Tietojenkäsittelysopimus tekoälytoimittajan kanssa: mitä pitää tarkistaa?
Lyhyt vastaus
Kun tekoälypalvelu käsittelee henkilötietoja puolestasi, se on henkilötietojen käsittelijä, ja tarvitset GDPR:n 28 artiklan mukaisen tietojenkäsittelysopimuksen. Suurilla palveluilla on vakiosopimukset yritystilauksissaan. Tarkista erityisesti: että tietoja käsitellään vain ohjeidesi mukaan (ei koulutusta), missä tietoja käsitellään ja mikä on siirron peruste, alikäsittelijät, poistaminen ja tietoturva. Ilmaisissa ja yksityistilauksissa sopimusta ei yleensä ole.
Suurten palvelujen tilanne
| Palvelu | Paketit | Kouluttaako tiedoillasi? | Tiedot EU:ssa? | Tietojenkäsittelysopimus? | Omat connectorit? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, Yhdysvallat | Business (aiemmin Team) ja Enterprise | Ei. Yrityksen tietoja ei käytetä koulutukseen oletuksena. | Vain Enterprise: uusien työtilojen tiedot voidaan tallentaa ja käsitellä EU:ssa. Ei Business-paketissa. | Kyllä. Tietojenkäsittelysopimus on osa sopimusta (OpenAI Ireland EU-asiakkaille). | Kyllä. Omat connectorit kehittäjätilan kautta; ylläpitäjä ottaa sen käyttöön. |
| Claude Anthropic, Yhdysvallat | Team ja Enterprise | Ei. Tietoja ei käytetä koulutukseen, ellei yritys itse anna siihen lupaa. | Ei. Tiedot tallennetaan Yhdysvalloissa; EU-tallennusta ei voi valita. | Kyllä. Tietojenkäsittelysopimus sisältyy automaattisesti kaupallisiin ehtoihin. | Kyllä. Omistaja lisää omat connectorit koko organisaatiolle. |
| Microsoft 365 Copilot Microsoft, Yhdysvallat | Microsoft 365 -yritystilausten lisäosa | Ei. Kehotteita, vastauksia ja yrityksen tietoja ei käytetä koulutukseen. | Kyllä, EU Data Boundaryn sisällä. Uusien EU-asiakkaiden pyyntöjä voidaan kuitenkin käsitellä EU:n ulkopuolella kuormituspiikkien aikana (flex routing), minkä voi poistaa käytöstä. | Kyllä. Microsoftin tuoteehdot ja tietojenkäsittelysopimus kattavat sen. | Kyllä, Copilot Studion agenttien kautta. Lisenssivaatimusta ei ole vahvistettu. |
| Vibe (tidl. Le Chat) Mistral AI, Ranska | Pro, Team ja Enterprise | Pro ja Team: kyllä oletuksena; ylläpitäjän on poistettava se käytöstä. Enterprise: ei. | Palvelimet EU:ssa (Ruotsi). Jotkin toiminnot voivat lähettää tietoja EU:n ulkopuolelle; vain Enterprise voi poistaa sen käytöstä. | Kyllä. Sitä, kattaako se Pro- ja Team-paketit, ei ole vahvistettu. | Kyllä. Ylläpitäjä voi lisätä omia connectoreita. |
| Gemini i Google Workspace Google, Yhdysvallat | Workspace Business ja Enterprise | Ei. Workspace-tietoja ja kehotteita ei käytetä koulutukseen ilman lupaa. | Tallennus ja käsittely EU:ssa vain Enterprise Plus -paketilla tai Data Regions -lisäosalla. Business: vain tallennus. | Kyllä. Ylläpitäjän on hyväksyttävä se hallintakonsolissa, ellei se jo kuulu sopimukseen. | Ei vahvistettu Geminille Workspacessa. |
Tarkistettu 9. lokakuuta 2026. Ilmais- ja yksityispaketeissa (ChatGPT Free/Plus, Claude Free/Pro, Gemini-sovellus, Vibe Free) ei ole tietojenkäsittelysopimusta, ja niissä tietoja voidaan käyttää mallien koulutukseen. Ne eivät sovellu yrityksen henkilötiedoille.
Sudenkuoppa: tekoälytoiminnot muissa työkaluissa
Monissa työkaluissa on nykyään tekoälytoimintoja – CRM, kirjanpito, sähköposti. Tarkista, kattaako sopimus myös tekoälytoiminnon ja lähettääkö se tietoja alikäsittelijälle, kuten OpenAI:lle tai Anthropicille.
Näin toimit
- Käsittely ohjeidesi mukaan.Tietoja saa käyttää vain palvelun tuottamiseen sinulle – ei koulutukseen.
- Sijainti ja siirto.Missä tietoja käsitellään, ja millä perusteella?
- Alikäsittelijät.Keitä he ovat, ja miten saat tiedon muutoksista?
- Poistaminen ja säilytys.Kuinka kauan kehotteet ja vastaukset säilytetään?
- Tietoturva ja loukkaukset.Mitä toimenpiteitä on, ja kuinka nopeasti saat tiedon loukkauksesta?
Näin laki sanoo
- Tietosuoja-asetuksen 28 artikla – henkilötietojen käsittelijät
- 3 kohdassa luetellaan, mitä sopimuksen on sisällettävä.
- Komission vakiosopimuslausekkeet (2021/915) – 28 artikla
- Vakiolausekkeet, joita voi käyttää tietojenkäsittelysopimuksena.
Kysymyksiä ja vastauksia
Onko ChatGPT:llä tietojenkäsittelysopimus?
On, Businessissa ja Enterprisessa. EU-asiakkaille se tehdään OpenAI Irelandin kanssa.
Pitääkö meidän allekirjoittaa jotain Anthropicilla?
Tietojenkäsittelysopimus kuuluu automaattisesti Anthropicin kaupallisiin ehtoihin.
Onko GoalCube henkilötietojen käsittelijä?
On, GoalCube käsittelee henkilötietoja puolestasi EU:ssa ja tekee kanssasi tietojenkäsittelysopimuksen. Tekoälypalvelu saa vain pseudonyymejä.
Lähteet
Kirjoittanut GoalCuben toimitus. Päivitetty viimeksi 11. lokakuuta 2026. GoalCube auttaa sinua noudattamaan tekoälyasetusta ja GDPR:ää. Se ei ole oikeudellista neuvontaa.
Ole ensimmäisten joukossa.
Odotamme lanseeraavamme marraskuussa 2026. Ilmoittaudu, niin kuulet meistä, kun pääset aloittamaan.