Ongelma ei ole tekoäly, vaan se ettei kukaan päättänyt mitään
Useimmissa yrityksissä tekoälytyökaluja käytetään jo, riippumatta siitä onko siitä sovittu.
Se tapahtuu käytännössä niin, että joku liittää tekstin työkaluun saadakseen siitä tiivistelmän tai käännöksen. Teksti voi olla asiakassopimus, tarjous, sähköpostiketju tai potilastieto.
Siinä hetkessä tieto on lähtenyt yrityksestä palveluun, jonka ehtoja kukaan ei ole lukenut.
Ratkaisu ei ole kieltää työkaluja, koska kielto ei toimi ja koska työkaluista on hyötyä. Ratkaisu on päättää mitä saa syöttää ja mihin.
Kolme kysymystä, joilla työkalu arvioidaan
- Käytetäänkö syötteitä mallin kouluttamiseen. Tämä vaihtelee palvelun ja tilaustyypin mukaan, ja se on usein eri ilmaisessa ja maksullisessa versiossa.
- Missä tieto käsitellään ja säilytetään. Sijainti vaikuttaa siihen mitä sääntöjä sovelletaan.
- Kuinka kauan tieto säilyy ja voiko sen poistaa.
Näihin kolmeen löytyy vastaus palvelun ehdoista, ja niiden lukeminen kestää vartin. Se on halvin tietoturvatyö, jonka yritys voi tehdä.
Henkilötiedot ovat oma lukunsa
Jos syötteessä on henkilötietoja, kyseessä on henkilötietojen käsittely, ja siihen sovelletaan tietosuojasääntelyä siinä missä muuhunkin käsittelyyn.
Käytännössä se tarkoittaa, että käsittelylle pitää olla peruste, siitä pitää kertoa tietosuojaselosteessa, ja palveluntarjoajan kanssa tarvitaan käsittelysopimus.
Yksinkertaisin tapa välttää koko kysymys on olla syöttämättä henkilötietoja. Useimmissa käyttötilanteissa se onnistuu poistamalla nimet ja tunnisteet ennen syöttöä.
Arkaluontoiset tiedot, kuten terveystiedot, ovat oma tiukempi luokkansa, ja niiden osalta oletus kannattaa olla ettei niitä syötetä lainkaan ilman erillistä selvitystä.
Liikesalaisuudet katoavat huomaamatta
Tietosuoja koskee henkilötietoja. Liikesalaisuudet ovat eri asia ja yhtä tärkeä.
Hinnoittelumallit, tarjoukset, sopimusluonnokset, lähdekoodi ja asiakaslistat ovat kaikki tietoa, jonka päätyminen ulos yrityksestä on vahinko riippumatta siitä sisältääkö se henkilötietoja.
Sama koskee asiakkaan tietoja. Moni asiakassopimus sisältää salassapitoehdon, joka kieltää tiedon luovuttamisen kolmansille osapuolille, ja tekoälypalvelu on kolmas osapuoli.
Tämä on syy, jonka takia isot asiakkaat kysyvät nykyään suoraan, käytätkö tekoälyä heidän aineistoonsa. Vastaus kannattaa olla valmiina.
Kirjoita yhden sivun ohje, ei kymmenen sivun politiikkaa
Pitkä ohjeistus jää lukematta. Yhden sivun ohje, joka kertoo mitä saa ja mitä ei, luetaan.
Toimiva ohje sisältää kolme kohtaa: mitä työkaluja saa käyttää, mitä niihin saa syöttää, ja mitä pitää tarkistaa ennen kuin tulosta käytetään.
Konkreettiset esimerkit toimivat paremmin kuin periaatteet. "Saa syöttää: julkiset tekstit, omat muistiinpanot, yleiset kysymykset. Ei saa syöttää: asiakassopimukset, henkilötiedot, hinnoittelu, lähdekoodi."
Ohjeen pitää kertoa myös, keneltä kysytään jos on epävarma. Ilman sitä epävarma tilanne ratkaistaan arvaamalla.
Tuloksen tarkistaminen on osa prosessia
Tietosuojan lisäksi on toinen riski, joka toteutuu useammin: väärä tieto.
Tekoälyn tuottama teksti voi sisältää virheitä, jotka näyttävät oikeilta. Jos se menee asiakkaalle sellaisenaan, virhe on yrityksen.
Sääntö on yksinkertainen: kaikki mikä menee ulos yrityksestä, tarkistetaan ihmisen toimesta. Erityisesti luvut, päivämäärät, nimet ja lakiviittaukset.
Tämä koskee myös käännöksiä. Konekäännös on hyvä ja se tekee virheitä juuri siellä, missä ne maksavat: ehdoissa ja hinnoissa.
Omalla palvelimella pyörivä malli on vaihtoehto
Osaan käyttötarkoituksista löytyy malleja, jotka voi ajaa omalla laitteistolla. Silloin tieto ei lähde mihinkään.
Se ratkaisee tietosuojakysymyksen kokonaan ja tuo tilalle toisen kustannuksen: laitteisto, ylläpito ja se että malli on tavallisesti heikompi kuin suurten palveluiden mallit.
Tämä kannattaa harkita, jos käsiteltävä aineisto on arkaluontoista ja käyttö on toistuvaa. Satunnaiseen käyttöön se on ylimitoitettu.
Asiakkaalle kertominen
Jos käytät tekoälyä asiakkaan aineiston käsittelyyn, siitä kannattaa kertoa ennen kuin asiakas kysyy.
Se on nykyään yleinen kysymys tarjouspyynnöissä, ja valmis vastaus on kilpailuetu. Vastauksessa kerrotaan mihin käytetään, mitä ei syötetä ja kuka tarkistaa tuloksen.
Sama koskee sivuston chatbottia. Käyttäjälle pitää olla selvää, että hän puhuu automaatille, ja mitä keskustelulle tapahtuu.
Sääntely muuttuu, joten kirjaa mitä teet
Tekoälyn käyttöä koskeva sääntely kehittyy, ja velvoitteet riippuvat siitä mihin tekoälyä käytetään.
Käytännön varautuminen on yksinkertainen: pidä kirjaa siitä, mitä työkaluja käytätte, mihin ja millä aineistolla.
Se on lyhyt taulukko, ja se on juuri se, mitä tarvitaan kun joku kysyy, olipa kysyjä viranomainen, asiakas tai vakuutusyhtiö.
Tämän artikkelin tiedot ovat yleisluontoisia. Oman toimialan velvoitteet kannattaa tarkistaa erikseen, koska ne vaihtelevat merkittävästi.
Työntekijän näkökulma: miksi ohje rikotaan
Tietosuojaohjeita rikotaan harvoin pahantahtoisesti. Niitä rikotaan, koska työ pitää saada tehtyä ja ohje on tiellä.
Jos ohje kieltää kaiken eikä tarjoa mitään tilalle, työntekijä käyttää työkalua omalla tililtään ja omalla puhelimellaan. Silloin yritys menetti sekä tiedon että näkyvyyden siihen.
Toimiva ohje siis sallii jotain. Se nimeää työkalun, jota saa käyttää, ja kertoo mihin. Silloin käyttö tapahtuu siellä missä siitä tiedetään.
Yrityksen maksama tili on tässä usein halvin ratkaisu. Maksullisissa versioissa ehdot ovat tyypillisesti tiukemmat kuin ilmaisissa, ja käyttö on hallittavissa.
Ja koulutus kannattaa pitää lyhyenä ja konkreettisena. Puoli tuntia, kolme esimerkkiä siitä mikä on sallittua ja kolme siitä mikä ei.
Mitä tehdä, jos tieto on jo mennyt
Jos huomataan, että arkaluontoista tietoa on syötetty työkaluun, ensimmäinen reaktio on usein vaieta. Se on väärä.
Käytännön järjestys on tämä. Selvitä mitä syötettiin, milloin ja mihin palveluun. Tarkista palvelun ehdoista, säilytetäänkö syötteitä ja voiko ne poistaa, ja pyydä poisto jos se on mahdollista.
Arvioi sitten, onko kyseessä henkilötietojen tietoturvaloukkaus. Jos on, siihen liittyy ilmoitusvelvollisuuksia ja määräaikoja, ja ne kannattaa selvittää heti eikä viikon päästä.
Kirjaa tapaus ylös riippumatta siitä, mihin arvio päätyy. Dokumentointi on osa velvoitteita, ja se auttaa myös korjaamaan käytäntöä.
Ja korjaa se syy, jonka takia niin kävi. Useimmiten syy on, ettei ohjetta ollut tai ettei sallittua vaihtoehtoa ollut tarjolla.
Yhteenveto: neljä päätöstä
- Mitkä työkalut ovat sallittuja.
- Mitä niihin saa syöttää ja mitä ei.
- Kuka tarkistaa tuloksen ennen kuin se menee ulos.
- Mitä asiakkaalle kerrotaan.
Nämä neljä mahtuvat yhdelle sivulle ja ne ratkaisevat suurimman osan riskistä. Kaikki muu on tarkennusta.