+Standardized Terminology
|
Standardized Terminology
Description
Mechanisms exist to standardize technology and process terminology to reduce confusion amongst groups and departments.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ Follow secure coding basics when developing software
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ Secure coding guidelines for developers
∙ Basic security review before release
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ Formal security engineering principles
∙ Secure design patterns
∙ Threat modeling
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ Enterprise security engineering program
∙ Formal threat modeling
∙ Security architecture standards
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ Enterprise security architecture framework (SABSA)
∙ Formal threat modeling program
∙ Security design patterns library
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.
Level 2 Planned Tracked
Secure Engineering & Architecture (SEA) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with SEA domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with SEA domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with SEA domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Secure engineering and architecture-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Secure engineering and architecture management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ IT and/or cybersecurity personnel define entity-specific secure engineering practices to protect the Confidentiality, Integrity, Availability and Safety (CIAS) of the entity's TAASD.
▪ IT and/or cybersecurity personnel align secure engineering practices with the entity's broader IT architecture practices.
▪ IT and/or cybersecurity personnel use secure engineering practices to influence Secure Baseline Configurations (SBC).
Level 3 Well Defined
Cybersecurity & Data Protection Governance (GOV) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with GOV domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with GOV domain capabilities are well-documented and kept current by process owners.
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, is appropriately staffed and supported to implement and maintain GOV domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ Technology is leveraged to enhance the efficiency and accuracy of governance, risk management and compliance operations (e.g., GRC platform).
▪ An implemented and operational capability exists to standardize technology and process terminology to reduce confusion amongst groups and departments.
Level 4 Quantitatively Controlled
Utilize SCR-CMM Level 3 criteria definitions:
▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control.
▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
1. Yleiskatsaus
1.1 Viittaukset
1.2 Tunnistetut vaatimukset
1.3 Liittyvät säädökset
2. Tunnistetut vaatimukset
Vaatimukset
| Lähde |
Vaatimus |
3. Liittyvät säädökset
Säädökset
| Lähde |
Sääntely |
|
EULAW
|
3 artikla Määritelmät
3 artikla
Tässä asetuksessa tarkoitetaan
1)
’tekoälyjärjestelmällä’ konepohjaista järjestelmää, joka on suunniteltu toimimaan käyttöönoton jälkeen vaihtelevilla autonomian tasoilla ja jossa voi ilmetä mukautuvuutta käyttöönoton jälkeen ja joka päättelee vastaanottamastaan syötteestä eksplisiittisiä tai implisiittisiä tavoitteita varten, miten tuottaa tuotoksia, kuten ennusteita, sisältöä, suosituksia tai päätöksiä, jotka voivat vaikuttaa fyysisiin tai virtuaalisiin ympäristöihin;
2)
’riskillä’ haitan esiintymisen todennäköisyyden ja haitan vakavuuden yhdistelmää;
3)
’tarjoajalla’ luonnollista tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka kehittää tai kehityttää tekoälyjärjestelmän tai yleiskäyttöisen tekoälymallin ja saattaa sen markkinoille tai ottaa tekoälyjärjestelmän käyttöön omalla nimellään tai tavaramerkillään joko maksua vastaan tai maksutta;
4)
’käyttöönottajalla’ luonnollista tai oikeushenkilöä, viranomaista, virastoa tai muuta tahoa, joka käyttää valvonnassaan olevaa tekoälyjärjestelmää, paitsi jos tekoälyjärjestelmää käytetään henkilökohtaisessa muussa kuin ammattitoiminnassa;
5)
’valtuutetulla edustajalla’ unionissa sijaitsevaa tai unioniin sijoittautunutta luonnollista tai oikeushenkilöä, joka on saanut ja hyväksynyt tekoälyjärjestelmän tai yleiskäyttöisen tekoälymallin tarjoajan antaman kirjallisen toimeksiannon täyttää ja toteuttaa kyseisen tarjoajan puolesta tässä asetuksessa säädetyt velvollisuudet ja menettelyt;
6)
’maahantuojalla’ unionissa sijaitsevaa tai unioniin sijoittautunutta luonnollista tai oikeushenkilöä, joka saattaa markkinoille tekoälyjärjestelmän, jolla on kolmanteen maahan sijoittautuneen luonnollisen tai oikeushenkilön nimi tai tavaramerkki;
7)
’jakelijalla’ muuta toimitusketjuun kuuluvaa luonnollista tai oikeushenkilöä kuin tarjoajaa tai maahantuojaa, joka asettaa tekoälyjärjestelmän saataville unionin markkinoilla;
8)
’toimijalla’ tarjoajaa, tuotteen valmistajaa, käyttöönottajaa, valtuutettua edustajaa, maahantuojaa tai jakelijaa;
9)
’markkinoille saattamisella’ tekoälyjärjestelmän tai yleiskäyttöisen tekoälymallin asettamista ensimmäistä kertaa saataville unionin markkinoilla;
10)
’asettamisella saataville markkinoilla’ tekoälyjärjestelmän tai yleiskäyttöisen tekoälymallin toimittamista markkinoille liiketoiminnan yhteydessä jakelua tai käyttöä varten joko maksua vastaan tai maksutta;
11)
’käyttöönotolla’ tekoälyjärjestelmän toimittamista ensimmäistä käyttöä varten unionissa sen käyttötarkoitukseen suoraan käyttöönottajalle tai omaan käyttöön;
12)
’käyttötarkoituksella’ käyttöä, johon tarjoaja on tarkoittanut tekoälyjärjestelmän, mukaan lukien erityinen käyttöyhteys ja erityiset käyttöolosuhteet, siten kuin ne on määritelty tiedoissa, jotka tarjoaja on antanut käyttöohjeissa, markkinointi- tai myyntimateriaaleissa ja -ilmoituksissa sekä teknisessä dokumentaatiossa;
13)
’kohtuudella ennakoitavissa olevalla väärinkäytöllä’ tekoälyjärjestelmän käyttöä tavalla, joka ei ole sen käyttötarkoituksen mukainen mutta joka voi olla seurausta kohtuudella ennakoitavissa olevasta ihmisen käyttäytymisestä tai järjestelmän vuorovaikutuksesta muiden järjestelmien, myös muiden tekoälyjärjestelmien, kanssa;
▼M1
14)
’turvakomponentilla’ tuotteen tai tekoälyjärjestelmän komponenttia, joka toteuttaa kyseisen tuotteen tai tekoälyjärjestelmän turvallisuustoimintoa taikka jonka vika tai toimintahäiriö vaarantaa ihmisten terveyden ja turvallisuuden tai omaisuuden turvallisuuden; tässä määritelmässä komponentti toteuttaa turvallisuustoimintoa, jos sen käyttötarkoituksena on ehkäistä tai lieventää ihmisten terveyteen ja turvallisuuteen tai omaisuuden turvallisuuteen kohdistuvia riskejä;
▼M1
14 a)
’mikroyrityksellä’ sekä ’pienellä ja keskisuurella yrityksellä’ tai ’pk-yrityksellä’ suosituksen 2003/361/EY liitteessä olevassa 2 artiklassa määriteltyä mikroyritystä taikka pientä tai keskisuurta yritystä;
14 b)
’pienellä midcap-yrityksellä’ suosituksen (EU) 2025/1099 liitteessä olevassa 2 kohdassa määriteltyä pientä midcap-yritystä;
▼B
15)
’käyttöohjeilla’ tietoja, jotka tarjoaja antaa käyttöönottajalle erityisesti tekoälyjärjestelmän käyttötarkoituksesta ja asianmukaisesta käytöstä;
16)
’tekoälyjärjestelmän palautusmenettelyllä’ kaikkia toimenpiteitä, joiden tarkoituksena on palauttaa käyttöönottajien saataville asetettu tekoälyjärjestelmä takaisin sen tarjoajalle tai poistaa se käytöstä tai tehdä sen käyttö mahdottomaksi;
17)
’tekoälyjärjestelmän markkinoilta poistamisella’ kaikkia toimenpiteitä, joiden tarkoituksena on estää toimitusketjussa olevan tekoälyjärjestelmän asettaminen saataville markkinoilla;
18)
’tekoälyjärjestelmän suorituskyvyllä’ tekoälyjärjestelmän kykyä täyttää aiottu käyttötarkoitus;
19)
’ilmoittamisesta vastaavalla viranomaisella’ kansallista viranomaista, joka vastaa vaatimustenmukaisuuden arviointilaitosten arviointiin, nimeämiseen ja ilmoittamiseen sekä niiden seurantaan tarvittavien menettelyjen perustamisesta ja toteuttamisesta;
20)
’vaatimustenmukaisuuden arvioinnilla’ prosessia, jolla osoitetaan, täyttyvätkö III luvun 2 jaksossa vahvistetut suuririskistä tekoälyjärjestelmää koskevat vaatimukset;
21)
’vaatimustenmukaisuuden arviointilaitoksella’ tahoa, joka suorittaa kolmantena osapuolena vaatimustenmukaisuuden arviointitoimia, kuten testausta, sertifiointia ja tarkastuksia;
22)
’ilmoitetulla laitoksella’ vaatimustenmukaisuuden arviointilaitosta, joka on ilmoitettu tämän asetuksen ja muun asiaankuuluvan unionin yhdenmukaistamislainsäädännön mukaisesti;
23)
’merkittävällä muutoksella’ tekoälyjärjestelmään sen markkinoille saattamisen tai käyttöönoton jälkeen tehtyä muutosta, jota tarjoaja ei ennakoi tai suunnittele alustavassa vaatimustenmukaisuuden arvioinnissa ja joka vaikuttaa siihen, miten tekoälyjärjestelmä täyttää tämän asetuksen III luvun 2 jaksossa vahvistetut vaatimukset, tai joka muuttaa käyttötarkoitusta, jota varten tekoälyjärjestelmä on arvioitu;
24)
’CE-merkinnällä’ merkintää, jolla tarjoaja osoittaa, että tekoälyjärjestelmä on niiden vaatimusten mukainen, jotka vahvistetaan III luvun 2 jaksossa ja muussa sovellettavassa unionin yhdenmukaistamislainsäädännössä ja jossa säädetään merkinnän kiinnittämisestä;
25)
’markkinoille saattamisen jälkeisellä seurantajärjestelmällä’ kaikkia toimia, joita tekoälyjärjestelmien tarjoajat toteuttavat kerätäkseen ja tarkastellakseen niiden markkinoille saattamien tai käyttöön ottamien tekoälyjärjestelmien käytöstä saatuja kokemuksia, jotta voidaan todeta, onko tarpeen toteuttaa välittömästi tarpeellisia korjaavia tai ennalta ehkäiseviä toimenpiteitä;
26)
’markkinavalvontaviranomaisella’ kansallista viranomaista, joka toteuttaa asetuksen (EU) 2019/1020 mukaisia toimia;
27)
’yhdenmukaistetulla standardilla’ asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdan c alakohdassa määriteltyä yhdenmukaistettua standardia;
28)
’yhteisellä eritelmällä’ asetuksen (EU) N:o 1025/2012 2 artiklan 4 alakohdassa määriteltyjä teknisiä eritelmiä, joiden avulla voidaan noudattaa tiettyjä tässä asetuksessa vahvistettuja vaatimuksia;
29)
’koulutusdatalla’ dataa, jota käytetään tekoälyjärjestelmän kouluttamiseen sovittamalla sen opittavia parametreja;
30)
’validointidatalla’ dataa, jota käytetään koulutetun tekoälyjärjestelmän arviointiin ja sen ei-opittavien parametrien ja oppimisprosessin hienosäätöön muun muassa ali- tai ylisovittamisen estämiseksi;
31)
’validointidatajoukolla’ erillistä datajoukkoa tai koulutusdatajoukon osaa joko kiinteällä tai muuttuvalla jaolla;
32)
’testausdatalla’ dataa, jota käytetään tekoälyjärjestelmän riippumattomaan arviointiin kyseisen järjestelmän odotetun suorituskyvyn toteamiseksi ennen järjestelmän markkinoille saattamista tai käyttöönottoa;
33)
’syöttötiedoilla’ tekoälyjärjestelmään syötettyä tai sen suoraan hankkimaa dataa, jonka perusteella järjestelmä tuottaa tuloksen;
34)
’biometrisillä tiedoilla’ kaikkia luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä teknisellä käsittelyllä saatuja henkilötietoja, kuten kasvokuvia tai sormenjälkitietoja;
35)
’biometrisellä tunnistuksella’ ihmisen fyysisten, fysiologisten, käyttäytymiseen liittyvien tai psykologisten ominaisuuksien automaattista tunnistamista luonnollisen henkilön henkilöllisyyden toteamiseksi vertaamalla kyseisen henkilön biometrisiä tietoja tietokantaan tallennettuihin toisten yksilöiden biometrisiin tietoihin;
36)
’biometrisellä todennuksella’ luonnollisten henkilöiden henkilöllisyyden automaattista yksi yhteen -todentamista, tunnistautuminen mukaan lukien, vertaamalla näiden biometrisiä tietoja aiemmin annettuihin biometrisiin tietoihin;
37)
’erityisillä henkilötietoryhmillä’ asetuksen (EU) 2016/679 9 artiklan 1 kohdassa, direktiivin (EU) 2016/680 10 artiklassa ja asetuksen (EU) 2018/1725 10 artiklan 1 kohdassa tarkoitettuja henkilötietoryhmiä;
38)
’arkaluonteisilla operatiivisilla tiedoilla’ operatiivisia tietoja, jotka liittyvät rikosten ennalta ehkäisemistä, paljastamista, tutkimista tai niistä syytteeseenpanoa koskeviin toimiin ja joiden paljastaminen voisi vaarantaa rikosoikeudellisen menettelyn luotettavuuden;
39)
’tunteentunnistusjärjestelmällä’ tekoälyjärjestelmää, jonka avulla luonnollisten henkilöiden tunteita tai aikomuksia voidaan tunnistaa tai päätellä heidän biometristen tietojensa perusteella;
40)
’biometrisellä luokittelujärjestelmällä’ tekoälyjärjestelmää, jonka avulla luonnolliset henkilöt luokitellaan heidän biometristen tietojensa perusteella tiettyihin ryhmiin, paitsi jos se on toisen kaupallisen palvelun oheistoiminto ja se on ehdottoman välttämätön objektiivisista teknisistä syistä;
41)
’biometrisellä etätunnistusjärjestelmällä’ tekoälyjärjestelmää, jonka avulla luonnolliset henkilöt voidaan tunnistaa ilman heidän aktiivista osallistumistaan – tyypillisesti etäältä – vertaamalla henkilön biometrisiä tietoja viitetietokantaan sisältyviin biometrisiin tietoihin;
42)
’reaaliaikaisella biometrisellä etätunnistusjärjestelmällä’ biometristä etätunnistusjärjestelmää, jossa biometristen tietojen kerääminen, vertailu ja tunnistaminen tapahtuvat ilman merkittävää viivettä ja joka kattaa välittömän tunnistamisen lisäksi myös vähäiset viiveet, joilla pyritään ehkäisemään harhaanjohtamista;
43)
’jälkikäteisellä biometrisellä etätunnistusjärjestelmällä’ muuta kuin reaaliaikaista biometristä etätunnistusjärjestelmää;
44)
’julkisella tilalla’ mitä tahansa julkisessa tai yksityisessä omistuksessa olevaa fyysistä paikkaa, johon määrittämättömällä määrällä luonnollisia henkilöitä on pääsy, riippumatta siitä, sovelletaanko tiettyjä pääsyä koskevia edellytyksiä ja riippumatta mahdollisista kapasiteettirajoituksista;
45)
’lainvalvontaviranomaisella’
a)
kaikkia viranomaisia, joiden toimivalta kattaa rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvät syytetoimet tai rikosoikeudellisten seuraamusten täytäntöönpanon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy; tai
b)
kaikkia muita elimiä tai yksiköitä, joille on jäsenvaltion lainsäädännössä annettu tehtäväksi käyttää julkista valtaa tai valtuuksia rikosten ennalta estämiseen, tutkimiseen, paljastamiseen tai rikoksiin liittyviin syytetoimiin tai rikosoikeudellisten seuraamusten täytäntöönpanoon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy;
46)
’lainvalvonnalla’ toimia, joita lainvalvontaviranomaiset toteuttavat tai joita toteutetaan niiden puolesta rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy;
47)
’tekoälytoimistolla’ komission tehtävää edistää 24 päivänä tammikuuta 2024 tehdyssä komission päätöksessä säädettyä tekoälyjärjestelmien, yleiskäyttöisten tekoälymallien ja tekoälyn hallinnoinnin täytäntöönpanoa, seurantaa ja valvontaa; tässä asetuksessa olevia viittauksia tekoälytoimistoon pidetään viittauksina komissioon;
48)
’kansallisella toimivaltaisella viranomaisella’ ilmoittamisesta vastaavaa viranomaista tai markkinavalvontaviranomaista; kun kyseessä ovat unionin toimielinten, virastojen, toimistojen ja elinten käyttöön ottamat tai käyttämät tekoälyjärjestelmät, tässä asetuksessa olevia viittauksia kansallisiin toimivaltaisiin viranomaisiin tai markkinavalvontaviranomaisiin on pidettävä viittauksina Euroopan tietosuojavaltuutettuun;
49)
’vakavalla vaaratilanteella’ vaaratilannetta tai tekoälyjärjestelmän toimintahäiriötä, joka suoraan tai välillisesti johtaa johonkin seuraavista:
a)
henkilön kuolema tai vakava vahinko henkilön terveydelle;
b)
vakava tai peruuttamaton häiriö kriittisen infrastruktuurin hallinnassa ja toiminnassa.
c)
perusoikeuksien suojaamiseen tarkoitettujen unionin oikeuden mukaisten velvoitteiden rikkominen,
d)
vakava vahinko omaisuudelle tai ympäristölle;
50)
’henkilötiedoilla’ asetuksen (EU) 2016/679 4 artiklan 1 alakohdassa määriteltyjä henkilötietoja;
51)
’muilla kuin henkilötiedoilla’ muuta dataa kuin asetuksen (EU) 2016/679 4 artiklan 1 alakohdassa määriteltyjä henkilötietoja;
52)
’profiloinnilla’ profilointia asetuksen (EU) 2016/679 4 artiklan 4 alakohdassa tarkoitetulla tavalla;
53)
’todellisissa olosuhteissa tapahtuvaa testausta koskevalla suunnitelmalla’ asiakirjaa, jossa kuvataan todellisissa olosuhteissa tapahtuvan testauksen tavoitteet, menetelmät, maantieteellinen, väestöä koskeva ja ajallinen laajuus, seuranta, organisointi ja toteuttaminen;
54)
’testiympäristösuunnitelmalla’ osallistuvan tarjoajan ja toimivaltaisen viranomaisen välillä sovittua asiakirjaa, jossa kuvataan testiympäristössä toteutettavien toimien tavoitteet, edellytykset, aikataulu, menetelmät ja vaatimukset;
55)
’tekoälyn sääntelyn testiympäristöllä’ toimivaltaisen viranomaisen perustamaa hallinnoitua kehystä, joka tarjoaa tekoälyjärjestelmien tarjoajille tai mahdollisille tarjoajille mahdollisuuden kehittää, kouluttaa, validoida ja testata tarvittaessa todellisissa olosuhteissa innovatiivista tekoälyjärjestelmää testisuunnitelman mukaisesti rajoitetun ajan viranomaisvalvonnassa;
56)
’tekoälylukutaidolla’ osaamista, tietämystä ja ymmärrystä, joiden avulla tarjoajat, käyttöönottajat ja henkilöt, joihin vaikutukset kohdistuvat, voivat ottaen huomioon oikeutensa ja velvollisuutensa tämän asetuksen puitteissa ottaa tietoon perustuen käyttöön tekoälyjärjestelmiä sekä saada tietoa tekoälyn mahdollisuuksista ja riskeistä ja mahdollisista vahingoista, joita se voi aiheuttaa;
57)
’todellisissa olosuhteissa suoritettavalla testauksella’ tekoälyjärjestelmän tilapäistä testaamista käyttötarkoituksensa mukaisesti todellisissa olosuhteissa muualla kuin laboratoriossa tai muulla tavoin simuloidussa ympäristössä luotettavan ja vankan datan keräämiseksi ja tekoälyjärjestelmän vaatimustenmukaisuuden arvioimiseksi ja todentamiseksi tämän asetuksen vaatimuksiin nähden, ja tätä ei katsota tekoälyjärjestelmän saattamiseksi markkinoille tai sen käyttöönottamiseksi tässä asetuksessa tarkoitetulla tavalla, edellyttäen että kaikki 57 tai 60 artiklassa säädetyt edellytykset täyttyvät;
58)
’osallistujalla’ todellisissa olosuhteissa tapahtuvan testauksen yhteydessä luonnollista henkilöä, joka osallistuu todellisissa olosuhteissa tapahtuvaan testaukseen;
59)
’tietoon perustuvalla suostumuksella’ osallistujan vapaasti annettua, tiettyä, yksiselitteistä ja vapaaehtoista ilmaisua halukkuudestaan osallistua tiettyyn todellisissa olosuhteissa tapahtuvaan testaukseen, sen jälkeen kun hän on saanut tiedot testauksen kaikista näkökohdista, jotka ovat merkityksellisiä osallistujan osallistumispäätöksen kannalta;
60)
’syväväärennöksellä’ tekoälyllä tuotettua tai käsiteltyä kuva-, ääni- tai videosisältöä, joka muistuttaa olemassa olevia henkilöitä, esineitä, paikkoja, toimijoita tai tapahtumia ja joka antaa henkilölle valheellisen vaikutelman siitä, että se on aito tai totuudenmukainen;
61)
’laajalle levinneellä rikkomisella’ yksityishenkilöiden etuja suojaavan unionin oikeuden vastaisia tekoja tai laiminlyöntejä, jotka
a)
ovat vahingoittaneet tai ovat omiaan vahingoittamaan sellaisten yksityishenkilöiden yhteisiä etuja, joiden asuinpaikka on vähintään kahdessa muussa jäsenvaltiossa kuin siinä,
i)
jossa teko tai laiminlyönti sai alkunsa tai tapahtui,
ii)
jossa asianomainen tarjoaja tai tapauksen mukaan sen valtuutettu edustaja sijaitsee tai jonne se on sijoittautunut tai
iii)
jonne käyttöönottaja on sijoittautunut silloin, kun hän syyllistyy rikkomiseen;
b)
ovat vahingoittaneet, vahingoittavat tai ovat omiaan vahingoittamaan yksityishenkilöiden yhteisiä etuja ja joilla on yhteisiä piirteitä, kuten sama lainvastainen menettely tai samat edut rikkomuksen kohteena ja jotka ilmenevät samanaikaisesti ja joiden tekijä on sama toimija vähintään kolmessa jäsenvaltiossa;
62)
’kriittisellä infrastruktuurilla’ direktiivin (EU) 2022/2557 2 artiklan 4 alakohdassa määriteltyä kriittistä infrastruktuuria;
63)
’yleiskäyttöisellä tekoälymallilla’ tekoälymallia, myös silloin, kun tällainen tekoälymalli on koulutettu suurella määrällä dataa käyttäen laajamittaista itsevalvontaa, joka on hyvin yleisluonteinen ja pystyy suorittamaan pätevästi monenlaisia erillisiä tehtäviä riippumatta siitä, miten malli saatetaan markkinoille, ja joka voidaan integroida erilaisiin ketjun loppupään järjestelmiin tai sovelluksiin, lukuun ottamatta tekoälymalleja, joita käytetään tutkimus-, kehitys- tai prototyyppitoimintaan ennen niiden saattamista markkinoille;
64)
’vaikutuksiltaan merkittävällä suorituskyvyllä’ suorituskykyä, joka vastaa kehittyneimpien yleiskäyttöisten tekoälymallien mitattuja valmiuksia tai ylittää ne;
65)
’systeemisellä riskillä’ riskiä, joka on yleiskäyttöisten tekoälymallien vaikutuksiltaan merkittävälle suorituskyvylle ominainen ja jolla on merkittävä vaikutus unionin markkinoihin niiden kattavuuden tai kansanterveyteen, turvallisuuteen, yleiseen turvallisuuteen, perusoikeuksiin tai koko yhteiskuntaan kohdistuvien tosiasiallisten tai kohtuudella ennakoitavissa olevien kielteisten vaikutusten vuoksi ja jota voidaan levittää laajamittaisesti koko arvoketjussa;
66)
’yleiskäyttöisellä tekoälyjärjestelmällä’ tekoälyjärjestelmää, joka perustuu yleiskäyttöiseen tekoälymalliin ja joka kykenee palvelemaan erilaisia tarkoituksia sekä suorassa käytössä että muihin tekoälyjärjestelmiin integroituna;
67)
’liukulukulaskennalla’ mitä tahansa matemaattista toimitusta tai tehtävää, johon liittyy liukulukuja, jotka ovat niiden reaalilukujen alajoukko, joita tietokoneissa tyypillisesti esitetään pysyvän arvon kokonaislukuna, jota skaalataan kiinteäkantaisella kokonaislukueksponentilla;
68)
’ketjun loppupään tarjoajalla’ tekoälyjärjestelmän, myös yleiskäyttöisen tekoälyjärjestelmän, johon on integroitu tekoälymalli, tarjoajaa, riippumatta siitä, onko tekoälymalli niiden itsensä tarjoama ja vertikaalisesti integroitu vai jonkin muun yhteisön sopimussuhteiden perusteella tarjoama.
|
|
EULAW
|
4 artikla Määritelmät
4 artikla
Tässä asetuksessa tarkoitetaan
1)
’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
2)
’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,
3)
’käsittelyn rajoittamisella’ tallennettujen henkilötietojen merkitsemistä tarkoituksena rajoittaa niiden myöhempää käsittelyä,
4)
’profiloinnilla’ mitä tahansa henkilötietojen automaattista käsittelyä, jossa henkilötietoja käyttämällä arvioidaan luonnollisen henkilön tiettyjä henkilökohtaisia ominaisuuksia, erityisesti analysoidaan tai ennakoidaan piirteitä, jotka liittyvät kyseisen luonnollisen henkilön työsuoritukseen, taloudelliseen tilanteeseen, terveyteen, henkilökohtaisiin mieltymyksiin, kiinnostuksen kohteisiin, luotettavuuteen, käyttäytymiseen, sijaintiin tai liikkeisiin,
5)
’pseudonymisoimisella’ henkilötietojen käsittelemistä siten, että henkilötietoja ei voida enää yhdistää tiettyyn rekisteröityyn käyttämättä lisätietoja, edellyttäen että tällaiset lisätiedot säilytetään erillään ja niihin sovelletaan teknisiä ja organisatorisia toimenpiteitä, joilla varmistetaan, ettei henkilötietojen yhdistämistä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön tapahdu,
6)
’rekisterillä’ mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu,
7)
’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti,
8)
’henkilötietojen käsittelijällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun,
▼C2
9)
’vastaanottajalla’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle luovutetaan henkilötietoja, oli kyseessä kolmas osapuoli tai ei. Viranomaisia, jotka mahdollisesti saavat henkilötietoja tietyn tiedustelun puitteissa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti ei kuitenkaan pidetä vastaanottajina; näiden viranomaisten on käsiteltävä kyseisiä tietoja sovellettavia tietosuojasääntöjä noudattaen käsittelyn tarkoitusten mukaisesti,
▼B
10)
’kolmannella osapuolella’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta toimielintä kuin rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää ja henkilöä, joilla on oikeus käsitellä henkilötietoja suoraan rekisterinpitäjän tai henkilötietojen käsittelijän välittömän vastuun alaisena,
11)
rekisteröidyn ’suostumuksella’ mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen,
12)
’henkilötietojen tietoturvaloukkauksella’ tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin,
13)
’geneettisillä tiedoilla’ henkilötietoja, jotka koskevat luonnollisen henkilön perittyjä tai hankittuja geneettisiä ominaisuuksia, joista selviää yksilöllistä tietoa kyseisen luonnollisen henkilön fysiologiasta tai terveydentilasta ja jotka on saatu erityisesti kyseisen luonnollisen henkilön biologisesta näytteestä analysoimalla,
▼C2
14)
’biometrisillä tiedoilla’ kaikkia luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä tietyllä teknisellä käsittelyllä saatuja henkilötietoja, kuten kasvokuvia tai sormenjälkitietoja, joiden perusteella kyseinen luonnollinen henkilö voidaan tunnistaa tai kyseisen henkilön yksiselitteinen tunnistaminen voidaan varmistaa,
▼B
15)
’terveystiedoilla’ luonnollisen henkilön fyysiseen tai psyykkiseen terveyteen liittyviä henkilötietoja, mukaan lukien tiedot terveyspalvelujen tarjoamisesta, jotka ilmaisevat hänen terveydentilansa,
16)
’päätoimipaikalla’
a)
kun kyseessä on rekisterinpitäjä, jolla on toimipaikkoja useammassa kuin yhdessä jäsenvaltiossa, sen keskushallinnon sijaintipaikkaa unionissa, paitsi jos päätökset henkilötietojen käsittelyn tarkoituksista ja keinoista tehdään rekisterinpitäjän unionissa sijaitsevassa toisessa toimipaikassa ja viimeksi mainitulla toimipaikalla on toimivalta panna kyseiset päätökset täytäntöön; tällöin päätoimipaikaksi katsotaan toimipaikka, jossa kyseiset päätökset on tehty;
b)
kun kyseessä on henkilötietojen käsittelijä, jolla on toimipaikkoja useammassa kuin yhdessä jäsenvaltiossa, sen keskushallinnon sijaintipaikkaa unionissa, ja jos henkilötietojen käsittelijällä ei ole keskushallintoa unionissa, sitä henkilötietojen käsittelijän unionissa sijaitsevaa toimipaikkaa, jossa henkilötietojen käsittelijän toimipaikassa toteutettavan toiminnan yhteydessä suoritettava pääasiallinen käsittelytoiminta tapahtuu siinä määrin kuin henkilötietojen käsittelijään sovelletaan tämän asetuksen mukaisia erityisiä velvoitteita,
17)
’edustajalla’ unioniin sijoittautunutta luonnollista henkilöä tai oikeushenkilöä, jonka rekisterinpitäjä tai henkilötietojen käsittelijä on nimennyt kirjallisesti toimimaan lukuunsa 27 artiklan nojalla ja joka edustaa rekisterinpitäjää tai henkilötietojen käsittelijää, kun on kyse tähän asetukseen perustuvista rekisterinpitäjän tai henkilötietojen käsittelijän velvollisuuksista,
18)
’yrityksellä’ taloudellista toimintaa harjoittavaa luonnollista henkilöä tai oikeushenkilöä sen oikeudellisesta muodosta riippumatta, mukaan lukien kumppanuudet tai yhdistykset, jotka säännöllisesti harjoittavat taloudellista toimintaa,
19)
’konsernilla’ määräysvaltaa käyttävää yritystä ja sen määräysvallassa olevia yrityksiä,
▼C2
20)
’yritystä koskevilla sitovilla säännöillä’ henkilötietojen suojeluperiaatteita, joita jonkin jäsenvaltion alueelle sijoittautunut rekisterinpitäjä tai henkilötietojen käsittelijä on sitoutunut noudattamaan tehdessään henkilötietojen siirtoja tai siirtojen sarjoja yhdessä tai useammassa kolmannessa maassa sijaitsevalle samaan konserniin kuuluvalle tai yhteistä taloudellista toimintaa harjoittavalle rekisterinpitäjälle tai henkilötietojen käsittelijälle,
▼B
21)
’valvontaviranomaisella’ jäsenvaltion 51 artiklan nojalla perustamaa riippumatonta viranomaista,
22)
’osallistuvalla valvontaviranomaisella’ valvontaviranomaista, jota henkilökäsittely koskee, koska
a)
rekisterinpitäjä tai henkilötietojen käsittelijä on sijoittautunut kyseisen valvontaviranomaisen jäsenvaltion alueelle;
b)
käsittely vaikuttaa merkittävästi tai on omiaan vaikuttamaan merkittävästi kyseisessä valvontaviranomaisen jäsenvaltiossa asuviin rekisteröityihin; tai
c)
kyseiselle valvontaviranomaiselle on tehty valitus,
23)
’rajatylittävällä käsittelyllä’ joko
a)
henkilötietojen käsittelyä, joka suoritetaan unionissa rekisterinpitäjän tai henkilötietojen käsittelijän useammassa kuin yhdessä jäsenvaltiossa sijaitsevassa toimipaikassa toteutettavan toiminnan yhteydessä, ja rekisterinpitäjä tai henkilötietojen käsittelijä on sijoittautunut useampaan kuin yhteen jäsenvaltioon; tai
b)
henkilötietojen käsittelyä, joka suoritetaan unionissa rekisterinpitäjän tai henkilötietojen käsittelijän ainoassa toimipaikassa toteutettavan toiminnan yhteydessä mutta joka vaikuttaa merkittävästi tai on omiaan vaikuttamaan merkittävästi useammassa kuin yhdessä jäsenvaltiossa oleviin rekisteröityihin,
24)
’merkityksellisellä ja perustellulla vastalauseella’ vastalausetta päätösehdotukseen, joka koskee sitä, onko tätä asetusta rikottu vai ei, tai tapauksen mukaan sitä, onko rekisterinpitäjän tai henkilötietojen käsittelijän suhteen suunniteltu toimi asetuksen mukainen, ja jossa osoitetaan selvästi päätösehdotuksen aiheuttamien riskien merkitys rekisteröityjen perusoikeuksille ja -vapauksille ja tapauksen mukaan henkilötietojen vapaalle liikkuvuudelle unionin alueella,
25)
’tietoyhteiskunnan palveluilla’ palveluja, jotka määritellään Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/1535 (
1
) 1 artiklan 1 kohdan b alakohdassa,
26)
’kansainvälisellä järjestöllä’ järjestöä ja sen alaisia elimiä, joihin sovelletaan kansainvälistä julkisoikeutta, tai muuta elintä, joka on perustettu kahden tai useamman maan välisellä sopimuksella tai tällaisen sopimuksen perusteella.
|
Linkitetyt tehtävät
- Secure Controls Framework -
"The SCF is the Common Controls Framework™ (CCF), the world's most comprehensive cybersecurity and data privacy metaframework - it is also free to use. The entire concept is building secure, compliant and resilient capabilities in the most efficient and cost-effective manner possible.
The SCF is more than just a unified control catalog, since its included content creates a playbook for Governance, Risk & Compliance (GRC) capabilities. Used globally by organizations of every size, the SCF is a robust and scalable solution for security, compliance and resilience controls. As a comprehensive security framework, the SCF maps 1,400+ controls across 200+ laws, regulations, and industry frameworks so you can implement once and comply everywhere.
Like it or not, cybersecurity is a protracted war on an asymmetric battlefield, where the threats are everywhere and as defenders we have to make the effort to work together to help improve cybersecurity and data privacy practices, since we all suffer when massive data breaches occur or when cyber attacks have physical impacts. Hackers share information on attack methods with other hackers, so why shouldn’t the good guys share information on how to best protect an organization? We decided to take action and make a difference, since we feel it is too important to wait for someone else to fix the problems that exist.
The SCF is made up of volunteers, mainly specialists within the cybersecurity profession, who focus on GRC and the cybersecurity side of data privacy. These are auditors, engineers, architects, incident responders, consultants and other specialists who live and breathe these topics on a daily basis. The end product is "expert-derived content" that makes up the SCF." https://securecontrolsframework.com/
Terms & Conditions
The SCF End User License Agreement (EULA) governs the use of the Secure Controls Framework® (SCF) under the Creative Commons Attribution-No Derivatives 4.0 International Public License.
|