GDPR ja EU AI Act toimivat yhdessä niin, että ne täydentävät toisiaan henkilötietojen suojassa, mutta asettavat organisaatioille myös päällekkäisiä velvoitteita, joita on hallittava rinnakkain. GDPR sääntelee henkilötietojen käsittelyn lainmukaisuutta, kun taas EU AI Act kohdistuu tekoälyjärjestelmien riskienhallintaan ja läpinäkyvyyteen. Kun tekoälyjärjestelmä käsittelee henkilötietoja, molemmat asetukset soveltuvat samanaikaisesti, ja organisaation on varmistettava vaatimustenmukaisuus kummankin säädöskehyksen osalta. Seuraavat kysymykset avaavat, miten nämä velvoitteet käytännössä jäsentyvät.
EU AI Act asettaa henkilötietojen käsittelylle erityisvaatimuksia erityisesti korkean riskin tekoälyjärjestelmien osalta. Tällaisten järjestelmien koulutus-, validointi- ja testaustietoaineistojen on täytettävä tietyt laadulliset kriteerit: niiden on oltava asianmukaisia, edustavia ja mahdollisuuksien mukaan virheettömiä. Lisäksi järjestelmän kehittäjän ja käyttäjäorganisaation on pystyttävä osoittamaan, että henkilötietojen käyttö on ollut perusteltua ja oikeasuhtaista suhteessa tavoiteltuun tarkoitukseen.
EU AI Act edellyttää korkean riskin järjestelmiltä myös teknistä dokumentaatiota, joka kuvaa käytetyt tietoaineistot ja niiden keräysperusteet. Tämä tarkoittaa, että organisaation on kyettävä jäljittämään, mistä lähteistä koulutusdataa on kerätty ja millä perusteella henkilötietoja on sisällytetty aineistoon. Vaatimus koskee erityisesti järjestelmiä, jotka vaikuttavat rekrytointiin, luotonantoon, koulutukseen tai kriittisiin infrastruktuuripalveluihin.
Asetuksessa on myös erityissäännös niin sanottujen kiellettyjen käytäntöjen osalta. Biometrinen etätunnistaminen yleisillä paikoilla reaaliajassa on pääsääntöisesti kielletty, ja tämä rajoitus koskee nimenomaan henkilötietoja sisältävien tunnistusjärjestelmien käyttöä. Vuodesta 2026 alkaen EU AI Actin täytäntöönpano on Suomessa hajautettu useille eri viranomaisille, joista tietosuojavaltuutettu toimii yhtenä markkinavalvontaviranomaisena korkean riskin tekoälyjärjestelmien osalta.
GDPR:n lainmukaisuusperusteet ja EU AI Actin vaatimukset eivät ole keskenään ristiriidassa, mutta niiden yhteensovittaminen edellyttää huolellista arviointia. GDPR edellyttää, että jokaiselle henkilötietojen käsittelytoimelle on osoitettavissa selkeä oikeusperuste, kuten suostumus, sopimus tai oikeutettu etu. EU AI Act puolestaan edellyttää, että korkean riskin järjestelmissä käytetyt tietoaineistot ovat asianmukaisia ja tarkoitukseen soveltuvia. Nämä vaatimukset täydentävät toisiaan, mutta eivät automaattisesti kata toisiaan.
Käytännössä haasteita syntyy erityisesti oikeutetun edun käyttämisestä lainmukaisuusperusteena. GDPR:n mukainen oikeutettu etu edellyttää punnintaa rekisteröidyn oikeuksien ja rekisterinpitäjän intressien välillä. Tekoälyjärjestelmissä, joissa henkilötietoja käsitellään laajamittaisesti tai automatisoitua päätöksentekoa varten, tämä punninta on erityisen merkityksellinen. EU AI Act ei anna suoraa vastausta siihen, milloin GDPR:n oikeusperuste on riittävä, vaan vaatimukset on arvioitava erikseen kummankin säädöskehyksen näkökulmasta.
Suostumukseen perustuva käsittely on periaatteessa selkein yhdistelmä, mutta tekoälyjärjestelmien kontekstissa suostumuksen aitous ja informoidun päätöksen mahdollisuus voivat olla kyseenalaisia, jos järjestelmän toimintalogiikka on monimutkainen. Tällöin EU AI Actin läpinäkyvyysvaatimukset tukevat GDPR:n mukaisen tiedonsaantioikeuden toteuttamista ja vahvistavat suostumuksen informoitua luonnetta.
Kun GDPR ja EU AI Act näyttävät olevan ristiriidassa, GDPR on lähtökohtaisesti ensisijainen henkilötietojen suojaa koskevissa kysymyksissä, koska EU AI Act sisältää nimenomaisen viittauksen siihen, että asetus ei rajoita GDPR:n soveltamista. Käytännössä täydellisiä ristiriitoja esiintyy harvoin, mutta tulkinnanvaraisia tilanteita syntyy erityisesti silloin, kun EU AI Actin vaatimukset edellyttävät tietoja, joiden säilyttäminen tai käyttö voi olla ongelmallista GDPR:n näkökulmasta.
Konkreettinen esimerkki on tekninen dokumentaatio, jota EU AI Act edellyttää korkean riskin järjestelmiltä. Dokumentaatioon voi sisältyä tietoja koulutusdatasta, joka saattaa välillisesti paljastaa henkilötietoja. Tällaisessa tilanteessa GDPR:n tietojen minimointiperiaate ja tarkoituksensidonnaisuus ohjaavat sitä, miten ja missä laajuudessa dokumentaatio laaditaan. EU AI Actin vaatimus ei oikeuta GDPR:n vastaiseen käsittelyyn.
Toinen jännitteinen alue liittyy rekisteröidyn oikeuksiin. Jos henkilö käyttää GDPR:n mukaista oikeuttaan tulla unohdetuksi, mutta poistetut tiedot ovat osa korkean riskin tekoälyjärjestelmän auditointiketjua, organisaation on ratkaistava, miten molempia velvoitteita noudatetaan samanaikaisesti. Tähän ei ole yhtä oikeaa vastausta, vaan ratkaisu riippuu aina yksittäisen tilanteen olosuhteista ja sovellettavasta kansallisesta lainsäädännöstä.
Rekisterinpitäjän on laadittava ja ylläpidettävä dokumentaatiota kahdella rinnakkaisella tasolla: GDPR edellyttää selosteita käsittelytoimista ja tietosuojakäytäntöjä, kun taas EU AI Act edellyttää teknistä dokumentaatiota tekoälyjärjestelmän ominaisuuksista, riskeistä ja valvonnasta. Nämä asiakirjakokonaisuudet on pidettävä ajan tasalla, ja ne on pystyttävä esittämään valvontaviranomaisille pyydettäessä.
GDPR:n nojalla rekisterinpitäjän keskeinen dokumentointivelvoite on käsittelytoimien seloste, josta ilmenee käsittelyn tarkoitus, oikeusperuste, tietokategoriat, vastaanottajat ja säilytysajat. Tekoälykontekstissa selosteeseen on syytä kirjata myös automatisoituun päätöksentekoon liittyvät tiedot sekä mahdolliset profiloinnin elementit. Lisäksi tietosuojailmoitukset on pidettävä rekisteröityjen saatavilla selkeässä muodossa.
EU AI Act edellyttää korkean riskin järjestelmiltä teknistä dokumentaatiota, joka kattaa järjestelmän tarkoituksen, suorituskykyä koskevat tiedot, käytetyt tietoaineistot, riskienhallintatoimenpiteet sekä ihmisvalvonnan mekanismit. Organisaation on myös laadittava käyttöohjeet, jotka mahdollistavat järjestelmän turvallisen ja tarkoituksenmukaisen käytön. Käytännössä nämä dokumentit on järkevää rakentaa siten, että ne täydentävät GDPR:n mukaisia asiakirjoja eikä samoja tietoja tarvitse kirjata kahdesti eri formaateissa.
Organisaation on tehtävä sekä GDPR:n mukainen tietosuojan vaikutustenarviointi (DPIA) että EU AI Actin mukainen perusoikeusvaikutusten arviointi silloin, kun korkean riskin tekoälyjärjestelmä käsittelee henkilötietoja tavalla, joka todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille. Nämä kaksi arviointia ovat erillisiä prosesseja, mutta ne kannattaa toteuttaa koordinoidusti päällekkäisen työn välttämiseksi.
DPIA on GDPR:n nojalla pakollinen muun muassa silloin, kun käsittely sisältää laajamittaista profilointia, arkaluonteisten tietojen käsittelyä tai automaattista päätöksentekoa, jolla on merkittäviä vaikutuksia rekisteröityihin. EU AI Actin mukainen perusoikeusvaikutusten arviointi puolestaan koskee julkisia toimijoita ja tiettyjä yksityisiä toimijoita, jotka ottavat käyttöön korkean riskin tekoälyjärjestelmiä. Arvioinnissa tarkastellaan järjestelmän vaikutuksia laajemmin perusoikeuksiin, ei ainoastaan tietosuojaan.
Käytännön lähestymistapana on usein toiminut niin sanottu yhteinen arviointiprosessi, jossa DPIA ja perusoikeusvaikutusten arviointi toteutetaan samalla kertaa hyödyntäen yhteisiä tietopohjia. Tämä edellyttää, että organisaatiossa on selkeä käsitys siitä, mitkä järjestelmät luokitellaan korkean riskin tekoälyjärjestelmiksi EU AI Actin liitteiden mukaisesti. Euroopan tietosuojaneuvosto on linjannut, että tietosuojaviranomaisten rooli tekoälyvalvonnassa on keskeinen juuri tämän kaksoisarvioinnin koordinoinnissa.
Molempien arviointien dokumentointi on suositeltavaa pitää ajantasaisena järjestelmän koko elinkaaren ajan. Tekoälyjärjestelmän päivitykset, uudet käyttötarkoitukset tai muutokset käsiteltyjen henkilötietojen laajuudessa voivat edellyttää arviointien päivittämistä. Tietosuoja- ja tekoälysääntelyn rinnakkainen hallinta on monivaiheinen kokonaisuus, jonka arviointi on aina sidoksissa yksittäisen organisaation toimintaympäristöön ja järjestelmien konkreettisiin ominaisuuksiin. Me Hedman Partnersilla autamme yrityksiä jäsentämään nämä velvoitteet käytännön toimenpiteiksi jo ensimmäisestä, maksuttomasta konsultaatiosta lähtien.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.