Julkaistu 2026-08-13 · 9 min · Tekoäly
Saako tarjouspyynnön liittää tekoälylle? Selkokielinen ohje siihen, mikä tieto on turvallista, mikä ei koskaan kelpaa ja miten harmaa alue ratkaistaan kolmella kysymyksellä — sekä mitä uudet avoimuusvelvoitteet vaativat pieneltä yritykseltä.
Mitä asiakastietoa tekoälylle saa antaa ja mitä ei — sekä mitä elokuussa 2026 sovellettaviksi tulleet EU:n avoimuusvelvoitteet tarkoittavat pk-yritykselle.
Moni yrittäjä esittää kysymyksen vasta, kun tekoälyä on jo käytetty kuukausia, ja silloinkin hieman varovasti: saako tähän syöttää asiakkaiden tietoja. Jossain vaiheessa on herännyt epäilys, ettei oikeastaan tiedä, minne liitetty tarjouspyyntö päätyi. Se on hyvä kysymys, ja siihen on olemassa selkeämpi vastaus kuin yleinen keskustelu antaa ymmärtää.
Tässä artikkelissa käydään läpi, mitä tietoa tekoälylle voi antaa ja mitä ei, mistä ero oikeasti syntyy, mitä elokuussa 2026 sovellettaviksi tulleet EU:n avoimuusvelvoitteet tarkoittavat pienelle yritykselle käytännössä, ja miten koko asia hoidetaan yhdellä sivulla ohjetta sen sijaan että kiellettäisiin kaikki. Tämä ei ole juridinen lausunto vaan käytännön ohje — jos toimialallasi käsitellään terveystietoja tai muuta erityisen arkaluonteista aineistoa, kysy myös juristilta.
Moni miettii tekoälyä ja tietosuojaa väärästä päästä. Kysymys ei ole siitä, onko tekoälyn käyttö sallittua — se on. Kysymys on siitä, kenelle tieto siirtyy, kun painat lähetä, ja mitä vastaanottaja saa sillä tehdä. Sama kysymys on pitänyt esittää aina, kun yritys on ottanut käyttöön uuden pilvipalvelun. Tekoäly ei ole tässä poikkeus, se vain tuntuu erilaiselta, koska siihen puhutaan omin sanoin.
Käytännössä ratkaisevia kohtia on kaksi. Ensimmäinen on se, käytetäänkö syöttämääsi tietoa mallin kouluttamiseen. Kuluttajaversioissa vastaus on usein kyllä, ellei asetusta ole erikseen käännetty pois. Yritysversioissa vastaus on tyypillisesti ei, ja se lukee ehdoissa. Esimerkiksi OpenAI:n ohjesivun mukaan henkilökäyttäjien ChatGPT-keskusteluja voidaan käyttää mallien kouluttamiseen, ellei käyttäjä kytke sitä pois asetuksista, kun taas ChatGPT Businessin, Enterprisen ja rajapinnan sisältöä ei oletuksena käytetä. Toinen ratkaiseva kohta on henkilötietojen käsittelysopimus, joka sitoo palveluntarjoajan käsittelemään tietoa vain sinun lukuusi. Tietosuojavaltuutetun toimiston mukaan käsittelijän tekemä käsittely on määriteltävä käsittelysopimuksella tai muussa oikeudellisessa asiakirjassa, ja sopimuksen puuttuminen on tietosuoja-asetuksen vastaista. Kuluttajaversion ehdot on kirjoitettu yksityishenkilölle, mutta vastuu asiakkaidesi tiedoista säilyy silti yritykselläsi.
Tästä seuraa ohje, joka ratkaisee suurimman osan tapauksista: käytä yrityskäyttöön tarkoitettua versiota ja tarkista kertaalleen, mitä sen ehdoissa sanotaan koulutuskäytöstä ja säilytysajoista. Se on lyhyt työ, ja se kannattaa tehdä ennen mitään muuta. Ilmainen henkilökohtainen tili samoihin töihin on se vaihtoehto, jossa riski oikeasti on.
Iso osa yrityksen arjesta ei sisällä mitään suojattavaa. Voit turvallisesti antaa koneelle markkinointitekstejä, palvelukuvauksia, julkisia hinnastoja, verkkosivujesi sisältöä, yleisluontoisia kysymyksiä alastasi, koodia joka ei sisällä salasanoja, ja omia muistiinpanojasi joissa ei esiinny ihmisiä nimeltä. Tähän kategoriaan kuuluu myös valtaosa siitä työstä, jota markkinoinnissa tekoälyllä tehdään.
Myös asiakastapaukset kelpaavat, kun ne riisutaan tunnistetiedoista. "Asiakas tilasi keittiöremontin, työ viivästyi kaksi viikkoa alihankkijan takia, miten vastaan reklamaatioon" on täysin käyttökelpoinen kysymys ilman nimeä, osoitetta ja projektinumeroa. Vastauksen laatu ei parane siitä, että kone tietää asiakkaan nimen — se paranee siitä, että kuvaat tilanteen tarkasti.
Selvä ei koskee henkilötunnuksia, tilinumeroita, salasanoja ja rajapinta-avaimia, terveystietoja, työntekijöiden palkka- ja terveydentilatietoja sekä salassapitosopimuksen alaista aineistoa, jonka asiakas on antanut sinulle luottamuksellisesti. Näissä ei ole harmaata aluetta, koska hyöty on pieni ja seuraus mahdollisesti iso.
Salassapitosopimukset unohtuvat tässä helposti. Jos olet allekirjoittanut asiakkaan kanssa NDA:n, sen ehdot koskevat myös sitä, mihin järjestelmään syötät aineiston. Tekniikka voi olla täysin kunnossa ja silti rikot sopimusta. Tämä koskee erityisesti niitä, jotka tekevät alihankintaa suuremmille yrityksille.
Kolmas kohta on toisen ihmisen viesti kokonaisuudessaan. Sähköpostin liittäminen tiivistystä varten on tavallinen tapa, jolla henkilötietoja päätyy koneelle vahingossa: mukana menee allekirjoitus, puhelinnumero, asiakkaan asiakkaan nimi ja usein koko keskusteluhistoria. Sama työ onnistuu poistamalla ensin allekirjoitukset ja korvaamalla nimet roolilla.
Väliin jää suurin ryhmä: asiakkaan nimi ja sähköpostiosoite tarjouspyynnössä, CV rekrytoinnin yhteydessä, laskurivit joissa näkyy yritysasiakkaan nimi, asiakaspalautteet joissa kirjoittaja on tunnistettavissa. Nämä ovat henkilötietoja, mutta ne eivät ole arkaluonteisia, ja niiden käsittelyyn on usein aivan pätevä peruste.
Harmaan alueen ratkaisee kolme kysymystä. Tarvitseeko kone tämän tiedon tehtävän suorittamiseen — yleensä ei. Onko käytössä yritystason sopimus, joka kieltää koulutuskäytön. Ja olisitko valmis kertomaan asiakkaalle, miten hänen viestinsä käsiteltiin. Jos kaikkiin kolmeen on kelpo vastaus, käsittely on kunnossa. Jos ensimmäiseen vastaus on "ei tarvitse", poista tieto — se on nopein ja halvin ratkaisu.
Rekrytointi ansaitsee oman huomionsa, koska siinä yhdistyvät henkilötiedot ja päätökset, jotka vaikuttavat ihmisen elämään. Asiaa käsitellään tarkemmin jutussa tekoäly rekrytoinnissa: kone saa auttaa järjestämisessä ja kysymysten valmistelussa, mutta valintapäätöstä ei jätetä sille, ja hakijalle kerrotaan miten hakemuksia käsitellään.
EU:n tekoälyasetuksen avoimuutta koskevat säännökset tulivat sovellettaviksi 2.8.2026. Asetus itsessään on ollut voimassa jo elokuusta 2024 — nämä velvoitteet vain astuivat käyttöön vasta nyt. Aikataulu on luettavissa Euroopan komission tekoälysäädöksen sivulta (luettu elokuussa 2026). Suurin osa asetuksen raskaista velvoitteista koskee korkean riskin järjestelmiä ja mallien kehittäjiä, ei tavallista pk-yritystä. Kolme asiaa kuitenkin osuu myös pieneen yritykseen, ja kaikki kolme ovat sellaisia, että ne hoituvat lauseella tai kahdella.
Ensimmäinen: kun asiakas keskustelee botin kanssa, hänen pitää tietää, ettei vastapäässä ole ihminen. Velvoite on kirjoitettu järjestelmän tarjoajalle, ja Traficomin ohjeen mukaan tarjoaja on myös se, joka teettää tekoälyjärjestelmän ja ottaa sen käyttöön omalla nimellään. Omalla nimellä toimivan botin kohdalla tarjoaja voi siis olla pieni yritys itse, ja valmista bottia käyttäessä kannattaa kysyä toimittajalta, miten ilmoitus on hoidettu. Ilmoitukseksi riittää, että asia käy ilmi chatin ensimmäisestä viestistä. Pelkkä maininta käyttöehdoissa ei Traficomin mukaan yleensä riitä. Käytännössä tämä on ollut hyvää tapaa jo pitkään ennen sääntelyä, ja aihetta käsitellään tarkemmin asiakaspalvelubottien oppaassa. Toinen koskee syväväärennöksiä: jos julkaiset tekoälyllä tuotettua tai muokattua kuva-, ääni- tai videosisältöä, joka muistuttaa olemassa olevaa ihmistä, esinettä, paikkaa, organisaatiota tai tapahtumaa ja voisi katsojasta näyttää aidolta, on kerrottava, että sisältö on tekoälyn tuottamaa tai muokkaamaa. Kaksi kohtaa jää tässä usein huomaamatta. Video kuuluu velvoitteen piiriin siinä missä kuva ja ääni. Ja ratkaisevaa on se, voiko sisältö erehdyttää katsojan — ei se, väitätkö sitä itse aidoksi. Kolmas koskee tekstiä — ja se on kapeampi kuin usein luullaan. Koneen kirjoittamaa tekstiä ei tarvitse merkitä läheskään aina: velvoite koskee tekstiä, joka julkaistaan yleisölle tiedottamaan yleistä etua koskevista asioista, eikä sitäkään silloin kun teksti on käynyt läpi ihmisen toimituksellisen tarkistuksen ja joku vastaa sen sisällöstä. Tavallinen markkinointi- tai palvelutekstisi ei siis lähtökohtaisesti kuulu merkintävelvoitteen piiriin.
Se kolmas kohta kannattaa lukea kahdesti, koska siinä on koko asian ydin. Vaihtoehto merkinnälle on, että joku oikeasti lukee tekstin ennen julkaisua ja seisoo sen takana. Komission avoimuusvelvoitteita koskevan ohjeen mukaan pelkkä oikeinkirjoituksen tai kieliasun tarkistus ei ole tällaista tarkistusta: tarkistajalla pitää olla aiheen tuntemusta, ja jonkun on kannettava julkaisusta lopullinen vastuu. Tämä on sama työtapa, jota kannattaa käyttää laadun takia muutenkin: kone tekee rungon, ihminen tarkistaa faktat ja lisää sen mitä vain hän tietää. Kun tuo vaihe on paikallaan, sääntely ei aiheuta lisätyötä — se vain kirjaa ylös sen, mitä huolellinen tekijä teki jo ennestään.
Chat-ikkuna on helppo tapaus, koska sinä päätät jokaisella kerralla erikseen, mitä liität mukaan. Tilanne muuttuu, kun siirrytään agentteihin ja automaatioihin, joilla on jatkuva pääsy sähköpostiin, asiakasrekisteriin tai laskutukseen. Silloin et enää valitse tietoja käsin, vaan olet päättänyt kerran, mihin järjestelmä yltää.
Tässä pätee sama periaate kuin työntekijän käyttöoikeuksissa: pääsy annetaan siihen mitä tehtävä vaatii, ei kaikkeen mihin se teknisesti voisi ulottua. Ajanvarausta hoitava agentti tarvitsee kalenterin ja varaustiedot, ei koko sähköpostilaatikkoa. Kirjanpitoa avustava automaatio tarvitsee laskut, ei henkilöstöhallinnon kansiota. Rajaus tehdään kerran käyttöönotossa, ja se on ainoa vaihe, jossa se on helppoa.
Toinen käytännön asia on loki. Kun jotain menee pieleen — ja jossain vaiheessa menee — pitää pystyä selvittämään mitä järjestelmä teki ja millä tiedolla. Ilman lokia tutkiminen on arvailua. Tämä on myös se ero, joka erottaa kunnolla rakennetun automaation viikonloppuna kyhätystä: molemmat toimivat demossa, vain toista voi selvittää jälkikäteen.
Tämä on se kysymys, jota harva kehtaa kysyä ääneen, vaikka tilanne on hyvin tavallinen. Tekoälyä on käytetty vuosi ilman sen kummempaa harkintaa, ja jossain vaiheessa tajutaan, että joukossa on ollut asiakkaiden viestejä ja ehkä sopimuksia. Paniikkiin ei ole syytä, mutta asialle kannattaa tehdä jotain samana päivänä.
Käy ensin läpi, mitä palveluita ja tilejä yrityksessä on käytetty. Tarkista näiden asetuksista koulutuskäyttö ja käännä se pois, jos se on päällä. Useimmissa palveluissa voi myös poistaa keskusteluhistorian, ja se kannattaa tehdä siltä osin kuin tiedät sinne päätyneen asiakastietoa. Vaihda työkäyttö yritysversioon, jotta samaa ei tapahdu uudelleen.
Jos joukossa oli salasanoja tai rajapinta-avaimia, ne vaihdetaan — ei siksi että väärinkäyttö olisi todennäköistä, vaan siksi että vaihtaminen on halpaa ja epävarmuuden kanssa eläminen ei ole. Jos taas kyseessä oli asiakkaan salassapitosopimuksen alainen aineisto, kannattaa selvittää, mitä sopimus sanoo ilmoitusvelvollisuudesta. Useimmiten se, että asian ottaa itse puheeksi, päättyy paremmin kuin se, että asia tulee ilmi myöhemmin muuta kautta.
Yksi asia kannattaa tässä kohtaa suhteuttaa. Sama tieto on hyvin todennäköisesti mennyt vuosien varrella myös sähköpostiin, pilvitallennukseen ja kymmeneen muuhun palveluun, joiden ehtoja kukaan ei ole lukenut. Tekoäly ei ole poikkeuksellisen vaarallinen paikka — se on vain uusi paikka, jonka kohdalla asiaa sattuu miettimään. Siksi tästä kannattaa tehdä kerralla pysyvä käytäntö sen sijaan että jännitettäisiin yksittäistä tapausta.
Palvelinten sijainti nousee keskusteluissa usein esiin, ja se on relevantti kysymys — mutta harvemmin se tärkein. Henkilötietojen siirto EU:n ulkopuolelle on säädelty asia, ja vakiintuneilla palveluntarjoajilla on siihen mekanisminsa. Pienelle yritykselle käytännöllisempi kysymys on yleensä toinen: kuinka kauan tietoa säilytetään ja pääseekö siihen käsiksi joku muu kuin sinä.
Säilytysaika ja se, voiko sitä säätää itse, kannattaa tarkistaa palvelun ehdoista. Tämä on myös hyvä tarkistuslista uutta työkalua valittaessa: kuka omistaa syötetyn aineiston, säilytetäänkö sitä ja kuinka pitkään, käytetäänkö sitä mallin kehittämiseen, ja saako aineiston poistettua pyynnöstä. Neljä kysymystä, joihin vastaus löytyy yleensä samalta sivulta. Jos ei löydy, se itsessään on vastaus.
Tilastokeskuksen mukaan 38 prosenttia vähintään kymmenen hengen yrityksistä käytti tekoälyteknologioita keväällä 2025, mutta niiden käyttöön liittyviä ohjeita tai toimintatapoja oli dokumentoinut vain 15 prosenttia. Puute ei siis yleensä ole liian löysä linja vaan se, ettei kirjattua linjaa ole. Silloin jokainen työntekijä päättää itse, ja päätökset vaihtelevat. Toinen ei uskalla käyttää tekoälyä mihinkään, toinen liittää asiakassopimuksia ilmaiseen palveluun. Molemmat ovat seurausta samasta puutteesta.
Kirjallinen ohje ei tarvitse olla pitkä. Siinä kerrotaan, mitä työkaluja yrityksessä käytetään ja millä tileillä, mitä tietoa ei syötetä mihinkään, miten asiakastiedot riisutaan ennen käyttöä, kuka tarkistaa julkaistavan sisällön ennen julkaisua, ja keneltä kysytään kun tulee epäselvä tapaus. Yksi sivu riittää, ja se kannattaa käydä läpi ääneen kerran — sillä on enemmän vaikutusta kuin sillä, että se on olemassa jossain kansiossa.
Ohjeesta on myös toinen hyöty: kun rajat tiedetään, kokeileminen on helpompaa. Sama asia käydään läpi Yrityspaketit.fi:n tekoälykoulutuksessa, koska pelkkä työkalujen esittely ilman pelisääntöjä jättää helposti osan tiimistä sivuun.
Pelisääntöjen laatiminen ei ole iso projekti, ja sen voi käydä läpi esimerkiksi yhden työpajan aikana. Kokoluokka riippuu siitä, mitä kokonaisuutta ollaan rakentamassa: pelkkä ohje ja työkalujen käyttöönotto on eri asia kuin agentti, joka kytketään asiakasrekisteriin ja laskutukseen. Kotisivujen ja ylläpidon lähtöhinnat ovat julkiset (500 € ja 59 €/kk); laajempi kokonaisuus mitoitetaan sen mukaan, mistä hyöty tulee nopeimmin ja mitä tietoa se koskee.
Järkevä aloitusjärjestys on tämä. Tarkista ensin, millä tileillä tekoälyä yrityksessäsi tällä hetkellä käytetään. Vaihda työkäyttö yritysversioon ja katso koulutusasetus. Kirjoita yhden sivun ohje. Katso vasta sen jälkeen, mitä kannattaa automatisoida. Tämä järjestys säästää sen tavallisimman harmin, jossa hyvin toimiva automaatio joudutaan purkamaan jälkikäteen, koska se koskee tietoa, johon sillä ei olisi pitänyt olla pääsyä.
Tietosuoja ei ole syy jättää tekoäly käyttämättä, mutta se on syy päättää kerran, miten sitä käytetään. Käytä yrityskäyttöön tarkoitettua versiota, jätä tunnistetiedot pois silloin kun ne eivät paranna vastausta, älä koskaan syötä tunnuksia, terveystietoja tai salassapitosopimuksen alaista aineistoa, kerro asiakkaalle kun vastassa on kone, ja lue julkaistava teksti ennen julkaisua.
Näillä viidellä kohdalla pk-yritys pääsee pitkälle. Loput on tapauskohtaista harkintaa, jota helpottaa se, että pelisäännöt on kirjoitettu ylös. Maksuttomassa 20 minuutin puhelussa voi käydä läpi, mitä yrityksessäsi jo käytetään ja mikä kannattaa laittaa kuntoon ennen kuin käyttöä laajennetaan. Voit myös tutustua Yrityspaketit.fi:n palveluihin tai katsoa, miten samat periaatteet näkyvät kuluttaja-asiakkaiden puolella.
Kolmannen osapuolen faktat on luettu näiden sivujen omasta tekstistä, ja ne on tarkistettu uudelleen 1.10.2026. Lait, hinnat ja työkalujen ominaisuudet muuttuvat, joten tarkista voimassa oleva tieto lähteestä ennen kuin nojaat siihen omassa päätöksessäsi.