AVG:n lisäksi on toinen eurooppalainen laki, jota sovelletaan vaiheittain: tekoäly-asetus, jota kutsutaan myös AI Act:ksi. Tämä laki ei säätele itse yksityisyyttä, vaan tekoälyn käyttöä, ja se vaikuttaa näin ollen juuri niihin työkaluihin, joita monet pk-yritykset käyttävät päivittäin: asiakaspalvelun chatbot, hakijoiden seulonta rekrytoinnissa tai ohjelmisto, joka analysoi kamerakuvia. Yrityksille, jotka käyttävät tällaisia työkaluja, tulevat tänä vuonna ja seuraavina vuosina vaiheittain uusia velvoitteita, GDPR:n jo vaatimien velvoitteiden lisäksi.
Se, onko tämä yrityksellenne relevanttia, riippuu siitä, mitä tekoäly-sovellus tekee ja mitä tietoja se käyttää. Jos käytätte tekoälyä vain tekstien laatimiseen tai kalenterien suunnitteluun, muutokset ovat todennäköisesti vähäisiä. Jos käytätte tekoälyä päätösten tukemiseen ihmisistä — hakijoiden valintaan, henkilöstön arviointiin, asiakkaiden luokitteluun riskikategorioihin — on suurempi todennäköisyys, että uudet säännöt vaikuttavat teihin, ja ne katsovat samaa henkilötietojen käsittelyä kuin GDPR.
Mitä muuttuu tänä vuonna
Tekoäly-asetus ei tullut voimaan kerralla. Laissa on eri päivämäärät, joista sen eri osat tulevat voimaan, jakaantuen useille vuosille. Näin ollen riskialttiiksi luokitelluilla tekoäly-järjestelmillä on tiukemmat säännöt, ja yleisten tekoäly-mallien tarjoajilla on erilliset velvoitteet. Mikä päivämäärä koskee mitäkin osaa, määritellään asetuksessa itsessään; koska kyseessä on vaiheitettu prosessi, suosittelemme neuvomaan virallista tekstiä tarkkojen päivämäärien osalta, jotka koskevat vuestaan tilannetta, luottamisen sijaan yhteenvetoon.
Se, mikä on varmaa, on suunta: mitä enemmän tekoäly-sovellus vaikuttaa ihmisiin — rekrytoinnissa, arvioinnissa, palvelujen saatavuudessa — sitä tiukemmat vaatimukset ovat. Tämä vastaa sitä, kuinka GDPR on jo pitempään tarkastellut automatisoitua päätöksentekoa, mutta tekoäly-asetus lisää siihen omat velvoitteensa, kuten dokumentointi-, läpinäkyvyys- ja joissakin tapauksissa pakollisen arvioinnin vaatimukset ennen järjestelmän käyttöönottoa.
Ketä muutos koskee
Asetus erottaa roolit: sillä, joka kehittää tai markkinoi tekoäly-järjestelmää, on erilaiset velvoitteet kuin sillä, joka käyttää sitä ainoastaan yrityksenä. Useimmat pk-yritykset kuuluvat toiseen luokkaan, työkalun käyttäjinä, jotka ohjelmistotoimittaja on kehittänyt. Myös silloin velvoitteet ovat olemassa, vaikka ne ovat tavallisesti kevyempiä kuin järjestelmän rakentajille. Ajattelevat työntekijöiden tai asiakkaiden informoinnista siitä, että tekoälyä käytetään, ja arvioinnista siitä, onko käyttö lain rajojen sisällä.
HR-osastot, jotka käyttävät tekoälyä rekrytoinnissa tai arvioinnissa, ja yritykset, jotka käyttävät ohjelmistoa kamerakuvien analysointiin, tekisivät hyvin inventaarineet nyt jo, mitä työkaluja ne tarkalleen ottaen ovat ja mitä ne tekevät tiedoille. Tämä on sama inventaario, jonka GDPR jo pyytää käsittelyrekisterille, ja nämä kaksi linjaa — GDPR ja tekoäly-asetus — kulkevat käytännössä usein rinnakkain.
Mitä tämä tarkoittaa GDPR:n lisäksi
Tekoäly-asetus ei korvaa GDPR:ää eikä tee sitä tarpeettomaksi. Jos tekoäly-työkalu käsittelee henkilötietoja, GDPR pysyy sovellettavana kyseiseen käsittelyyn, mukaan lukien oikeusperustan vaatimus, velvoite informoida rekisteröity ja, asiaankuuluvan tapauksessa, käsittelyä koskevan sopimuksen tekeminen työkalun toimittajan kanssa. Tekoäly-asetus tulee joissakin tapauksissa niiden päälle, omat vaatimuksensa, jotka koskevat erityisesti tekoäly-järjestelmää, riippumatta siitä, ovatko henkilötiedot mukana.
Jos tekoäly-työkalun käytössä menee jotain pieleen henkilötietojen kanssa — chatbot, joka vahingossa jakaa asiakastietoja väärän henkilön kanssa, tai järjestelmä, joka varastoi tietoja turvattomasti — GDPR:n ilmoitusvelvoite pysyy täysin voimassa. Jos epäilette, kuuluuko tekoäly-työkalun kanssa sattunut poikkeama kyseiseen ilmoitusvelvoitteeseen, voitte muutamalla kysymyksellä selvittää, onko kyseessä ilmoitusvelvollisuuden alainen henkilötietojen suojaloukkaus.
Mitä voit tehdä jo nyt
Ilman kunkin päivämäärää odottamatta voit jo nyt kartoittaa, mitä tekoäly-työkaluja yrityksessäsi käytetään, mihin tarkoituksiin ja käsitelläänkö niissä henkilötietoja. Tämä inventaario on myös sen käsittelyn rekisterin perusta, jota GDPR jo edellyttää, ja nämä kaksi tavoitetta — GDPR-rekisteri ja tekoäly-yleiskatsaus — voit hoitaa yhdellä kertaa. Gdpria.eu pitää kirjaa tietopankissa aiheittain siitä, mitä tekoälyyn ja tietosuojaan liittyy, ja mukana on viite virallisen tekstin sisältöpaikkaan, jotta voit itse tarkistaa, mikä koskee tilanteitasi.
Jos sinulla on kysymyksiä siitä, miten tekoälyn käyttö liittyy nykyisiin GDPR-velvoitteisiisi, löydät vastauksia osoitteesta usein kysytyt kysymykset. Jos haluat tietää, miten saamme tietomme ja miksi pidämme niiden lähde tietoisesti alkuperäisenä, lue siitä mistä tieto tulee.
Se, ovatko ja miten nämä säännöt täsmälleen soveltuvia yrityksellesi, on parasta saada arvioitua lakimiehellä tai, jos epäilet GDPR-osalta, voit kysyä Hollanninmaiden tietosuojaviranomaiselta. Jos haluat ensin saada itse käsityksen tilanteestasi, voit vapaaehtoisesti tehdä ilmaisen pikatutkimuksen tai käydä läpi tietopankin aiheita.