GDPR soveltuu tekoälyyn aina, kun tekoälyjärjestelmä käsittelee henkilötietoja, olipa kyse mallin kouluttamisesta, hienosäädöstä tai siitä, että tiimisi liittää asiakastietoja avustajaan. Tarvitset dokumentoidun käyttötarkoituksen, oikeusperusteen jokaiselle vaiheelle, tietosuojan vaikutustenarvioinnin silloin, kun riski on korkea, sekä keinon, jolla ihmiset saavat henkilön tekemän päätöksen, kun automaattinen päätös vaikuttaa heihin. EU:n tekoälysäädös tulee tämän päälle ja tuo omat velvoitteensa, mukaan lukien läpinäkyvyyden. Tämä opas selittää, miten nämä kaksi sopivat yhteen B2B SaaS -yrityksessä ja mitä kannattaa tehdä ensin.

Tämä on yleistä tietoa, ei oikeudellista neuvontaa. Tietosuojavastaavasi tai juristisi tulee vahvistaa, miten mikä tahansa tästä koskee yritystänne.

Tiivistelmä

Sisällysluettelo

Miten GDPR soveltuu tekoälyyn

GDPR sääntelee henkilötietoja, ei teknologiaa. Erään lain analyysin mukaan tekoälyä ei mainita siinä erikseen ja artikla 22 automaattisesta päätöksenteosta toimii välillisenä tekoälyn valvontakeinona. Kaikki muu perustuu yleisiin periaatteisiin: lainmukaisuus, kohtuullisuus, läpinäkyvyys, käyttötarkoitussidonnaisuus, tietojen minimointi, täsmällisyys, säilytyksen rajoittaminen, turvallisuus ja osoitusvelvollisuus.

SaaS-yrityksen kannalta käytännön kysymys on yksinkertainen. Näkeekö tekoäly nimiä, sähköpostiosoitteita, käyttäjään sidottuja käyttölokeja, tukipyyntöjä, laskuja tai mitään muuta, mikä tunnistaa henkilön? Jos näkee, GDPR soveltuu, vaikka tekoäly olisi ostamanne työkalu eikä itse rakentamanne.

Käyttötarkoitus ja oikeusperuste vaihe vaiheelta

Ison-Britannian tietosuojaviranomaisen ohjeistuksen mukaan tekoälyn kehityksessä ja käyttöönotossa jokaisen erillisen käsittelytoimen osalta tulisi tunnistaa ja dokumentoida sen käyttötarkoitus ja sopiva oikeusperuste ennen kuin mitään käsitellään. Ohjeistus toteaa myös, että erityisten henkilötietoryhmien tiedot edellyttävät erillisen edellytyksen. Ohjeistus koskee Ison-Britannian GDPR:ää, joka vastaa läheisesti EU:n sääntöjä, ja se on hyödyllinen lähde logiikan ymmärtämiseen.

Sama ohjeistus toteaa, että koulutus ja käyttöönotto ovat eri vaiheita ja voivat perustua eri oikeusperusteisiin. Perusteen, joka sopii mallin rakentamiseen, ei automaattisesti voida katsoa kattavan sen käyttöä aktiivisella asiakasdatalla.

Käytännössä kirjoita jokaisesta tekoälyn käyttötapauksesta yksi rivi:

  1. Mikä on käyttötarkoitus (esimerkiksi tukipyyntöjen tiivistäminen)?
  2. Mitä henkilötietoja se lukee?
  3. Mikä on oikeusperuste (sopimus, oikeutettu etu, suostumus, lakisääteinen velvoite)?
  4. Kuka on rekisterinpitäjä ja kuka henkilötietojen käsittelijä?
  5. Missä data tallennetaan ja käsitellään?

Jos haluat selkokielisen läpikäynnin siitä, miten oikeusperuste valitaan ja dokumentoidaan ja miten keskeisiä periaatteita sovelletaan, tämä artikkeli GDPR:n keskeisistä tietosuojaperiaatteista näyttää saman päättelyn sovellettuna varausjärjestelmään, ja logiikka pätee myös tekoälyhankkeisiin.

Käyttötarkoitussidonnaisuus, minimointi ja täsmällisyys

Hollannin tietosuojaviranomainen luettelee käyttötarkoitussidonnaisuuden, tietojen minimoinnin ja täsmällisyyden GDPR:n keskeisiksi vaatimuksiksi tekoälylle. Jokaisella on suora vaikutus siihen, miten rakennatte.

Sama hollantilainen ohjeistus viittaa artiklaan 32: tarvitaan asianmukaiset tekniset ja organisatoriset toimenpiteet, joissa otetaan huomioon uusin tekniikka, käsittelyn asiayhteys ja yksilöihin kohdistuvat riskit.

Mitä EDPB sanoi tekoälymalleista

Joulukuussa 2024 Euroopan tietosuojaneuvosto (EDPB) antoi lausunnon 28/2024 tekoälymalleista. Lausunnon akateeminen katsaus selittää, että henkilötiedoilla koulutetut mallit voivat säilyttää tai päätellä tietoja tunnistettavissa olevista henkilöistä, joten niiden ei voi yksinkertaisesti olettaa olevan anonyymejä. Se käsittelee myös sitä, miten oikeutettua etua voidaan perustella koulutuksen päätyttyä. Ostajan johtopäätös: älä hyväksy toimittajalta väitettä “malli on anonyymi” kysymättä, miten se on arvioitu.

Mitä EU:n tekoälysäädös lisää GDPR:n päälle

Näillä kahdella lailla on eri juuret. Euroopan parlamentin tutkimuksen mukaan tekoälysäädös perustuu tuoteturvallisuusmalliin, kun taas GDPR suojaa henkilötietoja oikeuksien ja periaatteiden kautta. Sama tutkimus toteaa, että velvoitteet voivat mennä päällekkäin: perusoikeusvaikutusten arviointi (FRIA) ja tietosuojan vaikutustenarviointi (DPIA) voivat toistaa toisiaan, ja läpinäkyvyys- ja lokitusvelvoitteet voivat olla tarpeettoman päällekkäisiä.

Myös roolit eroavat. GDPR käyttää käsitteitä rekisterinpitäjä ja henkilötietojen käsittelijä. Tekoälysäädös käyttää käsitteitä tarjoaja, maahantuoja, jakelija ja käyttöönottaja. SaaS-yritys voi olla samaan aikaan omien tekoälyominaisuuksiensa tarjoaja ja jonkun toisen mallin käyttöönottaja sekä kyseessä olevien henkilötietojen rekisterinpitäjä tai käsittelijä. Kartoita jokainen rooli käyttötapauksittain.

GDPR EU:n tekoälyasetus
Lähtökohta Henkilötiedot ja ihmisten oikeudet Tekoälyjärjestelmä ja sen riskitaso
Keskeiset roolit Rekisterinpitäjä, henkilötietojen käsittelijä Tarjoaja, käyttöönottaja, maahantuoja, jakelija
Tyypilliset asiakirjat Käsittelytoimien selosteet, tietosuojan vaikutustenarviointi (DPIA) Tekninen dokumentaatio, lokit, perusoikeusvaikutusten arviointi (FRIA) joissakin korkean riskin käyttötarkoituksissa
Ihmisen osallistuminen Oikeus olla joutumatta pelkästään automaattisen päätöksenteon kohteeksi, jos päätöksellä on oikeusvaikutuksia Ihmisen suorittama valvonta korkean riskin järjestelmissä

Jotkin kansalliset viranomaiset ovat huomauttaneet, että järjestelmä voi noudattaa yhtä lakia ja silti rikkoa toista, minkä vuoksi tarvitaan tapauskohtaista lähestymistapaa. Belgian viranomainen lisää, että tekoälyasetus rakentuu GDPR:n osoitusvelvollisuuden varaan ja tuo mukanaan muodollisen poikkeamista ilmoittamisen ja ihminen mukana päätöksenteossa -hallintamallin.

NIS2 on kolmas osa kokonaisuutta, ja se koskee soveltamisalaan kuuluvien toimijoiden kyberturvallisuutta ja riskienhallintaa, ei erityisesti tekoälyä. Jos yrityksenne kuuluu sen soveltamisalaan, tekoälyjärjestelmien ympärille rakentamanne turvatoimet kuuluvat samaan riskienhallintaprosessiin. Kuulutteko soveltamisalaan, on kysymys lakimiehelle.

Läpinäkyvyysvelvoitteet, kun tekoäly kohtaa ihmisiä

Läpinäkyvyys esiintyy molemmissa laeissa, ja ihmiset sekoittavat ne usein keskenään.

Ajoituksella on merkitystä. Komission AI Act Service Desk toteaa, että 50 artiklan velvoitteet tulivat täytäntöönpantaviksi 2 August 2026 ja että ennen sitä markkinoille saatettujen järjestelmien tarjoajilla on aikaa 2 December 2026 asti täyttää tietyt merkintä- ja tunnistamisvaatimukset.

SaaS-yrityksen tyypillisiä tapauksia ovat tuotteen tai asiakastuen widgetin chatbot sekä julkaisemanne generoidut tekstit tai kuvat. Merkitse chatbot tekoälyksi ja tarkista, miten työkalunne merkitsevät generoidun sisällön. Syvällisemmin 4 ja 50 artiklasta kerromme oppaassamme EU:n tekoälyasetuksen 4 ja 50 artikla SaaS-yrityksille.

Asiakastuen asiantuntija testaamassa tuotteen chatbotia

Vaikutustenarvioinnit, ihmisen suorittama valvonta ja automaattiset päätökset

Kolme suojatoimea nousee esiin useimmin.

Tietosuojan vaikutustenarviointi (DPIA). Belgian viranomainen selittää, että DPIA vaaditaan joissakin tapauksissa, muun muassa korkean riskin käsittelyssä ja uusien teknologioiden käytössä. Alankomaiden viranomainen toteaa samoin, että se tarvitaan, kun algoritmiset järjestelmät käsittelevät henkilötietoja ja yksityisyyteen kohdistuvat riskit ovat suuret. Jos olet epävarma, tee se. Se on halvempaa kuin selittää myöhemmin, miksi et tehnyt.

Ihmisen suorittama valvonta. Tekoälyasetus edellyttää ihmisen suorittamaa valvontaa korkean riskin järjestelmissä kehityksen, käyttöönoton ja käytön aikana, ja sama belgialainen lähde toteaa tämän FRIA-vaatimuksen ohella.

Automaattiset päätökset. GDPR:n mukaan ihmisillä on oikeus olla joutumatta päätösten kohteeksi, jotka perustuvat pelkästään automaattiseen käsittelyyn ja joilla on heitä koskevia oikeusvaikutuksia. Jos tekoälyagentti voisi päättää, kuka saa sopimuksen, luottorajan tai pääsyn palveluun, suunnittele prosessiin ihmisen hyväksymisvaihe.

Tekoälysäädöksen tarkistuslista SaaS-tiimeille

Komission tekoälyasetusta koskevan yleiskatsauksen mukaan korkean riskin järjestelmien on kattettava riskien arviointi ja lieventäminen, aineistojen laatu, lokitus, tekninen dokumentaatio, käyttöönottajille annettavat tiedot, ihmisen suorittama valvonta, kestävyys, kyberturvallisuus ja tarkkuus. Useimmat SaaS-tuotteet eivät ole korkean riskin järjestelmiä, mutta lista on hyvä mittapuu kaikelle tekoälylle, joka käsittelee ihmisten tietoja.

Korkean riskin järjestelmien määräajat ovat myöhemmin kuin moni odottaa. Service Deskin FAQ:n mukaan herkillä aloilla, kuten työllisyydessä (liite III), toimivien järjestelmien on oltava vaatimustenmukaisia viimeistään 2 December 2027, ja säänneltyihin tuotteisiin sisällytettyjen (liite I) viimeistään 2 August 2028. Tarkista ajantasainen tilanne viralliselta sivulta, sillä aikataulut voivat muuttua.

Käytännön tarkistuslista:

  1. Kartoita kaikki tekoälyn käyttö. Sisällytä työkalut, jotka yksittäiset henkilöt ovat ottaneet käyttöön omin päin.
  2. Luokittele jokainen käyttötapa. Onko se chatbot, sisäinen avustaja, pisteytysmalli vai jokin, joka tekee päätöksiä ihmisistä? Kysy lakimieheltä, onko jokin käyttö korkean riskin.
  3. Kartoita roolit. Tarjoaja, käyttöönottaja, rekisterinpitäjä, käsittelijä.
  4. Dokumentoi tarkoitus ja käsittelyn peruste jokaiselle vaiheelle.
  5. Tee DPIA, kun riski on korkea.
  6. Määritä käyttöoikeudet. Tekoälyn tulisi lukea ja muuttaa vain sitä, mitä käyttäjäkin saisi.
  7. Lisää hyväksymisvaiheet toimille, joilla on todellisia seurauksia.
  8. Säilytä lokeja siitä, mitä tekoäly luki, kirjoitti ja käynnisti.
  9. Merkitse tekoälyn kanssa käydyt vuorovaikutukset ja generoitu sisältö.
  10. Kouluta ihmiset. 4 artikla edellyttää tekoälyosaamista.
  11. Tarkista toimittajat. Missä data käsitellään, ja käytetäänkö sitä niiden mallien kouluttamiseen?
  12. Nimeä vastuuhenkilö. Yhden nimetyn henkilön tulisi olla vastuussa.

AI-hallintamallimme B2B SaaS -yrityksille muuttaa tämän toimivaksi rakenteeksi.

Missä tekoäly ei kuulu

Hyvään vaatimustenmukaisuuteen kuuluu myös sen päättäminen, mitä tekoälyn ei pidä tehdä. Pitäisimme tekoälyn poissa näistä paikoista:

Rakenna ensin datan perusta

Suurin osa tekoälyyn liittyvistä GDPR-ongelmista alkaa datasta, ei mallista. Jos ette osaa sanoa, missä asiakkaan tiedot sijaitsevat, mikä järjestelmä on oikeassa ja kuka niitä voi lukea, ette voi täyttää tietojen saantia tai poistamista koskevia pyyntöjä, eikä teillä ole hallintaa siitä, mitä tekoäly lukee.

Siksi työskentelemme kiinteässä järjestyksessä:

  1. Datapohja. CRM- ja talousdatastanne tulee totuuden lähde, ja niitä ympäröivät järjestelmät täsmäytetään yhdeksi sovituksi versioksi.
  2. Tekoälykerros. Tiiminne jo käyttämä avustaja yhdistetään tähän dataan MCP:n kautta käyttöoikeuksien rajoissa.
  3. Osastokohtaiset agentit. Talouteen, myyntiin ja asiakasmenestykseen rakennetut agentit, joiden avulla ihmiset voivat kysyä, raportoida ja hakea tietoa järjestelmien yli sekä päivittää tietueita tai käynnistää prosesseja tarvittaessa hyväksynnällä ja tarkastusjäljen kanssa.

Rakennus, pilotti ja testaus toteutetaan itse ylläpidetyllä eurooppalaisella infrastruktuurilla Saksassa, ja GDPR, NIS2 ja EU:n tekoälysäädös (EU AI Act) otetaan suunnitteluvaatimuksiksi alusta alkaen. Mikään suunnittelutapa ei takaa vaatimustenmukaisuutta, ja tuo arvio jää teille ja juristillenne. Mutta järjestelmä, jossa on käyttöoikeudet, hyväksynnät ja lokit, tekee viranomaisten kysymyksiin vastaamisen paljon helpommaksi. Näette, miten tämä toimii käytännössä sivullamme tekoälyagentit talouteen, myyntiin ja asiakasmenestykseen, ja Admin Portal näyttää, miten käyttöoikeuksia ja hyväksyntöjä hallitaan yhdessä paikassa.

Näkemyksemme

Näemme saman kaavan kasvavissa SaaS-yrityksissä. Ihmiset käyttävät tekoälyä jo CRM:ssä, asiakastuessa ja taloudessa, eikä kenelläkään ole siitä vastuuta. Kukaan ei ole päättänyt, mitä dataa se saa lukea, kukaan ei pidä kirjaa sen tekemisistä, ja tietosuojaseloste on kirjoitettu ennen kuin mitään tästä oli olemassa.

Näkemyksemme mukaan vaatimustenmukaisuus on suurelta osin toiminnan ongelma. Tietosuojakäytäntö ei estä avustajaa lukemasta tietuetta, jota sen ei pitäisi lukea. Käyttöoikeudet, hyväksynnät ja lokit estävät. Siksi aloitamme datapohjasta, yhdistämme sitten tekoälykerroksen ja rakennamme lopuksi osastokohtaiset agentit, ja siksi otamme tekoälyn käyttöön yksi prosessi kerrallaan aloittaen kalleimmasta.

Auttaa myös, kun yksi ihminen sekä päättää, missä tekoäly tuottaa tulosta, että rakentaa sen, jolloin strategia ja toimiva järjestelmä eivät etene eri suuntiin. Tämä on ajatus Fractional Chief AI Officerin takana, jolla on taustallaan 25 vuoden kokemus operatiivisesta johtamisesta. Suunnittelemme GDPR:n, NIS2:n ja EU:n tekoälysäädöksen mukaan ensimmäisestä päivästä, ja luovutuksessa omistatte lähdekoodin, dokumentaation ja infrastruktuurin.

Emme anna juridista neuvontaa, eikä mikään rakentamamme takaa vaatimustenmukaisuutta. Teemme järjestelmistä helpommin hallittavia ja työskentelemme juristinne rinnalla.

Claus Nielsen

Mistä aloittaa

Jos tekoäly on jo käytössä eikä sillä ole omistajaa, ensimmäinen askel on rehellinen kuva siitä, mitä teillä on. AI Readiness Assessment alkaa hinnasta €4,500 ja tarkastelee datanne, prosessinne ja sääntelyaltistuksenne, jotta tiedätte, missä tekoäly tuottaa tulosta ja missä ei. Jatkuvaan vastuunkantoon on Fractional Chief AI Officer -sopimus, jossa on kolme tasoa: Advisor alkaen €3,000 kuukaudessa, Operating alkaen €6,500 kuukaudessa ja Embedded alkaen €11,000 kuukaudessa.

Toteutukset hinnoitellaan joko 30 %:n osuutena ensimmäisen vuoden säästöstä, kun se on mitattu ja todennettu, tai kiinteällä hinnalla, joka sovitaan ennen työn alkua. Voitte myös varata maksuttoman 30 minuutin tutustumispuhelun pääsivustomme kautta.

UKK

Sovelletaanko GDPR:ää, jos käytämme vain kolmannen osapuolen tekoälytyökalua?

Kyllä, jos siihen syötetään henkilötietoja. Yleensä te olette rekisterinpitäjä ja työkalun toimittaja on henkilötietojen käsittelijä, joten tarvitsette sopimuksen, käyttötarkoituksen ja käsittelyperusteen, ja teidän tulee tietää, missä tietoja käsitellään. Tarkistakaa, käyttääkö toimittaja syötteitänne malliensa kouluttamiseen.

Korvaako EU:n tekoälysäädös GDPR:n?

Ei. Niitä sovelletaan rinnakkain. GDPR suojaa henkilötietoja, kun taas tekoälysäädös sääntelee tekoälyjärjestelmiä riskitason mukaan. Yksi tekoälyn käyttötapaus voi synnyttää velvoitteita molempien nojalla, ja jotkin asiakirjat, kuten vaikutustenarvioinnit, voivat olla osin päällekkäisiä.

Tarvitsemmeko tietosuojan vaikutustenarvioinnin (DPIA) jokaiseen tekoälyhankkeeseen?

Ei välttämättä. Belgian viranomaisen mukaan DPIA vaaditaan tietyissä tapauksissa, kuten suuririskisessä käsittelyssä ja uusia teknologioita käytettäessä. Jos tekoälyjärjestelmä käsittelee henkilötietoja tavalla, joka voisi vaikuttaa ihmisiin vakavasti, tehkää sellainen. Kysykää tietosuojavastaavaltanne, jos asia on epäselvä.

Mitä meidän on kerrottava käyttäjille tekoälystä?

GDPR:n mukaan on selitettävä, mitä henkilötietoja käsittelette ja miksi. Tekoälysäädöksen 50 artiklan mukaan, jota voidaan panna täytäntöön 2 August 2026 alkaen, ihmisille on kerrottava, kun he ovat suoraan vuorovaikutuksessa tekoälyjärjestelmän kanssa, ja tekoälyn tuottama sisältö on merkittävä koneluettavassa muodossa. Juristinne voi vahvistaa, mitkä osat koskevat tuotteitanne.

Voiko tekoälyagentti tehdä asiakkaita koskevia päätöksiä itsenäisesti?

Rutiininomaisissa, vähävaikutteisissa tehtävissä kyllä, käyttöoikeuksien rajoissa ja lokien kanssa. Päätöksissä, joilla on oikeudellisia tai vastaavan merkittäviä vaikutuksia henkilöön, GDPR antaa ihmisille oikeuden olla joutumatta pelkästään automaattisen päätöksenteon kohteeksi. Rakentakaa näihin mukaan ihmisen tekemä tarkistus.

Lähteet