EU:n Article 88c ei antaisi tekoälylle vapaata lupaa käyttää henkilötietoja

EU:n Digital Omnibus -keskustelusta syntyy helposti kuva, että yrityksille oltaisiin antamassa oikeus kouluttaa tekoälyä henkilötiedoilla ilman suostumusta. Kuvaus on liian väljä.

Keskeinen ehdotus on GDPR:n uusi 88c artikla. Sen tarkoitus olisi nimenomaisesti tunnistaa oikeutettu etu GDPR:n 6 artiklan 1 kohdan f alakohdan mukaisena mahdollisena käsittelyperusteena silloin, kun henkilötietojen käsittely on toiminnallisesti välttämätöntä tekoälyjärjestelmän tai -mallin lainmukaiselle suunnittelulle, kehittämiselle tai käytölle. Ehdotus ei poistaisi GDPR:ää, tekisi verkkoharavoinnista automaattisesti sallittua eikä syrjäyttäisi suostumusta tilanteissa, joissa jokin muu sääntö sitä edellyttää.13

Oleellista on myös erottaa kaksi eri lainsäädäntöhanketta toisistaan. Artikla 88c kuuluu Digital Omnibus -datapakettiin, joka on edelleen EU:n lainsäädäntöprosessissa. Sen lopullinen sisältö ei siis ole ratkaistu.

Mitä 88c artikla käytännössä muuttaisi?

Ehdotetun sanamuodon perusteella rekisterinpitäjä tai kolmas osapuoli voisi mahdollisesti nojata oikeutettuun etuun henkilötietojen käsittelyssä tekoälyjärjestelmän koko elinkaaren aikana, jos käsittely on toiminnallisesti välttämätöntä järjestelmän tai mallin lainmukaiseen suunnitteluun, kehittämiseen tai käyttöön.3

Kyse olisi ennen kaikkea nykyisen GDPR-tulkintamahdollisuuden selventämisestä tekoälyn yhteydessä. Euroopan tietosuojaneuvosto EDPB on aiemmin katsonut, että oikeutettu etu voi joissakin tapauksissa olla asianmukainen käsittelyperuste tekoälymallien ja -järjestelmien kehittämisessä ja käyttöönotossa.45

Sana voi on kuitenkin ratkaiseva. Pelkkä yrityksen ilmoitus siitä, että sen intressi kehittää tekoälymallia on tärkeä, ei riittäisi. Sen olisi edelleen täytettävä oikeutetun edun tavallinen arviointikehys:

• sillä on oltava todellinen oikeutettu etu;
• käsittelyn on oltava kyseisen edun kannalta tarpeellista; ja
• etua on punnittava niiden henkilöiden oikeuksia ja vapauksia vasten, joiden tietoja käsitellään.15

Myös muut EU- ja jäsenvaltioiden säännöt, jotka edellyttävät suostumusta, jäisivät voimaan. Artikla 88c ei siten olisi yleislupa kerätä mitä tahansa julkisia tai yksityisiä henkilötietoja mallin kouluttamista varten.1

Suojatoimet ratkaisevat käytännön vaikutuksen

Keskustelu 88c artiklasta ei koske vain sitä, voiko oikeutettu etu koskaan soveltua tekoälyyn. Keskeisempi kysymys on, millaiset suojatoimet olisivat pakollisia.

Ehdotuksen ympärillä käsiteltyihin suojatoimiin kuuluvat tietojen minimointi lähteiden valinnassa ja koulutuksessa, tekniset ja organisatoriset suojaukset, ymmärrettävä avoimuus sekä keinot tunnistaa koneellisesti luettavat vastustamispyynnöt tai opt-out-ilmoitukset. Ehdotettuun malliin sisältyy myös ehdoton oikeus vastustaa kyseistä tekoälyyn liittyvää käsittelyä.13

Näillä yksityiskohdilla olisi suuri merkitys. Tietojen minimointi rajoittaisi väitettä, jonka mukaan kehittäjä voisi kerätä kaiken mahdollisesti myöhemmin hyödyllisen datan. Avoimuus antaisi ihmisille mahdollisuuden ymmärtää, mitä heidän tiedoillaan tehdään. Ja todellinen vastustamisoikeus edellyttäisi muutakin kuin vaikeasti löydettävää asetusta.

Arkaluonteiset tiedot eivät olisi vapaasti käytettävissä

Neuvostossa käsitelty arkaluonteisia tietoja koskeva poikkeus on rajattu kapeaan tilanteeseen: kyse olisi satunnaisesta ja jäännösluonteisesta erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä. Toisin sanoen rekisterinpitäjä ei pyrkisi käsittelemään arkaluonteisia tietoja, mutta niitä voisi väistämättä sisältyä pääasialliseen käsittelytoimeen. Tämä eroaa siitä, että arkaluonteisia henkilötietoja kerättäisiin tarkoituksellisesti koulutusaineistoksi.2

Miksi EDPB ja EDPS suhtautuivat varauksella?

EDPB ja Euroopan tietosuojavaltuutettu EDPS eivät kiistäneet sitä, etteikö oikeutettu etu voisi tietyissä tilanteissa tukea tekoälyyn liittyvää käsittelyä. Niiden keskeinen näkemys oli, että erillinen 88c artikla on tarpeeton, koska GDPR:n nykyinen tulkinta mahdollistaa tämän jo soveltuvissa tapauksissa.45

Huoli on sekä käytännöllinen että oikeudellinen: tekoälylle kirjoitettu erityissäännös voidaan tulkita pelkkää selvennystä laajemmaksi. Se voisi hämärtää vakiintuneita GDPR:n suojakeinoja ja lisätä oikeudellista epävarmuutta. Viranomaisten lausunto on neuvoa-antava eikä sido lainsäätäjiä, mutta sillä on painoarvoa neuvotteluissa.5

Onko 88c artikla palautettu? Tilanne on edelleen avoin

Saatavilla olevista lainsäädäntöaineistoista ilmenee, että neuvoston käsittely on ollut kiistanalaista. COREPERissä eli jäsenvaltioiden pysyvien edustajien komiteassa suunniteltu äänestys neuvoston neuvottelumandaatista peruttiin, koska avoimista kysymyksistä ei päästy sopuun. Työ jatkui sen jälkeen Irlannin puheenjohtajakaudella.

Irlannin puheenjohtajakauden ohjelmassa tavoitteeksi asetetaan sopimukseen pääsy Euroopan parlamentin kanssa Digital Omnibus -paketista vuoden 2026 loppuun mennessä. Virallisista aineistoista ei kuitenkaan itsenäisesti voida vahvistaa, että 88c artikla olisi lopullisesti palautettu neuvoston lopulliseen kantaan.

Varovaisin kuvaus on siksi tämä: 88c artikla on poliittisesti kiistanalainen ja neuvoteltavissa. Sitä ei voi vielä pitää sitovana oikeusperusteena, johon yritykset voisivat vedota GDPR:n nykyisten vaatimusten sijasta.

Älä sekoita kahta Digital Omnibus -kokonaisuutta

Sekaannusta lisää se, että toinen säädös, Digital Omnibus on AI, on jo hyväksytty asetuksena (EU) 2026/1744.

Tämä tekoälyä koskeva säädös muuttaa osien AI Act -asetuksen toimeenpanoaikataulua. AI Actin liitteessä III lueteltuja erillisiä korkean riskin järjestelmiä koskevia velvoitteita sovelletaan 2.12.2027 alkaen. Säännellyissä tuotteissa käytettävillä korkean riskin järjestelmillä on myöhempi aikataulu.1920

Kun liitteen III vaatimuksia aletaan soveltaa, niihin kuuluvat muun muassa riskien arviointi ja vähentäminen, syrjiviä vaikutuksia ehkäisemään suunnitellut laadukkaat aineistot, lokitus ja jäljitettävyys, dokumentointi, käyttöönottajille annettavat tiedot, ihmisen toteuttama valvonta sekä toiminnan luotettavuus- ja kyberturvatoimet.20

Nämä AI Actin velvoitteet ovat eri asia kuin GDPR:n kysymys siitä, millä perusteella henkilötietoja saa käsitellä tekoälyn koulutukseen. Korkean riskin tekoälyä koskevien vaatimusten lykkääminen ei säädä 88c artiklaa voimaan.

Mitä tämä merkitsee kehittäjille ja ihmisille?

Tekoälykehittäjille 88c artikla voisi tuoda tekstimuotoista selkeyttä, mutta se ei olisi oikotie vaatimustenmukaisuuteen. Kestävän toimintamallin pitäisi yhä sisältää dokumentoitu arvio käsittelyn välttämättömyydestä ja etujen tasapainosta, tietojen minimointi, avoimet tietokäytännöt sekä toimivat prosessit vastustamispyyntöjen käsittelyyn.

Ihmisten kannalta ratkaisevaa on, säilyttääkö mahdollinen lopullinen laki aidot rajat: onko datan käyttö todella välttämätöntä, pysyykö arkaluonteisten tietojen käyttö kapeasti rajattuna ja toimivatko vastustamismahdollisuudet teknisesti käytännössä eikä vain nimellisesti.

Laajempi suunta ei ole se, että Eurooppa olisi luopunut ennalta ehkäisevästä tekoälysääntelystä. Hyväksytty AI Omnibus siirtää osaa korkean riskin velvoitteista, kun taas erillisessä datapaketissa selvitetään selkeämpää reittiä tiettyyn tekoälyyn liittyvään henkilötietojen käsittelyyn. Lopullinen tasapaino riippuu neuvoston ja parlamentin välisistä neuvotteluista sekä siitä, miten mahdollisesti hyväksyttyä tekstiä tulkitaan ja valvotaan.19