Kuka organisaatiossa vastaa tekoälyn käytöstä?

Lyhyesti

Tekoälyasetus ei nimeä pakollista tehtävää nimeltä tekoälyvastaava. Vastuu syntyy siitä, mikä organisaation rooli on tekoälyn käytössä. Jos organisaatio käyttää valvonnassaan olevaa tekoälyjärjestelmää, se on yleensä käyttöönottaja ja vastaa omista käyttövelvoitteistaan. Vastuuhenkilön pitää osata tunnistaa roolit, riskiluokka, kielletyt käytännöt, suuririskisen käytön velvoitteet, ihmisen valvonta, vinoumat, läpinäkyvyys ja henkilötietojen automaattiset päätökset.

Vastuu alkaa organisaation roolista, ei henkilön tittelistä

Tekoälyasetuksen 3 artikla jakaa vastuita roolien mukaan. Sama organisaatio voi olla eri tilanteissa eri roolissa.

Käyttöönottaja on organisaatio, joka käyttää valvonnassaan olevaa tekoälyjärjestelmää työssä. Esimerkki on kunta, joka käyttää tekoälyä hakemusten esikäsittelyyn. Toinen esimerkki on yritys, joka käyttää tekoälyä rekrytoinnissa.

Tarjoaja on taho, joka kehittää tai kehityttää tekoälyjärjestelmän ja saattaa sen markkinoille tai ottaa sen käyttöön omalla nimellään. Jos organisaatio tekee järjestelmästä oman palvelunsa tai muuttaa sen käyttötarkoitusta, vastuu voi muuttua.

Tekoälyasetuksen 25 artikla on tässä tärkeä. Sen mukaan käyttöönottajaa, jakelijaa, maahantuojaa tai muuta kolmatta osapuolta voidaan pitää suuririskisen tekoälyjärjestelmän tarjoajana tietyissä tilanteissa. Näin voi käydä, jos organisaatio laittaa oman nimensä järjestelmään, tekee siihen merkittävän muutoksen tai muuttaa käyttötarkoitusta niin, että järjestelmästä tulee suuririskinen.

Siksi organisaation sisäinen tekoälyvastuu ei voi olla vain tekninen tukirooli. Sen pitää yhdistää hankinta, tietosuoja, tietoturva, henkilöstöhallinto, viestintä ja liiketoiminnan tai palvelun omistaja. Yksi nimetty vastuuhenkilö voi koordinoida kokonaisuutta, mutta oikeudellinen vastuu jää organisaation rooliin.

Tekoälyvastaava on käytännön omistaja, vaikka asetus ei käytä nimikettä

Tekoälyasetuksen 4 artikla koskee tekoälylukutaitoa. Sen mukaan tarjoajien ja käyttöönottajien on toteutettava toimenpiteitä, joilla ne tukevat henkilöstön ja muiden tekoälyn toiminnasta ja käytöstä vastaavien henkilöiden tekoälylukutaidon kehittämistä. Sanamuoto on koontiasetuksen (EU) 2026/1744 mukainen ja voimassa 27.7.2026 alkaen; vuoden 2024 teksti vaati parhaansa mukaan varmistamaan riittävän tekoälylukutaidon.

Tämä tarkoittaa arjessa sitä, että tekoälyn käytöstä vastaava henkilö ei voi olla vain järjestelmän pääkäyttäjä. Hänen pitää ymmärtää myös käyttöyhteys. Esimerkiksi henkilöstöhallinnon tekoäly voi vaikuttaa työnhakijaan eri tavalla kuin sisäinen tekstityökalu.

Tekoälyasetuksen 26 artikla tiukentaa tätä suuririskisissä järjestelmissä. Käyttöönottajan pitää antaa ihmisen valvonta luonnollisille henkilöille, joilla on tarvittava pätevyys, koulutus ja valtuudet. Heille pitää antaa myös tarvittava tuki.

Tämä tekee vastuusta käytännöllisen. Jos järjestelmä antaa suosituksen työnhakijan arvioinnissa, valvojan pitää ymmärtää, mitä järjestelmä tekee. Hänellä pitää olla valta pysäyttää käyttö tai jättää tuotoksen vaikutus huomiotta, jos siihen on syy. Pelkkä muodollinen hyväksyntä ei riitä.

Tekoälyn käytön vastuuhenkilön tehtävä on yleensä koota ainakin nämä asiat:

• missä tekoälyä käytetään ja mihin tarkoitukseen
• onko organisaatio käyttöönottaja, tarjoaja tai jokin muu toimija
• kuuluuko käyttötapa suuririskisiin järjestelmiin
• onko käyttö kiellettyä tekoälyasetuksen 5 artiklan perusteella
• kuka valvoo järjestelmää ja millä valtuuksilla
• mitä tietoja järjestelmään syötetään
• miten vinoumat, syrjintä ja virheet tunnistetaan
• mitä käyttäjille, asiakkaille tai työntekijöille pitää kertoa
• mitä pitää dokumentoida ja säilyttää

Suuririskinen käyttö muuttaa osaamisvaatimuksen

Kaikki tekoälyn käyttö ei ole suuririskistä. Tekoälyasetuksen 6 artikla ja liite III määrittävät tilanteita, joissa järjestelmää pidetään suuririskisenä.

Liite III mainitsee esimerkiksi rekrytoinnin ja työnhakijoiden arvioinnin. Se mainitsee myös henkilöstöhallinnon käyttötapauksia, kuten työsuhteen ehtoja, uralla etenemistä, tehtävien jakamista sekä suorituksen ja käyttäytymisen seurantaa koskevat järjestelmät.

Julkisella sektorilla suuririskisiä voivat olla myös järjestelmät, joita käytetään välttämättömien julkisten palvelujen ja etuuksien saatavuuden arvioinnissa. Tämä voi koskea esimerkiksi sitä, onko henkilö oikeutettu julkisen avun etuuksiin tai palveluihin.

Tekoälyasetuksen 26 artikla asettaa suuririskisen järjestelmän käyttöönottajalle käytännön velvoitteita. Käyttöönottajan pitää käyttää järjestelmää käyttöohjeiden mukaan, valvoa toimintaa, varmistaa syöttötietojen merkityksellisyys ja riittävä edustavuus siltä osin kuin se valvoo syöttötietoja, sekä säilyttää hallinnassaan olevia lokitietoja vähintään kuuden kuukauden ajan, jollei muu sovellettava laki muuta määrää.

Jos suuririskistä tekoälyjärjestelmää käytetään työpaikalla, työnantajan pitää ennen käyttöönottoa tai käyttöä ilmoittaa työntekijöiden edustajille ja asianomaisille työntekijöille, että heihin sovelletaan suuririskistä tekoälyjärjestelmää. Tämä koskee nimenomaan tilanteita, joissa työnantaja on käyttöönottaja.

Viranomaisilla on vielä erillinen tarkistus. Tekoälyasetuksen 26 artiklan mukaan viranomaisen tai unionin toimielimen, elimen tai laitoksen pitää noudattaa rekisteröintivelvollisuuksia. Jos se toteaa, että suuririskistä järjestelmää ei ole rekisteröity EU:n tietokantaan, sitä ei saa käyttää ja asiasta pitää ilmoittaa tarjoajalle tai jakelijalle.

Kysymys	Mitä vastuuhenkilön pitää ymmärtää
Mikä järjestelmä on kyseessä?	Tekoälyasetuksen 3 artiklan mukainen tekoälyjärjestelmä ja sen käyttötarkoitus.
Mikä rooli organisaatiolla on?	Käyttöönottaja, tarjoaja, maahantuoja, jakelija tai muuttunut rooli tekoälyasetuksen 25 artiklan mukaan.
Onko käyttö suuririskistä?	Tekoälyasetuksen 6 artikla ja liite III, kuten rekrytointi, henkilöstöhallinto ja välttämättömät palvelut.
Kuka valvoo käyttöä?	Tekoälyasetuksen 26 artiklan vaatimus pätevyydestä, koulutuksesta, valtuuksista ja tuesta.
Mitä pitää kertoa ihmisille?	Tekoälyasetuksen 50 artiklan avoimuusvelvoitteet ja työpaikan ilmoitus 26 artiklassa.

Osaaminen kattaa myös vinoumat, läpinäkyvyyden ja tietosuojan

Tekoälyn riski ei ole vain tekninen virhe. Riski voi olla myös se, että järjestelmä kohtelee ihmisiä epäoikeudenmukaisesti. Arjessa tämä voi tarkoittaa rekrytointityökalua, joka antaa huonompia tuloksia ryhmälle, jota koulutusdata ei kuvaa hyvin.

Tekoälyasetuksen 10 artikla koskee suuririskisten järjestelmien dataa ja datanhallintaa, kun järjestelmässä käytetään tekoälymallien kouluttamista datan avulla. Artikla edellyttää käytäntöjä, jotka koskevat muun muassa datan alkuperää, käsittelyä, oletuksia, datajoukkojen soveltuvuutta sekä mahdollisten vinoumien selvittämistä, ehkäisemistä ja lieventämistä.

Käyttöönottajan pitää ymmärtää tämä ainakin hankinnan ja käytön tasolla. Jos järjestelmän käyttö perustuu tietoihin, vastuuhenkilön pitää kysyä, sopivatko tiedot käyttötarkoitukseen. Esimerkiksi eri kunnan tai eri toimialan aineistolla testattu järjestelmä ei välttämättä toimi samalla tavalla omassa ympäristössä.

Tekoälyasetuksen 50 artikla tuo avoimuusvelvoitteita tiettyihin tilanteisiin. Jos tekoälyjärjestelmä on tarkoitettu vuorovaikutukseen luonnollisten henkilöiden kanssa, henkilölle pitää ilmoittaa, että hän on vuorovaikutuksessa tekoälyn kanssa, ellei tämä ole olosuhteissa ilmeistä. Synteettistä ääntä, kuvaa, videota tai tekstiä tuottaviin järjestelmiin liittyy myös merkintävelvoitteita tarjoajalle. Syväväärennöksiä tuottavan tai muokkaavan järjestelmän käyttöönottajan pitää ilmoittaa, että sisältö on keinotekoisesti tuotettu tai sitä on manipuloitu.

Tietosuoja tulee mukaan, jos järjestelmä käsittelee henkilötietoja. Yleisen tietosuoja-asetuksen 22 artikla koskee automatisoituja yksittäispäätöksiä ja profilointia. Rekisteröidyllä on sen mukaan oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

Tämä ei tarkoita, että kaikki automaatio olisi kiellettyä. Sama artikla sisältää poikkeuksia. Jos poikkeusta käytetään, rekisterinpitäjän pitää toteuttaa asianmukaisia suojatoimia. Niihin kuuluu vähintään oikeus vaatia, että tiedot käsittelee luonnollinen henkilö, sekä oikeus esittää kantansa ja riitauttaa päätös.

Tekoälyvastuussa tietosuoja ja tekoälyasetus eivät siis ole erillisiä saarekkeita. Sama järjestelmä voi vaatia sekä tekoälyasetuksen mukaista riskiluokitusta että yleisen tietosuoja-asetuksen mukaista arviota henkilötietojen käsittelystä.

Aihe jatkuu tarkemmin henkilöstön tekoälyosaamisen näkökulmasta artikkelissa Tekoälyasetuksen 4 artikla: mitä henkilöstön tekoälyosaamisesta vaaditaan. Henkilötietojen perusosaamisesta kertoo artikkeli Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?.

Missä vastuu ei tarkoita rajatonta velvollisuutta

Tekoälyvastuu on tärkeä, mutta se ei tee yhdestä henkilöstä kaikkien järjestelmien oikeudellista takaajaa. Tekoälyasetus jakaa velvoitteet roolin mukaan. Tarjoajalla on eri tehtävät kuin käyttöönottajalla.

Tarjoajan vastuulle kuuluvat esimerkiksi suuririskisen järjestelmän vaatimustenmukaisuus, laadunhallintajärjestelmä, tekninen dokumentaatio, vaatimustenmukaisuuden arviointi, EU-vaatimustenmukaisuusvakuutus ja CE-merkintä tekoälyasetuksen 16 artiklan mukaan. Käyttöönottaja ei yleensä tee näitä tarjoajan puolesta, ellei sen rooli muutu tekoälyasetuksen 25 artiklan tilanteissa.

Käyttöönottajan vastuu ei myöskään koske henkilökohtaista muuta kuin ammattitoimintaa. Tämä rajaus seuraa tekoälyasetuksen 3 artiklan käyttöönottajan määritelmästä. Työvälineiden käyttö organisaation toiminnassa on kuitenkin eri asia kuin yksityinen käyttö.

Kaikki tekoälyjärjestelmät eivät ole suuririskisiä. Tekoälyasetuksen 6 artikla sisältää myös tilanteita, joissa liitteessä III tarkoitettua järjestelmää ei pidetä suuririskisenä, jos se ei aiheuta merkittävää vahingon riskiä luonnollisten henkilöiden terveydelle, turvallisuudelle tai perusoikeuksille eikä vaikuta olennaisesti päätöksenteon tulokseen. Artikla kuitenkin toteaa, että luonnollisten henkilöiden profilointia suorittava liitteen III järjestelmä on aina suuririskinen.

Avoimuusvelvoitteetkään eivät koske kaikkea samalla tavalla. Tekoälyasetuksen 50 artiklassa on poikkeuksia esimerkiksi tilanteisiin, joissa käyttö on lain mukaan sallittua rikosten paljastamiseen, estämiseen tai tutkimiseen taikka rikoksiin liittyviin syytetoimiin. Syväväärennöksiä koskevassa kohdassa on myös erityinen rajaus taiteellisiin, luoviin, satiirisiin, fiktiivisiin tai vastaaviin teoksiin tai ohjelmiin.

Tämä rajaus on tärkeä johtamisen kannalta. Organisaation ei kannata nimetä tekoälyvastaavaa vain siksi, että joku pitää vastata kaikesta. Sen sijaan vastuu kannattaa rakentaa niin, että jokaiselle käyttötapaukselle tiedetään rooli, riskiluokka, käyttöohjeet, valvonta, tiedottaminen ja dokumentointi.