Tekoäly rekrytoinnissa — missä menee korkean riskin raja

Rekrytointi on EU:n tekoälyasetuksessa erikoisasemassa. Se on käytännössä ainoa korkean riskin käyttötarkoitus, jonka kymmenhenkinen suomalaisyritys voi ostaa valmiina hyllystä — ja jota myydään sille aktiivisesti. Hakemusten seulontaa lupaavia työkaluja markkinoidaan pienille työnantajille samalla sävyllä kuin kirjanpito-ohjelmia, eikä myyjä yleensä avaa oma-aloitteisesti sitä, mihin luokkaan tuote asetuksessa kuuluu.

Raja ei kuitenkaan kulje siinä, käytetäänkö rekrytoinnissa tekoälyä. Se kulkee siinä, alkaako järjestelmä arvioida hakijoita. Sama kielimalli voi kirjoittaa työpaikkailmoituksen ilman minkäänlaisia velvoitteita ja pisteyttää hakemukset korkean riskin järjestelmänä. Ero on käyttötarkoituksessa, ei teknologiassa.

Tämä artikkeli käy läpi, mihin tekoäly rekrytoinnissa oikeasti sopii, missä raja menee, mitä velvoitteita rajan ylitys tuo mukanaan Suomessa, ja mitä hakijalle on kerrottava. Lopputulos on suorasukainen: useimman pienen työnantajan ei kannata seuloa hakemuksia koneella lainkaan, eikä syy ole juridinen vaan matemaattinen.

Mihin tekoäly rekrytoinnissa oikeasti sopii

Rekrytoinnissa on paljon työtä, joka ei liity hakijoiden arviointiin lainkaan. Juuri siinä tekoälystä on eniten hyötyä pienelle työnantajalle, ja juuri se osa jää keskustelussa varjoon, koska se ei ole yhtä myyvää kuin lupaus sadan hakemuksen automaattisesta karsinnasta.

Ilmoituksen kirjoittaminen. Työpaikkailmoituksen luonnostelu, kieliasun selkeyttäminen, tehtävänkuvan tiivistäminen ymmärrettäväksi. Moni pienen yrityksen ilmoitus on kirjoitettu kiireessä ja näyttää siltä. Luonnoksen teettäminen ja sen jälkeen ihmisen tekemä viimeistely parantaa lopputulosta mitattavasti, eikä siihen liity mitään asetuksen velvoitetta.

Haastattelun valmistelu. Tehtäväkohtaisten kysymysten laatiminen, saman kysymyspatteriston käyttö kaikille hakijoille, arviointikriteerien kirjoittaminen auki etukäteen. Tämä on itse asiassa yksi harvoista tavoista, joilla tekoäly voi vähentää rekrytoinnin vinoumaa: kun kysymykset ja kriteerit on laadittu ennen kuin yhtään hakemusta on luettu, haastattelijan mielikuva ei pääse muokkaamaan kriteerejä jälkikäteen.

Aikataulutus ja viestintä. Haastatteluaikojen sovittelu, vastaanottoilmoitukset, tilannepäivitykset, kohtelias hylkäysviesti kaikille eikä vain valituille. Pienessä yrityksessä juuri tämä jää tekemättä ajanpuutteen vuoksi, ja se on se osa prosessia, jonka hakijat muistavat.

Muistiinpanojen tiivistäminen. Haastattelun jälkeen kirjoitettujen muistiinpanojen jäsentäminen ja koostaminen. Huomionarvoinen rajaus: tiivistäminen on turvallista, mutta jos työkalu alkaa muistiinpanojen perusteella pisteyttää hakijoita tai suositella järjestystä, se on ylittänyt rajan.

Yhteistä näille on se, että ihminen lukee jokaisen hakemuksen ja tekee jokaisen arvion. Tekoäly hoitaa kirjoittamista ja hallintoa, ei valintaa.

Missä raja menee

Asetuksen liite III luettelee korkean riskin käyttötarkoitukset, ja sen neljäs kohta koskee työelämää. Se kattaa hakijoiden rekrytoinnin ja valinnan — erityisesti kohdennetun työpaikkailmoittelun, hakemusten analysoinnin ja suodattamisen sekä hakijoiden arvioinnin. Lisäksi se kattaa työsuhteen ehtoja, ylennyksiä ja päättämisiä koskevan päätöksenteon, tehtävien jakamisen käyttäytymisen tai ominaisuuksien perusteella sekä suoriutumisen seurannan ja arvioinnin.

Yksi kohta yllättää useimmat: kohdennettu työpaikkailmoittelu on listalla. Ilmoituksen tekstin kirjoittaminen on turvallista, mutta järjestelmä, joka päättää algoritmisesti kenelle ilmoitus näytetään, on liitteen III piirissä. Tämä on hyvä pitää mielessä, koska kyseinen toiminnallisuus tulee usein mainosalustan mukana ilman että sitä erikseen valitaan.

Rajan tunnistaa yhdellä kysymyksellä: vaikuttaako järjestelmän tuotos siihen, kuka etenee prosessissa? Jos vaikuttaa, ollaan liitteessä III. Jos järjestelmä tuottaa tekstiä, jonka ihminen lukee ja jonka perusteella ihminen tekee oman arvionsa alkuperäisistä hakemuksista, ei olla.

Asetuksessa on tälle poikkeus, mutta sitä ei kannata jäädä odottamaan. Kuudennen artiklan kolmas kohta sallii liitteen III järjestelmän jäädä korkean riskin luokan ulkopuolelle, jos se suorittaa vain kapean menettelyllisen tai valmistelevan tehtävän. Poikkeus kaatuu automaattisesti, jos järjestelmä profiloi luonnollisia henkilöitä — mitä hakijoiden arviointi käytännössä aina on. Olennaisempaa on, että arvioinnin tekee ja dokumentoi tarjoaja, ei käyttöönottaja. Ostajana et voi vedota poikkeukseen omin päin; voit vain pyytää toimittajalta sen arvion kirjallisena.

Miksi useimman ei kannata

Tässä on artikkelin varsinainen väite, ja se perustuu laskutoimitukseen eikä varovaisuuteen.

Kuvitellaan kymmenen hengen yritys, joka rekrytoi kaksi kertaa vuodessa ja saa kumpaankin hakuun neljäkymmentä hakemusta. Neljänkymmenen hakemuksen läpikäynti vie kokeneelta lukijalta kolmisen tuntia. Vuodessa siis noin kuusi tuntia. Seulontatyökalu ei poista tätä työtä kokonaan, koska kärkihakemukset on luettava joka tapauksessa — realistinen säästö on ehkä puolet, eli kolme tuntia vuodessa.

Vastaan tulee toinen puoli. Korkean riskin järjestelmän käyttöönottajan on käytettävä järjestelmää käyttöohjeen mukaisesti ja toteutettava se teknisin ja organisatorisin toimin, nimettävä ihmisvalvonnasta vastaava henkilö jolla on tehtävään tarvittava osaaminen ja toimivalta poiketa järjestelmän ehdotuksesta, varmistettava syöttödatan asianmukaisuus, säilytettävä lokit vähintään kuusi kuukautta, informoitava henkilöstöä ja hakijoita, sekä tehtävä tietosuojan vaikutustenarviointi. Kertaluontoisesti tämä on päivän tai kahden työ, ja sen jälkeen jatkuvaa ylläpitoa.

Kolme tuntia vuodessa vastaan päivän tai kahden pystytys ja pysyvä hallinnollinen häntä. Laskelma ei mene tasan lähellekään. Se alkaa mennä tasan vasta, kun hakemuksia on satoja hakua kohden ja rekrytointi on jatkuvaa — käytännössä siis silloin, kun yrityksessä on oma rekrytointiin keskittyvä henkilö. Sitä ennen kyse on työkalusta, joka tuo mukanaan enemmän velvoitteita kuin säästöä.

Jos motiivina on nimenomaan vinouman vähentäminen eikä ajansäästö, on olemassa halvempi ja paremmin toimiva keino. Anonyymissä rekrytoinnissa hakemuksista poistetaan nimi, ikä, sukupuoli ja muut tehtävän kannalta merkityksettömät tunnisteet ennen kuin kukaan lukee niitä. Se ei vaadi tekoälyä, ei tuo mukanaan yhtäkään asetuksen velvoitetta, ja sen vaikutus on suoraan mitattavissa. Suomessa käytäntöä on sovellettu julkisella sektorilla ja se onnistuu pienessäkin yrityksessä yhdellä käsittelysäännöllä.

Tähän tulee vielä toinen, vaikeammin mitattava puoli. Seulontatyökalu tekee virheitä samalla logiikalla joka kerta. Ihminen, joka lukee neljäkymmentä hakemusta, tekee myös virheitä, mutta ne ovat satunnaisia. Systemaattinen virhe karsii aina samantyyppisen hakijan, ja pienessä haussa se voi tarkoittaa, että ainoa oikeasti sopiva hakija putoaa ensimmäisellä kierroksella eikä kukaan huomaa. Pienissä hakumäärissä koneellisen seulonnan hyöty on pienimmillään ja haitta suurimmillaan.

Mitä vaaditaan, jos silti

Jos hakumäärät ovat riittävän suuret tai päätös on jo tehty, velvoitteet ovat 26 artiklassa ja ne ovat hoidettavissa. Ne eivät ole sertifiointiprojekti, mutta eivät myöskään pelkkä merkintä laatukäsikirjaan.

1. Käytä järjestelmää käyttöohjeen mukaisesti ja varmista se teknisin ja organisatorisin toimin — ei pelkkänä suullisena ohjeena.
2. Nimeä ihmisvalvonnasta vastaava henkilö. Olennaista ei ole nimi paperilla vaan se, että henkilöllä on osaaminen, koulutus ja nimenomainen toimivalta olla noudattamatta järjestelmän ehdotusta.
3. Varmista syöttödatan laatu siltä osin kuin hallitset sitä: että data on käyttötarkoitukseen nähden merkityksellistä ja riittävän edustavaa.
4. Säilytä lokit vähintään kuusi kuukautta. Käytännössä tämä tarkoittaa sen tarkistamista, että työkalu ylipäätään tuottaa lokia ja että pääset siihen käsiksi.
5. Kerro henkilöstölle ja henkilöstön edustajille ennen käyttöönottoa, että tällaista järjestelmää käytetään.
6. Kerro hakijoille, että heitä koskevassa päätöksenteossa käytetään korkean riskin tekoälyjärjestelmää.
7. Tee tietosuojan vaikutustenarviointi ja käytä siinä tarjoajan toimittamia tietoja.
8. Seuraa käyttöä ja ilmoita tarjoajalle riskeistä ja vakavista vaaratilanteista.

Määräaika näille on 2. joulukuuta 2027. Se siirtyi kesällä 2026 elokuusta 2026 eteenpäin, mutta siirto koski vain päivämäärää — vaatimukset eivät muuttuneet. Käsittelimme muutosta ja sen yleisiä väärinkäsityksiä erikseen artikkelissa tekoälyasetus lykättiin — pk-yrityksen ainoa velvoite on jo voimassa.

Suomen oma kerros

Tekoälyasetus ei ole ainoa laki, joka rekrytoinnin tekoälyyn osuu. Suomalaisella työnantajalla on kaksi kotimaista säädöstä, jotka tulevat vastaan aikaisemmin kuin asetuksen määräaika — ja jotka ovat voimassa jo nyt.

Yhteistoimintalaki. Yhteistoimintalaki (1333/2021) koskee yrityksiä, joissa työskentelee säännöllisesti vähintään kaksikymmentä työntekijää, ja se edellyttää jatkuvaa vuoropuhelua muun muassa työpaikan käytännöistä ja työvoiman käytöstä. Vuoropuhelussa on käsiteltävä myös ne asiat, joista säädetään yksityisyyden suojasta työelämässä annetussa laissa — muun muassa henkilötietojen kerääminen työhönotossa ja työntekijöihin kohdistuva tekninen valvonta. Käytännössä tämä tarkoittaa, että hakijoita arvioivan järjestelmän käyttöönotto on asia, joka kuuluu vuoropuheluun, eikä sitä voi ottaa käyttöön yksipuolisesti.

Laki yksityisyyden suojasta työelämässä. Laki (759/2004) sisältää tarpeellisuusvaatimuksen: työnantaja saa käsitellä vain välittömästi työsuhteen kannalta tarpeellisia henkilötietoja, eikä tästä voi poiketa edes työntekijän suostumuksella. Lisäksi tiedot on kerättävä ensisijaisesti hakijalta itseltään, ja muualta keräämiseen tarvitaan hakijan suostumus.

Jälkimmäinen on rekrytointityökalujen kannalta merkittävämpi kuin miltä se kuulostaa. Osa seulontatyökaluista tarjoaa hakijan taustojen rikastamista ulkoisista lähteistä — sosiaalisesta mediasta, julkisista rekistereistä, ammatillisista verkostoista. Suomessa tämä on lähtökohtaisesti kiellettyä ilman hakijan suostumusta, riippumatta siitä mitä tekoälyasetus sanoo. Ominaisuus, joka on toimittajan kotimaassa myyntivaltti, voi olla täällä se kohta jota ei saa kytkeä päälle.

Yhdenvertaisuuslaki. Kolmas säädös on se, joka jää useimmiten kokonaan mainitsematta, vaikka se on riskin kannalta merkittävin. Yhdenvertaisuuslaki (1325/2014) kieltää syrjinnän muun muassa iän, alkuperän, kansalaisuuden, kielen, uskonnon, vammaisuuden ja terveydentilan perusteella, ja kielto koskee nimenomaisesti myös työhönottoa. Laki tuntee välillisen syrjinnän: näennäisesti neutraali käytäntö, joka tosiasiassa asettaa jonkin ryhmän epäedulliseen asemaan, on syrjintää vaikka syrjivää tarkoitusta ei olisi.

Juuri tähän seulonta-algoritmi osuu. Malli, joka on opetettu aiemmilla rekrytointipäätöksillä, oppii myös niissä olleet vinoumat ja toistaa niitä johdonmukaisesti. Työnhakija ei tarvitse tekoälyasetusta valittaakseen — hän voi viedä asian yhdenvertaisuusvaltuutetulle tai vaatia hyvitystä yhdenvertaisuuslain nojalla, ja todistustaakka kevenee hänen edukseen, jos syrjintäolettama syntyy. Selitys "algoritmi valitsi" ei ole puolustus. Työnantaja vastaa lopputuloksesta.

Käytännön seuraus on tämä: jos seulontatyökalu otetaan käyttöön, sen tuottamaa lopputulosta on syytä seurata itse. Kannattaa katsoa säännöllisesti, minkä tyyppisiä hakijoita se nostaa ja minkä tyyppisiä se karsii, ja verrata sitä hakijajoukkoon kokonaisuutena. Tämä ei ole asetuksen vaatimus vaan oman selustan turvaamista.

Näiden kolmen takia rekrytoinnin tekoälyä ei kannata arvioida pelkästään tekoälyasetusta vasten. Kotimainen kerros puree aikaisemmin, koskee myös alle kahdenkymmenen hengen yrityksiä tarpeellisuusvaatimuksen ja syrjintäkiellon osalta, eikä siihen tullut mitään lykkäystä.

Hakijan oikeudet

Tämä osio kannattaa lukea myös siltä kannalta, että sinä olet joskus itse hakija.

Oikeus tietää. Käyttöönottajan on kerrottava hakijalle, kun häntä koskevassa päätöksenteossa käytetään korkean riskin tekoälyjärjestelmää. Ilmoitus on tehtävä selkeästi, eikä sitä voi haudata rekrytointijärjestelmän käyttöehtoihin.

Oikeus ihmisen tekemään arviointiin. Tämä ei tule tekoälyasetuksesta vaan tietosuoja-asetuksesta, ja se on ollut voimassa vuodesta 2018. Rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Rekrytointipäätös on tyypillisesti juuri tällainen. Tietosuojavaltuutetun toimiston ohjeistus käsittelee tätä tarkemmin.

Käytännössä tämä tarkoittaa, että täysin automaattinen karsinta ilman ihmisen osuutta on ongelmallinen riippumatta tekoälyasetuksen määräajoista. Kun ihminen tosiasiallisesti tarkastelee rajatapaukset ja voi kumota koneen ehdotuksen, tilanne on toinen — mutta ihmisen roolin on oltava aito eikä muodollinen kumileimasin.

Oikeus selitykseen. Asetuksen 86 artikla antaa henkilölle oikeuden saada selkeä selitys tekoälyjärjestelmän roolista päätöksenteossa, kun päätös perustuu liitteen III korkean riskin järjestelmän tuotokseen. Tähän liittyy yksi avoin kohta, joka on rehellisintä sanoa ääneen: artikla kuuluu asetuksen yleisen soveltamisen piiriin 2. elokuuta 2026 alkaen, mutta se kohdistuu nimenomaan korkean riskin järjestelmiin, joiden velvoitteet alkavat vasta 2. joulukuuta 2027. Käytettävissä olevat lähteet eivät yksiselitteisesti kerro, kumpi päivämäärä artiklan käytännön soveltamista ohjaa. Työnantajan kannalta kysymys on kuitenkin akateeminen, koska tietosuoja-asetuksen mukainen oikeus ihmisen tekemään arviointiin on joka tapauksessa voimassa jo nyt ja kattaa saman tilanteen.

Mitä kysyä toimittajalta

Jos työkalua ollaan hankkimassa, kolme kysymystä kannattaa lähettää kirjallisesti ennen sopimuksen allekirjoittamista.

1. Luokitteletteko tuotteenne liitteen III mukaiseksi korkean riskin järjestelmäksi?
2. Jos ette, mihin 6 artiklan 3 kohdan poikkeusperusteeseen vetoatte, ja onko arvio dokumentoitu ennen markkinoille saattamista?
3. Miten aiotte täyttää tarjoajan velvoitteet 2. joulukuuta 2027 mennessä, ja mitä toimitatte meille 26 artiklan velvoitteitamme varten?

Neljäs kysymys kannattaa esittää suomalaisena erityiskysymyksenä: rikastaako järjestelmä hakijatietoja ulkoisista lähteistä, ja voiko sen kytkeä pois päältä?

Yksi ilmaisu kannattaa osata lukea oikein. "AI Act -yhteensopiva" ei tarkoita asetuksessa mitään — sellaista statusta ei ole olemassa. Asetus tuntee vaatimustenmukaisuuden arvioinnin, EU-vaatimustenmukaisuusvakuutuksen ja CE-merkinnän. Jos toimittaja markkinoi yhteensopivuutta mutta ei osaa nimetä riskiluokkaa, kyse on markkinointitekstistä.

Tarkistuslista

Usein kysyttyä

Lue lisää

Asetuksen kokonaiskuva, roolijako ja muut velvoitteet käydään läpi sivulla EU:n tekoälyasetus pk-yritykselle. Oman käyttötapauksen riskiluokan ja siitä seuraavat velvoitteet määräaikoineen selvittää EU:n tekoälyasetuksen riskiluokitin.

Henkilötietojen käsittely tekoälypalveluissa käsitellään sivulla tekoäly ja GDPR, ja kesän 2026 aikataulumuutokset artikkelissa tekoälyasetus lykättiin. Koko aihepiirin yleiskatsaus on oppaassa tekoäly yritykselle. Liitteen III alkuperäinen sanamuoto löytyy asetuksen tekstistä EUR-Lexissä. Jos haluatte käydä oman tilanteenne läpi, ottakaa yhteyttä.