Tekoälypolitiikka – pohja yritykselle

Lataa pohja (.docx)

Näin käytät pohjaa. Täytä [hakasulkeissa] olevat kohdat, poista kohdat, jotka eivät koske yritystäsi, ja poista lopuksi tämä ohje. Pohja kuvaa sääntelyä ja hyviä käytäntöjä tilanteessa 28.9.2026. Se ei ole oikeudellista neuvontaa. Pyydä yrityksen omaa lakimiestä tarkistamaan valmis politiikka, erityisesti kohdat 7, 8, 12 ja 15, jotka liittyvät työ- ja tietosuojalainsäädäntöön.

Asiakirjan tiedot

1. Tarkoitus ja tavoite

1.1 Tämä politiikka määrittää, miten [Yrityksen nimi] (”yritys”) ja sen puolesta työskentelevät käyttävät tekoälytyökaluja. Tavoitteena on, että tekoälyä voi käyttää työn tukena turvallisesti ja niin, että asiakkaiden, työntekijöiden ja yrityksen tiedot pysyvät suojassa.

1.2 Politiikalla yritys myös kirjaa toimet, joilla se tukee henkilöstön tekoälylukutaitoa EU:n tekoälysäädöksen (asetus (EU) 2024/1689) 4 artiklan mukaisesti, ja tukee yleisen tietosuoja-asetuksen (asetus (EU) 2016/679) velvoitteiden täyttämistä.

2. Soveltamisala

2.1 Keitä politiikka koskee. Politiikka koskee kaikkia työntekijöitä, myös osa-aikaisia ja määräaikaisia, sekä konsultteja, harjoittelijoita, alihankkijoita ja muita, jotka käyttävät tekoälyä yrityksen puolesta (”käyttäjät”).

2.2 Mitä työkaluja politiikka koskee. Politiikka koskee kaikkia tekoälytyökaluja, joita käytetään yrityksen työssä, esimerkiksi:

(a) keskustelevat tekoälyavustajat, kuten ChatGPT, Microsoft Copilot, Claude ja Gemini;

(b) muihin ohjelmiin sisäänrakennetut tekoälytoiminnot, kuten kirjoitus-, käännös-, litterointi-, kokousmuistio-, kuva- ja koodiavustajat;

(c) selainlaajennukset, jotka lähettävät sisältöä tekoälypalveluun;

(d) tekoälyagentit ja automaatiot, jotka toimivat käyttäjän puolesta.

2.3 Laitteet ja tilit. Politiikkaa sovelletaan kaikilla laitteilla, myös omilla laitteilla, aina kun käsitellään yrityksen tietoja tai toimitaan yrityksen puolesta. Se koskee myös henkilökohtaisia tekoälytilejä, jos niitä käytetään työhön.

3. Määritelmät

3.1 Tekoälytyökalu: ohjelmisto tai palvelu, joka tuottaa saamansa syötteen perusteella sisältöä, ennusteita, suosituksia tai päätöksiä. Tähän kuuluvat EU:n tekoälysäädöksen 3 artiklan 1 alakohdassa määritellyt tekoälyjärjestelmät.

3.2 Hyväksytty työkalu: työkalu, jonka tila tekoälytyökalujen luettelossa (kohta 5) on Hyväksytty ja jota käytetään luettelossa mainitulla tilityypillä.

3.3 Rajoitettu työkalu: työkalu, jonka tila luettelossa on Rajoitettu. Sitä saa käyttää vain luettelossa mainittuihin tarkoituksiin ja tietoluokkiin.

3.4 Kielletty työkalu: työkalu, jonka tila luettelossa on Kielletty, sekä kaikki työkalut, joita luettelossa ei ole.

3.5 Henkilötieto: kaikki tunnistettuun tai tunnistettavissa olevaan henkilöön liittyvät tiedot tietosuoja-asetuksen mukaisesti, esimerkiksi nimet, sähköpostiosoitteet, asiakasrekisterit, henkilöstötiedot, työhakemukset ja puhelutallenteet.

3.6 Luottamuksellinen tieto: [yrityksen tietojen luokitteluohjeen] mukaan luottamukselliseksi luokiteltu tieto, esimerkiksi liikesalaisuudet, julkaisemattomat taloustiedot, sopimukset, lähdekoodi, hinnoittelu ja asiakastiedot.

3.7 Salaisuudet: salasanat, API-avaimet, käyttöoikeustunnisteet, yksityiset avaimet, palautuskoodit ja muut vastaavat tunnukset.

4. Roolit ja vastuut

4.1 Yritys vastaa siitä, miten tekoälyä käytetään sen nimissä. Käyttäjä vastaa tekemästään työstä riippumatta siitä, onko tekoäly ollut apuna.

5. Hyväksytyt tekoälytyökalut ja uusien työkalujen käyttöönotto

5.1 Politiikan omistaja ylläpitää tekoälytyökalujen luetteloa. Työhön saa käyttää vain työkaluja, joiden tila on Hyväksytty tai Rajoitettu, ja vain luettelossa mainitulla tilityypillä.

5.2 Tekoälytyökalujen luettelo (ajantasainen versio: [sijainti tai linkki]):

5.3 Tilat.

(a) Hyväksytty: saa käyttää luettelon mukaisiin tarkoituksiin luettelossa mainittuun tietoluokkaan asti.

(b) Rajoitettu: saa käyttää vain luettelossa mainittuihin tarkoituksiin, mainituissa tiimeissä tai mainituin lisäsuojauksin.

(c) Kielletty: ei saa käyttää yrityksen työhön.

5.4 Uuden työkalun pyytäminen. Käyttäjä pyytää uutta tekoälytyökalua [lomakkeella, tiketillä tai sähköpostilla työkalujen hyväksyjältä] ja ilmoittaa työkalun, käyttötarkoituksen, käsiteltävät tiedot ja käyttäjät. Hyväksyjä päättää asiasta [10] työpäivän kuluessa ja tarkistaa vähintään:

(a) toimittajan ehdot, erityisesti käytetäänkö syötteitä toimittajan mallien kouluttamiseen ja kuinka kauan tietoja säilytetään;

(b) missä tietoja käsitellään ja onko henkilötietojen käsittelysopimus tehty;

(c) tietoturvaominaisuudet, kuten kertakirjautuminen, pääkäyttäjän hallinta ja lokit;

(d) voiko aiottu käyttö olla EU:n tekoälysäädöksen mukaan kiellettyä tai suuririskistä (kohta 7);

(e) tarvitaanko tietosuoja-asetuksen mukainen vaikutustenarviointi.

5.5 Työkalu on kielletty, kunnes se on hyväksytty. Ilmaiset kokeilut ja henkilökohtaiset tilit eivät ohita hyväksyntää.

6. Sallitut käyttötavat

6.1 Hyväksyttyjä ja rajoitettuja työkaluja saa käyttää luettelon rajoissa esimerkiksi:

(a) tekstien luonnosteluun, muokkaamiseen, tiivistämiseen ja kääntämiseen;

(b) ideointiin ja jäsentelyyn;

(c) koodin kirjoittamiseen, selittämiseen ja tarkistamiseen [turvallisen kehityksen ohjeen] mukaisesti;

(d) julkisen tai sisäisen tiedon analysointiin tai työkalulle sallittuun tietoluokkaan asti;

(e) työhön liittyvien asioiden opiskeluun.

6.2 Tekoälyn tuotokset on aina tarkistettava ennen käyttöä (kohta 9).

7. Kielletyt käyttötavat

7.1 Tekoälyä ei saa käyttää:

(a) EU:n tekoälysäädöksen 5 artiklassa kiellettyihin tekoälyyn liittyviin käytäntöihin, kuten ihmisten tunteiden päättelemiseen työpaikalla (paitsi lääketieteellisistä tai turvallisuussyistä), manipuloiviin tai harhaanjohtaviin tekniikoihin tai sosiaaliseen pisteytykseen;

(b) henkilöitä koskevien päätösten tekemiseen tai olennaiseen ohjaamiseen, kuten rekrytointiin, ylennyksiin, irtisanomisiin, suoriutumisen arviointiin, työtehtävien jakamiseen tai luottopäätöksiin, paitsi jos [politiikan omistaja ja lakimies] ovat hyväksyneet käytön kirjallisesti ja ihminen tekee ja kirjaa lopullisen päätöksen. Tällainen käyttö voi olla tekoälysäädöksen liitteen III mukaan suuririskistä, ja siihen voi liittyä lisävelvoitteita;

(c) työtovereiden käyttäytymisen tai suoriutumisen seurantaan, lukuun ottamatta kohdan 12 mukaisesti käyttöön otettuja järjestelmiä;

(d) todellista henkilöä matkivan sisällön tai ihmisiä, paikkoja tai tapahtumia esittävien syväväärennösten tekemiseen ilman [roolin] hyväksyntää ja kohdan 10 mukaista merkintää;

(e) lainvastaisen, syrjivän, häiritsevän tai harhaanjohtavan sisällön tuottamiseen tai levittämiseen;

(f) tekijänoikeuksien, lisenssien tai muiden oikeuksien loukkaamiseen tai sellaisen kolmannen osapuolen aineiston syöttämiseen, jota yrityksellä ei ole oikeutta käyttää;

(g) yrityksen tietoturvasuojausten, myös tekoälytyökaluja koskevien, kiertämiseen, poistamiseen tai testaamiseen, lukuun ottamatta organisaation valtuuttamaa tietoturvatestausta;

(h) sellaisten tietojen syöttämiseen, joita kohta 8 ei salli.

8. Kielletyt syötteet ja tietojen käsittely

8.1 Älä syötä tekoälytyökaluun seuraavia tietoja, ellei tekoälytyökalujen luettelo nimenomaisesti salli kyseistä tietoluokkaa kyseiselle työkalulle:

(a) asiakkaiden, työntekijöiden, työnhakijoiden tai muiden henkilöiden henkilötietoja;

(b) erityisiin henkilötietoryhmiin kuuluvia tietoja, kuten terveystietoja, ammattiliiton jäsenyyttä, etnistä alkuperää tai biometrisia tietoja;

(c) luottamuksellista tietoa;

(d) tietoja, jotka yritys on saanut salassapitosopimuksella tai asiakassopimuksella, joka ei salli niiden käyttöä tekoälyssä.

8.2 Salaisuuksia ei saa syöttää mihinkään tekoälytyökaluun missään tilanteessa.

8.3 Tietoluokat työkalun tilan mukaan:

8.4 Tiedostojen lataaminen. Tiedostoja saa ladata tekoälytyökaluun vain, jos luettelo sallii lataamisen kyseiseen työkaluun ja jokainen tiedoston sisältämä tieto on sallittu sille. Taulukot, rekisteriotteet, sopimukset, työhakemukset ja asiakastiedostot ovat erityisen riskialttiita: tarkista ne ennen lataamista. [Jos yritys estää tiedostojen lataamisen teknisesti, estoa ei saa kiertää.]

8.5 Minimointi. Anna tekoälylle vain tehtävän kannalta tarpeelliset tiedot. Poista tai korvaa nimet ja tunnisteet aina, kun se on mahdollista.

8.6 Henkilökohtaiset tilit. Henkilökohtaisia tekoälytilejä ei saa käyttää yrityksen työhön eikä yrityksen tietojen käsittelyyn.

9. Ihmisen vastuu ja tuotosten tarkistaminen

9.1 Tekoälyn tuotos voi olla virheellinen, vanhentunut, puolueellinen tai keksitty. Tarkista tosiasiat, luvut, lähteet, koodi sekä oikeudelliset ja taloudelliset väitteet ennen kuin käytät tai jaat tuotosta.

9.2 Jokaisesta yrityksen toimittamasta työstä vastaa nimetty henkilö. ”Tekoäly kirjoitti sen” ei ole hyväksyttävä selitys virheelle.

9.3 Asiakkaisiin, oikeudelliseen asemaan, tietoturvaan tai yksittäisiin henkilöihin vaikuttavat tuotokset tarkistaa [toinen henkilö tai vastuullinen esihenkilö] ennen käyttöä.

10. Avoimuus ja merkinnät

10.1 Kerro ihmisille, kun he asioivat yrityksen tekoälyjärjestelmän kanssa, jos se ei muuten ole ilmeistä, esimerkiksi verkkosivujen tekoälychatissa.

10.2 Ilmoita, että kuva-, ääni- tai videosisältö on tekoälyn tuottamaa tai käsittelemää, kun kyse on syväväärennöksestä. Ilmoita myös, että teksti on tekoälyn tuottamaa, kun se julkaistaan yleisön tiedottamiseksi yleistä etua koskevista asioista eikä sitä ole tarkistettu toimituksellisen vastuun alaisena. Tämä vastaa EU:n tekoälysäädöksen 50 artiklan 4 kohtaa.

10.3 [Valinnainen: Merkitse tekoälyn avulla tuotettu sisältö [ulkoisessa markkinoinnissa tai asiakastoimituksissa] seuraavasti: ”[merkintä]”.]

11. Tekoälylukutaito, koulutus ja kirjaukset

11.1 Ennen kuin käyttäjä käyttää tekoälyä yrityksen työssä, hänen on suoritettava yrityksen tekoälylukutaidon koulutus [kurssin nimi] ja hyväksyttävä tämä politiikka.

11.2 Koulutus kattaa vähintään: mitä tekoäly on ja miten yrityksen käytössä olevat työkalut toimivat; yrityksen roolin EU:n tekoälysäädöksessä (yritys on tekoälyjärjestelmien [käyttöönottaja / tarjoaja]); käytössä olevien työkalujen riskit, kuten virheelliset tai keksityt vastaukset, tietovuodot ja vinoumat; sekä tämän politiikan säännöt.

11.3 Koulutus mitoitetaan käyttäjän tehtävän, teknisen osaamisen ja kokemuksen mukaan. [Tiimit, jotka käyttävät tekoälyä esimerkiksi asiakasviestinnässä, ohjelmistokehityksessä tai henkilöstöhallinnossa, suorittavat lisämoduulin.]

11.4 Koulutus uusitaan [12 kuukauden välein] sekä silloin, kun yritys ottaa käyttöön merkittävän uuden tekoälytyökalun tai politiikka muuttuu olennaisesti.

11.5 Politiikan omistaja pitää kirjaa toteutetuista toimista. Kustakin henkilöstä kirjataan nimi, rooli, koulutusmoduuli ja sen versio, suorituspäivä, [tentin tulos] ja hyväksytyn politiikan versio. Kirjauksia säilytetään [aika].

12. Seuranta ja yksityisyys

12.1 Yritys [käyttää / ei käytä] teknisiä keinoja nähdäkseen, mitä tekoälytyökaluja yrityksen laitteilla ja tileillä käytetään, ja valvoakseen tämän politiikan noudattamista.

12.2 [Jos seurantaa käytetään:] Yritys seuraa [esim. mitä tekoälytyökaluja käytetään, milloin, laukesiko jokin sääntö ja mikä oli riskitaso]. Yritys [ei kerää / kerää] tekstiä, jota käyttäjät kirjoittavat tekoälytyökaluihin. [Raportit ovat oletuksena koostettuja; yksittäisten henkilöiden nimet näkyvät [roolille] vain, kun [ehto].] Seurantatietoja säilytetään [aika].

12.3 Teknisen valvonnan tarkoitus, käyttöönotto ja menetelmät sekä sähköpostin ja muun tietoverkon käyttö on käsitelty [yhteistoimintalain mukaisessa vuoropuhelussa / työntekijöiden kuulemisessa] [pvm] yksityisyyden suojasta työelämässä annetun lain (759/2004) 21 §:n mukaisesti, ja niistä on tiedotettu henkilöstölle. Seurantatietoja käsitellään tietosuoja-asetuksen ja [henkilöstön tietosuojaselosteen] mukaisesti.

13. Poikkeamien raportointi

13.1 Ilmoita seuraavista [yhteyshenkilölle tai kanavaan] mahdollisimman pian ja viimeistään [24 tunnin] kuluessa havainnosta:

(a) henkilötietoja, luottamuksellista tietoa tai salaisuuksia on syötetty tekoälytyökaluun kohdan 8 vastaisesti;

(b) tekoälyn tuotosta on käytetty ja se on osoittautunut vakavasti virheelliseksi, haitalliseksi tai syrjiväksi;

(c) epäilet, että tekoälytili tai -integraatio on vaarantunut;

(d) tekoälyä on käytetty tavalla, joka voi rikkoa tätä politiikkaa tai lakia.

13.2 Nopea ja rehellinen ilmoitus on vastuullista toimintaa. Aikataululla on merkitystä: rekisterinpitäjän on ilmoitettava henkilötietojen tietoturvaloukkauksesta tietosuojavaltuutetun toimistolle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun se on tullut tietoiseksi loukkauksesta, jos loukkaus on ilmoitettava.

13.3 Jos tekoälyyn on syötetty salaisuus, käyttäjän on lisäksi [vaihdettava tai mitätöitävä se heti tai pyydettävä IT:tä tekemään se].

14. Poikkeukset

14.1 Poikkeusta tästä politiikasta pyydetään kirjallisesti politiikan omistajalta, joka kirjaa perusteen, laajuuden, suojaukset ja päättymispäivän. Poikkeuksella ei voi sallia kohdan 7.1 (a) mukaista kiellettyä käytäntöä eikä salaisuuksien syöttämistä.

15. Politiikan rikkominen

15.1 Politiikan rikkominen voi johtaa tekoälytyökalujen käyttöoikeuden poistamiseen ja [työsopimuksen, työlainsäädännön ja yrityksen ohjeiden] mukaisiin toimiin.

16. Tarkistaminen ja päivittäminen

16.1 Politiikan omistaja tarkistaa politiikan ja tekoälytyökalujen luettelon vähintään [12 kuukauden välein] sekä aina, kun yritys ottaa käyttöön merkittävän uuden tekoälytyökalun, lainsäädäntö tai viranomaisohjeet muuttuvat tai sattuu merkittävä poikkeama.

16.2 Jokainen uusi versio numeroidaan. Käyttäjien on hyväksyttävä olennaiset muutokset.

17. Hyväksyminen

17.1 Hyväksymällä vahvistan, että

(a) olen lukenut ja ymmärtänyt yrityksen tekoälypolitiikan version [1.0];

(b) olen suorittanut yrityksen tekoälylukutaidon koulutuksen;

(c) käytän tekoälytyökaluja vain tämän politiikan mukaisesti ja ilmoitan poikkeamista kohdan 13 mukaisesti.

Pohjan lähde: VAHTOR, https://vahtor.com/fi/guides/tekoalypolitiikka-pohja (28.9.2026). Pohjaa saa käyttää ja muokata maksutta organisaation sisäiseen käyttöön. Pohja tarjotaan sellaisenaan, eikä se ole oikeudellista neuvontaa. © Vahtor Oy 2026. Pohjan käyttö ei yksinään tee organisaatiosta EU:n tekoälysäädöksen tai tietosuoja-asetuksen mukaista.