Tekoälyn vastuullinen käyttö: riskit, etiikka ja EU:n tekoälyasetus

Moni organisaatio käsittelee vastuullisuutta erillisenä vaiheena, joka tarkistetaan vasta tekoälyhankkeen lopussa. Tekoälyn kohdalla se on liian myöhään.

Tekoälyn vastuullinen käyttö vaikuttaa jo siihen, mihin tekoälyä kannattaa käyttää, missä sitä ei pidä käyttää ja millaiset vastuut organisaation on sovittava ennen käyttöönottoa.

Julkisella sektorilla asia korostuu erityisesti. Tekoäly voi vaikuttaa palveluihin, päätöksentekoon, kansalaisten oikeuksiin, yhdenvertaisuuteen ja luottamukseen viranomaistoimintaa kohtaan.

Miksi tekoälyn vastuullinen käyttö kuuluu johdolle?

Vastuullisuus ei ole vain tekniikan, juridiikan tai tietosuojan kysymys. Se liittyy siihen, millaisia päätöksiä organisaatio tekee, millä perusteilla niitä tehdään ja kuka niistä vastaa.

Julkisella sektorilla tekoälyn hyötyjä ei voi arvioida pelkän tehokkuuden perusteella. Johdon pitää tarkastella myös luottamusta, yhdenvertaisuutta ja ihmisten oikeuksia.

Kansalaisten pitää voida luottaa siihen, että organisaatio toimii avoimesti, perustellusti ja oikeudenmukaisesti. Luottamus voi heikentyä nopeasti, jos ihmisiin vaikuttavia ratkaisuja tehdään järjestelmillä, joiden roolia tai perusteita ei osata selittää.

Myös vaikutusten jakautumista pitää arvioida. Kun tekoälyä käytetään esimerkiksi palveluissa, valvonnassa, etuuksissa, rekrytoinnissa tai päätösten tukena, on kysyttävä, keitä käyttö hyödyttää ja keihin mahdolliset haitat kohdistuvat.

Samalla johdon on varmistettava, että henkilötietojen käyttö, päätösten perusteleminen ja vastuut ovat kunnossa. Näitä kysymyksiä ei voi jättää vain tietohallinnolle tai yksittäiselle asiantuntijalle.

Neljä keskeistä riskiä tekoälyn käytössä

Kaikki käyttötavat eivät vaadi yhtä raskasta arviointia. Riskien laajuus riippuu siitä, mihin tekoälyä käytetään ja millaisia vaikutuksia käytöllä voi olla.

1. Datariskit: puutteellinen data näkyy tuloksissa

Tekoälyn tulokset perustuvat sen käyttämään dataan. Jos aineisto on puutteellista, vanhentunutta tai vinoutunutta, myös tulokset voivat olla puutteellisia tai vinoutuneita.

Rekrytoinnissa käytettävä järjestelmä voi esimerkiksi oppia aikaisemmasta palkkausdatasta, millaisia hakijoita organisaatio on ennen suosinut. Jos käytännöt ovat olleet epätasapainoisia, tekoäly voi vahvistaa samaa suuntaa ilman, että kukaan on tarkoittanut rakentaa syrjivää järjestelmää.

Sama riski koskee esimerkiksi palvelutarpeen arviointia. Jos data ei kuvaa kaikkia asiakasryhmiä riittävästi, järjestelmä voi tunnistaa toisten tarpeet paremmin kuin toisten.

Ennen käyttöönottoa on siksi ymmärrettävä, mitä data kuvaa, mitä siitä puuttuu ja millaisia vinoumia siihen voi sisältyä.

2. Avoimuusriskit: ratkaisun perusteita ei pystytä selittämään

Jos tekoäly vaikuttaa ihmiseen, organisaation pitää pystyä kertomaan ymmärrettävästi, miten sitä käytettiin ja mikä sen vaikutus oli.

Tämä on erityisen tärkeää päätösten valmistelussa. Jos ihminen kysyy, miksi hänen asiansa ohjattiin tiettyyn käsittelyyn tai miksi järjestelmä antoi tietyn suosituksen, vastaukseksi ei riitä, että algoritmi päätti.

Avoimuus ei tarkoita jokaisen teknisen yksityiskohdan avaamista. Olennaista on, että tekoälyn rooli, käytetyt tiedot ja ihmisen osuus päätöksessä pystytään kuvaamaan niille, joihin käyttö vaikuttaa.

3. Vastuuriskit: tekoäly ehdottaa, mutta ihminen vastaa

Tekoäly voi tuottaa suosituksen, luokituksen tai riskipisteen. Samalla voi hämärtyä, kuka lopulta vastaa ratkaisusta.

Vastuu ei ole aidosti hallinnassa, jos työntekijä hyväksyy ehdotuksen ymmärtämättä sen perusteita tai jos hänelle jää vain muodollinen mahdollisuus arvioida sitä.

Johdon pitää määritellä, missä tekoäly saa auttaa, missä ihminen tekee päätöksen, miten ihmisen valvonta toteutuu ja miten virheisiin puututaan. Nämä vastuut kannattaa kuvata yhteiseen [LINKKI: tekoälyn hallintamalliin], jotta ne näkyvät myös arjen toimintatavoissa.

4. Oikeudelliset riskit: EU:n tekoälyasetus tuo velvoitteita

EU:n tekoälyasetus jakaa tekoälyjärjestelmiä riskiperusteisesti eri luokkiin. Vaatimukset riippuvat järjestelmän käyttötarkoituksesta ja sen mahdollisista vaikutuksista.

Kaikki käyttö ei ole korkeariskistä. Tekstin luonnostelu tai kokousmuistioiden tiivistäminen on eri asia kuin tekoälyn käyttäminen esimerkiksi rekrytoinnissa, koulutukseen pääsyssä, valvonnassa tai merkittäviä vaikutuksia tuottavien päätösten tukena.

Korkeariskisiin käyttötarkoituksiin liittyy vaatimuksia muun muassa riskienhallinnasta, dokumentaatiosta, datan laadusta, läpinäkyvyydestä, ihmisen valvonnasta, teknisestä luotettavuudesta ja käytön seurannasta.

Johdon on myös tunnistettava organisaation rooli. Kehittääkö se järjestelmän, ottaako käyttöön valmiin ratkaisun vai käyttääkö tekoälyä osana omaa palveluprosessiaan?

Sääntelyä ei voi tarkistaa vasta hankkeen lopussa. Käyttötarkoitus, riskitaso, vaikutukset ja vastuut pitää arvioida ennen käyttöönottoa.

Kuusi kysymystä ennen tekoälyn käyttöönottoa

Ennen kuin tekoälyä käytetään ihmisiin vaikuttavissa tehtävissä, johdon pitää pystyä vastaamaan ainakin seuraaviin kysymyksiin.

1. Mitä dataa käytetään?

Mistä data tulee, mihin tarkoitukseen se on alun perin kerätty ja sopiiko se tähän käyttötarkoitukseen? Onko se ajantasaista ja kattavaa, sisältääkö se henkilötietoja ja voiko siinä olla lopputuloksiin vaikuttavia vinoumia?

2. Kuka hyötyy ja kuka voi kärsiä?

Tekoäly voi helpottaa organisaation työtä mutta samalla vaikeuttaa asiakkaan asemaa. Johdon pitää arvioida, kenen näkökulmasta käyttö näyttää hyödylliseltä ja keihin mahdolliset haitat kohdistuvat.

3. Missä ihminen tekee päätöksen?

Onko tekoälyn tehtävä tuottaa luonnos, yhteenveto, luokittelu vai päätösehdotus? Organisaation pitää määritellä, missä vaiheessa ihminen arvioi tuloksen ja onko hänellä aikaa, osaamista ja todellinen mahdollisuus poiketa siitä.

4. Miten virheet havaitaan ja korjataan?

Organisaation pitää päättää, kuka seuraa tuloksia, miten poikkeamat tunnistetaan ja mitä tapahtuu, jos käyttö aiheuttaa haittaa. Merkityksellisissä prosesseissa seuranta ei voi perustua siihen, että joku sattuu huomaamaan ongelman.

5. Pystyykö organisaatio selittämään tekoälyn roolin?

Jos ihminen kysyy, miksi tekoälyä käytettiin hänen asiassaan tai miten se vaikutti lopputulokseen, organisaation pitää pystyä vastaamaan ymmärrettävästi. Tämä edellyttää dokumentointia ja sitä, että työntekijät tuntevat käyttämänsä järjestelmän roolin.

6. Kuka vastaa, jos jotain menee pieleen?

Kuka omistaa käyttötapauksen, hyväksyy käyttöönoton, seuraa riskejä ja käsittelee poikkeamat? Myös käytön keskeyttämiselle pitää olla nimetty päätöksentekijä.

Jos vastaukset jäävät epäselviksi, tekoälyn käyttö ei ole vielä johdettavalla pohjalla.

Tietosuoja pitää arvioida ennen käyttöönottoa

Tekoälyn vastuullinen käyttö liittyy tiiviisti tietosuojaan, erityisesti silloin, kun organisaatio käsittelee henkilötietoja tai arkaluonteista tietoa.

Ennen käyttöönottoa pitää arvioida esimerkiksi käsittelyn tarkoitus ja oikeusperuste, tietojen suojaaminen, tietojen siirtyminen ulkopuoliseen järjestelmään sekä mahdolliset riskit ihmisten oikeuksille ja vapauksille.

[LINKKI: Tietosuojan vaikutustenarviointi eli DPIA] voi olla tarpeen, jos henkilötietojen käsittelyyn liittyy korkea riski. Tällainen tilanne voi syntyä esimerkiksi laajamittaisessa profiloinnissa, automaattisessa arvioinnissa tai tehtävissä, joilla voi olla merkittäviä vaikutuksia ihmisiin.

Hyvin tehty vaikutustenarviointi ei ole pelkkä asiakirja. Se auttaa ymmärtämään, mitä ollaan tekemässä, millaisia riskejä käyttöön liittyy ja mitä suojatoimia tarvitaan ennen käyttöönottoa.

Rakenteet pitää suhteuttaa tekoälyn käytön riskeihin

Vastuullinen käyttö ei tarkoita, että jokainen kokeilu vaatii raskaan prosessin. Organisaatiolla pitää kuitenkin olla käytön riskeihin nähden riittävät rakenteet.

Matalan riskin käyttötavoissa voi riittää selkeä ohjeistus, sovitut rajat ja tuki arjen tilanteisiin. Korkeamman riskin käytössä tarvitaan tarkempaa arviointia, dokumentaatiota, vastuita ja seurantaa sekä tarvittaessa juridista, tietosuoja- ja hankintaosaamista.

Johdon tehtävänä on määritellä:

• mitä voidaan kokeilla kevyesti

• mitä pitää arvioida tarkemmin

• mitä ei tehdä lainkaan

• kuka hyväksyy käyttöönoton

• milloin käyttö pitää keskeyttää

Ilman näitä rakenteita organisaatiolla on vain joukko työkaluja ja kokeiluja, joiden vaikutuksia kukaan ei näe kokonaisuutena.

Vastuullisuus mahdollistaa tekoälyn kehittämisen

Vastuullinen käyttö ei tarkoita tekoälyn vastustamista. Se luo edellytykset sille, että tekoälyä voidaan kokeilla ja hyödyntää turvallisesti.

Kun johto on linjannut käytön rajat, vastuut ja seurannan, ihmisten on helpompi toimia oikein. Selkeät pelisäännöt vähentävät epävarmuutta ja auttavat organisaatiota oppimaan kokeiluista.

Käytännössä vastuullinen tekoälyn käyttö edellyttää yhteisiä linjauksia, selkeitä vastuita, riittävää dokumentaatiota, toimivia tapoja käsitellä virheitä ja kykyä selittää, miten tekoälyä käytetään.

Näiden rakenteiden rakentaminen vie aikaa. Ilman niitä tekoälyä ei kuitenkaan voida johtaa suunnitelmallisesti.

Rakennetaan tekoälyn vastuulliselle käytölle selkeät rakenteet

Maksuttomassa 15 minuutin Teams-keskustelussa voimme hahmottaa, millaisia linjauksia, vastuita ja toimintamalleja organisaationne tarvitsee tekoälyn turvalliseen käyttöön.