Onko juridinen tekoäly tietoturvallinen? Salassapito, GDPR ja datan sijainti

Asianajajan tärkein pääoma on luottamus. Siksi kysymys tekoälystä ei ole vain "toimiiko se" vaan "minne aineisto menee, kun sitä käytän — ja kuka siihen voi päästä käsiksi". Vastaus ratkaisee, voiko työkalua ylipäätään käyttää toimeksiannoissa.

Salassapitovelvollisuus ei jousta

Asianajajan salassapito- ja vaitiolovelvollisuus sitoo myös tekoälyä käytettäessä. Kun syötät toimeksiannon aineistoa palveluun, käsittelet asiakkaan luottamuksellisia tietoja – ja vastaat siitä, ettei niitä luovuteta sivullisille. Hyvä asianajajatapa ei tunne poikkeusta sillä perusteella, että välissä oli ohjelmisto.

GDPR ja henkilötiedot

Toimeksiannot ovat täynnä henkilötietoja: asianosaisia, todistajia, terveys- ja talousseikkoja. Tietosuoja-asetus edellyttää käsittelyltä lainmukaista perustetta, käsittelysopimusta ja tietoa siitä, kuka tietoja käsittelee ja missä. Mallin "oppiminen" syötetystä aineistosta on tässä erityisen herkkä kohta.

EU-sijainti ei yksin riitä: FISA 702, CLOUD Act ja GDPR-paradoksi

Yleinen oletus kuuluu: "kun data on EU:n konesalissa, se on GDPR:n mukainen." Tämä ei pidä paikkaansa, jos palveluntarjoaja on yhdysvaltalainen.

• FISA Section 702 antaa Yhdysvaltain viranomaisille oikeuden velvoittaa yhdysvaltalaiset palveluntarjoajat luovuttamaan ulkomaisten henkilöiden tietoja tiedustelutarkoituksiin.
• CLOUD Act (2018) velvoittaa yhdysvaltalaisen palveluntarjoajan luovuttamaan hallinnassaan olevan datan riippumatta siitä, missä se on tallennettu – myös EU:n konesalista.

Lopputulos on paradoksi: data lepää fyysisesti EU:ssa ja on "turvassa" levossa, mutta sen voi silti tavoittaa yhdysvaltalaisella määräyksellä – joskus salassapitomääräyksen kera, jolloin et edes saa tietää luovutuksesta. EU-tuomioistuin tunnisti juuri tämän ongelman Schrems II ‑ratkaisussa (2020) kumotessaan Privacy Shieldin. Nykyinen EU–US Data Privacy Framework tarjoaa oikeudellisen siirtoperustan tänään, mutta se nojaa samaan kiisteltyyn pohjaan, ja uutta valitusta pidetään todennäköisenä.

Asianajajalle tämä ei ole akateeminen kysymys: yhdysvaltalaisen tahon pakottama luovutus voi murtaa asianajosalaisuuden.

Datan sijainti EU:ssa ei siis yksin riitä – ratkaisevaa on, kenen lainkäyttövaltaan palveluntarjoaja kuuluu. Vasta eurooppalainen, EU:ssa toimiva ja EU:n omistuksessa oleva palvelu jää tämän tavoittamattomiin.

Neljä kysymystä palveluntarjoajalle

1. Kuka omistaa palvelun ja minkä maan lakia se noudattaa? Yhdysvaltalainen omistus tarkoittaa FISA 702- ja CLOUD Act -altistusta EU-konesalista huolimatta.

2. Käytetäänkö syötteitäni mallin kouluttamiseen? Oikea vastaus toimeksiantoaineistolle on ei.

3. Kuinka kauan tietoja säilytetään ja ketkä ovat alikäsittelijät? Lyhyt säilytys ja EU-pohjainen ketju vähentävät riskiä.

4. Kulkeeko kysely yhdysvaltalaisen mallin läpi? Jos taustalla on yhdysvaltalainen kielimalli, sama lainkäyttöalue seuraa mukana.

Lexivon vastaus: täysi eurooppalainen suvereniteetti

Lexivo on suomalainen yhtiö, ja toimeksiantoaineiston käsittelyketju pysyy kokonaan EU:ssa:

• Konesali Suomessa – Hetzner, Helsinki.
• Oma kielimalli, Lexivo Nomus FI, ajetaan omalla eurooppalaisella laitteistolla. Tämä on ydin, jonka läpi asiakasaineisto kulkee.
• Myös varajärjestelmät ovat eurooppalaisia: Nebius (Mäntsälä, Suomi) ja Mistral (Ranska) Zero Data Retention -periaatteella – ei tallennusta, ei koulutuskäyttöä.

Yksikään kerros ei nojaa yhdysvaltalaiseen palveluntarjoajaan, joten FISA 702 ja CLOUD Act eivät ulotu asiakasdataan. Asiakasaineistolla ei kouluteta malleja ja säilytys on minimoitu. Se on vahvin mahdollinen vastaus GDPR-paradoksiin: tietoturva ei ole lisäominaisuus vaan edellytys koko työkalun käytölle asianajotyössä.

---

*Lähteet: CLOUD Act – Wikipedia · Section 702 of FISA – Brennan Center · Schrems II ja EU–US-tiedonsiirrot – IAPP · Yleinen tietosuoja-asetus, V luku (siirrot) – EUR-Lex*