”Me olemme sveitsiläinen yritys, EU:n tekoälyasetus ei koske meitä.” Tämän lauseen kuulee usein, ja se on suunnilleen yhtä luotettava kuin sama väite aikanaan GDPR:stä.
Tekoälyasetus ei kytkeydy kotipaikkaan vaan vaikutukseen. Jos käytätte tekoälyjärjestelmää, jonka tuloksia hyödynnetään EU:ssa, palvelette asiakkaita EU-alueella tai otatte järjestelmän käyttöön siellä toimivassa tytäryhtiössä, kuulutte soveltamisalaan. Monella sveitsiläisyrityksellä täyttyy vähintään yksi näistä ehdoista.
Ensin hyvä uutinen
Sääntely on rakennettu riskiperusteisesti, ja suuri enemmistö yritysten sovelluksista kuuluu alimpaan luokkaan. Avustaja, joka tiivistää muistioita, työkalu tekstiluonnoksiin, haun tuki omissa dokumenteissa – näihin kohdistuu vain kevyitä vaatimuksia, käytännössä läpinäkyvyys käyttäjille ja riittävä osaaminen niillä ihmisillä, jotka työkalua käyttävät.
Työlääksi asia muuttuu kahdella alueella: järjestelmissä, jotka vaikuttavat ihmisiä koskeviin päätöksiin, ja niissä, jotka on kielletty. Molemmat selviävät muutamassa tunnissa käyttötapausta kohti, kun tiedetään, mitä käyttötapauksia ylipäätään on.
Pullonkaula ei juuri koskaan ole sääntely. Pullonkaula on se, ettei omista järjestelmistä ole kokonaiskuvaa.
Missä yritykset päätyvät yllättäen korkean riskin luokkaan
Korkean riskin luokka kuulostaa eksoottiselta mutta koskee yleisiä sovelluksia. Useimmin yritykset kompastuvat henkilöstöhallinnon työkaluihin.
- Hakemusten esivalinta tai arviointi – myös silloin, kun lopullisen päätöksen tekee ihminen.
- Järjestelmät, jotka arvioivat suoriutumista, valmistelevat ylennyksiä tai jakavat tehtäviä.
- Luonnollisten henkilöiden luottokelpoisuuden arviointi.
- Sovellukset, jotka liittyvät keskeisten palvelujen tai vakuutusten saantiin.
Kiellettyjä ovat muun muassa tunnetilojen tunnistus työpaikalla, biometrinen luokittelu arkaluontoisten ominaisuuksien perusteella ja sosiaalisen pisteytyksen järjestelmät. Ensimmäinen kohta esiintyy yllättävän usein myynti- ja yhteyskeskusohjelmistojen tuote-esittelyissä.
Käytännöllinen etenemissuunnitelma
Keskisuurelle yritykselle realistinen työmäärä on kuudesta kymmeneen viikkoa muutaman ihmisen kesken. Se koostuu neljästä vaiheesta.
- Laatikaa luettelo: kaikki järjestelmät, joissa on tekoälyä, käyttötarkoituksineen, datapohjineen ja vastuuhenkilöineen. Myös ostetut – suuri osa on nykyään vakio-ohjelmistojen sisällä.
- Luokitelkaa: määrittäkää jokaiselle järjestelmälle riskiluokka. Useimmat päätyvät alimpaan, ja dokumentoituna se on arvokasta.
- Paikatkaa aukot: täydentäkää harvojen olennaisten järjestelmien dokumentaatio, inhimillinen valvonta ja läpinäkyvyystiedot.
- Varmistakaa osaaminen: näiden järjestelmien kanssa työskentelevien on ymmärrettävä niiden rajat. Tämä on jo nyt vaatimus ja useimmin sivuutettu kohta.
Mitä neuvon johtoryhmille
Älkää käsitelkö tekoälyasetusta compliance-projektina vaan tilaisuutena luoda kokonaiskuva, jonka tarvitsette joka tapauksessa. Ensimmäisen vaiheen luettelo on strategiatyöllenne vähintään yhtä arvokas kuin sääntelylle: se näyttää teille ensimmäistä kertaa kattavasti, missä yrityksessä tekoäly on jo käytössä.
Ja varautukaa yllätyksiin. Lähes jokaisessa luettelossa on lopulta järjestelmiä, joista johtoryhmä ei tiennyt – yleensä ostettuja, yleensä vaarattomia, toisinaan ei.