Tietosuojan vaikutustenarviointi tekoälyhankkeissa
Tekoälyn käyttöönottoon voi liittyä tietosuojaa ja perusoikeuksia koskevia arviointivelvoitteita. Monessa organisaatiossa nämä velvoitteet tulevat nyt ensimmäistä kertaa vastaan käytännössä.
Vaikutustenarviointi edellyttää tarkkaa ymmärrystä siitä, mitä tekoälyjärjestelmä tekee, miten päätökset tai suositukset syntyvät ja millaisia tietoja järjestelmä käsittelee.
Deeple auttaa tekemään arviointia varten tarvittavan pohjatyön. Juridisen arvioinnin tueksi teemme yhteistyötä oikeudellisen neuvonannon asiantuntijoiden kanssa.
Inhimillistä tekoälyä – rohkeasti visioiden, jalat tukevasti maassa.
Inhimillistä tekoälyä – rohkeasti visioiden, jalat tukevasti maassa.
Mitä vaikutustenarviointia tekoälyhanke vaatii?
Velvoitteet voivat perustua kahteen eri säädökseen, jotka täydentävät toisiaan.
Tietosuojan vaikutustenarviointi eli DPIA (GDPR 35 artikla)
EU:n tietosuoja-asetus edellyttää tietosuojan vaikutustenarviointia, kun henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille.
Tekoälypohjainen päätöksenteko, profilointi tai laajamuotoinen henkilötietojen käsittely ovat tyypillisiä tilanteita, joissa arviointi on pakollinen.
Tietosuojavaltuutetun toimisto on julkaissut luettelon käsittelytoimista, joiden yhteydessä arviointi on aina tehtävä. Luettelo kattaa useita julkiselle sektorille tyypillisiä tilanteita.
Perusoikeuksiin kohdistuvien vaikutusten arviointi
EU:n tekoälyasetus edellyttää korkean riskin tekoälyjärjestelmien käyttäjiltä perusoikeuksiin kohdistuvien vaikutusten arviointia ennen järjestelmän käyttöönottoa.
Velvoite koskee erityisesti julkisen sektorin toimijoita, jotka hyödyntävät tekoälyä palvelujen myöntämisessä, päätöksenteossa tai haavoittuvien ryhmien kanssa työskentelyssä. Korkean riskin järjestelmiä koskevia velvoitteita sovelletaan elokuusta 2026 alkaen.
Arvioinnit eivät ole keskenään samanlaisia. DPIA keskittyy henkilötietojen käsittelyyn ja tietosuojaan, kun taas tekoälyasetuksen mukainen arviointi käsittelee vaikutuksia perusoikeuksiin laajemmin. Monessa tilanteessa voidaan tarvita molemmat.
Epävarma siitä, kumpaa tarvitsette tai tarvitaanko kumpaakin? Selvitetään se yhdessä.
Arviointi vaatii tarkan kuvauksen tekoälyjärjestelmän toiminnasta
aikutustenarviointia ei voida tehdä pelkkien sopimusten tai käyttöehtojen perusteella. Ensin pitää ymmärtää, mitä järjestelmä tekee, millaisia tietoja se käsittelee, miten päätökset tai suositukset syntyvät ja mitä riskejä prosessiin liittyy.
Tämän tiedon kokoaminen edellyttää yhteistyötä järjestelmän käyttäjien, kehittäjien tai hankkijoiden sekä organisaation johdon kanssa.
Tietosuojavastaava tai lakineuvoja voi tehdä juridisen arvioinnin vasta, kun tarvittava pohjatyö on tehty. Jos järjestelmän toimintaa ja tietojen käsittelyä ei ole kuvattu riittävän tarkasti, myös vaikutustenarviointi jää puutteelliseksi.
Selvitämme järjestelmän toiminnan, tietovirrat ja riskit
Toteutamme kumppaniemme kanssa tietosuojaa ja perusoikeuksia koskevia vaikutustenarviointeja. Juridisena kumppanina toimii Fondian Senior Legal Counsel Tiina Kangas [linkki Tiinan profiiliin].
Työskentelemme tiiviisti myös organisaationne tietosuojavastaavan kanssa.
Tekoälyjärjestelmän toiminnan kuvaus
Selvitämme yhdessä, mitä järjestelmä tekee, millaisia tietoja se käyttää ja miten päätökset tai suositukset syntyvät. Tämä kuvaus toimii vaikutustenarvioinnin perustana.
Tietovirtakartoitus
Jäsennämme, mitä henkilötietoja käsitellään, missä vaiheessa niitä käsitellään ja kuka niitä käsittelee. Kartoitus tukee sekä GDPR:n että tekoälyasetuksen mukaista arviointia.
Riskien tunnistaminen
Autamme tunnistamaan, keihin tekoälyjärjestelmän käyttö vaikuttaa, millaisia vaikutukset voivat olla ja kuinka vakavia ne ovat.
Tämä ei ole juridinen arvio, mutta sen avulla juridinen arviointi voidaan kohdistaa oikeisiin kysymyksiin.
Arvioinnin dokumentointi
Tuotamme organisaatiolle selkeän dokumentin, joka tukee varsinaista vaikutustenarviointia ja toimii näyttönä tehdystä huolellisuustyöstä.
Tarvittaessa tuomme oikeudellisen konsultaation mukaan kumppanimme Fondian kautta.
Millaisissa tekoälyhankkeissa palvelua tarvitaan?
Palvelu sopii organisaatioille, jotka ottavat käyttöön tai ovat jo ottaneet käyttöön tekoälypohjaisia ratkaisuja ja haluavat selvittää, täyttyvätkö tietosuoja-asetuksen tai tekoälyasetuksen mukaiset arviointivelvoitteet.
Tyypillisiä tilanteita ovat:
organisaatio ottaa käyttöön tekoälypohjaisen rekrytointi-, arviointi- tai päätöstukijärjestelmän
kunta tai hyvinvointialue hyödyntää tekoälyä palvelujen myöntämisessä tai kohdentamisessa
tietosuojavastaava tai johto haluaa selvittää, onko DPIA tehty
järjestelmän toimittaja tai hankintayksikkö edellyttää arviointia hankintavaiheessa
organisaatio haluaa varmistaa, että tekoälyasetuksen elokuussa 2026 sovellettavat velvoitteet on huomioitu
Vaikutustenarviointi voidaan tehdä erikseen tai osana hallintamallia
Vaikutustenarviointi ei ole aina kertaluonteinen tehtävä. Tekoälyjärjestelmät muuttuvat, käyttötavat laajenevat ja sääntely kehittyy.
Siksi arviointiprosessi voidaan liittää osaksi tekoälyn hallintamallia ja organisaation tavallisia hankinta- ja kehittämisprosesseja.
Deeplen tekoälyn strategisen johtamisen muutosohjelma ja hallintamalli kattavat myös vaikutustenarvioinnin. Tukea voi kuitenkin saada myös yksittäiseen arviointiin erillisenä kokonaisuutena.
Lue lisää tekoälyn vastuullisesta käytöstä
Näkemykset-blogissa käsittelemme tarkemmin tekoälyn vastuullisen käytön, riskienhallinnan, tietosuojan ja EU:n sääntelyn yhteyttä.
Usein kysyttyä tietosuojan vaikutustenarvioinnista
-
Riippuu tilanteesta. DPIA keskittyy henkilötietojen käsittelyyn ja tietosuojaan, tekoälyasetuksen mukainen arviointi laajemmin perusoikeuksiin. Monessa tilanteessa tarvitaan molemmat. Jos olette epävarmoja kumpaa tarvitsette, selvitämme sen yhdessä.
-
Juridisena kumppaninamme toimii Fondian Senior Legal Counsel Tiina Kangas. Deeple tekee arviointia varten tarvittavan pohjatyön, ja työskentelemme tiiviisti myös organisaationne oman tietosuojavastaavan kanssa.
-
Kyllä. Vaikka vaikutustenarviointi on osa Deeplen tekoälyn strategisen johtamisen muutosohjelmaa ja hallintamallia, tukea voi saada myös yksittäiseen arviointiin erillisenä kokonaisuutena.
Selvitetään, mitä arviointeja hankkeenne vaatii
Vaikutustenarvioinnin tarve riippuu siitä, millaista tekoälyjärjestelmää käytätte ja miten sitä hyödynnetään.
Maksuttomassa 15 minuutin Teams-keskustelussa hahmotamme, mitä organisaationne tilanne edellyttää ja mikä olisi järkevä seuraava askel.
