Vastus nõudekirjale

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Katrin Uuetalu Teie 21.03.2025 Eesti Töötukassa [email protected] Meie 08.04.2025 nr 2.3-8/25/906-2 Vastus nõudekirjale Olete pöördunud Andmekaitse Inspektsiooni (AKI) poole. Soovite tehisintellektil põhineva lahenduse kasutuselevõtmisele AKI seisukohta. Eesti Töötukassa soovib luua karjääriteemalist tehisintellekti põhist vestlusrobotit www.minukarjaar.ee veebilehele. Vestlusroboti karjääriinfo vahendamine on mõeldud töötama ilma isikuandmeteta, kuid kuna klient kirjutab vabateksti väljale oma küsimuse, siis pole takistatud ja täiesti välistatud, et ta ei sisesta sinna isikustatud andmeid. Karjääriinfo vahendamine on töötukassa tööturuteenus, mida osutatakse tööturumeetmete seaduse alusel (§ 13 lg 2 punkt 3) ning tööturumeetmete seaduse alusel kehtestatud tööhõiveprogrammi alusel (§ 7 lg 4 punkt 1, § 19). Vestlusrobot plaanitakse luua OpenAI platvormil, mis ei ole töötukassa kontrolli all (nt andmete säilitamine). Telefonivestlusele lisaks pean vajalikuks edastada ka kokkuvõtvalt lisaks mõned selgitused ning viited seoses pöördumises välja toodud teemaga. Esmalt märgime, et AKI pooldab igati nende (uudsete) tehnoloogiate kasutusele võtmist, mis arvestavad muuhulgas ka isikute kõige põhilisemate õiguste ja vabadustega ning kui andmetöötleja on läbi viinud kohased kirjalikud analüüsid ning jõudnud teadmiseni, et saadav kasu on niivõrd suur, et kaalub üle võimaliku kahju. Mis puudutab konkreetsele tehnoloogiale AKI poolset hinnangu andmist, siis selgitame, et AKI annab siduvaid õiguslikke hinnanguid üksnes järelevalve menetluse käigus. Sellisel juhul on AKI- l võimalik hinnata kõiki asjas tähtsust omavaid asjaolusid (sh asutuse koostatud dokumente, näiteks mõjuhinnangut, mis peavad koostatud olema sellise tehnoloogia kasutusele võtmiseks jne). Antud juhul ei ole AKI-le selgitatud, kuidas on hinnatud uue rakenduse mõju inimesele, kuidas ja mis meetodeid kasutatakse, et inimesed ei lisaks oma isikuandmeid sinna, kuhu ei ole vaja vms, siis saabki AKI anda eelkõige suuniseid, kust leida vajalikku informatsiooni asjakohase materjali leidmiseks. Andmetöötlejal tuleb oma tegevused läbi mõelda enne isikuandmete töötlemist. Nagu telefonis selgitasin, siis on iga andmetöötleja enda kohustus analüüsida, kas ja millisel õiguslikul alusel toimub igasugune isikuandmete töötlemine. Õigusliku aluste kohta saab lugeda siit: https://www.aki.ee/isikuandmed/andmetootlejale/tootlemise-oiguslikud-alused. Kuna mainitud lahendus võimaldab eelduslikult isikuandmeid töödelda (vabatekstiväli, kuhu inimene saab oma isikuandmeid lihtsasti lisada), siis toimub suure tõenäosusega ka isikuandmete töötlemine. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Lisaks määrab isikuandmete kaitse üldmäärus veel ka teisi kohustusi, mida peab järgima isikuandmete töötlemisel nt läbipaistvus, minimaalsus jne. Täpsemalt informatsiooni selle kohta leiab siit: https://www.aki.ee/isikuandmed/andmetootlejale/andmetootluse-pohimotted ja siin: https://www.aki.ee/isikuandmed/juhendid/isikuandmete-tootleja-uldjuhend. Olete muuhulgas kirjutanud, et kuna minukarjaar.ee lehe vestlusrobot on mõeldud isikustamata info töötlemiseks, siis töötukassa ei vastuta (ei ole vastutav töötleja), mida teeb sisestatud infoga OpenAI ja ei vastuta kui klient vabatekstivälja ikkagi sisestab isikuandmeid (kas enda kohta või mitte). Siinkohal aga tasub eelkõige tähelepanu pöörata sellele, kas töötukassal on kohane lisada veebilehele vabateksti väljaga tööriistu ning seda, kas töötukassa saab lisada oma lehele kasutamiseks midagi, mis juba eos ei allu tema kontrolli alla. Veebilehe omanik vastutab veebilehel toimuva eest (sh kas ja mida sinna integreerib, sh oma tegevuse hõlbustamiseks). Töötukassal tuleb läbi hinnata, mida toovad erinevad lisatavad tehnoloogiad ning kes vastutab1 seeläbi toimuva andmetöötluse eest tegelikult. Oluline on ka teada, kas võimalike riskide vähendamiseks saab kasutada alternatiivseid lähenemisi (sh mitte kasutada vabateksti väljasid vms). Samuti viitame, et 2. augustil 2024 jõustus ka Euroopa Liidu AI määrus. See sätestab ühetaolise reeglistiku tehisintellektisüsteemide arendamisele ja kasutamisele. Määruse keskne eesmärk on tagada inimeste tervise, ohutuse ja põhiõiguste kaitse ning edendada seda, et tehisintellekti üha ulatuslikum kasutamine ühiskonnas püsiks inimkeskne ja usaldusväärne. Palume Teil vajadusel sellega tutvuda ning võtta arvesse sellest määrusest tulenevaid kohustusi. Loodan, et minu selgitustest on abi ning lisaküsimuste korral palume võtta ühendust. Lugupidamisega Liina Kroonberg jurist peadirektori volitusel 1 AKI veebilehel saab lisaks tutvuda vastutava ja volitatud töötleja mõistetega. 2 (2)