Yritys ottaa käyttöön ChatGPT:n, Copilotin tai jonkin muun tekoälytyökalun, ja pian huomataan, että kaikki käyttävät sitä eri tavalla – osa liimaa asiakastietoja promptteihin, osa ei koske työkaluun ollenkaan pelosta tehdä jotain väärin. Tekoälyn käyttöpolitiikka ratkaisee tämän: se on kirjallinen dokumentti, joka kertoo henkilöstölle mitä saa tehdä, mitä ei, ja kuka vastaa mistäkin. Ilman sitä PK-yritys ajautuu tilanteeseen, jossa tekoälyä käytetään sattumanvaraisesti – ja riskit kasvavat huomaamatta.
Miksi kirjallinen politiikka on tarpeen jo pienessä yrityksessä
Moni ajattelee, että käyttöpolitiikka on ison konsernin byrokratiaa, jota 15 hengen yritys ei tarvitse. Todellisuudessa juuri pienissä organisaatioissa riski on suurempi, koska erillistä tietoturva- tai lakiosastoa ei ole valvomassa arkea.
Kun myyjä syöttää asiakkaan sopimusluonnoksen ChatGPT:hen tarkistaakseen kieliasun, data voi päätyä mallin kouluttajien käsiin riippuen käytetystä versiosta ja asetuksista. Kun taloushallinnon työntekijä liittää palkkatietoja tekoälyavusteiseen taulukkolaskentaan, kyse on jo henkilötietojen käsittelystä GDPR:n tarkoittamassa mielessä.
Kirjallinen politiikka ei ole vain riskienhallintaa. Se myös nopeuttaa käyttöönottoa, koska työntekijöiden ei tarvitse arvailla rajoja. Yritys, jossa pelisäännöt on kirjattu selkeästi, ottaa tekoälyn tuottavaan käyttöön nopeammin kuin yritys, jossa jokainen tulkitsee tilannetta itse.
Yleinen väärinkäsitys: ”IT hoitaa tämän tarvittaessa”
Yleinen myytti on, että tekoälyn käyttöpolitiikka on IT-osaston tai tietoturvavastaavan asia, joka laaditaan vasta kun jotain menee pieleen. Käytännössä ongelmat syntyvät nimenomaan ennen kuin kukaan on ehtinyt reagoida – ensimmäisen kolmen kuukauden aikana työkalun käyttöönotosta, kun innostus on suurinta ja rutiinit puuttuvat.
Politiikka pitää olla olemassa ennen kuin työkalu jaetaan koko henkilöstölle, ei sen jälkeen. Tampereella toimiva 30 hengen ohjelmistotalo, joka otti Copilotin käyttöön ilman ohjeistusta, huomasi kuuden viikon jälkeen, että kehittäjät olivat liittäneet asiakaskohtaista lähdekoodia julkiseen ChatGPT-rajapintaan koodin selittämistä varten – täysin vilpittömässä mielessä, mutta asiakassopimuksen salassapitoehtojen vastaisesti.
Mitä käyttöpolitiikan pitää sisältää käytännössä
Toimiva politiikka ei ole 20-sivuinen juridinen dokumentti, jota kukaan ei lue. Se on 2–4 sivun mittainen, konkreettinen ohje, joka vastaa näihin kysymyksiin:
Ensinnäkin, mitkä työkalut ovat hyväksyttyjä käyttöön ja millä tasolla. Yrityksen kannattaa nimetä hyväksytyt työkalut suoraan (esimerkiksi Microsoft Copilot yrityslisenssillä, ChatGPT Team -tili) ja erikseen kieltää ilmaisversioiden käyttö työtehtävissä, koska ilmaisversioissa syötetty data voi päätyä mallin jatkokoulutukseen.
Toiseksi, mitä tietoja ei koskaan syötetä tekoälytyökaluihin. Tähän kuuluu asiakkaiden henkilötiedot, terveystiedot, taloudelliset tunnusluvut ennen julkistusta, salassapitosopimusten piirissä oleva materiaali ja lähdekoodi, jonka omistusoikeus on asiakkaalla.
Kolmanneksi, kuka vastaa tekoälyn tuottaman sisällön tarkistamisesta ennen julkaisua tai lähettämistä asiakkaalle. Tässä kannattaa olla täsmällinen: markkinointitiimin tekoälyllä tuottama some-teksti vaatii aina ihmisen silmäyksen ennen julkaisua, koska mallit tuottavat toisinaan virheellistä tietoa – tästä lisää artikkelissa tekoälyn hallusinaatioista ja virheistä.
Neljänneksi, miten poikkeustilanteet käsitellään. Mitä tehdään, jos työntekijä huomaa vahingossa syöttäneensä arkaluontoista tietoa väärään työkaluun? Kenelle ilmoitetaan, ja missä ajassa?
Askel askeleelta: politiikan laatiminen 2–3 viikossa
Politiikan ei tarvitse syntyä kuukausien projektina. Realistinen aikataulu 20–50 hengen PK-yritykselle on 2–3 viikkoa.
Ensimmäisellä viikolla kartoitetaan nykytila: mitä tekoälytyökaluja henkilöstö jo käyttää, virallisesti tai epävirallisesti. Tämä tehdään usein yllättävän lyhyellä kyselyllä tai muutamalla haastattelulla eri osastoilta. Monessa yrityksessä paljastuu, että käytössä on 5–8 eri työkalua, joista johto tiesi ehkä kahdesta.
Toisella viikolla luonnostellaan säännöt yhdessä osastojen vetäjien kanssa. Myynnin, markkinoinnin ja taloushallinnon tarpeet eroavat toisistaan, joten pelkkä yleisluontoinen IT-ohje ei riitä. Tässä vaiheessa kannattaa myös määritellä, mitkä prosessit saa automatisoida kokonaan ja mitkä vaativat aina ihmisen hyväksynnän – aihetta käsitellään laajemmin artikkelissa tekoälystrategian rakentamisesta.
Kolmannella viikolla politiikka viimeistellään, hyväksytetään johtoryhmällä ja käydään läpi koko henkilöstön kanssa lyhyessä infotilaisuudessa. Pelkkä sähköpostilla lähetetty PDF ei riitä – ihmiset lukevat sen, jos joku käy sen suullisesti läpi ja vastaa kysymyksiin.
Yleisimmät virheet politiikkaa laadittaessa
Ensimmäinen virhe on liiallinen tiukkuus. Jos politiikka kieltää käytännössä kaiken tekoälyn käytön ”varmuuden vuoksi”, henkilöstö käyttää työkaluja joka tapauksessa, mutta piilossa. Kielto ilman toimivaa vaihtoehtoa ei koskaan toimi käytännössä.
Toinen virhe on unohtaa päivittää politiikkaa. Tekoälytyökalut ja niiden ominaisuudet muuttuvat muutamassa kuukaudessa, joten dokumentti, joka kirjoitettiin vuosi sitten, saattaa viitata jo poistuneisiin ominaisuuksiin tai puuttua kokonaan uusista riskeistä, kuten agenttimaisista työkaluista, jotka tekevät toimintoja itsenäisesti. Politiikka kannattaa katsoa läpi vähintään kahdesti vuodessa.
Kolmas virhe on jättää valvonta pelkän luottamuksen varaan. Pelkkä dokumentti ei riitä, jos kukaan ei koskaan tarkista, noudatetaanko sitä. Käytännössä tähän riittää kevyt pistokoe, esimerkiksi kerran kvartaalissa käytävä lyhyt keskustelu tiiminvetäjien kanssa siitä, mitä työkaluja tiimissä käytetään.
Politiikka ja tietoturva kulkevat käsi kädessä
Käyttöpolitiikka ei korvaa teknisiä suojauksia, mutta se on niiden välttämätön täydennys. Moni PK-yritys sijoittaa palomuureihin ja pääsynhallintaan, mutta unohtaa, että suurin yksittäinen riski tekoälyn käytössä on inhimillinen: työntekijä, joka ei tiedä mikä on sallittua.
Yhdistämällä kirjallisen politiikan ja tekniset kontrollit, kuten yritystilien pakollisen käytön ja datan vuotamisen estävät asetukset, riski pienenee merkittävästi. Tarkempi katsaus tekniseen puoleen löytyy artikkelista tekoälyn tietoturvariskeistä PK-yrityksessä.
UKK – Usein kysytyt kysymykset
Tarvitseeko alle 10 hengen yritys erillisen tekoälypolitiikan?
Kyllä, vaikka se voi olla lyhyt, jopa yhden sivun mittainen. Pienessäkin yrityksessä yksi väärä liike – esimerkiksi asiakastietojen syöttäminen ilmaiseen tekoälytyökaluun – voi aiheuttaa tietosuojarikkomuksen tai sopimusrikkomuksen, vaikka henkilöstöä olisi vain viisi.
Kuka yrityksessä vastaa politiikan laatimisesta, jos IT-osastoa ei ole?
Vastuu kannattaa antaa yhdelle nimetylle henkilölle, usein toimitusjohtajalle tai operatiiviselle johtajalle, joka kerää näkemykset eri tiimeiltä ja vie dokumentin loppuun. Ulkopuolista apua kannattaa käyttää erityisesti GDPR-kysymyksissä, mutta itse dokumentin ei tarvitse olla juristin kirjoittama ollakseen toimiva.
Miten usein tekoälyn käyttöpolitiikka pitää päivittää?
Vähintään kahdesti vuodessa, ja aina kun otetaan käyttöön uusi merkittävä työkalu tai kun jokin lakimuutos, kuten EU:n tekoälyasetuksen soveltaminen, tuo uusia velvoitteita.
Kirjallinen käyttöpolitiikka ei ratkaise kaikkia tekoälyyn liittyviä riskejä yksinään, mutta se on halvin ja nopein tapa vähentää niistä suurimman osan. Kolmen viikon työ tuottaa dokumentin, joka säästää huomattavasti enemmän aikaa ja huolta ensimmäisen tietoturvapoikkeaman ehkäisemisenä – ja antaa henkilöstölle luvan käyttää tekoälyä rohkeasti oikeissa raameissa.