Tausta-aineisto kokoaa yhteen tekoälysuositusten tietopohjan sekä tukee koulutuksen järjestäjiä ja henkilöstöä tekoälyyn liittyvässä osaamisen kehittämisessä ja tekoälyn hyödyntämisessä paikallisesti.
Tausta-aineisto käsittelee eri teemoja, ja sitä tulisi hyödyntää teemakohtaisesta tarkastelusta huolimatta kokonaisuutena.

Koulutuksen järjestäjä päättää siitä, minkälaisia digitaalisia palveluita kasvatuksessa ja koulutuksessa käytetään paikallisesti. Näihin digitaalisiin palveluihin kuuluvat esimerkiksi erilaiset tekoälyä hyödyntävät järjestelmät ja sovellukset (jäljempänä ”tekoälyjärjestelmät”). On tärkeää huomata, että tällaisen tekoälyjärjestelmän kehitys-, koulutus- ja käyttötilanteet edellyttävät yleensä jonkinasteista koulutuksen järjestäjän henkilökunnan ja/tai lasten ja opiskelijoiden henkilötietojen käsittelyä. Henkilötietoja ovat kaikki sellaiset tiedot, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan henkilöön. Näitä ovat henkilön nimi- ja yhteystiedot, sekä esimerkiksi opiskelijoiden opiskeluun liittyvät tiedot (mm. tiedot opiskelijoille tehdyistä päätöksistä, arvioinneista sekä oppijoiden poissaoloista). On tärkeää huomioida, että henkilötietojen käsite on laaja ja se kattaa esimerkiksi oppijan kuvan ja äänen (kuten puhe tai laulu), kun kuva tai ääni on yhdistettävissä oppijaan. Järjestelmä voi myös kerätä laajasti erilaisia tietoja käyttäjästä ja järjestelmän käytöstä (mm. seurantateknologioiden avulla), jotka luokitellaan henkilötiedoksi.    

Koulutuksen järjestäjän vastuulle kuuluvista henkilötietojen käsittelyn keskeisistä velvoitteista ja vaatimuksista on säädetty EU:n yleisessä tietosuoja-asetuksessa (2016/679) sekä sitä täydentävässä kansallisessa tietosuojalaissa (1050/2018). Velvoitteiden noudattamisesta on ylläpidettävä kirjallista dokumentaatiota, jotta koulutuksen järjestäjä voi osoittaa noudattaneensa sille kuuluvia velvollisuuksia. Tietosuojalainsäädännön velvollisuuksia sekä niiden noudattamisen dokumentointia on käsitelty tarkemmin Opetushallituksen tietosuojaoppaassa. 

Takaisin ylös

Koulutuksen järjestäjä vastaa siitä, että sen toiminnassa käytettävä tekoälyjärjestelmä täyttää tietosuojalainsäädännön vaatimukset, jos järjestelmän käyttö sisältää henkilötietojen käsittelyä. Arvio lainmukaisuudesta on aina tehtävä ennen järjestelmän käyttöönottoa. Yleensä tämä tehdään siinä vaiheessa, kun koulutuksen järjestäjä suunnittelee tekoälyjärjestelmän hankkimista. Arviota tulee seurata ja tarvittaessa päivittää. Järjestelmän tulee täyttää lainsäädännön vaatimukset, kunnes järjestelmästä luovutaan. Koulutuksen järjestäjän kannattaakin suunnitella ja laatia etukäteen toimintaohjeet siihen, miten erilaisia tekoälyjärjestelmiä voidaan ottaa käyttöön, miten niiden lainmukaisuus varmistetaan ja miten prosessi dokumentoidaan luotettavasti. Prosessia suunniteltaessa tulisi huomioida se, että tekoälyjärjestelmissä voi olla suuriakin eroja sen suhteen, minkälaista henkilötietojen käsittelyä niihin sisältyy. Myös palveluiden sisältämien teknologioiden automaation taso ja monimutkaisuus voi vaihdella merkittävästi.  Tekoälyjärjestelmien tarkistamiseen on tärkeää varata riittävästi aikaa sekä varmistaa, että siihen osallistuvilla on riittävästi asiantuntemusta tietosuojasta ja arvioinnin kohteena olevasta tekoälystä.    

Mahdollista toimintaohjetta laatiessa koulutuksen järjestäjän tulisi huomioida se, että kaikissa tilanteissa yleinen arvio tietosuojalainsäädännön noudattamisesta ei välttämättä riitä.  Koulutuksen järjestäjällä on nimittäin tietyissä tilanteissa velvollisuus tehdä määrämuotoinen tietosuojan vaikutustenarviointi ennen tekoälyjärjestelmän käyttöönottoa. Tietosuoja-asetuksen mukaan vaikutustenarviointi on pakollinen silloin, kun suunnitellaan sellaista henkilötietojen käsittelyä, joka todennäköisesti aiheuttaa korkean riskin henkilöiden oikeuksille ja vapauksille. Tällaisesta tilanteesta voi olla kyse esimerkiksi silloin, kun kyse on laajamittaisesta henkilötietojen käsittelystä ja/tai tarkoituksena on käsitellä heikommassa asemassa olevien henkilöiden kuten lasten henkilötietoja. Tästä johtuen kasvatuksessa ja koulutuksessa kynnys vaikutustenarvioinnin laatimiseen täyttyy yleensä helposti, joskin korkean riskin syntymistä on aina arvioitava tapauskohtaisesti.    

Vaikutustenarvioinnin tarkoituksena on varmistaa, että suunniteltu henkilötietojen käsittely on lain mukaista, siihen liittyvät riskit on tunnistettu ja että riskit ovat hyväksyttävällä tasolla. Riskit voivat olla hyvin erilaisia riippuen siitä, minkälaista tekoälyä arvion kohteena olevaan järjestelmään sisältyy. Vaikutustenarvioinnissa varmistetaan myös se, että koulutuksen järjestäjä on toteuttanut riittävät toimet riskien vähentämiseksi ja/tai poistamiseksi. Vaikutustenarviointi voi myös osoittaa, että koulutuksen järjestäjän on pyydettävä valvontaviranomaiselta eli tietosuojavaltuutetulta ennakkokuulemista ennen kuin tekoälyjärjestelmä voidaan ottaa käyttöön.  

Mikäli koulutuksen järjestäjä päätyy joko yleisen arvion tai tietosuojan vaikutustenarvioinnin perusteella siihen, ettei tekoälyjärjestelmän sisältävä henkilötietojen käsittely täytä tietosuojalainsäädännön vaatimuksia eikä järjestelmää saada näiden vaatimusten mukaiseksi (esimerkiksi rajaamalla järjestelmässä käytössä olevia ominaisuuksia), tekoälyjärjestelmää ei voida ottaa käyttöön.

Tietosuojalainsäädännön velvoitteita sekä vaikutustenarvioinnin laatimista, sisältöä ja ennakkokuulemista on käsitelty tarkemmin Opetushallituksen tietosuojaoppaassa. Linkin takaa löydät myös tietoa vaikutustenarvioinneissa hyödynnettävistä malliasiakirjapohjista. Malliasiakirjapohjat ovat hyödyllisiä myös muutoin tietosuoja velvoitteiden arvioinnissa, vaikka määrämuotoinen vaikutustenarviointi ei olisikaan pakollinen.    

Takaisin ylös

Koulutuksen järjestäjän kannalta tekoälyjärjestelmän käyttöönotossa on kyse hankinnasta, johon voi tulla sovellettavaksi hankintalainsäädäntö ja paikallinen hankintaohje. Koulutuksen järjestäjän onkin tärkeää varmistaa, että kappaleessa 5.2 mainitut arviot pystytään toteuttamaan riittävän aikaisin osana hankintojen suunnittelua.    

On myös tärkeää huomioida, että vaikka tekoälyjärjestelmän hankintamenettely riippuu hankinnan kokonaisarvosta, tietosuojalainsäädäntö soveltuu täysimääräisesti kaikkiin tekoälyjärjestelmiin, jotka sisältävät henkilötietojen käsittelyä. Koulutuksen järjestäjän on siten arvioitava tekoälyjärjestelmän tietosuojalainsäädännönmukaisuus, vaikka järjestelmää ei tarvitsisi kilpailuttaa sen ollessa hinnaltaan vähäinen tai kokonaan maksuton.    

Koulutuksen järjestäjällä saattaa olla tarve kokeilla tekoälyjärjestelmiä esimerkiksi hankkeen tai kokeilujakson puitteissa. Tietosuojalainsäädännössä ei kuitenkaan ole säädetty poikkeuksia hankkeiden tai kokeiluiden osalta. Siten myös näissä tilanteissa tekoälyjärjestelmän lainmukaisuus on tarkistettava, vaikka kyse olisi vain hankkeesta tai kokeilusta.  

Koulutuksen järjestäjä vastaa niiden tekoälyjärjestelmien lainmukaisuudesta, jotka koulutuksen järjestäjä on hankkinut käytettäväksi koulutuksessa ja joita käytetään koulutuksen järjestäjän laitteilta. Opiskelijan oman laitteen käytöstä päättää huoltaja tai 15 vuotta täyttänyt opiskelija. Oman laitteen tietosuojasta vastaa huoltaja ja opiskelija.

Takaisin ylös