Saako asiakastietoja syöttää tekoälyjärjestelmiin?
Kysymys esitetään yleensä liian myöhään – nimittäin sen jälkeen kun ensimmäiset tiedot on jo syötetty. Tämä artikkeli jäsentää oikeustilan, nimeää kolme kohtaa, joiden on oltava selvillä ennen ensimmäistä käyttöä, ja antaa kysymykset, jotka kannattaa esittää toimittajalle.
Tärkeimmät kohdat
- Henkilötietoja saa viedä tekoälyjärjestelmään, kun on olemassa henkilötietojen käsittelysopimus, käsittelypaikka on selvitetty ja käyttö koulutukseen on suljettu pois sopimuksella.
- Asetus tilillä ei riitä. Merkitystä on sopimuksellisella lupauksella – asetuksia voi muuttaa, myös vahingossa.
- Maksuttomat käyttöoikeudet ja henkilökohtaiset tilit eivät lähtökohtaisesti sovi asiakastiedoille, toimittajasta riippumatta.
- Yleisin rikkomus ei ole tietoinen päätös vaan työntekijä, joka liittää asiakastekstin uudelleenmuotoiltavaksi.
Harva aihe aiheuttaa yrityksissä yhtä paljon epävarmuutta – ja yhtä vähän konkreettisia sääntöjä. Käytännössä se menee yleensä näin: joku käyttää tekoälytyökalua päivittäisessä työssä, liittää jossain vaiheessa mukaan asiakkaan kyselyn, eikä kukaan ole koskaan määrittänyt, onko se sallittua.
Hyvä uutinen: oikeustila on selvempi kuin keskustelun taso antaa ymmärtää. Kyse on kolmesta kysymyksestä.
Kolme kysymystä
Mitä pitää olla selvillä ennen ensimmäistä syöttöä
- 1. Onko olemassa henkilötietojen käsittelysopimus?
- Se, joka teettää henkilötietojen käsittelyn palveluntarjoajalla, tarvitsee siihen sopimuksen – EU:ssa yleisen tietosuoja-asetuksen 28 artiklan mukaan, Sveitsissä uudistetun tietosuojalain mukaan. Ilman tätä sopimusta käsittely on luvatonta riippumatta siitä, kuinka turvallisesti toimittaja teknisesti työskentelee.
- 2. Missä tietoja käsitellään?
- EU:n tai Sveitsin sisällä se on ongelmatonta. Kolmansissa maissa tapahtuvaan käsittelyyn tarvitaan kestävä peruste – esimerkiksi riittävyyspäätös tai vakiosopimuslausekkeet. Tarkistakaa, mitä toimittaja siitä lupaa ja tarjoaako se käsittelypaikan Euroopassa.
- 3. Onko käyttö koulutukseen suljettu pois?
- Kohta, jossa yritys- ja henkilökäyttöoikeudet eroavat selvimmin. Ratkaisevaa ei ole kytkin asetuksissa vaan sopimuksellinen lupaus. Kytkintä voidaan siirtää, yhden ihmisen toimesta, vahingossa, tuotevaihdon yhteydessä.
Tiesitkö?
Yleinen tietosuoja-asetus koskee myös sveitsiläisiä yrityksiä heti kun ne käsittelevät EU:ssa olevien henkilöiden tietoja – esimerkiksi EU-alueelta tulevia asiakkaita, kiinnostuneita tai uutiskirjeen tilaajia. Pelkkä kotipaikka Sveitsissä ei vapauta.
Kääntäen uudistettu Sveitsin tietosuojalaki koskee käsittelyjä, joilla on yhteys Sveitsiin. Monen yrityksen on siis täytettävä molemmat – mikä käytännössä yleensä tarkoittaa tiukemman mittapuun noudattamista.
Mikä ylipäätään on henkilötietoa
Tässä on yleisin virhearvio. Henkilötietoa ei ole vain nimi kentässä, vaan kaikki, mikä tekee henkilöstä tunnistettavan.
Yksiselitteisesti henkilötietoa
Nimet, sähköpostiosoitteet, puhelinnumerot, osoitteet, asiakasnumerot nimen yhteydessä, valokuvat.
Käsittely: vain säädellyssä kehyksessäUsein sivuutettua
Asiakkaan kysely sanatarkasti. Keskustelumuistio. Tarjous, jossa on yrityksen nimi ja yhteyshenkilö. Uudelleenmuotoiltavaksi tarkoitettu reklamaatioviesti.
Käsittely: sama kuin edellä – tämä aliarvioidaan säännöllisestiYleensä ongelmatonta
Koostetut luvut ilman yksilöyhteyttä. Julkisesti saatavilla oleva markkinatieto. Omat tekstit ilman henkilöyhteyttä.
Käsittely: oman harkinnan mukaanErityisesti suojattavaa
Terveystiedot, tiedot uskonnosta, ammattiliiton jäsenyydestä, seksuaalielämästä, biometriset tiedot. Näihin sovelletaan selvästi tiukempia vaatimuksia.
Käsittely: ei ilman tapauskohtaista oikeudellista arviointiaMitä toimittajalta kannattaa kysyä
Nämä kuusi kysymystä voi esittää sähköpostitse ja niihin pitäisi vastata kirjallisesti. Se, joka väistää jonkin niistä, on vastannut kysymykseen.
1. Tarjoatteko henkilötietojen käsittelysopimuksen yleisen tietosuoja-asetuksen 28 artiklan mukaisesti? Lähettäkää mallisopimus. 2. Missä maissa tietoja käsitellään ja säilytetään? Tarjoatteko käsittelyä yksinomaan EU:n sisällä? 3. Onko syötteidemme käyttö mallien kouluttamiseen suljettu pois sopimuksella – ei pelkästään tilin asetuksella? 4. Kuinka kauan syötteitä ja tuloksia säilytetään, ja miten voimme pyytää niiden poistamista? 5. Mitä alihankkijoita käytätte, ja miten meille ilmoitetaan muutoksista? 6. Miten tuette meitä rekisteröityjen tarkastus- ja poistopyynnöissä?
Sääntö, joka todella toimii
Useimmat rikkomukset eivät synny johdon tietoisesta päätöksestä vaan arjessa: jollakulla on edessään hankala asiakasviesti ja hän liittää sen mukaan saadakseen vastauksen muotoiltua. Se on ymmärrettävää, tehokasta – ja kehyksestä riippuen luvatonta.
Se, mikä käytännössä toimii, ei ole koulutus oikeusperusteista vaan yksi ainoa selkeä sääntö, jonka jokainen muistaa. Meillä se kuuluu: se, missä on nimi, menee vain hyväksyttyyn järjestelmään. Kaikki muu on vapaata.
Tämä muotoilu ei ole juridisesti täydellinen – henkilötietoja on olemassa ilman nimeäkin. Mutta sitä noudatetaan, ja se on arvokkaampaa kuin oikea sääntö, jota kukaan ei muista.
Anonymisointi välitienä
Siellä missä hyväksyttyä järjestelmää ei ole käytettävissä, henkilöyhteyden voi usein poistaa ennen tekstin syöttämistä. Lauseesta «Rakennusliike Virtasen herra Mäkinen valittaa 12. kesäkuuta myöhästyneestä toimituksesta» tulee «Asiakas valittaa myöhästyneestä toimituksesta».
Kaksi rajoitusta kuuluu mukaan. Ensinnäkin: jos yksityiskohtia jää tarpeeksi jäljelle, henkilö on jälleen tunnistettavissa – paikkatiedot, toimialanimitykset ja päivämäärät riittävät yhdistelmänä siihen usein. Toiseksi: se, mikä on tehtävän kannalta olennaista, ei saa pudota pois, muuten tulos on arvoton.
Nyrkkisääntönä: muotoiluapuun anonymisointi toimii hyvin. Kaikkeen, mikä tarvitsee konkreettisen tapauksen, se ei toimi – siinä ei ole tietä säädellyn järjestelmän ohi.
Johtopäätös
Kysymykseen voi vastata, ja siihen voi vastata ennen kuin mitään tapahtuu. Kolme kohtaa selvitetään, sopimus tehdään, järjestelmä hyväksytään ja muotoillaan sääntö, jonka muistaa – se on iltapäivän työ ja yksi lasku juristilta.
Sitä, mitä maksaa jos näin ei tee, on vaikeampi arvioida. Sakkojen enimmäismäärä on yksi asia. Toinen on asiakas, joka kysyy, mitä hänen tiedoilleen tapahtui – eikä hänelle voi antaa kestävää vastausta.
Usein kysytyt kysymykset
Saako asiakastietoja syöttää ChatGPT:hen?
Vain henkilötietojen käsittelysopimuksella, selvitetyllä käsittelypaikalla ja sopimuksella poissuljetulla koulutuskäytöllä. Maksuttomissa käyttöoikeuksissa ja henkilökohtaisissa tileissä nämä edellytykset eivät pääsääntöisesti täyty. Yritysasiakastarjonnassa ne voi tarkistaa – ja se kuuluu ennen ensimmäistä syöttöä.
Koskeeko yleinen tietosuoja-asetus sveitsiläisiä yrityksiä?
Kyllä, heti kun käsitellään EU:ssa olevien henkilöiden tietoja. Pelkkä kotipaikka Sveitsissä ei vapauta. Lisäksi sovelletaan uudistettua Sveitsin tietosuojalakia. Monen yrityksen on täytettävä molemmat ja siksi ne noudattavat tiukempaa mittapuuta.
Riittääkö, että koulutuksen kytkee pois asetuksista?
Ei. Asetusta voi muuttaa – yhden ihmisen toimesta, vahingossa tai tuotevaihdon yhteydessä. Merkitystä on sopimuksellisella lupauksella. Se, joka vain kääntää kytkintä, ei ole kestävällä pohjalla.
Mikä lasketaan henkilötiedoksi?
Kaikki, mikä tekee henkilöstä tunnistettavan – ei vain nimi. Siihen kuuluvat myös asiakkaiden kyselyt sanatarkasti, keskustelumuistiot ja tarjoukset yhteyshenkilöineen. Juuri nämä tapaukset sivuutetaan arjessa useimmin.
Auttaako tekstin anonymisointi etukäteen?
Muotoilutehtäviin kyllä. Tärkeää on, ettei henkilö ole sen jälkeen enää todella tunnistettavissa – paikka, toimiala ja päivämäärä muodostavat yhdistelmänä usein taas yhteyden. Tehtäviin, jotka tarvitsevat konkreettisen tapauksen, anonymisointi ei korvaa säädeltyä kehystä.
Mikä on tiimille käytännöllisin sääntö?
Sellainen, jonka muistaa: se, missä on nimi, menee vain hyväksyttyyn järjestelmään. Juridisesti ei täydellinen mutta arjessa noudatettu – ja se vaikuttaa enemmän kuin oikea sääntö, jota kukaan ei muista. Sääntöä tärkeämpää on kuitenkin se, että hyväksytty järjestelmä ylipäätään on olemassa.
Markkinointi, joka pystyttää itsensä
Studio Enginen beta on auki. Varaa paikkasi ja ole mukana alusta asti.
Osallistu betaan →