Missä tietonne ovat: CoreSkillsin tietoturva ja tietosuoja tietohallinnon silmin

Lyhyesti

CoreSkills on oma, erillinen pilvipalvelunsa, joka sijaitsee Suomessa. Asiakasorganisaatio on henkilöstönsä tietojen rekisterinpitäjä ja CoreSeer Company Oy niiden käsittelijä. Palvelu tarvitsee oppijasta vain nimen ja sähköpostin, ja muut tiedot syntyvät käytöstä: suoritukset, kokeen tulokset, todistukset ja keskustelut tekoälyopettajan kanssa. Tekoälylle lähtee tekstiä ilman oppijan nimeä ja sähköpostia, oletuksena OpenAI:n rajapintaan, jota ei käytetä mallien kouluttamiseen, tai organisaation omaan Azure OpenAI:hin, jos se on otettu käyttöön. Microsoft-liitokset ovat valinnaisia, ja jokaisen hyväksyy asiakkaan oma ylläpitäjä.

Missä palvelu on

Sovellus, tietokanta ja tiedostot ovat Google Cloudissa Suomessa, Hamina-alueella: sovellus Cloud Runissa, tietokanta Cloud SQL:ssä ja äänet, kuvat ja ladatut lähdedokumentit Cloud Storagessa, josta julkinen pääsy on estetty. Avaimet ja tunnukset ovat Google Secret Managerissa. Julkaisuputki tunnistautuu Google Cloudiin ilman avaimia.

CoreSkillsiä ei asenneta asiakkaan Microsoft 365 -ympäristöön eikä palvelimille. Sovelluksesta on erillinen testiympäristö, jossa muutokset nähdään ennen tuotantoa, eikä siihen viedä asiakkaiden tietoja.

Kuka on mitä

Asiakasorganisaatio on henkilötietojen rekisterinpitäjä henkilöstönsä tiedoille ja päättää, ketkä käyttävät palvelua ja mihin koulutuksiin. CoreSeer Company Oy on palveluntuottaja ja henkilötietojen käsittelijä asiakkaan lukuun. Jälleenmyyjä voi olla asiakkaan sopimusosapuoli, mutta tekninen palvelu ja käsittely ovat CoreSeerin. Asiakkaan ja palveluntuottajan välillä tehdään henkilötietojen käsittelysopimus, jonka pohja toimitetaan tarjouksen yhteydessä.

Käsittelyperusteen määrittää asiakas rekisterinpitäjänä. Henkilöstön koulutuksessa se on tyypillisesti työnantajan oikeutettu etu tai lakisääteinen velvoite, esimerkiksi tietosuoja-, kyberturvallisuus- ja tekoälyasetuksen koulutusvaatimukset.

Mitä tietoja käsitellään

Tietoryhmä	Esimerkit	Mihin
Käyttäjän perustiedot	nimi, sähköposti, rooli, organisaatio, kieli	tunnistautuminen ja käyttö
Oppiminen ja suoritukset	päivän tehtävät, vastaukset, suoritetut koulutukset, osaamistasot, koevastaukset ja pisteet, todistukset	koulutuksen toteutus ja velvoitteen osoittaminen
Tekoälykeskustelut	oppijan viestit opettajalle ja harjoituksissa, vastaukset	harjoittelu; tekoälyn arvio on neuvoa-antava eikä myönnä osaamista
Muistutukset	kanava, lähetysaika, aikavyöhyke, Teams-tunniste	päivittäinen muistutus
Omat koulutukset	pääkäyttäjän lataamat dokumentit ja niistä tuotetut koulutukset	organisaation omat koulutukset
Organisaation kuvaus	kaupparekisterin tiedot, toiminnan kuvaus, henkilöstön määrä; ei henkilötietoja	omien koulutusten esimerkit
Tekniset tiedot	palvelimen pyyntölokit, lähetysloki	toiminta ja vianetsintä

Palvelu ei käsittele henkilötunnuksia, palkka- tai terveystietoja eikä muita erityisiä henkilötietoryhmiä. Oppija kirjoittaa keskusteluihin itse, joten henkilöstöä ohjeistetaan olemaan kirjoittamatta niihin asiakkaiden tai muiden henkilöiden tietoja; sama koskee omien koulutusten lähdedokumentteja.

Minne tiedot kulkevat

Käyttäjän ja palvelun välinen liikenne on salattua. Tekoälylle lähtee vain tekstiä: oppijan omat viestit, koulutusten teksti ja koulutuksia varten ladatut dokumentit. Oppijan nimeä ja sähköpostia ei lähetetä, mutta tekstiä ei anonymisoida: keskusteluun tai dokumenttiin kirjoitettu henkilön nimi lähtee sellaisenaan, ja siksi henkilöstöä ohjeistetaan olemaan kirjoittamatta niihin toisten henkilöiden tietoja. Puhesynteesiin lähtee vain koulutuksen kertojateksti ja kuvien tuotantoon vain videon kohtauksen otsikko. Sähköpostiin lähtee vastaanottajan osoite, etunimi, päivän tehtävät ja linkki.

Alihankkijat, joille henkilötietoja voi siirtyä, ovat Google Cloud (palvelin, tietokanta, tiedostot; Suomi), OpenAI (tekstin tekoäly, jos organisaatiolla ei ole omaa Azure OpenAI:ta; oppijan viestit ilman tilin tunnistetietoja; Yhdysvallat), Resend (sähköpostin lähetys; Yhdysvallat) ja Microsoft (Teams-botti, vain jos Teams on otettu käyttöön). OpenAI:n rajapinnan ehtojen mukaan sen kautta lähetettyä dataa ei käytetä mallien kouluttamiseen. Jos organisaatio ei halua tekoälykäsittelyn siirtoa Yhdysvaltoihin, se voi ottaa käyttöön oman Azure OpenAI:n EU-alueella; se siirtää vain mallikutsut, ja muiden palvelujen, kuten sähköpostin lähetyksen, siirrot arvioidaan käsittelysopimuksessa erikseen. Alihankkijoiden muutoksista ilmoitetaan etukäteen käsittelysopimuksen mukaisesti.

Oma Azure OpenAI, Entra ID ja Teams

Kaikki liitokset asiakkaan Microsoft-ympäristöön ovat valinnaisia. Ilman niitä CoreSkills toimii pelkällä selaimella ja sähköpostilla.

Oma Azure OpenAI. Organisaatio voi ottaa käyttöön oman Azure OpenAI -resurssinsa. Silloin tekstiä käsittelevä tekoäly toimii organisaation omassa Azure-tenantissa: oppijoiden keskustelut ja omien koulutusten tuotanto kulkevat sen kautta, ja kulut näkyvät organisaation Azure-laskussa. CoreSkills ei saa avaimia; organisaatio antaa CoreSkillsin sovellukselle lukuoikeuden ja OpenAI-käyttäjän roolin omaan resurssiinsa. Ennen ensimmäistä kutsua CoreSkills tarkistaa, että sisällön lokitus väärinkäytösvalvontaa varten on pois päältä ja että käytössä ovat vain Azuren myymät mallit, ja toistaa tarkistuksen vähintään kuuden tunnin välein. Jos resurssi ei ole käytettävissä, kutsu epäonnistuu; CoreSkills ei siirrä sitä hiljaa omaan tekoälyynsä. Suosittelemme EU:n aluetta.

Entra ID. Asiakkaan Entra-ylläpitäjä antaa suostumuksen CoreSkillsin sovellukselle, joka pyytää vain kirjautumisen perusoikeudet. Sillä ei ole sovellustason oikeuksia, joten se ei lue hakemistoa, sähköposteja eikä tiedostoja. Yhteyden voi katkaista milloin tahansa. Henkilöstön kertakirjautuminen ja automaattinen provisiointi Entra ID:stä ovat kehitteillä.

Teams. CoreSkills-botti toimii vain henkilökohtaisissa keskusteluissa. Se ei lue kanavia, tiimejä eikä käyttäjän muita tietoja, ja organisaatio voi rajata, mistä tenanteista bottia saa käyttää. Käyttäjä liittää oman Teams-tilinsä kertakäyttöisellä koodilla, joka on voimassa 15 minuuttia.

Suositeltu kokoonpano Microsoft 365 -organisaatiolle on oma Azure OpenAI EU-alueella, Teams rajattuna omaan tenanttiin ja sähköpostimuistutukset.

Organisaation kuvaus ilman nimiä

Omien koulutusten esimerkit tehdään organisaation omasta työstä, ja siksi CoreSkills pitää organisaatiosta lyhyttä kuvausta: mitä se tekee, kenelle, kuinka monen voimin ja mikä on tietoturvan kannalta olennaista. Perustiedot tulevat kaupparekisterin avoimesta datasta, ja muun tekoäly kokoaa julkisista lähteistä. Kuvaukseen ei tallenneta kenenkään nimeä, ei myöskään johdon. Tekoälyn kokoama kuvaus on luonnos, jota ei käytetä ennen kuin CoreSkillsin ylläpito on tarkistanut sen, ja pääkäyttäjä voi korjata sen; jokaisesta muutoksesta jää merkintä. Liikevaihto ja taloudellinen tilanne ovat vain taustatietoa eivätkä päädy koulutuksiin.

Mitä ei tehdä

Asiakkaan aineistoa ei käytetä tekoälymallien kouluttamiseen. Se on lisenssiehto, joka sitoo jokaista pyyntöpolun palvelua, myös asiakkaan omaa Azurea. Tekoäly ei myönnä osaamista: harjoittelun arvio on neuvoa-antava, ja todistus perustuu monivalintakokeeseen. Tietoja ei tuoda asiakkaan henkilöstöjärjestelmästä, ja Teams-botti ei lue kanavia. Täysi kuvaus tietoturvasta ja tietosuojasta käyttöönottoarvion rakenteessa, säilytysaikoineen ja riskeineen, on tuotteen ohjeissa pääkäyttäjälle.