L'articolo 22 del GDPR è la norma europea sulla privacy che limita le decisioni prese esclusivamente mediante trattamento automatizzato quando producono effetti giuridici o analogamente significativi su una persona. In pratica, è rilevante per i sistemi che valutano, classificano, approvano, rifiutano o selezionano persone senza una revisione umana significativa. Non si tratta di un divieto assoluto dell'automazione, ma richiede alle organizzazioni di prestare attenzione a quando una macchina può prendere la decisione finale.
Nel contesto della sicurezza informatica e della governance difensiva, l'articolo 22 si presenta come un requisito di controllo: i team devono disporre di log di audit, tracciamento delle versioni, provenienza dei dati e un vero passaggio di supervisione umana che possa annullare l'esito di un algoritmo. Nelle risorse umane, per esempio, se un software aiuta a decidere licenziamenti o cambi di ruolo, l'azienda deve poter dimostrare che la decisione non è stata puramente automatica e che la persona interessata può contestarla. Log deboli, modelli opachi o una finta