Tekoälyn tietoturva : Tekoälyn yleisimmät riskit, riskienhallinta ja EU:n tekoälyasetus

Abstract

The topic of this literature review is the security of artificial intelligence (AI). As AI becomes more common and its use expands, the topic is both appropriate and of general interest. As the EU Artificial Intelligence Act (AI act) is now in force, the regulation of AI and its impact on AI systems, their development, and security is becoming increasingly highlighted. The review focuses on the risks related to AI and their management. The objective is to identify the most common risks and to find out which control measures are suitable for managing them. This point of view is examined through the research question: What are the most common cybersecurity risks of AI, and how can they be managed? In addition, the review studies the EU AI Act and its implications for the development and use of AI systems within the European Union. The related research question is: How does the EU AI Act affect the cybersecurity practices and requirements of AI systems within the EU? The analysis method used in the review was content analysis, which focused on finding the meanings and themes of the texts in the material and categorizing them. In the review of the most common AI risks and their management methods, the primary source was the ProQuest database, and the secondary source was the Google Scholar search engine. The data collection was narrowed to the period from January 1, 2020, to April 16, 2025. Simple keywords were used in the search process without search phrases. The search results were evaluated individually and assessed for their relevance to the research question. A total of 31 peer-reviewed publications were chosen for the final analysis. In the analysis, all mentioned risks and their management methods were collected from the research material. The gathered risks were grouped, and the frequency of occurrence for each risk group was calculated from the material. Based on this, the most common risk groups were identified. For the six most common risk groups, control measures were searched from the research material. The primary source for analyzing the requirements of the AI Act was the EU AI Act itself, and the secondary source was the guidelines and publications issued by the European Commission. The regulation and other materials were reviewed, and the relevant sections were organized and analyzed in relation to the research question. In addition, two case analyses were conducted on hypothetical AI systems. These case studies aimed to demonstrate the effects of the regulation on AI systems. Based on the analysis, the most common AI risks included risks related to model and data manipulation, privacy and data protection, vulnerabilities in AI systems, model bias, the use of AI in cyberattacks, and ethical issues related to AI use. The requirements of the EU AI Act try to ensure the safety and reliability of AI systems and to protect fundamental rights. The regulation prohibits some uses of AI. Prohibited systems include those that manipulate or mislead users, exploit user vulnerabilities, conduct unfair social scoring, or enable large-scale surveillance without a legal basis. For high-risk AI systems, the regulation requires, for example, thorough documentation and continuous monitoring throughout lifecycle, registration in the EU database, CE certificate, demonstration of compliance, accuracy, stability, and cybersecurity appropriate to the intended use case through the system's lifecycle, as well as human oversight. For low-risk systems, the regulation sets transparency obligations. Users must be told when interacting with AI. Synthetic products created by AI must be labeled as artificially generated.

Kirjallisuuskatsauksen aiheena on tekoälyn tietoturva. Tekoälyn yleistyessä ja sen käytön laajetessa aihe on ajankohtainen ja yleisesti kiinnostusta herättävä. EU:n tekoälyasetuksen voimaantulon myötä myös tekoälyn sääntely ja sen vaikutukset tekoälyjärjestelmiin, niiden kehittämiseen ja tietoturvaan korostuvat entisestään. Katsauksessa keskitytään tekoälyn riskeihin ja niiden hallintaan. Tavoitteena on tunnistaa yleisimmät riskit ja kartoittaa, mitkä hallintakeinot sopivat niiden hallintaan. Tätä näkökulmaa selvitetään tutkimuskysymyksellä: Mitkä ovat tekoälyn yleisimmät tietoturvariskit ja miten niitä voidaan hallita? Lisäksi katsauksessa tutustutaan EU:n tekoälyasetukseen ja sen vaikutuksiin tekoälyjärjestelmien kehittämiseen ja käyttöön Euroopan unionin alueella. Tähän aiheeseen kohdistuu tutkimuskysymys: Miten EU:n tekoälyasetus vaikuttaa tekoälyjärjestelmien tietoturvakäytäntöihin ja -vaatimuksiin EU:n alueella? Katsauksen analyysimenetelmänä käytettiin sisällönanalyysiä, jossa keskityttiin materiaalin tekstien merkityksen ja teemojen tunnistamiseen sekä niiden luokitteluun. Tekoälyn yleisimpien riskien ja niiden hallintamenetelmien tutkimisessa ensisijaisena lähteenä oli ProQuest-tietokanta ja toissijaisena lähteenä Google Scholar -hakukone. Aineiston haku rajattiin aikavälille 1.1.2020-16.4.2025. Hakuprosessissa käytettiin yksinkertaisia hakusanoja ilman haku-sanalausekkeita. Hakutulokset käytiin yksitellen läpi ja arvioitiin niiden olennaisuus suhteessa tutkimuskysymykseen. Lopulliseen analyysiin valikoitui 31 vertaisarvioitua julkaisua. Analyysissä tutkimusaineistosta tunnistettiin kaikki mainitut riskit ja niiden hallintamenetelmät. Tunnistetut riskit jaettiin ryhmiin ja jokaisen riskiryhmän riskien esiintyvyystiheys laskettiin materiaalista. Tämän perusteella tunnistettiin yleisimpien riskien ryhmät. Kuudelle yleisimmälle riskiryhmälle kartoitettiin tutkimusmateriaalista hallintakeinoja. Tekoälyasetuksen vaatimusten analysoinnin ensisijaisena lähteenä oli EU:n tekoälyasetus ja toissijaisena lähteenä Euroopan komission siitä antamat ohjeistukset ja tiedotteet. Asetus ja muu materiaali käytiin läpi ja siitä jäsennettiin ja analysoitiin tutkimuskysymyksen kannalta olennaiset kohdat. Lopuksi tehtiin myös kaksi tapausanalyysiä kuvitteellisiin tekoälyjärjestelmiin. Tapausanalyyseillä pyrittiin havainnollistamaan asetuksen vaikutuksia tekoälyjärjestelmiin. Analyysin perusteella tekoälyn yleisimpiä riskejä olivat mallin ja datan manipulointiin liittyvät riskit, yksityisyydensuojaan ja tietosuojaan liittyvät riskit, tekoälyjärjestelmien tietoturvahaavoittuvuuksiin liittyvät riskit, mallin puolueellisuuteen liittyvät riskit, tekoälyn käyttö kyberhyökkäyksissä ja tekoälyn käyttöön liittyvät eettiset riskit. EU:n tekoälyasetuksen vaatimuksilla pyritään varmistamaan tekoälyjärjestelmien turvallisuus ja luotettavuus sekä suojelemaan perusoikeuksia. Asetus kieltää joitain tekoälyn käyttötapauksia. Kiellettyjä ovat järjestelmät, jotka manipuloivat tai harhaanjohtavat käyttäjiä, hyödyntävät käyttäjän haavoittuvuutta, tekevät syrjivää sosiaalista pisteytystä tai mahdollistavat laajamittaisen valvonnan ilman oikeudellista perustaa. Suuririskisille tekoälyjärjestelmille asetuksessa vaaditaan muun muassa perusteellista dokumentaatiota ja elinkaaren ajan kestävää seurantaa, rekisteröintiä EU:n tietokantaan, CE-merkintää, vaatimustenmukaisuuden osoittamista, koko järjestelmän elinkaaren kestävää, käyttötarkoitukseen sopivaa toiminnan tarkkuutta, vakautta ja kyberturvallisuutta sekä ihmisen suorittamaa valvontaa. Vähäisen riskin järjestelmille on asetuksessa kohdistettu avoimuusvelvoitteita. Käyttäjälle on kerrottava tekoälyn käytöstä vuorovaikutustilanteessa. Myös tekoälyn tuottamat synteettiset tuotokset tulee merkitä keinotekoisesti tuotetuiksi.