Tekoäly voi auttaa yritystä esimerkiksi asiakaspalvelussa, myynnissä, henkilöstöhallinnossa, dokumenttien käsittelyssä ja päätöksenteon valmistelussa. Samalla se voi käsitellä työntekijöitä, asiakkaita, yhteyshenkilöitä tai muita ihmisiä koskevia tietoja.
Kun tekoälyn käytössä käsitellään henkilötietoja, sovelletaan tietosuojalainsäädäntöä aivan kuten muussakin henkilötietojen käsittelyssä. Tekoäly ei muodosta tästä poikkeusta.
Pk-yrityksen ei kuitenkaan tarvitse tehdä asiasta tarpeettoman monimutkaista. Tärkeintä on tietää:
– mitä tietoja tekoäly käsittelee
– miksi niitä käsitellään
– mihin tiedot siirtyvät
– kuka vastaa käytöstä
– millä tavalla ihmisten oikeudet turvataan.
Tekoälyyn ei pidä syöttää henkilötietoja vain siksi, että se on teknisesti mahdollista. Tietojen käytölle pitää olla määritelty tarkoitus ja hyväksyttävä peruste.
Katso artikkelissa alempana: Kevyt tietosuoja-asioiden tarkistuslista pk-yrityksille
Mitä henkilötieto tarkoittaa tekoälyn käytössä?
Henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan ihmiseen.
Selviä henkilötietoja ovat esimerkiksi:
– nimi ja yhteystiedot
– henkilötunnus
– työntekijän henkilönumero
– asiakkaan tilaus- ja laskutustiedot
– kuva, ääni tai videotallenne
– IP-osoite ja muu käyttäjään yhdistettävä tunniste.
Myös vapaamuotoinen teksti voi sisältää henkilötietoja. Asiakaspalautteessa, sähköpostissa, kokousmuistiossa tai huoltoraportissa voidaan mainita henkilö nimeltä tai kuvata hänen toimintaansa niin tarkasti, että hän on tunnistettavissa.
Tiedot eivät muutu anonyymeiksi vain siksi, että nimi poistetaan. Henkilö voidaan joskus tunnistaa muiden tietojen yhdistelmästä.
Erityistä varovaisuutta tarvitaan, jos aineisto sisältää esimerkiksi terveydentilaa, vakaumusta, ammattiliiton jäsenyyttä, biometrisiä tunnisteita tai muita erityisiin henkilötietoryhmiin kuuluvia tietoja.
Missä tilanteissa tekoäly käsittelee henkilötietoja?
Henkilötietojen käsittely voi olla ilmeistä tai jäädä helposti huomaamatta.
Generatiivisen tekoälyn käyttäminen
Työntekijä voi liittää tekoälypalveluun sähköpostiviestin, asiakaspalautteen, sopimuksen tai henkilöstöä koskevan dokumentin ja pyytää siitä yhteenvetoa.
Tällöin palveluun siirtyy myös dokumentin sisältämiä henkilötietoja.
Asiakaspalvelubotti
Botti voi käsitellä asiakkaan nimeä, yhteystietoja, tilaushistoriaa ja hänen kirjoittamiaan viestejä. Keskusteluun voi päätyä myös arkaluonteisia tietoja, vaikka yritys ei olisi niitä erikseen pyytänyt.
CRM- ja ERP-järjestelmien tekoäly
Tekoäly voi analysoida asiakkaiden yhteydenottoja, ostokäyttäytymistä, maksuhistoriaa tai henkilöstön työsuorituksia.
Tällainen analyysi voi muodostaa profilointia, jos sen avulla arvioidaan ihmisen ominaisuuksia, käyttäytymistä tai tulevaa toimintaa.
Kokousmuistiot ja puheentunnistus
Kokousta tallentava ja litteroiva tekoäly käsittelee osallistujien ääntä, puheenvuoroja ja mahdollisesti myös kuvamateriaalia.
Rekrytointi ja henkilöstöhallinto
Tekoäly voi vertailla hakemuksia, arvioida osaamista, laatia henkilöarvioita tai seurata työntekijöiden suoriutumista. Näissä käyttökohteissa vaikutukset ihmisiin voivat olla huomattavia, joten tietosuojan ja ihmisen valvonnan merkitys korostuu.
- Generatiivisen tekoälyn käyttäminen
- Työntekijä voi liittää tekoälypalveluun sähköpostiviestin, asiakaspalautteen, sopimuksen tai henkilöstöä koskevan dokumentin ja pyytää siitä yhteenvetoa.
- Tällöin palveluun siirtyy myös dokumentin sisältämiä henkilötietoja.
- Asiakaspalvelubotti
- Botti voi käsitellä asiakkaan nimeä, yhteystietoja, tilaushistoriaa ja hänen kirjoittamiaan viestejä. Keskusteluun voi päätyä myös arkaluonteisia tietoja, vaikka yritys ei olisi niitä erikseen pyytänyt.
- CRM- ja ERP-järjestelmien tekoäly
- Tekoäly voi analysoida asiakkaiden yhteydenottoja, ostokäyttäytymistä, maksuhistoriaa tai henkilöstön työsuorituksia.
- Tällainen analyysi voi muodostaa profilointia, jos sen avulla arvioidaan ihmisen ominaisuuksia, käyttäytymistä tai tulevaa toimintaa.
- Kokousmuistiot ja puheentunnistus
- Kokousta tallentava ja litteroiva tekoäly käsittelee osallistujien ääntä, puheenvuoroja ja mahdollisesti myös kuvamateriaalia.
- Rekrytointi ja henkilöstöhallinto
- Tekoäly voi vertailla hakemuksia, arvioida osaamista, laatia henkilöarvioita tai seurata työntekijöiden suoriutumista. Näissä käyttökohteissa vaikutukset ihmisiin voivat olla huomattavia, joten tietosuojan ja ihmisen valvonnan merkitys korostuu.
Seitsemän käytännön kysymystä ennen käyttöönotoa
Yritys voi arvioida tekoälyratkaisua seuraavien kysymysten avulla.
- TARVITAANKO HENKILÖTIETOJA TODELLA?
Ensimmäinen kysymys ei ole, saako tietoja käyttää, vaan tarvitaanko niitä kyseiseen tehtävään.
Esimerkiksi raportin rakenteen, tarjouspohjan tai yleisen ohjetekstin laatiminen ei yleensä edellytä todellisia asiakas- tai työntekijätietoja.
Suunnittelussa voidaan käyttää:
– kuvitteellisia tietoja
– anonymisoitua aineistoa
– henkilötiedot poistavaa mallipohjaa
– mahdollisimman suppeaa tietoaineistoa.
Tietojen minimointi vähentää riskiä ja helpottaa järjestelmän hallintaa.
- MIKÄ ON KÄSITTELYN TARKOITUS?
Henkilötietoja ei pidä kerätä ensin ja miettiä käyttötarkoitusta myöhemmin.
Yrityksen pitää määritellä esimerkiksi:
– käytetäänkö tietoja asiakaspalveluvastauksen laatimiseen
– palvelun laadun seurantaan
– myynnin ennustamiseen
– rekrytointipäätöksen valmisteluun
– järjestelmän oman tekoälymallin kouluttamiseen.
Sama tieto ei automaattisesti sovellu kaikkiin uusiin tarkoituksiin.
Jos asiakastiedot on kerätty tilauksen toimittamista varten, niitä ei voida ilman arviointia käyttää täysin toisenlaiseen profilointiin tai tekoälymallin kehittämiseen.
- MIKÄ ON HENKILÖTIETOJEN KÄSITTELYPERUSTE?
Tietosuoja-asetuksen mukainen käsittely edellyttää oikeusperustetta.
Peruste voi tilanteen mukaan olla esimerkiksi:
– sopimuksen täyttäminen
– lakisääteinen velvoite
– oikeutettu etu
– suostumus.
Sopiva peruste riippuu käyttötarkoituksesta, tiedoista ja yrityksen suhteesta rekisteröityyn.
Suostumus ei ole yleisratkaisu kaikkeen. Sen pitää olla aidosti vapaaehtoinen, yksilöity ja peruutettavissa. Esimerkiksi työnantajan ja työntekijän välisessä suhteessa suostumuksen vapaaehtoisuus voi olla ongelmallinen.
Oikeutetun edun käyttäminen edellyttää tapauskohtaista arviointia. Siinä tarkastellaan yrityksen tavoitetta, käsittelyn tarpeellisuutta sekä vaikutuksia ihmisten oikeuksiin ja odotuksiin.
- MIHIN TIEDOT SIIRTYVÄT?
Pilvipohjaisessa tekoälypalvelussa tietoja voidaan käsitellä yrityksen oman järjestelmän ulkopuolella.
Ennen käyttöönottoa on selvitettävä ainakin:
– kuka palvelun toimittaa
– missä tietoja käsitellään ja säilytetään
– siirretäänkö tietoja Euroopan talousalueen ulkopuolelle
– käyttääkö toimittaja alihankkijoita
– kuinka kauan tiedot säilyvät
– käytetäänkö yrityksen aineistoa palvelun tai mallien kehittämiseen
– voiko tietojen käytön mallien kouluttamiseen estää
– miten tiedot poistetaan
– millaiset sopimusehdot ja tietojenkäsittelysopimukset ovat käytössä.
Palvelun tunnettu nimi tai yleinen suosio ei vielä osoita, että se sopii kaikkiin yrityksen käyttötarkoituksiin.
Kuluttajille tarkoitettu avoin tekoälypalvelu ja yrityksille sopimuksella tarjottava ratkaisu voivat erota olennaisesti toisistaan.
- SAAKO HENKILÖ RIITTÄVÄSTI TIETOA?
Ihmiselle pitää kertoa ymmärrettävästi, miten hänen tietojaan käsitellään.
Tietosuojaselosteessa tai muussa informoinnissa voidaan joutua kuvaamaan esimerkiksi:
– mitä henkilötietoja käytetään
– mihin tarkoitukseen niitä käytetään
– käytetäänkö tekoälyä tai profilointia
– mistä tiedot saadaan
– kenelle niitä luovutetaan
– kuinka kauan niitä säilytetään
– mitä oikeuksia henkilöllä on.
Tekoälystä ei tarvitse antaa teknisesti raskasta selostusta. Ihmiselle pitäisi kuitenkin muodostua todellinen käsitys siitä, mitä hänen tiedoilleen tapahtuu ja miten käsittely voi vaikuttaa häneen.
- TEKEEKÖ TEKOÄLY IHMISTÄ KOSKEVIA PÄÄTÖKSIÄ?
Kaikki tekoälyn tuottama analyysi ei ole automatisoitua päätöksentekoa.
Riski kasvaa, jos järjestelmä:
– hyväksyy tai hylkää hakemuksia
– määrittelee asiakkaan hinnan tai palveluehdot
– arvioi luottokelpoisuutta
– järjestää työnhakijat automaattisesti paremmuusjärjestykseen
– vaikuttaa työntekijän palkkaan, työtehtäviin tai asemaan
– estää henkilön pääsyn palveluun.
Tietosuoja-asetus rajoittaa pelkästään automaattiseen käsittelyyn perustuvia päätöksiä, joilla on henkilöön oikeusvaikutuksia tai muuten vastaavia merkittäviä vaikutuksia.
Pelkkä muodollinen ihmisen hyväksyntä ei välttämättä riitä, jos ihminen ei tosiasiallisesti arvioi tekoälyn ehdotusta.
Ihmisen pitää voida:
– ymmärtää päätöksen perusteet riittävällä tasolla
– arvioida tekoälyn ehdotusta kriittisesti
– poiketa ehdotuksesta
– korjata virheelliset tiedot
– käsitellä henkilön esittämä oikaisu tai vastalause.
Mitä suurempi vaikutus päätöksellä on ihmiseen, sitä vahvempaa ihmisen valvontaa tarvitaan.
- ONKO TIETOSUOJAVAIKUTUSTEN ARVIOINTI TARPEEN?
Tietosuojaa koskeva vaikutustenarviointi eli DPIA voi olla tarpeen, jos käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille.
Arvioinnin tarvetta lisäävät esimerkiksi:
– laajamittainen profilointi
– arkaluonteisten henkilötietojen käsittely
– työntekijöiden järjestelmällinen seuranta
– uuden teknologian käyttö merkittävässä päätöksenteossa
– useiden tietolähteiden yhdistäminen
– haavoittuvassa asemassa olevien ihmisten tietojen käsittely
– biometrinen tunnistaminen.
Vaikutustenarviointi tehdään ennen käsittelyn aloittamista. Sen tarkoituksena ei ole vain täyttää asiakirjavaatimusta, vaan tunnistaa riskit ja päättää, miten niitä pienennetään.
Yritys on vastuussa myös ostamastaan tekoälypalvelusta – selvitä roolit
Tekoälypalvelun toimittaja vastaa omista velvoitteistaan, mutta yritys ei voi siirtää kaikkea vastuuta palveluntarjoajalle.
Jos yritys päättää, miksi ja miten asiakkaiden tai työntekijöiden tietoja käsitellään, se toimii tavallisesti rekisterinpitäjänä.
Palveluntarjoaja voi puolestaan toimia henkilötietojen käsittelijänä tai joissakin tilanteissa itsenäisenä rekisterinpitäjänä.
Yrityksen pitää selvittää roolit ja sopia vähintään:
– käsittelyn tarkoituksesta ja rajauksesta
– tietoturvasta
– salassapidosta
– alihankkijoista
– tietojen palauttamisesta ja poistamisesta
– tietoturvaloukkauksista ilmoittamisesta
– rekisteröityjen oikeuksien toteuttamisesta
– mahdollisista kansainvälisistä tiedonsiirroista.
Toimittajan vakuutus siitä, että palvelu on GDPR-yhteensopiva, ei yksin riitä. Yrityksen pitää arvioida palvelun soveltuvuutta omaan käyttötarkoitukseensa.
Generatiivisen tekoälyn erityiset tietosuojariskit
Generatiivinen tekoäly tuo henkilötietojen käsittelyyn joitakin erityiskysymyksiä.
- Tietojen päätyminen kehotteisiin
- Käyttäjä voi syöttää palveluun henkilötietoja vahingossa tai ymmärtämättä, miten niitä käsitellään.
- Tämän vuoksi yrityksellä pitäisi olla selkeä ohje siitä, millaista aineistoa hyväksyttyihin tekoälypalveluihin saa viedä.
- Virheelliset henkilötiedot
- Tekoäly voi tuottaa vakuuttavan näköisiä mutta virheellisiä väitteitä ihmisistä.
- Virheellistä tietoa ei pidä siirtää automaattisesti CRM-järjestelmään, henkilöstörekisteriin, asiakaspäätökseen tai muuhun pysyvään käyttöön.
- Tuotos on tarkistettava ennen kuin sitä käytetään ihmistä koskevan toiminnan perusteena.
- Tiedon alkuperän epäselvyys
- Yrityksen voi olla vaikea tietää, millaisella aineistolla yleiskäyttöinen tekoälymalli on koulutettu.
- Pelkkä väite siitä, ettei mallin tarkoituksena ole näyttää henkilötietoja, ei automaattisesti tarkoita, ettei malliin liity henkilötietojen käsittelyä.
- Keskusteluhistorian säilyminen
- Tekoälypalvelu voi tallentaa kehotteet, liitteet ja tuotokset käyttäjän historiaan tai palvelun lokeihin.
- Yrityksen pitää hallita käyttäjätilejä, säilytysaikoja ja poistamista myös silloin, kun työntekijä vaihtaa tehtävää tai lähtee yrityksestä.
Tietosuoja ja tietoturva liittyvät toisiinsa mutta eivät ole sama asia
Tietoturva suojaa tietoja esimerkiksi luvattomalta käytöltä, muuttamiselta ja katoamiselta.
Tietosuoja tarkastelee laajemmin sitä:
– saako henkilötietoja käsitellä
– mihin tarkoitukseen niitä käytetään
– kuinka paljon tietoja tarvitaan
– miten pitkään niitä säilytetään
– millaisia oikeuksia ihmisellä on.
Tekoälyjärjestelmä voi olla teknisesti hyvin suojattu mutta silti tietosuojan kannalta ongelmallinen, jos tietoja käytetään väärään tarkoitukseen tai enemmän kuin on tarpeen.
Vastaavasti asianmukainen käsittelyperuste ei auta, jos järjestelmän käyttöoikeudet, salaus tai käyttäjähallinta ovat puutteellisia.
Tietosuojan ja tietoturvan arviointi kannattaa siksi tehdä rinnakkain.
Katso myös: Miten vältät AI-ERP-hankkeen epäonnistumisen?
Tietosuoja suunnittelun lähtökohdaksi
Tietosuoja on helpompi rakentaa järjestelmään ennen käyttöönottoa kuin korjata jälkikäteen.
Sisäänrakennettu ja oletusarvoinen tietosuoja voi tarkoittaa esimerkiksi sitä, että:
– henkilötietoja ei käytetä, ellei se ole tarpeellista
– käyttöoikeudet rajataan työtehtävän mukaan
– tietojen säilytysajat määritellään
– tarpeettomat tunnistetiedot poistetaan
– käyttäjälle näytetään varoitus ennen suojattavan aineiston lähettämistä
– tekoälyn tuotokset tarkistetaan ennen tallentamista
– järjestelmän tapahtumista jää riittävät lokitiedot
– testiympäristössä ei käytetä todellisia henkilötietoja ilman perusteltua syytä.
Tämä vähentää samalla sekä juridista riskiä että käytännön virheitä.
GDPR ja EU:n tekoälyasetus täydentävät toisiaan
- EU:n yleinen tietosuoja-asetus eli GDPR säätelee henkilötietojen käsittelyä.
- EU:n tekoälyasetus eli EU AI Act puolestaan asettaa tekoälyjärjestelmille riskiperusteisia velvoitteita.
Tekoälyasetus ei korvaa GDPR:ää. Jos tekoälyjärjestelmä käsittelee henkilötietoja, molemmat sääntelykokonaisuudet voivat soveltua samaan toimintaan.
Pk-yritykselle käytännöllinen lähtökohta on:
GDPR arvioi henkilötietojen käsittelyä. Tekoälyasetus arvioi tekoälyjärjestelmän riskejä ja käyttöä. Sama päätös voi kuulua molempien piiriin.
Kevyt tarkistuslista pk-yritykselle
Ennen henkilötietoja käsittelevän tekoälyratkaisun käyttöönottoa varmista, että:
- käyttötarkoitus on määritelty
- henkilötietojen tarve on arvioitu
- käsittelyperuste on tunnistettu
- käsiteltävät tiedot on rajattu välttämättömään
- toimittaja, sopimukset ja tietojen sijainti on selvitetty
- mahdollinen käyttö tekoälymallien kouluttamiseen tunnetaan
- käyttäjille on annettu selkeät ohjeet
- rekisteröidyille annettava informointi on kunnossa
- ihmisen valvonta on järjestetty
- vaikutustenarvioinnin tarve on tarkistettu
- säilytysajat ja tietojen poistaminen on suunniteltu
- menettely virheitä ja tietoturvaloukkauksia varten on sovittu.
Käytännön esimerkki: Asiakaspalautteiden analysointi
Yritys haluaa käyttää tekoälyä satojen asiakaspalautteiden ryhmittelyyn ja yhteenvetojen laatimiseen.
Huono etenemistapa olisi siirtää koko asiakasrekisteri ja kaikki asiakasviestit avoimeen tekoälypalveluun.
Hallitumpi etenemistapa on:
- määritellään, mitä analyysillä halutaan selvittää
- valitaan vain tarvittavat palautteet
- poistetaan nimet, yhteystiedot ja tarpeettomat tunnisteet
- tarkistetaan palvelun sopimukset ja tietojen käsittely
- käytetään yrityksen hyväksymää työkalua
- tarkistetaan tekoälyn muodostamat luokat ja yhteenvedot
- tallennetaan vain tarpeelliset tulokset
- poistetaan väliaikainen aineisto sovitun ajan jälkeen.
Tällöin tekoälystä voidaan saada hyöty ilman, että koko asiakasaineisto altistetaan tarpeettomalle käsittelylle.
Käytännön esimerkki: Työntekijän arviointi
Yritys harkitsee tekoälyä työntekijöiden suoriutumisen analysointiin.
Tässä riskit ovat suurempia, koska arvio voi vaikuttaa työtehtäviin, palkitsemiseen tai työsuhteeseen.
Ennen käyttöä on arvioitava erityisen huolellisesti:
- mitä tietoja analysoidaan
- ovatko tiedot oikeita ja työn kannalta olennaisia
- syntyykö työntekijän profilointiavoiko järjestelmä syrjiä välillisesti
- miten työntekijälle kerrotaan käsittelystä
- miten hän voi korjata virheellisiä tietoja
- kuka tekee lopulliset päätökset
- tarvitaanko tietosuojavaikutusten arviointi.
Tekoälyn pistemäärä tai suositus ei saa muuttua automaattisesti henkilöstöpäätökseksi.
Yhteenveto
Tietosuoja ei estä tekoälyn käyttöä. Se ohjaa yritystä käyttämään tekoälyä tarkoituksenmukaisesti ja ihmisten oikeuksia kunnioittaen.
Pk-yritykselle tärkeimmät periaatteet ovat:
- älä syötä tekoälylle tarpeettomia henkilötietoja
- määritä käyttötarkoitus ennen työkalun valintaa
- selvitä, miten palveluntarjoaja käyttää ja säilyttää tietoja
- pidä ihminen mukana merkittävissä päätöksissä
- kerro henkilötietojen käytöstä ymmärrettävästi
- arvioi riskit ennen käyttöönottoa
- seuraa toimintaa myös käyttöönoton jälkeen.
Hyvin toteutettu tietosuoja ei ole vain velvollisuus. Se vahvistaa asiakkaiden ja työntekijöiden luottamusta sekä auttaa yritystä ottamaan tekoälyn käyttöön hallitusti.