Tietosuoja-asetus ja henkilötietojen käsittely

Tietosuoja-asetus eli yleinen tietosuoja-asetus, englanninkielisellä lyhenteellä GDPR, koskee kaikkien EU-alueella asuvien henkilötietojen käsittelyä. Lakimiehen työssä henkilötietoja on käsittelyssä jatkuvasti — asiakkaan nimi, henkilötunnus, yhteystiedot, taloustiedot, terveystiedot, oikeudellinen tilanne. Tekoälyn käyttö henkilötietojen kanssa vaatii tietosuoja-asetuksen huomioon ottamisen. Tietosuoja-asetuksen pääperiaatteet, jotka koskevat tekoälyn käyttöä. Ensimmäinen periaate: laillinen peruste. Henkilötietojen käsittelyyn pitää olla laillinen peruste — suostumus, sopimus, lainsäädännön velvoite, oikeudellinen velvoite, oikeutettu intressi tai elintärkeä etu. Lakimiehen työssä tyypillisesti peruste on asiakassopimus ja siihen liittyvät oikeudelliset velvoitteet. Tekoälyn käyttö ei muuta perustetta, mutta se voi laajentaa käsittelyä. Jos asiakassopimus ei nimenomaisesti kata tekoälyn käyttöä, sen lisääminen voi vaatia päivitettyä sopimusta tai erillistä suostumusta. Toinen periaate: käyttötarkoituksen rajaus. Henkilötietoja saa käsitellä vain siihen tarkoitukseen, johon ne on kerätty — ei muihin tarkoituksiin ilman erillistä perustetta. Tekoälyn käyttö ei lisää käyttötarkoituksia, mutta sen pitää sopia alkuperäiseen tarkoitukseen. Erityinen huomio: jos tekoälypalvelu käyttää syötettyjä tietoja palvelun kehittämiseen tai mallin kouluttamiseen, tämä on uusi käyttötarkoitus, ja se vaatii oman perusteen. Yritystason palvelut tyypillisesti kieltävät tämän, mutta kuluttajaversiot eivät — siksi kuluttajaversiot rikkovat tyypillisesti tietosuoja-asetusta lakimiehen asiakastiedoissa. Kolmas periaate: minimointi. Käsittele vain niitä tietoja, jotka ovat välttämättömiä tehtävän suorittamiseen. Tekoälyä käytettäessä tämä tarkoittaa: anna tekoälylle vain tarpeelliset tiedot, älä koko aineistoa siltä varalta. Käytännön ohje: ennen tietojen syöttämistä tekoälyyn, kysy 'mitä tästä tehtävästä tekoäly oikeasti tarvitsee?'. Anna vain se. Asiakkaan koko historian syöttäminen on lähes aina yliminimointi, vaikka tehtävänä olisi rajattu kysymys. Neljäs periaate: säilytysrajoitus. Henkilötietoja säilytetään vain niin kauan kuin ne ovat tarpeen. Tekoälypalveluiden säilytyskäytännöt ovat tärkeä tarkistuskohta. Käytännön ohje: yritystason palveluissa pitäisi olla mahdollisuus poistaa syötetty tieto sopimuksen päättyessä tai pyydettäessä. Tarkista että tämä toiminto on olemassa, ja että tiedot poistetaan myös palveluntarjoajan järjestelmistä. Viides periaate: tietojen tietoturva. Käsittelyjärjestelmien pitää olla turvallisia. Tekoälypalvelulle tämä tarkoittaa salauksen käyttöä, pääsynvalvontaa, tunkeutumissuojaa. Käytännön ohje: yritystason palvelujen sopimusehdoissa pitäisi olla kuvattu tietoturvakäytännöt. Lue ne ja varmista että ne vastaavat lakimiehen ammattikäytäntöä. Käytännön johtopäätökset. Älä koskaan syötä henkilötietoja kuluttajaversioon tekoälypalvelusta. Tämä on lähes aina tietosuoja-asetuksen rikkomus, eikä se ole hyväksyttävää lakimiehen ammatissa. Käytä yritystason palveluja, joiden sopimusehdot kattavat tietosuoja-asetuksen vaatimukset. Vaadi että tietoja ei käytetä mallin kouluttamiseen, että ne säilytetään EU-alueella ja että ne poistetaan pyydettäessä. Tässä on tärkeä nyanssi datan sijainnista eli residenssistä: se, että tiedot säilytetään EU-alueella, ei yksin riitä. Myös yritystason työkalu voi lähettää tekstiä EU:n tai Suomen ulkopuolelle upotusten eli embeddingsien laskennan ja hakuindeksoinnin yhteydessä — esimerkiksi kun asiakirja pilkotaan ja muunnetaan haettavaan muotoon, tuo vaihe voi tapahtua eri palvelimella kuin varsinainen säilytys. Siksi datan sijainti on tarkistettava nimenomaan haku- ja upotusvaiheessa, ei pelkästään säilytyspaikan osalta. Kysy palveluntarjoajalta erikseen, missä upotukset lasketaan ja missä hakuindeksointi tapahtuu. Päivitä asiakassopimustasi tarvittaessa, jotta tekoälyn käyttö asiakastiedoissa on katettu. Tämä voi vaatia yksinkertaisen lausekkeen lisäämistä, joka kuvaa tekoälyn käytön perusteet ja käytännöt. Yhden lauseen periaate: tietosuoja-asetus koskee tekoälyä samalla tavalla kuin muita käsittelyvälineitä — sen rikkominen on rikkomus riippumatta käytetystä työkalusta.

Kokeile nyt

Mikä on tärkein tarkistus tekoälypalvelun valinnassa henkilötietojen käsittelyä varten?

Tallenna edistymisesi ja oma oppimisyhteenvetosi