EU:n tekoälyasetus on ensimmäinen kattava, tekoälyn kehittämistä ja käyttöä määrittävä lainsäädäntö. Tekoälyasetuksessa määritellään erilisia riskitasoja, joiden pohjalta myös velvoitteiden kattavuus määräytyy. Mitä korkeammat riskit, sitä kattavammat velvoitteet.
Tekoälyä kehittävien ja käyttöönottavien organisaatioiden on välttämätöntä arvioida tekoälyjärjestelmiensä riskitaso. Riskitason pohjalta voi tunnistaa pakottavat vevlottieet.
Mitä tekoälyjärjestelmät ovat?
Kielletyt järjestelmät aiheuttavat kestämättömiä riskejä
Suuririskiset tekoälyjärjestelmät - kattavimmat velvoitteet
Rajoitetun riskin järjestelmien vaatimuksena on avoimuus
Tekoälyjärjestelmä tarkoittaa konepohjaista järjestelmää, joka toimii ainakin osittain autonomisesti ja voi mukauttaa omaa toimintaansa järjestelmän käyttöönoton jälkeen. Järjestelmä päättelee syötteen perusteella, miten tuottaa tuotoksia, kuten sisältöä tai suosituksia.
Tekoälyjärjestelmä voi olla esimerkiksi:
tekoälyä hyödyntävä rekrytointijärjestelmä.
Tekoälyjärjestelmä voi olla hyvin yksinkertainen (roskapostisuodatus) tai hyvin kehittynyt (tekoälyavusteinen syövän etenemisen mallinnustyökalu). Keskeistä on osittainen autonomisuus ja mukautuvuus.
Tämä tarkoittaa, että organisaatioidenon varmistettava, ettei kiellettyjä järjestelmiä kehitetä, käytetä tai aseteta markkinoille EU:ssa. Kielto koskee myös järjestelmiä, jotka on kehitetty muualla kuin EU:ssa.
Käytännön esimerkki
Monikansallinen yhtiö ei voi käyttää tunteiden tunnistamiseen tarkoitettua tekoälyjärjestelmää työntekijöiden arviointiin EU:n toimipisteissä, vaikka sama järjestelmä olisi sallittu kolmansissa maissa.
Kiellettyjen käyttötarkoitusten vaatimusten rikkominen voi johtaa merkittäviin sanktioihin ja jopa 35 miljoonan euron sakkoihin.
Suuririskiset tekoälyjärjestelmät ovat kattavasti säänneltyjä tekoälyasetuksessa. Tekoälyjärjestelmä voidaan luokitella suuririskiseksi kahdella eri tavalla.
Ensimmäinen luokittelutapa on "tuotereitti". Järjestelmä on korkeariskinen jos se on EU:n harmonisoiman lainsäädännön alainen tuote tai tuotteen turvakomponentti. Esimerkkejä näistä tuotteista ovat lääkinnälliset laitteet, hissit ja radiolaitteet. Suuririskisiä ovat myös järjestelmät, joille on tehtävä kolmannen osapuolen tarkastus ennen myyntiä tai käyttöönottoa EU;ssa.
Toinen luokittelutapa on "tarkoitusreitti". Tekoälyasetuksen liitteessä III määritellään tietyt käyttötarkoitukset, jotka ovat lähtökohtaisesti suuririskisiä:
Suuririskisiä tekoälyjärjestelmiä koskevat hyvin laajat velvoitteet. Järjestelmän tarjoajan on huolehdittava mm. riskienhallinnasta, tiedonhallinnasta, teknisestä dokumentaatiosta ja kyberturvallisuudesta. Myös käyttöönottajalla on velvollisuuksia esimerkiksi käyttöohjeiden noudattamiseen ja monitorointiin liittyen.
Käytännön esimerkkejä
Tekoäly rekrytoinnissa: Organsiaatio käyttää tekoälyjärjestelmää CV:iden analysointiin ja sopivien kandidaattien suosittelemiseen. Kyseessä on todennköisesti suuririskinen tekoälyjärjestelmä, joka vaatii kattavaa dokumentointia, riskienhallintaa ja ihmisen valvontaa.
Tekoäly terveydenhuollossa: Terveydenhuoltoalan organisaatio käyttää tekoälysovellusta analysoidakseen masennuksen vakavuutta keskustelussa. Sovellus on todennäköisesti lääkinnällinen laite ja suuririskinen tekoälyjärjestelmä yhtä aikaa.
Tekoäly koulutuksessa: Yhtenäiskoulun tietojärjestelmiin sisältyy tekoälyominaisuuus, jota opettajat voivat käyttää oppilaiden kokeiden arvioinnissa. Kyseessä on oppimistulosten arviointi ja todennäköisesti suuririskinen tekoälyn käyttötapaus.
Ennakkoon valmistautuminen tekoälyasetuksen vaatimuksiin on erityisen tärkeää, kun kyseessä on tekoälyn käyttö terveydenhuollossa, rekrytoinnissa tai koulutuksessa. Vaatimukset tulevat voimaan 2027-2028 välillä asteittain.
Suuririskisten tekoälyjärjestelmien vaatimusten laiminlyönti voi johtaa sakkoihin (15 miljoonaa euroa tai 3 % globaalista liikevaihdosta, sen mukaan kumpi on korkeampi). Luonnollisesti laiminlyönnit voivat aiheuttaa myös muita seuraamuksia - vahingonkorvausvaatimuksia, oikeusprosesseja ja mainehaittaa.
Tietyille rajoitetun riskin järjestelmille asetetaan lähinnä avoimuusvaatimuksia. Nämä järjestelmät ovat yleensä järjestelmiä, joita käytetään tekstien tai muun sisällön luomiseen.
Jos tekoälyjärjestelmä vuorovaikuttaa henkilöiden kanssa, sen on kerrottava selkeästi, että kyseessä ei ole ihminen vaan tekoäly. Lisäksi tekoälyllä luotu materiaali, kuten kuvat, tekstit ja videot, on merkittävä teknisesti tekoälyllä luoduiksi tai muokatuiksi.
Myös tekoälyjärjestelmän käyttäjän on kerrottava tekoälyn käytöstä, jos tekoälyllä luodaan aidolta vaikuttavaa sisältöä (deepfake), yleistä etua koskevia tekstejä tai henkilö altistuu tunteiden tunnistukselle tai biometriselle kategorisoinnille.
Käytännön esimerkki
Tekoäly-chatbot: Kunta ottaa käyttöön tekoäly-chatbotin nettisivuilleen. Tarkoituksena on auttaa kansalaisia löytämään oikeaan sisältöön ja antaa yleisiä ohjeita. Chatbotin on selvästi kerrottava, että kyseessä on tekoäly eikä ihminen.
Avoimuusvaatimusten laiminlyönti voi johtaa sakkoihin, jotka voivat olla jopa 7 miljoonaa euroa per rikkomus. Luonnollisesti laiminlyönnit voivat aiheuttaa myös muita seuraamuksia, kuten mainehaittaa.
Minimaalisen riskin tekoälysovellukset eivät edellytä erityisiä toimenpiteitä tekoälyasetuksen vuoksi. Nämä ovat järjestelmiä, jotka eivät aiheuta riskejä turvallisuudelle, terveydelle tai ihmisten oikeuksille.
On tärkeä huomioida, että muu lainsäädäntö - kuten GDPR - soveltuu edelleen myös näihin tekoälyjärjestelmiin. Henkilötietojen käsittely on siis syytä suunnitella huolellisesti.
Käytännön esimerkki
Videon muokkaus tekoälyllä: Tekoälyä hyödyntävä sovellus, joka parantaa videoiden laatua, resoluutiota ja auttaa editoimaan mainosvideota.
Tekoälyä käyttöönottavien ja kehittävien organisaatioiden kannattaa aloittaa arviointi systemaattisesti. Alla on kolme konkreettista askelta siihen, miten voit varmistaa tekoälyasetuksen vaatimusten täyttämisen omassa organisaatiossasi.
Tekoälyjärjestelmän riskiluokittelu ei ole aina aivan yksinkertaista - erityisesti jos kyse on tekoälymallista tai tekoälyjärjestelmästä, jota käytetään useisiin tarkoituksiin. Mikäli järjestelmän luokitteluun tarvitaan tukea, autamme mielellämme.