Tekoäly ja GDPR: näin varmistat vastuullisen AI-käytön yrityksessäsi

Tekoälytyökalujen käyttöönotto on noussut yrityksissä nopeasti yhdeksi keskeisistä tietosuojariskeistä. Samaan aikaan, kun ChatGPT, Copilot ja muut tekoälysovellukset ovat tulleet osaksi päivittäistä työtä, myös sääntely-ympäristö on tarkentunut: Euroopan tietosuojaneuvosto on julkaissut uutta ohjeistusta, ja EU:n tekoälyasetus (AI Act) tuo mukanaan omat, osin GDPR:ään kytkeytyvät velvoitteensa. Tässä kirjoituksessa käymme läpi, mitä yrityksen tulisi huomioida käyttäessään tekoälyä GDPR:n ja AI Actin näkökulmasta.

Tekoälytyökalujen käyttö on levinnyt yrityksiin monesti nopeammin kuin niiden tietosuoja- ja riskienhallintaprosessit ovat ehtineet mukautua. Moni organisaatio on ottanut käyttöön tekoälypohjaisia työkaluja esimerkiksi asiakaspalvelussa, rekrytoinnissa tai sisällöntuotannossa ilman, että käyttöönotto on käynyt läpi muodollista tietosuoja-arviointia. Tämä voi altistaa yrityksen sekä GDPR:n että AI Actin mukaisille seuraamuksille, jos henkilötietojen käsittelyä tai korkean riskin tekoälyjärjestelmien käyttöä ei ole asianmukaisesti huomioitu.

Oikea oikeusperuste tekoälytyökalun käytölle

Jokaisen henkilötietojen käsittelytilanteen – myös tekoälytyökalun kautta tapahtuvan – taustalla on oltava tunnistettu ja dokumentoitu, GDPR 6 artiklan mukainen oikeusperuste. Tämä ei ole muodollisuus, vaan laillisuuden edellytys.

Euroopan tietosuojaneuvoston (EDPB) lokakuussa 2024 antamien ohjeiden mukaan rekisterinpitäjän on arvioitava ja dokumentoitava kolme kumulatiivista edellytystä ennen oikeutetun edun käyttämistä käsittelyperusteena: ensinnäkin oikeutetun edun olemassaolo, toiseksi käsittelyn välttämättömyys tämän edun tavoittelemiseksi, ja kolmanneksi se, etteivät rekisteröidyn edut tai perusoikeudet syrjäytä kyseistä etua. EDPB korostaa, ettei GDPR aseta käsittelyperusteiden välille hierarkiaa, joten oikeutettua etua ei tule valita vain siksi, että se koetaan muita perusteita kevyemmäksi vaihtoehdoksi. Oikeutetun edun käyttäminen henkilötietojen käsittelyn oikeusperusteena edellyttää myös rekisterinpitäjän oikeutettujen etujen arviointia eli ns. tasapainotestin suorittamista. Siinä arvioidaan, syrjäyttävätkö rekisterinpitäjän oikeutetut edut todella rekisteröidyn edut ja oikeudet.

Mitä jos yritys syöttää asiakaspalautteita tekoälytyökaluun saadakseen niistä yhteenvedon? Mikä on oikea käsittelyperuste? Vastaus riippuu muun muassa siitä, käytetäänkö syötettyä dataa myös tekoälymallin kouluttamiseen vai ainoastaan kertakäyttöiseen analyysiin – nämä tilanteet voivat edellyttää eri käsittelyperustetta ja eri tason suojatoimia.

Tietosuoja jo suunnitteluvaiheessa: sisäänrakennettu ja oletusarvoinen tietosuoja AI-ratkaisuissa

Tietosuoja ei ole jälkikäteen lisättävä kerros, vaan se on sisällytettävä tekoälyratkaisun valintaan ja käyttöönottoon jo suunnitteluvaiheessa. EDPB:n sisäänrakennettua ja oletusarvoista tietosuojaa (privacy by design and by default) koskevien ohjeiden mukaan rekisterinpitäjän tulee ottaa käytäntöön ihmisen tekemä valvonta, joka pystyy paljastamaan koneiden mahdollisesti luomat vinoumat, sekä arvioida säännöllisesti algoritmien toimintaa ja korjata havaitut vinoumat tarkoituksenmukaisuuden varmistamiseksi.

Tietojen minimoinnin periaatteen mukaisesti rekisterinpitäjän tulee ennen käsittelyn aloittamista arvioida, voidaanko tavoite saavuttaa käsittelemällä vähemmän henkilötietoja, käyttämällä vähemmän yksityiskohtaisia tai yhdistettyjä henkilötietoja, tai jopa ilman henkilötietojen käsittelyä lainkaan. Käytännössä tämä tarkoittaa, että ennen tekoälytyökalun käyttöönottoa yrityksen kannattaa käydä läpi ainakin seuraavat kysymykset:

• Mistä tekoälytoimittajan koulutusdata on peräisin, ja käsitelläänkö siinä henkilötietoja?
• Käsitelläänkö dataa EU/ETA-alueella, vai siirretäänkö sitä kolmansiin maihin?
• Onko käytössä ihmisen tekemä valvonta automatisoitujen päätösten tai suositusten osalta?
• Voidaanko sama lopputulos saavuttaa pienemmällä tietomäärällä tai anonymisoidulla/pseudonymisoidulla datalla?
• Onko toimittajan kanssa tehty GDPR 28 artiklan mukainen tietojenkäsittelysopimus (data processing agreement, DPA)?

Shadow AI: suurin riski on usein ohjeistamaton käyttö

Monessa organisaatiossa suurin yksittäinen riski ei ole virallisesti hankittu tekoälytyökalu, vaan työntekijöiden oma-aloitteinen, ohjeistamaton AI-käyttö (ns. shadow AI). Tyypillinen tilanne on, että työntekijä liittää asiakastietoja, sopimusluonnoksia tai muuta luottamuksellista materiaalia julkiseen tekoälypalveluun saadakseen nopeasti yhteenvedon tai vastauksen. Tällöin yritys menettää kontrollin siitä, minne tiedot päätyvät ja käytetäänkö niitä myöhemmin tekoälymallin kouluttamiseen.

Tällaiseen käyttöön liittyy useita riskejä, kuten henkilötietojen hallitsematon leviäminen, liikesalaisuuksien vuotaminen, sopimusrikkomukset asiakkaiden kanssa, sekä tietosuojavastuun hämärtyminen, kun kukaan organisaatiossa ei tiedä mitä tietoja on käsitelty missäkin järjestelmässä. Ratkaisuna on selkeä sisäinen kirjattu AI-käytäntö, joka määrittää hyväksytyt työkalut ja kielletyn datan tyypit, sekä henkilöstön säännöllinen koulutus aiheesta.

EU:n tekoälyasetus (AI Act) – uusi säännöstö GDPR:n rinnalle

GDPR:n lisäksi yritysten on huomioitava myös EU:n tekoälyasetus (Regulation (EU) 2024/1689, AI Act), joka on ensimmäinen kattava tekoälyä sääntelevä laki maailmassa. Asetuksen tarkoituksena on parantaa sisämarkkinoiden toimintaa ja edistää ihmiskeskeisen ja luotettavan tekoälyn käyttöönottoa, varmistaen samalla terveyden, turvallisuuden ja Euroopan unionin perusoikeuskirjassa vahvistettujen perusoikeuksien korkean suojan tason. Kuten GDPR:ssä, niin myös AI Actissa on riskiperusteinen lähestymistapa: mitä suuremmat riskit, sitä tiukemmat velvoitteet ja suojatoimet on oltava.

AI Actia sovelletaan sekä EU:ssa toimiviin tekoälyjärjestelmien tarjoajiin (providers) että käyttöönottajiin (deployers), ja myös EU:n ulkopuolisiin toimijoihin, mikäli järjestelmän tuotosta käytetään EU:ssa. Asetus tulee asteittain sovellettavaksi: kielletyt tekoälykäytännöt ovat olleet sovellettavissa helmikuusta 2025 lähtien, ja suuririskisiä järjestelmiä koskevat velvoitteet tulevat voimaan myöhemmin vaiheittain.

Mitkä tekoälyjärjestelmät ovat suuririskisiä?

AI Actin liite III listaa ne alueet, joilla tekoälyjärjestelmä katsotaan lähtökohtaisesti suuririskiseksi. Tällaisia ovat muun muassa:

• Rekrytointi ja työsuhdeasiat: tekoälyjärjestelmät, joita käytetään hakemusten suodattamiseen, ehdokkaiden arviointiin, tai työsuhteen ehtoja, ylennystä tai irtisanomista koskeviin päätöksiin.
• Luotto- ja vakuutusratkaisut: luottokelpoisuuden arviointiin sekä henki- ja sairausvakuutuksen riskinarviointiin ja hinnoitteluun käytettävät järjestelmät.
• Yleissivistävä ja ammatillinen koulutus: oppilaitoksiin hyväksytyksi tulemisen arviointiin, koulutustason ja oppimistulosten arviointiin tai kokeiden valvontaan käytettävät järjestelmät.
• Biometriikka: etätunnistukseen, biometriseen kategorisointiin tai tunteentunnistukseen käytettävät järjestelmät.
• Lisäksi kriittinen infrastruktuuri, oikeudenhoito, muuttoliikkeen hallinta ja tietyt julkiset peruspalvelut, kuten etuuksien myöntäminen tai terveydenhuollon päätökset.

Suuririskiseksi luokittelu tuo mukanaan merkittäviä velvoitteita, kuten riskinhallintajärjestelmän ylläpitäminen koko järjestelmän elämänkaaren ajan, laadukkaiden ja hallittujen koulutus-, validointi- ja testausaineistojen käyttäminen, avoimuus ja selkeät käyttöohjeet käyttöönottajille, ihmisen tekemä valvonta sekä vaatimustenmukaisuuden arviointi ja CE-merkintä ennen markkinoille tuloa. Käyttöönottajan on lisäksi muun muassa käytettävä järjestelmää käyttöohjeiden mukaisesti, järjestettävä ihmisvalvonta, sekä tiedotettava työntekijöille ja heidän edustajilleen ennen suuririskisen järjestelmän käyttöönottoa työpaikalla.

AI Act ja GDPR käytännössä – kaksi toisiaan täydentävää säännöstöä

AI Act ei korvaa GDPR:ää – molempia säännöstöjä sovelletaan rinnakkain aina, kun tekoälyjärjestelmä käsittelee henkilötietoja. AI Actin 26 artiklan 9 kohdan mukaan suuririskisten tekoälyjärjestelmien käyttöönottajien on tarvittaessa käytettävä tekoälyjärjestelmän tarjoajalta 13 artiklan mukaisesti saatuja tietoja täyttääkseen GDPR:n 35 artiklan mukaisen tietosuojan vaikutustenarvioinnin (DPIA) velvoitteensa. Tämä kytkee AI Actin vaatimustenmukaisuusprosessin ja GDPR:n DPIA-velvoitteen suoraan toisiinsa.

Käytännössä tämä tarkoittaa, että suuririskisen tekoälyjärjestelmän käyttöönotto edellyttää usein sekä AI Actin mukaista vaatimustenmukaisuuden arviointia että GDPR:n mukaista DPIA:ta – nämä kannattaa toteuttaa yhdessä, ei erillisinä prosesseina. Myös koulutusdatan hallintaa koskevat AI Actin vaatimukset ja GDPR:n tietojen minimoinnin periaate tukevat toisiaan: molemmat edellyttävät arviointia siitä, mitä dataa todella tarvitaan. Lisäksi profilointi – esimerkiksi rekrytoinnissa tai luottopäätöksissä – voi laukaista sekä AI Actin korkean riskin luokittelun että GDPR:n automatisoitua päätöksentekoa koskevat erityissäännöt.

Viisi konkreettista askelta yrityksellesi

1. AI-inventaario: kartoita, mitä tekoälytyökaluja organisaatiossasi jo käytetään, virallisesti ja epävirallisesti.
2. Käsittelyperusteen dokumentointi: varmista ja kirjaa, millä oikeusperusteella kunkin työkalun kautta käsiteltäviä henkilötietoja käsitellään.
3. Toimittaja-arviointi: tarkista AI-toimittajien tietosuojaehdot ja varmista asianmukaiset tietojenkäsittelysopimukset.
4. Sisäinen ohjeistus ja koulutus: laadi selkeä AI-käytäntö henkilöstölle ja kouluta se käytäntöön.
5. Vaikutustenarviointi tarvittaessa: arvioi, vaatiiko käsittely GDPR:n mukaisen tietosuojan vaikutustenarvioinnin (DPIA) ja/tai AI Actin mukaisen vaatimustenmukaisuuden arvioinnin korkean riskin käsittelytilanteissa.

Lopuksi

Tekoälyn vastuullinen käyttö ei ole pelkkä lakisääteinen velvoite, vaan myös kilpailuetu: se viestii asiakkaille ja kumppaneille, että yrityksenne on luotettava ja ammattimainen tietosuojan ja uuden teknologian hallinnassa. GDPR:n ja AI Actin vaatimusten yhteensovittaminen kannattaa aloittaa ajoissa, jo ennen tekoälytyökalujen käyttöönottoa – jälkikäteinen korjaaminen on usein huomattavasti kalliimpaa ja vaikeampaa kuin ennakoiva suunnittelu.

Järjestämme aiheesta myös maksuttoman 30 minuutin webinaarin “Tekoäly ja GDPR – näin varmistat vastuullisen AI-käytön yrityksessäsi”, jossa käydään käytännönläheisesti läpi tässä kirjoituksessa käsitellyt teemat sekä vastataan osallistujien kysymyksiin. Webinaari sopii erityisesti yritysten johdolle, HR-, IT- ja lakiasioiden ammattilaisille sekä tietosuoja-asioista vastaaville henkilöille.

Ilmoittaudu mukaan maksuttomaan webinaariin tästä linkistä.

Applex Asianajotoimisto

Applex Asianajotoimisto on liikejuridiikkaan erikoistunut asianajotoimisto, joka tarjoaa yrityksille kattavasti erilaisia liikejuridiikan palveluita. Palveluvalikoimamme, ammattitaitomme ja kokemuksemme takaavat sen, että pystymme palvelemaan erikokoisia ja eri toimialoilla toimivia yrityksiä kattavasti ja tehokkaasti yrityksen elämänkaaren kaikissa vaiheissa.

Asianajaja, osakas, sertifioitu tietosuoja-asiantuntija (CIPP/E) Ville Vainio avustaa asiakkaitamme päivittäin tietosuojalainsäädäntöön liittyvissä toimeksiannoissa. Hänellä on erittäin kattavaa kokemusta eri toimialojen yritysten avustamisessa tietosuojalainsäädännön noudattamiseksi, kuten tietosuojaa koskevien vaikutustenarviointien toteuttamisessa. Ville on neuvonut niin tekoälyjärjestelmien toimittajia kuin tekoälyjärjestelmiä käyttäviä organisaatioita tekoälyn tarjoamiseen käyttämiseen liittyvissä kysymyksissä. Ota yhteyttä niin keskustellaan lisää siitä, miten organisaatiosi voi varmistaa noudattavansa tietosuoja- ja tekoälylainsäädäntöä.