GDPR ja tehisintellekti määrus: ettevõtte kohustused

Tallinna personaliotsingu ettevõte on kasutanud kaks aastat tehisintellektil põhinevat tööriista, mis sõelub kandidaatide CV-sid ja annab neile pingerea. GDPR-i pool on korras: andmekaitsealane mõjuhinnang on tehtud, isikuandmete töötlemise toimingute register on ajakohane ja andmekaitseametnik on tööriista algusest peale kaasatud olnud. Eesti digitaalses ökosüsteemis, kus e-residentsus ja e-riigi harjumus on teinud uute tarkvaralahenduste kasutuselevõtu tavapäraseks, ei ole see erand, vaid pigem reegel — uued tööriistad võetakse kasutusele kiiremini, kui jõutakse nende vastavust põhjalikult läbi mõelda. Kui üks pankadest, kellele ettevõte finantssektori kandidaate otsib, küsib hankelepingu uuendamisel, kas tööriist vastab ka tehisintellekti määrusele, tekib esimene reaktsioon: kas see pole juba GDPR-i mõjuhinnangus kaetud? Vastus on osaline jah ja osaline ei. GDPR ja tehisintellekti määrus küsivad kahte erinevat küsimust ning olemasolev mõjuhinnang ei vasta iseenesest küsimusele, kas tegemist on tehisintellekti määruse mõistes suure riskiga süsteemiga.

Kaks määrust, kaks erinevat küsimust

Isikuandmete kaitse üldmäärus ehk GDPR küsib kitsalt: kas isikuandmeid töödeldakse seaduslikult, kindlaksmääratud eesmärgil ja sobival õiguslikul alusel. Tehisintellekti määrus küsib laiemalt: kas süsteem, sõltumata sellest, kas ta üldse isikuandmeid töötleb, kujutab endast riski inimeste tervisele, ohutusele või põhiõigustele. CV-sid sõeluv tööriist jääb enamasti mõlema küsimuse alla korraga, kuid vastused ei ole samad. GDPR kehtib Eestis alates 2018. aastast ja toimib tehisintellekti määrusest sõltumatult — viimane lisab uue kohustuste kihi, mitte ei asenda ega tühista ühtegi olemasolevat.

Kus GDPR-i töö juba katab tehisintellekti määruse nõudeid

Kui ettevõttel on GDPR-i artikli 35 alusel tehtud andmekaitsealane mõjuhinnang tehisintellekti tööriista jaoks, mis töötleb kandidaatide või klientide isikuandmeid, on suur osa alustööst juba tehtud: riskianalüüs, mõjutatud isikute ring, leevendusmeetmed. Tehisintellekti määruse artikkel 27 lisab suure riskiga süsteemide teatud kasutuselevõtjatele, eelkõige avaliku sektori asutustele ning teatud avalikke teenuseid pakkuvatele eraõiguslikele üksustele nagu pangad ja kindlustusseltsid, kohustuse koostada põhiõiguste mõjuhinnang. Personaliotsingu ettevõttel, kes kasutab valmis ostetud tarkvara, tavaliselt otsest põhiõiguste mõjuhinnangu kohustust ei ole — see võib tekkida siis, kui ettevõte hakkab ise tehisintellekti funktsioone kohandama ja muutub tehisintellekti määruse mõistes pakkujaks, mitte enam ainult juurutajaks.

Sarnane lugu kehtib dokumenteerimise kohta. GDPR-i artikli 30 kohane isikuandmete töötlemise toimingute register sisaldab suure osa sellest, mida tehisintellekti määrus suure riskiga süsteemi juurutajalt dokumentatsiooni osas eeldab: mis andmeid töödeldakse, mis eesmärgil, kellele edastatakse. Tehisintellekti määrus lisab sellele juurde tehnilise dokumentatsiooni ja logimise nõuded, mis on suunatud süsteemi toimimisele, mitte ainult isikuandmete töötlemisele — näiteks kasutatud treeningandmete kirjelduse, täpsuse ja tugevuse näitajad ning inimjärelevalve kavandamise. Toimingute register on hea lähtepunkt, kuid see ei ole ise piisav dokumentatsioon tehisintellekti määruse mõttes.

Artikkel 22 ja III lisa: kaks eraldi testi

GDPR-i artikkel 22 annab igaühele õiguse, et tema kohta ei tehta otsust, mis põhineb üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil, kui sellel on õiguslik või muu sarnaselt oluline mõju. Kui värbaja vaatab iga tööriista väljastatud pingerea käsitsi üle ja alles seejärel kutsub kandidaadi vestlusele, ei ole otsus üksnes automatiseeritud ja artikkel 22 ei kohaldu. Tehisintellekti määruse III lisa toimib teisiti — see liigitab süsteemid suure riskiga süsteemideks kasutusotstarbe põhjal, sõltumata inimese osalusest lõplikus otsuses. Värbamiseks või kandidaatide valikuks kasutatavad süsteemid, sealhulgas tööpakkumiste suunatud reklaam, avalduste analüüs ja sõelumine ning kandidaatide hindamine, kuuluvad suure riskiga süsteemide hulka olenemata sellest, et lõpliku allkirja annab inimene. Tööriist võib seega kergesti mööda minna artikli 22 piirangust ja samal ajal vastata III lisa suure riskiga süsteemi tunnustele — liigituse üle otsustab kasutusotstarve, mitte see, kes lõpuks nupule vajutab.

Kus tehisintellekti määrus läheb GDPR-ist kaugemale

Osa tehisintellekti määruse kohustustest ei ole seotud isikuandmete töötlemisega üldse ja neile GDPR-is vastet ei ole. Artikkel 5 keelab teatud tavad täielikult, sõltumata sellest, kas isikuandmeid töödeldakse õiguslikul alusel või mitte — näiteks manipulatiivsed tehnikad, mis kahjustavad inimese vaba tahet, ja teatud sotsiaalse hindamise (social scoring) vormid. GDPR ei tunne sellist absoluutset keeldu; ta reguleerib, kuidas isikuandmeid tohib töödelda, mitte seda, milliseid süsteeme tohib üldse turule tuua. Teine näide on artikli 50 läbipaistvuskohustus: kliendisuhtluses kasutatav vestlusrobot peab kasutajale selgelt teatavaks tegema, et ta suhtleb tehisintellektiga, ja tehisintellekti abil loodud sisu (näiteks süvavõltsingud ehk deepfake'id) tuleb sellisena märgistada. See kohustus kehtib olenemata sellest, kas vestlus sisaldab isikuandmeid — see on tehisintellekti määruse enda, mitte GDPR-i laenatud nõue.

Kes Eestis järelevalvet teostab

Andmekaitse Inspektsioon (AKI) jääb isikuandmete kaitse järelevalveasutuseks olenemata sellest, kuidas kujuneb tehisintellekti määruse järelevalve lõplik jaotus Eestis. Kandidaatide või klientide isikuandmeid töötlev tööriist jääb seega AKI järelevalve alla GDPR-i mõttes juba täna. See, milline asutus Eestis lõpuks tehisintellekti määruse artikli 70 kohase turujärelevalveasutuse rollis tegutseb — kas AKI, mõni muu olemasolev amet või uus struktuur — ei ole selle artikli kirjutamise ajal veel lõplikult selge; täpse ja ajakohase vastuse saab AKI veebilehelt või vastutavast ministeeriumist. Igapäevase töö seisukohalt on oluline see, et isikuandmeid puudutavates küsimustes on kontaktpunkt juba praegu teada.

Kontrollnimekiri, kui ettevõttel on GDPR-programm juba olemas

Enamikul Eesti ettevõtetest, kes kasutavad tehisintellekti tööriistu värbamisel, klientide hindamisel või sisu genereerimisel, on GDPR-i mõjuhinnang olemas juba seetõttu, et GDPR seda esmasel kasutuselevõtul nõudis. Küsimus on nüüd, kas see dokumentatsioon vastab ka sellele, mida tööriist täna tegelikult teeb, ja kas see katab ka tehisintellekti määruse nõuded. Enne järgmist tarnijate ülevaatust või sisemist auditit tasub kontrollida:

• Kas tarnija on viimase aasta jooksul lisanud masinõppel või tehisintellektil põhineva funktsiooni, ilma et seda oleks formaalselt hinnatud kui muudatust töötlemises?
• Kas olemasolev mõjuhinnang katab sisuliselt ka selle uue funktsiooni või kirjeldab see ainult algset, tehisintellektita töötlust?
• Kas lõplik otsus kandidaadi või kliendi kohta on üksnes automatiseeritud (GDPR-i artikkel 22) või kuulub süsteem III lisa alusel suure riskiga süsteemide hulka olenemata inimese osalusest?
• Kas ettevõte on selle tööriista suhtes ainult juurutaja, või liigub ta pakkuja rolli poole, kuna kohandab tehisintellekti funktsioone ise?
• Kas tarkvaratarnijal on olemas dokumentatsioon tehisintellekti määrusele vastavuse kohta, või on ettevõte seni saanud vaid üldise kinnituse ilma aluseta?
• Kas kliendiga suhtlev tehisintellekt (näiteks vestlusrobot) teatab kasutajale selgelt, et tegemist on tehisintellektiga, vastavalt artikli 50 läbipaistvuskohustusele?

Mis on mängus, kui kohustusi ei täideta

GDPR-i rikkumiste eest võib artikli 83 alusel määrata trahvi kuni 20 miljonit eurot või kuni 4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Tehisintellekti määruse artikkel 99 kehtestab eraldi astmestiku: kuni 35 miljonit eurot või 7% aastakäibest keelatud tavade eest, kuni 15 miljonit eurot või 3% aastakäibest suure riskiga süsteemi kohustuste rikkumise eest, ja kuni 7,5 miljonit eurot või 1% aastakäibest järelevalveasutusele ebaõige teabe andmise eest. Artikli 99(6) kohaselt kohaldatakse väikeste ja keskmise suurusega ettevõtjate, sealhulgas idufirmade suhtes nendest protsentidest või summadest madalamat piirmäära. Tegemist on kahe eraldi astmestikuga, mida sama tööriista suhtes võidakse kohaldada üheaegselt, kui see rikub mõlemat määrust.

Üldine teave, mitte õigusnõustamine

Eelnev on üldine suunav teave, mitte teie ettevõtte konkreetsele olukorrale kohandatud õigusnõustamine. GDPR-i ja tehisintellekti määruse koosmõju sõltub konkreetsest töötlemise eesmärgist, teie ettevõtte rollist konkreetse süsteemi suhtes ja sellest, mida teie tarkvaratarnija tegelikult pakub — üksikasjadest, mida üks artikkel katta ei suuda. Komplya eristab sellise sisu puhul selgelt õiguslikult üle vaadatud materjali ja töömustandit, et alati teaksite, millise kindlusega materjaliga tegu on.

Kiireim viis selguse saamiseks on vaadata oma ettevõtte tehisintellekti tööriistad ükshaaval üle ja märkida, milliseid kandidaatide, klientide või töötajate isikuandmeid iga tööriist töötleb. Täitke lühike küsimustik oma ettevõtte tehisintellekti kasutuse kohta ja saate ülevaate, kus olemasolev GDPR-dokumentatsioon juba katab tehisintellekti määruse nõudeid ja kus tuleb puuduv osa lisada.