Opas · Tekoälypolitiikka

Yrityksen tekoälypolitiikka: mitä siihen kirjataan ja valmis pohja.

Tekoälypolitiikka on kahden sivun pelisäännöt, jotka kertovat työntekijöille, mitä tekoälyllä saa tehdä, mitä ei ja kuka vastaa. Tässä oppaassa käydään läpi, miksi jokainen yritys tarvitsee sellaisen, mitä siihen kirjataan ja miten se otetaan käyttöön tunnissa. Lopussa on valmis pohja.

Päivitetty 10.9.2026 · Lukuaika noin 10 minuuttia · Siirry suoraan pohjaan

Mikä tekoälypolitiikka on, ja mikä se ei ole

Se on lyhyt, arkinen dokumentti. Kaksi tai kolme sivua, jotka työntekijä lukee kerran ja johon hän palaa, kun on epävarma. Se vastaa käytännön kysymyksiin: mitä työkaluja saan käyttää, mitä tietoja niihin saa syöttää, mitä pitää tarkistaa itse, mitä kerromme asiakkaalle ja keneltä kysyn.

Se ei ole 40-sivuinen viitekehys, tietoturvastandardi eikä juridinen sopimus. Jos dokumenttia ei lueta, se ei ohjaa mitään. Hyvä politiikka on niin lyhyt, että se mahtuu perehdytykseen, ja niin konkreettinen, että siitä voi tarkistaa yksittäisen tilanteen.

Miksi se tarvitaan juuri nyt

Politiikan puuttuminen ei tarkoita, ettei tekoälyä käytetä. Se tarkoittaa, ettei kukaan tiedä, miten sitä käytetään. Viisi syytä, jotka johdon kannattaa ottaa vakavasti:

• Asiakastiedot päätyvät kuluttajatyökaluihin. Kun työntekijä liittää asiakkaan sähköpostin henkilökohtaiseen ChatGPT-tiliin tiivistettäväksi, sisältöä voidaan käyttää mallien kehittämiseen, ellei käyttäjä ole kytkenyt sitä pois asetuksista. Yritysversioissa, kuten ChatGPT Businessissa, Microsoft 365 Copilotissa ja Google Workspacen Geminissä, yrityksen sisältöä ei käytetä mallien kouluttamiseen. Ero on lisenssissä, ei työkalussa.
• Tietosuoja ja asiakassopimukset. Henkilötietojen käsittely tekoälypalvelussa tarvitsee käsittelyperusteen ja, kun palveluntarjoaja toimii henkilötietojen käsittelijänä, asianmukaisen käsittelijäsopimuksen. Monessa asiakassopimuksessa on salassapitoehto, joka ei tunne poikkeusta "tiivistin sen vain".
• EU:n tekoälyasetus. Asetuksen 4 artikla, sellaisena kuin se on heinäkuussa 2026 muutettuna, edellyttää, että tekoälyjärjestelmien tarjoajat ja käyttöönottajat toteuttavat toimia henkilöstönsä tekoälylukutaidon kehittämisen tukemiseksi. Politiikka ja siihen liittyvä lyhyt koulutus voivat olla osa näitä toimia ja auttavat niiden dokumentoinnissa.
• Varmalta kuulostavat virheet. Kielimalli kirjoittaa vakuuttavasti myös silloin, kun se on väärässä. Ilman sovittua tarkistuskäytäntöä virhe lähtee asiakkaalle yrityksen nimissä.
• Epäselvä vastuu. Kuka vastaa tekoälyn luonnostelemasta tarjouksesta, ja kenen nimissä se lähtee? Politiikka vastaa tähän yhdellä lauseella: lähettäjä.

Kymmenen kohtaa, jotka hyvässä politiikassa on

Alla on politiikan runko. Jokaisessa kohdassa on kaksi asiaa: mitä yrityksen pitää päättää, ja mikä on yleisin virhe. Pohja sivun lopussa noudattaa samaa järjestystä.

Näin otat sen käyttöön tunnissa

1. Täytä pohja (30 minuuttia). Päätä hyväksytyt työkalut, liikennevalot ja vastuuhenkilö. Älä hio sanamuotoja, hio päätöksiä.
2. Hyväksytä johdossa (10 minuuttia). Politiikka on johdon linjaus, ei IT:n ohje.
3. Pidä 20 minuutin tilaisuus henkilöstölle. Käy läpi liikennevalot, kolme esimerkkiä arjesta ja se, mitä yritys näkee käytöstä ja mitä ei. Vastaa kysymyksiin. Kirjaa osallistujat.
4. Pyydä kuittaus. Sähköpostivastaus tai HR-järjestelmän merkintä riittää.
5. Laita työkalujen asetukset vastaamaan politiikkaa. Yrityslisenssit käyttöön, kirjautuminen yritystunnuksilla, tiedon näkyvyys rajattu. Tämä on kohta, jossa paperi muuttuu käytännöksi, ja se on yleensä se osa, johon tarvitaan apua.
6. Merkitse tarkistus kalenteriin kuuden kuukauden päähän.

Yleisimmät virheet

• Kielletään kaikki. Käyttö ei lopu, se siirtyy omille laitteille ja pois näkyvistä. Kielto on huonoin mahdollinen politiikka.
• Kirjoitetaan liian pitkä. Jos dokumentti ei mahdu kahdelle sivulle, sitä ei lueta.
• Ei nimetä työkaluja. "Hyväksytyt työkalut" ilman listaa on tyhjä lause.
• Politiikka ilman asetuksia. Sääntö, jota työkalun asetukset eivät tue, unohtuu ensimmäisenä kiireisenä päivänä.
• Ei koulutusta, ei päivityksiä. Silloin dokumentti on olemassa, mutta se ei ohjaa arkea.

Miten tiedät, noudatetaanko sitä?

Kaikkea ei voi eikä pidä nähdä. Tavoite ei ole seurata työntekijöitä, vaan tehdä hyväksytyistä työkaluista helpoin vaihtoehto, havaita merkittävät tietoturvariskit ja varmistaa, että työkalujen asetukset tukevat sovittuja pelisääntöjä. Se, mitä yritys voi nähdä, riippuu sen työkaluista, lisensseistä ja laitehallinnasta. Ja kaikki tekninen näkyvyys työntekijöiden tekemisiin on Suomessa säänneltyä: se otetaan käyttöön avoimesti ja henkilöstön kanssa käsitellen, ei hiljaa. Näkyvyys rakentuu kerroksittain:

• Hyväksyttyjen työkalujen käyttö. Microsoft 365:n hallintakeskuksen Copilot-käyttöraportit ja ChatGPT Businessin työtilan analytiikka näyttävät, kuinka moni käyttää työkaluja ja kuinka paljon. Microsoftin raporteissa käyttäjien nimet on oletuksena piilotettu, ja se on hyvä oletus. Alhainen käyttö jossain tiimissä on ensimmäinen vihje siitä, että käytössä on jotain muuta.
• Yritystiliin liitetyt sovellukset. Sekä Microsoft Entra että Google Workspace listaavat sovellukset, joille joku on antanut pääsyn yrityksen tiliin tai tietoihin, ja uudet liitokset voidaan rajata vaatimaan ylläpitäjän hyväksynnän. Nämä hallintakeinot ovat molemmissa ympäristöissä perusasetuksia, ja tarkat ominaisuudet riippuvat lisenssistä tai versiosta. Ne näyttävät vain kirjautumisella liitetyt sovellukset, eivät sivustoja, joilla joku käy.
• Mihin tekoälypalveluihin työkoneet ottavat yhteyttä. Tässä oikea työkalu riippuu lisenssistä. Microsoft 365 Business Premiumiin sisältyvä Defender for Business suojaa työkoneiden verkkoliikennettä ja osaa estää ja raportoida verkkosivujen käyttöä. Laajempi näkyvyys siihen, mitä pilvipalveluita käytetään ja kuka niitä käyttää, vaatii lisäominaisuuksia, kuten Defender for Cloud Appsin, joka on Business Premiumiin erillinen lisäosa. Ilman Microsoftin laitehallintaa työkoneisiin asennettava DNS- tai verkkosuodatus voi tarjota perustason näkyvyyttä ja hallintaa tiettyjen palveluiden käyttöön. Kaikki nämä ovat teknistä valvontaa, ks. laatikko alla.
• Mitä hyväksyttyihin työkaluihin on syötetty. Tästä näkee vähemmän kuin moni luulee. Microsoft 365:n tarkastusloki tallentaa Copilot-vuorovaikutuksista metatiedot: käyttäjän, ajankohdan, käytetyn sovelluksen ja viitatut tiedostot, ei kehotteiden ja vastausten sisältöä. Sisältöön pääsy vaatii erillisiä Purview- tai eDiscovery-toimintoja, eikä se kuulu normaaliin käyttöraportointiin. ChatGPT Businessissa ylläpitäjä ei voi lukea työtilan jäsenten keskusteluja; organisaatiotason keskustelulokit ovat Enterprise- ja Edu-tason ominaisuuksia. Siksi "mitä on syötetty" varmistetaan asetuksilla, esimerkiksi rajaamalla, kenelle henkilötiedot ja luottamukselliset tiedostot näkyvät, jotta Copilot ei tuo esiin sellaista, mitä käyttäjän ei muutenkaan pitäisi nähdä.
• Liittämisen estäminen. Microsoft Purviewin päätelaitteen tietovuotosuoja osaa huomata asiakastiedot, joita liitetään kuluttajapalveluihin, ja Purviewin tekoälyraportit kertovat koostetusti, syötetäänkö Copilotiin arkaluonteista tietoa. Molemmat vaativat E5-tason lisenssin tai vastaavan lisäosan, joten useimmille pk-yrityksille ne ovat myöhempi askel, ei lähtökohta.

Mitä ei voi nähdä: oma puhelin mobiiliverkossa. Yrityksen verkko-, DNS- tai laitevalvonta ei näe, mitä hallitsemattomalla henkilökohtaisella puhelimella tehdään mobiiliverkossa, ja toisin väittäminen olisi epärehellistä. Siksi politiikka, koulutus ja helppo hyväksytty polku ratkaisevat, ja siksi poikkeamista kertominen on toivottua eikä siitä rangaista.

Tavoite ei ole valvoa ihmisiä. Tavoite on tehdä hyväksytystä polusta helpoin, nähdä suuret vuodot ajoissa ja pitää asetukset politiikan mukaisina. Näkyvyys- ja estoasetukset kuuluvat työkalujen konfigurointiin, ja niiden tarkistaminen kuukausittain on osa raportointia.

Tämä opas ja pohja ovat käytännön ohjeita, eivät oikeudellista neuvontaa. Tarkista henkilötietojen käsittelyyn, teknisen valvonnan käyttöönottoon ja asiakassopimuksiin liittyvät kysymykset tarvittaessa tietosuojavastaavan tai juristin kanssa. Työkalujen ominaisuudet ja lisenssit on tarkistettu valmistajien dokumentaatiosta 10.9.2026, ja ne muuttuvat.