Tehisaru kasutusele võtjale

Enne tehisaru kasutusele võtmist: 

• Veendu, kas tegemist on tehisintellekti süsteemiga määruse tähenduses ja kui nii, siis selgitama välja, millisesse riskikategooriasse süsteem kuulub, et osata tähelepanu pöörata määrusest tulenevate nõuete täitmisele; 

• Pane paika täpne süsteemi kasutamise eesmärk ja kasutusviis. Määratle, milleks tehisaru kasutatakse ja milliseid otsuseid või tulemusi see mõjutab. See aitab hinnata, kas süsteem võib mõjutada inimeste õigusi, võimalusi või võrdset kohtlemist; 

• Hinda, kas ja kuidas võib süsteem mõjutada inimeste õigusi või võimalusi. Lisaks ka võimalikke riske, sealhulgas kallutatust ja ebaõiglasi tulemusi. vajadusel tuleb hinnata mõju põhiõigustele ja koostada mõjuhinnang; 

• Tuvasta, kas süsteemi kasutamisel töödeldakse isikuandmeid, ning taga vastavus andmekaitse nõuetele. See tähendab mh seda, et olemas on õiguslik alus, andmeid töödeldaks minimaalselt ning see on inimestele läbipaistev; 

• Taga süsteemi kasutamisel inimjärelevalve ja sekkumisvõimalus. tehisaru ei tohi kasutada viisil, kus inimene ei saa enam süsteemi toimimist kontrollida või vajadusel sekkuda. Tuleb läbi mõelda, kes vastutab süsteemi kasutamise eest ja kuidas otsuseid vajadusel üle vaadatakse; 

• Selgita välja, millal ja kuidas tuleb inimesi teavitada tehisintellekti kasutamisest; 

• Määra selgelt tehisaru kasutamise vastutus ja töökorraldus. Organisatsiooni liikmed, töötajad jt peavad teadma, kuidas tehisaru kasutada tohib ja millele selle kasutamisel tähelepanu pöörata. 

Süsteemi valik peab lähtuma riskipõhisest lähenemisest, nagu on ette nähtud tehisintellekti määruses. Süsteemi valikul tuleb esmalt hinnata selle kasutuseesmärki ja võimalikku mõju inimeste tervisele, ohutusele ja põhiõigustele ning määratleda, kas tegemist võib olla kõrge riskiga süsteemiga.  

Kõrge riskiga süsteemide puhul tuleb eelistada lahendusi, mis võimaldavad täita kohustuslikke nõudeid, sealhulgas riskijuhtimist, tehnilist dokumenteerimist, inimjärelevalvet ja läbipaistvust.  

Lisaks tuleb hinnata kas süsteem usaldusväärne ja vastab usaldusväärse tehisintellekti põhimõtetele, nagu läbipaistvus, tehniline töökindlus, andmete kvaliteet ning inimkeskne juhtimine. Vajadusel võib tugineda ka standarditele, nagu ISO/IEC 42001, mis aitavad struktureerida tehisintellekti juhtimist ja riskihindamist kogu elutsükli jooksul. 

Kui näiteks ettevõtte või asutus valib omale tehisaru tööalastel eesmärkidel kasutamiseks ja kavatseb sellega töödelda isikuandmeid, siis tegutseb ta isikuandmete vastutava töötlejana. 

Kui kavatsed tehisaruga töödelda isikuandmeid, siis enne konkreetse lahenduse kasutuselevõttu veendu, et: 

• on olemas õiguslik alus isikuandmete töötlemiseks; 

• töödeldakse ainult vajalikke andmeid (andmete minimaalsuse põhimõte); 

• on selge, kui kaua lahenduses andmeid säilitatakse; 

• on teada, kus andmeid hoitakse (kas EL-is või väljaspool EL-i); 

• on selge, kellel on andmetele ligipääs, sh kas ja millises ulatuses pääseb neile ligi teenusepakkuja; 

• on hinnatud, kas tuleb teha andmekaitsealane mõjuhinnang; 

• andmed on piisavalt turvatud (tehnilised ja organisatsioonilised meetmed);

• on selge, kas andmeid kasutatakse mudeli treenimiseks või edasiõppimiseks; 

• on tagatud, et isikuid on andmetöötlusest teavitatud (nt privaatsusteade või muu asjakohane teave); 

• on hinnatud, kas tegemist on automatiseeritud otsustamisega, ning vajadusel arvestatud IKÜM art 22 nõudeid; 

• on olemas teenusepakkujaga leping, sh on selgelt määratletud, kes on vastutav töötleja ja kes volitatud töötleja. 

Tehisaru süsteemi turvalisuse hindamine peab põhinema pideval riskijuhtimisel kogu süsteemi elutsükli jooksul. EL-i tehisintellekti määrus nõuab eelkõige kõrge riskiga süsteemide puhul riskijuhtimissüsteemi rakendamist ning süsteemi täpsuse, töökindluse ja küberturvalisuse tagamist.  

Turvalisuse hindamisel tuleb arvesse võtta nii andmete kui ka mudeli riske, sh andmekvaliteet, võimalikud turvarikkumised ja süsteemi vastupanuvõime vigadele ja rünnetele. Samuti tuleb tagada süsteemi jälgitavus ja inimjärelevalve.  

EL-i usaldusväärse tehisintellekti juhised rõhutavad, et turvaline süsteem peab olema läbipaistev, auditeeritav ja tehniliselt robustne ning sisaldama selgeid vastutus- ja järelevalvemehhanisme. Struktureeritud hindamiseks võib kasutada rahvusvahelisi raamistikke. ISO/IEC 42001 standard toetab seejuures tehisintellekti haldussüsteemi loomist, mis hõlmab riskihindamist, kontrollimeetmeid ja pidevat parendamist.  

Mõjude hindamise kohustus tuleneb kahest õigusaktist. 

1. Kui tehisaruga töödeldakse isikuandmeid, siis tuleb teatavatel juhtudel hinnata andmekaitsealaselt mõju inimese õigustele ja vabadustele, hindamise tulemusena peab valmima mõjuhinnang. 

2. Tehisintellekti määrus lähtub riskipõhisest lähenemisest. See tähendab, et mida suurem on süsteemi võimalik mõju inimestele, seda põhjalikum peab olema eelnev hindamine. Suure riskiga tehisintellekti kasutusele võtmisel tuleb hinnata põhiõigustele avalduvat mõju (vt tehisintellekti määruse artikkel 27). 

Suure riskiga tehisintellektisüsteeme tuleks arendada nii, et inimesed saaksid jälgida nende toimimist, tagada, et neid kasutatakse ettenähtud viisil ja et nende mõju käsitletakse süsteemi elutsükli jooksul. Selleks peab süsteemi pakkuja enne süsteemi turule laskmist või kasutuselevõttu rakendama asjakohased inimjärelevalve meetmed. 

Esiteks peavad süsteemis olema sellised piirangud, mida süsteem ise ei saa eirata. Samuti peab süsteem alluma inimese antud juhistele ja käskudele. 

Teiseks peab süsteemi üle järelevalvet tegeval inimesel olema selleks vajalik pädevus, väljaõpe ja volitused. See tähendab, et inimene peab mõistma süsteemi toimimist ning tal peab olema tegelik võimalus otsustada, kas ja kuidas sekkuda. 

Kolmandaks peab süsteem andma inimesele piisavalt infot, et ta saaks teha teadlikke otsuseid. Inimest tuleb vajadusel hoiatada, kui süsteem võib anda valesid või riskantseid tulemusi ning peab olema võimalus süsteemi töö peatada või seda muuta. 

Eriti oluline on inimjärelevalve kõrge riskiga süsteemide puhul. Näiteks teatud biomeetrilise tuvastamise lahenduste puhul võib vale tulemus põhjustada inimesele olulist kahju. Sellisel juhul tuleb enne otsuse tegemist tulemus täiendavalt kontrollida, näiteks peab tuvastus olema üle vaadatud vähemalt kahe inimese poolt. 

Samas tuleb arvestada ka praktilisust. Kontroll ei tohi tekitada tarbetut halduskoormust või viivitusi. Piisav võib olla ka see, kui kontrollid tehakse eraldi ja nende tulemus salvestatakse süsteemi. Mõnes valdkonnas, näiteks õiguskaitses või piirikontrollis, võib sellise mitmekordse kontrolli nõue olla piiratud, kui selle rakendamine ei ole proportsionaalne. 

Vaata veel tehisintellekti määruse põhjenduspunkti 73. 

Tehisarusüsteem võib olla kallutatud siis, kui selle tulemused ei ole kõigi inimeste suhtes võrdsed või õiglaselt jaotunud. Seda saab märgata eelkõige tulemuste kaudu. Näiteks juhul, kui süsteemi otsused või soovitused mõjutavad erinevaid inimesi erinevalt. Samuti võib kallutatusele viidata see, kui süsteem annab teatud inimeste või rühmade puhul järjepidevalt ebatäpseid või ootamatuid tulemusi. 

Samas ei teki kallutatus ainult  süsteemi väljundis, vaid võib tekkida kogu süsteemi elutsükli jooksul, alates andmete kogumisest kuni kasutamiseni. Nii võib kallutatus tekkida ka sellest, et treeningandmed on ebaühtlased või sisaldavad varasemaid eelarvamusi, mida süsteem seejärel üle võtab ja võimendab. 

Peamised kallutatuse tekkekohad on: 

• andmete kogumine (nt ajaloolised eelarvamused), 

• valimi koostamine (alaesindatud rühmad), 

• märgendamine ja mõõtmine, 

• mudeli treenimine ja valik, 

• hindamine ebakohaste või kallutatud andmetega, 

• rakendamine ebasobivas kontekstis. 

Kallutatuse ennetamiseks on kõige olulisem tagada juba kavandamise ja andmete kogumise ning ettevalmistamise etapis, et kasutatavad andmed on mitmekesised, kvaliteetsed ning et süsteem on loodud toimima õiglaselt kõigi sihtrühmade suhtes. Lisaks tuleb süsteemi arendamisel ja kasutamisel rakendada kallutatust vähendavaid meetmeid, tagada inimjärelevalve ning jälgida süsteemi toimimist pidevalt ka pärast kasutuselevõttu. 

Põhjalik “Algoritmilise kallutatuse riskihalduse juhend” on kättesaadav Soolise võrdõiguslikkuse ja võrdse kohtlemise voliniku veebilehel.