Page 64

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 63 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA • Profilointia • Riskiluokituksia. Lisäksi EU:n AI Act tuo riskiperusteisen luokittelun. Osa yritysten AI-ratkaisuista voi kuulua korkean riskin kategoriaan - erityisesti, jos niillä tehdään arviointia, luokittelua tai päätöksentekoa ihmisistä. Sääntelyä ei voi ulkoistaa toimittajalle. Vastuu säilyy rekisterinpitäjällä. 4. Mustan laatikon riski Moni tekoälyratkaisu toimii käytännössä “mustana laatikkona”. Yrityksen tulisi pystyä vastaamaan: • Ymmärrämmekö, miten malli tuottaa tuloksia? • Voimmeko selittää päätöksen asiakkaalle tai viranomaiselle? • Onko mallin versiohallinta kunnossa? • Voiko tuloksia auditoida jälkikäteen? Ilman läpinäkyvyyttä riskinä on päätöksenteko, jota ei voida perustella. 5. Uudet hyökkäysvektorit Tekoäly tuo mukanaan myös uusia tietoturvauhkia: Model poisoning: mallin tahallinen vääristäminen syöttämällä manipuloitua dataa. Prompt injection: käyttäjän yritys ohjata mallia paljastamaan luottamuksellista tietoa. Supply chain -riskit: haavoittuvuudet open source -kirjastoissa tai riippuvuuksissa. AI-järjestelmä ei ole vain sovellus. Se on kokonainen ekosysteemi, jonka jokainen komponentti voi muodostaa riskin. 6. Pääsynhallinta ja omistajuus Tekoälyratkaisusta tulee nopeasti kriittinen järjestelmä. Siksi tarvitaan: • Roolipohjainen käyttöoikeusmalli • Vahva tunnistautuminen • Ylläpitoroolien eriyttäminen • Lokien aktiivinen valvonta Lisäksi on nimettävä selkeä omistaja. Ilman vastuuhenkilöä AI jää helposti “kokeiluksi”, jota kukaan ei hallitse kokonaisuutena.