Page 63

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 62 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Yrityksen ympäristöön asennettavat tekoälyratkaisut Yrityksille on viime aikoina myös tarjottu yrityksen ympäristöön asennettavia omia tekoälyratkaisuja, joten kirjoitan tässä, minkälaisia asioita tulee ottaa huomioon. Ratkaisut ne voivat joko vahvistaa tietoturvaa merkittävästi… tai luoda uuden hyökkäyspinnan, jos asioita ei mietitä kunnolla. Alla ovat keskeiset näkökulmat, jotka jokaisen yrityksen tulisi arvioida ennen päätöksentekoa. 1. Missä data oikeasti liikkuu? Paikallinen (on-premises) ratkaisu ei automaattisesti tarkoita “turvallinen”. • Lähettääkö ratkaisu telemetriatietoja valmistajalle? • Päivitetäänkö malli pilvestä / ulkoisesta lähteestä? • Vaatiiko se jatkuvan internet-yhteyden? • Sisältääkö ratkaisu kolmannen osapuolen komponentteja? Riskinä on, että sensitiivinen asiakas- tai henkilötieto voi päätyä ulos, vaikka järjestelmä on fyysisesti omassa konesalissa. Tietoturvan näkökulmasta ratkaisevaa ei ole fyysinen sijainti, vaan datan todellinen liike ja kontrolli 2. Mitä dataa malliin syötetään? AI-järjestelmät ovat käytännössä datan suurkuluttajia. • Sisältääkö data henkilötietoja? • Onko mukana terveystietoa, asiakastietoa, liikesalaisuuksia tai vastaavaa arkaluonteista tietoa? • Tallentuuko syötetty data mallin koulutukseen? Jos järjestelmä “oppii” tuotantodatasta, pitää varmistaa: • Anonymisointi • Datan minimointiperiaate • Lokitus sekä auditointimahdollisuus • Selkeä säilytys- ja poistopolitiikka. 3. GDPR & sääntely Jos henkilötietoa käsitellään, tarvittavia toimenpiteitä voivat olla: • Käsittelyperuste • Rekisteriseloste • DPIA (tietosuojaa koskeva vaikutustenarviointi) • Mahdollisuus selittää päätöksenteko. Erityisesti jos AI tekee: • Automaattisia päätöksiä