Yksi tärkeä poikkeus koskee tiettyjä julkisesti saatavilla olevia henkilötietoja, joita voidaan käyttää tekoälyn kehittämiseen ilman suostumusta, jos PDPA:n edellytykset täyttyvät.

Mitä ilmoituksessa pitää kertoa?

PDPC:n linjaus tähtää siihen, että ihmiset ymmärtävät sekä tekoälypalvelun että sen taustalla olevan dataketjun. Ilmoituksessa tulisi kuvata ainakin seuraavat asiat:

• Mitä malli tekee ja miksi sitä kehitetään
• Minkä tyyppisiä henkilötietoja käytetään, kuten yhteystietoja, osto- tai sijaintitietoja, videoita tai äänitallenteita
• Miten tiedot vaikuttavat malliin, eikä vain sitä, että niitä ”käsitellään”
• Miten henkilö voi kieltäytyä tai peruuttaa suostumuksensa käytännöllisillä ja kohtuullisen helposti löydettävillä ohjeilla

Tavoitteena ei ole piilottaa olennaista tietoa pitkän tietosuojaselosteen sekaan. PDPC on pitänyt mahdollisina ratkaisuina esimerkiksi näkyvää ilmoitusta palvelussa tai erillistä verkkosivua.

Esimerkki: äänidatan käyttö puhesynteesissä

Teksti puheeksi -toimintoa kehittävä yritys voisi kertoa käyttävänsä asiakkaiden äänitallenteita mallin kouluttamiseen. Samalla sen tulisi selittää, että tallenteiden avulla järjestelmä oppii tunnistamaan puheen ominaisuuksia ja erilaisia puhemalleja. Tämä on huomattavasti täsmällisempää kuin ilmoittaa tietojen olevan käytössä vain ”tuotteen parantamiseen”.

Ilmoittaminen ei tarkoita samaa kuin suostumus

Keskeinen ero on siinä, että ihmisille kertominen ja henkilötietojen käytön oikeusperustan osoittaminen ovat eri asioita. PDPA:n yleisen kehyksen mukaan organisaation on yleensä ilmoitettava käyttötarkoituksesta ja hankittava suostumus, ellei jokin lain poikkeus sovellu.

Lopulliset ohjeet täsmentävät erityisesti sitä, mitä ilmoituksessa on sanottava silloin, kun suostumusta tarvitaan: organisaation on mainittava nimenomaisesti suunniteltu henkilötietojen käyttö tekoälymallin kehittämiseen.

Tämä ei kuitenkaan tarkoita, että jokainen henkilötietojen käyttö tekoälyn koulutuksessa vaatisi automaattisesti erillisen nimenomaisen suostumuksen. Ratkaisu riippuu sovellettavasta PDPA:n poikkeuksesta, mukaan lukien julkisesti saatavilla olevia tietoja koskevat säännöt.

Yritysten käytännön oppi on selvä: jokainen koulutusaineisto ja sen oikeusperusta kannattaa dokumentoida erikseen. Selkeä ilmoitus ei korvaa suostumusta silloin, kun laki sitä edellyttää, eikä suostumusta voi päätellä liian yleisestä kuvauksesta, joka ei kerro todellisesta tekoälyn käyttötarkoituksesta.

Mitä luonnoksesta jäi avoimeksi?

Konsultaatiovaiheen ehdotus herätti useita käytännön kysymyksiä. Lopulliset ohjeet selkeyttävät osaa niistä, mutta ilmoitusvelvollisuus ei ratkaise kaikkia henkilötietojen käyttöön liittyviä valta- ja oikeudenmukaisuuskysymyksiä.

Tarvitaanko aina nimenomainen suostumus?

Luonnoksessa ei selvästi todettu, että myönteinen ja nimenomainen suostumus vaadittaisiin kaikissa generatiivisen tekoälyn koulutustilanteissa. Se jätti avoimeksi, milloin kieltäytymiseen perustuva malli voisi olla hyväksyttävä ja milloin PDPA:n poikkeusta voitaisiin käyttää.

Lopullisten ohjeiden perusteella organisaatioiden on arvioitava oikeusperusta tapauskohtaisesti. Tekoälyä koskeva ilmoitus ei ole yleinen korvike suostumukselle.

Poistaako anonymisointi ilmoitusongelman?

Luonnos ei myöskään täysin selventänyt, koskeeko tekoälyä koskeva erityinen ilmoitusvelvollisuus tilanteita, joissa tiedot anonymisoidaan ennen koulutusta.

Arvio riippuu esimerkiksi siitä, voidaanko tiedot edelleen yhdistää tunnistettavaan henkilöön sekä siitä, miten anonymisointi on toteutettu ja dokumentoitu. Saatavilla olevien tietojen perusteella anonymisointia ei voi pitää automaattisena ratkaisuna kaikkiin aineistoihin.

Voiko palvelun evätä, jos henkilö kieltäytyy?

Avoimeksi jäi myös, voivatko pankit, vakuutusyhtiöt, alustat tai muut palveluntarjoajat kieltäytyä tarjoamasta palvelua henkilölle, joka ei hyväksy tietojensa käyttöä tekoälyn koulutuksessa.

Paperilla tarjottu mahdollisuus kieltäytyä ei välttämättä ole aidosti merkityksellinen, jos kieltäytymisestä seuraa palvelun menettäminen tai huomattava kustannus. Ilmoitusvelvollisuus parantaa näkyvyyttä, mutta se ei yksin ratkaise palvelujen saatavuutta, valinnan vapaaehtoisuutta tai asiakkaan ja palveluntarjoajan välistä neuvotteluasemaa.

Sama huoli näkyy älylaitteissa

Generatiivisen tekoälyn ohjeet liittyvät laajempaan keskusteluun tuotteista, jotka keräävät tietoja käyttäjän tai sivullisten huomaamatta. PDPC:n komissaarin Denise Wongin painopisteisiin on liitetty esimerkiksi älylasit, älykellot ja kämmenen skannaamiseen perustuvat maksujärjestelmät.

Tällaiset laitteet voivat käsitellä arkaluonteisia tietoja, kuten kasvonpiirteitä, sormenjälkiä, äänidataa ja kämmenen verisuonikuvioita. Esillä olleita riskejä ovat salaa tehtävä tallennus, biometrisen tiedon paljastuminen tai väärinkäyttö sekä älylasien käyttö koemateriaalin tai muun tiedon kuvaamiseen huijaamistarkoituksessa.

Singaporen digitaalisen kehityksen ja tiedon ministeriö MDDI on käsitellyt myös älylasien näkyviä tallennusilmaisimia sekä sitä, miten laitteen lähellä olevien, laitteen ulkopuolisten ihmisten biometrisiä tai ympäristöön liittyviä tietoja voidaan kerätä.

Perimmäinen kysymys on, saavatko ihmiset aidosti mahdollisuuden ymmärtää, mitä tapahtuu. Pieni merkkivalo tai laitteen käyttöehdot syvällä dokumentaatiossa ei välttämättä anna sivulliselle realistista mahdollisuutta huomata tallennusta tai vaikuttaa siihen.

Mitä organisaatioiden kannattaa tehdä nyt?

Singaporessa generatiivista tekoälyä kehittävien tai käyttöön ottavien tiimien kannattaa käsitellä ohjeita käytännön tietohallinnon tarkistuslistana:

1. Yhdistä jokainen tietoaineisto tiettyyn käyttötarkoitukseen. Selvitä, käytetäänkö tietoja koulutukseen, hienosäätöön, testaamiseen, valvontaan vai johonkin muuhun.
2. Valitse ja dokumentoi PDPA:n mukainen oikeusperusta. Kirjaa, tarvitaanko suostumus vai vedotaanko lain poikkeukseen.
3. Uudista yleiset tietosuojailmoitukset. Kerro suoraan, jos henkilötietoja käytetään generatiivisen tekoälymallin kehittämiseen tai parantamiseen.
4. Kuvaa tietokategoriat ja mallin tehtävä. Ihmisten pitää pystyä ymmärtämään, mitä tietoja käytetään ja mitä ne auttavat mallia tekemään.
5. Tee valinnasta toimiva. Kerro selkeästi, miten käytöstä voi kieltäytyä tai suostumuksen peruuttaa, ja dokumentoi pyyntöjen käsittely.
6. Arvioi verkottuneet laitteet erikseen. Älylasit, puettavat laitteet, kamerat ja biometriset järjestelmät voivat herättää kysymyksiä myös sellaisten ihmisten tiedoista, jotka eivät itse käytä laitetta.

Singaporen linjaus ei siis ensisijaisesti kiellä henkilötietojen käyttöä generatiivisessa tekoälyssä. Se pyrkii tekemään käytöstä näkyvää, täsmällistä ja tunnistettavaan oikeusperustaan sidottua. Lopulliset ohjeet kaventavat perinteisten, ympäripyöreiden tietosuojaselosteiden ja nykyaikaisen tekoälykehityksen välistä kuilua, mutta aidon valinnan ja arkaluonteisen tai sivullisilta kerätyn datan kaltaiset kysymykset pysyvät edelleen vaikeina hallinnollisina ja eettisinä haasteina.

Yksi tärkeä poikkeus koskee tiettyjä julkisesti saatavilla olevia henkilötietoja, joita voidaan käyttää tekoälyn kehittämiseen ilman suostumusta, jos PDPA:n edellytykset täyttyvät.

Mitä ilmoituksessa pitää kertoa?

PDPC:n linjaus tähtää siihen, että ihmiset ymmärtävät sekä tekoälypalvelun että sen taustalla olevan dataketjun. Ilmoituksessa tulisi kuvata ainakin seuraavat asiat:

• Mitä malli tekee ja miksi sitä kehitetään
• Minkä tyyppisiä henkilötietoja käytetään, kuten yhteystietoja, osto- tai sijaintitietoja, videoita tai äänitallenteita
• Miten tiedot vaikuttavat malliin, eikä vain sitä, että niitä ”käsitellään”
• Miten henkilö voi kieltäytyä tai peruuttaa suostumuksensa käytännöllisillä ja kohtuullisen helposti löydettävillä ohjeilla

Tavoitteena ei ole piilottaa olennaista tietoa pitkän tietosuojaselosteen sekaan. PDPC on pitänyt mahdollisina ratkaisuina esimerkiksi näkyvää ilmoitusta palvelussa tai erillistä verkkosivua.

Esimerkki: äänidatan käyttö puhesynteesissä

Teksti puheeksi -toimintoa kehittävä yritys voisi kertoa käyttävänsä asiakkaiden äänitallenteita mallin kouluttamiseen. Samalla sen tulisi selittää, että tallenteiden avulla järjestelmä oppii tunnistamaan puheen ominaisuuksia ja erilaisia puhemalleja. Tämä on huomattavasti täsmällisempää kuin ilmoittaa tietojen olevan käytössä vain ”tuotteen parantamiseen”.

Ilmoittaminen ei tarkoita samaa kuin suostumus

Keskeinen ero on siinä, että ihmisille kertominen ja henkilötietojen käytön oikeusperustan osoittaminen ovat eri asioita. PDPA:n yleisen kehyksen mukaan organisaation on yleensä ilmoitettava käyttötarkoituksesta ja hankittava suostumus, ellei jokin lain poikkeus sovellu.

Lopulliset ohjeet täsmentävät erityisesti sitä, mitä ilmoituksessa on sanottava silloin, kun suostumusta tarvitaan: organisaation on mainittava nimenomaisesti suunniteltu henkilötietojen käyttö tekoälymallin kehittämiseen.

Tämä ei kuitenkaan tarkoita, että jokainen henkilötietojen käyttö tekoälyn koulutuksessa vaatisi automaattisesti erillisen nimenomaisen suostumuksen. Ratkaisu riippuu sovellettavasta PDPA:n poikkeuksesta, mukaan lukien julkisesti saatavilla olevia tietoja koskevat säännöt.

Yritysten käytännön oppi on selvä: jokainen koulutusaineisto ja sen oikeusperusta kannattaa dokumentoida erikseen. Selkeä ilmoitus ei korvaa suostumusta silloin, kun laki sitä edellyttää, eikä suostumusta voi päätellä liian yleisestä kuvauksesta, joka ei kerro todellisesta tekoälyn käyttötarkoituksesta.

Mitä luonnoksesta jäi avoimeksi?

Konsultaatiovaiheen ehdotus herätti useita käytännön kysymyksiä. Lopulliset ohjeet selkeyttävät osaa niistä, mutta ilmoitusvelvollisuus ei ratkaise kaikkia henkilötietojen käyttöön liittyviä valta- ja oikeudenmukaisuuskysymyksiä.

Tarvitaanko aina nimenomainen suostumus?

Luonnoksessa ei selvästi todettu, että myönteinen ja nimenomainen suostumus vaadittaisiin kaikissa generatiivisen tekoälyn koulutustilanteissa. Se jätti avoimeksi, milloin kieltäytymiseen perustuva malli voisi olla hyväksyttävä ja milloin PDPA:n poikkeusta voitaisiin käyttää.

Lopullisten ohjeiden perusteella organisaatioiden on arvioitava oikeusperusta tapauskohtaisesti. Tekoälyä koskeva ilmoitus ei ole yleinen korvike suostumukselle.

Poistaako anonymisointi ilmoitusongelman?

Luonnos ei myöskään täysin selventänyt, koskeeko tekoälyä koskeva erityinen ilmoitusvelvollisuus tilanteita, joissa tiedot anonymisoidaan ennen koulutusta.

Arvio riippuu esimerkiksi siitä, voidaanko tiedot edelleen yhdistää tunnistettavaan henkilöön sekä siitä, miten anonymisointi on toteutettu ja dokumentoitu. Saatavilla olevien tietojen perusteella anonymisointia ei voi pitää automaattisena ratkaisuna kaikkiin aineistoihin.

Voiko palvelun evätä, jos henkilö kieltäytyy?

Avoimeksi jäi myös, voivatko pankit, vakuutusyhtiöt, alustat tai muut palveluntarjoajat kieltäytyä tarjoamasta palvelua henkilölle, joka ei hyväksy tietojensa käyttöä tekoälyn koulutuksessa.

Paperilla tarjottu mahdollisuus kieltäytyä ei välttämättä ole aidosti merkityksellinen, jos kieltäytymisestä seuraa palvelun menettäminen tai huomattava kustannus. Ilmoitusvelvollisuus parantaa näkyvyyttä, mutta se ei yksin ratkaise palvelujen saatavuutta, valinnan vapaaehtoisuutta tai asiakkaan ja palveluntarjoajan välistä neuvotteluasemaa.

Sama huoli näkyy älylaitteissa

Generatiivisen tekoälyn ohjeet liittyvät laajempaan keskusteluun tuotteista, jotka keräävät tietoja käyttäjän tai sivullisten huomaamatta. PDPC:n komissaarin Denise Wongin painopisteisiin on liitetty esimerkiksi älylasit, älykellot ja kämmenen skannaamiseen perustuvat maksujärjestelmät.

Tällaiset laitteet voivat käsitellä arkaluonteisia tietoja, kuten kasvonpiirteitä, sormenjälkiä, äänidataa ja kämmenen verisuonikuvioita. Esillä olleita riskejä ovat salaa tehtävä tallennus, biometrisen tiedon paljastuminen tai väärinkäyttö sekä älylasien käyttö koemateriaalin tai muun tiedon kuvaamiseen huijaamistarkoituksessa.

Singaporen digitaalisen kehityksen ja tiedon ministeriö MDDI on käsitellyt myös älylasien näkyviä tallennusilmaisimia sekä sitä, miten laitteen lähellä olevien, laitteen ulkopuolisten ihmisten biometrisiä tai ympäristöön liittyviä tietoja voidaan kerätä.

Perimmäinen kysymys on, saavatko ihmiset aidosti mahdollisuuden ymmärtää, mitä tapahtuu. Pieni merkkivalo tai laitteen käyttöehdot syvällä dokumentaatiossa ei välttämättä anna sivulliselle realistista mahdollisuutta huomata tallennusta tai vaikuttaa siihen.

Mitä organisaatioiden kannattaa tehdä nyt?

Singaporessa generatiivista tekoälyä kehittävien tai käyttöön ottavien tiimien kannattaa käsitellä ohjeita käytännön tietohallinnon tarkistuslistana:

1. Yhdistä jokainen tietoaineisto tiettyyn käyttötarkoitukseen. Selvitä, käytetäänkö tietoja koulutukseen, hienosäätöön, testaamiseen, valvontaan vai johonkin muuhun.
2. Valitse ja dokumentoi PDPA:n mukainen oikeusperusta. Kirjaa, tarvitaanko suostumus vai vedotaanko lain poikkeukseen.
3. Uudista yleiset tietosuojailmoitukset. Kerro suoraan, jos henkilötietoja käytetään generatiivisen tekoälymallin kehittämiseen tai parantamiseen.
4. Kuvaa tietokategoriat ja mallin tehtävä. Ihmisten pitää pystyä ymmärtämään, mitä tietoja käytetään ja mitä ne auttavat mallia tekemään.
5. Tee valinnasta toimiva. Kerro selkeästi, miten käytöstä voi kieltäytyä tai suostumuksen peruuttaa, ja dokumentoi pyyntöjen käsittely.
6. Arvioi verkottuneet laitteet erikseen. Älylasit, puettavat laitteet, kamerat ja biometriset järjestelmät voivat herättää kysymyksiä myös sellaisten ihmisten tiedoista, jotka eivät itse käytä laitetta.

Singaporen linjaus ei siis ensisijaisesti kiellä henkilötietojen käyttöä generatiivisessa tekoälyssä. Se pyrkii tekemään käytöstä näkyvää, täsmällistä ja tunnistettavaan oikeusperustaan sidottua. Lopulliset ohjeet kaventavat perinteisten, ympäripyöreiden tietosuojaselosteiden ja nykyaikaisen tekoälykehityksen välistä kuilua, mutta aidon valinnan ja arkaluonteisen tai sivullisilta kerätyn datan kaltaiset kysymykset pysyvät edelleen vaikeina hallinnollisina ja eettisinä haasteina.