Tekoälyn riskienhallinta

Miten tekoäly toimii ja miksi sen toimintaperiaatteilla on merkitystä?

• Miten generatiivinen tekoäly muodostaa vastauksia ja miksi se voi tuottaa virheellistä tai puutteellista tietoa?
• Mistä tekoäly saa käyttämänsä tiedot ja miten tieto liikkuu käyttäjän, tekoälypalvelun ja muiden järjestelmien välillä?
• Miten tavalliset tekoälyavustajat, organisaation tietoihin kytketyt ratkaisut ja tekoälyagentit eroavat toisistaan?
• Mitä muuttuu, kun tekoäly voi hakea tietoja, käyttää työkaluja ja suorittaa tehtäviä itsenäisesti?
• Miten tekninen toteutus vaikuttaa tietosuoja- ja tietoturvariskeihin?

Päivän tapaus, osa 1: Miten tekoälyagentti toimii?

Tutustumme organisaation suunnittelemaan tekoälyagenttiin, joka käsittelee asiakkaiden asiakirjoja ja valmistelee ratkaisuehdotuksia.

Selvitämme, mitä tietoja agentti tarvitsee, mistä se hakee tietoa, millaisiin järjestelmiin se on yhteydessä ja mitä tehtäviä se voi suorittaa. Tunnistamme ensimmäiset tekniseen toteutukseen liittyvät riskikohdat.

Teknologia kohtaa juridiikan: samankaltainen käyttötapa voi edellyttää hyvin erilaista arviointia.

• Milloin tekoälylle voidaan antaa henkilötietoja, luottamuksellisia asiakirjoja tai arkaluonteisia tietoja?
• Miksi käyttötarkoitus, tietojen luonne ja tekninen toteutus vaikuttavat oikeudelliseen arviointiin?
• Milloin tekoälyä voidaan käyttää analysoinnissa, asiakirjojen käsittelyssä tai päätöksenteon tukena?
• Miksi ihmisen tekemä tarkistus ei aina riitä riskien hallitsemiseksi?
• Miten organisaation hyväksymän tekoälypalvelun käyttö eroaa yksittäisen käyttötapauksen hyväksyttävyydestä?

Päivän tapaus, osa 2: Mitä tekoälyagentilta voidaan sallia?

Tarkastelemme agentin suunniteltua käyttötarkoitusta juridisesta näkökulmasta.

Mikä on henkilötietojen käsittelyn oikeusperuste? Mitä tietoja agentti saa käsitellä? Millaisia vaikutuksia sen toiminnalla voi olla asiakkaisiin? Missä kulkee päätöksenteon tukemisen ja automatisoidun päätöksenteon raja?

Arvioimme, mitkä kysymykset voidaan ratkaista juridisesti ja mitkä edellyttävät tarkempaa tietoa teknisestä toteutuksesta.

Miten tunnistetaan olennaiset riskit ja muutetaan juridiset vaatimukset käytännön ratkaisuiksi?

• Mistä tekoälyn keskeiset tietosuoja-, tietoturva- ja muut riskit syntyvät?
• Mitä GDPR ja EU tekoälyasetus edellyttävät erilaisissa käyttötapauksissa ja miksi?
• Milloin tarvitaan tietosuojan vaikutustenarviointi (DPIA) tai muita arviointeja?
• Mitä tekoälypalvelun toimittajasta, sopimuksista, tietovirroista ja käsittely-ympäristöstä on selvitettävä?
• Miten käyttöoikeuksien rajaaminen, tietojen minimointi, tekniset kontrollit ja ihmisen valvonta vaikuttavat riskeihin?
• Miten riskienhallintakeinot valitaan niin, että ne kohdistuvat todellisiin ongelmiin?

Päivän tapaus, osa 3: Mistä agentin riskit johtuvat?

Tunnistamme yhdessä agentin käyttöönottoon liittyvät keskeiset riskit ja niiden syntymekanismit.

Erotamme toisistaan teknologian toiminnasta, käsiteltävistä tiedoista, käyttötarkoituksesta ja organisaation toimintatavoista johtuvat riskit.

Arvioimme myös, millaisia lisäselvityksiä ja mahdollisia vaikutustenarviointeja tarvitaan ennen käyttöönottoa.

Tekninen ratkaisu, juridinen arviointi – yksi yhteinen päätös.

Palaamme päivän aikana tarkasteltuun tekoälyagenttiin ja muodostamme sen käyttöönottoa koskevan perustellun ratkaisun.

Harjoituksessa yhdistämme päivän aikana tehdyt havainnot:

• Tekninen näkökulma: Mitä tietoja agentti saa käyttää? Miten sen käyttöoikeuksia, toimintavaltuuksia ja itsenäisyyttä voidaan rajata?
• Juridinen näkökulma: Mitä sääntelyvaatimuksia sovelletaan? Mitä riskejä käyttötapaukseen liittyy ja mitä arviointeja tarvitaan?
• Yhteinen ratkaisu: Mitä teknisessä toteutuksessa tai toimintatavoissa pitää muuttaa? Mitä tulee dokumentoida ja valvoa? Millä edellytyksillä käyttöönotto voidaan hyväksyä?

Harjoituksen lopputuloksena muodostamme ehdotuksen siitä, miten tekoälyagentin käyttöönotossa tulisi edetä ja mitä edellytyksiä sille tulisi asettaa.

• Miten juridiikan, IT ja toiminnan asiantuntijat voivat arvioida tekoälyn käyttötapauksia yhdessä?
• Mitä kysymyksiä kannattaa esittää ennen uuden tekoälyratkaisun käyttöönottoa?
• Miten erottaa todelliset riskit oletuksista ja välttää tarpeettomia rajoituksia?
• Miten rakentaa toimintatapa, jossa riskienhallinta tukee tekoälyn hyödyntämistä?

Päivän yhteenveto ja keskustelu.