creditare sub condiția ca sistemul să fie guvernat, supravegheat și, în anumite situații, explicat persoanei afectate.
Regulamentul califică drept sisteme AI cu risc ridicat sistemele destinate evaluării bonității persoanelor fizice sau stabilirii scorului lor de credit, cu excepția celor folosite pentru detectarea fraudei financiare. Încadrarea rezultă expres din Anexa III pct. 5 lit. b), în categoria accesului la servicii private esențiale.
Opțiunea legiuitorului european nu este deloc surprinzătoare. În practică, accesul la credit poate decide dacă o persoană își cumpără o locuință, își refinanțează datoriile sau își susține activitatea profesională. Astfel, un sistem care influențează o asemenea decizie nu poate fi tratat ca un simplu instrument tehnic.
Provider, deployer și supraveghere umană: cine răspunde, în fapt
AI Act distinge între furnizorul sistemului AI (provider) și cel care utilizează sistemul sub autoritatea sa (deployer). În domeniul financiar, deployer-ul va fi, în mod obișnuit, instituția financiară care folosește sistemul în propriul proces de analiză și adoptă decizia față de client, în timp ce furnizorul poate fi o entitate separată, care oferă acest serviciu, sau o entitate din grupul bancar.
Articolul 86 din AI Act plasează dreptul la explicație în sarcina deployer-ului: persoana afectată are dreptul de a obține explicații clare și semnificative privind rolul sistemului AI în procedura decizională și principalele elemente ale deciziei adoptate. Banca nu va putea răspunde convingător că „modelul aparține furnizorului” sau că „algoritmul este proprietar”. Dacă instituția folosește sistemul în propria decizie de creditare, trebuie să fie capabilă să explice, în termeni utili pentru persoana afectată, cum a contat acel sistem.
Această obligație de explicație se sprijină pe o cerință procedurală distinctă: supravegherea umană. Articolul 14 impune ca deployerii să atribuie supravegherea unor persoane cu competența, formarea și autoritatea necesare pentru a evita încrederea oarbă în rezultat, automation bias, și pentru a putea ignora, inversa sau opri utilizarea output-ului atunci când situația o cere.
Simpla prezență umană în fluxul decizional nu echivalează, însă, cu intervenție umană în sens juridic. Dacă, de exemplu, angajatul doar confirmă mecanic scorul, fără competență reală și fără posibilitatea de a modifica rezultatul, supravegherea este formală. În creditare, decidentul uman trebuie să poată verifica corectitudinea datelor, să identifice situațiile atipice și să justifice menținerea sau schimbarea rezultatului.
Deployerii trebuie, totodată, să utilizeze sistemul conform instrucțiunilor, să se asigure că datele de intrare aflate sub controlul lor sunt relevante și suficient de reprezentative, să monitorizeze funcționarea sistemului și să păstreze log-urile generate de sistem pentru cel puțin șase luni, atunci când acestea se află sub controlul lor.
Dreptul la explicație: conținut minim practic
Articolul 86 nu consacră un drept general la dezvăluirea algoritmului, a codului-sursă sau a ponderilor matematice complete (de altfel, o formulă tehnică opacă poate fi la fel de inutilă pentru persoana afectată ca un refuz nemotivat). Cerința este alta: persoana afectată trebuie să primească o explicație clară și utilă.
În practică, o explicație utilă în materie de creditare ar trebui să includă:
a. dacă a fost utilizat un sistem AI și în ce etapă a procesului de creditare a intervenit; b. dacă output-ul sistemului a fost consultativ, determinant sau eliminatoriu; c. principalele categorii de date avute în vedere și factorii care au influențat relevant rezultatul; d. dacă a existat intervenție umană efectivă și în ce limite; e. ce date poate corecta solicitantul și care este procedura de revizuire.
Formule de tipul „decizia a fost luată conform politicilor interne”, „scorul nu permite aprobarea” sau „modelul indică risc ridicat” comunică rezultatul, dar nu rațiunea rezultatului. Or dreptul la explicație privește tocmai rațiunea. O explicație construită corect permite persoanei să înțeleagă, să conteste, să corecteze datele și să ceară o revizuire reală.
Guvernanța prealabilă și evaluarea impactului asupra drepturilor fundamentale
Obligația de explicație nu poate fi tratată ca un exercițiu de comunicare post-factum. Ea presupune o guvernanță prealabilă a sistemului. AI Act impune, pentru sistemele cu risc ridicat, cerințe privind calitatea datelor, transparența, documentarea și monitorizarea în utilizare.
Articolul 10 cere ca seturile de date folosite pentru antrenare, validare și testare să fie supuse unor practici adecvate de guvernanță, inclusiv examinarea posibilelor bias-uri, măsuri de prevenire și atenuare a acestora, precum și evaluarea relevanței, reprezentativității și calității datelor.
Articolul 13 cere ca sistemele AI cu risc ridicat să fie suficient de transparente pentru ca deployer-ul să poată interpreta rezultatul și să îl utilizeze adecvat. Instrucțiunile de utilizare trebuie să includă scopul sistemului, nivelul de acuratețe, limitările, riscurile cunoscute, caracteristicile relevante pentru explicarea rezultatului și informațiile necesare pentru interpretarea output-ului.
Pentru sistemele AI destinate evaluării bonității sau stabilirii scorului de credit, AI Act impune deployerilor, în plus, obligația de a efectua o evaluare a impactului asupra drepturilor fundamentale înainte de utilizare. Această evaluare trebuie să descrie procesele în care sistemul va fi folosit, durata și frecvența utilizării, categoriile de persoane afectate, riscurile specifice, măsurile de supraveghere umană și mecanismele de guvernanță și reclamații.
Evaluarea nu este o anexă birocratică. Pentru o instituție financiară implicată într-un litigiu sau într-un control, documentul respectiv poate deveni pivotul apărării. Dacă este realizat serios, arată că riscurile au fost înțelese și tratate proporțional. Dacă este realizat formal, demonstrează exact opusul: riscurile au fost cunoscute, dar nu au fost gestionate.
GDPR, jurisprudența CJUE și Directiva 2023/2225
AI Act nu operează în vid. Regulamentul 2016/679 (în cele ce urmează „GDPR”) a reglementat deja deciziile bazate exclusiv pe prelucrare automată, inclusiv profilarea, atunci când acestea produc efecte juridice sau afectează semnificativ persoana vizată. Articolul 22 GDPR consacră dreptul persoanei de a nu fi supusă unei asemenea decizii și impune, în cazurile relevante, garanții precum intervenția umană, dreptul de a exprima un punct de vedere și dreptul de a contesta decizia.
Jurisprudența recentă a Curții de Justiție a Uniunii Europene a clarificat substanțial standardul aplicabil. În cauza C-634/21, SCHUFA Holding (Scoring), hotărârea din 7 decembrie 2023 (ECLI:EU:C:2023:957), Curtea a statuat că stabilirea automată, de către o agenție de informații de credit, a unei valori de probabilitate privind capacitatea unei persoane de a-și îndeplini obligațiile de plată constituie decizie automatizată în sensul art. 22 GDPR atunci când terțul care primește scorul se bazează în mod determinant pe acesta pentru încheierea, executarea sau încetarea unei relații contractuale.
În cauza C-203/22, Dun & Bradstreet Austria, hotărârea din 27 februarie 2025, Curtea a consolidat standardul explicației. Litigiul a avut la origine refuzul unui operator austriac de telefonie mobilă de a încheia cu o clientă un contract având o valoare lunară de aproximativ 10 EUR, refuz întemeiat pe un scor nefavorabil furnizat de Dun & Bradstreet Austria. Contextul de fapt este, așadar, unul de credit scoring utilizat pentru un contract comercial aparent banal, dar consecințele juridice pentru persoana vizată și principiile stabilite de Curte sunt aplicabile mutatis mutandis cazurilor de refuz bancar.
Curtea a precizat că persoana vizată poate solicita informații semnificative privind logica implicată, iar explicația trebuie să descrie procedura și principiile efectiv aplicate pentru folosirea datelor sale personale în vederea obținerii unui rezultat concret. Nu este suficientă nici comunicarea unei formule matematice complexe, nici descrierea exhaustivă a tuturor pașilor tehnici, ci explicația trebuie să fie relevantă, concisă, transparentă, inteligibilă și ușor accesibilă. Atunci când operatorul invocă secrete comerciale sau drepturi ale terților, informațiile relevante trebuie puse la dispoziția autorității de supraveghere sau a instanței, care va realiza echilibrul între interesele aflate în conflict.
Acest standard este util și pentru interpretarea AI Act: explicația nu trebuie confundată cu divulgarea secretului comercial, dar nici nu poate fi golită de conținut prin invocarea acestuia.
În materia creditelor acordate consumatorilor, Directiva 2023/2225 adaugă un strat suplimentar de protecție. Atunci când evaluarea bonității implică prelucrarea automată a datelor personale, consumatorul trebuie să poată solicita intervenție umană, o explicație clară și comprehensibilă a evaluării (inclusiv logica și riscurile implicate), să își exprime punctul de vedere și să ceară revizuirea evaluării și a deciziei privind acordarea creditului.
Rezultă o suprapunere de regimuri: (i) GDPR protejează persoana vizată în raport cu prelucrarea datelor și deciziile automatizate; (ii) Directiva 2023/2225 adaugă garanții sectoriale pentru creditele de consum; (iii) AI Act introduce obligații de guvernanță și transparență pentru sistemele AI cu risc ridicat. Pentru instituțiile financiare, miza nu este alegerea între aceste regimuri, ci armonizarea lor într-un proces unic, coerent și verificabil.
Calendarul aplicării, sancțiunile și dreptul de a depune plângere
Potrivit calendarului original al AI Act, regulile pentru sistemele AI cu risc ridicat din Anexa III ar trebui să se aplice de la 2 august 2026. Calendarul poate fi modificat prin pachetul Digital Omnibus pe AI, propus de Comisie în noiembrie 2025. Atât Parlamentul European, cât și Consiliul au susținut amânarea aplicării anumitor reguli, cu date-limită fixe: 2 decembrie 2027 pentru sistemele autonome listate în Anexa III și 2 august 2028 pentru sistemele integrate în produse reglementate sectorial. Trebuie subliniat faptul că negocierile continuă.
În materie sancționatorie, AI Act lasă statelor membre sarcina de a stabili normele, dar fixează plafoane semnificative. Nerespectarea anumitor obligații ale operatorilor, altele decât practicile interzise, poate atrage amenzi administrative de până la 15.000.000 EUR sau până la 3% din cifra de afaceri anuală mondială totală, oricare dintre acestea este mai mare.
În plus, articolul 85 din AI Act consacră dreptul de a depune plângere la autoritatea de supraveghere a pieței pentru orice persoană fizică sau juridică ce are motive să considere că Regulamentul a fost încălcat. Coroborat cu dreptul la explicație din articolul 86, acest instrument va deveni o rută previzibilă de contestare în practică. Pentru un client al unei bănci sau al unui IFN din România, aceasta se traduce într-o plângere către ASF sau BNR, după caz, însoțită de corespondența cu instituția, de explicația refuzului și, eventual, de elemente privind evaluarea impactului asupra drepturilor fundamentale.
Dincolo de sancțiuni, miza este probatorie, reputațională și comercială. O instituție care nu poate explica refuzul unui credit influențat de un sistem AI riscă să pară că a delegat decizia unei cutii negre.
Explicația ca probă a rezonabilității deciziei
AI Act nu transformă fiecare refuz de credit într-un litigiu și nu obligă instituțiile financiare să își publice algoritmii. Schimbă, în schimb, standardul de normalitate. Dacă, în mod tradițional, o decizie de creditare putea rămâne, în mare parte, în interiorul politicilor de risc ale instituției, odată cu Regulamentul, atunci când este influențată de un sistem AI cu risc ridicat, decizia trebuie să poată fi explicată în exterior (clientului, autorității sectoriale de supraveghere, instanței).
Pentru bănci și IFN-uri, obiectivul operațional este construirea unui dosar decizional inteligibil: date corecte, model documentat, supraveghere umană reală, log-uri disponibile, procedură de contestare și explicații adaptate persoanei afectate. În definitiv, folosirea unui sistem AI în decizia de creditare nu este ceva negativ, în sine, ci devine atunci când nimeni din instituția care a utilizat sistemul nu poate explica decizia pe care a luat-o.
Marius Stanciu, Partener Buju Stanciu & Asociații