Yrityssalaisuudet ja tekoälytyökalut on aihe, joka nousee esiin lähes jokaisessa PK-yrityksen johtoryhmässä heti kun ChatGPT tai Copilot otetaan käyttöön arjen työkaluksi. Ongelma ei ole tekoäly itsessään, vaan se, että työntekijät liimaavat sopimusluonnoksia, asiakaslistoja ja tuotekehitysdokumentteja kehotekenttään ilman että kukaan on koskaan sanonut, mikä on sallittua ja mikä ei.
Tampereella toimiva 40 hengen konepajayritys huomasi tämän keväällä 2025, kun tuotantopäällikkö syötti ChatGPT:hen yrityksen hinnoittelumallin excel-taulukkona pyytäen tekoälyä ehdottamaan katteiden optimointia. Data ei vuotanut mihinkään dramaattisesti, mutta kukaan yrityksessä ei osannut sanoa, minne tieto sen jälkeen päätyi tai kuinka pitkäksi aikaa. Se riittää monelle yritysjohtajalle heräämiseen.
Mikä lasketaan yrityssalaisuudeksi
Liikesalaisuuslaki (595/2018) määrittelee yrityssalaisuuden tiedoksi, joka ei ole yleisesti tunnettua, jolla on taloudellista arvoa ja jota yritys on aktiivisesti pyrkinyt suojaamaan. Käytännössä tämä kattaa paljon enemmän kuin patentit ja reseptit.
Asiakasrekisterit, hinnoittelulogiikka, alihankkijasopimukset, palkkatiedot, tuotekehityksen roadmapit ja jopa sisäiset prosessikuvaukset voivat täyttää määritelmän. Jos tieto vuotaa ulkopuolisen palvelun kautta, suoja voi lakata olemasta voimassa – ja silloin kilpailija voi periaatteessa käyttää tietoa vapaasti, koska sitä ei enää pidetä salaisena.
Mitä ei koskaan kannata syöttää tekoälytyökaluun
Käytännön nyrkkisääntö on yksinkertainen: jos tietoa ei laittaisi julkiselle Trello-taululle tai lähettäisi tuntemattomalle sähköpostiosoitteeseen, sitä ei kannata liittää myöskään ChatGPT:n, Geminin tai Claude-työkalun ilmaisversion kehotteeseen. Viisi tyypillisintä riskikohtaa ovat:
Asiakas- ja henkilötiedot – nimet, henkilötunnukset, terveystiedot tai palkkatiedot yhdistettyinä tunnistettavaan henkilöön.
Sopimusluonnokset ja hinnoittelu – erityisesti kate- ja alennusrakenteet, jotka paljastavat neuvotteluvaraa.
Lähdekoodi ja tekniset spesifikaatiot – varsinkin jos tuote on vielä patentoimaton tai kilpailuedun ydin.
Sisäiset strategia- ja rahoitusdokumentit – kasvusuunnitelmat, yrityskauppavalmistelut, kassavirtaennusteet.
Kolmansien osapuolten tiedot – alihankkijan hinnastot tai kumppanin luottamukselliset materiaalit, joihin ei ole omaa käyttöoikeutta jaettavaksi eteenpäin.
Myytti: ilmainen versio on vaarallinen, maksullinen on turvallinen
Yleinen väärinkäsitys on, että ongelma ratkeaa siirtymällä ChatGPT Plussiin (23 €/kk) tai Copilot Pro -tilaukseen. Näin ei ole suoraan. OpenAI:n oman käyttöehtojen mukaan myös Plus-tason keskusteludataa voidaan käyttää mallien kehittämiseen, ellei käyttäjä ole erikseen kytkenyt asetuksista ”Improve the model for everyone” pois päältä tai käytä API-rajapintaa, jossa oletusarvo on toinen.
Todellinen ero syntyy vasta yritystason sopimuksissa: ChatGPT Enterprise, Microsoft 365 Copilot tai Anthropicin Claude for Work -sopimukset sisältävät data processing agreementin (DPA), jossa palveluntarjoaja sitoutuu kirjallisesti olemaan käyttämättä syötettyä dataa mallien opettamiseen ja säilyttämään tiedon EU-alueella tai muuten GDPR:n mukaisesti. Ilman tällaista sopimusta oletuksena on aina, että tekoälyn valmistaja voi käsitellä dataa laajemmin kuin yritys haluaisi.
Yleisimmät virheet PK-yrityksissä
Ensimmäinen virhe on olettaa, että ongelma koskee vain ”some-tyyppejä” jotka pelleilevät ChatGPT:llä – todellisuudessa riski syntyy juuri asiantuntijatyössä: talousjohtaja pyytää tekoälyä analysoimaan kassavirtaraporttia, myyntijohtaja liittää asiakaslistan segmentointia varten.
Toinen virhe on kieltää tekoälyn käyttö kokonaan sen sijaan, että rakennettaisiin selkeät pelisäännöt. Kiellot johtavat siihen, että työkaluja käytetään joka tapauksessa, mutta piilossa ja ilman IT-osaston tietoa – mikä on huomattavasti pahempi tilanne kuin valvottu käyttö.
Kolmas virhe on unohtaa integraatiot. Moni yritys on huolellinen ChatGPT:n kanssa mutta liittää samaan aikaan n8n- tai Make-automaatioon avoimen API-avaimen, joka lähettää asiakasdataa kolmannen osapuolen tekoälypalveluun ilman että kukaan on tarkistanut kyseisen palvelun tietosuojaehtoja.
Näin rakennat käytännön pelisäännöt viikossa
Ensimmäinen askel on listata, mitkä tekoälytyökalut ovat jo käytössä – tähän kannattaa varata puoli päivää ja kysyä suoraan jokaiselta tiimiltä, ei vain IT:ltä. Yllättävän usein löytyy varjo-IT:tä: markkinointitiimi käyttää Jasperia, myynti Claudea selaimen kautta, talous ChatGPT:tä ilman yritystiliä.
Toinen askel on luokitella data kolmeen tasoon: julkinen, sisäinen ja luottamuksellinen. Vain julkinen ja karkeasti anonymisoitu sisäinen data saa mennä ilmaisiin tai henkilökohtaisiin tekoälytileihin.
Kolmas askel on hankkia yritystason lisenssi niille tiimeille, jotka käsittelevät luottamuksellista dataa säännöllisesti. ChatGPT Team maksaa noin 27 €/käyttäjä/kk ja sisältää jo DPA:n sekä sen, ettei dataa käytetä mallien opettamiseen.
Neljäs askel on kirjoittaa yhden sivun ohje, joka nimeää konkreettiset esimerkit sallitusta ja kielletystä käytöstä – ei yleisluontoista ”käytä harkintaa” -lausetta. Tässä auttaa tarkempi malli kirjallisesta tekoälyn käyttöpolitiikasta, jonka voi räätälöidä oman toimialan riskeihin sopivaksi.
Viides askel on käydä läpi laajemmin, mitä tietoturvariskejä tekoälytyökalujen käyttöönotto tuo mukanaan organisaatiotasolla – tämä kannattaa tehdä ennen kuin käyttö laajenee useampaan osastoon, ei sen jälkeen. Aiheesta löytyy tarkempi läpikäynti artikkelista tekoälyn tietoturvariskeistä PK-yrityksessä.
Entä jos vahinko on jo tapahtunut
Jos huomataan jälkikäteen, että luottamuksellista tietoa on syötetty ilmaiseen tekoälytyökaluun, ensimmäinen toimenpide ei ole paniikki vaan dokumentointi: mitä syötettiin, milloin ja kuka teki sen. OpenAI, Google ja Microsoft tarjoavat kaikki mahdollisuuden pyytää tiedon poistoa, mutta poistopyyntö ei takaa, ettei dataa ole jo käytetty mallin väliaikaiseen viritykseen tietyn session aikana.
Käytännössä tärkein toimenpide on estää toistuminen: lukita kyseisen henkilön pääsy ilmaisiin tileihin yrityksen verkosta ja tarjota tilalle yritystason vaihtoehto samana päivänä. Nopea korjaava toimi painaa enemmän kuin viikkojen selvittely siitä, mitä täsmälleen tapahtui.
Usein kysyttyä
Saako ChatGPT:hen syöttää asiakkaan nimen ja sähköpostin, jos kyse on vain yhdestä viestiluonnoksesta?
Teknisesti tämä on jo henkilötietojen käsittelyä kolmannen osapuolen palvelussa, joten se vaatii joko yritystason sopimuksen DPA:lla tai tiedon anonymisoinnin ennen syöttöä, esimerkiksi korvaamalla nimi merkinnällä ”Asiakas A”.
Riittääkö se, että työntekijät allekirjoittavat vaitiolositoumuksen tekoälyn käytöstä?
Vaitiolositoumus ei estä teknistä datavuotoa palveluntarjoajalle, se ainoastaan siirtää vastuuta työntekijälle. Tekninen suoja – oikea lisenssi ja rajattu käyttöoikeus – tarvitaan aina rinnalle.
Voiko tekoälyn käytön kieltää kokonaan, jos yritys ei halua ottaa riskiä?
Kieltäminen on mahdollista, mutta käytännössä se harvoin toimii pitkällä aikavälillä, koska kilpailijat tehostavat toimintaansa tekoälyn avulla. Turvallisempi tie on ohjata käyttö hallittuihin, sopimuksella suojattuihin työkaluihin sen sijaan, että työntekijät etsivät kiertoteitä.
Yrityssalaisuuksien suojaaminen tekoälyn aikakaudella ei vaadi täydellistä kieltäytymistä uusista työkaluista, vaan selkeää rajanvetoa siitä, mikä data on tarkoitettu jaettavaksi ja mikä ei. Kun pelisäännöt on kirjoitettu auki ja yritystason lisenssit hankittu niille, jotka niitä tarvitsevat, tekoälystä saa täyden hyödyn ilman että kilpailuetu valuu vahingossa ulkopuolisen palvelun opetusdataan.