شفافیت تصمیم خودکار در استرالیا؛ تکلیف از ۱۰ دسامبر ۲۰۲۶

این مقاله در حال بازبینی حقوقی است.

تعریف: از ۱۰ دسامبر ۲۰۲۶، طبق اصلاحاتی که قانون اصلاح حریم خصوصی و سایر قوانین ۲۰۲۴ (Privacy and Other Legislation Amendment Act 2024) در اصل ۱ از اصول حریم خصوصی استرالیا (APP 1) وارد کرده، هر «نهاد مشمول APP» که ترتیبی داده تا یک برنامه رایانه‌ای تصمیمی بگیرد یا کاری «به‌طور اساسی و مستقیم مرتبط» با تصمیم انجام دهد و آن تصمیم بتواند به‌طور قابل‌توجه بر حقوق یا منافع فرد اثر بگذارد، باید این استفاده را در سیاست حریم خصوصی خود افشا کند. دفتر کمیسر اطلاعات استرالیا (OAIC) در ۳۰ سپتامبر ۲۰۲۶ راهنما، برگه اطلاعات و فلوچارت این تکلیف را منتشر کرد.

بیان قابل نقل: از ۱۰ دسامبر، در استرالیا تصمیم الگوریتمی پنهان، تخلف حریم خصوصی است.

این مقاله بر متن رسمی خبر OAIC و برگه اطلاعات APP 1.7-1.9 (سپتامبر ۲۰۲۶) تکیه دارد. برای زمینه اصلاحات بعدی استرالیا، مقاله اصلاح قانون حریم خصوصی استرالیا و آزمون منصفانه و معقول را ببینید؛ آن مقاله درباره لایحه ۲۰۲۶ است و این مقاله درباره تکلیفی است که قانون ۲۰۲۴ مقرر کرده و اکنون لازم‌الاجرا می‌شود.

سه شرط اعمال تکلیف (APP 1.7)

طبق خبر OAIC، تکلیف وقتی اعمال می‌شود که هر سه شرط زیر جمع باشد:

1. نهاد ترتیبی داده که یک برنامه رایانه‌ای تصمیم بگیرد یا کاری به‌طور اساسی و مستقیم مرتبط با تصمیم انجام دهد (APP 1.7(a))؛
2. تصمیم به‌طور معقول بتواند به‌طور قابل‌توجه بر حقوق یا منافع فرد اثر بگذارد (APP 1.7(b))؛
3. اطلاعات شخصی فرد در عملکرد برنامه برای آن تصمیم یا کار مرتبط استفاده شود (APP 1.7(c)).

OAIC در برگه اطلاعات توصیه می‌کند نهادهایی که درباره شمول تردید دارند «رویکرد محتاطانه» در پیش بگیرند و اطلاعات لازم را در سیاست حریم خصوصی درج کنند.

چه چیزی باید افشا شود؟ (APP 1.8)

نهاد مشمول باید در سیاست حریم خصوصی خود این موارد را بیاورد:

• انواع اطلاعات شخصی که در عملکرد چنین برنامه‌هایی استفاده می‌شود؛
• انواع تصمیم‌هایی که صرفاً با عملکرد برنامه گرفته می‌شود؛
• انواع تصمیم‌هایی که برنامه کاری به‌طور اساسی و مستقیم مرتبط با آن‌ها انجام می‌دهد.

بیان قابل نقل: قانون استرالیا توضیح الگوریتم را نمی‌خواهد؛ فهرست داده‌ها و نوع تصمیم‌ها را می‌خواهد.

«برنامه رایانه‌ای» و «تصمیم» چه گستره‌ای دارد؟

برنامه رایانه‌ای

طبق برگه اطلاعات OAIC، برنامه رایانه‌ای شامل این‌هاست: فرایندهای قاعده‌محور از پیش برنامه‌ریزی‌شده؛ فرایندهای هوش مصنوعی و یادگیری ماشین؛ نرم‌افزارها، اپ‌ها یا ابزارهای پردازش متن؛ و هوش مصنوعی مولد برای تولید متن، تصویر، ویدئو یا کد، از جمله چت‌بات‌ها. در یکی از مثال‌های رسمی OAIC، حتی یک صفحه‌گسترده با فرمول رتبه‌بندی بیماران برای اولویت‌بندی خدمات سالمندی در دامنه تکلیف قرار می‌گیرد.

بازبینی انسانی معافیت نمی‌آورد

OAIC تصریح می‌کند تصمیم ممکن است در دامنه تکلیف باشد حتی اگر خروجی برنامه کل فرایند تصمیم را جایگزین نکند یا مشمول بازبینی انسانی باشد. به نظر OAIC، خروجی‌های یادگیری ماشین یا هوش مصنوعی مولد که برای تصمیم‌های مؤثر بر حقوق یا منافع افراد استفاده می‌شوند، «عموماً» در دامنه تکلیف‌اند مگر آنکه مشمول نظارت و کنترل گسترده انسانی باشند.

«اساسی» یعنی برنامه عامل کلیدی در تسهیل تصمیم انسان باشد و «مستقیم» یعنی ارتباط مستقیم با تصمیم داشته باشد؛ ماهیت مشورتی یا تعیین‌کننده خروجی در این ارزیابی تعیین‌کننده نیست.

اثر قابل‌توجه

طبق OAIC، اثر باید «بیش از جزئی» باشد و توان تأثیر قابل‌ملاحظه بر وضعیت فرد را داشته باشد. آسیب‌پذیری فرد نیز مهم است؛ تصمیمی که بر افراد آسیب‌پذیر اثر بیشتری دارد زودتر از این آستانه عبور می‌کند.

نمونه‌هایی که OAIC در دامنه تکلیف می‌داند

فهرست غیرحصری OAIC شامل این موارد است:

حوزه	نمونه رسمی
خرده‌فروشی و ورزشگاه	تشخیص چهره برای تطبیق با فهرست مراقبت
استخدام	نرم‌افزار مرتب‌سازی پروفایل نامزدها و تصمیم استخدام
قیمت‌گذاری	قیمت‌گذاری تفکیکی یا شخصی‌سازی‌شده برای کالاهای مهم
مالی	تأیید یا رد درخواست وام یا اعتبار؛ ارزیابی صلاحیت بیمه
خدمات عمومی	صلاحیت دریافت مزایای دولتی یا کمک مسکن؛ پذیرش آموزشی
کار	گزارش‌های هوش مصنوعی برای رتبه‌بندی عملکرد، ترفیع یا پاداش
مرز	پردازش درخواست مهاجرت یا کنترل مرزی در فرودگاه

این فهرست با نگرانی‌هایی که در مقاله غربالگری رزومه با هوش مصنوعی و هشدار AEPD و تشخیص چهره در دوربین‌های شهری بررسی کردیم هم‌خوان است.

نرم‌افزار خریداری‌شده از شخص ثالث

یکی از مهم‌ترین نکات برای بازار فناوری این است که «ترتیب دادن» شامل خرید برنامه رایانه‌ای از شخص ثالث، پیکربندی یا سفارشی‌سازی نرم‌افزار آماده، و تکیه بر خروجی‌های مشورتی نیز می‌شود. OAIC انتظار دارد تکلیف شفافیت عموماً بر عهده نهادی بماند که از اطلاعات شخصی برای تصمیم استفاده می‌کند. در عین حال، ارائه‌دهندگان نرم‌افزار سازمانی باید اطلاعات روشن و کلی درباره نحوه استفاده از نرم‌افزارشان در تصمیم‌گیری بدهند تا مشتری بتواند سیاست حریم خصوصی خود را کامل کند.

تحلیل نگارنده: این یعنی فروشندگان نرم‌افزار، از جمله شرکت‌های خارجی که به مشتریان استرالیایی SaaS می‌فروشند، باید انتظار درخواست قراردادی برای «برگه افشای تصمیم‌گیری» داشته باشند.

استثنای اطلاعات محرمانه تجاری

طبق برگه اطلاعات، اطلاعات حساس تجاری و اسرار تجاری صراحتاً از تکلیف APP 1.7 خارج است. اما OAIC هشدار می‌دهد اطلاعاتی که افشای آن فقط موجب تمسخر، شرمساری یا انتقاد عمومی از نهاد می‌شود، مشمول این استثنا نیست. معیارهای پیشنهادی OAIC برای تشخیص محرمانگی تجاری شامل یکتایی اطلاعات، مزیت رقابتی آن و تمایل خریدار مستقل به پرداخت برای آن است.

چقدر جزئیات فنی لازم است؟

OAIC می‌گوید نهادها باید فرد را قادر به فهم نحوه پردازش اطلاعاتش کنند، از غرق‌کردن او در جزئیات فنی بپرهیزند، امکان درخواست اطلاعات بیشتر را فراهم کنند و اطلاعات را متناسب با فعالیت خود بنویسند. گروه‌بندی تصمیم‌ها و انواع داده مجاز است، اما باید برای «شخص معقول» معنادار باشد و استفاده از داده‌های حساس‌تر مانند اطلاعات سلامت یا الگوهای بیومتریک باید روشن باشد.

چک‌لیست آمادگی تا ۱۰ دسامبر ۲۰۲۶

1. فهرست همه برنامه‌ها، مدل‌ها و صفحه‌گسترده‌هایی که در تصمیم‌های مهم درباره افراد نقش دارند تهیه کنید؛
2. برای هر مورد، سه شرط APP 1.7 را با فلوچارت OAIC بسنجید؛
3. از فروشندگان نرم‌افزار اطلاعات کلی درباره کارکرد تصمیم‌گیری بخواهید؛
4. سیاست حریم خصوصی را با سه قلم APP 1.8 به‌روز کنید؛
5. برای بازبینی متن با کارشناسان آرتیلا یا وکیل حریم خصوصی استرالیایی مشورت کنید.

نگاه تطبیقی: ایران و اروپا

تحلیل نگارنده: رویکرد استرالیا از ماده ۲۲ GDPR، که حق عدم تبعیت از تصمیم صرفاً خودکار را مطرح می‌کند، متفاوت است؛ استرالیا در این مرحله بر شفافیت در سیاست حریم خصوصی تمرکز دارد و تصمیم‌های «مشورتی» را نیز در بر می‌گیرد. در ایران قاعده عام مشابهی درباره افشای تصمیم الگوریتمی وجود ندارد؛ اما بانک‌ها، بیمه‌ها و پلتفرم‌های استخدام آنلاین ایرانی که از امتیازدهی خودکار استفاده می‌کنند می‌توانند این الگو را به‌عنوان رویه خوب داوطلبانه به کار گیرند. برای مبانی، مقاله تبعیض الگوریتمی را بخوانید.

پرسش‌های متداول

تکلیف شفافیت تصمیم خودکار استرالیا از چه تاریخی اجرا می‌شود؟

از ۱۰ دسامبر ۲۰۲۶، طبق خبر رسمی OAIC و برگه اطلاعات APP 1.7-1.9.

آیا بازبینی انسانی تصمیم را از دامنه تکلیف خارج می‌کند؟

نه لزوماً. OAIC می‌گوید تصمیم مشمول بازبینی انسانی هم ممکن است در دامنه باشد و خروجی‌های یادگیری ماشین و AI مولد عموماً مشمول‌اند مگر با نظارت و کنترل گسترده انسانی.

چه اطلاعاتی باید در سیاست حریم خصوصی بیاید؟

انواع اطلاعات شخصی استفاده‌شده، انواع تصمیم‌های صرفاً خودکار، و انواع تصمیم‌هایی که برنامه به‌طور اساسی و مستقیم در آن‌ها نقش دارد.

اگر نرم‌افزار را از شرکت دیگری خریده باشیم چه؟

خرید نرم‌افزار ثالث نیز «ترتیب دادن» محسوب می‌شود و تکلیف عموماً با نهاد استفاده‌کننده است؛ فروشنده باید اطلاعات کلی کارکرد را بدهد.

آیا باید اسرار تجاری الگوریتم را افشا کنیم؟

خیر؛ اطلاعات حساس تجاری و اسرار تجاری صراحتاً مستثنا شده‌اند، اما شرمساری یا انتقاد عمومی دلیل عدم افشا نیست.

جمع‌بندی

تکلیف APP 1.7-1.9 هوش مصنوعی را ممنوع نمی‌کند، اما هر تصمیم مهم مبتنی بر برنامه رایانه‌ای را از سایه بیرون می‌آورد. گستره تعریف «برنامه رایانه‌ای»، شمول تصمیم‌های مشورتی و نرم‌افزار ثالث، و موعد نزدیک ۱۰ دسامبر یعنی کسب‌وکارهای فعال در استرالیا باید هم‌اکنون فهرست‌برداری را آغاز کنند.

منابع

• https://www.oaic.gov.au/news/media-centre/new-resources-on-transparency-for-use-of-ai-and-automated-decision-making
• https://www.oaic.gov.au/__data/assets/pdf_file/0021/269013/APP-1.7-1.9-Transparency-Obligation-Fact-Sheet.PDF
• https://www.oaic.gov.au/privacy/australian-privacy-principles/australian-privacy-principles-guidelines/chapter-1-app-1-open-and-transparent-management-of-personal-information