Voimmeko lähettää henkilötietoja yhdysvaltalaiseen tekoälyyn? Siirrot GDPR:n mukaan
Lyhyt vastaus
Kyllä, mutta vain jollakin perusteella. Jos yhdysvaltalainen tekoälyn tarjoaja on liittynyt EU:n ja Yhdysvaltojen väliseen Data Privacy Frameworkiin (komission päätös heinäkuulta 2023), siirto voi perustua siihen. Muuten käytetään vakiosopimuslausekkeita ja siirron arviointia. EU:n yleinen tuomioistuin piti Data Privacy Frameworkin voimassa syyskuussa 2025, mutta asia on viety valituksella EU:n tuomioistuimeen. Turvallisin tapa on pitää oikeat nimet EU:ssa: pseudonymisoi tiedot ennen lähettämistä ja pidä avain itselläsi.
Kolme tietä
| Tie | Mitä se vaatii | Riski |
|---|---|---|
| Data Privacy Framework | Tarjoaja on liittynyt ohjelmaan | Riippuu EU:n tuomioistuimessa vireillä olevasta asiasta |
| Vakiosopimuslausekkeet | Sopimus ja siirron arviointi | Vaatii työtä ja dokumentointia |
| Nimet pysyvät EU:ssa | Pseudonymisointi EU:ssa ennen tekoälyä | Pienin – mutta edelleen henkilötietoja sinulle |
Näin GoalCube pitää nimet EU:ssa
| Asiakas | Sähköposti | Paikkakunta | Aihe |
|---|---|---|---|
| Helmi Ahonen | helmi.ahonen@example.com | Kuopio | Hyvitys |
| Eino Salminen | eino.salminen@example.com | Pori | Toimitus |
| Tuula Mäkelä | tuula.makela@example.com | Kajaani | Reklamaatio |
| Veikko Heikkinen | veikko.heikkinen@example.com | Seinäjoki | Toimitus |
| Anneli Rautio | anneli.rautio@example.com | Joensuu | Hyvitys |
Yhteydenotto Hei, olen Helmi Ahonen. Palautin tilauksen 7012345678 kaksi viikkoa sitten, mutta en ole vielä saanut rahojani takaisin. Maksakaa ne tilille FI23 1234 5600 0012 34. Ystävällisin terveisin, Helmi
| Asiakas | Sähköposti | Paikkakunta | Aihe |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Hyvitys |
| [PERSON_2] | [EMAIL_2] | [STED] | Toimitus |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamaatio |
| [PERSON_4] | [EMAIL_4] | [STED] | Toimitus |
| [PERSON_5] | [EMAIL_5] | [STED] | Hyvitys |
Yhteydenotto Hei, olen [PERSON_1]. Palautin tilauksen [ID_1] kaksi viikkoa sitten, mutta en ole vielä saanut rahojani takaisin. Maksakaa ne tilille [IBAN_1]. Ystävällisin terveisin, [PERSON_1]
Asiakkaat Helmi Ahonen ja Anneli Rautio odottavat hyvitystä, ja heille pitäisi vastata tänään. Asiakas Veikko Heikkinen on odottanut pakettia 10 päivää. Vastausehdotus asiakkaalle Helmi Ahonen: "Hei Helmi Ahonen, kiitos kärsivällisyydestäsi. Raha on tulossa ja on tililläsi 5 pankkipäivän kuluessa."
Asiakkaat [PERSON_1] ja [PERSON_5] odottavat hyvitystä, ja heille pitäisi vastata tänään. Asiakas [PERSON_4] on odottanut pakettia 10 päivää. Vastausehdotus asiakkaalle [PERSON_1]: "Hei [PERSON_1], kiitos kärsivällisyydestäsi. Raha on tulossa ja on tililläsi 5 pankkipäivän kuluessa."
| Ehdokas | Syntynyt | Henkilötunnus | Työnantaja | Kokemus |
|---|---|---|---|---|
| Elina Rantanen | 1985-03-12 | 120385-931B | Jokilaakson Puu Oy | 12 |
| Jussi Eskola | 1992-11-02 | 021192-942H | Kymen Logistiikka Oy | 4 |
| Sari Nieminen | 1988-06-21 | 210688-9532 | Savon Metalli Oy | 9 |
| Pekka Hakala | 1979-01-30 | 300179-967Y | Selkämeren Lääke Oy | 18 |
CV Elina Rantanen on työskennellyt 12 vuotta budjetoinnin ja kuukausiraportoinnin parissa yrityksessä Jokilaakson Puu Oy. Hän on ottanut käyttöön uuden toiminnanohjausjärjestelmän ja johtaa kolmen hengen tiimiä. Yhteystiedot: elina.rantanen@example.com.
| Ehdokas | Syntynyt | Henkilötunnus | Työnantaja | Kokemus |
|---|---|---|---|---|
| [PERSON_1] | 40–49 vuotta | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 vuotta | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 vuotta | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 vuotta | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] on työskennellyt 12 vuotta budjetoinnin ja kuukausiraportoinnin parissa yrityksessä [VIRKSOMHED_1]. Hän on ottanut käyttöön uuden toiminnanohjausjärjestelmän ja johtaa kolmen hengen tiimiä. Yhteystiedot: [EMAIL_1].
Ehdokkaat Elina Rantanen ja Sari Nieminen täyttävät yli 5 vuoden kokemusvaatimuksen, ja heidät pitäisi kutsua haastatteluun; kysy ehdokkaalta Sari Nieminen, onko hänellä kokemusta toiminnanohjausjärjestelmistä (ERP). Ehdokkaalla Jussi Eskola on 4 vuoden kokemus; vaatimus on 5. Päätöksen tekee ihminen.
Ehdokkaat [PERSON_1] ja [PERSON_3] täyttävät yli 5 vuoden kokemusvaatimuksen, ja heidät pitäisi kutsua haastatteluun; kysy ehdokkaalta [PERSON_3], onko hänellä kokemusta toiminnanohjausjärjestelmistä (ERP). Ehdokkaalla [PERSON_2] on 4 vuoden kokemus; vaatimus on 5. Päätöksen tekee ihminen.
| Toimittaja | Yhteyshenkilö | Tili | Päättyy |
|---|---|---|---|
| Pohjola Komponentit Oy | Tapio Koskela | FI89 1234 5604 5012 34 | 2027-01-31 |
| Mälaren Datacenter AB | Karin Lindqvist | SE35 5000 0000 0549 1000 0003 | 2026-12-31 |
| Hämeen Tarkkuustyö Oy | Antti Mattila | FI70 1234 5671 2093 49 | 2028-06-30 |
| Kainuun Pakkaus Oy | Marja Virkkunen | FI38 1234 5615 6208 74 | 2027-03-31 |
Ehdot Pohjola Komponentit Oy toimittaa erikoiskomponentteja sisäiseen hankkeeseen, jonka nimi on Projekti Kuuskajo. Hintaa korotetaan vuosittain kuluttajahintaindeksin mukaan lisättynä 3 prosentilla. Vastuu on rajattu 10 prosenttiin vuotuisesta sopimusarvosta. Muutoksissa ota yhteyttä: Tapio Koskela.
| Toimittaja | Yhteyshenkilö | Tili | Päättyy |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Ehdot [VIRKSOMHED_1] toimittaa erikoiskomponentteja sisäiseen hankkeeseen, jonka nimi on [PROJEKT_1]. Hintaa korotetaan vuosittain kuluttajahintaindeksin mukaan lisättynä 3 prosentilla. Vastuu on rajattu 10 prosenttiin vuotuisesta sopimusarvosta. Muutoksissa ota yhteyttä: [PERSON_1].
Sopimus toimittajan Pohjola Komponentit Oy kanssa uusiutuu automaattisesti, ellei sitä irtisanota viimeistään 31. lokakuuta. Se on tärkeä sisäiselle hankkeelle, joten neuvottele mieluummin hinnasta kuin irtisano sopimusta. Sopimus toimittajan Kainuun Pakkaus Oy kanssa uusiutuu myös automaattisesti; määräaika on 31. joulukuuta.
Sopimus toimittajan [VIRKSOMHED_1] kanssa uusiutuu automaattisesti, ellei sitä irtisanota viimeistään 31. lokakuuta. Se on tärkeä sisäiselle hankkeelle, joten neuvottele mieluummin hinnasta kuin irtisano sopimusta. Sopimus toimittajan [VIRKSOMHED_4] kanssa uusiutuu myös automaattisesti; määräaika on 31. joulukuuta.
Kuvitteellisia tietoja. Vasemmalla se, mikä pysyy EU:ssa; oikealla se, minkä Yhdysvalloissa oleva tekoäly näkee.
Yhdysvalloissa oleva tekoäly näkee [PERSON_1], ei nimeä Helmi Ahonen. Avain on GoalCubella EU:ssa, ja nimet palautetaan vastaukseen vasta sinun luonasi.
Näin toimit
- Selvitä, missä tietoja käsitellään.Katso palveluntarjoajan sopimus ja oma tilauksesi.
- Tarkista peruste.Tarjoaja on Data Privacy Framework -luettelossa tai käytössä on vakiosopimuslausekkeet.
- Lähetä mahdollisimman vähän.Nimiä, sähköpostiosoitteita ja henkilötunnuksia tarvitaan harvoin.
- Pidä avain EU:ssa.Kun pseudonymisointi tehdään EU:ssa, oikeat nimet eivät poistu EU:sta.
- Tee varasuunnitelma.Jos Data Privacy Framework kaatuu, sinun pitää pystyä jatkamaan.
Näin laki sanoo
- GDPR 44–49 artikla – siirrot kolmansiin maihin
- Siirto vain riittävyyspäätöksen, asianmukaisten suojatoimien tai poikkeusten nojalla.
- Päätös (EU) 2023/1795 – EU:n ja Yhdysvaltojen Data Privacy Framework
- Riittävyyspäätös ohjelmaan liittyneille yhdysvaltalaisille yrityksille 10. heinäkuuta 2023 alkaen.
- Päätös (EU) 2021/914 – vakiosopimuslausekkeet
- Vakiolausekkeet siirroille kolmansiin maihin.
Kysymyksiä ja vastauksia
Onko Data Privacy Framework yhä voimassa?
Kyllä, lokakuussa 2026. EU:n yleinen tuomioistuin hylkäsi kanteen syyskuussa 2025, mutta päätöksestä on valitettu EU:n tuomioistuimeen (asia C-703/25 P). Seuraa tilannetta ja pidä varasuunnitelma valmiina.
Onko kyse siirrosta, jos tekoäly näkee vain pseudonyymit?
Pseudonymisoidut tiedot ovat sinulle edelleen henkilötietoja, joten säännöt koskevat niitä. Mutta henkilöille koituva riski on paljon pienempi, kun oikeat nimet ja avain pysyvät EU:ssa.
Entä Microsoftin EU Data Boundary?
Se pitää suurimman osan tiedoista EU:ssa, mutta tarkista poikkeukset, kuten Copilotin flex routing.
Lähteet
- Päätös (EU) 2023/1795 EUR-Lexissä
- Data Privacy Framework: luettelo ohjelmaan liittyneistä yrityksistä
- Tietosuojavaltuutetun toimisto
Kirjoittanut GoalCuben toimitus. Päivitetty viimeksi 11. lokakuuta 2026. GoalCube auttaa sinua noudattamaan tekoälyasetusta ja GDPR:ää. Se ei ole oikeudellista neuvontaa.
Ole ensimmäisten joukossa.
Odotamme lanseeraavamme marraskuussa 2026. Ilmoittaudu, niin kuulet meistä, kun pääset aloittamaan.