# Tekoälyn käyttöpolitiikka

Yritys: [Yritys]  
Vastuuhenkilö: [Nimi, rooli, esim. tietohallintojohtaja tai tietoturvapäällikkö]  
Hyväksyjä: [Johtoryhmä]  
Versio: 1.0. Voimassa alkaen: [päivämäärä]. Seuraava tarkistus: [päivämäärä]  

## 1. Tarkoitus ja soveltamisala

**1.1** Tämä politiikka määrittää säännöt tekoälytyökalujen käytölle [Yrityksessä]: chat-avustajat, muiden ohjelmistojen tekoälyominaisuudet, koodausagentit ja rajapinnan (API) kautta käytettävät tekoälymallit.

**1.2** Politiikka koskee kaikkia työntekijöitä, vuokratyöntekijöitä ja konsultteja, jotka käyttävät tekoälyä [Yrityksen] työssä, sekä työ- että omilla laitteilla.

**1.3** Politiikkaa sovelletaan yhdessä tietoturva-, tietosuoja- ja IT:n käyttöpolitiikkojemme kanssa. Ristiriitatilanteessa noudatetaan tiukinta sääntöä.

**1.4** Kysymykset politiikasta lähetetään osoitteeseen [vastuuhenkilö, sähköposti].

## 2. Hyväksytyt työkalut ja käyttöoikeudet

**2.1** Käytä vain tekoälytyökaluja, jotka ovat hyväksyttyjen työkalujen listalla osoitteessa [intranet-linkki]. Listassa näkyy, mihin kutakin työkalua saa käyttää ja mikä on korkein siinä sallittu tietoluokka (kohta 3).

**2.2** Kirjaudu hyväksyttyihin työkaluihin [Yrityksen] työtililläsi kertakirjautumisella (SSO) palvelun [Microsoft Entra ID / Google Workspace / Okta] kautta. Henkilökohtaisia tilejä ja omia tilauksia ei saa käyttää [Yrityksen] työssä.

**2.3** Käyttöoikeudet myönnetään [identiteettipalvelun ryhmäjäsenyyksien / IT-tuen pyynnön] kautta. Kun henkilö lähtee [Yrityksestä] tai vaihtaa roolia, oikeudet poistetaan samojen ryhmien kautta.

**2.4** API-avaimet myönnetään henkilö- tai sovelluskohtaisesti, niitä ei koskaan jaeta ja ne säilytetään [salaisuuksien hallinnassa].

**2.5** Uusia työkaluja ehdotetaan [lomakkeella] henkilölle [vastuuhenkilö]. Tietoturva, tietosuoja ja hankinnat arvioivat työkalun ennen kuin se lisätään listalle. Hyväksymättömän työkalun ilmainen kokeilujakso lasketaan käytöksi.

## 3. Tiedot kehotteissa

**3.1** Kaikki, mitä kirjoitat, liität, lataat tai annat työkalun lukea (tiedostot, kuvakaappaukset, koodivarastot, sähköpostit, kokousten ääni), lasketaan kehotteeksi.

**3.2** Luokittele tiedot yrityksen tietoluokituksen mukaan. Taulukko näyttää, mitä hyväksyttyyn työkaluun saa syöttää.

| Tietoluokka | Esimerkkejä | Hyväksytyssä työkalussa |
| --- | --- | --- |
| Julkinen | Verkkosivuilla julkaistu teksti, tiedotteet, julkinen dokumentaatio | Sallittu |
| Sisäinen | Sisäiset ohjeet, muistiot ilman henkilötietoja, ei-arkaluonteinen koodi | Sallittu |
| Luottamuksellinen | Asiakassopimukset, julkaisemattomat taloustiedot, lähdekoodi, tuotesuunnitelmat | Vain Luottamuksellinen-luokkaan hyväksytyissä työkaluissa, kohdan 4 toimittajaehdoin |
| Henkilötiedot | Nimet, sähköpostiosoitteet, asiakasrekisterit, henkilöstötiedot | Vain, kun käsittelyllä on peruste ja käsittelijäsopimus kattaa työkalun. Mahdollisimman vähän, pseudonymisoituna aina kun voidaan |
| Erityiset henkilötietoryhmät ja säännellyt tiedot | Terveystiedot, ammattiliiton jäsenyys, rikostiedot, korttitiedot, salassapitovelvollisuuden alaiset asiakastiedot | Ei sallittu, ellei [tietosuojavastaava] hyväksy tiettyä käyttöä kirjallisesti |
| Salaisuudet | Salasanat, API-avaimet, tunnisteet (tokenit), yksityiset avaimet, yhteysmerkkijonot | Ei koskaan |

**3.3** Jos et ole varma luokasta, käsittele tietoja korkeamman luokan mukaan tai kysy henkilöltä [vastuuhenkilö].

**3.4** Älä käytä tekoälyä henkilöiden arkaluonteisten ominaisuuksien päättelyyn, työntekijöiden valvontaan tai henkilöä koskevaan päätökseen ilman kohdan 7 mukaista ihmisen tarkistusta.

## 4. Hyväksytyt mallit ja toimittajat

**4.1** [Yrityksellä] on lista hyväksytyistä tekoälymalleista ja toimittajista, jotka saavat ajaa niitä. Listaan kuulumaton malli tai toimittaja ei saa käsitellä [Yrityksen] tietoja.

**4.2** Toimittaja lisätään listalle vasta, kun on arvioitu: missä päättely ajetaan [esim. vain Euroopassa], säilyttääkö se kehotteita ja vastauksia (Luottamuksellinen-luokasta ylöspäin edellytämme, ettei tietoja säilytetä), kouluttaako se malleja tiedoillamme (ei saa), sen alihankkijat sekä allekirjoitettu käsittelijäsopimus.

**4.3** Avoimien painojen mallit hyväksytään sovelluskohtaisesti listalla mainittuun käyttöön.

**4.4** Uudelleenyritykset ja varareitit pysyvät listan sisällä. Työkalu, joka ohjaa pyyntöjä huomaamatta muille toimittajille, ei ole hyväksytty.

**4.5** [Vastuuhenkilö] ylläpitää listaa osoitteessa [linkki] ja tarkistaa sen tämän politiikan tarkistuksen yhteydessä.

## 5. Koodausagentit

**5.1** Koodausagentteja (esimerkiksi Claude Code, Codex, Cursor, GitHub Copilot tai Cline) saa käyttää koodivarastoissa, jotka on lueteltu osoitteessa [linkki].

**5.2** Ei koskaan salaisuuksia kehotteisiin, agenttien ohjeisiin tai versionhallintaan vietävään koodiin. Pidä .env-tiedostot ja tunnistetiedot agentin ulottumattomissa ja aja [salaisuuksien skannaustyökalu] jokaiselle commitille.

**5.3** Agentit toimivat vähimmillä oikeuksilla: ei tuotannon tunnistetietoja, ei kirjoitusoikeutta tuotantojärjestelmiin eikä automaattista hyväksyntää komennoille, jotka poistavat tietoja, muuttavat infrastruktuuria tai vievät muutoksia suoraan suojattuihin haaroihin.

**5.4** Kaikki tekoälyn kirjoittama koodi käy läpi tavallisen pull request -katselmoinnin, jonka tekee joku muu kuin koodin generoinut henkilö, sekä samat testit ja tietoturvaskannaukset kuin muukin koodi. Pull requestin tekijä vastaa koodista.

**5.5** Tarkista agentin lisäämien riippuvuuksien lisenssit sekä pidemmät sanatarkasti toistetut koodikatkelmat.

**5.6** MCP-palvelimet, liitännäiset ja laajennukset ovat kohdan 2 mukaisia työkaluja, ja ne on hyväksyttävä ennen käyttöä.

## 6. Säilytys ja lokitus

**6.1** Hyväksytyt työkalut määritetään niin, etteivät toimittajat säilytä kopiota kehotteista ja vastauksista pidempään kuin kunkin pyynnön palveleminen vaatii, kun toimittaja tarjoaa tämän.

**6.2** [Yritys] lokittaa tekoälyn käytön metatiedot: kuka, mikä työkalu tai avain, mikä malli ja toimittaja, milloin ja millä kustannuksella. Nämä tiedot säilytetään [12 kuukautta].

**6.3** Kehotteiden ja vastausten sisältöä ei lokiteta keskitetysti, ellei [lakisääteinen vaatimus tai hyväksytty käyttötapaus] sitä edellytä. Jos sisältöä lokitetaan, se suojataan sen sisältämän korkeimman tietoluokan mukaan.

**6.4** Hyväksyttyjen työkalujen keskusteluhistoria poistetaan [ajanjakson] jälkeen. Liiketoiminta-asiakirjoiksi päätyvät tulokset tallennetaan [asiakirjajärjestelmään], ei pelkästään tekoälytyökaluun.

**6.5** Käyttölokeja käytetään tietoturvaan, kustannusten hallintaan ja vaatimustenmukaisuuteen [henkilöstön tietosuojaselosteen] mukaisesti.

## 7. Ihmisen tekemä tulosten tarkistus

**7.1** Vastaat kaikista käyttämistäsi tekoälyn tuottamista tuloksista. Tarkista faktat, luvut, lainaukset, lähteet, koodi ja oikeudelliset väitteet ennen kuin nojaat niihin.

**7.2** Pätevä henkilö tarkistaa tekoälyn tuloksen ennen kuin se lähetetään asiakkaalle, julkaistaan, käytetään sopimuksessa tai henkilöä koskevassa päätöksessä, kuten rekrytoinnissa, suoriutumisen arvioinnissa, luotonannossa tai palvelun myöntämisessä.

**7.3** Tekoäly ei tee lopullisia päätöksiä, joilla on henkilöön oikeusvaikutuksia tai vastaavalla tavalla merkittäviä vaikutuksia. [Luettele käyttötavat, jotka ovat kiellettyjä tai vaativat erillisen riskiarvion.]

**7.4** Jos ammattisi sitä edellyttää, kirjaa [järjestelmään], kun tekoäly on vaikuttanut olennaisesti asiakkaalle annettuun neuvoon.

## 8. Tekoälyn tuottamasta sisällöstä kertominen

**8.1** Kun [Yritys] julkaisee kuvaa, ääntä tai videota, joka on syväväärennös (sisältöä, joka muistuttaa todellisia henkilöitä, esineitä, paikkoja tai tapahtumia ja vaikuttaisi virheellisesti aidolta), kerromme, että sisältö on keinotekoisesti tuotettu tai muokattu. Tämä on tekoälyjärjestelmän käyttöönottajan velvollisuus tekoälyasetuksen 50 artiklan 4 kohdan mukaan 2. elokuuta 2026 alkaen.

**8.2** Kun julkaisemme tekoälyn tuottamaa tai muokkaamaa tekstiä, jonka tarkoitus on tiedottaa yleisölle yleistä etua koskevista asioista, kerromme siitä myös, ellei ihminen ole tarkistanut tai toimittanut tekstiä ja [Yritys] vastaa siitä toimituksellisesti.

**8.3** Tekoälysisällön koneluettava merkintä (vesileimat, metatiedot) on tekoälyjärjestelmän tarjoajan velvollisuus 50 artiklan 2 kohdan mukaan. Älä poista tällaisia merkintöjä.

**8.4** Lakisääteisten vaatimusten lisäksi [Yrityksessä] noudatetaan seuraavaa: [asiakaspalvelun chatbotit merkitään tekoälyksi / asiakasviestinnässä kerrotaan, kun sisältö on pääosin tekoälyn tuottamaa].

## 9. Tekoälylukutaidon koulutus

**9.1** [Yritys] toteuttaa toimenpiteitä henkilöstönsä ja muiden puolestaan tekoälyjärjestelmiä käyttävien tekoälylukutaidon parantamiseksi ottaen huomioon heidän tietonsa, kokemuksensa, koulutuksensa ja ympäristön, jossa työkaluja käytetään. Tämä on tekoälyasetuksen 4 artiklan velvollisuus, jota sovelletaan 2. helmikuuta 2025 alkaen.

**9.2** Jokainen suorittaa [tekoälyn peruskoulutuksen] ennen kuin saa pääsyn hyväksyttyyn työkaluun, sekä [kertauksen 12 kuukauden välein].

**9.3** Koulutus kattaa tämän politiikan, tietoluokat, mallien tyypilliset virheet, kehoteinjektiot ja sen, mihin kukin työkalu on hyväksytty. Koodausagentteja käyttävät kehittäjät ja henkilöitä koskevissa päätöksissä tekoälyä käyttävät tiimit saavat lisäksi roolikohtaisen koulutuksen.

**9.4** [HR / vastuuhenkilö] kirjaa, kuka on suorittanut minkäkin koulutuksen.

## 10. Poikkeamien ilmoittaminen

**10.1** Ilmoita [tietoturvayhteyshenkilölle tai kanavaan] [24 tunnin] kuluessa, jos: tietoja on syötetty työkaluun, johon ne eivät olleet sallittuja, salaisuus on paljastunut tekoälytyökalulle, haitallista tai syrjivää sisältöä on päätynyt asiakkaalle, agentin toiminta on odottamatta muuttanut tai poistanut jotain tai epäilet kehoteinjektiota.

**10.2** Virheistä odotetaan ilmoitettavan nopeasti, eikä ilmoittamisesta seuraa kurinpitotoimia. Virheen salaaminen on politiikan rikkomus.

**10.3** Paljastunut salaisuus vaihdetaan välittömästi. [Tietoturva / tietosuojavastaava] arvioi, edellyttääkö tietosuojalainsäädäntö ilmoitusta valvontaviranomaiselle tai rekisteröidyille.

## 11. Budjetti ja maksullisen käytön hyväksyntä

**11.1** Maksulliset tekoälytilaukset, lisenssit ja API-käyttö on hyväksytettävä [budjettivastaavalla] ennen hankintaa. Tekoälytyökaluja ei osteta omilla korteilla ilman [kulukorvauksen hyväksyntää].

**11.2** Jokaisella maksullista käyttöä tekevällä henkilöllä ja sovelluksella on [budjettivastaavan] asettama kuukausibudjetti. Kun budjetti on käytetty, käyttö pysähtyy, kunnes [budjettivastaava] hyväksyy lisää.

**11.3** [Talousosasto] käy tekoälykustannukset läpi henkilöittäin, sovelluksittain ja kustannuspaikoittain [kuukausittain].

**11.4** Käyttämättömät lisenssit ja avaimet perutaan [neljännesvuosittaisessa] tarkistuksessa.

## 12. Tarkistus ja vastuut

**12.1** [Vastuuhenkilö] omistaa tämän politiikan, hyväksyttyjen työkalujen listan sekä hyväksyttyjen mallien ja toimittajien listan.

**12.2** Politiikka tarkistetaan [6 kuukauden] välein sekä heti vakavan poikkeaman, uudenlaisen työkalun tai lainmuutoksen jälkeen.

**12.3** Politiikan rikkomukset käsitellään [työjärjestyksen / sopimusehtojen] mukaisesti.

**12.4** Versiohistoria: [päivämäärä, versio, muutos, hyväksyjä].

---

## Oikeuslähteet

- Asetuksen (EU) 2024/1689, tekoälyasetus (https://eur-lex.europa.eu/eli/reg/2024/1689/oj) 4 artikla (tekoälylukutaito) ja 50 artikla (avoimuus). 4 artiklaa sovelletaan 2. helmikuuta 2025 alkaen ja 50 artiklaa 2. elokuuta 2026 alkaen.
- 4 artikla sellaisena kuin se on korvattu asetuksella (EU) 2026/1744, tekoälyä koskeva digitaalinen omnibus (https://eur-lex.europa.eu/eli/reg/2026/1744/oj), joka julkaistiin EU:n virallisessa lehdessä 24. heinäkuuta 2026: tarjoajat ja käyttöönottajat toteuttavat toimenpiteitä henkilöstönsä tekoälylukutaidon parantamiseksi ilman velvollisuutta taata tiettyä tasoa jokaiselle henkilölle.
- Malli on yleistä ohjeistusta eikä oikeudellista neuvontaa. Pyydä tietosuojavastaavaa tai juristia tarkistamaan se toimialanne sääntöjen valossa.

_Perustuu ilmaiseen malliin osoitteessa https://standardcompute.com/tekoalyn-kayttopolitiikka-malli (versio 9. marraskuuta 2026). Saat kopioida ja muokata vapaasti. Ei oikeudellista neuvontaa._