Kun PK-yritys ottaa käyttöön ChatGPT:n, Copilotin tai muun tekoälypalvelun, kaksi kysymystä jää yleensä selvittämättä: missä syötetty data fyysisesti sijaitsee ja mitä palveluntarjoaja saa käyttöehtojen mukaan sillä tehdä. Tekoälypalvelun datan sijainti ja käyttöehdot ratkaisevat, voiko työkaluun syöttää asiakastietoja, tarjouksia tai sopimusluonnoksia. Tämä artikkeli käy läpi, mitä ehdoista kannattaa tarkistaa ennen kuin koko henkilöstö alkaa käyttää palvelua.
Asia ei ole pelkkää juridiikkaa. Jos asiakkaasi kysyy tietoturvakyselyssä, mihin heidän tietonsa päätyvät, sinulla pitää olla vastaus valmiina eikä sitä tarvitse lähteä arvaamaan.
Miksi datan sijainti ylipäätään merkitsee
GDPR ei kiellä henkilötietojen siirtoa EU:n ulkopuolelle, mutta siirrolle tarvitaan peruste. Yhdysvaltoihin siirrettäessä peruste on yleensä EU:n ja Yhdysvaltojen välinen tietosuojakehys (Data Privacy Framework, voimassa heinäkuusta 2023) tai komission vakiosopimuslausekkeet (SCC). Kehyksen edeltäjä Privacy Shield kaatui EU-tuomioistuimessa vuonna 2020 niin sanotussa Schrems II -tapauksessa, joten moni tietosuoja-asiantuntija suosittelee, ettei siirtoja rakenneta yhden mekanismin varaan.
Toinen kysymys on lainkäyttövalta. Yhdysvaltalaista palveluntarjoajaa koskee CLOUD Act silloinkin, kun palvelin on Dublinissa tai Frankfurtissa. EU-palvelin ei siis automaattisesti tarkoita, että data olisi kokonaan EU-lainsäädännön piirissä. Useimmille PK-yrityksille tämä riski on teoreettinen. Terveydenhuollossa, julkisen sektorin hankinnoissa ja puolustusteollisuuden alihankinnassa se voi kuitenkin ratkaista koko asian.
Käyttöehtojen kolme kohtaa, jotka ratkaisevat eniten
Käyttöehdot ovat pitkiä, mutta olennainen löytyy yleensä kolmesta kohdasta. Kokenut asiantuntija etsii ensin nämä:
Käytetäänkö syötteitä mallin koulutukseen? Tässä on suurin ero kuluttaja- ja yritysversioiden välillä. ChatGPT:n ilmais- ja Plus-versioissa keskusteluja voidaan käyttää mallien kehittämiseen, ellei käyttäjä kytke sitä pois asetuksista (Data Controls). Yritystason versioissa, kuten ChatGPT:n Team- tai Business-tilauksessa, Enterprisessa ja API-rajapinnassa, dataa ei oletuksena käytetä koulutukseen. Sama jako koskee Anthropicin Claudea ja Googlen Geminiä: kuluttajatilillä on eri ehdot kuin yritys- tai Workspace-sopimuksella.
Kuinka kauan dataa säilytetään? OpenAI:n API-rajapinnassa syötteitä on oletuksena säilytetty enintään 30 päivää väärinkäytösten valvontaa varten. Tiettyihin käyttötapauksiin on saatavilla ns. zero data retention -järjestely. Kuluttajapalveluissa keskusteluhistoria säilyy, kunnes käyttäjä poistaa sen, ja poistetunkin datan säilytysaika vaihtelee.
Onko tarjolla henkilötietojen käsittelysopimus (DPA)? GDPR:n 28 artikla edellyttää sitä, kun palveluntarjoaja käsittelee henkilötietoja puolestasi. Yritystason palveluissa DPA on yleensä valmiina hyväksyttäväksi. Kuluttajatileillä sitä ei ole, eikä sitä voi myöskään neuvotella.
Datan sijainti eri tekoälypalveluissa käytännössä
Tilanne on muuttunut nopeasti. OpenAI avasi vuonna 2025 eurooppalaisen datan sijaintivaihtoehdon API-asiakkaille sekä Enterprise- ja Edu-tilauksille, mutta se ei koske kaikkia tilaustasoja. Microsoft 365 Copilot kuuluu Microsoftin EU Data Boundary -järjestelyn piiriin, mikä tekee siitä usein helpoimman vaihtoehdon yrityksille, jotka käyttävät jo Microsoft 365:tä. Googlen Gemini for Workspace noudattaa Workspace-sopimuksen datasijaintiasetuksia, jos ne on tilaustasossa käytössä.
Jos haluat kokonaan eurooppalaisen vaihtoehdon, ranskalainen Mistral AI tarjoaa malleja EU-infrastruktuurissa. Avoimen lähdekoodin malleja voi myös ajaa omalla palvelimella tai suomalaisen pilvipalvelun päällä, jolloin data ei poistu omasta ympäristöstä lainkaan.
Muista tarkistaa myös tekoälyn ympärillä olevat työkalut. Jos rakennat työnkulun n8n:llä tai Makella, data kulkee myös niiden kautta. Make on eurooppalainen palvelu, ja sillä on EU-datakeskusvaihtoehto. n8n:n voi asentaa omalle palvelimelle, jolloin integraatiokerros pysyy kokonaan omassa hallinnassa.
Esimerkki: tilitoimisto ja ChatGPT-tilit
Tyypillinen tilanne on 12 hengen tilitoimisto esimerkiksi Tampereella. Kolme työntekijää on ostanut ChatGPT Plus -tilauksen omalla kortillaan, noin 20 dollaria kuussa, ja kuluttaa sen kulukorvauksena. He tiivistävät palvelulla asiakkaiden sähköposteja ja muotoilevat selvityksiä verottajalle.
Tilitoimiston kannalta tämä on ongelma. Asiakkaiden henkilö- ja taloustietoja syötetään kuluttajapalveluun, josta ei ole käsittelysopimusta. Koulutuskäytön asetus on jokaisen käyttäjän oman muistin varassa, eikä kenelläkään ole kokonaiskuvaa siitä, mitä palveluun on viety.
Korjaus on suoraviivainen. Henkilökohtaiset tilit vaihdetaan yrityksen hallinnoimaan tilaukseen, käsittelysopimus hyväksytään ja tallennetaan, ja kirjataan, millaista tietoa palveluun saa syöttää. Kustannus nousee hieman, yritystasolla tyypillisesti 25-30 dollaria käyttäjältä kuussa, mutta yrityksellä on nyt vastaus asiakkaan tietoturvakyselyyn. Mitä palveluun ei kannata syöttää missään tilanteessa, on käsitelty tarkemmin artikkelissa yrityssalaisuudet ja tekoälytyökalut.
Myytti: ”Maksullinen versio on automaattisesti turvallinen”
Tämä on yleisin väärinkäsitys. Maksaminen ei sinänsä muuta ehtoja. ChatGPT Plus on maksullinen, mutta sitä koskevat kuluttajaehdot, ja datan käyttö koulutukseen on sallittua, ellei sitä kytketä pois. Ratkaisevaa on, onko kyseessä yrityssopimus, ei se, maksetaanko palvelusta.
Myytillä on myös käänteinen versio: kaikki pilvessä toimiva tekoäly olisi lähtökohtaisesti kielletty henkilötiedoille. Sekään ei pidä paikkaansa. Kun käytössä on yritystason sopimus, DPA ja asianmukainen siirtoperuste, henkilötietojen käsittely on monessa käyttötapauksessa täysin mahdollista. GDPR:n näkökulmia on avattu laajemmin artikkelissa GDPR ja tekoäly.
Yleisimmät virheet datan sijainnin ja ehtojen kanssa
Ehdot luetaan kerran ja unohdetaan. Palveluntarjoajat päivittävät ehtojaan useita kertoja vuodessa. Anthropic muutti kuluttajaehtojaan vuonna 2025 niin, että käyttäjän piti erikseen valita, saako keskusteluja käyttää koulutukseen. Ammattilainen tarkistaa käytössä olevien palveluiden ehdot 6-12 kuukauden välein ja aina, kun palveluntarjoaja lähettää muutosilmoituksen.
Alihankkijaketjua ei tarkisteta. Moni suomalainen SaaS-palvelu käyttää taustalla OpenAI:n tai Anthropicin rajapintaa. Kun CRM:n tekoälyominaisuus otetaan käyttöön, data kulkee myös näille toimijoille. Käsittelysopimuksen alikäsittelijäluettelosta tämä selviää.
Tiliasetukset jätetään käyttäjien vastuulle. Jos koulutuskäytön kieltäminen riippuu siitä, muistaako jokainen työntekijä käydä asetuksissa, se jää jonkun kohdalla tekemättä. Keskitetty hallinta poistaa tämän riskin.
UKK
Riittääkö, että tekoälypalvelun palvelin on EU:ssa?
Useimmissa PK-yrityksen käyttötapauksissa EU-sijainti yhdessä yritystason sopimuksen ja DPA:n kanssa riittää. Jos toimialasi edellyttää, ettei data ole minkään EU:n ulkopuolisen lainsäädännön piirissä, tarvitset eurooppalaisen palveluntarjoajan tai oman ympäristön.
Käyttääkö ChatGPT yrityksen syöttämää dataa koulutukseen?
Yritystason tilauksissa ja API-käytössä dataa ei OpenAI:n ehtojen mukaan käytetä oletuksena koulutukseen. Ilmais- ja Plus-versioissa käyttö on sallittua, ellei käyttäjä kytke sitä pois asetuksista.
Mistä löydän palvelun käsittelysopimuksen?
Suurilla palveluntarjoajilla DPA löytyy yleensä luottamus- tai tietosuojasivulta (esim. ”Trust Center” tai ”Data Processing Addendum”), tai sen voi hyväksyä hallintapaneelista. Jos sopimusta ei löydy lainkaan, palvelua ei kannata käyttää henkilötietojen käsittelyyn.
Näin pääset liikkeelle tällä viikolla
Listaa kaikki tekoälypalvelut, joita yrityksessäsi käytetään, myös henkilökohtaisilla tileillä. Kirjaa jokaisesta kolme asiaa: tilaustaso, koulutuskäytön tila ja onko DPA hyväksytty. Tähän kuluu yleensä 1-2 tuntia, ja sen jälkeen tiedät, mitkä palvelut ovat kunnossa ja mitkä pitää vaihtaa yritystasoon tai rajata pois.
Kun selvitys on tehty, tekoälyn käyttöä on helpompi laajentaa, koska kenenkään ei tarvitse enää arvailla, mitä työkaluun saa syöttää.