Selkeyttä pilvipalveluiden ja tekoälyn tietoviidakossa
Tietojen hallinta – ja siten myös tietojen suvereniteetti – ei ole asia, jonka organisaatiot saavuttavat kerralla ja jonka sitten unohtavat. Se on jatkuva vastuu. Tehokkaat SaaS-alustat (Software-as-a-Service) ja tekoälysovellukset tekevät tästä vastuusta monimutkaisemman kuin koskaan. Siitä huolimatta julkisen sektorin organisaatiot voivat säilyttää hallinnan, rakentaa luottamusta ja täyttää sääntelyvaatimukset.
Software-as-a-Service (SaaS) tarjoaa skaalautuvuutta, joustavuutta ja pienempiä alkuinvestointeja. Tekoäly (AI) pystyy analysoimaan, järjestelemään ja tuottamaan tietoa, mikä auttaa organisaatioita saamaan arvokkaita oivalluksia ja vähentämään samalla manuaalista työtä. Molempien teknologioiden ytimessä on data – olipa kyseessä sitten arkaluonteisia kansalais tietoja, viranomaistietoja tai terveydenhuollon potilastietoja.
Keskeinen kysymys on: kuka säilyttää hallinnan, kun tiedot poistuvat organisaation omasta infrastruktuurista? Kuka on vastuussa, kun SaaS-palveluntarjoajat tai tekoälymallit käsittelevät tietoja julkisissa pilvipalveluympäristöissä? Ja ehkä tärkeimpänä: kuka on vastuussa näiden tietojen suojaamisesta – asiakas vai palveluntarjoaja?
Käytännössä vastaus ei ole yksinkertainen eikä ehdoton. Se riippuu siitä, miten vastuut on määritelty, miten palvelut tuotetaan ja miten tietoturvatoimenpiteet toteutetaan. Yhä monimutkaistuvan geopoliittisen tilanteen ja eurooppalaista tietosuvereniteettia koskevan keskustelun kiihtyessä julkisen sektorin organisaatioiden on ymmärrettävä selvästi, missä vastuu alkaa ja päättyy – ja miten ne voivat säilyttää hallinnan omista tiedoistaan.
Mitä tarkoittaa tietojen hallinta?
Tietojen hallinta tarkoittaa valtuuksia, vastuuta ja päätöksentekovaltaa, jotka liittyvät tietoihin niiden koko elinkaaren ajan. Kyse ei ole pelkästään omistajuutta koskevasta oikeudellisesta kysymyksestä, vaan ennen kaikkea siitä, kuka määrää, miten tietoihin päästään käsiksi, miten niitä käytetään ja miten niitä suojataan. Käytännössä tämä edellyttää selkeitä hallintokehyksiä, tarkasti määriteltyjä sopimusjärjestelyjä ja asianmukaisia teknisiä suojatoimia.
Tietojen hallinta on siis toiminnallinen käsite, kun taas tietojen suvereniteetti on laajempi strateginen periaate. Tietojen suvereniteetti tarkoittaa, että organisaatiot säilyttävät tehokkaan hallinnan omista tiedoistaan riippumatta siitä, missä ne fyysisesti säilytetään tai käsitellään. Saksassa teknologista ja digitaalista suvereniteettia edistetään tällä hetkellä esimerkiksi High-Tech Agenda Germany (HTAD) -aloitteen sekä liittohallituksen hallinnon ja julkishallinnon modernisointiohjelman kautta.
Pilvi peittää kuvan
Olipa kyseessä sitten julkishallinto, asiakaspalvelukeskukset tai mikä tahansa muu ympäristö, jossa käsitellään arkaluonteisia tietoja, SaaS-sovellukset tarjoavat joustavan pääsyn ja skaalautuvat nopeasti muuttuvan kysynnän mukaan. Ne mahdollistavat jatkuvan innovaation säännöllisten päivitysten avulla ja vaativat yleensä huomattavasti pienempiä alkuinvestointeja kuin perinteiset paikallisesti asennettavat ratkaisut.
Samalla tietojen siirtäminen pilvipalveluun voi tehdä epäselvemmäksi, kuka lopulta hallitsee kyseisiä tietoja. Sama pätee tekoälysovelluksiin, jotka käsittelevät tietoja usein julkisissa pilvipalveluympäristöissä. Vaikka tekoäly voi tuottaa arvokkaita oivalluksia suurista tietomääristä, se asettaa myös suurempia vaatimuksia läpinäkyvyydelle, hallinnoinnille sekä selkeästi määritellyille säännöille tietojen käsittelystä ja säilyttämisestä.
Julkisen sektorin organisaatioiden on siksi laadittava selkeät toimintaperiaatteet, joissa määritellään, miten tekoälyä käytetään, mitä tietoja sen avulla saa käsitellä ja kuinka kauan tietoja säilytetään.
Saksan valtion viranomaiset ja paikallisviranomaiset ovat pulmatilanteessa
Julkisen sektorin organisaatiot kohtaavat erityisiä haasteita tietojen hallinnan ja tietosuvereniteetin suhteen. Monien nykypäivän johtavien teknologian tarjoajien pääkonttorit sijaitsevat Euroopan ulkopuolella. Tämän vuoksi hyperskaalajien, kuten AWS:n, Microsoft Azuren ja Google Cloudin, julkisten pilvipalveluiden käyttö herättää usein monimutkaisia kysymyksiä, jotka liittyvät eurooppalaiseen tietosuvereniteettiin, sääntelyn noudattamiseen ja lainkäyttövaltaan.
Toisaalta eurooppalaiset valtionhallinnon pilvipalveluntarjoajat eivät aina tarjoa yhtä laajaa palveluvalikoimaa, yhtä laajaa maailmanlaajuista toimintaa tai yhtä hyvää kaupallista kilpailukykyä kuin suurimmat hyperskaalausyritykset. Julkisen sektorin organisaatioiden on siksi löydettävä huolellinen tasapaino teknologisten valmiuksien, sääntelyvaatimusten ja sen hallinnan tason välillä, jonka ne haluavat säilyttää omien tietojensa suhteen.
Läpinäkyvyys on lähtökohta
Tässä monimutkaisessa tilanteessa ensimmäinen askel tehokkaan tietojen hallinnan saavuttamiseksi on ymmärtää, miten, missä ja kenen toimesta tietoja tallennetaan ja käsitellään.
Periaatteessa julkisen sektorin organisaatiot säilyttävät hallinnan omista tiedoistaan. Käytännössä tietoja käsitellään kuitenkin usein useilla SaaS-alustoilla, tekoälypalveluissa ja pilviympäristöissä, mikä luo huomattavasti monimutkaisemman kokonaiskuvan. Tästä syntyvää ohjelmistotoimittajien, pilvialustojen ja joissakin tapauksissa myös kolmansien osapuolten palveluntarjoajien muodostamaa ekosysteemiä voi olla vaikea valvoa. Monimutkaisuuden kasvaessa myös selkeiden vastuualueiden ylläpitäminen muuttuu haastavammaksi – erityisesti kun kyse on tietoturvasta ja sääntelyn noudattamisesta.
Yhteisvastuu: Kuka on vastuussa?
Yksi laajalti käytetty lähestymistapa on jaetun vastuun malli. Tämän mallin mukaan palveluntarjoaja vastaa taustalla olevan infrastruktuurin, mukaan lukien pilvialustan ja itse sovelluksen, tietoturvasta. Julkisen sektorin organisaatiot ovat kuitenkin edelleen vastuussa esimerkiksi identiteetin ja pääsyn hallinnasta, tietojen konfiguroinnista sekä integraatioiden ja rajapintojen tietoturvasta.
Tätä vastuunjakoa tulkitaan usein väärin. Jos konfiguraatiovirhe paljastaa arkaluonteisia tietoja, vastuu on yleensä julkisen sektorin organisaatiolla eikä palveluntarjoajalla. Sääntelyn näkökulmasta on usein toissijaista, johtuiko tapaus pilvipalveluntarjoajasta vai palvelun omistajasta. Keskeinen kysymys on, onko kumpikin osapuoli täyttänyt omat tietoturvavelvoitteensa. Jos palveluntarjoaja ei ole täyttänyt omia velvollisuuksiaan, myös se voi joutua viranomaisten tarkastelun kohteeksi.
Onko tietojen hallinta projekti vai jatkuva prosessi?
Lainsäädännölliset vaatimukset ovat nostaneet tietosuojan – ja erityisesti arkaluonteisten tietojen suojan – ehdottomasti etusijalle. Tätä asiaa ei kuitenkaan voida hoitaa kertaluonteisella hankkeella. SaaS-alustat ja tekoälysovellukset kehittyvät jatkuvasti, mikä tuo mukanaan uusia ominaisuuksia ja uusia riskejä.
Tämän vuoksi tietojen hallintaa ja säännösten noudattamista on pidettävä jatkuvana velvollisuutena eikä kertaluonteisena hankkeena. Organisaatiot, jotka pystyvät selvästi osoittamaan hallitsevansa tietojaan, vahvistavat sääntelyviranomaisten, yhteistyökumppaneiden ja kansalaisten luottamusta ja samalla vähentävät riskejä SaaS- ja tekoälyteknologioiden kehittyessä edelleen.
Mitä valtion viranomaiset ja kunnat voivat tehdä nyt?
Julkisen sektorin organisaatioiden tulisi varmistaa tehokas tietojen hallinta yhdistämällä sopimusperusteisia suojatoimia, avoimuutta ja teknisiä valvontatoimenpiteitä.
Käytännössä tämä edellyttää ensinnäkin sopimusten ja vastuiden selkeää ymmärtämistä. Kuka on rekisterinpitäjä ja kuka tietojen käsittelijä? Mitä alikäsittelijöitä ja pilvipalveluntarjoajia SaaS- tai tekoälytoimittaja käyttää? Miten tietojen käsittelyä, säilyttämistä ja poistamista hallitaan, erityisesti sopimuksen päättyessä?
Tämän lisäksi organisaatioiden tulisi ylläpitää kattavaa kartoitusta tietovirroistaan. Niiden on ymmärrettävä, missä tiedot syntyvät, missä niitä säilytetään, käsitellään ja replikoidaan, mitkä tekoälytoiminnot pääsevät käsiksi mihin tietoryhmiin sekä mitkä kolmansien osapuolten järjestelmät ja sovellukset on integroitu ympäristöön.
Sisäisten toimintaperiaatteiden toteuttaminen
Tämän perustan pohjalta julkisen sektorin organisaatioiden tulisi laatia selkeät tietoturva- ja tekoälyn hallintaperiaatteet. Niissä tulisi määritellä, kenellä on oikeus päästä käsiksi mihin tietoihin ja miten tätä pääsyä suojataan, esimerkiksi keskitetyn tunnistushallinnan, kertakirjautumisen (SSO) ja monivaiheisen todennuksen (MFA) avulla.
Yhtä tärkeitä ovat selkeästi määritellyt roolit ja käyttöoikeudet, kattava tapahtumaloki, sekä tallennettujen että siirrettävien tietojen salaus sekä tekniset suojatoimenpiteet, joiden avulla arkaluonteiset tiedot voidaan tarvittaessa tunnistaa ja peittää automaattisesti.
Tarvittaessa avoimen lähdekoodin ohjelmistot voivat myös tarjota etuja, koska niiden lähdekoodi on julkisesti saatavilla riippumattomaan tarkasteluun ja tietoturva-arviointiin. Tämän tulisi kuitenkin aina olla osa laajempaa tietoturva- ja hallintostrategiaa, eikä sitä tulisi pitää itsessään erillisenä tietoturvatoimenpiteenä.
Lisäksi organisaatioiden tulisi määritellä selkeät tietojen säilyttämis- ja poistokäytännöt sen varmistamiseksi, että tietoja säilytetään vain niin kauan kuin on tarpeen. Tekoälyjärjestelmät edellyttävät myös tarkasti määriteltyjä suojatoimia, joissa täsmennetään, mitä tietoja saa käsitellä, mitkä käyttötarkoitukset ovat sallittuja ja miten tekoälyn syötteet, tulokset ja päätökset kirjataan, dokumentoidaan ja säilytetään.
Yhteistyö yhteisen tavoitteen saavuttamiseksi
Tietojen hallinta on sisällytettävä koko organisaation toimintaan. Heti kun yksittäiset osastot alkavat ottaa itsenäisesti käyttöön SaaS- tai tekoälyratkaisuja, voi nopeasti syntyä erillisiä järjestelmiä, joilla on omat tietosuojakäytäntönsä, käyttöoikeutensa ja säilytyssääntönsä. Tämä aiheuttaa hallinnon katvealueita ja heikentää organisaation valvontaa.
Tietotekniikka-, tietoturva- ja hallintotiimit tulisi siksi ottaa mukaan alusta alkaen aina, kun määritellään uusia vaatimuksia, valitaan palveluntarjoajia, päätetään käyttöönottoalueista tai otetaan käyttöön tekoälyominaisuuksia.
Samalla julkisen sektorin organisaatioissa tarvitaan selkeästi määriteltyjä rooleja ja vastuualueita. Kuka hyväksyy uudet tekoälyn käyttötapaukset? Kuka tarkastaa ohjelmistopäivitykset ja uudet versiot? Kuka vastaa auditoinneista, vaatimustenmukaisuuden todentamisesta ja jatkuvasta hallinnosta? Loppujen lopuksi tehokas tietojen hallinta voidaan saavuttaa vain, kun jokainen osasto noudattaa samaa hallintakehystä kaikissa järjestelmissä ja sovelluksissa.
Mikä ero on tietojen hallinnalla ja tietojen suvereniteetilla?
Vaikka tietojen hallinta on käytännönläheinen, operatiivinen käsite, tietojen suvereniteetti edustaa laajempaa strategista tavoitetta sekä poliittisella että organisaatiotasolla. Tavoitteena on varmistaa, että arkaluonteiset tiedot pysyvät niistä vastuussa olevan organisaation oikeudellisessa ja operatiivisessa hallinnassa riippumatta siitä, missä kyseisiä tietoja säilytetään tai käsitellään.
Tietosuvereniteetin tavoitteena on myös vähentää riippuvuutta yksittäisistä palveluntarjoajista ja välttää liiallista toimittajariippuvuutta. Tätä voidaan tukea esimerkiksi avoimien standardien, tietojen siirrettävyyden, yhteentoimivien arkkitehtuurien ja tarvittaessa avoimen lähdekoodin ohjelmistojen käytön avulla.
Miksi tietojen suvereniteetti on tärkeää Euroopalle?
Euroopan tasolla käytävää keskustelua leimaavat geopoliittiset jännitteet ja Yhdysvaltojen lainsäädännön kehitys. Yhdysvaltojen CLOUD-lain ja ulkomaantiedustelulain (FISA) kaltaisten säädösten nojalla Yhdysvaltojen viranomaiset voivat tietyin oikeudellisilla edellytyksillä vaatia Yhdysvalloissa toimivia palveluntarjoajia luovuttamaan tiettyjä tietoja – jopa silloin, kun kyseiset tiedot on tallennettu eurooppalaisiin tietokeskuksiin.