DPIA-arviot tekoälyratkaisujen käytössä

DPIA (Data Protection Impact Assessment, eli tietosuojan vaikutustenarviointi) ei ole aina pakollinen tekoälyratkaisun käyttöönotossa, mutta se on tehtävä, jos henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille. Tämä koskee erityisesti tilanteita, joissa:

Käsitellään arkaluonteisia (erityisiin henkilötietoryhmiin kuuluvia) henkilötietoja kuten terveystiedot, etnisyys, poliittiset mielipiteet.
Käytetään tekoälyäratkaisua, joka voi vaikuttaa merkittävästi yksilön kuten asiakkaan tai työntekijän saamiin palveluihin/etuuksiin/oikeuksiin.
Tietoja profiloidaan automaattisesti tai tehdään päätöksiä ilman ihmisen osallistumista.
Tietoja siirretään EU:n/ETA:n ulkopuolelle.
Käsittely on laajamittaista tai kohdistuu haavoittuvassa asemassa oleviin henkilöihin.

Arviointi tehdään tapauskohtaisesti: Rekisterinpitäjän vastuulla on arvioida, aiheuttaako suunniteltu käsittely korkean riskin.

DPIA tukee myös EU:n tekoälyasetuksen vaatimusten täyttämistä, erityisesti suuririskisten järjestelmien osalta.

DPIA auttaa tunnistamaan ja hallitsemaan riskejä, joita henkilötietojen käsittely voi aiheuttaa, erityisesti kun käytetään uusia teknologioita kuten tekoälyä.

Tarkemmat ohjeet DPIA:n laatimiseen löytyvät Tietosuojavaltuutetun toimiston nettisivuilta

Pohdi ja kuvaa alla olevia asioita:

1. Käsittelyn kuvaus

Mikä on tekoälyratkaisun tarkoitus?
Mitä henkilötietoja käsitellään?
Mistä tiedot kerätään ja miten?
Mikä taho toimii rekisterinpitäjä (=järjestämisvastuussa oleva toimielin kuten kaupungin jokin lautakunnista) ja mahdolliset yhteisrekisterinpitäjät?
Kuka toimii henkilörekisterin vastuuhenkilönä ja onko häntä infottu suunnitellusta tekoälyratkaisun käyttöönotosta?
Yleensä vastuuhenkilön nimitieto löytyy organisaation tietosuojaselosteilta
Onko mukana henkilötietojen käsittelijöitä (esim. ICT-palveluntarjoajat tai muut ulkoistuskumppanit)?

2. Tarpeellisuus ja oikeusperusta

Mikä on käsittelyn oikeusperusta (esim. suostumus, sopimus, lakisääteinen velvoite)?
Onko käsittely tarpeellista ja tarkoituksenmukaista suhteessa tavoitteisiin?

3. Riskien arviointi

Voiko käsittely aiheuttaa korkean riskin rekisteröidyn oikeuksille ja vapauksille?
Käytetäänkö automaattista päätöksentekoa tai profilointia?
Käsitelläänkö arkaluonteisia tietoja?
Kohdistuuko käsittely haavoittuvassa asemassa oleviin henkilöihin?
Siirretäänkö tietoja EU/ETA-alueen ulkopuolelle?

4. Vaikutukset rekisteröityihin

Onko kyseessä suuririskinen tekoälyjärjestelmä (lue EU:n tekoälyasetus)
Miten tekoälyratkaisu vaikuttaa yksilöihin (esim. päätöksenteko, syrjintä, profilointi)?
Onko olemassa riski virheellisistä tai harhaanjohtavista päätöksistä?

5. Riskien hallinta

Mitä teknisiä ja organisatorisia suojatoimia on käytössä?
Onko toteutettu tietoturva-auditointi?
Onko suunniteltu vaikutusten lieventämistoimia (esim. ihmisen osallistuminen päätöksentekoon)?