GDPR ja tekoäly: Asetus, joka on rakennettu eri aikakaudelle

Kun GDPR:stä tuli täytäntöönpanokelpoinen Isossa-Britanniassa ja Euroopan unionissa, nykyisen kaltainen tekoäly tuskin oli olemassa valtavirran liiketoimintatyökaluissa. Asetus kirjoitettiin ohjaamaan sitä, miten organisaatiot keräävät, käsittelevät ja tallentavat henkilötietoja, ja sen ydinperiaatteita olivat muun muassa käyttötarkoituksen rajoittaminen, tietojen minimointi ja oikeus tietojen poistamiseen. Nämä periaatteet olivat järkeviä maailmassa, joka koostui tietokannoista ja määritellyistä tietovirroista.

Tekoäly, erityisesti generatiiviset ja koneoppimisjärjestelmät, ei toimi tällä tavalla. Malleja koulutetaan valtavilla tietoaineistoilla, jotka voivat sisältää henkilötietoja, jotka on kerätty verkosta, lisensoitu tai hankittu lukemattomista eri lähteistä. Kun tiedot on upotettu mallin painoarvoihin, yhden henkilön tietojen eristäminen, korjaaminen tai poistaminen muuttuu äärimmäisen vaikeaksi – jotain, mitä GDPR:n oikeus tietojen poistamiseen olettaa mahdolliseksi. Tämä ristiriita lain suunnittelun ja tekoälyjärjestelmien todellisen toiminnan välillä on Computer Weeklyn Security Think Tankin jatkuvan analyysin keskiössä. Siinä on tarkasteltu, miten tietosuojastandardit Isossa-Britanniassa ja Euroopassa kamppailevat pysyäkseen tekoälyn tuoman uuden paradigman tahdissa.

Missä halkeamat näkyvät

Jännite ei ole vain teoreettista. Se ilmenee käytännöllisillä, jokapäiväisillä tavoilla organisaatioille, jotka yrittävät ottaa tekoälyä käyttöön vastuullisesti ja samalla säilyttää vaatimustenmukaisuuden. Käyttötarkoituksen rajoittaminen – ajatus siitä, että yhtä tarkoitusta varten kerättyjä tietoja ei saa käyttää uudelleen ilman suostumusta – hämärtyy, kun tekoälytoimittajat käyttävät koulutusdataa uudelleen useissa tuotteissa tai hienosäätävät malleja tiedoilla, jotka on alun perin kerätty täysin jotain muuta varten.

Myös läpinäkyvyysvaatimukset joutuvat koetukselle tekoälyn monimutkaisuuden vuoksi. GDPR edellyttää, että organisaatiot selittävät, miten henkilötietoja käsitellään, ja antavat yksilöille merkityksellistä tietoa heihin vaikuttavasta automatisoidusta päätöksenteosta. Mutta monet tekoälyjärjestelmät, erityisesti suuret kielimallit, toimivat mustina laatikoina jopa omille kehittäjilleen. Sen selittäminen tarkasti, miksi malli tuotti tietyn tuloksen tai mitkä yksittäiset tietopisteet vaikuttivat siihen, ei usein ole täysin mahdollista edes toimittajalle. Kuten vastaavassa Computer Weekly Think Tank -artikkelissa siitä, miten tekoäly rasittaa GDPR:n ydinsääntöjä todetaan, tämä ei ole vähäinen tekninen alaviite. Se iskee GDPR:n ytimeen: siihen, että ihmisillä on todellinen näkyvyys ja hallinta omiin tietoihinsa.

Näillä puutteilla on merkitystä yhtä lailla tietoturvan kuin vaatimustenmukaisuudenkin kannalta. Tietosuoja ja kyberturvallisuus ovat aina kietoutuneet yhteen, ja kun oikeudellinen kehys, jonka on tarkoitus valvoa hyvää tietohygieniaa, ei sovellu sujuvasti siihen, miten tekoälyjärjestelmät todella käsittelevät tietoa, organisaatioille voi syntyä sokeita pisteitä. Arkaluontoisia tietoja saatetaan syöttää tekoälytyökaluihin ilman selkeää käsitystä siitä, minne ne menevät, kuka niihin pääsee käsiksi tai kuinka kauan ne säilyvät – mikä luo juuri sellaista hallitsematonta tietojen hajautumista, jota tietoturvatiimit ovat vuosia yrittäneet poistaa.

Vaatimustenmukaisuuden uudelleenajattelu tekoälyn aikakaudella

Security Think Tankin analyysi viittaa siihen, että GDPR:n paikkaaminen pala kerrallaan ei ehkä riitä. Sen sijaan sekä organisaatioiden että sääntelyviranomaisten on ajateltava uudelleen, miltä vaatimustenmukaisuus näyttää, kun tieto ei ole staattisessa tietokannassa vaan virtaa koulutusputkien, mallipäivitysten ja kolmannen osapuolen tekoälyalustojen läpi. Tämä tarkoittaa vahvempaa tiedonhallintaa ennen kuin tiedot koskaan päätyvät tekoälyjärjestelmään: tiedetään, mitä henkilötietoja on olemassa, luokitellaan niiden arkaluontoisuus ja rajoitetaan sitä, mitä tekoälytyökaluihin syötetään alun alkaen.

Isossa-Britanniassa ja Euroopassa tämä herättää myös kysymyksiä täytäntöönpanosta. GDPR:n periaatteet ovat edelleen hengeltään päteviä, mutta niiden soveltaminen tekoälyyn edellyttää uusia tulkintaohjeita ja mahdollisesti uusia sääntöjä, jotka käsittelevät muun muassa koulutusdatan alkuperää, mallien uudelleenkoulutusta poistopyyntöjen jälkeen ja vastuukysymyksiä, kun tekoälytoimittajat ja heidän asiakkaansa jakavat vastuun vaatimustenmukaisuudesta.

Mitä tämä tarkoittaa sinulle

Jos organisaatiosi käyttää tekoälytyökaluja – olipa kyseessä chatbot, sisäinen analytiikka-alusta tai suuriin kielimalleihin rakennettu kolmannen osapuolen palvelu – GDPR- ja tekoälyvaatimustenmukaisuutta ei voi olettaa hoidetun oletusarvoisesti. Myös pienemmät yritykset, jotka käyttävät valmiita tekoälytuotteita, voivat altistua riskeille, jos henkilötietoja päätyy käsiteltäväksi tavoilla, joita toimittajan tietosuojakäytäntö ei selitä selvästi.

Yksityishenkilöille keskeinen viesti on muistutus siitä, että tekoälypohjaisten palvelujen kanssa jaetut tiedot eivät välttämättä ole yhtä helposti haettavissa tai poistettavissa kuin perinteiseen tiliin tallennetut tiedot. Kun tietoja on käytetty mallin kouluttamiseen tai hienosäätöön, oikeuksien, kuten tietojen poistamisen, käyttäminen muuttuu käytännössä paljon monimutkaisemmaksi kuin laki olettaa.

Konkreettiset toimenpiteet

Ennen kuin otat käyttöön tai jatkat sellaisten tekoälytyökalujen käyttöä, jotka käsittelevät henkilötietoja, harkitse näitä vaiheita:

  • Kysy toimittajilta suoraan, käytetäänkö tietojasi mallin koulutukseen ja voidaanko ne poistaa kokonaan myöhemmin.
  • Kartoita, mitä henkilötietoja virtaa mihin tahansa organisaatiosi käyttämään tekoälyjärjestelmään, mukaan lukien kolmannen osapuolen työkalut.
  • Tarkastele tekoälytuotteiden tietosuojakäytäntöjä yhtä tarkasti kuin mitä tahansa muuta tietojenkäsittelijää.
  • Pysy ajan tasalla kehittyvistä ohjeista, sillä GDPR- ja tekoälyvaatimustenmukaisuuden säännöt todennäköisesti muuttuvat jatkuvasti sääntelyviranomaisten kiristäessä tahtia.

GDPR:n ja tekoälyn välinen kuilu ei katoa itsestään. Kunnes sääntely ehtii perässä, varovaisuus ja tietoisuus ovat paras suoja, joka yksityishenkilöillä ja organisaatioilla on käytettävissään.