Tekoäly yrityksessä: sopimukset ja käsittelijän vastuu

Moni organisaatio hoitaa tekoälyn tietosuojakysymykset ostamalla yritysversion ja arkistoimalla myyjän toimittaman liitteen. Taustaoletus on, että vastuu siirtyy samalla palveluntarjoajalle. Näin ei tapahdu. Tietosuoja-asetuksessa vastuu kiinnittyy siihen, kuka päättää käsittelyn tarkoituksista ja keinoista, eikä sitä voi sopimuksella siirtää pois. Sopimus määrittelee, mitä toinen osapuoli saa tehdä. Se ei määrittele, kuka joutuu vastaamaan.

Tämä artikkeli katsoo tekoälypalvelua sopimuksena. Se, mitä aineistoa yksittäinen työntekijä saa kehotteeseen liittää, on käsitelty erikseen artikkelissa tekoäly työpaikalla, ja henkilöstön ohjeistuksen sisältö artikkelissa tekoälyn käyttöohje työpaikalle. Tässä kysytään, mitä paperissa pitää lukea ennen kuin palvelu otetaan käyttöön. Teksti on yleistä tietoa aiheesta, ei oikeudellista neuvontaa.

Roolit ratkaistaan tosiasioiden, ei otsikoiden perusteella

Tietosuoja-asetus tuntee kaksi vastuuroolia. Rekisterinpitäjä päättää, mihin tarkoitukseen henkilötietoja käsitellään ja millä keinoin. Henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän lukuun ja tämän ohjeiden mukaisesti.

Ratkaisu tehdään tosiasiallisen päätösvallan perusteella. Jos sopimuksessa lukee, että tarjoaja on käsittelijä, mutta tarjoaja päättää itse käyttävänsä aineistoa omiin tarkoituksiinsa, se on niiden tarkoitusten osalta rekisterinpitäjä riippumatta sopimustekstistä. Asetuksessa on tästä nimenomainen sääntö: käsittelijää, joka määrittelee käsittelyn tarkoitukset ja keinot, pidetään kyseisen käsittelyn rekisterinpitäjänä.

Käytännössä tämä on tekoälypalveluiden tärkein yksittäinen tarkistuskohta. Sama palvelu voi olla samaan aikaan käsittelijä toisessa roolissa ja rekisterinpitäjä toisessa: käsittelijä silloin kun se tuottaa vastauksia sinun kehotteisiisi, ja rekisterinpitäjä silloin kun se käyttää liikennettä väärinkäytösten valvontaan, palvelun kehittämiseen tai mallien opettamiseen. Nämä kaksi puolta kannattaa erottaa sopimusta lukiessa, koska ne on usein kirjoitettu eri kohtiin.

Taustalla on sama ajatus kuin muissakin pilvipalveluissa. Pilvipalvelun jaettu vastuu tarkoittaa, että tarjoaja vastaa alustasta ja asiakas siitä, mitä alustalle viedään ja kenelle annetaan pääsy. Tekoälypalvelussa jako on sama, mutta yksi asia on uusi: syöte voi jäädä elämään mallin kehityksessä, mikä ei ole tavallisen tallennuspalvelun ominaisuus.

Neljä tilannetta ja niiden roolijako

Roolijako muuttuu sen mukaan, miten palvelu on hankittu. Alla olevat rivit kattavat suurimman osan käytännön tapauksista.

Ensimmäinen rivi on se, joka aiheuttaa eniten ongelmia. Työnantaja on rekisterinpitäjä myös silloin, kun se ei tiedä käsittelystä mitään, koska työtehtävä on sen määräämä. Ilmiö on tuttua varjo-IT:tä, ja sen erityispiirre tekoälypalveluissa on, että käyttöönotto vie minuutin eikä jätä jälkeä hankintaan.

Mitä käsittelysopimuksessa on oltava

Käsittelysopimuksen pakollinen sisältö on lueteltu tietosuoja-asetuksessa, ja sama lista pätee tekoälypalveluun kuin mihin tahansa ulkoistettuun käsittelyyn. Käy nämä läpi järjestyksessä.

1. Käsittelyn kohde, kesto, luonne ja tarkoitus. Mitä palvelulla tehdään ja kuinka kauan.
2. Henkilötietojen tyypit ja rekisteröityjen ryhmät. Asiakkaat, työntekijät, hakijat, potilaat.
3. Käsittely vain dokumentoitujen ohjeiden mukaan. Tarjoaja ei saa keksiä aineistolle omia käyttötarkoituksia.
4. Salassapito. Tietoihin pääsevät henkilöt ovat salassapitovelvollisia.
5. Turvatoimet. Salaus, pääsynhallinta, lokitus ja niiden testaaminen.
6. Alikäsittelijöiden käytön ehdot. Valtuutus, ilmoitusmenettely ja vastuu ketjussa.
7. Avustaminen rekisteröityjen pyynnöissä. Tarjoajan on autettava, kun joku pyytää tietonsa nähtäväksi tai poistettavaksi.
8. Avustaminen tietoturvaloukkauksissa ja vaikutustenarvioinnissa. Ilman tätä et pysty tekemään ilmoitusta ajoissa.
9. Tietojen palautus tai poisto palvelun päättyessä sekä oikeus tarkastaa, että velvoitteita noudatetaan.

Lista on tylsä mutta käyttökelpoinen. Jos jokin kohta puuttuu, se ei ole muotovirhe vaan aukko, joka näkyy vasta silloin kun jotain on jo tapahtunut. Kohta 8 on tekoälypalveluissa erityisen olennainen, koska loukkausilmoitukselle on aikaa vain vuorokausia ja tarvittava tieto on tarjoajan lokeissa. Miten ilmoitus käytännössä etenee, on kuvattu artikkelissa tietoturvaloukkaus yrityksessä.

Kohdat, joissa tekoälypalvelun ehdot poikkeavat tavallisesta

Vakiomuotoinen käsittelysopimus ei kata kaikkea, mitä kielimallipalvelussa tapahtuu. Näitä kohtia ei löydy tavallisesta ostopalvelusopimuksesta, ja juuri ne kannattaa lukea tarkasti.

Opetuskäyttö ja sen laajuus. Ehdoissa erotellaan usein syöte, tuloste ja palaute toisistaan. Voi olla, että syötettä ei käytetä opetukseen mutta peukutuksia ja raportoituja vastauksia käytetään. Tapa kytkeä opetuskäyttö pois vaihtelee palveluittain, ja asetukset on käyty läpi erikseen artikkelissa näin estät tietojesi käytön opettamiseen.

Säilytysajat ja väärinkäytösvalvonta. Moni palvelu säilyttää keskusteluja määräajan valvontaa varten silloinkin, kun opetuskäyttö on suljettu pois. Tarkista, voiko ajan lyhentää nollaan ja mitä siitä seuraa palvelun toiminnalle.

Ihmisarvioijat. Jos merkityt keskustelut voidaan antaa ihmisen luettavaksi, se on käsittelyä, joka pitää olla sopimuksessa ja rekisteröidyn informoinnissa.

Käsittelyn sijainti. Konesalin sijainti ja tukihenkilöstön sijainti ovat eri asioita. Kolmansiin maihin tapahtuvien siirtojen perusteet käydään läpi artikkelissa siirtyvätkö tietosi EU:n ulkopuolelle.

Tulosteen oikeudet ja vastuu virheistä. Kuka omistaa vastauksen, saako sitä käyttää kaupallisesti ja kuka vastaa, jos vastaus on väärä. Vastuunrajoitukset ovat tässä yleensä laajoja.

Muutosoikeus. Katso, saako tarjoaja muuttaa ehtoja yksipuolisesti ja millä varoitusajalla. Tekoälypalveluiden ehdot muuttuvat tiheämmin kuin useimpien muiden ohjelmistojen.

Alikäsittelijät: ketju jatkuu, vastuu ei katkea

Alikäsittelijä on käsittelijän oma alihankkija: konesalitoimittaja, mallin tarjoaja, valvontatyökalu tai tukipalvelu. Tekoälypalveluissa ketju on tavallista pidempi, koska palvelun myyjä ei useinkaan omista mallia eikä konesalia.

Asetus asettaa ketjulle kolme sääntöä. Alikäsittelijän käyttö vaatii rekisterinpitäjän kirjallisen valtuutuksen, joka voi olla joko tapauskohtainen tai yleinen. Yleisen valtuutuksen tapauksessa käsittelijän on ilmoitettava suunnitelluista muutoksista niin, että rekisterinpitäjä voi vastustaa niitä. Alikäsittelijälle on siirrettävä samat velvoitteet kuin käsittelijällä itsellään on, ja alkuperäinen käsittelijä vastaa alikäsittelijänsä työstä täysimääräisesti.

Käytännön ongelma on ilmoitusmenettelyn muoto. Jos muutokset julkaistaan vain tarjoajan verkkosivulla ja vastustusaika on lyhyt, kukaan organisaatiossa ei seuraa sivua eikä ehdi reagoida. Sovi siksi ilmoitus sähköpostiin nimetylle vastaanottajalle ja kirjaa, kuka sen lukee.

Vastustusoikeus, jota ei kukaan ehdi käyttää, on paperilla oleva oikeus. Sen arvo ratkeaa ilmoitustavassa, ei sopimuksen sanamuodossa.

Toinen kohta on vastustamisen seuraus. Jos et hyväksy uutta alikäsittelijää, tavallinen ehto antaa sinulle oikeuden irtisanoa palvelu. Se on aito oikeus vain, jos palvelu on korvattavissa. Arvioi tämä ennen kuin sidot prosessin yhteen työkaluun.

Milloin tarvitset vaikutustenarvioinnin

Tietosuojaa koskeva vaikutustenarviointi on tehtävä ennen käsittelyä, kun käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille. Asetus nimeää esimerkkeinä laajamittaisen automaattiseen käsittelyyn perustuvan henkilökohtaisten ominaisuuksien arvioinnin, arkaluonteisten tietojen laajamittaisen käsittelyn ja yleisölle avoimen alueen järjestelmällisen valvonnan. Tietosuojavaltuutetun toimisto ylläpitää lisäksi luetteloa käsittelytoimista, jotka edellyttävät arviointia.

Tekoälyn käyttö ei automaattisesti tarkoita korkeaa riskiä. Kokouksen muistiinpanojen tiivistäminen on eri asia kuin hakijoiden esikarsinta. Kolme kysymystä auttaa erottamaan tapaukset toisistaan. Vaikuttaako tulos yksittäisen ihmisen asemaan, esimerkiksi työhön, luottoon, etuuteen tai palveluun? Käsitelläänkö erityisiin ryhmiin kuuluvia tietoja tai lasten tietoja? Onko käsittely laajaa tai jatkuvaa? Yksikin selvä kyllä on riittävä syy tehdä arviointi.

Arviointi ei ole raportti arkistoon. Sen tarkoitus on tuottaa päätös: joko riski laskee toimenpiteillä hyväksyttävälle tasolle tai käsittelyä ei aloiteta suunnitellussa muodossa. Jos jäännösriski jää korkeaksi, asiasta on kuultava valvontaviranomaista ennen käsittelyn aloittamista.

Tähän kerrostuu tekoälysääntely. Rekrytoinnin ja työntekijöiden arvioinnin kaltaiset käyttötarkoitukset kuuluvat EU:n tekoälyasetuksen korkean riskin luokkaan, jolloin velvoitteita tulee kahdesta säädöksestä yhtä aikaa. Ne ovat rinnakkaisia eivätkä korvaa toisiaan.

Mitä ilmaisversion käyttö työssä tarkoittaa sopimusoikeudellisesti

Ilmaisversio ei ole halvempi versio yritystuotteesta. Se on eri sopimus eri osapuolten välillä.

Kun työntekijä hyväksyy kuluttajaehdot, sopimus syntyy hänen ja palveluntarjoajan välille. Työnantaja ei ole sopimuksen osapuoli, joten sillä ei ole tarjoajaa kohtaan mitään oikeuksia: ei oikeutta saada lokeja, ei oikeutta ohjeistaa käsittelyä, ei oikeutta vaatia poistoa eikä oikeutta tarkastuksiin. Työntekijällä ei myöskään ole kelpoisuutta sitoa työnantajaa tällaiseen järjestelyyn. Samaan aikaan työnantaja on silti rekisterinpitäjä sille käsittelylle, joka työtehtävässä tapahtuu.

Seurauksia on neljä. Käsittelystä puuttuu käsittelysopimus, vaikka sellainen vaaditaan. Käsittely puuttuu selosteesta, jota rekisterinpitäjän on pidettävä. Rekisteröityjen informointi on virheellistä, koska vastaanottajaa ei ole kerrottu. Ja jos jotain menee pieleen, organisaatiolla ei ole keinoa selvittää mitä tapahtui, koska tili kuuluu yksityishenkilölle.

Liikesalaisuuksissa mekanismi on toinen mutta lopputulos samansuuntainen. Suoja edellyttää, että haltija on ryhtynyt kohtuullisiin toimiin tiedon suojaamiseksi. Ohjeistamaton syöttäminen kuluttajapalveluun heikentää juuri tätä ehtoa, vaikka mitään ei vuotaisi kenellekään.

Käyttöehdoissa on usein myös suora rajoitus: kuluttajaversio on tarkoitettu henkilökohtaiseen käyttöön, ja organisaation lukuun tapahtuva käyttö edellyttää yritystuotetta. Silloin ilmaisversion käyttö työssä on lisäksi sopimusrikkomus tarjoajaa kohtaan.

Tarkistuslista ennen kuin palvelu otetaan käyttöön

Käy nämä läpi ennen allekirjoitusta, ei ensimmäisen ongelman jälkeen.

1. Määrittele käyttötarkoitus kirjallisesti. Mihin tehtäviin palvelua käytetään ja mihin ei. Ilman tätä et voi arvioida mitään muuta.
2. Tarkista rooli tosiasioista. Etsi ehdoista kohdat, joissa tarjoaja käyttää aineistoa omiin tarkoituksiinsa, ja kirjaa ne erikseen.
3. Hanki käsittelysopimus ja lue sen yhdeksän pakollista kohtaa. Puuttuvat kohdat neuvotellaan nyt, ei myöhemmin.
4. Selvitä alikäsittelijät ja ilmoitustapa. Nimeä henkilö, joka seuraa muutosilmoituksia.
5. Ratkaise säilytysajat ja opetuskäyttö. Kirjaa, mikä on kytketty pois ja miten se todennetaan.
6. Arvioi vaikutustenarvioinnin tarve ja tee se, jos vastaus on kyllä tai epäselvä.
7. Päivitä käsittelytoimien seloste ja rekisteröityjen informointi. Uusi vastaanottaja kuuluu molempiin.
8. Sovi poistumistie. Miten data saadaan ulos ja tuhotaan, jos palvelu vaihtuu tai ehdot muuttuvat kohtuuttomiksi.

Kaksi asiaa jää auki, ja ne kannattaa sanoa ääneen. Tarjoajien ehdot muuttuvat tiheästi, joten hankintahetken arvio vanhenee ja se pitää uusia sopimuskausittain. Ja tulkinta siitä, miten tietosuojasääntely tarkalleen soveltuu suuriin kielimalleihin, tarkentuu edelleen valvontaviranomaisten kannanotoilla. Kumpikaan ei ole syy jättää sopimusta tekemättä, vaan syy kirjata päätökset niin, että ne kestävät tarkistuksen jälkikäteen.