Käyttöönottajien velvoitteet
Et tehnyt tekoälyä itse mutta otat sen käyttöön? Sinullakin on omat lakisääteiset velvoitteesi. Käytä sitä ohjeiden mukaan ja valvo sitä.
Mistä tässä on kyse
Ostit tekoälyn valmiina, vastuu ei jäänyt kauppaan. Käyttöönottajalla on omat velvoitteensa, jotka koskevat sitä miten järjestelmää käytetään: ohjeiden mukainen käyttö, pätevä ihmisvalvonta, toiminnan seuranta, lokien säilytys ja henkilöstön informointi. Ja yksi raja kannattaa tuntea tarkasti: jos käytät järjestelmää olennaisesti eri tavalla kuin toimittaja tarkoitti, muutut lain silmissä itse tarjoajaksi, kaikkine velvoitteineen.
Moni yritys ei rakenna tekoälyä itse vaan ostaa sen valmiina ja luulee siksi olevansa lain ulkopuolella. Näin ei ole. 26. artikla antaa käyttöönottajalle (deployer) omat velvoitteensa, jotka koskevat sitä, miten järjestelmää tosiasiassa käytetään.
Käyttöönottajan tehtävälista
Käyttöönottajan on käytettävä järjestelmää tarjoajan ohjeiden mukaisesti, järjestettävä pätevä ihmisvalvonta, seurattava järjestelmän toimintaa sekä keskeytettävä käyttö ja ilmoitettava tarjoajalle, jos jotain menee vikaan. Automaattisesti syntyvät lokit on säilytettävä. Työntekijöille on kerrottava ennen käyttöönottoa, ja monilla aloilla, esimerkiksi julkisissa palveluissa sekä luotonannossa ja vakuutuksissa, on lisäksi tehtävä perusoikeusvaikutusten arviointi (FRIA, Art. 27).
Käytännössä lista kannattaa lukea hankintalistana: ennen sopimusta varmista, että saat toimittajalta kunnolliset käyttöohjeet (Art. 13), nimeä valvoja jolla on aikaa ja valtuudet (Art. 14), sovi lokien säilytys ja vastuunjako kirjallisesti (Art. 19) ja informoi henkilöstö ennen ensimmäistä käyttöpäivää. Jokainen näistä on halvempi hoitaa hankintavaiheessa kuin jälkikäteen, ja kysymysten sujuvuus kertoo samalla toimittajan tasosta.
Milloin muutut itse tarjoajaksi
Yksi varoitus kannattaa painaa mieleen: jos käytät järjestelmää olennaisesti eri tavalla kuin tarjoaja on tarkoittanut, laitat siihen oman nimesi tai muokkaat sitä olennaisesti, voit muuttua itse 'tarjoajaksi' ja saada kaikki tarjoajan raskaammat velvoitteet niskaasi (Art. 25). Siksi ohjeissa pysyminen ei ole muodollisuus, ja siksi käyttötarkoituksen laajennus ('käytetään samaa mallia myös tähän') on päätös, joka kuuluu tehdä tietoisesti eikä ajautua.
'Me vain käytämme sitä' ei ole puolustus.
Mitä laki vaatii, kohta kohdalta
Käytä järjestelmää käyttöohjeiden mukaisesti, järjestä ihmisvalvonta, seuraa toimintaa ja säilytä lokit. Tiedota henkilöstölle ja tee tarvittaessa perusoikeusarviointi.
- §1Käyttöohjeiden noudattaminen, syötedatan relevanssi, ihmisvalvonnan toteutus
- §6Automaattisesti tuotettujen lokitietojen säilyttäminen vähintään 6 kuukautta (Art. 26(6))
- §7Työntekijöiden edustajien ja kyseessä olevien työntekijöiden informointi ennen järjestelmän käyttöönottoa työpaikalla (Art. 26(7))
- §11Ilmoitusvelvoite kohdehenkilöille (paitsi tietyt lainvalvontatilanteet)
Usein kysytyt kysymykset
pkai tuottaa tämän artiklan vaatimat asiakirjat (Ihmisvalvonnan kuvaus) yrityksesi tiedoilla, noin 20 minuutissa.
Näytä artiklan tarkka rakenneteksti
Käyttöönottajien on (kohdittain): käytettävä järjestelmää käyttöohjeiden mukaisesti ja toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet (1 kohta); annettava ihmisvalvonta tehtäväksi luonnollisille henkilöille, joilla on tarvittava pätevyys, koulutus ja toimivalta sekä tarvittava tuki (2 kohta); varmistettava syöttödatan merkityksellisyys ja riittävä edustavuus siltä osin kuin data on käyttöönottajan hallinnassa (4 kohta); seurattava järjestelmän toimintaa käyttöohjeiden mukaisesti ja keskeytettävä käyttö sekä ilmoitettava tarjoajalle tai jakelijalle ja markkinavalvontaviranomaiselle, jos on syytä katsoa järjestelmän aiheuttavan Art. 79(1):n riskin; vakavasta vaaratilanteesta ilmoitettava välittömästi tarjoajalle ja sitten maahantuojalle/jakelijalle ja viranomaisille (5 kohta); säilytettävä automaattisesti tuotetut lokit vähintään kuusi kuukautta, jollei laista muuta johdu (6 kohta); ennen käyttöönottoa työpaikalla informoitava työntekijöiden edustajia ja työntekijöitä, joihin järjestelmän käyttö kohdistuu (7 kohta); viranomaiskäyttöönottajien varmistettava Art. 49(3):n rekisteröinti (8 kohta); tapauksen mukaan käytettävä Art. 13:n tietoja GDPR Art. 35 -vaikutustenarvioinnin täyttämiseen (9 kohta); ilmoitettava luonnollisille henkilöille, että heihin sovelletaan korkean riskin järjestelmää, kun se tekee tai avustaa heitä koskevia päätöksiä (11 kohta); tehtävä yhteistyötä viranomaisten kanssa (12 kohta).