Üha selgemaks saab, et tehnoloogia areng liigub kiiremini kui ühiskonna võime selle võimalikke mõjusid läbi mõelda. Ühelt poolt muudavad uued tehnoloogiad meie elu mugavamaks. Näiteks aitab tehisintellekt tuvastada riske, kaamerad ennetada vargusi ning riigil on üha rohkem võimalusi teenuseid automatiseerida. Teisalt tähendab see areng, et meie kohta kogutakse, seostatakse ja analüüsitakse rohkem andmeid kui kunagi varem. Koos AI agentide järjest suurema iseseisvusega kasvab risk, et neid võimalusi kasutatakse viisil, mida inimene ise enam täielikult kontrollida ei suuda. Hiljutised juhtumid näitavad, et AI-süsteemide arenguga tuleb üha enam tähelepanu pöörata nende turvalisusele, kontrollitavusele ja võimalikele väärkasutustele. Loe lähemalt siit.
Kui palju tohib riik meist teada?
Üks suve märgilisemaid andmekaitse teemasid oli mobiilside metaandmete ulatuslik kogumine. Vandeadvokaat Silver Reinsaare kohtulahing tõi taas fookusesse küsimuse, kui kaugele võib riik minna mobiilioperaatorite talletatud metaandmete kogumisel ja kasutamisel. Metaandmed ei näita küll vestluse sisu, kuid nende põhjal saab järeldada, kus inimene liigub, kellega suhtleb ja millised on tema igapäevased harjumused. Nii võib tehniliselt pelk metaandmestik kujuneda kiirelt väga detailseks pildiks inimese elust.
Sarnane küsimus tõstatub jälitustegevuse puhul nende inimeste suhtes, kes ise ei ole menetluse sihtmärgid. Ühe inimese kohta kogutud või avalikustatud info võib väga kiiresti paljastada ka need, kes ise ei ole midagi teinud ega ole avalikkuse tähelepanu soovinud. Eriti teravalt puudutab see kannatanuid, sest nende läbielamised ei tohiks muutuda avalikuks infoks lihtsalt seetõttu, et need on talletatud mõne menetluse või kohtulahendi käigus. Malluka veebilehe näide näitas ilmekalt, kuidas avalikest kohtulahenditest koondatud ja lihtsasti otsitavaks tehtud info võib viia väga kiiresti kannatanu isiku ning tema eraeluni. See, et mingi info on formaalselt avalik, ei tähenda veel, et selle võimalikult ulatuslik ja kontekstist välja tõstetud levitamine on inimese õiguste seisukohalt põhjendatud.
Siin peitub andmekaitse üks keskseid põhimõtteid. Nimelt see, et andmeid on võimalik koguda, ei tähenda, et neid võib koguda igal võimalikul juhul ning piiramatult. Töötlemine peab olema vajalik, eesmärgipärane, õiguslik, proportsionaalne ning selle üle peab olema võimalik teostada tõhusat kontrolli.
Kui andmed on olemas, kas need peaksid olema ka kättesaadavad?
Sama küsimus kerkis esile terviseandmete puhul. Vandeadvokaat Carri Ginter juhtis tähelepanu probleemidele, mis puudutavad ametnike ligipääsu inimeste delikaatsetele terviseandmetele. See tõi esile küsimuse, kas sellised päringud on piisavalt kontrollitavad ja läbipaistvad ning kas inimene saab üldse teada, et tema andmeid on vaadatud.
Teema puudutab ka teisi väga isiklikke andmeid. Näiteks näitas Geeniuse ja Delfi TV eksperiment, et e-rahvastikuregistrist on võimalik vaadata vastsündinud laste emade nimesid ja isikukoode. Sealhulgas andmeid naiste kohta, kes ei ole oma emaks saamisest avalikult rääkinud ega seda infot sotsiaalmeedias jaganud. See näitab, et isegi justkui seaduslikult kättesaadav info võib olla inimese jaoks ootamatult paljastav. Küsimus ei seisne üksnes selles, kas andmetele tohib ligi pääseda, vaid samuti selles, kes ja miks neid vaatab ning kas inimene ise saab seda kontrollida.
Sarnane vastuolu kerkis esile finantsandmete puhul. Swedbanki juht Olavi Lepp juhtis tähelepanu sellele, et riigil on elektrooniline ligipääs inimeste pangakonto andmetele, kuid pangal puudub ülevaade sellest, kes ja millal neid andmeid pärib ning kuidas neid kasutatakse. Ühelt poolt on pangal kohustus kaitsta kliendi pangasaladust ja isikuandmeid, teisalt on riigil nendele andmetele otsejuurdepääs, mille kasutamise üle pangal sisuline kontroll puudub.
Andmete olemasolu ja neile ligipääs ei tohiks tähendada kontrolli kadumist. See on vajalik meeldetuletus ka ettevõtetele. Tehniline ligipääs ei anna automaatselt õigust andmeid kasutada. Hea süsteem peab suutma vastata kolmele küsimusele: kellel on ligipääs, miks tal seda vaja on ja kas kasutamist saab hiljem kontrollida. Turvalisest hoiustamisest üksi ei piisa. Oluline on tagada, et andmeid kasutatakse ainult põhjendatud eesmärgil ja ainult neil, kellel on selleks tegelik vajadus.
Kes vastutab, kui otsuse teeb algoritm?
Läbivaks teemaks erinevate arutelude puhul oli sel suvel tehisintellekt. AI jõuab üha enamatesse valdkondadesse. Seda kasutatakse näiteks finantsotsuste tegemisel, kaupluste videovalves, turunduses ja loometöös. Tuleb tõdeda, et tehisaru võimalused on suured, kuid sama oluline on mõtestada, millistes olukordades peab säilima inimese otsustusõigus ja kontroll. Mida iseseisvamaks muutuvad AI-agendid, seda tähtsamaks muutub küsimus, kui kindlalt suudame nende tegevust etteantud piirides hoida.
Finantssektorist jõudis avalikkuse ette juhtum, kus süsteem tuvastas pensionärile laenu andmisel riske, kuid nendele hoiatustele ei järgnenud piisavat inimlikku kontrolli. See näide ilmestab hästi, et riskimudeli olemasolust üksi ei piisa. Kui algoritm tuvastab võimaliku probleemi, peab sellele järgnema sisuline hindamine ja vajadusel inimese sekkumine.
Sama põhimõte kehtib kaupluste videovalve süsteemide puhul. AI võib aidata tuvastada anomaaliaid või kahtlast käitumist, kuid tehnoloogia kasutamine ei muuda isikuandmete kaitse reegleid. Eriti tundlikuks muutub olukord biomeetrilise tuvastamise puhul. Mida suurem on otsuse mõju inimesele, seda olulisem on, et lõplik hinnang ja vastutus jääksid niisamuti inimese teha. Seda võib nimetada human-in-the-loop põhimõtteks, kus tehnoloogia aitab otsustada, kuid ei saa võtta inimeselt vastutust. Eriti olukorras, kus mõju inimese heaolule ning tervisele võib olla äärmiselt suur.
AI muudab ka seda, mida tähendab meie jaoks privaatsus
Tehisintellekti mõju ei piirdu organisatsioonides kasutatavate süsteemidega. Üks suve kõnekamaid juhtumeid näitas, kui lihtsalt võib avalikult jagatud foto AI-ajastul saada täiesti uue elu. Koolitüdruku müügikuulutuses avaldatud fotod varastati ning nende põhjal loodi AI abil intiimsed süvavõltsingud, mida levitati tema nime alt. See juhtum tuletab meelde, et sotsiaalmeedia privaatsussätted, teadlik fotode jagamine ja tähelepanu sellele, milline isiklik materjal on avalikult kättesaadav, muutuvad üha olulisemaks.
Sarnane teema kerkis esile loomevaldkonnas, kus artistide nägusid muudeti AI abil ilma nende eelneva nõusolekuta. Kui kasutatakse inimese nägu, häält või muud teda tuvastada võimaldavat materjali, ei kao andmekaitse küsimused lihtsalt seetõttu, et töötlemine toimub tehisintellekti abil. AI ei muuda meie õigusi olematuks, kuid muudab nende kaitsmise järjest keerulisemaks.
Digitaalne suveräänsus on samuti andmekaitse küsimus
Laiemas vaates ei puuduta andmekaitse ainult üksikute inimeste andmeid. Küsimus on selles, kui palju kontrolli on Eestil oma digitaalse infrastruktuuri üle. Eesti Teaduste Akadeemia küberturvalisuse komisjoni analüüs tõi esile vajaduse hinnata lisaks IT-süsteemide töökindlusele sõltuvust suurtest tehnoloogia- ja pilveteenuste pakkujatest ning tehisintellekti mõju meie ühiskonnale.
Kui kriitilised teenused ja andmed sõltuvad vähestest tehnoloogia tarnijatest, ei ole küsimus enam pelgalt küberturvalisuses. See puudutab ühtlasi Eesti digitaalset sõltumatust ning võimet teha oma andmete ja kriitilise taristu üle iseseisvaid otsuseid. Mida suurem on sõltuvus üksikutest tehnoloogia pakkujatest, seda olulisem on hinnata, millised on võimalikud riskid, kui teenusepakkuja tingimused muutuvad, teenus katkeb või ligipääs andmetele on häiritud. Digiriigi tugevus ei seisne ainult toimivates tehnoloogilistes lahendustes, vaid ka selles, et meil säilib nende üle piisav kontroll ja usaldus.
Viis põhimõtet, mida suvest kaasa võtta
Kõik need juhtumid võivad tunduda väga erinevad, kuid nende põhjal saab sõnastada mõned lihtsad põhimõtted, mis kehtivad nii riigile, ettevõtetele kui ka inimesele endale.
1. Kogu ainult seda, mida päriselt vajad.
Andmete tehniline kogumisvõimalus ei ole piisav põhjus nende kogumiseks.
2. Tea, kellel on andmetele ligipääs.
Ligipääs peab olema põhjendatud, piiratud ja hiljem kontrollitav.
3. Hoia inimene oluliste otsuste juures.
Kui algoritm tuvastab riske ning teeb otsuseid, peab sellele järgnema inimese hinnang. Eriti juhul, kui otsus mõjutab inimese õigusi või heaolu.
4. Ole läbipaistev.
Inimesel peab olema võimalik saada konkreetne ülevaade, milliseid andmeid tema kohta kasutatakse ja miks.
5. Mõtle enne avaldamist üks samm kaugemale.
Internetis avaldatud foto või muu isiklik info võib AI-ajastul levida ja saada uue kasutuse viisil, mida selle avaldaja kunagi ette ei näinud.
Jagatud näited ei räägi tegelikult ainult tehnoloogiast. Need räägivad usaldusest. Me ei pea valima innovatsiooni ja privaatsuse vahel. Küsimus on selles, millistel tingimustel me innovatsiooni kasutame ning missugused piirid sellele seame. Sama kehtib riigi puhul. Suurem võimekus andmeid koguda ja kasutada ei tohiks tähendada suuremaid õigusi inimese privaatsuse arvelt. Järelevalve ja andmetele ligipääsu mugavus ei tohiks sõita üle inimese põhiõigustest. Usaldus digitaalses ühiskonnas tekib siis, kui tehnoloogia ja riigi võimekus käivad käsikäes selgete piiride, läbipaistvuse, vastutuse ja inimese õiguste austamisega.
Kas andmete töötlemine on vajalik? Kas inimesel on võimalik aru saada, mis tema andmetega toimub? Kas süsteemi otsuseid kontrollib inimene? Kas andmetele ligipääsu saab hiljem kontrollida ja kas keegi vastutab ka siis, kui otsuse tegi algoritm? Need küsimused muutuvad lähiaastatel aina olulisemaks. Usaldus digitaalses ühiskonnas ei teki sellest, et tehnoloogia töötab. Usaldus tekib siis, kui tehnoloogia töötab ka inimese õigusi arvestades.