Copilot, Gemini, Claude ja ChatGPT työpaikalla – tietosuojan tarkistuslista

Tekoälyavustajat säästävät aikaa, mutta niihin kirjoitetaan helposti asiakkaiden, potilaiden tai työntekijöiden tietoja. Siksi käyttöönotto on myös tietosuojapäätös. Käykää nämä kahdeksan kohtaa läpi ennen kuin työkalu annetaan koko henkilöstölle.

Tarkistuslista

1. Käytättekö yritysversiota? Ilmaisissa kuluttajaversioissa syötettyjä tietoja voidaan käyttää palvelun kehittämiseen. Yritysversioiden sopimuksissa tämä on yleensä rajattu – tarkistakaa omanne.
2. Onko toimittajan kanssa käsittelysopimus? Kun toimittaja käsittelee henkilötietoja puolestanne, kirjallinen käsittelysopimus on pakollinen.
3. Missä tiedot sijaitsevat? Selvittäkää, siirtyvätkö tiedot EU:n ja ETA:n ulkopuolelle ja millä siirtoperusteella. Jos peruste on vakiosopimuslausekkeet, tarvitaan myös siirtovaikutusten arviointi.
4. Ovatko käyttöoikeudet kunnossa? Microsoft 365 Copilot näkee kaiken, mihin käyttäjällä on oikeus. Jos kansiot on jaettu liian laajasti, Copilot voi tuoda esiin palkkatietoja tai henkilöstöasioita väärälle ihmiselle. Korjatkaa jaot ennen käyttöönottoa.
5. Tarvitaanko vaikutustenarviointi? Uusi teknologia ja työntekijöiden tiedot täyttävät usein kaksi kriteeriä, jolloin arviointi on yleensä tarpeen. Tehkää vähintään ennakkoarvio.
6. Onko henkilöstöllä ohje? Kertokaa selvästi, mitä työkaluun saa kirjoittaa ja mitä ei. Esimerkiksi henkilötunnukset, terveystiedot ja asiakkaiden yksilöivät tiedot kielletään.
7. Pitääkö tietosuojaselostetta päivittää? Jos tekoälyä käytetään uuteen tarkoitukseen, kuten asiakasviestien analysointiin, se kerrotaan selosteessa. Jos peruste on oikeutettu etu, tehkää tasapainotesti eli oikeutetun edun arviointi.
8. Koskeeko käyttöönotto työntekijöiden seurantaa? Jos työkalu kerää tietoa työntekijöiden työskentelystä, tarkistakaa työelämän tietosuojalain ja yhteistoimintavelvoitteiden vaatimukset.

Ohjelmistokohtaiset ohjeet

Tarkistuslista on sama, mutta sopimukset, säilytysajat ja asetukset vaihtelevat:

• Microsoft 365 Copilot
• Google Gemini
• Claude Team
• Microsoft 365 ja Google Workspace ilman tekoälyä

Mitä vaikutustenarviointi maksaa?

Hinta riippuu organisaation koosta ja järjestelmästä. Siihen sisältyvät ennakkoarvio, tarvittaessa siirtovaikutusten arviointi ja kirjaukset selosteisiin. Esimerkiksi keskikokoiselle organisaatiolle arviointi maksaa:

Katso hinnat järjestelmittäin.

Mitä henkilöstön ohjeeseen kirjoitetaan?

Hyvä ohje mahtuu yhdelle sivulle:

Väärään työkaluun syötetyt henkilötiedot voivat olla tietosuojaloukkaus, joten ilmoituskanavan pitää olla selvä etukäteen.

Kunnissa erityisesti

Kunnan asiakirjat ovat usein salassa pidettäviä, ja kuntalaisten tiedot koskevat myös lapsia ja muita haavoittuvassa asemassa olevia. Siksi kunnissa vaikutustenarviointi kannattaa tehdä lähes aina ennen tekoälyavustajan laajaa käyttöönottoa. Jos tekoälyä käytetään esimerkiksi rekrytointiin tai etuuksien arviointiin, järjestelmä voi olla suuririskinen, jolloin tarvitaan myös perusoikeusvaikutusten arviointi. Lue lisää tietosuojapalveluista kunnille.