Tekoälyn käyttöönotto etenee organisaatioissa nopeasti ja moni organisaatio huomaa melko pian, että suurimmat tietosuojakysymykset eivät välttämättä liity itse teknologiaan, vaan henkilötietojen käsittelyn vastuisiin ja riskienhallintaan. Usein tekoälyratkaisu toimii teknisesti hyvin, ja siksi sen käyttöönotto houkuttelee, mutta myöhemmin voi kuitenkin käydä ilmi, että henkilötietoja siirtyy EU:n ulkopuolelle, käyttäjien syötteitä käytetään tekoälymallien kouluttamiseen tai tietosuojan vaikutustenarviointi (DPIA) nostaa esiin merkittäviä riskejä.

Tässä tekstissä käymme läpi, mitä sisäänrakennettu ja oletusarvoinen tietosuoja tarkoittavat tekoälyn käytössä, miksi niiden merkitys korostuu juuri nyt ja mitä organisaation kannattaa selvittää ennen uuden tekoälyratkaisun hankintaa. 

 

 

Mitä on sisäänrakennettu ja oletusarvoinen tietosuoja? 

 

Sisäänrakennettu ja oletusarvoinen tietosuoja perustuvat GDPR:n 25 artiklaan. Käytännössä kyse on siitä, että rekisterinpitäjän pitää huolehtia riittävistä teknisistä ja organisatorisista toimista, jotta tietosuojaperiaatteet ja rekisteröityjen oikeudet toteutuvat myös käytännön arjessa. 

Periaate koostuu kahdesta toisiaan täydentävästä näkökulmasta:  

Oletusarvoinen tietosuoja tarkoittaa, että järjestelmän perusasetukset tukevat mahdollisimman hyvää tietosuojan tasoa. Esimerkiksi henkilötietoja kerätään vain tarpeeseen, käsittely rajataan olennaiseen ja säilytysajat pidetään mahdollisimman lyhyinä. 

Sisäänrakennettu tietosuoja puolestaan tarkoittaa, että tietosuojavaatimukset otetaan huomioon jo silloin, kun tuotteita, palveluita ja prosesseja suunnitellaan. Tietosuoja ei siis ole käyttöönoton jälkeinen tarkistuslista, vaan osa ratkaisun perusrakennetta. 

 

 

Miksi tekoäly korostaa tietosuojan merkitystä? 

 

Perinteisissä tietojärjestelmissä henkilötietojen käsittely on usein melko selkeästi rajattu. Tekoälyratkaisuissa tilanne on usein monimutkaisempi. Käyttäjät voivat syöttää järjestelmään hyvin monenlaista tietoa, tietoja voidaan käyttää eri tarkoituksiin ja toimittajaketjujen taustalla voi olla useita palveluntarjoajia sekä alikäsittelijöitä. 

Tekoäly voi myös tehdä ihmisistä päätelmiä tai tuottaa profilointiin liittyviä tuloksia. Tällä voi olla merkittäviä vaikutuksia yksilöiden oikeuksiin ja vapauksiin. Siksi GDPR:n keskeiset vaatimukset, kuten tietojen minimointi, läpinäkyvyys, riskiperusteinen arviointi, vastuiden määrittely ja jatkuva seuranta, korostuvat tekoälyratkaisuissa. 

 

 

Tekoälyjärjestelmän hankinnan neljä näkökulmaa 

 

Sisäänrakennettu tietosuoja alkaa jo ennen sopimuksen allekirjoittamista. Ennen hankintapäätöstä organisaation kannattaa arvioida ainakin neljä keskeistä osa-aluetta. 

1. Mitä henkilötietoja järjestelmä käsittelee?

Organisaation pitää ymmärtää, mitä henkilötietoja järjestelmään syötetään, ovatko kaikki tiedot todella tarpeellisia ja sisältävätkö ne esimerkiksi erityisiä henkilötietoryhmiä. Tavoitteena on vähentää henkilötietojen määrää jo ennen käyttöönottoa. 

2. Miten tietoja käytetään?

Keskeinen kysymys on, käytetäänkö syötettyjä tietoja vain palvelun tuottamiseen vai myös mallien kouluttamiseen ja kehittämiseen. Samalla on hyvä arvioida, voiko käyttötarkoitus muuttua myöhemmin. 

3. Kuka käsittelee tietoja?

Organisaation on tunnistettava rekisterinpitäjä, mahdolliset henkilötietojen käsittelijät ja alikäsittelijät. Lisäksi on tiedettävä, missä tiedot sijaitsevat ja siirtyvätkö ne EU:n tai ETA-alueen ulkopuolelle. 

4. Miten riskejä hallitaan?

Tarvitaanko hankkeessa tietosuojan vaikutustenarviointia (DPIA)? Miten rekisteröityjen oikeudet toteutuvat? Kuinka tiedot poistetaan, ja miten muutoksia seurataan? Nämä kysymykset kannattaa ratkaista ennen käyttöönottoa. 

 

 

10 kysymystä ennen tekoälyjärjestelmän hankintaa

 

Alla on kymmenen kysymystä, jotka organisaation kannattaa käydä läpi ennen tekoälyjärjestelmän käyttöönottoa. 

• Mitä henkilötietoja järjestelmä tarvitsee? 

• Voidaanko henkilötietojen määrää vähentää? 

• Käytetäänkö tietoja mallien kouluttamiseen? 

• Käytetäänkö tietoja muihin tarkoituksiin? 

• Ketkä toimivat alikäsittelijöinä? 

• Missä tiedot sijaitsevat? 

• Tarvitaanko tietosuojan vaikutustenarviointi (DPIA)? 

• Sisältyykö ratkaisuun profilointia tai päätelmien tekemistä ihmisistä? 

• Miten rekisteröityjen oikeudet toteutuvat? 

• Miten tiedot poistetaan palvelun käytön päättyessä?  

Jos organisaatio ei osaa vastata johonkin näistä kysymyksistä, ratkaisun tietosuojavaikutuksia ei todennäköisesti vielä tunneta riittävän hyvin. 

 

 

Kuinka varmistaa toteutuuko tekoälyn vaatimustenmukaisuus käytännössä? 

 

Vaatimustenmukaisuus ei synny yhdestä dokumentista tai yksittäisestä arvioinnista. Se tarvitsee tuekseen jatkuvan hallintamallin. 

Käytännössä tekoälyn hallinta voidaan rakentaa neljän osa-alueen varaan. 

• Ensin organisaatio tarvitsee hyvän perustan. Siihen kuuluvat esimerkiksi strategia, tiedonhallinta, teknologia, osaaminen, eettiset periaatteet sekä selkeät vastuut ja velvollisuudet. 
• Toiseksi organisaation pitää saada näkyvyys tekoälyn käyttöön. Tämä tarkoittaa esimerkiksi tekoälyn käyttötapausrekisteriä, riskien luokittelua ja selkeitä tekoälyä koskevia toimintaperiaatteita. 

• Kolmanneksi tarvitaan arviointeja. Näitä voivat olla esimerkiksi tietosuojan vaikutustenarviointi (DPIA), perusoikeusvaikutusten arviointi (FRIA) ja toimittaja-arvioinnit.

• Lopuksi on varmistettava jatkuvuus. Tekoälyn hallinnan pitää näkyä vuosittaisessa suunnittelussa, mittareissa ja seurannassa, poikkeamien hallinnassa sekä johdon raportoinnissa. 

 

 

Yhteenveto 

 

Tekoälyn vaatimustenmukaisuutta ei toteuteta vasta tekoälyn käyttöönotossa. Se rakentuu paljon aiemmin, hankintavaiheessa tehtävien valintojen kautta. Kun organisaatio tunnistaa henkilötietojen käsittelyn, toimittajaketjut, riskit ja vastuut riittävän ajoissa, se välttää suuren osan myöhemmistä ongelmista. Sisäänrakennettu ja oletusarvoinen tietosuoja ei ole vain GDPR-vaatimus, vaan käytännönläheinen tapa hallita riskejä ja onnistua tekoälyhankkeissa.