AI-rekisteri – näin yritykset kartoittavat ja luokittelevat tekoälyjärjestelmänsä
Jaa
Tekoälyrekisteri antaa yritykselle kattavan kuvan siitä, mitä tekoälyjärjestelmiä ja tekoälyn käyttötapauksia yrityksessä todellisuudessa käytetään. Sen avulla on helpompi arvioida riskejä, vastuuta, tietosuojaa, läpinäkyvyyttä sekä sitä, mitkä EU:n tekoälyasetuksen osat vaativat tarkastusta.
Tiedot tarkistettu 1. lokakuuta 2026. Opas sisältää yleistä tietoa, eikä se korvaa yksilöllistä oikeudellista neuvontaa.
Miksi yrityksillä tulisi olla tekoälyrekisteri?
Tekoälyä käytetään usein laajemmin kuin johto alun perin arvioi. Työntekijät voivat käyttää generatiivisia tekoälypalveluita, tekoälyominaisuuksia voi olla sisäänrakennettuna CRM-, HR-, tuki- ja analyysityökaluihin, ja toimittajat voivat tuoda uusia tekoälyominaisuuksia tavanomaisten tuotepäivitysten myötä. Ilman kartoitusta on vaikea tietää, mitkä järjestelmät käsittelevät henkilötietoja, mitkä vaikuttavat ihmisiin ja mitkä kuuluvat erityisvaatimusten piiriin.
Rekisteri voi siksi toimia yrityksen tekoälyhallinnon (AI governance) keskuksena. Se auttaa organisaatiota yhdistämään tekoälykäytännöt, riskienarvioinnin, toimittajien arvioinnin, tietosuojan, tietoturvan ja hyväksymispäätökset.
Mitkä tiedot tekoälyrekisterissä tulisi olla?
| Kenttä | Miksi se tarvitaan |
|---|---|
| Tekoäly-ID ja järjestelmän nimi | Tekee jokaisesta järjestelmästä tai käyttötapauksesta jäljitettävän ajan myötä. |
| Toimittaja ja versio | Osoittaa, mikä ulkoinen taho tai sisäinen ratkaisu vastaa tekniikasta. |
| Liiketoimintaprosessi ja tarkoitus | Riskienarvioinnin on perustuttava siihen, mihin tekoälyä todellisuudessa käytetään, ei vain tuotenimeen. |
| Järjestelmän omistaja ja liiketoiminnan omistaja | Luo selkeän vastuun päätöksenteosta, seurannasta ja käytöstä poistamisesta. |
| Kyseessä olevat henkilöt | Esimerkiksi työntekijät, työnhakijat, asiakkaat, lapset tai muut ryhmät. |
| Data ja henkilötiedot | Perusta GDPR-vaatimusten, salassapito- ja tietoturva-arviointien tekemiseen. |
| Tekoälyasetuksen (AI Act) mukainen rooli | Dokumentoi, onko organisaatio esimerkiksi toimittaja vai käyttäjä (deployer) kyseisessä yhteydessä. |
| 5, 6 ja 50 artiklan tarkastus | Tunnistaa kielletyt käyttötavat, mahdollisen korkean riskin luokituksen ja läpinäkyvyysvaatimukset. |
| DPIA/FRIA-tarkastus | Osoittaa, jos syvällisempi vaikutustenarviointi voi olla tarpeen. |
| Tila ja seuraava tarkistus | Esimerkiksi idea, pilotti, hyväksytty, ehdollinen, tauotettu tai käytöstä poistettu. |
Näin luokittelette jokaisen tekoälyn käyttötapauksen
Älkää aloittako värikoodien tai riskipisteiden antamisella. Aloittakaa juridisella kysymyksellä: mitä järjestelmä tekee, missä yhteydessä ja mikä on organisaation rooli? EU:n tekoälyasetus on riskipohjainen. Tietyt käyttötavat ovat kiellettyjä, jotkut voivat olla korkean riskin sovelluksia, jotkut kuuluvat erityisten läpinäkyvyysvaatimusten piiriin, ja monilla käyttötavoilla ei ole erityisiä korkean riskin vaatimuksia, mutta ne voivat silti kuulua esimerkiksi GDPR:n, työlainsäädännön tai kuluttajansuojan piiriin.
Yritykselle, joka käyttää generatiivista tekoälyä sisäiseen tekstinkäsittelyyn, painopiste voi olla esimerkiksi henkilötiedoissa, liikesalaisuuksissa, ihmisen valvonnassa ja toimittajan ehdoissa. Rekrytoinnissa käytettävä tekoälyjärjestelmä vaatii täysin toisenlaisen tarkastuksen, koska sen tarkoitus ja vaikutus yksilöihin on erilainen.
Työvaiheet kuudessa askeleessa
- Kartoita: kysy IT-, HR-, markkinointi-, talous- ja asiakaspalveluosastoilta sekä muilta toiminnoilta, mitä tekoälytyökaluja ja -ominaisuuksia he käyttävät.
- Rajaa käyttötapaus: samaa teknistä tuotetta voidaan käyttää usealla tavalla, minkä vuoksi se voi vaatia useita rekisterimerkintöjä.
- Dokumentoi data: ilmoita, mitä tietoja syötetään, luodaan, tallennetaan ja mahdollisesti käytetään toimittajan mallien kouluttamiseen.
- Tee juridinen tarkastus: tarkista tekoälyasetuksen mukainen rooli, kielletyt käyttötavat, korkea riski, 50 artikla, GDPR sekä DPIA:n tai muun arvioinnin tarve.
- Päätä valvontatoimet: esimerkiksi ihmisen suorittama tarkastus, rajoitetut tietotyypit, hyväksytyt tilit, lokien pito, koulutus tai tekniset suojaukset.
- Hyväksy ja seuraa: aseta vastuuhenkilö, tila, päätös ja seuraava tarkistuspäivä.
Yleisiä virheitä
Yleinen virhe on rekisteröidä "ChatGPT" tai "Copilot" yhtenä rivinä, vaikka työkalua käytetään monissa täysin erilaisissa prosesseissa. Toinen virhe on kartoittaa vain keskitetysti hankitut järjestelmät ja jättää huomiotta maksuttomat tilit tai tekoälyominaisuudet, jotka sisältyvät muihin SaaS-palveluihin. Kolmas virhe on käsitellä sisäisiä riskipisteitä samana asiana kuin tekoälyasetuksen mukaista juridista luokittelua.
Rekisterin tulisi siksi kuvata käyttötapaus, ei vain tekniikkaa. Siihen tulisi myös sisältyä yksinkertainen rutiini uusille järjestelmille, merkittäville versiopäivityksille ja käytöstä poistamiselle.
Valmis tekoälyrekisteri ja hallinnointimateriaali
Mallimyymälän AI Governance Paket 2026 sisältää tekoälyjärjestelmärekisterin Word-, PDF- ja Excel-muodossa sekä tekoälykäytännön, riskienarvioinnin, toimittaja-arvioinnin, vaikutustenarvioinnin ja hallinnointi-/hyväksymisprosessin.
Hinta: 199 kr.
Katso AI Governance Paket 2026Aiheeseen liittyviä oppaita
Tekoälykäytäntö yrityksille · Tekoälyhallinto askeleittain · Tekoäly, kyberturvallisuus ja IT-sopimukset – katsaus
