Mitä CoreSkillsin kirjastossa on: lakisääteiset koulutukset, jotka tietävät pykälänsä

Lyhyesti

CoreSkillsin kirjasto on valmis koulutuskokonaisuus niihin velvoitteisiin, jotka koskevat lähes jokaista suomalaista työpaikkaa: tietosuoja, tietoturva ja tekoäly. Koulutukset on kirjoitettu säädöksistä, ja jokainen kertoo, mihin pykälään se nojaa. Ne on jaettu kuuden minuutin oppitunteihin ja koottu opintopoluiksi, joista sertifioivat päättyvät kokeeseen ja todistukseen. Kirjasto on kaikille asiakkaille yhteinen, ja se kasvaa viikoittain: uusi säädös tai muuttunut pykälä näkyy koulutuksissa, ei vasta seuraavassa koulutuspäivässä.

Kolme säiettä ja toimialat

Kirjaston runko on kolme säiettä.

Tietosuoja opettaa, mitä tietosuoja-asetus, tietosuojalaki ja laki yksityisyyden suojasta työelämässä vaativat jokaiselta työntekijältä ja erikseen tietosuojavastaavalta, esihenkilöltä ja henkilöstöhallinnolta: käsittelyn perusteet, rekisteröidyn oikeudet, tietoturvaloukkauksen tunnistaminen ja ilmoittaminen.

Tietoturva ja NIS2 kattaa kyberhygienian koko henkilöstölle, eli tietojenkalastelun ja sosiaalisen manipuloinnin, salasanat ja monivaiheisen tunnistautumisen, etätyön, haittaohjelmat ja tietojen luokittelun, sekä johdolle ja tietohallinnolle kyberturvallisuuslain velvoitteet: soveltamisala, riskienhallinnan toimenpiteet, poikkeamailmoitukset ja johdon vastuu.

Tekoäly alkaa tekoälylukutaidosta, jota tekoälyasetuksen 4 artikla edellyttää jokaiselta käyttöönottajalta, ja jatkuu tekoälyvastaavan osaamiseen: riskiluokat, suuririskisen järjestelmän käyttöönottajan velvoitteet ja ihmisen valvonta. Koontiasetuksen (EU) 2026/1744 tuoma muutos on kirjastossa omana säädöksenään, ja sitä käsittelevä koulutus lukee molempia tekstejä.

Säikeiden päälle on toimialakohtaisia koulutuksia. Sosiaali- ja terveydenhuollolle on asiakastietolakiin nojaava tietosuojapolku, teollisuudelle tuotantoympäristön OT-tietoturva ja kiinteistöautomaation kyberturva, ja alihankkijoille koulutus siitä, mitä NIS2-asiakkaan sopimus tuo mukanaan. Toimiala ei rajaa kirjastoa vaan järjestää sen: organisaation omat toimialat näkyvät ensin, kaikille yhteiset sitten ja muiden toimialojen koulutukset viimeisenä, eikä mitään piiloteta.

Opintopolut, jotka päättyvät todistukseen

Opintopolku on se, mikä määrätään ja suoritetaan. Se koostuu taidoista ja kullekin taidolle vaaditusta tasosta, ja taito kertyy koulutuksista. Sertifioiva opintopolku päättyy kokeeseen, ja läpäisty koe lunastetaan todistukseksi, joka on voimassa 12 kuukautta.

Opintopolku	Vaadittu taso	Läpäisyraja	Mihin velvoitteeseen
Tietosuojan perusteet	2	75 %	Tietosuoja-asetus: henkilöstön osaaminen
Kyberturvallisuuden perusteet	2	75 %	Kyberturvallisuuslaki: kyberhygienia
Tekoälylukutaito	2	75 %	Tekoälyasetus, 4 artikla
Tietosuoja sosiaali- ja terveydenhuollossa	2, yksi taito tasolla 3	75 %	Asiakastietolaki
Johdon kyberturvallisuusvastuu	3	80 %	Kyberturvallisuuslaki: johdon koulutusvelvoite
Tekoälyvastaavan osaaminen	3–4	80 %	Tekoälyasetus, 26 artikla
Tietosuojavastaavan osaaminen	4	80 %	Tietosuoja-asetus, 37–39 artikla
Tietoturvavastaavan osaaminen	4	80 %	Kyberturvallisuuslaki, ISO/IEC 27001

Tasot kertovat, mitä osaamisella tehdään: tason 2 soveltaja osaa toimia oikein omassa työssään, tason 3 vastuullinen vastaa asiasta ja ohjaa muita, tason 4 asiantuntija ratkaisee myös rajatapaukset. Vastuuhenkilön polku vaatii enemmän korkeammalla kynnyksellä, ei pidemmällä kokeella: jokainen koe on kolme kymmenen kysymyksen osaa, kuusi minuuttia kukin. Siitä, miten koe ja todistus toimivat, kerrotaan artikkelissa Koe ja todistus.

Koulutus, joka tietää pykälänsä

Jokainen kirjaston koulutus on kirjoitettu nimetyistä lähteistä, ja säädös on niistä tärkein. Säädökset ovat CoreSkillsin omassa säädöskirjastossa versioina ja pykälinä: tietosuoja-asetus, tietosuojalaki ja työelämän tietosuojalaki, tekoälyasetus ja sitä muuttanut koontiasetus, NIS2-direktiivi ja kyberturvallisuuslaki, asiakastietolaki, tiedonhallintalaki ja ilmoittajansuojelulaki muiden muassa. Koulutus ja koekysymys viittaavat pykälään, ja säädöksen sanamuoto toistetaan täsmälleen tai ei ollenkaan.

Tästä seuraa kaksi asiaa, jotka erottavat kirjaston kurssivideosta. Ensinnäkin oppija ja valvoja näkevät, mihin väite perustuu: koulutuksen lopussa ovat sen lähteet, ja säädöksen kohdan voi avata. Toiseksi lakimuutos ei jää huomaamatta. Kun säädöksestä tulee uusi versio, muuttuneeseen kohtaan nojaavat koekysymykset merkitään tarkistettaviksi, eikä koe kysy niitä ennen kuin ihminen on tarkistanut ne. Koulutus päivitetään samasta syystä, ja uusi koulutus syntyy uudesta säädöksestä saman päivän aikana, ihmisen tarkistuksen kanssa.

Kuka on tarkastanut

Koulutukset kirjoitetaan tekoälyllä. Siksi jokaisen koulutuksen kortissa ja sivulla lukee, kuka sen on tarkastanut.

Tekoälyn tuottama, tekoälyn tarkastama tarkoittaa, että automaattinen tarkastus on tehty: teksti ei toista lisensoitua lähdettä sanatarkasti, ja tarkastuksen löydökset, esimerkiksi väitteet, joille se ei löytänyt tukea lähteistä, on kirjattu koulutuksen tarkastusraporttiin sen lukijaa varten. Merkintä kertoo tehdystä tarkastuksesta, ei takaa virheettömyyttä. Tekoälyn tuottama, ihmisen tarkastama tarkoittaa, että joku on lukenut koulutuksen ja hyväksynyt sen, ja hyväksyjän nimi ja päivä on tallennettu.

Merkintä kertoo lukijalle, mitä hän lukee. Todistukseen se ei vaikuta: todistus perustuu aina kokeeseen, jonka kysymykset ihminen on hyväksynyt yksitellen, eikä koe koskaan kysy kysymystä, jonka vain tekoäly on hyväksynyt.

Mitä kirjasto ei ole

Kirjasto ei ole kurssiluettelo, josta jokainen valitsee itseään kiinnostavan. Se on rakennettu velvoitteista taaksepäin: ensin on selvitetty, mitä alalla on osattava ja mihin vaatimus perustuu, sitten on määritelty taidot ja tasot, ja vasta sitten on kirjoitettu koulutukset, jotka opettavat ne. Siksi opintopolku voidaan määrätä työnkuvalle, ja siksi sen suoritus kelpaa näytöksi.

Kirjasto ei myöskään korvaa organisaation omia ohjeita. Perehdytys, oma tietoturvapolitiikka ja oman toimialan erityisohjeet tehdään organisaation omasta aineistosta samaan muotoon, ja ne kertyvät organisaation omiin opintopolkuihin. Siitä kerrotaan artikkelissa Omasta aineistosta koulutukseksi.

Miten kirjastoa käytetään

Pääkäyttäjä valitsee organisaation toimialat, kutsuu henkilöstön ja määrää opintopolut työnkuvittain tai koko henkilöstölle, määräpäivän kanssa tai ilman. Työntekijä saa opintopolun seuraavan askeleen päivän suunnitelmaansa, kuusi minuuttia kerrallaan, ja pääkäyttäjä näkee raporteista, kuka on tahdissa ja kenellä on voimassa oleva todistus. Siitä, miltä tämä näyttää valvojan pyytäessä selvitystä, kerrotaan artikkelissa Koulutusnäyttö valvojalle.