Blogi

Tekoälyn käyttö yrityksessä – Tiedätkö mihin yrityksesi data päätyy?

”Kyllä mä vähän mietin että mihin se data menee, kun käytän näitä tekoälypalveluita”. Kuulemme tämän asiakkailtamme nykyisin aika usein. Huoli on aiheellinen, mutta samalla tekoälypalveluiden käyttöä ei tarvitse sen vuoksi pelätä tai kieltää.

Tärkeämpi kysymys kuuluukin: ”Onko yrityksessänne sovittu, mitä tekoälypalveluita saa käyttää ja mitä tietoja niihin saa syöttää?” Jos vastaus on että ”ei oikein”, kannattaa asia ottaa käsittelyyn. Tekoälyä nimittäin käytetään yrityksessänne lähes varmasti joka tapauksessa.

Koitamme summata tärkeimmät asiat tähän kirjoitukseen ja kertoa, mitä tekoälylle saa kertoa, lisää aiheesta Traficomin viranomaislähteestä.

Tekoälyn suurin riski voi olla se, ettei sen käytöstä ole sovittu mitään.

Tekoälystä puhuttaessa huomio kiinnittyy helposti suuriin tulevaisuuden uhkakuviin. Tavallisen pk-yrityksen arjessa riski on usein paljon arkisempi. Työntekijä saa asiakkaalta tarjouspyynnön ja kopioi sen ChatGPT:hen pyytäen tekoälyä tekemään tarjouksesta ensimmäisen version. Toinen pyytää tekoälyä tiivistämään pitkän asiakassähköpostin. Kolmas antaa tekoälylle sopimuksen tarkistettavaksi tai käännettäväksi toiselle kielelle.

Tekoälystä saadaan näin nopeasti todellista hyötyä.

Palveluun päätyy asiakkaiden henkilötietoja, sopimuksia, hinnoittelua, liikesalaisuuksia tai muuten luottamuksellisia tietoja.

Mitä tekoälylle saa kertoa?

Tähän ei ole yhtä yleispätevää vastausta. Yleistä ja julkista tietoa, joka ei kohdistu henkilötietoihin voi käyttää sellaisenaan, kuitenkin jos käsitellään vaikka julkisesti saatavilla olevaa henkilötietoa, GDPR lainsäädäntöä täytyy heti soveltaa.

Henkilötietojen käsittely tekoälypalvelussa on henkilötietojen käsittelyä siinä missä niiden käsittely muissakin tietojärjestelmissä ja EU:n tietosuojan vaatimukset koskevat näitä järjestelmiä siinä missä kaikkia muitakin.

Usein yritys käsittelee henkilötietoja tekoälypalveluissa ns. ”oikeutetun edun” perusteella. Se tarkoittaa esimerkiksi että yritys on arvioinut, että heillä on normaali liiketoiminnallinen tarve käsitellä saatua tarjouspyyntöä tehokkaasti, valmistella siihen vastaus ja palvella nopeasti ja laadukkaasti tarjouspyynnön lähettänyttä asiakasta. Viranomaiset kuvaavat oikeutetun edun arviointia kolmivaiheisena: oikeutetun edun olemassaolo, käsittelyn välttämättömyys kyseisen edun saavuttamiseksi sekä rekisteröidyn oikeuksien ja etujen punninta. Myös ihmisen kohtuulliset odotukset tietojensa käytöstä vaikuttavat kokonaisuuden arvioon.

Käytännössä yrityksessä pitäisi ainakin tietää:

Miksi tietoa käsitellään tekoälyllä? Käyttötarkoituksen pitää olla määritelty.
Millä perusteella henkilötietoja käsitellään? Käsittelylle tarvitaan oikeusperuste.
Tarvitaanko kaikkea annettua tietoa? Tietojen minimointi koskee myös tekoälypalveluita.
Onko oikeutettua etua käytettäessä tehty tasapainotesti? Yrityksen hyötyä ja käsittelyn tarpeellisuutta pitää arvioida suhteessa henkilön oikeuksiin ja vapauksiin.
Millä ehdoilla palveluntarjoaja käsittelee tietoa? Kuluttajapalvelu ja yritykselle sopimuksella hankittu palvelu voivat olla tietosuojan näkökulmasta hyvin erilaisia.
Tietääkö henkilöstö pelisäännöt? Hyväkään yrityssopimus ei auta, jos asiakastietoja syötetään samaan aikaan henkilökohtaisilla tunnuksilla johonkin aivan toiseen palveluun.

Ovatko Claude ja ChatGPT yrityksessä GDPR:n mukaisia?

Sekä ChatGPT:tä että Claudea voidaan käyttää yrityksessä myös henkilötietoja sisältävissä käyttötapauksissa, kun käytettävä palvelu, sopimukset ja itse henkilötietojen käsittely on järjestetty asianmukaisesti.

Tässä on tärkeää erottaa toisistaan kuluttajille tarkoitetut palvelut ja yrityskäyttöön tarkoitetut versiot: OpenAI kertoo, ettei esimerkiksi ChatGPT Business-palveluihin syötettyä yritysdataa käytetä oletuksena mallien kouluttamiseen. Asetuksissa täppä pitää joskus kuitenkin käydä vaihtamassa itse oikeaan kohtaan (eli kielimallia ei saa kouluttaa kehotteillamme).

Claude tai ChatGPT eivät siis automaattisesti ole yrityksen tietosuojariski.

Olennaista on tietää, mitä versiota käytetään (kuluttaja, tiimi vai yritysversio), millä sopimusehdoilla sitä käytetään, mitä tietoa palveluun annetaan ja millä perusteella henkilötietoja käsitellään.

Microsoft Copilot tekee yhtälöstä monelle yritykselle merkittävästi helpomman

Microsoft 365:tä käyttävälle yritykselle Microsoft Copilotissa on yksi merkittävä käytännön etu: yrityksen tiedot, käyttäjät, käyttöoikeudet ja tekoäly voidaan hallita osana tuttua Microsoft 365 -ympäristöä. Siis sitä samaa ympäristöä, missä yrityksen kaikki tiedot ovat jo muutenkin. Uutta, ulkopuolista paikkaa käsitellä tietoa ei siis synny.

Yrityskäytön Copilotissa kehotteet ja vastaukset suojataan Microsoftin yritysasiakkaiden tietosuoja- ja sopimusehdoilla. Eli Copilotin prompteja tai vastauksia käytetä Copilotin perustana olevien kielimallien kouluttamiseen. Lisäksi Copilot hyödyntää Microsoft 365 -ympäristössä olemassa olevia käyttöoikeuksia ja tukee siten muun muassa tietojen rajausta (kaikki tieto ei ole kaikkien käytettävissä) ja käytön auditointia (voimme myöhemmin tarkastaa kuka on nähnyt tai käyttänyt mitäkin tiedostoja).

Kyse ei siis ole siitä, että Copilot olisi sallittu ja ChatGPT tai Claude kielletty. Kaikkia voidaan käyttää oikein. Microsoft 365 -ympäristössä Copilot tekee turvallisen yrityskäytön rakentamisesta kuitenkin usein suoraviivaisempaa.

EU:n AI Act toi tekoälyn käyttöön lisää pelisääntöjä, joita yrityksen on noudatettava

Tietosuoja ei myöskään ole ainoa asia, joka yrityksen täytyy tekoälyn käytössä huomioida. EU:n tekoälyasetuksen eli AI Actin velvoitteet tulevat sovellettaviksi vaiheittain. Tekoälyosaamista koskeva velvoite ja kiellettyjä tekoälykäytäntöjä koskevat säännökset ovat olleet sovellettavia 2.2.2025 lähtien ja suurta osaa asetuksen säännöksistä sovelletaan 2.8.2026 alkaen.

Useimmille tavallisille pk-yrityksille tämä ei tarkoita valtavaa byrokratiahanketta. Erinomaisessa Data Groupin AI Act -artikkelissa käytännön asioiksi nostetaan:

Henkilöstön riittävä tekoälyosaaminen
Yrityksen tekoälyn käyttöä koskevat pelisäännöt
Tarvittava läpinäkyvyys asiakkaille (käytännössä jos käytät tekoälyä asiakasviesinnässä, on siitä kerrottava asiakkaalle)

Tavallinen ChatGPT:n tai Copilotin toimistokäyttö ei yleensä ole AI Actin tarkoittamaa korkean riskin käyttöä. Tilanne voi muuttua olennaisesti esimerkiksi silloin, jos tekoälyä käytetään rekrytointiin tai työntekijöiden suorituksen arviointiin.

Kysy tämä itseltäsi:

Jos työntekijämme saisi tänään asiakkaalta tarjouspyynnön ja kopioisi sen tekoälypalveluun vanhojen, vastaavien tarjousten kanssa, tietäisikö hän, mitä palvelua hän saa käyttää, mitä tekoälylle saa kertoa ja onko kyseisen tiedon syöttäminen sinne ylipäätänsä sallittua?

Jos tilanne on teillä yhtään epäselvä, yrityksenne tekoälyn pelisäännöt eivät todennäköisesti ole vielä riittävän selvät.

Tekoälyä ei kannata kieltää, vaan ottaa hallintaan!

Kokemuksemme osoittaa että pk-yrityksissä tekoäly on aivan liian hyödyllinen työväline jätettäväksi käyttämättä. Täydellinen käyttökielto johtaisi joka tapauksessa siihen, että tekoälyä käytetään kaikesta huolimatta, mutta yrityksen näkökulmasta näkymättömästi tai salaa.

Parempi lähtökohta on yksinkertainen:

Päätetään, mitä tekoälypalveluita yrityksessä saa käyttää.
Selvitetään niiden tietosuoja- ja sopimusehdot.
Määritellään, minkälaista tietoa eri palveluissa saa käsitellä.
Dokumentoidaan henkilötietojen käsittelyn käyttötarkoitukset ja oikeusperusteet.
Tehdään tarvittavat riski- ja tasapainoarvioinnit.
Koulutetaan henkilöstö käyttämään tekoälyä sekä tehokkaasti että turvallisesti.

Ylläolevat kohdat yhteensä voisivat hyvinkin olla 2 sivun dokumentti, jota käytetään hyödyksi kun pelisäännöt ja käyttötapaukset koulutetaan työntekijöille. Näin sitten jatkossa jokainen myyjä osaa hyödyntää tekoälyä, vaikkapa siihen tarjouksen ensimmäisen vedoksen tekemiseen. Teknologia saadaan jalkautettua konkreettiseesti hyötykäyttöön. Sen jälkeen tekoälyä ei tarvitse enää arastella. Hyvä tavoite ei siis ole toimintatapa, jossa kukaan ei käytä tekoälyä. Hyvä tavoite on toimintatavat, jossa tekoälyä käytetään paljon ja tekoälystä otetaan todellista tuottavuushyötyä maksimaalinen määrä irti. Samalla kaikki tietävät miten sitä käytetään turvallisesti.

Ps. Tutustu myös pk-yritysten tarpeisiin suunniteltuihin Copilot-koulutuksiimme. Tästä on hyvä lähteä liikenteeseen!