Miten osoitamme, että ihminen teki päätöksen? GDPR 22 artikla ja tekoäly

GDPR ja tekoälyPäivitetty viimeksi 11. lokakuuta 20264 min lukuaika

Lyhyt vastaus

Jos päätöksellä on oikeusvaikutuksia tai se vaikuttaa henkilöön vastaavalla tavalla merkittävästi – esimerkiksi hylkäys työhakemukseen – se ei saa perustua pelkästään automaattiseen käsittelyyn (GDPR 22 artikla). Pätevän ja päätösvaltaisen ihmisen on aidosti arvioitava tapaus ja voitava poiketa tekoälyn suosituksesta. Tallenna, kuka päätti, milloin, millä perusteella ja miksi. Lisäksi tekoälyasetus edellyttää 2. joulukuuta 2027 alkaen ihmisen suorittamaa valvontaa suuririskisessä tekoälyssä, kuten rekrytoinnissa.

Milloin 22 artikla tulee sovellettavaksi?

GDPR:n 22 artikla koskee päätöksiä, jotka perustuvat pelkästään automaattiseen käsittelyyn ja joilla on oikeusvaikutuksia tai vastaava merkittävä vaikutus henkilöön. Työpaikan epääminen, irtisanominen tai palkkapäätös ovat tyypillisiä esimerkkejä. GDPR mainitsee itse sähköisen rekrytoinnin ilman ihmisen osallistumista.

Jos annat tekoälyn karsia hakijoita niin, ettei ihminen aidosti tarkastele tapausta, olet 22 artiklan alueella. Jos tekoäly suosittelee ja ihminen päättää, et ole – edellyttäen, että ihminen todella arvioi tapauksen.

Mikä on aito ihmisen arvio?

Ei riitä, että ihminen allekirjoittaa sen, minkä tekoäly on päättänyt. Euroopan tietosuojaviranomaisten ohjeissa korostuu kolme asiaa:

Henkilöllä on toimivalta muuttaa päätöstä.
Henkilöllä on pätevyys arvioida tapaus.
Henkilö tarkastelee kaikkia olennaisia tietoja – ei vain tekoälyn johtopäätöstä.

Siksi GoalCube Human Decision näyttää tapauksen tosiasiat tekoälyn suosituksen vieressä, yksi tapaus kerrallaan, ja ihminen voi hyväksyä, valita toisen päätöksen tai pyytää lisätietoja. Kokeile:

GoalCube Human DecisionKuvitteellisia tietoja

Tapaus 1 / 3Tehtävä: Controller talousosastolle

Tapauksen tiedot

Elina Rantanen

Nykyinen titteli: Senior controller
Kokemus: 12 vuotta
CV: Elina Rantanen on työskennellyt 12 vuotta budjetoinnin ja kuukausiraportoinnin parissa yrityksessä Jokilaakson Puu Oy. Hän on ottanut käyttöön uuden toiminnanohjausjärjestelmän ja johtaa kolmen hengen tiimiä. Yhteystiedot: elina.rantanen@example.com.

Tekoälyn suositus

Kutsu haastatteluun

Perustelu: 12 vuoden kokemus budjetoinnista ja raportoinnista, on ottanut käyttöön toiminnanohjausjärjestelmän ja tulee tuotantoyrityksestä.

Tarkastusloki

Päätökset tallennetaan tähän ajan ja aikaleiman kanssa.

Kuvitteellisia ehdokkaita. GoalCubessa päätös vaatii lisäksi passkeyn, ja lokiin tulee riippumaton aikaleima.

Mitä tekoälyasetus vaatii?

Rekrytointiin ja työsuhdetta koskeviin päätöksiin käytettävä tekoäly on tekoälyasetuksen mukaan suuririskistä (liite III, 4 kohta). Digitaalisen omnibuksen myötä säännöt ovat voimassa 2. joulukuuta 2027 alkaen. Yritysten, jotka käyttävät tällaista tekoälyä, on muun muassa:

annettava ihmisen suorittama valvonta henkilöille, joilla on tarvittava pätevyys, koulutus ja toimivalta (26 artikla)
tiedotettava työntekijöiden edustajille ja asianomaisille työntekijöille ennen tekoälyn käyttöönottoa työpaikalla (26 artikla)
kyettävä antamaan selitys päätöksen kohteelle (86 artikla)

Tekoälyjärjestelmä on lisäksi suunniteltava niin, että ihmiset voivat valvoa sitä ja ovat tietoisia riskistä luottaa tekoälyyn liikaa (14 artikla).

Mitä sinun pitää pystyä osoittamaan?

Jos hakija, työntekijä tai valvontaviranomainen kysyy, sinun pitää pystyä vastaamaan:

Kysymys	Mitä sinulla pitää olla tallessa
Kuka päätti asian?	Nimi tai rooli ja turvallinen kirjautuminen, esim. passkey
Milloin?	Ajankohta, mieluiten riippumattomalla aikaleimalla
Millä perusteella?	Tapauksen tosiasiat ja tekoälyn suositus perusteluineen
Miksi?	Ihmisen päätös ja sen perustelu
Voiko sitä olla muutettu jälkikäteen?	Loki, jota ei voi muuttaa niin, ettei se näy

Näin toimit

Etsi kohdat, joissa tekoäly auttaa henkilöitä koskevissa päätöksissä.Tyypillisesti rekrytointi, ylennys, irtisanominen, palkka, työnjako ja asiakastapaukset, joissa hylätään pyyntö.
Anna tekoälyn suositella – ei päättää.Tekoäly saa valmistella tapauksen ja antaa perustellun suosituksen. Päätös on ihmisen.
Nimeä, kuka päättää.Henkilöllä on oltava asiantuntemus alalta ja lupa poiketa tekoälyn suosituksesta. Automaattinen 'hyväksy'-klikkaus ei riitä.
Näytä tosiasiat suosituksen vieressä, yksi tapaus kerrallaan.Päättäjän on nähtävä perusteet – ei vain tekoälyn johtopäätöstä – ja saatava aikaa arvioida jokainen tapaus.
Tallenna päätös niin, ettei sitä voi muuttaa jälkikäteen.Kuka, milloin, mitä tekoäly suositteli, mitä ihminen päätti ja miksi. Riippumaton aikaleima vahvistaa todistusvoimaa.
Kerro asiasta niille, joita päätös koskee.Henkilöllä on oikeus tietää, että tekoäly on mukana, saada ihminen tarkastelemaan tapausta ja riitauttaa päätös.

Näin laki sanoo

GDPR 22 artikla – automatisoidut yksittäispäätökset: Oikeus olla joutumatta pelkästään automaattiseen käsittelyyn perustuvan päätöksen kohteeksi, kun päätöksellä on oikeusvaikutuksia tai se vaikuttaa vastaavalla tavalla merkittävästi. Poikkeukset edellyttävät mm. oikeutta vaatia ihmisen osallistumista ja riitauttaa päätös.
GDPR johdanto-osan 71 kappale: Mainitsee esimerkkinä juuri sähköisen rekrytoinnin ilman ihmisen osallistumista.
GDPR 13, 14 ja 15 artikla: Henkilölle on kerrottava automatisoiduista päätöksistä ja annettava merkityksellistä tietoa niiden logiikasta.
Tekoälysäädös, liitteen III 4 kohta – työllisyys: Rekrytointiin ja valintaan sekä työsuhdetta koskeviin päätöksiin käytettävä tekoäly on suuririskistä. Digitaalisen omnibuksen myötä säännöt ovat voimassa 2. joulukuuta 2027 alkaen.
Tekoälysäädös, 14 ja 26 artikla – ihmisen suorittama valvonta: Suuririskisen tekoälyn on oltava ihmisten valvottavissa, ja yrityksen on annettava valvonta henkilöille, joilla on tarvittava pätevyys, koulutus ja toimivalta. Työntekijöille on tiedotettava ennen tekoälyn käyttöönottoa työpaikalla.
Tekoälysäädös, 86 artikla – oikeus saada selitys: Suuririskiseen tekoälyyn perustuvan päätöksen kohteena oleva voi saada selkeän selityksen tekoälyn roolista ja päätöksen tärkeimmistä tekijöistä.

Kysymyksiä ja vastauksia

Riittääkö, että esihenkilö painaa 'hyväksy'?

Ei, jos hyväksyntä on käytännössä muodollisuus. Euroopan tietosuojaviranomaisten ohjeiden mukaan ihmisen arvioinnin on oltava aito: henkilöllä on oltava toimivalta ja pätevyys muuttaa päätöstä ja hänen on tarkasteltava kaikkia olennaisia tietoja.

Koskeeko tämä myös pieniä yrityksiä?

Kyllä. GDPR 22 artikla koskee kaiken kokoisia yrityksiä, ja se on voimassa jo nyt. Tekoälyasetuksen suuririskisen tekoälyn säännöt ovat voimassa 2. joulukuuta 2027 alkaen.

Onko tekoälyn pisteytys päätös, vaikka ihminen allekirjoittaa sen?

Voi olla. EU:n tuomioistuin katsoi SCHUFA-tapauksessa (C-634/21) vuonna 2023, että automaattisesti laskettu pisteytys voi sellaisenaan olla päätös, jos sillä on ratkaiseva merkitys lopputulokseen.

Pitääkö tekoälyn suositus tallentaa?

Se on hyvä idea. Silloin voit osoittaa, että ihminen arvioi tapauksen – myös silloin, kun hän oli tekoälyn kanssa samaa mieltä – ja selittää päätöksen, jos henkilö kysyy.

Entä jos ihminen on eri mieltä kuin tekoäly?

Silloin ihminen päättää toisin ja kirjaa syyn. Juuri se osoittaa, että arvio on aito. Tekoäly ei saa koskaan muuttaa ihmisen päätöstä jälkikäteen.

Lähteet

Kirjoittanut GoalCuben toimitus. Päivitetty viimeksi 11. lokakuuta 2026. GoalCube auttaa sinua noudattamaan tekoälyasetusta ja GDPR:ää. Se ei ole oikeudellista neuvontaa.

Ole ensimmäisten joukossa.

Odotamme lanseeraavamme marraskuussa 2026. Ilmoittaudu, niin kuulet meistä, kun pääset aloittamaan.