Saako ChatGPT:tä, Claudea tai Copilotia käyttää henkilötietoihin?
Lyhyt vastaus
Kyllä, se voi olla sallittua, mutta vain jos sinulla on käsittelyperuste, käytät vain tarpeellisia tietoja, sinulla on tietojenkäsittelysopimus tekoälypalvelun tarjoajan kanssa ja EU:n ulkopuoliset siirrot on hoidettu. Turvallisinta on antaa tekoälyn työskennellä ilman oikeita nimiä: pseudonymisoi tiedot ennen lähettämistä ja pidä avain itselläsi EU:ssa. Pseudonymisoidut tiedot ovat sinulle edelleen henkilötietoja.
Mitä GDPR sanoo?
GDPR ei kiellä tekoälyä. Mutta samat säännöt pätevät kuin silloin, kun käytät henkilötietoja muulla tavalla:
- Sinulla pitää olla käsittelyperuste ja selkeä tarkoitus.
- Saat käyttää vain tehtävän kannalta tarpeellisia tietoja (tietojen minimointi).
- Jos tekoälyn tarjoaja käsittelee tietoja puolestasi, tarvitset tietojenkäsittelysopimuksen.
- Jos tietoja lähetetään EU:n ulkopuoliseen maahan, siirrolla pitää olla erityinen peruste.
Vaikeinta on tietojen minimointi. Jos pyydät tekoälyä lajittelemaan asiakkaiden yhteydenottoja, se tarvitsee sen, mitä asiakas kirjoittaa – ei asiakkaan nimeä, sähköpostiosoitetta, puhelinnumeroa ja tilinumeroa.
Anna tekoälyn työskennellä ilman oikeita nimiä
Pseudonymisointi tarkoittaa, että nimet, sähköpostiosoitteet, tunnisteet ja muut tiedot korvataan kiinteillä koodeilla, esimerkiksi [PERSON_1], ennen kuin tiedot lähetetään tekoälylle. Avain pysyy sinulla. Kun vastaus tulee takaisin, oikeat nimet palautetaan – mutta vain sinun järjestelmääsi.
Näin se näyttää GoalCube Data Vaultissa. Vasemmalla ovat sinun tietosi, jotka pysyvät EU:ssa. Oikealla on se, minkä tekoäly näkee.
| Asiakas | Sähköposti | Paikkakunta | Aihe |
|---|---|---|---|
| Helmi Ahonen | helmi.ahonen@example.com | Kuopio | Hyvitys |
| Eino Salminen | eino.salminen@example.com | Pori | Toimitus |
| Tuula Mäkelä | tuula.makela@example.com | Kajaani | Reklamaatio |
| Veikko Heikkinen | veikko.heikkinen@example.com | Seinäjoki | Toimitus |
| Anneli Rautio | anneli.rautio@example.com | Joensuu | Hyvitys |
Yhteydenotto Hei, olen Helmi Ahonen. Palautin tilauksen 7012345678 kaksi viikkoa sitten, mutta en ole vielä saanut rahojani takaisin. Maksakaa ne tilille FI23 1234 5600 0012 34. Ystävällisin terveisin, Helmi
| Asiakas | Sähköposti | Paikkakunta | Aihe |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Hyvitys |
| [PERSON_2] | [EMAIL_2] | [STED] | Toimitus |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamaatio |
| [PERSON_4] | [EMAIL_4] | [STED] | Toimitus |
| [PERSON_5] | [EMAIL_5] | [STED] | Hyvitys |
Yhteydenotto Hei, olen [PERSON_1]. Palautin tilauksen [ID_1] kaksi viikkoa sitten, mutta en ole vielä saanut rahojani takaisin. Maksakaa ne tilille [IBAN_1]. Ystävällisin terveisin, [PERSON_1]
Asiakkaat Helmi Ahonen ja Anneli Rautio odottavat hyvitystä, ja heille pitäisi vastata tänään. Asiakas Veikko Heikkinen on odottanut pakettia 10 päivää. Vastausehdotus asiakkaalle Helmi Ahonen: "Hei Helmi Ahonen, kiitos kärsivällisyydestäsi. Raha on tulossa ja on tililläsi 5 pankkipäivän kuluessa."
Asiakkaat [PERSON_1] ja [PERSON_5] odottavat hyvitystä, ja heille pitäisi vastata tänään. Asiakas [PERSON_4] on odottanut pakettia 10 päivää. Vastausehdotus asiakkaalle [PERSON_1]: "Hei [PERSON_1], kiitos kärsivällisyydestäsi. Raha on tulossa ja on tililläsi 5 pankkipäivän kuluessa."
| Ehdokas | Syntynyt | Henkilötunnus | Työnantaja | Kokemus |
|---|---|---|---|---|
| Elina Rantanen | 1985-03-12 | 120385-931B | Jokilaakson Puu Oy | 12 |
| Jussi Eskola | 1992-11-02 | 021192-942H | Kymen Logistiikka Oy | 4 |
| Sari Nieminen | 1988-06-21 | 210688-9532 | Savon Metalli Oy | 9 |
| Pekka Hakala | 1979-01-30 | 300179-967Y | Selkämeren Lääke Oy | 18 |
CV Elina Rantanen on työskennellyt 12 vuotta budjetoinnin ja kuukausiraportoinnin parissa yrityksessä Jokilaakson Puu Oy. Hän on ottanut käyttöön uuden toiminnanohjausjärjestelmän ja johtaa kolmen hengen tiimiä. Yhteystiedot: elina.rantanen@example.com.
| Ehdokas | Syntynyt | Henkilötunnus | Työnantaja | Kokemus |
|---|---|---|---|---|
| [PERSON_1] | 40–49 vuotta | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 vuotta | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 vuotta | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 vuotta | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] on työskennellyt 12 vuotta budjetoinnin ja kuukausiraportoinnin parissa yrityksessä [VIRKSOMHED_1]. Hän on ottanut käyttöön uuden toiminnanohjausjärjestelmän ja johtaa kolmen hengen tiimiä. Yhteystiedot: [EMAIL_1].
Ehdokkaat Elina Rantanen ja Sari Nieminen täyttävät yli 5 vuoden kokemusvaatimuksen, ja heidät pitäisi kutsua haastatteluun; kysy ehdokkaalta Sari Nieminen, onko hänellä kokemusta toiminnanohjausjärjestelmistä (ERP). Ehdokkaalla Jussi Eskola on 4 vuoden kokemus; vaatimus on 5. Päätöksen tekee ihminen.
Ehdokkaat [PERSON_1] ja [PERSON_3] täyttävät yli 5 vuoden kokemusvaatimuksen, ja heidät pitäisi kutsua haastatteluun; kysy ehdokkaalta [PERSON_3], onko hänellä kokemusta toiminnanohjausjärjestelmistä (ERP). Ehdokkaalla [PERSON_2] on 4 vuoden kokemus; vaatimus on 5. Päätöksen tekee ihminen.
| Toimittaja | Yhteyshenkilö | Tili | Päättyy |
|---|---|---|---|
| Pohjola Komponentit Oy | Tapio Koskela | FI89 1234 5604 5012 34 | 2027-01-31 |
| Mälaren Datacenter AB | Karin Lindqvist | SE35 5000 0000 0549 1000 0003 | 2026-12-31 |
| Hämeen Tarkkuustyö Oy | Antti Mattila | FI70 1234 5671 2093 49 | 2028-06-30 |
| Kainuun Pakkaus Oy | Marja Virkkunen | FI38 1234 5615 6208 74 | 2027-03-31 |
Ehdot Pohjola Komponentit Oy toimittaa erikoiskomponentteja sisäiseen hankkeeseen, jonka nimi on Projekti Kuuskajo. Hintaa korotetaan vuosittain kuluttajahintaindeksin mukaan lisättynä 3 prosentilla. Vastuu on rajattu 10 prosenttiin vuotuisesta sopimusarvosta. Muutoksissa ota yhteyttä: Tapio Koskela.
| Toimittaja | Yhteyshenkilö | Tili | Päättyy |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Ehdot [VIRKSOMHED_1] toimittaa erikoiskomponentteja sisäiseen hankkeeseen, jonka nimi on [PROJEKT_1]. Hintaa korotetaan vuosittain kuluttajahintaindeksin mukaan lisättynä 3 prosentilla. Vastuu on rajattu 10 prosenttiin vuotuisesta sopimusarvosta. Muutoksissa ota yhteyttä: [PERSON_1].
Sopimus toimittajan Pohjola Komponentit Oy kanssa uusiutuu automaattisesti, ellei sitä irtisanota viimeistään 31. lokakuuta. Se on tärkeä sisäiselle hankkeelle, joten neuvottele mieluummin hinnasta kuin irtisano sopimusta. Sopimus toimittajan Kainuun Pakkaus Oy kanssa uusiutuu myös automaattisesti; määräaika on 31. joulukuuta.
Sopimus toimittajan [VIRKSOMHED_1] kanssa uusiutuu automaattisesti, ellei sitä irtisanota viimeistään 31. lokakuuta. Se on tärkeä sisäiselle hankkeelle, joten neuvottele mieluummin hinnasta kuin irtisano sopimusta. Sopimus toimittajan [VIRKSOMHED_4] kanssa uusiutuu myös automaattisesti; määräaika on 31. joulukuuta.
Kuvitteellisia tietoja. Osoita nimeä tai pseudonyymiä nähdäksesi, mitkä kuuluvat yhteen.
Huomaa, että myös sukupuoli kirjoitetaan neutraalisti. Se on harvoin olennainen tehtävän kannalta, eikä se saa vaikuttaa arviointiin.
Kokeile itse
Kirjoita tai liitä teksti. Lisää omia salaisia sanojasi – esimerkiksi projektin nimi tai tärkeä asiakas – ja katso, mitä tekoäly saisi.
Mitä pseudonymisointi ei ratkaise
Pseudonymisointi on tehokas työkalu, mutta se ei ratkaise kaikkea:
- Tiedot ovat sinulle edelleen henkilötietoja. Tarvitset edelleen perusteen, sopimukset ja hallitun tietojen poistamisen.
- Vapaa teksti voi paljastaa henkilön. »Ainoa naispuolinen insinöörimme Kuopiossa» on tunnistettavissa ilman nimeä. Siksi GoalCube näyttää jokaiselle tietueelle tunnistamisriskin.
- Tekoäly voi silti erehtyä. Ihmisiä koskevat päätökset pitää jättää ihmiselle – katso artikkeli ihmisen tekemästä päätöksestä GDPR:n 22 artiklan mukaan.
Näin toimit
- Kirjaa käyttö ylös.Mihin tekoälyn pitää auttaa ja mitä tietoja se tarvitsee? Se on ensimmäinen askel sekä GDPR:ää että tekoälyasetusta kohti.
- Tarkista peruste ja tarkoitus.Tarvitset käsittelyperusteen tietojen käsittelylle, ja uuden tarkoituksen pitää sopia siihen, mitä varten tiedot on kerätty.
- Tarkista tekoälyn tarjoaja.Onko sinulla tietojenkäsittelysopimus? Käyttääkö tarjoaja tietojasi mallien kouluttamiseen? Missä tietoja käsitellään?
- Poista se, mitä tekoäly ei tarvitse.Nimiä, sähköpostiosoitteita, tunnisteita, tilinumeroita ja osoitteita tarvitaan harvoin tehtävän ratkaisemiseen. Korvaa ne pseudonyymeillä ennen tietojen lähettämistä.
- Pidä avain EU:ssa.Näytä oikeat nimet vain itsellesi, esimerkiksi kun tekoälyn vastaus tulee takaisin.
- Harkitse vaikutustenarviointia.Jos tekoäly arvioi esimerkiksi hakijoita tai työntekijöitä järjestelmällisesti, tietosuojaa koskeva vaikutustenarviointi (DPIA) voi olla pakollinen.
Näin laki sanoo
- GDPR 5 artikla – periaatteet
- Mm. käyttötarkoitussidonnaisuus ja tietojen minimointi: käytä vain tarkoituksen kannalta tarpeellisia tietoja.
- GDPR 4 artiklan 5 kohta ja johdanto-osan 26 kappale – pseudonymisointi
- Tiedot, joita ei voi yhdistää henkilöön ilman erikseen säilytettävää avainta. Avaimen haltija käsittelee edelleen henkilötietoja.
- GDPR 25 ja 32 artikla – sisäänrakennettu ja oletusarvoinen tietosuoja sekä turvallisuus
- Pseudonymisointi mainitaan suoraan toimenpiteenä, joka voi suojata rekisteröityjä.
- GDPR 28 artikla – henkilötietojen käsittelijät
- Jos palveluntarjoaja käsittelee henkilötietoja puolestasi, tarvitaan tietojenkäsittelysopimus.
- GDPR 35 artikla – vaikutustenarviointi
- Vaaditaan, kun käsittely todennäköisesti aiheuttaa korkean riskin, esimerkiksi henkilöiden järjestelmällinen arviointi.
- GDPR 44 artikla – siirrot EU:n ulkopuolelle
- Henkilötietoja saa siirtää EU:n/ETA:n ulkopuolisiin maihin vain erityisellä perusteella, esimerkiksi päätöksellä riittävästä tietosuojan tasosta tai vakiosopimuslausekkeilla.
Kysymyksiä ja vastauksia
Ovatko pseudonymisoidut tiedot anonyymejä?
Eivät. Niin kauan kuin joku – esimerkiksi sinä itse – pitää hallussaan avainta oikeiden nimien löytämiseen, tiedot ovat edelleen GDPR:n mukaan henkilötietoja. Pseudonymisointi pienentää riskiä, mutta ei vapauta sinua säännöistä.
Saammeko liittää ansioluettelon suoraan ChatGPT:hen?
Se voi olla sallittua, kun on peruste ja sopimus palveluntarjoajan kanssa, mutta ansioluettelossa on paljon sellaista, mitä tekoäly ei tarvitse: nimi, osoite, ikä ja usein sukupuoli. Juuri nämä tiedot voivat vaikuttaa arvioon. Poista ne tai korvaa ne ensin pseudonyymeillä.
Kouluttaako tekoäly meidän tiedoillamme?
Se riippuu palvelusta ja sopimuksestasi. Monet yrityskäytön versiot eivät oletuksena käytä asiakastietoja koulutukseen, mutta tarkista se omasta sopimuksestasi ja asetuksistasi.
Entä jos palveluntarjoaja on EU:n ulkopuolella?
Silloin siirrolla pitää olla erityinen peruste. Kun pseudonymisointi tehdään EU:ssa, oikeat nimet eivät poistu EU:sta lainkaan – tekoäly saa vain pseudonyymit.
Koskeeko tämä myös luottamuksellisia liiketoimintatietoja?
GDPR koskee vain henkilötietoja, mutta sama menetelmä suojaa myös asiakkaiden nimet, sopimukset, hinnat ja sisäisten projektien nimet. GoalCubessa voit kirjoittaa omia salaisia sanoja, jotka piilotetaan aina.
Lähteet
Kirjoittanut GoalCuben toimitus. Päivitetty viimeksi 11. lokakuuta 2026. GoalCube auttaa sinua noudattamaan tekoälyasetusta ja GDPR:ää. Se ei ole oikeudellista neuvontaa.
Ole ensimmäisten joukossa.
Odotamme lanseeraavamme marraskuussa 2026. Ilmoittaudu, niin kuulet meistä, kun pääset aloittamaan.