Tekoälylinjaus yrityksille – mitä sen tulisi sisältää ja milloin se on tarpeen?
Jaa
Mallbutikenin laatima · Faktat tarkistettu 30. syyskuuta 2026 · Lukuaika noin 8 minuuttia
Tekoälypolitiikka on sisäinen ohjeistus, joka asettaa käytännön säännöt organisaation tekoälyn käytölle. EU:n tekoälyasetus ei yleisesti vaadi, että jokaisella yrityksellä on oltava nimenomaan ”tekoälypolitiikka”-niminen asiakirja. Politiikka voi kuitenkin olla tehokas tapa muuttaa velvollisuudet, tietosuoja, tietoturva ja sisäiset riskipäätökset säännöiksi, joita työntekijät todella voivat noudattaa.
Milloin tekoälypolitiikka on erityisen hyödyllinen?
Tarve kasvaa, kun tekoälyä ei enää käytetä satunnaisesti yksittäisten henkilöiden toimesta, vaan siitä tulee osa työnkulkuja, järjestelmiä tai päätöksentekoa. Tämä koskee esimerkiksi tilanteita, joissa työntekijät käyttävät generatiivista tekoälyä asiakasmateriaalin, koodin, analyysien, HR-työn, oikeudellisten selvitysten, taloushallinnon tai ulkoisen viestinnän parissa.
Politiikka on arvokas myös silloin, kun organisaation on annettava yhtenäiset ohjeet monille käyttäjille. Ilman yhteisiä sääntöjä syntyy helposti ristiriitoja: yksi johtaja sallii asiakasmateriaalin lataamisen työkaluun, kun taas toinen kieltää sen, tai työntekijät olettavat, että maksullista tekoälypalvelua saa automaattisesti käyttää kaikentyyppisellä tiedolla.
Politiikka ei korvaa riskiarviota
Ohjeistus voi määritellä prosessin, mutta se ei automaattisesti ratkaise, onko tietty tekoälyjärjestelmä sallittu tai asianmukainen. Tekoälyasetuksen mukainen rooli, käyttökohde, datatyyppi, toimittajan ehdot ja muu alakohtainen sääntely on edelleen arvioitava kunkin järjestelmän osalta erikseen.
Mitä tekoälypolitiikan tulisi sisältää?
| Osa-alue | Kysymys, johon politiikan tulisi vastata |
|---|---|
| Soveltamisala | Ketkä henkilöt, tekoälytyökalut, järjestelmät ja työtehtävät kuuluvat piiriin? |
| Hyväksytyt työkalut | Kuka päättää, mitä tekoälypalveluita saa käyttää ja miten päätöstä tarkastellaan uudelleen? |
| Data ja tietosuoja | Mitä tietoja saa tai ei saa syöttää ulkoisiin tekoälypalveluihin? |
| Ihmisen tekemä tarkistus | Milloin faktojen, koodin, juridiikan, talouslukujen tai henkilökohtaisten arvioiden on oltava ihmisen tarkistamia? |
| Läpinäkyvyys | Milloin vastaanottajille on ilmoitettava tekoälyn käytöstä tai tekoälyllä tuotetusta sisällöstä? |
| HR ja henkilöstö | Mitä erityistarkistuksia sovelletaan rekrytoinnissa, suoritusten arvioinnissa, valinnoissa ja muussa ihmisiin vaikuttavassa päätöksenteossa? |
| Tekijänoikeudet ja IP | Miten suojattua materiaalia, asiakasmateriaalia, koodia, tavaramerkkejä ja lisenssiehtoja käsitellään? |
| Turvallisuus | Mitä vaatimuksia asetetaan tileille, monivaiheiselle tunnistautumiselle (MFA), API-avaimille, lisäosille, agenteille ja integraatioille? |
| Tekoälylukutaito | Millaista koulutusta ja tukea eri roolit tarvitsevat käytännön tekoälyn käyttöä varten? |
| Poikkeamat | Miten raportoidaan virheellisestä tietovuodosta, epäasianmukaisista tuloksista, turvallisuusongelmista tai muuttuneista toimittajaehdoista? |
Politiikan tulisi olla riittävän konkreettinen, jotta käyttäjä voi tehdä jokapäiväisiä päätöksiä tarvitsematta tulkita oikeudellisia periaatteita. Esimerkiksi muotoilu ”käytä tekoälyä vastuullisesti” antaa huomattavasti vähemmän ohjeistusta kuin sääntö siitä, mitä tietoluokkia ulkoiseen tekoälypalveluun saa luovuttaa.
Esimerkki: tee säännöistä ymmärrettäviä liikennevalomallilla
Liikennevalomalli voi tehdä politiikasta helpommin käytettävän, mutta tasot on sovitettava organisaation datan ja riskien mukaisesti.
- Vihreä: matalan riskin tehtävät, kuten ideointi julkisella tai vaarattomalla tiedolla hyväksytyssä työkalussa.
- Keltainen: käyttö, joka vaatii tarkistusta tai hyväksynnän, kuten asiakasmateriaali, ulkoinen julkaisu, koodi tai työtehtävät, joissa virheillä voi olla selkeitä seurauksia.
- Punainen: käyttö, jonka organisaatio on kieltänyt, kuten liikesalaisuuksien tai arkaluonteisten henkilötietojen syöttäminen ei-hyväksyttyyn palveluun.
Tärkeintä eivät ole värit, vaan se, että rajat ovat ymmärrettävissä. Anna siksi esimerkkejä omasta toiminnasta ja määritä, keneen käyttäjän tulee ottaa yhteyttä epäselvissä tilanteissa.
Tekoälylukutaito: mitä artikla 4 sanoo vuoden 2026 muutoksen jälkeen?
Tekoälyasetuksen artikla 4 koskee toimittajia ja käyttäjäorganisaatioita, jotka ovat asetuksen mukaisia "käyttöönottajia" (deployers). Asetuksen (EU) 2026/1744 mukaisen muutoksen jälkeen niiden on toteutettava toimenpiteitä tekoälylukutaidon kehittämiseksi henkilöstölle ja muille, jotka hoitavat tekoälyjärjestelmien käyttöä niiden puolesta. Huomioon on otettava muun muassa tekninen osaaminen, kokemus, koulutus, käyttöyhteys sekä ne henkilöt, joihin tekoäly vaikuttaa.
Muutettu säännös toteaa myös nimenomaisesti, että velvollisuus ei tarkoita, että toimittajan tai käyttäjäorganisaation on taattava tietty osaamistaso jokaiselle yksilölle. Tämä puhuu suhteellisen lähestymistavan puolesta: henkilö, joka käyttää tekoälyä kielellisenä apuna, tarvitsee yleensä erilaista koulutusta kuin henkilö, joka ottaa käyttöön tekoälyjärjestelmän HR:ssä tai rakentaa tekoälyintegraation.
Tekoäly ja GDPR: aloita tietovirrasta
Jos tekoälypalvelu käsittelee henkilötietoja, organisaation on samalla noudatettava GDPR:ää. Aloita yksinkertaisilla kysymyksillä: mitä tietoja palveluun lähetetään, mihin tarkoitukseen, kuka päättää käsittelystä, missä tiedot säilytetään, käytetäänkö niitä mallien kouluttamiseen ja keillä alihankkijoilla on pääsy tietoihin?
Jos toimittaja käsittelee henkilötietoja teidän puolestanne, henkilötietojen käsittelysopimus (DPA/PUB) voi olla tarpeen. Lue opas siitä, milloin käsittelysopimus vaaditaan ja mitä sen tulisi sisältää. Käsittelysopimus ei kuitenkaan itsessään tee kaikesta tekoälykäsittelystä laillista; käsittelyn oikeusperuste, läpinäkyvyys, tietojen minimointi ja muut asiaankuuluvat vaatimukset on silti arvioitava.
Älä unohda liikesalaisuuksia
Tieto voi olla liiketoimintakriittistä, vaikka se ei olisikaan henkilötieto. Politiikassa tulisi siksi olla erilliset säännöt esimerkiksi lähdekoodille, tarjouksille, asiakassopimuksille, tuotesuunnitelmille, turvallisuustiedoille ja muille liikesalaisuuksille. Arvioi myös toimittajan sopimusehdot ennen kuin materiaalia syötetään järjestelmään.
Näin otatte tekoälypolitiikan käyttöön kuudessa vaiheessa
- Kartoita todellinen käyttö. Mitä työkaluja jo käytetään, kenen toimesta ja millä datalla?
- Luokittele käyttötapaukset. Erota yksinkertainen tuottavuus sellaisesta käytöstä, joka vaikuttaa ihmisiin, turvallisuuteen tai merkittäviin päätöksiin.
- Tarkasta toimittajat. Tarkista ehdot, tiedonkäsittely, tietoturva, tallennus, koulutus ja alihankkijat.
- Päättäkää säännöt ja vastuut. Määritä, kuka vastaa politiikasta, hyväksyy työkalut ja ottaa vastaan ilmoitukset poikkeamista.
- Kouluta roolin mukaan. Yhdistä koulutus siihen tekoälyyn, jota kukin ryhmä todellisuudessa käyttää.
- Seuraa ja päivitä. Tarkista työkalulista ja politiikka, kun toiminta, teknologia tai säännöt muuttuvat.
Yleisiä virheitä tekoälypolitiikoissa
- "Tekoälyn" kieltäminen tai salliminen yhtenä kategoriana. Riskit eroavat merkittävästi työkalujen ja käyttötapausten välillä.
- Juridiikan kirjoittaminen ilman työsääntöjä. Työntekijän on tiedettävä, mitä käytännössä saa tehdä.
- Keskittyminen vain henkilötietoihin. Luottamuksellisuus, liikesalaisuudet, immateriaalioikeudet (IP) ja tietoturva voivat olla vähintään yhtä tärkeitä.
- Ihmisen tekemän tarkistuksen unohtaminen. Tekoälyn tuotos voi olla vakuuttava, mutta virheellinen.
- Työkalulistan omistajuuden puute. Politiikka vanhenee nopeasti, jos kukaan ei vastaa uusista tekoälytoiminnoista ja toimittajamuutoksista.
