Kasvava kuilu tekoälypolitiikan ja sen käytännön valvonnan välillä

Tekoälyllä ei ole yhtä yhteistä sääntökirjaa

Tekoälyä otetaan käyttöön eri toimialoilla ja sovelluksissa nopeammin kuin sitä valvovat politiikat ja hallintamallit ehtivät kehittyä. Historiallisesti tekoälysovelluksia ovat pääasiassa säädelleet voimassa olevat kuluttajansuojan, tietosuojan ja eri toimialojen säädökset sekä yritysten omat sisäiset käytännöt. Hallitukset ottavat nyt käyttöön tekoälyä koskevia erityisvaatimuksia, mutta ne ovat yhä hajanaisia ja antavat usein vain vähän ohjeita siitä, miten järjestelmien pitäisi käytännössä toimia. Yritykset joutuvat siksi sovittamaan yhteen ulkoiset vaatimukset, oman riskinsietokykynsä, tuotteidensa tavoitteet ja käytännön toimintaolosuhteensa.

EU valvoo nyt aktiivisesti osaa tekoälysäädöksen vaatimuksista, kun taas Yhdysvaltain liittovaltion politiikassa suositaan nimenomaisesti kevyemmin säänneltyä kansallista kehystä. Executive Order 14365 pyrkii rajoittamaan ristiriitaisia osavaltioiden vaatimuksia, vaikka osavaltiot ottivat vuonna 2025 käyttöön yli 1 000 tekoälyyn liittyvää toimenpidettä. Kukin näistä viranomaisista määrittelee erilaisen tavoitetilan, ja niiden yhteensovittaminen jää järjestelmiä kehittävien ja käyttöön ottavien yritysten tehtäväksi.

Sääntelyvaatimusten määrittely on kuitenkin vasta osa haastetta. Kun tekoälyä otetaan käyttöön yhä useammissa sovelluksissa ja käyttötilanteissa, yritysten on muunnettava yleisluonteiset vaatimukset ja sisäiset käytännöt toimintaa ohjaaviksi menettelyiksi ja yksittäisiksi tekoälyn tekemiksi päätöksiksi. Mikään sääntelykehys ei voi ennakoida jokaista sovellusta, käyttötilannetta tai eturistiriitaa. Organisaatioiden on siksi pystyttävä jäljittämään, miten sääntelyvaatimukset ja sisäiset käytännöt näkyvät järjestelmän toiminnassa, mitattavissa tuloksissa sekä auditoinneissa tai arvioinneissa. NISTin tekoälyn riskienhallinnan viitekehys lähestyy asiaa samalla tavalla: siinä korostetaan jatkuvaa mittaamista ja hallintaa sen sijaan, että hallintaa pidettäisiin muusta erillisenä vaatimustenmukaisuusharjoituksena. Vaatimukset kulkevat alaspäin ja näyttö takaisin ylöspäin: sääntelyviranomaiset ja johtajat voivat määritellä tavoitellut tulokset, mutta organisaatioiden on osoitettava, tuottavatko niiden järjestelmät niitä todella.

Tämän vuoksi merkittävä osa tekoälyn hallinnan käytännön vastuusta jää organisaatioille, jotka ottavat nämä järjestelmät käyttöön.

Hallinta vaikeutuu toteutuksen tasolla

Säädöksissä ja hallintamalleissa määritellään yleensä periaatteita, velvoitteita ja tavoiteltuja tuloksia. Tuotantojärjestelmien on kuitenkin muunnettava ne yksittäisiksi päätöksiksi, ja juuri tässä hallinta vaikeutuu. Käytännössä politiikassa voidaan vaatia syrjinnän ehkäisemistä, käyttäjien suojelemista, avoimuutta tai mielekästä ihmisen tekemää arviointia. Toimivan järjestelmän on silti ratkaistava paljon täsmällisempiä kysymyksiä: millä kynnysarvolla se toimii, mihin näyttöön ja kuinka suureen varmuuteen päätös perustuu, milloin tarvitaan ihmisen tekemää arviointia, mitä kirjataan lokiin ja mitä tapahtuu, kun järjestelmä ei ole varma?

Sääntelyviranomaiset odottavat jo vastauksia näihin kysymyksiin. FTC, DOJ, CFPB ja EEOC ilmoittivat yhdessä valvovansa toimivaltaansa kuuluvien sääntöjen noudattamista automaattisten järjestelmien osalta. Tämä tarkoittaa, että yritykseltä kysytään ennemmin tai myöhemmin, miten sen järjestelmä tekee päätöksiä.

Ajatellaan alustaa, jolla on selkeä häirinnän vastainen käytäntö. Kirosanoja sisältävä viesti voi olla ystävien välistä harmitonta sanailua, kun taas näennäisen viaton viesti voi olla osa pitkäkestoista kampanjaa, jonka kohteena on toinen käyttäjä. Järjestelmän on ratkaistava, mitä asiayhteyttä se voi käyttää luotettavasti, kuinka paljon näyttöä puuttumiseen tarvitaan ja mikä toimi on sopiva: viestin estäminen, lähettäjän varoittaminen, asian siirtäminen ihmisen arvioitavaksi vai toimimatta jättäminen. Tunnistuskynnyksen madaltaminen voi auttaa havaitsemaan enemmän haitallista toimintaa, mutta samalla se voi rajoittaa asiallista keskustelua. Ihmisen tekemän arvioinnin vaatiminen voi parantaa harkintaa, mutta viivästyttää puuttumista. Mikään näistä päätöksistä ei käy ilmi yleisestä häirinnän kieltävästä käytännöstä, mutta yhdessä ne ratkaisevat, miten käytäntöä tosiasiassa valvotaan.

Mikään käytäntöasiakirja ei ratkaise näitä ristiriitoja ennalta, joten jonkun yrityksessä on tehtävä päätökset, dokumentoitava ne ja arvioitava niitä uudelleen. Tämä henkilö käytännössä laatii käytäntöjä riippumatta siitä, näkyykö se organisaatiokaaviossa.

Mitä vastuullinen tekoäly käytännössä edellyttää

Jos järjestelmän toteuttajat käytännössä myös laativat sen toimintaa ohjaavat käytännöt, vastuullista tekoälyä ei voida pitää pelkkänä aiejulistuksena: sen on näyttävä järjestelmän päivittäisessä toiminnassa. Tämä tarkoittaa tekoälyn käytön, mittaamisen ja korjaamisen hallintaa ajan mittaan, ei vain käytännön hyväksymistä tai alustavan arvioinnin läpäisemistä. Käytännössä kolme asiaa ovat tärkeimpiä, ja jokainen niistä juontuu edellä kuvatuista ristiriidoista:

• Hallinnan tason on oltava oikeassa suhteessa seurausten vakavuuteen. Tekstiä ehdottava, lainan hyväksyvä, turvallisuusuhkaa ilmoittava tai lääketieteellisen päätöksenteon tukena toimiva tekoälyjärjestelmä aiheuttaa hyvin erilaisia riskejä. Organisaatioiden on arvioitava mahdollisten seurausten perusteella, missä tarvitaan tiukempia valvontakeinoja, arviointia ja valvontaa.
• Pelkkä tarkkuus ei riitä. Erilaisilla virheillä on erilaiset kustannukset. Sisällön moderoinnissa väärä positiivinen tulos voi rajoittaa asiallista puhetta, kun taas virhe luotonannossa, terveydenhuollossa tai turvallisuudessa voi aiheuttaa paljon vakavampia seurauksia. Hallinnassa on otettava huomioon päätöksen todelliset vaikutukset, ei pelkästään mallin suorituskykyä.
• Jatkuva arviointi ja palaute ovat välttämättömiä. Ohitukset, valitukset, poikkeamat, rajatapaukset ja myöhemmät seuraukset on kaikki otettava mukaan jatkuvaan arviointiin.

Käytännönläheinen kehys sisäiseen tekoälyn hallintaan

Näiden periaatteiden toteuttaminen edellyttää, että hallinta sisällytetään tekoälyjärjestelmien suunnitteluun, käyttöönottoon ja ylläpitoon. Erityisen tärkeitä ovat neljä käytäntöä:

• Käsittele hallintavaatimuksia tuote- ja järjestelmävaatimuksina alusta alkaen. Käyttöönoton jälkeen lisätyt vaatimustenmukaisuuden valvontakeinot ovat yleensä kalliita ja hauraita. Tietosuoja, läpinäkyvyys, auditoitavuus ja arviointimekanismit on paljon helpompi suunnitella osaksi järjestelmää kuin lisätä siihen jälkikäteen.
• Luo auditoitava ketju käytännöistä päätöksiin. Organisaatioiden pitäisi pystyä yhdistämään hallintaa ohjaava vaatimus tai sisäinen käytäntö sovellettuun valvontakeinoon ja sen pohjalta tehtyyn päätökseen. Niillä on oltava myös tarvittava näyttö päätöksen arviointia varten.
• Määritä selkeät vastuut ja tilivelvollisuus. Määritä, kuka vastaa käytännöistä, kuka päättää hyväksyttävästä riskitasosta ja kuka seuraa toimintaa. Jollakulla on oltava myös valtuudet puuttua tilanteeseen, jos järjestelmä toimii asetettujen rajojen ulkopuolella.
• Rakenna yhteinen ja mukautuva hallintainfrastruktuuri. Tiedonhallinnan valvontakeinojen, auditointiketjujen, mukautettavien käytäntöjen, arviointityönkulkujen ja mittaamisen pitäisi palvella useita sääntelyvaatimuksia ja käyttötarkoituksia. Valvontakeinoja ja kynnysarvoja pitäisi voida mukauttaa lainkäyttöalueen, sovelluksen ja riskin mukaan, jotta organisaatiot voivat vastata muuttuviin vaatimuksiin rakentamatta järjestelmiään uudelleen.

Hallinnan on toimittava käytännössä

Sääntelyllä voidaan määritellä velvoitteita ja periaatteita, mutta yritysten on silti muunnettava ne järjestelmiksi, jotka tekevät todellisia päätöksiä laajassa mittakaavassa. Siksi sisäinen hallinta on osa operatiivista vastuuta, ei pelkkä vaatimustenmukaisuusharjoitus. Jokainen tekoälyä laajassa mittakaavassa käyttöön ottava yritys määrittää jo toimintaperiaatteita kynnysarvoillaan, arviointisäännöillään ja eskalointikäytännöillään. Ainoa avoin kysymys on, tekeekö se tämän tietoisesti.

Sääntelyviranomaiset määrittelevät jatkossakin haluamansa tulokset, eivätkä ne aina ole niistä samaa mieltä. Siksi yrityksen on päätettävä, miten nämä odotukset muunnetaan valvontakeinoiksi, ja osoitettava näytön avulla, että keinot toimivat. Yrityksillä, jotka rakentavat jo nyt selkeät vastuut, mitattavat valvontakeinot, auditoitavuuden ja mukautuvan infrastruktuurin, on paremmat valmiudet toimia sääntelyn kehittyessä.

Olen nähnyt tämän ongelman monesta näkökulmasta: kyberturvallisuusympäristöissä, riskimalleja rakentaessani ja nyt käyttäessäni tekoälyjärjestelmiä laajassa mittakaavassa. Kaikissa niissä opetus on samankaltainen: kehys toimii vain, jos sen voi muuttaa selkeiksi päätöksiksi, sen toimivuutta voi mitata käytännössä ja sitä voi parantaa, kun todellisuus paljastaa puutteet.