Generatiivista tekoälyä hyödynnetään niin viestintään ja markkinointiin liittyvissä tehtävissä kuin enenevissä määrin myös koodaamisessa ja muussa tekstin- ja sisällöntuotannossa. ChatGPT, Midjourney ja Dall-E ovat aikamme megatrendi. Generatiivisen tekoälyn käyttöönotto on kuitenkin tapahtunut niin nopeasti, että siihen liittyviä riskejä tai haasteita ei ole ehditty arvioida, saati miettiä miten niitä voitaisiin hallita. Vaikka onkin selvää, ettei voimakasta työkalua kannata jättää hyllylle riskien pelossa, on myös syytä pysähtyä ja tarkastella generatiivisen tekoälyn käyttöä omassa organisaatiossa, ja pohtia miten voidaan välttyä isoimmilta sudenkuopilta.
Juridinen kehys – sääntelyaukko?
Varsinaista tekoälyn käyttöä varten laadittua lainsäädäntöä on hyvin vähän eikä se huomioi haasteita ja riskejä, joita generatiivinen tekoäly näyttää jo nyt aiheuttavan. Myös perinteinen aineettomiin oikeuksiin liittyvä sääntely käsittelee toimijan roolia tavalla, joka ei tekoälyn käytössä toteudu. Sen sijaan suuremmat yhteiskunnalliset riskit ovat olleet näkyvissä jo pidempään ja niiden osalta EU:ssa on valmisteilla AI-asetus (AI Act).
Tekoälyasetuksen tarkoituksena on määritellä yhtäältä asioita, joihin tekoälyä ei saa lainkaan käyttää, ja toisaalta korkean riskin käyttöaiheita, kuten luonnollisten henkilöiden biometrinen tunnistaminen, koulutus, lainvalvonta ja maahanmuutto tai turvapaikan hakeminen. Tällaisille korkean riskin sovelluksille asetetaan tiukkoja läpinäkyvyys- ja laatuvaatimuksia. Arkiseen tekoälyn käyttöön kuten esimerkiksi markkinointimateriaalien laatimiseen tai koodaamiseen tekoälyasetus ei ota kantaa eikä se näytä olennaisesti vaikuttavan ainakaan tämänhetkiseen generatiivisen tekoälyn käyttöön vaikkapa viestinnässä. Toki se asettaa raamit sille, mitä generatiivisella tekoälyllä saa tehdä, ja se soveltuu kaikkeen tekoälyyn Chat GPT mukaan lukien, jos sitä syystä tai toisesta haluttaisiin jatkossa käyttää esimerkiksi viranomaistehtävissä tai muuten korkean riskin käyttötarkoituksiin.
Muilta osin generatiivisen tekoälyn käyttöön soveltuvat toki voimassa olevat säännökset esimerkiksi liikesalaisuuksista, tietosuojasta ja aineettomista oikeuksista, mutta näitä säännöksiä ei ole suunniteltu generatiivista tekoälyä varten. Nähtäväksi jää, miten perinteinen lainsäädäntö toimii ChatGPT:n tai Midjourneyn käytön kanssa, ja muodostuuko laista tulkintakäytäntöä, vai onko todella niin, että elämme tällä hetkellä jonkinlaisessa sääntelyaukossa.
Generatiivinen tekoäly ja IPR
Erityisesti generatiivinen tekoäly haastaa myös immateriaalioikeuksien (IPR) kenttää. Esimerkiksi tekijänoikeudessa teoksen tekijän asemalla ja oikeuksilla on vahva merkitys ja tekijäkäsitys on ihmiskeskeinen. Teoksen on ilmennettävä tekijänsä luovaa panosta ja oltava omaperäinen, jotta se ylipäätään voi saada tekijänoikeussuojaa ja niin vallitseva sääntely kuin sen tulkintakin lähtee siitä, että tekijäksi voidaan nimetä vain luonnollinen henkilö. Samalla tavalla keksintöjen osalta lähtökohta on ihmiskeskeinen ja keksijäksi voidaan nimetä luonnollinen henkilö.
Generatiivisen tekoälyn tuotosten kannalta tämä herättää kysymyksen siitä, kuka ylipäätään voi omistaa tuotosten oikeudet ja ovatko ne riittävällä tavalla suojattavissa. Osa kysymyksistä on ehkä ratkaistavissa sopimusoikeudellisesti, mutta osa vaatinee tulevaisuudessa joko itse lainsäädännön kehittymistä tai ainakin uutta laintulkintaa. Generatiivisella tekoälyllä tuotetaan kuitenkin jo nyt sellaisia materiaaleja ja aineistoja, joilla on liiketaloudellista merkitystä ja jotka tuovat merkittävää lisäarvoa liiketoimintaan.
Toisaalta generatiiviseen tekoälyn käyttöön liittyy myös mahdollisia IPR-riskejä esimerkiksi silloin, jos tekoälyratkaisu on koulutettu datalla, joka käsittää esimerkiksi tekijänoikeuden alaista aineistoa, jonka käyttöön lupaa koulutustarkoituksessa ei ole saatu tekijänoikeuden haltijalta. Tällöin kyseessä on mahdollinen tekijänoikeuden loukkaus. Toisaalta tällöin myös generatiivisen tekoälyn tuotos voi olla esimerkiksi tekijänoikeutta loukkaavaa, mikäli sen osana on tekijänoikeuden alaista aineistoa, jonka käyttöön ei ole tekijänoikeuden haltijan lupaa.
Tekoälyyn liittyviä sopimuskysymyksiä
Tekoälyn saa käyttöönsä hyväksymällä sopimusehdot. Kuten muissakin sopimuksissa, tekoälyä koskevissa sopimuksissa määritellään suoritus ja vastasuoritus, rajataan vastuita ja täsmennetään, miten muuttuneita olosuhteita ja mahdollisia epäselvyyksiä käsitellään. Tavanomaisesta työkalusta poiketen, tekoälyn hyödyntämisessä sen paremmin käyttöluvan myöntäjä, kuin luvan saajakaan ei välttämättä sopimusta päättäessä vielä tiedä, mihin kaikkeen työkalua tulevaisuudessa käytetään. Käyttäjän ei voi odottaa muistavan ehtojen yksityiskohtia eikä tekoälyn hyödyntäminen ole nopeaa ja sujuvaa, jos ehtoja joutuisi käydä läpi aina uudelleen, kun käyttötarve ilmenee. Siksi on tärkeää, että tekoälyn käyttö pysyy organisaatiossa ennalta sovittujen sääntöjen puitteissa.
Tekoälyn hyödyntäminen tiettyyn käyttötarkoitukseen helpottaa hallinnoimaan riskiä myös suhteessa muihin, kuin tekoälyn tarjoajaan. Tekoäly on työkalu ja sen käyttöön suhtaudutaan, kuten kaikkiin muihinkin työkaluihin. Käyttäjä ottaa vastuun tekemisistään. Vaikkei tekoälyn toiminta ole käyttäjälle läpinäkyvää ja vaikka käyttäjä tekisi kaikkensa ohjeistaakseen tekoälyä asianmukaisesti, lopputulos tulee toisinaan tarkistaa vielä ennen tekoälyn tuottaman aineiston ottamista päätöksenteon pohjaksi tai ennen sen päästämistä organisaatiosta ulos muodossa tai toisessa, muokattuna tai sellaisenaan. Tekoälyn käyttäminen on sellaisenaan valinta, joka on vastuun kannalta merkityksellinen ja koska tekoälyn toimintaa on vaikea hallita, katse tulee kohdistaa sen käyttämiseen.
Henkilötiedot ja generatiivinen tekoälyyn
Generatiivisen tekoälyn sovelluksia on tehty eri oikeusjärjestelmissä ja erityisesti niitä ovat olleet luotsaamassa amerikkalaiset yhtiöt, eikä käyttäjällä ole tietoa siitä onko GDPR otettu huomioon tekoälyn rakenteessa. Henkilötietoihin liittyvät kysymykset kohdistuvat ennen kaikkea lähdedataan, eli dataan, jolla tekoäly on koulutettu ja ehkä hieman vähäisemmässä määrin tekoälyn tuottamaan tietoon ja käyttäjän kanssakäymiseen tekoälyn kanssa.
Jos käytetään ChatGPT:tä esimerkkinä, koko sovellus perustuu laajamittaiseen, henkilötietoja sisältävän datamassan toissijaiseen käyttöön, joka on EU:n tietosuoja-asetuksen (GDPR) nojalla ongelmallista ilman erityistä perustetta. Ainakin USA:ssa liittovaltion tuomioistuimessa jätettyjen kanteiden perusteella ChatGPT saattaa kerätä ja käsitellä promptiin kirjoitettuja tietoja, sekä esimerkiksi promptin käyttäjän IP-osoitteen, joka on GDPR:n nojalla katsottu henkilötiedoksi. Tällaisesta käsittelystä ei ole kerrottu käyttäjille, eikä myöskään ole varmaa, että tällaisia tietoja poistetaan lainmukaisesti tai pidättäydytään toissijaisesta käytöstä, mikäli niitä todella kerätään.
Tekoälyn generoiman tiedon kohdalla on omat haasteensa, jotka liittyvät esimerkiksi henkilötietojen eheysvaatimukseen, velvollisuuteen poistaa henkilötiedot, ja käyttötarkoitussidonnaisuuteen. Käyttäjälle ei ole välttämättä taetta, että generoituja tietoja, jotka voivat sisältää henkilötietoja, ei käytetä toiseen tarkoitukseen tai säilytetä sovelluksessa.
Ainakin toistaiseksi lienee turvallisinta yrittää välttää sellaisten lähdetietojen käyttöä, johon sisältyy henkilötietoja, sekä myös henkilötietojen generoimista tai antamista promptin kautta tekoälysovellukselle. Nämä riskit voitaisiin toisaalta enimmäkseen välttää käyttämällä suljettua, esimerkiksi asiakkaan omaa aineistoa, jonka osalta joko tiedetään, että siellä ei ole henkilötietoja, tai jonka osalta henkilötietojen käsittelylle on lainmukainen peruste ja tietosuojavelvoitteita on muutenkin noudatettu.
Tekoälyyn liittyvien riskien hallinta käytännössä
Yllä on listattu koko joukko ongelmia ja haasteita, jotka liittyvät tekoälyn käyttöön IPR:n ja juridiikan näkökulmasta. Tosiasia on kuitenkin, että generatiivinen tekoäly on tullut jäädäkseen, joten ongelmien esille tuominen ei riitä. On löydettävä tapoja ottaa tekoälyyn liittyvät riskit haltuun, jotta voidaan hyödyntää tekoälyn tuomia mahdollisuuksia.
Riskienhallinnan on luonnollisesti lähdettävä perusteellisesta selvitystyöstä. Organisaation täytyy itse tai ulkoisten avustajien kanssa käydä läpi, miten tekoälyä jo nyt käytetään, ja miten sitä ehkä haluttaisiin käyttää jatkossa. Sitten on muodostettava oma, yhteinen kanta ja strategia siihen, miten tekoälysovelluksia saa juuri kyseisessä organisaatiossa käyttää. Henkilöstöä on koulutettava tekoälyyn liittyvästä juridisesta kehyksestä, ja käytävä läpi mitä tekoälyllä saa ja ei saa tehdä. Prosessin lopputuotteena olisi ihanteellisesti kirjallinen esitys, jossa on selkeä yhteinen näkemys ja säännöt tekoälyn käytöstä, sekä vastuunjako ja menettely uusien tekoälysovellusten käyttöönottoa varten.
”One-size-fits-all” -malli ei tässä tapauksessa todennäköisesti sovi kenellekään, vaan jokaisen organisaation on itse tarkasteltava miten tekoälyä kannattaa, ja saa käyttää juuri heidän alallaan. Berggrenillä avustamme mielellämme asiakkaita löytämään oma, yksilöity lähestymistapa generatiiviseen tekoälyyn.
Berggrenin AI -aamiaisseminaari 15.11.2023
Berggren pitää AI:n juridisiin ja IPR -riskeihin keskittyvän aamiaisseminaarin 15.11.2023, klo 8.30-10.30 toimistollamme osoitteessa Eteläinen Rautatiekatu 10 A, Helsinki. Tervetuloa kuulemaan ja keskustelemaan aiheesta lisää! Puhujina on Berggrenin lakimiehet Arttu Ahava (CIPP/E/CIPM), Elisa Huusko ja Suvi Julin, jotka ovat myös kirjoittaneet tämän artikkelin.
