Bundesverwaltungsgericht (BVwG) har slagit fast att en AI-modell utvecklad av den offentliga arbetsförmedlingen för att bedöma arbetssökandes möjligheter på arbetsmarknaden är förenlig med dataskyddsförordningen (GDPR), under förutsättning att nationell lag utgör rättslig grund för behandlingen av personuppgifter.
Av beslutet framgår att arbetsförmedlingen, som ansvarar för att genomföra den federala regeringens arbetsmarknadspolitik, hade utvecklat en AI-modell kallad AMAS. Syftet var att beräkna och bedöma arbetssökandes möjligheter på arbetsmarknaden som ett stödverktyg för rådgivare. AI-modellen använde de registrerades personuppgifter såsom ålder, kön, utbildning och yrkeserfarenhet för att förutsäga chanserna till framtida integration på arbetsmarknaden.
Från och med 2021 planerade arbetsförmedlingen att göra användningen av AMAS obligatorisk. Samtidigt infördes dock flera åtgärder för att säkerställa att AI-modellen endast skulle fungera som ett komplement till rådgivarnas egna bedömningar. Bland annat fick rådgivarna särskild utbildning i att använda AMAS och i att göra självständiga bedömningar. De var även skyldiga att förklara AI-modellens slutsatser för de arbetssökande och att diskutera eventuella invändningar.
Datenschutzbehörde (DSB) inledde en granskning på eget initiativ och förbjöd arbetsförmedlingen att behandla personuppgifter med hjälp av AMAS. DSB menade att arbetsförmedlingen saknade en giltig rättslig grund för behandlingen och att den dessutom innebar profilering enligt artikel 4.4 GDPR. Myndigheten ansåg även att förbudet mot automatiserat beslutsfattande i artikel 22 GDPR var tillämpligt.
Arbetsförmedlingen överklagade beslutet till BVwG, som upphävde DSB:s beslut. BVwG ansåg att arbetsförmedlingen hade rätt att behandla personuppgifter i enlighet med nationell lag. DSB överklagade vidare till Verwaltungsgerichtshof (VwGH).
VwGH konstaterade att det fanns en möjlighet att AMAS kunde utgöra automatiserat beslutsfattande enligt artikel 22.1 GDPR, och återförvisade därför ärendet till BVwG för vidare prövning. Om behandlingen visade sig vara automatiserat beslutsfattande, skulle den enligt VwGH vara förbjuden såvida inte något av undantagen i artikel 22.2 GDPR var tillämpligt.
BVwG konstaterade först att AMAS innebar profilering enligt artikel 4.4 GDPR. Domstolen tydliggjorde även att frågan om rättslig grund enligt artiklarna 6 och 9 GDPR måste skiljas från frågan om förbudet mot automatiserat beslutsfattande enligt artikel 22 GDPR.
Vid bedömningen av om AMAS omfattades av artikel 22.1 hänvisade domstolen till EU-domstolens avgörande i mål C-634/21 (SCHUFA). I det målet konstaterades att kreditinformationsföretaget hade använt en AI-modell som baserades helt på automatiserad behandling, utan någon betydande mänsklig inblandning, och att den resulterande poängen hade rättslig verkan eller i betydande grad påverkade den registrerade.
BVwG fann dock att AMAS-fallet skilde sig från SCHUFA. Utredningen visade att rådgivarna hade en verklig och betydande roll i beslutsprocessen, inte enbart en formell sådan. Arbetsförmedlingen hade dessutom infört tydliga interna riktlinjer och kontrollåtgärder för hur AI-modellen fick användas. Domstolen drog därför slutsatsen att AMAS inte utgjorde automatiserat beslutsfattande. Därmed ansåg den inte att det var nödvändigt att pröva om besluten hade rättslig verkan eller betydande påverkan på de registrerade.
Slutligen fann domstolen att det inte skett något brott mot artikel 5.1(a) GDPR, eftersom arbetsförmedlingen kunde stödja sig på nationella lagbestämmelser som rättslig grund för personuppgiftsbehandlingen.