• PDF

Koneoppiminen EU:n yleisen tietosuoja-asetuksen valossa – etenkin automaattisen päätöksenteon näkökulmasta

Opinnäytetyöt 4.5.2018, Gradut ja muut tutkielmat

Koneoppiminen on yksi merkittävä big data -analytiikan sovellus ja samalla tekoälyn tutkituin osa-alue. Sen merkitys kasvaa jatkuvasti ja hyödyntäminen yleistyy eri sektoreilla. Kun koneoppimisessa käytetään henkilötietoja, nousee keskeiseksi kysymykseksi koneoppimisprosessin yhteensopivuus tietosuojalainsäädännön kanssa.

Tutkielman tarkoituksena on tarkastella, miten EU:n yleinen tietosuoja-asetus vaikuttaa koneoppimisen hyödyntämiseen ja havaita mahdolliset tietosuojaongelmat koneoppimisprosessissa. Työn tavoitteena on jäsennellä nämä ongelmat artiklakohtaisesti koneoppimisprosessin eri vaiheisiin ja tunnistaa mahdollisia riskitekijöitä, jotka voivat johtaa asetuksen rikkomiseen. Tällä jäsentelyllä on tarkoitus selventää sitä kehystä, jonka sisällä operoidaan, kun koneoppimisessa käytetään henkilötietoja. Koneoppimisen soveltamista tarkastellaan työssä erityisesti automaattisen päätöksenteon kannalta.

Tutkielmassa perehdytään ensinnäkin tietosuojakysymyksiin koneen opettamisvaiheessa, eli kun koneoppimisalgoritmille syötetään harjoitusdataa, jonka perusteella algoritmi opetetaan toimimaan tietyssä tehtävässä. Tällöin olennaisia kysymyksiä nousee esiin perinteisten tietosuojaperiaatteiden, kuten käyttötarkoitussidonnaisuuden, tietojen minimoinnin ja säilytyksen rajoittamisen suhteen. Nämä periaatteet rajoittavat käytettävissä olevan datan määrää ja siten osaltaan vaikeuttavat tehokkaan koneoppimisalgoritmin luomista. Big data -analytiikan on yleensä katsottu hyötyvän käyttötarkoitussidonnaisuuden ja säilytyksen rajoittamisen periaatteisiin liittyvästä poikkeuksesta, joka sallii joustamisen datan keräämisen ja käsittelyn rajoittamisessa, mikäli henkilötietoja käytetään tilastollisiin tarkoituksiin. Koneoppimisen yhteydessä ei ole kuitenkaan lainkaan selvää, että tämä poikkeus on käytettävissä, mikäli koneoppimista halutaan hyödyntää automaattisessa päätöksenteossa. Opettamisvaiheessa merkitystä on myös anonymisoinnilla, joka oikein toteutettuna mahdollistaa operoimisen tietosuojalainsäädännön ulkopuolella. Anonymisointi ei ole kuitenkaan aina yksinkertainen ratkaisu.

Lisäksi tutkielmassa tarkastellaan koneoppimista sen soveltamisvaiheen kannalta, josta esimerkkinä käytetään automaattista päätöksentekoa. Tietosuoja-asetuksessa on automaattista päätöksentekoa koskien oma artiklansa, joka lähtökohtaisesti rajoittaa mahdollisuuksia tehdä automaattisia päätöksiä. Olennaiseksi tässä yhteydessä nousee artiklan sanamuodon tulkinta siinä, millainen päätös katsotaan asetuksen tarkoittamalla tavalla automaattiseksi ja yksilölle merkittäviä vaikutuksia aiheuttavaksi. Artiklassa on kuitenkin säännelty myös poikkeustilanteista, joissa automaattisen päätöksenteon käyttöä ei rajoiteta. Lisäksi tässä yhteydessä on hyvä ottaa huomioon tietosuoja-asetuksen vaatimukset vaikutustenarvioinnin suorittamisesta.

Lopulta koneoppimista käsitellään kokonaisuutena suhteessa tietosuoja-asetuksen 5(1)(a) artiklan periaatteisiin, joiden mukaan henkilötietojen käsittelyn on oltava lainmukaista, kohtuullista ja läpinäkyvää. Näiden periaatteiden noudattaminen ei ole koneoppimisen yhteydessä yksinkertaista. Lainmukaisuutta tarkastellaan erityisesti suostumuksen näkökulmasta, kohtuullisuutta taas syrjimättömyyden kannalta ja läpinäkyvyyttä niiden tietojen kautta, joita automaattisen päätöksenteon yhteydessä rekisteröidylle tulee antaa. Lisäksi todetaan, että asetuksen mukaiset hallinnolliset sakot kohdistuvat koneoppimisen kannalta kaikista haastavimpien artikloiden noudattamisen rikkomiseen.

Kokonaisuutena tietosuoja-asetus ei parhaimmalla mahdollisella tavalla taivu koneoppimisen erityispiirteisiin, mistä johtuen jännitteitä on havaittavissa koko koneoppimisprosessissa. Asetuksen artikloiden tulkinnalla on suuri merkitys siihen, kuinka hyvin koneoppimista on mahdollista toteuttaa asetuksen aikakaudella.
(Edilex-toimitus)

Asiasanat
• Automaattinen päätöksenteko - Euroopan unioni - Tekoäly - Tietosuoja

Linkit
• EPNAs (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (GDPR) 27.4.2016