Tekoälyn lakikysymykset – Sulavan ja Fondian yhteistyö laajenee tekoälyn käyttöönottoa helpottaviin kursseihin

Millaisia juridisia seikkoja tekoälyn käyttöönottoon liittyy ja mitä käytännön toimenpiteitä näiden seikkojen huomioiminen vaatii? Esimerkiksi työlainsäädäntö asettaa vaatimuksia tekoälyn käyttöönotolle, GDPR ja muu henkilötietoja koskeva lainsäädäntö edellyttää organisaatioilta toimenpiteitä ja tuleva tekoälysäädös (AI Act) määrittää sitä, missä tilanteissa tekoälyn käyttö on tarkoin säädeltyä.

Sulava ja Fondia ovat rakentaneet kolmiosaisen koulutussarjan, jossa käydään Fondian asiantuntijoiden johdolla läpi tekoälyn käyttöönottoon liittyviä juridisia seikkoja ja käytännön toimenpiteitä. Kurssien kolme teemaa ovat 1) Tekoälyn sääntely ja IPR, 2) Tekoälyn tietosuoja ja vaikutustenarviointi (DPIA) ja 3) HR-näkökulma sekä henkilöstön ohjeistaminen. Tässä kirjoituksessa voit tutustua jokaiseen teemaan tarkemmin.

”Sulavalla haluamme auttaa asiakkaitamme menestymään ja uudistumaan. Tekoäly mahdollistaa valtavan tuottavuusloikan. Emme kuitenkaan ole lakiasioiden asiantuntijoita. Siksi haluamme tarjota laadukasta palvelua ja koulutusta tekoälyä koskettavista lakiasioista yhdessä Fondian kanssa. Nämä kurssit ovat asiakkaillemme merkityksellisiä ja ajankohtaisia aiheita. Olemme kiitollisia, että voimme toteuttaa ne yhdessä Fondian kanssa Copilot CMWaaS ja Essentials -palveluidemme yhteydessä”

Copilot palveluliiketoiminnan johtaja Otso Kasanen

Koulutukset on suunnattu muun muassa HR-ammattilaisille, IT-asiantuntijoille, juristeille, talouspäälliköille, toimitusjohtajille, teknologiajohtajille, kehityspäälliköille, tietoturva-asiantuntijoille ja tietosuoja-asiantuntijoille.

”Koulutussarja antaa osallistujille kokonaiskuvan niistä juridisista kokonaisuuksista, jotka tulee ottaa huomioon otettaessa tekoälyä käyttöön organisaatioissa hallitulla ja kestävällä tavalla. Koulutukset antavat avaimia kaikille toimialoille ja organisaatioille, jotka ovat jo ottaneet käyttöön Copilot for M365 tekoälytyökaluja tai muita generatiivista tekoälyä hyödyntäviä työkaluja tai harkitsevat sitä”

AI and Data Economy Lead, Senior Legal Counsel Arttu Ruukki, Fondia

Millaista lainsäädäntöä tekoälyyn kohdistuu?

Ensimmäinen kurssi keskittyy tekoälyyn kohdistuvaan lainsäädäntöön ja IPR:n.
Tekoälysäädöksen (AI Act) odotetaan tulevan voimaan vielä tällä EU-parlamenttikaudella ennen kesää 2024 . Sen myötä organisaatioiden on mm. arvioitava tekoälyn käyttötarkoitusten riskejä. Lisäksi niihin tekoälyn käyttökohteisiin, jotka säädöksessä on erikseen määritelty, kohdistuu organisaatiota velvoittavia toimenpiteitä.

Tietyt tekoälyn käyttökohteet on säädöksessä kielletty kuten sosiaalinen pisteyttäminen tai tunnetilojen tunnistaminen työpaikoilla tai kouluissa, , mutta laajasti organisaatioita koskevat korkean riskin kategorian säädökset. Tekoälyn käyttöä korkean riskin käyttötarkoituksiin ei siis kielletä, mutta se edellyttää organisaatiolta esimerkiksi laajaa dokumentointia ja riskienhallintajärjestelmää. Päätöksille vaaditaan myös auditoitavuutta, eli ihmisen tulee pystyä jälkikäteen todentamaan, miten järjestelmä on valinnan tehnyt.

Yleisimmin organisaatiot törmäävät tähän esimerkiksi rekrytoinneissa, koulutusvalinnoissa ja niihin liittyvässä päätöksenteossa. Tekoäly ei saa suorittaa päätöksenteonomaisia ratkaisuja, eli esimerkiksi ehdokasta ei saa pudottaa pois siksi, että tekoäly arvioi niin.

Näin myös vältetään riskiä sellaisten ominaisuuksien tahattomasta suosimisesta, joilla ei ole haettuun tehtävään merkitystä. Esimerkiksi tietyn urheilulajin harrastaminen ei ole kriteeri, jonka perusteella hakijoita voidaan tekoälyn toimesta luokitella yrityksen johtotehtävään työntekijää haettaessa, vaikka sen harrastaminen korreloisikin tyypillisesti samankaltaisiin tehtäviin valittujen henkilöiden harrastusten kanssa.

Muuta lainsäädäntöä, jota on otettava huomioon tekoälyn käyttöönotossa ovat esimerkiksi työnantajavelvoitteet, työelämän tietosuojalaki ja laki yksityisyyden suojasta työelämässä. Tietosuoja-asiat ja GDPR vaikuttavat toki nekin laajasti moneen asiaan tekoälyn hyödyntämisessä.

Tekoälyn tekijänoikeudet ja IPR

Toinen ensimmäisellä kurssilla käsiteltävä teema on immateriaalioikeudet ja IPR. Eli esimerkiksi se, voidaanko tekoälyn luomaa materiaalia vapaasti käyttää, ja kuka materiaalin omistaa. On varmasti vielä pitkään avoinna, mihin rajanvedot asettuvat, mutta ainakin tällä hetkellä lainsäädäntö lähtee siitä, että tekijänoikeus on luonnolliselle henkilölle syntyvä oikeus, joten tekoälytuotokset eivät ainakaan tekijänoikeussuojaa voi nykykäsityksen mukaan saada.

Se, mihin organisaatioiden kannattaa kiinnittää huomiota on tietoisuus ja henkilöstön kouluttaminen siitä, kuinka tekoälyn tulosaineistoa voi käyttää, onko siihen tekijänoikeus ja kuinka sen voi saada.

Tekijänoikeutta tekoälyn tuottamaan aineistoon ei siis siis automaattisesti synny. Se voi syntyä, jos materiaalille tehdään merkittävää luovuutta osoittavaa käsittelyä ja valintoja. Tämä tarkoittaa esimerkiksi, että jos käyttää kirjan kirjoittamiseen apunaan tekoälyä, teoskynnys ylitetään vasta jatkojalostuksen kautta esimerkiksi aineistoa yhdistelemällä, järjestelemällä ja muokkaamalla.

Toinen tekoälytuotoksiin liittyvä suojakeino on luonnollisesti tavaramerkkisuoja, vaikkakin sen rikkomukset tekoälyn avulla on epätodennäköisempää. Tahallisesti ei tule pyrkiä jäljittelemään kenenkään suojattua materiaalia myöskään tekoälyn avulla. Tässäkin rajanvedot ovat luonnollisesti haastavia, joten on hyvä tehdä linjaukset organisaatiossa etukäteen ja kouluttaa henkilöstö aiheeseen.

Tekoälyn tietosuoja ja vaikutustenarviointi (DPIA)

Toinen kursseista käsittelee laajasti tekoälyyn vaikuttavaa teemaa tiedon suojausta ja GDPR:n edellyttämää vaikutustenarviointia (DPIA). Kurssi vastaa mm. kysymyksiin mitä henkilötietoja koskeva lainsäädäntö edellyttää ja mitä tietosuojariskejä tekoälyjärjestelmien käyttöön liittyy.

Ellei tekoälytyövälineiden aineistojen käyttöä rajoiteta organisaatiossa esimerkiksi tiedon luokittelua hyödyntämällä, se pääsee käsiksi arkaluontoisiin tietoihin tai voi vaikuttaa ihmisten oikeuksiin ja vapauksiin esim. profiloinnin, automaattisen päätöksenteon tai valvonnan kautta.

Tietosuoja-asetus eli GDPR edellyttää DPIA:n, eli tietosuojaa koskevien vaikutustenarviointien tekemistä. Henkilötiedon määritelmä eurooppalaisessa tietosuojalainsäädännössä on laaja, joten on hyvin todennäköistä, että tekoälysovelluksen lähdetiedoissa on henkilötietoja.

DPIA (The Data Protection Impact Assessment) on prosessi, joka auttaa tunnistamaan, arvioimaan ja hallitsemaan tekoälyn käyttöönoton mahdollisia riskejä henkilötietojen suojalle ja perusoikeuksille. DPIA on elintärkeä työkalu eettisyyden ja laillisuuden varmistamiseksi. Se auttaa myös lisäämään luottamusta ja hyväksyntää tekoälyn ratkaisuihin sekä edistämään innovaatiota ja kilpailukykyä. Prosessi on osa kokonaisuutta, jossa organisaatiolle luodaan pelisäännöt tekoälyn vastuulliseen hyödyntämiseen.

Vaikutustenarviointi on hyvä tehdä jo silloin, kun tekoälysovelluksen käyttötarkoituksia ja teknistä toteutusta suunnitellaan. Näin mahdollistetaan, että esille nousseet riskit ja tietosuojalainsäädännön asettamat vaatimukset voidaan toteuttaa privacy by design -vaatimuksen mukaisesti.

Vaikutustenarvioinnissa on kolme osuutta: tietojen käsittelyn kuvaus, käsittelyn tarpeellisuuden ja oikeasuhtaisuuden arviointi, sekä riskiarviointi. Näistä riskiarviointi on usein haastavin toteuttaa, mutta varsinkin tekoälysovellusten osalta se on kaikkein tärkein vaihe, koska tietosuoja-asetus vaatii tarkastelemaan nimenomaan riskejä yksilöiden oikeuksille ja vapauksille.

Kurssin lisäksi Sulava ja Fondian tarjoavat tekoälyprojektien yhteydessä tähän kokonaisuuteen erikoistunutta DPIA-pakettia. Voit lukea DPIA:sta ja vaikutustenarvioinnista laajemmin blogistamme.

Voit lukea myös siitä, kuinka valmistelet organisaatiosi tietomassan Microsoft 365 Copilotia varten.

HR-näkökulma sekä henkilöstön ohjeistaminen

Kolmas kurssipäivä käsittelee muun muassa sitä, mitä velvoitteita työlainsäädäntö asettaa tekoälyn käyttöönotolle, ja miten muutosta johdetaan fiksusti. Organisaation kannattaa kiinnittää huomiota tekoälyn hyödyntämisen hallinnointiin ja käytön ohjaamiseen organisaatiossa.

Yhteistoimintalaissa määritelty jatkuva vuoropuhelu on isossa roolissa myös tekoälyn käyttöönotossa. Esimerkiksi laajemmat koulutuskokonaisuudet, tekoälyohjeistukset ja mahdollisesti työhön kohdistuvat suuret muutokset on käsiteltävä keskustellen henkilöstön edustajien kanssa.

Osa toimenpiteistä on kevyempiä, mutta jos käyttöönotto aiheuttaa merkittäviä muutoksia esimerkiksi työn sisältöihin tai suoritustapaan, on käsittely tehtävä muutosneuvotteluissa, laajimpana tietenkin tilanne, jossa muutos johtaisi irtisanomisiin.

On toisaalta tärkeää pohtia, kuinka työelämän kehittämissuunnitelmat tuodaan yhteisöön, jotta ei aiheuteta henkilöstölle kuormitusta ja sitä, kuinka tasa-arvosuunnitelmien mukaisesti tuetaan ihmisiä käyttöönotossa. Selkeät ohjeistukset ovat henkilöstölle tärkeät, jotta henkilöstö esimerkiksi tietää, että toiminta mitä he tekevät on lainmukaista.

Yksi suunnitelma ei myöskään sovi jokaiselle organisaatiolle; esimerkiksi luovalla alalla toimiva organisaatio joutuu kiinnittämään enemmän huomiota IPR-kysymyksiin, tai esimerkiksi terveysalalla arkaluontoista tietoa käsittelevälle organisaatiolle tiedon suojauksen taso on muita vieläkin korkeammalla prioriteetilla.

Kiinnostuitko? Ota yhteyttä!

Artikkeliin on haastateltu Senior Legal Counsel Arttu Ruukki & Senior Legal Counsel Katariina Kuusiluoma, Fondialta ja Copilot palveluliiketoiminnan johtaja Otso Kasanen Sulavalta.