Työntekijä syötti henkilötietoja ChatGPT:hen. Mitä teemme nyt?
Lyhyt vastaus
Pysy rauhallisena ja toimi nopeasti. Selvitä, mitä tietoja lähti, mihin palveluun ja millä tilaustasolla. Poista keskustelu ja kytke mallin koulutus pois. Arvioi, onko kyse henkilötietojen tietoturvaloukkauksesta: jos siitä todennäköisesti aiheutuu riski ihmisille, siitä on ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa. Jos riski on korkea, myös ihmisille on kerrottava. Kirjaa tapaus aina ylös, vaikka ilmoitusta ei tarvittaisi, ja opi siitä.
Mikä vaikuttaa arvioon?
| Kasvattaa riskiä | Pienentää riskiä |
|---|---|
| Arkaluonteiset tiedot, henkilötunnukset, tilinumerot | Vain nimiä ja työsähköpostiosoitteita |
| Suuri joukko ihmisiä | Vain muutama ihminen |
| Ilmainen tilaus, jossa tietoja käytetään koulutukseen | Yritystaso ilman koulutusta, sopimus tehty |
| Tietoja ei voi poistaa | Keskustelu on poistettu |
Ehkäise mieluummin
GoalCuben avulla työntekijät voivat käyttää tekoälyä oikeisiin tietoihin, koska tekoäly näkee vain koodeja. Ja jos nimi silti päätyy tekoälyn vastaukseen, GoalCuben vuototarkistus huomaa sen.
Näin toimit
- Pysäytä jakaminen.Pyydä työntekijää lopettamaan ja tallentamaan kuvakaappaus.
- Selvitä laajuus.Mitä tietoja, kuinka monta ihmistä, mikä palvelu ja tilaustaso.
- Rajoita vahinkoa.Poista keskustelu, kytke koulutus pois ja ota mahdollisuuksien mukaan yhteyttä palveluntarjoajaan.
- Arvioi riski.Arkaluonteiset tiedot, henkilötunnukset tai suuri joukko ihmisiä kasvattavat riskiä.
- Ilmoita, jos riski on olemassa.Tietosuojavaltuutetulle 72 tunnin kuluessa siitä, kun loukkaus tuli tietoosi.
- Kirjaa ja opi.Kaikki loukkaukset on dokumentoitava sisäisesti. Päivitä tekoälypolitiikka ja koulutus.
Näin laki sanoo
- Tietosuoja-asetuksen 33 artikla – ilmoitus valvontaviranomaiselle
- 72 tunnin kuluessa, ellei loukkauksesta todennäköisesti aiheudu riskiä.
- Tietosuoja-asetuksen 34 artikla – ilmoitus rekisteröidylle
- Jos loukkauksesta aiheutuu korkea riski ihmisten oikeuksille.
Kysymyksiä ja vastauksia
Onko tämä aina tietoturvaloukkaus?
Ei aina. Jos tiedot lähtivät yritystasoon, johon liittyy tietojenkäsittelysopimus, kyse voi olla pikemminkin käyttötarkoituksen virheestä kuin loukkauksesta. Arvioi tapaus erikseen.
Miten estämme saman toistumisen?
Hyvä vaihtoehto on hyväksytty työkalu, jossa tekoäly näkee vain pseudonyymit. Silloin ei haittaa, vaikka työntekijä käyttäisi oikeita tietoja.
Lähteet
Kirjoittanut GoalCuben toimitus. Päivitetty viimeksi 11. lokakuuta 2026. GoalCube auttaa sinua noudattamaan tekoälyasetusta ja GDPR:ää. Se ei ole oikeudellista neuvontaa.
Ole ensimmäisten joukossa.
Odotamme lanseeraavamme marraskuussa 2026. Ilmoittaudu, niin kuulet meistä, kun pääset aloittamaan.