Tekoäly ja tietosuoja – mitä yritysjohdon tulee tietää?

Tekoäly ja tietosuoja koskettavat jokaista yritystä, joka hyödyntää AI-työkaluja liiketoiminnassaan. Yritysjohdon on ymmärrettävä, että tekoälyjärjestelmät käsittelevät usein henkilötietoja, minkä vuoksi GDPR:n vaatimukset, EU:n tekoälyasetus ja organisaation omat vastuukysymykset on tunnettava ennen kuin AI yrityksille otetaan laajasti käyttöön. Tässä artikkelissa käymme läpi keskeisimmät kysymykset, joihin jokaisen päättäjän on osattava vastata.

Mitä henkilötietoja tekoälyjärjestelmät käsittelevät?

Tekoälyjärjestelmät käsittelevät henkilötietoja laajasti ja usein huomaamatta. Tähän kuuluvat asiakkaiden nimet, sähköpostiosoitteet, käyttäytymisdata, ostohistoria, sijainti ja jopa ääni- tai kasvontunnistustiedot. Myös työntekijöihin liittyvä data, kuten suoritusarvioinnit tai viestintälokit, voi olla osa tekoälyn käsittelemää tietomassaa.

Käytännössä lähes kaikki yleisesti käytetyt AI-sovellukset syöttävät järjestelmään jonkinlaista henkilötietoa. Asiakaspalvelun chatbot oppii asiakkaiden viesteistä. Myyntiennusteet rakentuvat asiakasrekisterin tiedoista. Rekrytointitekoäly analysoi hakijoiden ansioluetteloita. Markkinoinnin automaatio profiloi käyttäjiä verkkokäyttäytymisen perusteella.

Erityisen herkkää on niin kutsuttu erityinen henkilötieto, johon kuuluvat esimerkiksi terveystiedot, uskonto, etninen alkuperä tai poliittiset mielipiteet. Jos tekoälyjärjestelmä käsittelee tällaista dataa, vaatimukset tiukentuvat merkittävästi. Yritysjohdon on tiedettävä, mitä dataa järjestelmät todellisuudessa käyttävät, sillä tietämättömyys ei ole laillinen puolustus tietosuojavaltuutetun edessä.

Miten GDPR soveltuu tekoälyn käyttöön yrityksessä?

GDPR soveltuu tekoälyyn täysimääräisesti aina, kun järjestelmä käsittelee EU:n alueella olevien henkilöiden tietoja. Tekoäly ei ole erillinen oikeudellinen kategoria, vaan se on työkalu, johon sovelletaan samoja tietosuojaperiaatteita kuin mihin tahansa muuhun henkilötietojen käsittelyyn: lainmukaisuus, tarkoitussidonnaisuus, tietojen minimointi ja läpinäkyvyys.

Yritykselle tämä tarkoittaa käytännössä useita konkreettisia velvollisuuksia.

• Käsittelyperuste: Jokaiselle tekoälyn suorittamalle henkilötietojen käsittelytoimelle tarvitaan lainmukainen peruste, kuten suostumus, sopimus tai oikeutettu etu.
• Rekisteröidyn oikeudet: Henkilöillä on oikeus tietää, miten heidän dataansa käytetään tekoälyssä, ja oikeus pyytää sen poistamista tai korjaamista.
• Automaattinen päätöksenteko: GDPR:n 22. artikla rajoittaa täysin automatisoitua päätöksentekoa, jolla on merkittäviä vaikutuksia henkilöihin, kuten luottopäätökset tai rekrytointisuodatus.
• Tietosuojaa koskeva vaikutustenarviointi (DPIA): Korkeariskisistä tekoälyjärjestelmistä on tehtävä vaikutustenarviointi ennen käyttöönottoa.

Tekoäly yrityksille ei siis ole vapaa alue GDPR:n näkökulmasta. Päinvastoin, tekoälyn monimutkaisuus ja datan laajamittainen käyttö tekevät vaatimustenmukaisuudesta entistä tärkeämpää.

Mitkä ovat suurimmat tietosuojariskit tekoälyä käytettäessä?

Suurimmat tekoälyn tietosuojariskit yrityksille liittyvät datan hallitsemattomaan virtaukseen, läpinäkymättömyyteen ja ulkopuolisiin palveluntarjoajiin. Kun henkilötietoja syötetään kolmannen osapuolen tekoälypalveluun, yritys menettää helposti kontrollin siitä, mihin data päätyy, miten sitä säilytetään ja käytetäänkö sitä mallien kouluttamiseen.

Datan vuotaminen ulkopuolisille järjestelmille

Yksi yleisimmistä riskeistä syntyy, kun työntekijät käyttävät julkisia AI-palveluita ja syöttävät niihin arkaluonteista tietoa, kuten asiakastietoja, sopimuksia tai sisäisiä strategia-asiakirjoja. Nämä tiedot voivat päätyä palveluntarjoajan koulutusaineistoksi tai säilyä palvelimen muistissa tavalla, jota yritys ei pysty hallitsemaan.

Algoritminen syrjintä ja virheelliset päätökset

Tekoälymalli voi oppia vinoutuneesta datasta ja tuottaa syrjiviä tai virheellisiä tuloksia, esimerkiksi rekrytoinnissa tai asiakasluokittelussa. Tämä on sekä tietosuoja- että yhdenvertaisuusriski, johon yritysjohdon on varauduttava ennakoivasti eikä vasta ongelmien ilmettyä.

Puutteellinen dokumentaatio ja jäljitettävyys

Jos yritys ei tiedä, mitä dataa tekoälyjärjestelmä käyttää ja millä perusteella se tekee päätöksiä, vaatimustenmukaisuuden osoittaminen viranomaisille on mahdotonta. Läpinäkyvyyden puute on itsessään tietosuojariski.

Mitä EU:n tekoälyasetus tarkoittaa käytännössä yritysjohdolle?

EU:n tekoälyasetus (AI Act) luokittelee tekoälyjärjestelmät riskitasojen mukaan ja asettaa velvollisuuksia sen perusteella, kuinka kriittisessä käytössä järjestelmä on. Yritysjohdon kannalta olennaisinta on tunnistaa, mitä riskikategoriaa oman organisaation käyttämät tekoälyratkaisut edustavat, sillä korkean riskin järjestelmät edellyttävät merkittäviä vaatimustenmukaisuustoimia.

Asetus jakaa tekoälyjärjestelmät karkeasti neljään luokkaan:

1. Kielletyt järjestelmät: Esimerkiksi reaaliaikainen biometrinen tunnistaminen julkisissa tiloissa tai sosiaalinen pisteytys on lähtökohtaisesti kielletty.
2. Korkean riskin järjestelmät: Rekrytointi, luottopäätökset, kriittinen infrastruktuuri ja koulutus kuuluvat tähän kategoriaan. Näille vaaditaan dokumentaatio, testaus, ihmisvalvonta ja rekisteröinti EU:n tietokantaan.
3. Rajoitetun riskin järjestelmät: Chatbotit ja deepfake-sisällöt edellyttävät läpinäkyvyyttä: käyttäjälle on kerrottava, että hän on tekemisissä tekoälyn kanssa.
4. Matalan riskin järjestelmät: Suurin osa tekoälysovelluksista kuuluu tähän luokkaan, johon ei kohdistu erityisiä velvoitteita.

Vuonna 2026 asetuksen velvoitteet ovat jo voimassa korkean riskin järjestelmien osalta. Yritysjohdon on käytännössä kartoitettava käytössä olevat AI-ratkaisut, arvioitava niiden riskitaso ja varmistettava, että dokumentaatio ja prosessit ovat kunnossa.

Miten yritys voi käyttää tekoälyä tietosuojamyönteisesti?

Yritys voi käyttää tekoälyä tietosuojamyönteisesti varmistamalla, että henkilötiedot pysyvät hallitussa ympäristössä, käsittelylle on selkeä oikeusperuste ja järjestelmän toiminta on dokumentoitu ja läpinäkyvää. Tietosuoja ei ole este tekoälyn hyödyntämiselle, vaan se on suunnitteluperiaate, joka rakennetaan mukaan alusta alkaen.

Konkreettisia toimenpiteitä tietosuojamyönteiseen tekoälyn käyttöön:

• Privacy by design: Tietosuoja otetaan huomioon jo järjestelmää suunniteltaessa, ei jälkikäteen paikattavana ongelmana.
• Datan minimointi: Tekoälylle syötetään vain se tieto, joka on välttämätöntä tehtävän suorittamiseksi.
• Yksityinen pilviympäristö: Arkaluonteisen datan käsittely omassa tai hallitussa pilvi-infrassa vähentää merkittävästi riskiä tiedon päätymisestä vääriin käsiin. Tähän tarpeeseen vastaa esimerkiksi Managed Cloud, jossa data pysyy Suomessa ja hallinta organisaatiolla itsellään.
• Henkilöstön koulutus: Työntekijät on koulutettava tunnistamaan, mitä tietoa julkisiin AI-palveluihin saa syöttää ja mitä ei.
• Säännöllinen arviointi: Tekoälyjärjestelmien käyttöä ja niiden tuottamia tuloksia seurataan aktiivisesti, ei vain käyttöönottovaiheessa.

Tietosuojamyönteinen lähestymistapa ei tarkoita, että tekoälyä käytettäisiin vähemmän, vaan että sitä käytetään älykkäämmin. AI yrityksille on parhaimmillaan silloin, kun luottamus on rakennettu kestävälle pohjalle.

Kenen vastuulla tekoälyn tietosuoja yrityksessä on?

Tekoälyn tietosuoja on viime kädessä rekisterinpitäjän, eli yrityksen johdon vastuulla. GDPR ei tunne teknologiaa vastuullisena osapuolena, vaan vastuu henkilötietojen asianmukaisesta käsittelystä on aina organisaatiolla, joka päättää käsittelyn tarkoituksesta ja keinoista. Johdon on siis aktiivisesti johdettava tietosuojatyötä, ei delegoitava sitä yksin IT-tiimille.

Käytännössä tietosuojavastuu jakautuu organisaatiossa usealle tasolle:

• Yritysjohto: Vastaa siitä, että tietosuojakäytännöt ovat olemassa, resurssit riittävät ja vaatimustenmukaisuus on johdon agendalla.
• Tietosuojavastaava (DPO): Jos yritys käsittelee laajamittaisesti henkilötietoja tai erityisiä henkilötietoja, DPO:n nimeäminen on usein pakollista. DPO neuvoo, valvoo ja toimii yhteyshenkilönä viranomaisille.
• IT ja pilvi-infran hallinta: Tekninen toteutus, pääsynhallinta, lokienhallinta ja tietoturva ovat IT-tiimin vastuulla, mutta niiden on noudatettava johdon asettamia tietosuojaperiaatteita.
• Liiketoimintayksiköt: Jokainen tiimi, joka ottaa käyttöön uuden AI-työkalun, kantaa vastuun siitä, että käyttö on linjassa yrityksen tietosuojakäytäntöjen kanssa.

Ulkoiset kumppanit, kuten pilvipalveluiden tarjoajat, toimivat henkilötietojen käsittelijöinä. Heidän kanssaan on tehtävä asianmukainen tietojenkäsittelysopimus, ja heidän käytäntönsä on tunnettava ennen yhteistyön aloittamista. Jos tietosuoja-asiat mietityttävät, kannattaa kääntyä asiantuntijan puoleen jo ennen kuin tekoälyratkaisut otetaan laajasti käyttöön. Ota yhteyttä, niin katsotaan yhdessä, miten pilvi-infra tukee tietoturvallista AI:n hyödyntämistä.