L'Articolo 22 del GDPR limita le decisioni basate esclusivamente su trattamenti automatizzati e che producono effetti giuridici o analogamente significativi su una persona. In pratica, è la norma che chiede se una macchina, senza un coinvolgimento umano significativo, stia prendendo una decisione importante sull'accesso, sul denaro, sull'identità o sui servizi. La legge non vieta l'automazione, ma in molti casi richiede garanzie, come la revisione umana, la possibilità di contestare la decisione e informazioni chiare su come funziona il sistema.
In ambito di sicurezza informatica, l'Articolo 22 è importante perché molte difese si basano su valutazioni e blocchi automatizzati: filtri antifrode, motori di rischio per gli account, controlli dell'identità e rilevamento degli abusi possono tutti influire su utenti reali. Se questi sistemi prendono decisioni definitive in modo autonomo, possono far scattare obblighi previsti dal GDPR. Gli aggressori possono anche cercare di sfruttare tali sistemi provocando falsi positivi, avvelenando i modelli o manipolando i segnali di identità, così che i controlli automatizzati classifichino in modo errato un bersaglio. Per i difensori, la lezione chiave è combinare automazione con supervisione, registrazione dei log e canali di ricorso, così che le azioni di sicurezza rimangano efficaci e giuridicamente difendibili.