Tekoäly ja GDPR — henkilötiedot tekoälypalveluissa

Tekoäly ei tuonut mukanaan uutta tietosuojalainsäädäntöä. Se toi tavan rikkoa vanhaa nopeammin ja suuremmalla volyymilla kuin ennen.

Tämä on koko asian ydin. Jokainen velvoite, joka koskee chatbotin keräämiä yhteystietoja, koski jo ennen chatbotia yhteydenottolomaketta. Ero on siinä, että lomake keräsi kaksikymmentä riviä kuukaudessa ja chatbot kerää kaksisataa, ja että lomakkeen tiedot päätyivät omaan sähköpostiin kun chatbotin tiedot kulkevat kolmen eri toimijan läpi kahdella mantereella.

Tämä sivu käy läpi henkilötietopuolen: millä perusteella tietoja saa käsitellä, mitä sopimuksia tarvitaan, minne tiedot oikeasti menevät, kuinka kauan niitä säilytetään ja milloin tarvitaan vaikutustenarviointi. Tekoälyasetuksen omat velvoitteet ovat eri asia ja ne käsitellään erikseen sivulla EU:n tekoälyasetus pk-yritykselle. Verkkosivun chatbotin osalta sama asia on tiivistetty ostajan näkökulmasta artikkeliin chatbotin tietoturva ja asiakastiedot.

Sinä olet rekisterinpitäjä, toimittaja on käsittelijä

Roolijako ratkaisee vastuun, ja se on tekoälypalveluissa sama kuin kaikessa muussakin.

Yritys, joka päättää mitä tietoja kerätään ja mihin tarkoitukseen, on rekisterinpitäjä. Tekoälypalvelun tarjoaja, joka käsittelee tietoja yrityksen lukuun ja sen ohjeiden mukaisesti, on käsittelijä. Kun ostat chatbotin verkkosivuillesi, sinä olet rekisterinpitäjä ja chatbotin toimittaja on käsittelijä.

Tästä seuraa kaksi asiaa, jotka yllättävät. Ensinnäkin vastuu rekisteröidyille on sinulla, ei toimittajalla. Jos toimittajan järjestelmässä tapahtuu tietoturvaloukkaus, ilmoitusvelvollisuus tietosuojavaltuutetulle 72 tunnin kuluessa on sinun. Toiseksi rekisteröidyn oikeudet — tarkastuspyyntö, poistopyyntö, oikaisu — osoitetaan sinulle, ja sinun on pystyttävä toteuttamaan ne myös toimittajan järjestelmässä olevien tietojen osalta.

Käytännön seuraus: ennen kuin otat palvelun käyttöön, sinun on tiedettävä miten saat sieltä yhden asiakkaan tiedot ulos ja miten saat ne poistettua.

Tämä on konkreettisempi testi kuin miltä se kuulostaa, ja se kannattaa tehdä demovaiheessa. Pyydä toimittajaa näyttämään, miten järjestelmästä haetaan yhden henkilön kaikki keskustelut sähköpostiosoitteen perusteella ja miten ne poistetaan pysyvästi. Jos vastaus on, että se onnistuu tukipyynnöllä, kysy myös toimitusaika — tarkastuspyyntöön on vastattava kuukauden kuluessa. Jos vastausta ei tule lainkaan, olet löytänyt syyn valita toinen toimittaja.

Käsittelyperuste on se kohta, joka useimmiten puuttuu

Henkilötietojen käsittely tarvitsee aina laillisen perusteen. Tämä on käytännössä se kohta, joka pk-yritysten tekoälykäytössä on useimmin hoitamatta — ei siksi että perustetta ei olisi, vaan siksi ettei kukaan ole kirjannut sitä ylös.

Kolme perustetta kattaa lähes kaiken:

Sopimuksen täytäntöönpano. Kun asiakas pyytää chatbotilta tarjousta ja jättää yhteystietonsa, tietojen käsittely perustuu asiakkaan pyyntöön ja sopimuksen valmisteluun. Tämä on selkein tapaus eikä vaadi erillistä suostumusta.

Oikeutettu etu. Kattaa esimerkiksi keskusteluhistorian analysoinnin palvelun parantamiseksi ja myynnin sisäiset työkalut. Oikeutettu etu edellyttää tasapainotestiä: kirjaa ylös mikä etu on kyseessä, miksi käsittely on tarpeen sen saavuttamiseksi, ja miksi se ei syrjäytä rekisteröidyn oikeuksia. Testi mahtuu puoleen sivuun, mutta se on tehtävä etukäteen — jälkikäteen laadittu perustelu ei ole tasapainotesti.

Suostumus. Tarvitaan markkinointiin, profilointiin ja aina kun käsittely menee yli sen mitä asiakas kohtuudella odottaa. Suostumuksen on oltava vapaaehtoinen, yksilöity ja peruutettavissa. Chatbotin käyttö sinänsä ei vaadi suostumusta, mutta keskustelussa annettujen tietojen käyttö myöhempään markkinointiin vaatii.

Käsittelysopimus

Kun toimittaja käsittelee henkilötietoja lukuusi, tarvitaan kirjallinen käsittelysopimus. Se on tietosuoja-asetuksen 28 artiklan vaatimus eikä siitä voi sopia toisin.

Hyvä uutinen on, ettei sopimusta tarvitse yleensä neuvotella. Suurilla palveluntarjoajilla se on valmiina liitteenä käyttöehdoissa, tyypillisesti nimellä Data Processing Addendum tai DPA. Huono uutinen on, että sen saatavuus riippuu siitä, mitä tilausta käytät.

Tässä on käytännön ero, joka maksaa muutaman kympin kuukaudessa ja ratkaisee koko kysymyksen: kuluttajaversiossa käsittelysopimusta ei tyypillisesti ole, yritysversiossa on. Ilmaisella henkilökohtaisella tunnuksella käytetty tekoälypalvelu, johon syötetään asiakkaan tietoja, on lähtökohtaisesti ilman sopimusperustaa tapahtuvaa käsittelyä.

Tarkista sopimuksesta neljä kohtaa: käsittelyn kohde ja kesto, alikäsittelijöiden käyttö ja niistä ilmoittaminen, tietojen palauttaminen tai poistaminen sopimuksen päättyessä, sekä toimittajan velvollisuus avustaa sinua rekisteröityjen pyyntöjen käsittelyssä.

Koulutuskäyttö — se yksi kysymys, joka kannattaa aina tarkistaa

Käytetäänkö syötteitä mallin kouluttamiseen?

Tämä on koko sivun tärkein yksittäinen tarkistus, koska vastaus ratkaisee, poistuuko tieto koskaan. Jos asiakkaan tiedot päätyvät mallin koulutusaineistoon, poistopyynnön toteuttaminen muuttuu käytännössä mahdottomaksi — malliin sulautunutta tietoa ei poimita takaisin ulos.

Yrityskäyttöön tarkoitetuissa versioissa on tyypillisesti sovittu, ettei syötteitä käytetä koulutukseen. Kuluttajaversioissa oletus on usein päinvastainen, ja asetus on säädettävissä mutta harvoin oletuksena pois päältä.

Euroopan tietosuojaneuvosto käsitteli aihetta laajasti lausunnossaan 28/2024 tekoälymallien tietosuojasta, jossa todetaan muun muassa, ettei tekoälymallia voi automaattisesti pitää anonyyminä vain siksi, ettei se tallenna koulutusaineistoa sellaisenaan. Pk-yrityksen kannalta johtopäätös on yksinkertainen: kohtele koulutuskäyttöä peruuttamattomana.

Alihankkijaketju, jota kukaan ei lue

Kun ostat chatbotin suomalaiselta toimittajalta, tietosi eivät pysähdy siihen. Tyypillinen ketju on kolmiportainen: chatbot-toimittaja käsittelee tiedot, käyttää taustalla jonkin toisen yhtiön kielimallia, ja molemmat pyörivät kolmannen osapuolen pilvipalvelussa.

Jokainen näistä on alikäsittelijä, ja käsittelysopimuksen on katettava ketju. Sinun on myös tiedettävä ketju, koska tietosuojaselosteessa on kerrottava, kenelle tietoja luovutetaan.

Kysy toimittajalta kaksi kysymystä ja pyydä vastaus kirjallisena: mitkä alikäsittelijät ketjussa on ja missä maissa ne käsittelevät tietoja, sekä miten ilmoitatte, jos alikäsittelijä vaihtuu. Jälkimmäinen on olennaisempi kuin miltä kuulostaa — mallintarjoajan vaihto on toimittajalle tekninen päivitys, mutta sinulle muutos siihen, kenelle asiakkaidesi tiedot päätyvät.

Siirrot EU:n ulkopuolelle

Suuri osa käytetyistä kielimalleista on yhdysvaltalaisia, joten kysymys tietojen siirrosta EU:n ulkopuolelle tulee vastaan lähes aina.

Siirto Yhdysvaltoihin on tällä hetkellä mahdollinen komission vuoden 2023 riittävyyspäätöksen eli EU–US Data Privacy Frameworkin nojalla, kun vastaanottava yritys on sertifioitunut järjestelyyn. Unionin yleinen tuomioistuin hylkäsi päätöstä koskevan kanteen syyskuussa 2025 ja piti järjestelyn voimassa.

Tähän liittyy kuitenkin epävarmuus, joka kannattaa tietää: ratkaisusta on valitettu unionin tuomioistuimeen, jossa asia on vireillä. Juuri unionin tuomioistuin kumosi molemmat edeltävät järjestelyt, Safe Harborin vuonna 2015 ja Privacy Shieldin vuonna 2020, ja se on suhtautunut alempaa oikeusastetta kriittisemmin yhdysvaltalaisen valvontalainsäädännön vaikutuksiin.

Käytännön johtopäätös ei ole, että yhdysvaltalaisia palveluita pitäisi välttää. Se on, ettei arkkitehtuuria kannata rakentaa sen varaan, että järjestely on ikuinen. Tarkista siirtoperuste ja vastaanottajan sertifiointi, valitse EU-alueen konesali silloin kun toimittaja sitä tarjoaa, ja varmista että vakiolausekkeet ovat käytettävissä varamekanismina. Useimmat suuret toimittajat tarjoavat nykyään EU-hostatun vaihtoehdon, ja se on tyypillisesti hinnaltaan sama.

Tietosuojaseloste

Tekoälyn käyttöönotto edellyttää lähes aina tietosuojaselosteen päivitystä. Neljä lisäystä riittää useimmille:

1. Että asiakaspalvelussa käytetään tekoälyavusteista järjestelmää ja mitä tietoja se kerää.
2. Käsittelyn peruste kutakin käyttötarkoitusta kohden.
3. Alikäsittelijät ja se, siirretäänkö tietoja EU:n ulkopuolelle ja millä perusteella.
4. Keskusteluhistorian säilytysaika.

Selosteen on vastattava todellisuutta. Yleisluontoinen maininta "saatamme käyttää tekoälyä palveluidemme kehittämiseen" ei täytä läpinäkyvyysvaatimusta, jos tosiasiassa keskustelut tallentuvat kolmannen osapuolen palveluun toiselle mantereelle.

Säilytysajat

Tämä unohtuu lähes aina, ja se on ensimmäinen asia, jota kysytään jos jotain menee pieleen.

Tekoälypalvelut keräävät keskusteluhistoriaa oletusarvoisesti ja usein rajattomasti, koska se on toimittajan kannalta hyödyllistä. Rekisterinpitäjän velvollisuus on määritellä, kuinka kauan tietoa tarvitaan siihen tarkoitukseen, johon se kerättiin.

Käytännön haarukat, jotka kestävät tarkastelun: chatbot-keskustelut ilman tunnistetietoja 3–12 kuukautta palvelun kehittämistä varten, yhteydenottoihin johtaneet keskustelut asiakassuhteen keston ajan, ja liidit joista ei syntynyt asiakkuutta 6–24 kuukautta. Olennaista ei ole tarkka luku vaan se, että luku on päätetty, kirjattu ja teknisesti toteutettu. Määritelty säilytysaika, jota mikään ei poista automaattisesti, on säilytysaika vain paperilla.

Milloin tarvitaan vaikutustenarviointi

Tietosuojaa koskeva vaikutustenarviointi eli DPIA vaaditaan, kun käsittely todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille. Pk-yrityksen tavanomaisessa tekoälykäytössä sitä ei yleensä tarvita.

Arviointi tarvitaan käytännössä kolmessa tilanteessa: kun tehdään järjestelmällistä ja laajamittaista automaattista päätöksentekoa tai profilointia, jolla on oikeusvaikutuksia; kun käsitellään laajamittaisesti erityisiä henkilötietoryhmiä; tai kun seurataan järjestelmällisesti yleisölle avointa aluetta.

Asiakaspalvelun chatbot, joka vastaa aukioloaikoja koskeviin kysymyksiin ja välittää yhteydenottoja, ei täytä näitä. Rekrytoinnin hakijaseulonta täyttää, samoin terveystietoja käsittelevä sovellus. Tietosuojavaltuutetun toimiston ohjeistus tekoälyjärjestelmien tietosuojasta käsittelee riskien arviointia tarkemmin.

Nämä kaksi arviointia kulkevat usein käsi kädessä. Tekoälyasetuksen korkean riskin järjestelmässä DPIA on nimenomaisesti osa käyttöönottajan velvoitteita, joten jos et ole varma kummalla puolella rajaa olette, riskiluokitin kertoo sen ja listaa samalla loput velvoitteet.

Erityiset henkilötietoryhmät

Terveystiedot, ammattiliiton jäsenyys, uskonnollinen vakaumus, etninen alkuperä, seksuaalinen suuntautuminen ja rikostiedot ovat erityisiä henkilötietoryhmiä. Niiden käsittely on lähtökohtaisesti kielletty, ellei jokin 9 artiklan poikkeus sovellu.

Tekoälyn kanssa tämä nousee esiin kahdella tavalla. Suorassa käytössä — terveyspalvelun tai lakiasiaintoimiston järjestelmä käsittelee tällaisia tietoja lähtökohtaisesti. Ja vahingossa: avoin chatbot ei estä asiakasta kirjoittamasta keskusteluun terveystietojaan, ja jos se tallentaa keskustelut, yritys käsittelee erityisiä henkilötietoryhmiä ilman että kukaan on päättänyt niin.

Jälkimmäinen on ratkaistavissa rajauksella. Ohjeista botti olemaan kysymättä arkaluonteisia tietoja ja ohjaamaan tällaiset keskustelut ihmiselle. Tämä on suunnittelupäätös, ei asetus, ja se on tehtävä ennen julkaisua.

Varjokäyttö on suurempi riski kuin mikään sopimuspykälä

Kaikki edellä kuvattu koskee sitä, mitä yritys on päättänyt käyttää. Suurin todellinen tietosuojariski on se, mitä se ei ole päättänyt.

Työntekijä, joka liittää asiakkaan sopimusluonnoksen ilmaiseen tekoälypalveluun omalla henkilökohtaisella tunnuksellaan, siirtää yrityksen luottamuksellista aineistoa kolmannelle osapuolelle ilman käsittelysopimusta, ilman siirtoperustetta ja ilman että kukaan tietää siitä. Tämä tapahtuu joka päivä ja se on täysin näkymätöntä.

Ratkaisu ei ole kieltää tekoälyn käyttöä. Kielto ei poista käyttöä, se poistaa näkyvyyden käyttöön. Hallittu käyttöönotto, jossa yritys tarjoaa yritystason tunnukset ja yhden sivun ohjeen siitä mitä saa syöttää ja mitä ei, on tietosuojan kannalta selvästi parempi tilanne kuin virallinen kielto ja epävirallinen käyttö.

Tarkistuslista ennen käyttöönottoa

Usein kysyttyä

Lue lisää

Tämä sivu on osa opastamme tekoälystä yritykselle. Tekoälyasetuksen omat velvoitteet — läpinäkyvyys, kielletyt käytöt ja korkean riskin luokittelu — käsitellään sivulla EU:n tekoälyasetus pk-yritykselle. Se, missä vaiheessa projektia nämä asiat kannattaa hoitaa, kuvataan sivulla tekoälyn käyttöönotto.

Chatbotin toteutusta ja tietojen keräämistä käsitellään sivulla kotisivut ja AI-chatbot sekä artikkelissa chatbot vai lomake kotisivuille. Toimialakohtaisia näkökulmia löytyy sivuilta tekoäly tilitoimistolle ja tekoäly lakiasiaintoimistolle. Varjokäyttöä ja tietoturvan vähimmäistasoa yrityksessä, jossa ei ole tietoturvavastaavaa, käsitellään artikkelissa voiko tekoälyä käyttää ilman IT-osastoa. Jos haluat käydä läpi oman tilanteenne, ota yhteyttä.