Tarvitaanko vaikutustenarviointi (DPIA) ennen tekoälyn käyttöönottoa?
Lyhyt vastaus
DPIA vaaditaan, kun käsittelystä todennäköisesti aiheutuu korkea riski ihmisille. Tekoälyn kohdalla näin on yleensä silloin, kun tekoäly arvioi tai profiloi ihmisiä järjestelmällisesti (esimerkiksi hakijoita tai työntekijöitä), käsittelee arkaluonteisia tietoja laajasti, valvoo työntekijöitä tai käyttää uutta teknologiaa tavalla, joka vaikuttaa ihmisiin. DPIA kuvaa käsittelyn, sen tarpeellisuuden, riskit ja toimenpiteet. Suuririskisen tekoälyn kohdalla tarjoajan antamat tiedot on otettava huomioon DPIA:ssa (tekoälyasetuksen 26 artiklan 9 kohta).
Tyypillisiä tekoälyn käyttöjä, jotka vaativat DPIA:n
| Tekoälyn käyttö | DPIA? |
|---|---|
| Hakijoiden lajittelu | Yleensä kyllä |
| Työntekijöiden arviointi tai valvonta | Yleensä kyllä |
| Tekoäly terveystietoihin lääkärin vastaanotolla | Yleensä kyllä |
| Asiakkaiden luottokelpoisuuden arviointi | Yleensä kyllä |
| Asiakasyhteydenottojen tiivistelmä pseudonyymeillä | Yleensä ei |
| Uutiskirjeluonnokset ilman henkilötietoja | Ei |
GoalCuben pohja
GoalCubessa on DPIA-luonnos, joka täytetään tekoälyrekisterisi käytön tiedoilla: tarkoitus, tiedot, riski, ihmisen tekemä päätös ja pseudonymisointi. Lisäät omat arviosi ja tallennat sen rekisterin yhteyteen.
Näin toimit
- Kuvaa käyttö.Tarkoitus, tiedot, tekoälytyökalu, keitä asia koskee ja kuka näkee mitä.
- Arvioi tarpeellisuus ja oikeasuhteisuus.Onko tekoäly tarpeen? Pärjäisitkö vähemmillä tiedoilla?
- Tunnista ihmisiin kohdistuvat riskit.Virheet, syrjintä, vuoto, siirto EU:n ulkopuolelle, puutteellinen tarkastusoikeus.
- Kuvaa toimenpiteet.Pseudonymisointi, ihmisen tekemä päätös, pääsynhallinta, loki, poistaminen.
- Keskustele tietosuojavastaavan kanssa, jos sinulla on sellainen.Ja kysy neuvoa tietosuojavaltuutetulta, jos riski on yhä korkea.
Näin laki sanoo
- Tietosuoja-asetuksen 35 artikla – tietosuojaa koskeva vaikutustenarviointi
- Vaaditaan, kun korkea riski on todennäköinen; 7 kohdassa kuvataan sisältö.
- Tietosuoja-asetuksen 36 artikla – ennakkokuuleminen
- Jos riski on edelleen korkea, valvontaviranomaista on kuultava.
- Tekoälysäädöksen 26 artiklan 9 kohta
- Käytä tarjoajan antamia tietoja suuririskisestä tekoälystä DPIA:ssasi.
Kysymyksiä ja vastauksia
Pitääkö ChatGPT:n sähköpostikäytöstä tehdä DPIA?
Yleensä ei, jos mukana ei ole merkittäviä henkilötietoja eikä ketään arvioida.
Pitääkö rekrytoinnin tekoälystä tehdä DPIA?
Yleensä kyllä. Hakijoiden järjestelmällinen arviointi uudella teknologialla on tyyppiesimerkki.
Onko tietosuojavaltuutetulla luettelo?
Kyllä, tietosuojavaltuutettu on julkaissut luettelon käsittelytoimista, jotka edellyttävät vaikutustenarviointia. Tarkista se omaa käyttöäsi vasten.
Lähteet
Kirjoittanut GoalCuben toimitus. Päivitetty viimeksi 11. lokakuuta 2026. GoalCube auttaa sinua noudattamaan tekoälyasetusta ja GDPR:ää. Se ei ole oikeudellista neuvontaa.
Ole ensimmäisten joukossa.
Odotamme lanseeraavamme marraskuussa 2026. Ilmoittaudu, niin kuulet meistä, kun pääset aloittamaan.