GDPR ja tekoäly yksityishenkilölle – oikeutesi selkokielellä

GDPR eli EU:n yleinen tietosuoja-asetus antaa sinulle oikeuden tietää, mitä tietoja sinusta kerätään, ja vaatia niiden korjaamista tai poistamista. Sama koskee tekoälypalveluja: kun kirjoitat ChatGPT:hen tai Geminiin jotain itsestäsi, palvelun tarjoaja käsittelee henkilötietojasi, ja sinulla on samat oikeudet kuin missä tahansa muussa palvelussa. Alla oikeudet käydään läpi selkokielellä, näytetään miten tietopyyntö tehdään ja mitä tekoälysovellusten tietosuoja-asetukset oikeasti tarkoittavat. Tämä ei ole oikeudellista neuvontaa: tarkat ohjeet ja lomakkeet löytyvät osoitteesta tietosuoja.fi.

Tietosuoja-asetus selkokielellä: mistä on kyse

Tietosuojavaltuutetun toimiston mukaan GDPR on henkilötietojen käsittelyä säätelevä laki, jota alettiin soveltaa kaikissa EU-maissa keväällä 2018. Henkilötieto tarkoittaa kaikkia tietoja, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan henkilöön. Se ei ole vain nimi ja henkilötunnus, vaan myös esimerkiksi osoite, IP-osoite tai potilaskertomus.

Kolme käsitettä riittää arkeen:

• Rekisteröity olet sinä, jonka tietoja käsitellään.
• Rekisterinpitäjä on yritys tai organisaatio, joka päättää, miksi ja miten tietojasi käsitellään. Verkkokauppa, taloyhtiö, työnantaja tai tekoälypalvelun tarjoaja.
• Tietosuojaseloste on rekisterinpitäjän kuvaus siitä, mitä tietoja se kerää, miksi ja kuinka kauan säilyttää. Sen pitää löytyä esimerkiksi verkkosivuilta.

GDPR ja tekoäly: miksi tämä koskee ChatGPT:tä ja Geminiä

Tietosuojavaltuutetun toimisto toteaa ohjeessaan tekoälyjärjestelmistä suoraan: ”Tietosuojasääntelyä on noudatettava teknologiasta riippumatta, myös tekoälyjärjestelmissä.” Tekoälypalvelu ei ole poikkeus. Kun liität keskusteluun oman sähköpostisi, lääkärikirjeesi tai työtodistuksesi, siitä tulee henkilötietojen käsittelyä.

Käytännössä tämä tarkoittaa kahta asiaa. Ensinnäkin voit itse päättää, mitä annat. Tarkistuslista on artikkelissa mitä tekoälylle ei saa kertoa. Toiseksi, kun jotain on jo annettu, sinulla on oikeus saada se nähtäväksi, viedä se mukanasi ja pyytää sen poistamista. Palvelujen asetukset on rakennettu juuri näiden oikeuksien ympärille, ja palaamme niihin alempana.

Rekisteröidyn oikeudet yksi kerrallaan

Tietosuojavaltuutetun toimisto listaa kahdeksan oikeutta. Kaikki eivät päde joka tilanteessa: se, millä perusteella tietojasi käsitellään, vaikuttaa siihen, mitkä oikeudet ovat käytössä.

Oikeus tietojen poistoon tarkemmin

Tämä on oikeus, josta kysytään eniten. Tietosuojavaltuutetun toimiston mukaan rekisterinpitäjän on poistettava tietosi esimerkiksi silloin, kun se ei enää tarvitse niitä alkuperäiseen tarkoitukseen, kun peruutat suostumuksesi eikä käsittelylle ole muuta perustetta, kun vastustat suoramarkkinointia tai kun tietoja on käsitelty lainvastaisesti.

Poistoa ei kuitenkaan tarvitse tehdä, jos tiedot ovat tarpeen esimerkiksi lakisääteisen velvoitteen hoitamiseen, sananvapauden toteuttamiseen tai oikeusvaateen puolustamiseen. Siksi pankki ei voi poistaa tilitapahtumiasi pyynnöstäsi: kirjanpitolaki vaatii säilyttämään ne. Kieltäytymisen on kuitenkin aina perustuttava lakiin, ja syy on kerrottava sinulle.

Näin teet tietopyynnön yritykselle

Tietosuojavaltuutetun toimiston ohje on sama kaikille oikeuksille: ota aina ensin yhteyttä rekisterinpitäjään, eli siihen yritykseen tai organisaatioon, joka tietojasi käsittelee. Oikea kanava löytyy yleensä tietosuojaselosteesta tai asiakaspalvelusta. Jos yrityksellä on tietosuojavastaava, pyynnön voi osoittaa hänelle.

Pyyntöön kannattaa kirjoittaa:

1. mitä pyydät (tarkastus, oikaisu, poisto, siirto),
2. mitä tietoja pyyntö koskee ja miltä ajalta,
3. missä muodossa haluat tiedot (esimerkiksi PDF tai taulukko),
4. oma nimesi ja yhteystietosi, jotta yritys voi vastata ja tarvittaessa varmistaa henkilöllisyytesi.

Rekisterinpitäjän on vastattava yhden kuukauden kuluessa. Jos pyyntöjä on useita tai ne ovat monimutkaisia, se voi ilmoittaa tarvitsevansa lisäaikaa, jolloin vastausaika on enintään kolme kuukautta alkuperäisestä pyynnöstä. Pidempi käsittelyaika ei vielä tarkoita kieltäytymistä. Ensimmäinen jäljennös tiedoista on yleensä maksuton, ja tietojen poistaminen on maksutonta.

Tekoäly on tässä hyvä kirjuri. Se muotoilee asiallisen pyynnön, mutta tiedot ja päätös lähettämisestä ovat sinun.

Luonnostele asiallinen ja lyhyt tietopyyntö suomeksi yritykselle [yrityksen nimi]. Pyydän EU:n tietosuoja-asetuksen mukaisesti [kopion kaikista minua koskevista henkilötiedoista / tietojeni poistamista / virheellisen tiedon oikaisua: kuvaa virhe].

Sisällytä:
- selkeä otsikko,
- mitä pyydän ja miltä ajalta,
- missä muodossa haluan tiedot,
- maininta, että odotan vastausta kuukauden kuluessa,
- kohta, johon lisään itse nimeni ja yhteystietoni.

Älä keksi lakipykäliä tai yksityiskohtia, joita en antanut. Pidä sävy kohtelias ja neutraali.

Jos yritys ei vastaa: ilmoitus tietosuojavaltuutetulle

Jos rekisterinpitäjä ei vastaa määräajassa tai kieltäytyy perusteella, joka ei mielestäsi ole oikea, voit tehdä ilmoituksen Tietosuojavaltuutetun toimistolle. Ilmoitus tehdään tietosuoja.fi-sivuston lomakkeella ”Ilmoitus tietosuojavaltuutetulle”. Toimisto painottaa, että ensin on oltava yhteydessä rekisterinpitäjään; valtuutettu ei ole ensimmäinen osoite vaan seuraava askel.

Ilmoituksen voi tehdä myös nimettömästi jättämällä yhteystiedot tyhjiksi. Silloin toimisto ei kuitenkaan voi kertoa sinulle, miten asia ratkesi. Jos ilmoitus sisältää salassa pidettäviä tai arkaluonteisia tietoja, toimisto ohjaa käyttämään Turvaviesti-palvelua tavallisen lomakkeen sijasta. Käsittelyajat vaihtelevat, ja toimiston oma tavoiteaika on vuosi, joten ilmoitus ei ole pikatie vaan virallinen reitti.

Tekoälyvalmentajana toimii tässä parhaiten kysymys ”mitä minun pitää liittää mukaan”. Toimisto toivoo esimerkiksi kuvakaappauksia ja kopioita viestinvaihdostasi yrityksen kanssa. Kokoa ne kansioon ennen lomakkeen täyttämistä.

Mitä tekoälypalvelujen tietosuoja-asetukset tarkoittavat GDPR:n kielellä

Tekoälysovellusten asetusvalikot puhuvat ”mallin parantamisesta” ja ”aktiivisuudesta”. GDPR puhuu suostumuksesta, siirto-oikeudesta ja poistosta. Alla on käännös näiden välillä. Valikkojen nimet ja sijainnit voivat muuttua sovellusversion mukana, joten tarkista ajantasainen ohje palvelun omasta ohjekeskuksesta.

ChatGPT

• Koulutuksesta kieltäytyminen. OpenAI:n ohjeen mukaan asetus ”Improve the model for everyone” löytyy kohdasta Settings → Data controls. Kun se on pois päältä, keskustelujasi ei käytetä mallien kouluttamiseen, ja keskusteluhistoria säilyy silti. Kirjautuneella käyttäjällä asetus koskee tiliä kaikilla laitteilla. Asetuksen poiskytkeminen ei poista tallennettuja keskusteluja; ne poistat erikseen. GDPR:n kielellä tämä on lähinnä oikeutta vastustaa käsittelyä tiettyyn tarkoitukseen.
• Tietojen vienti. Ohjeen mukaan kirjautunut käyttäjä voi pyytää kopion tiedoistaan polusta Settings → Data controls → Export. Latauslinkki tulee sähköpostiin ja vanhenee 24 tunnissa; vienti voi kestää jopa 7 päivää. Tämä vastaa oikeutta saada tutustua tietoihin ja oikeutta siirtää ne.
• Tilin poisto. Tilin voi poistaa asetuksista, ja poisto on pysyvä. OpenAI ilmoittaa poistavansa tiedot 30 päivän kuluessa lukuun ottamatta rajattua joukkoa tietoja, joita laki vaatii tai sallii säilyttää pidempään. Jos et pääse kirjautumaan, poistopyynnön voi tehdä OpenAI:n Privacy Portal -palvelussa. Tämä on oikeus tietojen poistoon käytännössä.

Katso myös, miten mukautetut ohjeet vaikuttavat siihen, mitä tietoja ChatGPT muistaa sinusta keskustelusta toiseen.

Gemini

• Keep Activity -asetus. Googlen ohjeen mukaan Gemini-keskustelut, lataamasi tiedostot ja niihin liittyvät tiedot tallentuvat Gemini Apps Activity -historiaan, kun asetus on päällä. Kun kytket sen pois, uusia keskusteluja ei näytetä historiassa eikä niitä käytetä Googlen tekoälymallien kouluttamiseen, ellet lähetä palautetta.
• Automaattinen poisto. Oletuksena aktiivisuus poistetaan automaattisesti 18 kuukauden jälkeen. Ajan voi vaihtaa 3 tai 36 kuukauteen tai automaattisen poiston voi kytkeä pois.
• Ihmisarviointi. Googlen ohje kertoo avoimesti, että osa keskusteluista voi päätyä ihmisarvioijien luettavaksi palvelun parantamiseksi, kun asetus on päällä. Arvioidut keskustelut irrotetaan tilistäsi ja säilytetään enintään kolme vuotta. Kun asetus on pois päältä, keskustelut säilyvät tililläsi 72 tuntia.

Vertailu palvelujen välillä löytyy artikkelista ChatGPT vs Gemini.

Mitä asetukset eivät tee

Mikään asetus ei poista sitä, mitä olet jo kirjoittanut, takautuvasti koulutusaineistosta, jos se ehti sinne ennen asetuksen vaihtamista. Siksi järjestys on tärkeä: asetukset ensin, keskustelut sitten. Ja tärkein sääntö pätee aina: se, mitä et anna, ei tarvitse poistoa.

Tekoälyasetus (AI Act) kahdella lauseella

GDPR:n rinnalle on tullut EU:n tekoälyasetus. Euroopan komission mukaan se on riskiperusteinen: kielletyt käytännöt, kuten sosiaalinen pisteytys, on kielletty kokonaan, korkean riskin järjestelmille (esimerkiksi rekrytointi ja luottoluokitus) on tiukat vaatimukset, ja chatbottien kaltaisten järjestelmien on kerrottava käyttäjälle, että kyse on tekoälystä. Asetus tuli voimaan 1.8.2024 ja sitä sovelletaan vaiheittain; komission sivun mukaan asetus on ollut yleisesti sovellettava 2.8.2026 alkaen, ja osa korkean riskin velvoitteista tulee voimaan myöhemmin.

Sinulle yksityishenkilönä tämä tarkoittaa lähinnä sitä, että tekoälyn käytöstä on kerrottava avoimemmin ja että korkean riskin tilanteissa ihmisen on valvottava konetta. GDPR hoitaa edelleen itse henkilötiedot.

Kaksi kehotetta, jotka tekevät tietosuojasta ymmärrettävää

Tietosuojaseloste on usein pitkä ja juridinen. Tekoäly osaa tiivistää sen, kunhan muistat, että tiivistelmä voi olla väärin ja alkuperäinen teksti ratkaisee.

Selitä alla oleva tietosuojaseloste selkokielellä. Vastaa näihin kysymyksiin, jokaiseen 1–3 lauseella:
1. Mitä tietoja minusta kerätään?
2. Mihin tarkoitukseen niitä käytetään?
3. Kenelle tietoja luovutetaan tai missä maissa niitä käsitellään?
4. Kuinka kauan tietoja säilytetään?
5. Miten voin pyytää tietojeni tarkastamista tai poistamista ja mistä yhteystiedot löytyvät?
Jos johonkin kysymykseen ei löydy vastausta selosteesta, sano se suoraan äläkä arvaa.

Tietosuojaseloste:
[liitä teksti]

Kolmas kehote katsoo taaksepäin: mitä olet itse jo antanut tekoälylle. Tämä toimii parhaiten, kun olet ensin vienyt tietosi ulos palvelusta ja avaat tiedoston uudessa keskustelussa, tai kun käyt läpi pitkää keskustelua.

Käy läpi alla oleva keskusteluhistoria ja listaa kaikki kohdat, joissa olen antanut henkilötietoja itsestäni tai muista: nimiä, osoitteita, puhelinnumeroita, sähköposteja, terveystietoja, taloustietoja, työnantajan tietoja tai tunnistettavia yksityiskohtia. Ryhmittele löydöt tyypin mukaan ja merkitse, mitkä koskevat muita ihmisiä kuin minua. Älä toista arkaluonteisia tietoja kokonaan, vaan kuvaa ne yleisesti (esimerkiksi ”puhelinnumero” tai ”diagnoosi”). Lopuksi ehdota, mitkä keskustelut kannattaa poistaa.

Keskusteluhistoria:
[liitä teksti]

Milloin kannattaa kääntyä ihmisen puoleen

Tekoäly selittää ja luonnostelee, mutta se ei tunne juuri sinun tilannettasi eikä anna oikeudellista neuvontaa. Jos kyse on vakavasta tietovuodosta, riidasta työnantajan kanssa tai epäselvästä kieltäytymisestä, Tietosuojavaltuutetun toimiston puhelinneuvonta antaa yleisluontoista ohjausta, ja lomakkeella voit laittaa asian vireille. Kirjassa ”Kehotekirja – Tekoäly arjessa ja työssä” periaate on sama kuin tässä: tekoäly on apuri, ei auktoriteetti. Oikeutesi ovat laissa, ja niiden käyttäminen on sinun päätöksesi.