Julkinen sektori ja oikeuslaitos — EU:n tekoälylain noudattaminen

EU:n tekoälylain velvollisuudet tekoälyn käytölle julkishallinnossa, lainvalvonnassa, rajavalvonnassa ja oikeusjärjestelmässä. Kattaa Annex III:n kategoriat 5–8 sekä pakollisen perusoikeusvaikutusten arvioinnin.

Julkinen sektori ja tekoälylaki — miksi valtio on suuririskin käyttäjä

EU:n tekoälylaki (asetus (EU) 2024/1689) koskee kaikkia toimialoja horisontaalisesti, mutta pakollisten velvollisuuksien suurin taakka kohdistuu julkisiin elimiin. Valtion virastot, lainvalvontaviranomaiset, tuomioistuinlaitokset ja rajavalvontaviranomaiset ovat sekä merkittävimpien tekoälyjärjestelmien käyttäjiä että niitä toimijoita, joiden tekoälyn käyttö luo suurimman rakenteellisen riskin perusoikeuksille. Laki heijastaa tätä epäsymmetriaa kahdella rakenteellisella tavalla.

Ensinnäkin neljä kahdeksasta Annex III:n korkean riskin kategoriasta käsittelee julkisen sektorin tekoälyä suoraan — kategoriat 5–8 kattavat keskeiset julkiset palvelut, lainvalvonnan, maahanmuuton ja rajavalvonnan sekä oikeudenhoidon. Nämä kategoriat eivät ole jäännöskategorioita: ne luettelevat nimenomaisesti hallinnollisissa toiminnoissa yleisesti käytettäviä tekoälysovelluksia, joihin liittyy määritelmän mukainen luokitustason riski.

Toiseksi Art. 27 velvoittaa julkiset elimet suorittamaan pakollisen perusoikeusvaikutusten arvioinnin (FRIA) ennen korkean riskin tekoälyjärjestelmien käyttöönottoa. Yksityissektorin käyttäjille FRIA on vahvasti suositeltava; julkisille elimille se on lakisääteinen velvollisuus. Arvioinnin on tarkasteltava tekoälyjärjestelmän vaikutusta yksilöiden oikeuksiin EU:n perusoikeuskirjan nojalla, mukaan lukien ihmisarvo (Art. 1), henkilötietojen suoja (Art. 8), oikeus tehokkaaseen oikeussuojaan (Art. 47) ja syyttömyysolettama (Art. 48).

Julkisten elinten vaatimustenmukaisuuden kenttää monimutkaistaa entisestään se, että tekoälylain velvollisuudet kerrostuvat olemassa olevien toimialakohtaisten järjestelmien päälle: lainvalvontadirektiivi 2016/680, Schengenin tietojärjestelmää koskeva asetus, Frontex-asetus 2019/1896, yleinen tietosuoja-asetus sekä Euroopan ihmisoikeussopimuksen perustuslailliset vaatimukset Euroopan ihmisoikeustuomioistuimen tulkitsemina. Kukin näistä viitekehyksistä luo itsenäisiä velvollisuuksia, jotka on täytettävä samanaikaisesti EU:n tekoälylain vaatimusten kanssa.

Korkean riskin tekoälyjärjestelmät — kategoriat 5–8

Annex III, kategoria 5 — Keskeiset julkiset palvelut ja etuuksien arviointi

Annex III:n kohta 5(b) luokittelee korkean riskin järjestelmiksi kaikki tekoälyjärjestelmät, joita käytetään arvioimaan luonnollisten henkilöiden oikeutta keskeisiin julkisiin etuuspalveluihin ja tekemään päätöksiä tässä yhteydessä. Tämä kategoria kattaa hyvinvointivaltion tekoälyn koko kirjon:

• Automatisoitu työttömyysetuuden arviointi: Tekoälyjärjestelmät, jotka määrittävät hakijan tukikelpoisuuden työssäkäyntirekisterien, työnhakuaktiivisuuden tai varallisuusarvioinnin perusteella.
• Asumistuki- ja vammaiskorvauspäätökset: Algoritmityökalut, jotka pisteyttävät hakemuksia sosiaalisen asuntotuotannon prioriteetin, vammaisetuuden tai henkilökohtaisen itsenäisyyden tuen osalta.
• Sosiaaliturvaväärinkäytösten havaitseminen: Tekoälyn profilointijärjestelmät, jotka tuottavat riskipisteitä epäillystä etuusväärinkäytöstä ja voivat käynnistää tutkimuksia tai maksatuksen keskeyttämisen.

Kohta 5(b) kattaa myös luottokelpoisuus- ja vakuutustekoälyn luonnollisten henkilöiden osalta, vaikka julkisen sektorin ensisijainen altistuminen liittyy etuuksien ja palvelujen tukikelpoisuuteen. Kaikissa tapauksissa luokitus liittyy siihen, kun tekoälyjärjestelmällä on olennainen vaikutus julkisen palvelun saantiin — riippumatta siitä, tekeekö lopullisen päätöksen ihmisviranomainen.

Annex III, kategoria 6 — Lainvalvonta

Kategoria 6 kattaa lainvalvontaviranomaisten käyttämän tekoälyn kolmella alueella:

Riskiarviointi ja profilointi: Tekoälyjärjestelmät, jotka arvioivat yksilön todennäköisyyttä syyllistyä rikokseen, uusia rikos tai muodostaa turvallisuusuhka — mukaan lukien uusimisriskin arviointityökalut, joita käytetään ennen oikeudenkäyntiä pidätystä koskevissa kuulemisissa, ehdonalaisvapautuspäätöksissä ja tuomiosuosituksissa. Nämä järjestelmät ovat korkean riskin järjestelmiä Annex III:n kohdan 6(a) nojalla.

Havaitseminen ja analyysi tutkimuksissa: Tekoäly, joka havaitsee tunnetiloja, persoonallisuuspiirteitä tai petollista käyttäytymistä kasvojen ilmeistä, äänestä tai fysiologisista indikaattoreista rikostutkimuksissa. Art. 5(1)(f) kieltää erikseen tekoälyjärjestelmät, jotka päättelevät yksilöiden tunnetiloja lainvalvonta- ja rajavalvontayhteyksissä, paitsi erityisiä turvallisuustarkoituksia varten, mikä asettaa tähän käyttötapaukseen selkeän ulkorajan.

Syväväärennösten ja asiakirjojen havaitseminen: Tekoäly, jota käytetään manipuloitujen digitaalisten sisältöjen havaitsemiseen tai asiakirjojen aitouden arviointiin rikosoikeudellisissa menettelyissä — luokiteltu korkean riskin järjestelmäksi Annex III:n kohdassa 6(c).

Annex III, kategoria 7 — Maahanmuutto, turvapaikka-asiat ja rajavalvonta

Kategoria 7 koskee maahanmuutto- ja rajavalvontayhteyksissä käytettävää tekoälyä:

Riskiarviointi rajoilla: Tekoälyjärjestelmät, jotka arvioivat laittoman maahanmuuton riskiä tai tuottavat uhkapisteitä rajaa ylittäville henkilöille — mukaan lukien SIS-integroidut profilointityökalut ja Frontexin riskianalyysijarjestelmät, jotka toimivat asetuksen 2019/1896 nojalla.

Asiakirja- ja henkilöllisyyden tarkistus: Tekoälyjärjestelmät, jotka arvioivat matkustusasiakirjojen, viisumien, oleskelulupien tai henkilöllisyysasiakirjojen aitoutta rajanylitys- tai maahanmuuttotarkoituksiin.

Turvapaikkahakemusten käsittely: Tekoäly, joka tutkii turvapaikkahakemuksia, arvioi yksittäisten väitteiden uskottavuutta tai profiloi hakijoita nopeutettuja tai kiireellisiä menettelyjä varten.

Kaikkia kategoria 7:n järjestelmiä on arvioitava paitsi tekoälylain myös pakolaissopimuksen (1951), EU:n perusoikeuskirjan Art. 18:n (oikeus turvapaikkaan) ja palautuskiellon periaatteen suhteen Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti — perustuslaillinen rajoite, johon Art. 27:n mukaisen FRIA:n on puututtava nimenomaisesti.

Annex III, kategoria 8 — Oikeushallinto ja demokraattiset prosessit

Kategoria 8 käsittelee itse oikeusjärjestelmässä käytettävää tekoälyä:

Tuomioistuimen tukitekoäly: Järjestelmät, jotka avustavat oikeustapausten tutkimisessa, sovellettavien oikeussäännösten tunnistamisessa tai oikeudellisen päättelyn jäsentämisessä tuomareille, syyttäjille tai tuomioistuinhallinnolle — korkean riskin järjestelmiä Annex III:n kohdan 8(a) nojalla.

Ennustavan oikeudenkäytön työkalut: Tekoälyjärjestelmät, jotka ennustavat oikeudenkäynnin todennäköistä lopputulosta, tuomioalueita tai tuomioistuinratkaisuja historiallisten tapausdatojen perusteella. Nämä järjestelmät herättävät vakavia huolia EU:n perusoikeuskirjan Art. 47:n nojalla oikeudenmukaisesta oikeudenkäynnistä, koska niiden käyttö tuomioistuinpäätöksenteossa voi rakenteellisesti asettaa epäedulliseen asemaan ne osapuolet, joiden profiili poikkeaa historiallisista normeista.

Kategoria 8 ei kiellä tekoälyavusteista oikeudellista työtä; se alistaa sen korkean riskin vaatimustenmukaisuusjärjestelmälle ja edellyttää, että tuomioistuimet ja oikeusministeriöt varmistavat, että tekoälyn tuotokset ovat aina aineellisen ihmisvalvonnan alaisia — tuomarin tai päätöksentekijän on voitava ja käytännössä täytyykin jättää tekoälyn tuotos huomiotta, jos se ei ole asianmukainen.

Julkisten elinten käyttäjille asetetut pakolliset velvollisuudet

Julkiset elimet, jotka toimivat korkean riskin tekoälyjärjestelmien käyttäjinä tekoälylain nojalla, kantavat määritellyt, siirtämättömät velvollisuudet Art. 26:n ja Art. 27:n nojalla.

Perusoikeusvaikutusten arviointi (Art. 27)

FRIA on julkisten käyttäjien erityisin velvollisuus. Se on suoritettava ennen käyttöönottoa ja sen on käsiteltävä: järjestelmän erityiset oikeuksiin vaikuttavat tarkoitukset; oikeuksiin vaikutettavien henkilöiden kategoriat; ennakoitavat haitan riskit sekä näiden riskien todennäköisyys ja vakavuus; miten olemassa olevat oikeudelliset suojatoimet lieventävät näitä riskejä; sekä toimenpiteet, joita on toteutettu järjestelmän seurantaa varten käyttöönoton jälkeen. Valmis FRIA on toimitettava kansalliselle tekoälyn valvontaviranomaiselle pyydettäessä, ja se on päivitettävä järjestelmää muutettaessa tai otettaessa käyttöön uudessa yhteydessä.

Ihmisten valvonta ja nimetty vastuu

Art. 26(1) edellyttää, että käyttäjät osoittavat korkean riskin tekoälyjärjestelmien ihmisvalvonnan luonnollisille henkilöille, joilla on tarvittava pätevyys, toimivalta ja resurssit puuttua tilanteeseen. Julkishallinnossa tämä tarkoittaa, että jokaiselle yksilöihin vaikuttavalle automatisoidulle prosessille — olipa kyse etuuden tukikelpoisuudesta, rajariskipisteytyksestä tai tuomioistuimen tukituotoksesta — on nimettävä tunnistettu virkailija, joka voi ohittaa järjestelmän tuotoksen ja jolla ei ole rakenteellista kannustinta luottaa siihen sokeasti.

Läpinäkyvyys asianomaisille henkilöille

Art. 13 edellyttää, että käyttäjät varmistavat, että tekoälyavusteisen päätöksenteon kohteena olevat henkilöt ovat selkeästi tietoisia siitä, että tekoälyjärjestelmää käytetään. Julkishallinnossa tämä velvollisuus edellyttää tyypillisesti tekoälykäytön ilmoitusten sisällyttämistä päätöskirjeisiin, hallinnollisiin viesteihin ja kuulemismenettelyihin. Art. 86 suojelee valvontaviranomaisille vaatimustenmukaisuuden seurannan yhteydessä toimitettujen tietojen luottamuksellisuutta, tarjoten reitin arkaluonteisen sisäisen dokumentaation luovuttamiseen ilman julkista altistumista.

Lokikirjanpito, asiakirjasäilytys ja poikkeamailmoitukset

Käyttäjien on ylläpidettävä tekoälyjärjestelmän toiminnan toiminnallisia lokeja vähimmäisajan — vähintään kuusi kuukautta useimmille korkean riskin järjestelmille, ja pidempään siellä, missä hallinnollista prosessia koskeva oikeudellinen viitekehys sitä edellyttää. Vakavista poikkeamista — poikkeamista, joista seuraa kuolema, vakava loukkaantuminen, merkittävä omaisuusvahinko tai perusoikeusloukkaus — on ilmoitettava toimivaltaiselle kansalliselle tekoälyn valvontaviranomaiselle ilman aiheetonta viivästystä.

Kielletyt toimintatavat julkishallinnossa

Tietyt tekoälykäytännöt ovat ehdottomasti kiellettyjä EU:n tekoälylain Art. 5:n nojalla. Julkisviranomaisten kannalta kolmella kiellolla on välitöntä toiminnallista merkitystä.

Art. 5(1)(c) — Julkisviranomaisten suorittama sosiaalinen pisteytys: Tekoälyjärjestelmät, jotka arvioivat tai luokittelevat yksilöitä heidän sosiaalisen käyttäytymisensä tai persoonallisuuspiirteidensä perusteella ja tuottavat pisteitä, joita käytetään määritettäessä julkisten palveluiden, etuuksien tai oikeudellisen kohtelun saantia, ovat kiellettyjä. Tämä kielto on suunnattu nimenomaan julkisviranomaisille ja kohdistuu niin sanottuihin sosiaalisen luottojärjestelmän mekanismeihin riippumatta siitä, miten ne on nimetty tai rakennettu.

Art. 5(1)(d) — Reaaliaikainen etäbiometrinen tunnistaminen julkisissa tiloissa: Reaaliaikaisten tekoälypohjaisten etäbiometristen tunnistusjärjestelmien (kasvontunnistus, kävelyanalyysi tai muut biometriset työkalut) käyttö julkisesti saavutettavissa tiloissa lainvalvontaviranomaisten toimesta on kielletty, kolmea suppeaa poikkeusta lukuun ottamatta: kadonneiden lasten kohdennettu etsintä; tiettyjen, välittömien terrorismiuhkien torjunta; sekä vakavien rikosten epäiltyjen tunnistaminen, kun ennakollinen tuomioistuimen tai riippumattoman hallinnollisen viranomaisen lupa on saatu. Nämä poikkeukset ovat tyhjentäviä; mikään yleinen valvontaohjelma ei täytä niiden edellytyksiä.

Art. 5(1)(e) — Subliminaaliset ja manipuloivat tekniikat: Tekoälyjärjestelmät, jotka käyttävät tietoisen havaitsemisen kynnyksen alapuolella toimivia tekniikoita yksilöiden käyttäytymisen manipuloimiseksi tai jotka hyödyntävät tiettyjen ryhmien haavoittuvuuksia, ovat kiellettyjä kaikilta käyttäjiltä, myös julkisviranomaisilta.

Täytäntöönpano — valvontaviranomaiset ja valvontamekanismit

Tekoälylain täytäntöönpanojärjestelmä julkisella sektorilla sisältää useita toimivaltaisten viranomaisten tasoja.

Art. 70:n nojalla nimetyt kansalliset tekoälyn valvontaviranomaiset ovat lain ensisijaiset täytäntöönpanoelimet kussakin jäsenvaltiossa. Useimmissa oikeudenkäyttöalueissa nämä viranomaiset ovat tai tulevat olemaan integroituja tai tiiviisti yhteistyössä olemassa olevien tietosuojaviranomaisten kanssa. Niillä on toimivalta suorittaa tarkastuksia, pyytää teknistä dokumentaatiota ja FRIA-tuloksia, antaa korjausmääräyksiä ja määrätä hallinnollisia sakkoja.

Julkisiin elimiin kohdistuvat sakot ovat jäsenvaltioiden harkinnan alaisia Art. 99(6):n nojalla: jäsenvaltiot voivat säätää, että julkisviranomaisiin ei sovelleta rahallisia seuraamuksia, mutta niiden on varmistettava, että vaihtoehtoiset valvonta- ja korjausmekanismit — mukaan lukien pakolliset tarkastukset, vaatimustenvastaisuushavaintojen julkaiseminen ja tekoälyjärjestelmän käytön keskeyttäminen — ovat käytettävissä. Tämä harkintavalta ei ulotu vaatimustenvastaisuuden sallimiseen; se koskee ainoastaan rahallista seuraamusmekanismia.

Tietosuojaviranomaisilla ja EDPB:llä on rinnakkainen toimivalta julkisen sektorin tekoälyn henkilötietojen käsittelydimensioiden osalta GDPR:n ja LED:n nojalla. GDPR:n tai LED:n velvollisuuksien noudattamatta jättäminen tekoälyjärjestelmän toiminnan yhteydessä on tietosuojaviranomaisen täytäntöönpanon alaista riippumattomasti tekoälylain valvontaviranomaisesta.

Euroopan ihmisoikeustuomioistuin muodostaa ulkoisen perustuslaillisen rajoitteen: algoritmisiin prosesseihin perustuvien päätösten — erityisesti rikosoikeuden ja maahanmuuton alalla — on täytettävä ihmisoikeussopimuksen standardit Art. 6:n (oikeudenmukainen oikeudenkäynti) ja Art. 8:n (yksityiselämä) osalta Euroopan ihmisoikeustuomioistuimen kehittyvän automatisoidun päätöksenteon oikeuskäytännön mukaisesti tulkittuna.

Toteutussuunnitelma valtion virastoille

Vaihe 1 — Tekoälyjärjestelmien inventaario ja luokittelu (kuukaudet 1–3)

Julkisten elinten on ensin laadittava kattava inventaario kaikista käytössä olevista tai hankintaprosessissa olevista tekoälyjärjestelmistä. Kukin järjestelmä on arvioitava Annex III:n kategorioiden 5–8 sekä Art. 5:n kieltosäännösten suhteen. Henkilötietojen käsittelyä sisältävät järjestelmät on arvioitava samanaikaisesti GDPR:n ja LED:n vaatimusten suhteen. Tämän vaiheen tuotoksena on luokiteltu inventaario — kielletty, korkean riskin, rajallisen riskin tai minimaalisen riskin — joka ohjaa vaatimustenmukaisuusohjelmaa.

Vaihe 2 — Perusoikeusvaikutusten arvioinnit (kuukaudet 3–6)

Jokaista tunnistettua korkean riskin järjestelmää varten julkisten elinten on tilattava ja saatettava päätökseen FRIA Art. 27:n nojalla. Tämä edellyttää oikeudellista, teknistä ja poliittista panosta: oikeudellinen analyysi vaarantuneista oikeuksista; tekninen dokumentaatio järjestelmän toiminnasta, koulutustiedoista ja tunnetuista virhetilanteista; sekä poliittinen arviointi käytettävissä olevista lieventämistoimenpiteistä. FRIA:t on dokumentoitava ja oltava valmiita toimitettaviksi valvontaviranomaisille.

Vaihe 3 — Toimittajan tarkistaminen ja hankinnan uudistaminen (kuukaudet 3–9)

Julkisia hankintaprosesseja on päivitettävä siten, että tekoälyjärjestelmien toimittajien on osoitettava EU:n tekoälylain noudattaminen sopimuksen myöntämisen edellytyksenä. Käyttäjien on tarkistettava CE-merkintä, vaatimustenmukaisuusvakuutus, tekninen dokumentaatio ja markkinoille saattamisen jälkeisen seurannan sitoumukset ennen käyttöönottoa. Julkisten elinten, jotka toimivat yhteisoperaattoreina tai yhteiskehittäjinä teknologiatoimittajien kanssa, on selkeytettävä sopimuksellisesti vastuunjako vaatimustenmukaisuuden arviointivelvollisuuksista.

Vaihe 4 — Toiminnalliset suojatoimet ja henkilöstön koulutus (kuukaudet 6–12)

Nimetyt ihmisvalvontavirkailijat on tunnistettava jokaiselle korkean riskin tekoälyjärjestelmälle, heidät on koulutettava järjestelmän kyvyistä ja rajoituksista ja heille on annettava ohitusmenettelyt. Asianomaisille henkilöille suunnatut läpinäkyvyysilmoitukset on laadittava ja sisällytettävä olemassa oleviin hallinnollisiin menettelyihin. Lokikirjanpitoinfrastruktuuri on tarkistettava tai perustettava. Poikkeamailmoitusmenettelyt on integroitava olemassa oleviin hallinnollisiin ja tietosuojaan liittyviin poikkeamanhallintaprosesseihin.

Vaihe 5 — Jatkuva seuranta ja vuosittainen tarkastelu

Korkean riskin tekoälyjärjestelmien vaatimustenmukaisuus ei ole kertaluonteinen sertifioinnin harjoitus. Markkinoille saattamisen jälkeiset seurantavelvollisuudet edellyttävät julkisia elimiä aktiivisesti seuraamaan järjestelmän suorituskykyä, dokumentoimaan mahdolliset muutokset tarkkuudessa, puolueellisuudessa tai käyttäytymisessä sekä päivittämään FRIA:t olennaisten muutosten ilmetessä. Vuosittainen valvontaviranomaisraportointi, mikäli se on kansallisen lainsäädännön nojalla pakollista, on tuettava seurantaohjelman kautta tuotetulla dokumentaatiolla.