Tekoäly yrityksessä: mitä tietosuojavaltuutettu edellyttää

Mitä tietosuojavaltuutettu sanoo lyhyesti?

Mikä tietosuojavaltuutetun tekoälyohje on?

Tietosuojavaltuutetun toimiston verkko-ohje ”Tietosuoja tekoälyjärjestelmien kehittämisessä ja käytössä”, josta toimisto tiedotti 20.5.2025. Se käsittelee riskien ja vaikutusten arviointia, käsittelyperusteita, tekoälysäädöksen kieltämiä käytäntöjä, tietosuojaperiaatteita, automaattista päätöksentekoa, tietoturvaa, rekisteröityjen oikeuksia ja osoitusvelvollisuutta. Ohje ei ole tyhjentävä, ja vaatimukset on arvioitava tapauskohtaisesti.

Mitä yrityksen on tehtävä ennen kuin se ottaa tekoälyjärjestelmän käyttöön?

Sen on selvitettävä, käsitteleekö järjestelmä henkilötietoja, ja tunnettava järjestelmä riittävän hyvin tämän arvioimiseksi. Riskit arvioidaan yksilöiden näkökulmasta ennen käsittelyn aloittamista, käyttötarkoitus määritellään etukäteen ja käytölle valitaan käsittelyperuste. Vaikutustenarviointi on pakollinen, kun käsittely voi aiheuttaa korkean riskin tai kuuluu tietosuojavaltuutetun luetteloon.

Mitä ohje edellyttää tietoturvalta?

Teknisiä ja organisatorisia toimia koko elinkaaren ajan, esimerkiksi salausta, käyttöoikeuksien hallintaa, haavoittuvuustestausta sekä lokitietoja ja auditointia. Tekoälyn osalta syötteet tarkistetaan poikkeavan tai haitallisen sisällön varalta, ja tulosten tarkkuus, oikeudenmukaisuus ja jäljitettävyys varmistetaan.

Mitä tietosuojavaltuutettu julkaisi?

Julkaisimme ohjeistusta tietosuojan huomioinnista tekoälyjärjestelmien kehittämisessä ja käytössä, Tietosuojavaltuutetun toimisto, 20.5.2025

• Henkilötietoja tekoälyjärjestelmissä käsittelevien organisaatioiden on noudatettava tietosuojalainsäädäntöä, ja lisäksi sovelletaan EU:n tekoälysäädöstä.
• Organisaation on arvioitava tekoälyjärjestelmän tietosuojariskit jo ennen kuin henkilötietoja aletaan käsitellä, ja arvion perusteella päätetään suojatoimista.
• Käsittelylle tarvitaan pätevä peruste myös silloin, kun henkilötietoja käytetään tekoälyn kouluttamiseen.
• Ohjeistus ei ole tyhjentävä, ja vaatimukset on aina arvioitava tapauskohtaisesti. Sivua päivitetään tarpeen mukaan.

Mitä ohje vaatii tekoälyä käyttävältä organisaatiolta?

Tietosuoja tekoälyjärjestelmien kehittämisessä ja käytössä, Tietosuojavaltuutetun toimisto, verkko-ohje, julkaistu 20.5.2025

Ohje koskee sekä kehittämistä että käyttöä. Käyttöönottavan yrityksen kannalta keskeiset kohdat ohjeen järjestyksessä:

• Tietosuojasääntely on huomioitava aina, kun henkilötietoja käsitellään automaattisesti. Organisaation on selvitettävä, käsitteleekö järjestelmä henkilötietoja, ja tunnettava järjestelmä ja sen toiminta riittävän hyvin.
• Riskit arvioidaan ennen käsittelyn aloittamista yksilöiden näkökulmasta. Vaikutustenarviointi on pakollinen, kun käsittely voi aiheuttaa korkean riskin tai kuuluu tietosuojavaltuutetun luetteloon vaikutustenarviointia edellyttävistä käsittelytoimista.
• Käsittelyperuste tarvitaan sekä kehittämiselle että käytölle. Kehittämis- ja käyttövaihe pidetään erillään, jotta kummallekin voidaan valita oma peruste ja riskienhallinta. Oikeutettu etu edellyttää kolmivaiheista arviointia, ja erityisiin henkilötietoryhmiin tarvitaan lisäksi 9 artiklan poikkeusperuste.
• Tekoälysäädöksen 5 artikla kieltää tietyt käyttötapaukset kokonaan, esimerkiksi tunteiden päättelyn työpaikalla ja oppilaitoksissa. Suuririskisiä järjestelmiä saa käyttää vain, jos ne täyttävät säädöksen vaatimukset.
• Avoimuus ja käyttötarkoitus: ihmisille kerrotaan, mitä tietoja kerätään, mihin, kuinka pitkään, jaetaanko niitä kolmansille ja mitä oikeuksia heillä on. Käyttötarkoitus määritellään ennen käsittelyn aloittamista, eikä tietoja saa myöhemmin käyttää yhteensopimattomiin tarkoituksiin.
• Minimointi ja säilytys: vain tarpeelliset tiedot, täsmällisyys erityisesti silloin, kun tietoja käytetään ihmisiä koskeviin päätöksiin, ja säilytysajalle aikaraja, jonka jälkeen tiedot poistetaan, arkistoidaan tai anonymisoidaan.
• Automaattinen päätöksenteko: ihmiselle kerrotaan käsittelyn logiikasta ja seurauksista, ja organisaation on pystyttävä osoittamaan, missä määrin tekoälyjärjestelmä teki häntä koskevan päätöksen.
• Tietoturva: esimerkiksi salaus, käyttöoikeuksien hallinta, haavoittuvuustestaus sekä lokitiedot ja auditointi. Lisäksi syötteet tarkistetaan poikkeavan tai haitallisen sisällön varalta, ja tulosten tarkkuus, oikeudenmukaisuus ja jäljitettävyys varmistetaan.
• Oikeudet ja osoitusvelvollisuus: järjestelmän on mahdollistettava tietoihin tutustuminen, oikaisu, poisto, käsittelyn rajoittaminen ja vastustaminen sekä tietojen siirto, ja organisaation on dokumentoitava toimensa ja pystyttävä osoittamaan, että se noudattaa vaatimuksia.

Mitä vaatimukset tarkoittavat yritykselle ja millä hallintakeinoilla ne täytetään?

Käytännön luenta tekoälyä käyttöön ottavalle yritykselle: kukin ohjeen vaatimus, mitä se edellyttää organisaatiolta ja millä hallintakeinoilla se onnistuu.

1. Selvittäkää, käsitelläänkö henkilötietoja

   Jokaisesta tekoälyn käyttötapauksesta kirjataan, mitä tietoja järjestelmään menee ja miten järjestelmä toimii. Hallintakeino: käyttötapausten luettelo ja oma avain jokaiselle sovellukselle.

2. Riskiarvio ennen käyttöönottoa

   Riskit arvioidaan yksilöiden näkökulmasta ennen käsittelyn aloittamista, ja vaikutustenarviointi tehdään, kun korkean riskin kriteerit täyttyvät. Hallintakeino: dokumentoitu riskiarvio ja vaikutustenarviointi.

3. Käyttötarkoitus ja käsittelyperuste

   Käyttötarkoitus määritellään etukäteen, ja käytölle valitaan oma peruste. Hallintakeino: seloste käsittelytoimista ja tekoälyn käyttöpolitiikka.

4. Kielletyt käytännöt pois

   Tarkistetaan, ettei käyttötapaus kuulu tekoälysäädöksen 5 artiklan kieltoihin, kuten tunteiden päättelyyn työpaikalla. Hallintakeino: luokittelu käyttötapausten luettelossa.

5. Avoimuus

   Työntekijöille ja asiakkaille kerrotaan, mitä tietoja tekoäly käsittelee ja mitä oikeuksia heillä on, ja käyttäjälle kerrotaan, kun hän asioi tekoälyn kanssa. Hallintakeino: päivitetyt tietosuojaselosteet.

6. Minimointi ja säilytysajat

   Kehotteisiin viedään vain tarpeelliset tiedot, ja säilytykselle asetetaan aikaraja myös palveluntarjoajan päässä. Hallintakeino: kehotteita koskevat säännöt ja tietojen säilytyskielto (ZDR) inferenssipalveluntarjoajalla.

7. Ihminen päätöksen takana

   Ihmisiä koskevat päätökset eivät perustu pelkästään automaattiseen käsittelyyn, ja tekoälyn osuus päätöksessä pystytään osoittamaan. Hallintakeino: prosessikuvaus, ihmisen tekemä tarkistus ja pyyntöloki, josta näkyy käytetty malli.

8. Tietoturva ja käyttöoikeudet

   Käyttöoikeudet vain niitä tarvitseville, lokit ja auditointi, syötteiden tarkistus ja tulosten valvonta. Hallintakeino: kertakirjautuminen yrityksen identiteetintarjoajalla, auditointiloki ja pyyntöloki.

9. Oikeudet ja osoitusvelvollisuus

   Prosessi rekisteröityjen pyyntöjä varten ja dokumentaatio tehdyistä toimista. Hallintakeino: tietojenkäsittelysopimus palveluntarjoajan kanssa ja alikäsittelijäluettelo.

Minkä osan AI-gateway hoitaa?

Käsittelyperuste, riskiarvio, vaikutustenarviointi, tietosuojaselosteet ja ihmisen tekemä tarkistus jäävät yrityksen tehtäviksi. Standard Compute, AI-gateway kärkimalleihin ja avoimiin malleihin, hoitaa mallitason osan säilytyksen, tietoturvan ja jäljitettävyyden vaatimuksista: minne kehotteet menevät, kuka ne säilyttää, mitä palveluntarjoajia ja malleja kukin avain saa käyttää, kenellä on pääsy ja mitä tapahtuneesta jää kirjaan.

IT:n, tietosuojan ja tietoturvan kysymyksiä

Kieltääkö tietosuojavaltuutettu tekoälyn käytön yrityksissä?

Ei. Ohje ei kiellä mitään työkalua. Se edellyttää, että tietosuojasääntelyä noudatetaan aina, kun tekoäly käsittelee henkilötietoja, ja että tekoälysäädöksen kieltämät käytännöt jätetään pois.

Onko ohje sitova?

Velvoitteet tulevat tietosuoja-asetuksesta ja tekoälysäädöksestä, ja ohje kokoaa niiden vaatimuksia tekoälyjärjestelmille. Toimisto huomauttaa, ettei ohje ole tyhjentävä ja että vaatimukset on arvioitava tapauskohtaisesti.

Tekeekö AI-gateway yrityksestä tietosuoja-asetuksen mukaisen?

Ei. Gateway hoitaa teknisen osan: käsittelypaikan, säilytyksen, hyväksytyt palveluntarjoajat ja mallit, budjetit ja lokit. Käsittelyperuste, riskiarvio ja vaikutustenarviointi, tietosuojaselosteet, sisäinen käyttöpolitiikka ja ihmisen tekemä tarkistus jäävät yrityksen vastuulle.

Säilyttääkö Standard Compute pyyntöjen sisällön?

Käsittelemme kehotteet muistissa kunkin pyynnön palvelemiseksi emmekä koskaan kirjoita niitä tallennustilaan tai lokeihin. Pyyntölokit sisältävät vain metatietoja: malli, palveluntarjoaja, tokenit, kustannus ja tila.

Viralliset lähteet

Tiivistelmä perustuu näihin asiakirjoihin, jotka on luettu 9. marraskuuta 2026. Se ei korvaa itse asiakirjoja eikä oikeudellista neuvontaa.

• Julkaisimme ohjeistusta tietosuojan huomioinnista tekoälyjärjestelmien kehittämisessä ja käytössä (Tietosuojavaltuutetun toimisto, 20.5.2025)
• Tietosuoja tekoälyjärjestelmien kehittämisessä ja käytössä (Tietosuojavaltuutetun toimisto, verkko-ohje, julkaistu 20.5.2025)

Lisää aiheesta