Decizii automate care te afectează: scoring de credit, prețuri și drepturile tale

Aplici pentru un credit și primești refuzul în câteva minute. Vezi un preț la o rezervare online, iar prietenul tău vede altul. Trimiți un CV și nu ajungi niciodată la un om. În spatele tuturor acestor momente stau decizii automate — algoritmi și sisteme AI care te evaluează pe baza datelor tale. Vestea bună: legislația europeană îți dă drepturi concrete în fața lor — dreptul de a nu fi supus unei decizii exclusiv automate cu efecte semnificative, dreptul la intervenție umană, dreptul la explicație. Acest ghid îți arată unde te întâlnești cu aceste decizii în România, ce spun exact GDPR și EU AI Act și — partea care lipsește de obicei — cum îți exerciți drepturile pas cu pas.

Unde te evaluează algoritmii, concret

Scoringul de credit. În România, băncile și IFN-urile consultă Biroul de Credit, care calculează din 2009 un scor FICO — un număr între 300 și 850 care estimează probabilitatea să-ți plătești ratele. Cele mai grele componente: istoricul de plată (aproximativ 35% din scor) și nivelul datoriilor curente (aproximativ 30%), alături de vechimea conturilor de credit, cererile recente de credit și mixul de produse. Un scor mai mare înseamnă, de regulă, șanse mai bune de aprobare și condiții mai avantajoase.

Prețurile personalizate. Magazinele online pot ajusta prețul afișat ție pe baza profilului tău — locație, istoric de navigare, comportament de cumpărare. Legea nu interzice practica, dar o obligă la transparență: din 2022, comercianții trebuie să te informeze, înainte de cumpărare, atunci când prețul a fost personalizat pe baza unui proces decizional automatizat (OUG nr. 34/2014 privind drepturile consumatorilor, modificată prin OUG nr. 58/2022, care transpune Directiva UE 2019/2161). Atenție la nuanță: reducerea „dinamică" aplicată tuturor în funcție de cerere nu intră aici — doar prețul croit pe profilul tău.

Recrutarea și munca. Sisteme care filtrează CV-uri, notează interviuri video sau monitorizează productivitatea. Pentru perspectiva angajatului am scris separat despre monitorizarea angajaților cu AI și drepturile GDPR.

Asigurările și abonamentele. Evaluarea riscului la polițe, detectarea „anomaliilor" în cereri de despăgubire, decizii de suspendare a conturilor pe platforme online — toate, tot mai des, automate.

Ce spune GDPR: articolul 22, tradus în română normală

Articolul 22 din GDPR este scutul principal: ai dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată — inclusiv profilare — care produce efecte juridice asupra ta sau te afectează în mod similar semnificativ. Refuzul unui credit, respingerea automată a unei candidaturi, rezilierea unui contract — toate intră în categoria „efecte semnificative".

Există trei excepții în care decizia automată e permisă: când e necesară pentru încheierea sau executarea unui contract cu tine, când e autorizată printr-o lege care prevede garanții, sau când ți-ai dat consimțământul explicit. Dar — și aici e partea importantă — chiar și în aceste excepții, operatorul trebuie să-ți garanteze minimum trei lucruri (art. 22 alin. 3):

1. dreptul de a obține intervenție umană — un om, nu algoritmul, să reevalueze decizia;
2. dreptul de a-ți exprima punctul de vedere — să aduci context pe care algoritmul nu l-a văzut;
3. dreptul de a contesta decizia.

La acestea se adaugă dreptul de acces (art. 15): poți cere să afli dacă exiști într-un proces decizional automatizat și să primești informații utile privind logica utilizată, precum și importanța și consecințele prelucrării pentru tine.

Hotărârea SCHUFA: scoringul însuși e o „decizie"

Ani de zile, industria a susținut că scorul de credit e doar „o informație", nu o decizie — decizia ar lua-o banca. Curtea de Justiție a UE a închis discuția în cauza C-634/21 (SCHUFA, hotărârea din 7 decembrie 2023): atunci când scorul calculat de un birou de credit joacă un rol determinant în acordarea creditului, stabilirea scorului este ea însăși o decizie automată în sensul art. 22 — cu tot pachetul de drepturi activat. Pentru tine, practic: nu poți fi trimis de la bancă la biroul de credit și înapoi, fiecare dând vina pe celălalt; drepturile tale se aplică acolo unde se produce evaluarea cu rol determinant.

Ce adaugă EU AI Act din august 2026

Regulamentul european privind inteligența artificială (Regulamentul UE 2024/1689) completează GDPR dintr-o direcție nouă: reglementează sistemul AI însuși, nu doar datele. Două lucruri contează direct pentru tine:

Scoringul de credit e oficial „risc înalt". Anexa III, punctul 5(b) clasifică sistemele AI folosite pentru evaluarea bonității persoanelor fizice sau stabilirea scorului de credit drept sisteme cu risc înalt (cu excepția celor de detectare a fraudelor financiare). De la 2 august 2026, aceste sisteme intră sub obligații stricte: guvernanța datelor, documentație tehnică, supraveghere umană, monitorizare continuă.

Dreptul la explicație (art. 86). Dacă o decizie luată pe baza unui sistem AI cu risc înalt îți produce efecte juridice sau te afectează semnificativ, ai dreptul să obții de la cel care a folosit sistemul explicații clare și pertinente cu privire la rolul sistemului AI în procedura decizională și la principalele elemente ale deciziei luate.

Pentru companii, aceste obligații sunt un proiect serios de conformitate — l-am detaliat în ghidul EU AI Act pentru companiile românești. Merită menționat și că la Bruxelles se negociază pachetul „Digital Omnibus" (propus în noiembrie 2025), care ar simplifica și clarifica anumite prevederi, inclusiv formularea art. 22 GDPR — dar până la o eventuală adoptare, drepturile descrise aici se aplică integral, așa cum sunt. Am analizat propunerea în articolul despre Digital Omnibus.

Cum îți exerciți drepturile, pas cu pas

Teoria e frumoasă; iată procedura.

Pasul 1 — Află ce știe sistemul despre tine. La refuzul unui credit, cere băncii să-ți comunice dacă decizia a implicat o prelucrare exclusiv automată și care au fost principalele elemente. În paralel, poți cere de la Biroul de Credit situația înscrierii tale — datele care se raportează despre tine și cine le-a consultat. Cererea de acces GDPR (art. 15) e gratuită.

Pasul 2 — Cere intervenție umană și adu context. Dacă decizia a fost automată, invocă art. 22 alin. 3: ceri reevaluarea de către un om și îți prezinți punctul de vedere — venituri nedeclarate în formular, o întârziere de plată cu explicație punctuală, o eroare în datele raportate.

Pasul 3 — Corectează datele greșite. Dacă în raportul de credit găsești erori (o rată marcată restantă deși ai plătit-o, un credit care nu e al tău), ai dreptul la rectificare (art. 16 GDPR) — cere corectarea atât instituției care a raportat, cât și Biroului de Credit.

Pasul 4 — Escaladează. Dacă operatorul nu răspunde în termen (o lună, prelungibilă cu două în cazuri complexe) sau răspunde nesatisfăcător, depui plângere la ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (dataprotection.ro) — gratuit. Pentru aspectele de consum (prețul personalizat neafișat, practici comerciale incorecte), drumul e către ANPC.

AI-ul, de partea ta: redactează cererile în 5 minute

Ironia plăcută: cel mai rapid mod de a-ți exercita drepturile în fața algoritmilor e tot un AI. Prompt gata de copiat:

Redactează o cerere oficială către [banca/instituția], în română,
în temeiul art. 15 și art. 22 din GDPR. Context: la data de [data]
am primit [refuzul creditului / decizia]. Solicit:

1. Confirmarea dacă decizia s-a bazat exclusiv pe prelucrare
   automată, inclusiv profilare.
2. Informații utile privind logica utilizată, importanța și
   consecințele prelucrării pentru mine.
3. Reevaluarea deciziei cu intervenție umană, în temeiul
   art. 22 alin. 3, având în vedere următorul context pe care
   doresc să-l prezint: [explicația ta].

Ton formal, structură de cerere administrativă, spații de completat
pentru datele mele de identificare, mențiunea termenului legal de
răspuns de o lună. Nu adăuga alte temeiuri legale în afara celor
indicate de mine.

Ultima instrucțiune previne halucinarea de articole de lege — temeiurile din prompt sunt cele verificate în acest articol. Pentru orice alt temei, verifică pe eur-lex.europa.eu înainte de trimitere. Mai multe despre igiena datelor personale în relația cu AI găsești în ghidul de confidențialitate.

Pentru profesioniști: dacă firma ta ia decizii automate

Dacă ești de cealaltă parte a mesei — bancă, IFN, asigurător, e-commerce, HR — combinația GDPR art. 22 + AI Act art. 86 + hotărârea SCHUFA înseamnă că „algoritmul a decis" nu mai e un răspuns legal valid. Minimul de igienă: inventariază deciziile automatizate din organizație, asigură un circuit real de intervenție umană (nu un om care apasă „confirm" pe bandă rulantă), documentează logica sistemelor și pregătește răspunsuri la cereri de explicație. Sancțiunile GDPR ajung la 20 de milioane EUR sau 4% din cifra de afaceri globală — iar pentru încălcările AI Act, plafonul urcă la 35 de milioane EUR sau 7%.

Cum te ajută cursurile de pe Cursuri AI

Dacă lucrezi în finanțe, bancă sau contabilitate, deciziile automatizate sunt deja parte din meseria ta — cursul de AI în finanțe și contabilitate acoperă utilizarea AI în domeniu cu tot cu cadrul de conformitate, de la analiza datelor financiare până la limitele legale ale automatizării.

Iar dacă ești manager sau responsabil de conformitate și vrei ca organizația ta să folosească AI fără să colecționeze riscuri, cursul despre politica de utilizare AI și securitatea datelor în companie te ghidează prin construirea regulilor interne: ce sisteme folosiți, pe ce date, cu ce supraveghere umană — exact fundamentul pe care AI Act îl cere din august 2026.

Întrebări frecvente

Î: Banca m-a refuzat la credit „pe baza scoringului". Am dreptul să aflu de ce?

Da. Ai dreptul să afli dacă decizia a fost exclusiv automată, să primești informații utile privind logica utilizată (art. 15 GDPR), să ceri reevaluarea cu intervenție umană și să-ți prezinți punctul de vedere (art. 22 alin. 3). După hotărârea CJUE în cauza SCHUFA (C-634/21), aceste drepturi se aplică și scoringului însuși, atunci când el joacă rolul determinant în decizie — nu doar deciziei finale a băncii.

Î: Ce este scorul FICO de la Biroul de Credit și pot să-l văd?

E un număr între 300 și 850, calculat de Biroul de Credit din datele raportate de bănci și IFN-uri, care estimează probabilitatea să-ți plătești ratele; cele mai importante componente sunt istoricul de plată (circa 35%) și datoriile curente (circa 30%). Poți cere Biroului de Credit, gratuit, situația înscrierii tale — inclusiv datele raportate despre tine și cine le-a consultat — în temeiul dreptului de acces GDPR.

Î: E legal ca un magazin online să-mi arate alt preț decât altcuiva?

Personalizarea prețului nu e interzisă, dar e condiționată de transparență: comerciantul trebuie să te informeze, înainte de a cumpăra, că prețul a fost personalizat pe baza unui proces decizional automatizat (OUG 34/2014, modificată prin OUG 58/2022). Dacă descoperi personalizare neafișată, poți sesiza ANPC. Prețurile „dinamice" care variază pentru toți în funcție de cerere — biletele de avion în vârf de sezon, de exemplu — nu intră sub această obligație.

Î: Poate un angajator să-mi respingă CV-ul complet automat, fără să-l vadă un om?

Dacă respingerea e o decizie exclusiv automată cu efect semnificativ asupra ta — și ratarea unui loc de muncă este — se aplică art. 22 GDPR: angajatorul are nevoie de un temei valid (de regulă, măsuri necesare pre-contractuale sau consimțământ) și trebuie să-ți asigure dreptul la intervenție umană și contestare. În plus, sistemele AI pentru recrutare sunt clasificate cu risc înalt în AI Act, cu obligații de supraveghere umană pentru angajator din august 2026.

Î: Unde mă plâng dacă drepturile mele sunt ignorate?

Pentru datele personale și deciziile automate: plângere gratuită la ANSPDCP (dataprotection.ro), ideal după ce ai cerut mai întâi operatorului, în scris, respectarea drepturilor — păstrează cererea și răspunsul (sau lipsa lui, după termenul de o lună). Pentru aspecte de consum — preț personalizat neafișat, practici incorecte — reclamație la ANPC pe anpc.ro. Pentru ambele, un dosar ordonat cu date, capturi de ecran și corespondență face diferența.

Concluzie

Deciziile automate nu sunt viitorul — sunt prezentul tău: scorul care îți aprobă creditul, prețul care ți se afișează, filtrul care îți citește CV-ul. Diferența dintre a fi subiectul pasiv al algoritmilor și a fi un cetățean informat stă în trei reflexe: știi că ai dreptul la intervenție umană și explicație (GDPR art. 22, AI Act art. 86), ceri în scris și escaladezi la ANSPDCP sau ANPC când ești ignorat. Iar unealta cu care redactezi toate aceste cereri în minute, nu în ore, e chiar AI-ul — folosit de data asta de partea ta a mesei.

Surse:

• Regulamentul (UE) 2016/679 (GDPR), art. 15, 16, 22, 77: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX%3A32016R0679
• CJUE, cauza C-634/21 SCHUFA (hotărârea din 7 decembrie 2023): https://curia.europa.eu/juris/liste.jsf?num=C-634/21
• Regulamentul (UE) 2024/1689 (EU AI Act), Anexa III pct. 5(b) și art. 86: https://artificialintelligenceact.eu/annex/3/
• OUG nr. 34/2014 privind drepturile consumatorilor: https://legislatie.just.ro/Public/DetaliiDocument/158913
• PwC România, „Modificarea și completarea unor acte normative din domeniul protecției consumatorilor: OUG nr. 58/2022": https://www.pwc.ro/ro/tax-legal/alerts/modificarea-_i-completarea-unor-acte-normative-din-domeniul-prot.html
• Conso.ro, „Cum se calculează Scorul FICO de către Biroul de Credit": https://www.conso.ro/ghid/biroul-de-credit/biroul-de-credit-1/cum-se-calculeaza-scorul-fico-de-catre-biroul-de-credit-
• noyb, „CJEU landmark rulings on credit ranking and review of DPAs": https://noyb.eu/en/cjeu-landmark-rulings-credit-ranking-and-review-dpas