Tietosuoja-asetus ja tekoälysäädös: yrityksen velvollisuudet

Ehkä yrityksenne HR-tiimi käyttää jo rekrytointityökalua, jolle tehtiin tietosuoja-asetuksen mukainen vaikutustenarviointi pari vuotta sitten, kaikki asiakirjat kunnossa ja arkistoituna. Sitten toimittaja lisäsi työkaluun tekoälypohjaisen hakijoiden pisteytysominaisuuden osana tavanomaista päivitystä, ilman että kukaan erikseen ilmoitti asiasta erillisenä muutoksena tai pyysi lupaa ottaa se käyttöön. Nyt joku on lukenut, että tekoälysäädös koskee myös teitä, ja ensimmäinen reaktio on usein: pitääkö kaikki tehdä uudelleen alusta jokaisen jo käytössä olevan tekoälyominaisuuden osalta? Vastaus on ei — suurin osa jo tehdystä tietosuojatyöstä pysyy voimassa ja toimii pohjana, jonka päälle rakennetaan. Mutta tietosuoja-asetus ja tekoälysäädös eivät kysy täsmälleen samaa kysymystä, ja se, joka käsittelee niitä yhtenä ja samana harjoituksena, jättää aukkoja, jotka Tietosuojavaltuutetun toimisto — tai joku muu valvova viranomainen — voi myöhemmin löytää.

Kaksi tekstiä, yksi kysymys? Ei, kaksi eri kysymystä

Tietosuoja-asetus kysyy rajatun kysymyksen: käsitelläänkö henkilötietoja laillisesti, asianmukaisesti ja tiettyä käyttötarkoitusta varten. Tekoälysäädös kysyy laajemman kysymyksen: muodostaako järjestelmä riskin ihmisten terveydelle, turvallisuudelle tai perusoikeuksille, riippumatta siitä, käsitelläänkö henkilötietoja lainkaan. Hakijoiden esikarsintatyökalu, asiakaspalvelun chatbot tai luottoluokitusmalli osuu lähes aina molempien kysymysten alle samanaikaisesti. Tietosuoja-asetus on ollut voimassa Suomessa vuodesta 2018, eikä tekoälysäädöksen tulo muuta sitä — se täydentää, ei korvaa mitään jo olemassa olevaa velvoitetta.

Tietosuojavaltuutettu: kaksi roolia, ei uutta viranomaista

Tietosuojavaltuutetun toimisto on ollut Suomen tietosuojaviranomainen tietosuoja-asetuksen voimaantulosta lähtien, ja tämä rooli jatkuu muuttumattomana. Kuten kävimme läpi tekoälysäädöksen pk-oppaassamme, Suomi on vielä viimeistelemässä kansallista täytäntöönpanolainsäädäntöä, joka nimeää tarkat artikla 70:n mukaiset markkinavalvontaviranomaiset koordinoivaksi esitetyn Liikenne- ja viestintävirasto Traficomin rinnalle. Tästä rakenteesta riippumatta Tietosuojavaltuutetun toimivalta henkilötietoja käsitteleviin tekoälyjärjestelmiin säilyy jo nyt: rekrytointityökalu, asiakaspalvelun chatbot ja luottoluokitusmalli kuuluvat sen piiriin tietosuoja-asetuksen nojalla, riippumatta siitä, miten lopullinen tekoälysäädöksen valvontarakenne myöhemmin asettuu.

Artikla 22 ja liite III: kaksi eri testiä

Tietosuoja-asetuksen artikla 22 antaa jokaiselle oikeuden olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu yksinomaan automaattiseen käsittelyyn, profilointi mukaan lukien, kun päätöksellä on oikeusvaikutuksia tai se vaikuttaa vastaavalla tavalla merkittävästi henkilöön — esimerkiksi työhakemus, joka hylätään kokonaan ilman ihmisen osallistumista. Tekoälysäädöksen liite III sen sijaan luokittelee tietyt järjestelmät korkean riskin järjestelmiksi käyttötarkoituksen perusteella, muun muassa rekrytoinnin ja hakijoiden valinnan, työntekijöiden arvioinnin ja luottokelpoisuuden arvioinnin, riippumatta siitä, kuinka automatisoitu lopullinen päätös on. Hakijoiden esikarsintatyökalu, jossa rekrytoija vahvistaa jokaisen tuloksen manuaalisesti, välttää yleensä artikla 22:n soveltamisen, koska päätös ei ole täysin automatisoitu. Se pysyy silti useimmiten liitteen III mukaisena korkean riskin järjestelmänä, koska luokittelun ratkaisee käyttötarkoitus — rekrytointi — ei ihmisen valvonnan aste. "Joku aina tarkistaa tuloksen" sulkee artikla 22:n kysymyksen, mutta jättää tekoälysäädöksen omat vaatimukset koskemattomiksi: riskienhallinnan, teknisen dokumentaation ja muodollistetun ihmisen suorittaman valvonnan.

DPIA ja FRIA: täydennys, ei uusinta

Tietosuoja-asetuksen artiklan 35 mukainen vaikutustenarviointi (DPIA) on pakollinen, kun käsittely todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille — ehto, jonka useimmat henkilötietoja käsittelevät tekoälyjärjestelmät täyttävät. Tekoälysäädöksen artikla 27 tuo mukanaan perusoikeuksia koskevan vaikutustenarvioinnin (FRIA), joka koskee kuitenkin rajatumpaa joukkoa toimijoita: pääasiassa viranomaisia ja tiettyjä keskeisiä yksityisiä palveluntarjoajia, kuten pankkeja ja vakuutusyhtiöitä, kun ne ottavat käyttöön korkean riskin järjestelmän. Suurimmalle osalle pk-yrityksistä, jotka hankkivat rekrytointityökalun tai tekoälyominaisuuksin varustetun asiakaspalvelutyökalun, FRIA-vaatimus ei siis useinkaan tule suoraan sovellettavaksi — mutta DPIA on jo nyt ajankohtainen, ja se kannattaa rakentaa niin, että sitä voidaan laajentaa, jos toiminta myöhemmin osuu FRIA:n soveltamisalaan.

HR-teknologian ja rekrytointi-AI:n erityistilanne

Suomalainen HR-teknologia on merkittävä vientiala — kotimarkkinoita suurempi osa monen rekrytointiratkaisuja kehittävän yrityksen liikevaihdosta tulee ulkomailta, usein muihin Pohjoismaihin ja laajemmin Euroopan sisämarkkinoille. Tämä tuo mukanaan lisäkerroksen: jos kehitätte tai räätälöitte tekoälypohjaista rekrytointityökalua asiakkaillenne muualla EU:ssa, olette todennäköisesti tekoälysäädöksen tarkoittama "tarjoaja" ettekä pelkkä "käyttöönottaja" — mikä tuo mukanaan huomattavasti laajemmat velvoitteet: riskinhallintajärjestelmän, teknisen dokumentaation ja vaatimustenmukaisuuden arvioinnin ennen markkinoille saattamista, riippumatta siitä missä EU-maassa loppukäyttäjä sijaitsee. Pelkkä valmiin työkalun ostaminen ja käyttöönotto omassa rekrytoinnissa on kevyempi rooli, mutta ei velvoitteeton: käyttöönottajankin on muun muassa varmistettava ihmisen suorittama valvonta ja tiedotettava hakijoille tekoälyn käytöstä osana rekrytointiprosessia. Kannattaa siis selvittää heti kumpi rooli — tarjoaja vai käyttöönottaja, tai molemmat eri tuotteiden osalta — koskee juuri teidän yritystänne.

Mitä kannattaa tarkistaa, järjestelmä kerrallaan

Lakitekstin ulkoa opettelun sijaan kannattaa käydä jokainen käytössä oleva tekoälyjärjestelmä läpi muutaman konkreettisen kysymyksen kautta:

• Tehdäänkö lopullinen päätös kokonaan ilman ihmisen osallistumista (artikla 22), ja/tai osuuko käyttötarkoitus tekoälysäädöksen liitteen III korkean riskin listalle? Nämä kaksi vastausta ovat toisistaan riippumattomia.
• Onko järjestelmästä olemassa dokumentoitu DPIA, ja onko se rakennettu niin, että sitä voidaan täydentää FRIA:lla artikla 27(4):n mukaisesti, jos yrityksenne kuuluu sen piiriin — sen sijaan, että aloitettaisiin tyhjästä?
• Onko oikeusperuste dokumentoitu tiedoille, joita käytetään mallin kouluttamiseen, hienosäätöön tai mukauttamiseen, myös silloin kun perusteena on oikeutettu etu?
• Oletteko tarjoaja vai käyttöönottaja kyseisen järjestelmän osalta — erityisesti jos kehitätte tai räätälöitte tekoälyominaisuuksia osana omaa HR-teknologia- tai rekrytointituotettanne?
• Onko EU/ETA-alueen ulkopuoliselta tekoälytoimittajalta kysytty tietojen siirrosta, riippumatta toimittajan omista väitteistä tekoälysäädöksen noudattamisesta?
• Mainitsevatko nykyiset tietosuojaselosteenne tekoälyn käytön nimenomaisesti, vai onko ne kirjoitettu ennen kyseisten ominaisuuksien käyttöönottoa?

Yleistä tietoa, ei oikeudellista neuvontaa

Kaikki edellä mainittu on yleistä, opastavaa tietoa, ei oikeudellista neuvontaa juuri teidän tilanteestanne. Tietosuoja-asetuksen ja tekoälysäädöksen yhteispeli riippuu yrityksenne tarkoista käsittelytoimista, toimialasta ja mukana olevista toimittajista — yksityiskohdista, joita yksi artikkeli ei voi kattaa täysin. Kun Komplya julkaisee tämäntyyppistä sisältöä, erottelemme selkeästi, mikä on oikeudellisesti tarkistettu ja mikä on vielä työn alla oleva luonnos, jotta voitte käyttää materiaalia sen tietäen.

Nopein tapa nähdä, missä yrityksenne todella seisoo, on käydä tekoälyjärjestelmänne läpi yksi kerrallaan, kytkettynä niihin henkilötietoihin, joita ne käsittelevät. Täyttäkää lyhyt kyselylomake tekoälyn käytöstänne ja saatte helposti ymmärrettävän kuvan velvollisuuksistanne tietosuoja-asetuksen ja tekoälysäädöksen mukaan.