Mikä on varjo-tekoäly?

Tekoälytyökalujen käyttö työssä ilman työnantajan tietoa ja hyväksyntää: työntekijä liittää asiakkaan sähköpostin ilmaiseen chattiin saadakseen siitä tiivistelmän tai kääntää sopimusluonnoksen selaimen tekoälyllä. Se syntyy, kun työkalu on kielletty tai sitä ei ole, mutta tarve on todellinen. Varjo-tekoälyn riski ei ole tekoäly vaan se, että tieto kulkee palveluun, jonka ehtoja kukaan ei ole lukenut, ja että kukaan ei tarkista tulosta.

Vaatiiko laki tekoälyn käyttöpolitiikkaa?

Ei sillä nimellä. Tekoälyasetuksen 4 artikla velvoittaa toteuttamaan toimenpiteitä henkilöstön tekoälylukutaidon tueksi, ja 26 artiklan 7 kohta velvoittaa kertomaan työntekijöille ennen korkean riskin järjestelmän käyttöä työpaikalla. Tietosuoja-asetus vaatii, että henkilötietoja käsitellään vain määriteltyyn tarkoitukseen ja että käsittelijöiden kanssa on sopimus. Käyttöpolitiikka on tapa, jolla nämä velvoitteet muuttuvat ohjeeksi, jota työntekijä voi noudattaa.

Mitä käyttöpolitiikassa pitää vähintään olla?

Hyväksytyt työkalut ja reitti uuden pyytämiseen; mitä tietoa työkaluihin saa syöttää ja mitä ei; kenen vastuulla tuotoksen tarkistaminen on; milloin tekoälyn käytöstä kerrotaan asiakkaalle tai merkitään sisältö; mitkä käyttötarkoitukset vaativat erillisen arvioinnin ennen käyttöä; miten koulutus järjestetään ja osoitetaan; miten virheestä tai vuodosta ilmoitetaan; ja kuka politiikkaa omistaa ja milloin se päivitetään.

Miten politiikka jalkautetaan niin, että sitä noudatetaan?

Tarjoamalla sallittu reitti jokaiselle tarpeelle, jonka varjo-tekoäly on paljastanut, kouluttamalla säännöt lyhyesti ja toistuvasti eikä yhdellä tiedotteella, ja pitämällä ilmoituskynnys matalana: työntekijä, joka kertoo syöttäneensä väärää tietoa, saa kiitoksen eikä nuhteita. Politiikka, jota kukaan ei lue, ei täytä 4 artiklan vaatimusta toimenpiteistä; koulutus, jonka suorittaminen kirjataan, täyttää.

Tekoälyn käyttöpolitiikka työpaikalle: mitä siinä pitää sanoa, jotta varjo-tekoäly loppuu

Varjo-tekoäly syntyy, kun työkalu kielletään mutta tarve jää. Toimiva käyttöpolitiikka sanoo, mitä saa käyttää ja syöttää, kuka tarkistaa ja miten 4 artikla täyttyy.

Lyhyesti

Tekoälyn käyttöpolitiikka on organisaation kirjallinen linjaus siitä, mitä tekoälytyökaluja työssä saa käyttää, mihin, millä tiedoilla ja kenen vastuulla. Sitä ei vaadi mikään laki sillä nimellä, mutta tekoälyasetuksen 4 artiklan vaatimus tekoälylukutaitoa tukevista toimenpiteistä, 26 artiklan vaatimus kertoa työntekijöille korkean riskin järjestelmistä ja tietosuoja-asetuksen vaatimukset käsittelyn tarkoituksesta ja käsittelijöistä toteutuvat käytännössä juuri sen kautta. Politiikan tärkein tehtävä on lopettaa varjo-tekoäly: ei kieltämällä vaan tarjoamalla sallittu reitti jokaiselle todelliselle tarpeelle.

Miksi kielto synnyttää varjo-tekoälyn

Kun organisaatio kieltää tekoälytyökalut, se ei poista tarvetta tiivistää pitkää raporttia, kääntää viestiä tai luonnostella vastausta. Tarve jää, ja sen täyttää selaimessa oleva ilmainen palvelu, jota kukaan ei ole arvioinut. Tämä on varjo-tekoäly, ja sen riskit ovat tuttuja: asiakkaan tiedot kulkevat palveluun, jonka käyttöehdot sallivat niiden käytön mallin kouluttamiseen; tuotosta ei tarkista kukaan, koska käyttöä ei saa myöntää; ja kun jotain menee pieleen, siitä ei kerrota.

Taitokatalogimme kuvaa taidon tekoälyn hallinta organisaatiossa neljällä tasolla, ja tasolla 2 työntekijä käyttää vain hyväksyttyjä työkaluja ja kertoo tarpeesta uudelle sen sijaan, että ottaisi sellaisen käyttöön itse. Tämä toimii vain, jos on hyväksyttyjä työkaluja ja reitti, jota pitkin tarpeesta kerrotaan. Politiikka, joka sanoo vain "ei", opettaa työntekijän olemaan hiljaa.

Mitä laki vaatii, vaikka se ei vaadi politiikkaa

Tekoälyasetuksen 4 artikla, sellaisena kuin koontiasetus (EU) 2026/1744 sen muutti, velvoittaa tarjoajat ja käyttöönottajat toteuttamaan toimenpiteitä, joilla ne tukevat henkilöstönsä tekoälylukutaidon kehittämistä ottaen huomioon henkilöstön tietämyksen, koulutuksen ja käyttöyhteyden. Velvoite ei edellytä takaamaan kenellekään tiettyä tasoa, mutta se edellyttää toimenpiteitä, ja toimenpide on jotakin, jonka voi näyttää tehdyksi. Kirjallinen linjaus ja sen koulutus ovat toimenpide; sähköpostiin haudattu kielto ei ole. Artiklan sisältö on käyty läpi artikkelissa Tekoälyasetuksen 4 artikla.

Asetuksen 26 artiklan 7 kohta velvoittaa työnantajan kertomaan työntekijöiden edustajille ja asianomaisille työntekijöille ennen korkean riskin järjestelmän käyttöönottoa työpaikalla, että heihin sovelletaan sellaista. Rekrytoinnin seulonta ja työnjohdon järjestelmät ovat liitteen III korkean riskin aloja, joten politiikan on tunnistettava ne ennen kuin kukaan ottaa niitä käyttöön. Siitä kerrotaan artikkelissa Korkean riskin tekoäly.

Tietosuoja-asetuksen 5 artikla edellyttää, että henkilötietoja käsitellään vain määriteltyyn tarkoitukseen ja vain tarpeellisin osin, ja 28 artikla, että henkilötietoja käsittelevän palvelun kanssa on sopimus. Tekoälypalvelu, johon syötetään asiakkaan tietoja, käsittelee henkilötietoja, ja ensin on selvitettävä sen rooli. Palvelu, joka käsittelee tietoja vain organisaation lukuun ja sen ohjeiden mukaan, on käsittelijä ja tarvitsee 28 artiklan sopimuksen. Palvelu, joka käyttää syötteitä omiin tarkoituksiinsa, esimerkiksi mallin kouluttamiseen, on itse rekisterinpitäjä, ja tietojen antaminen sille on luovutus, jolle tarvitaan oma käsittelyperuste. Ilmainen kuluttajapalvelu on tavallisesti jälkimmäinen. Siksi "mitä saa syöttää" on politiikan tietosuojaydin; sitä käsitellään erikseen artikkelissa Mitä tekoälytyökaluun saa syöttää työssä?.

Mitä politiikassa pitää olla

Toimiva käyttöpolitiikka on lyhyt. Sen kahdeksan osaa vastaavat kysymyksiin, joita työntekijä oikeasti kysyy.

Osa	Mihin kysymykseen se vastaa	Mihin se nojaa
Hyväksytyt työkalut ja hankintareitti	Mitä saan käyttää, ja miten pyydän uutta	Tietosuoja-asetuksen 28 artikla, organisaation oma hankinta
Syötettävä tieto	Mitä saan liittää kehotteeseen	Tietosuoja-asetuksen 5 artikla, salassapitovelvoitteet, lisenssiehdot
Tarkistusvastuu	Kuka vastaa siitä, mitä tekoäly tuotti	Tuotoksen allekirjoittaja vastaa; malli ei
Avoimuus	Milloin kerron asiakkaalle, milloin merkitsen sisällön	Tekoälyasetuksen 50 artikla
Käyttötarkoitusten raja	Mitä en saa tehdä ilman erillistä arviointia	Tekoälyasetuksen 5 artiklan kiellot, liite III, 26 ja 27 artikla
Koulutus ja näyttö	Mitä minun pitää osata ja miten se todetaan	Tekoälyasetuksen 4 artikla
Poikkeamat	Mitä teen, kun syötin väärää tietoa tai tuotos oli väärä	Tietosuoja-asetuksen 33 artikla, oma ilmoitusreitti
Omistaja ja päivitys	Kuka tätä hoitaa ja milloin se muuttuu	Tekoälyvastaava; päivitys, kun työkalut tai laki muuttuvat

Jokainen rivi on yksi tai kaksi kappaletta. Politiikka, joka on kymmenen sivua, ei ole se, jonka työntekijä muistaa, kun hän on liittämässä asiakkaan viestiä kehotteeseen.

Tarkistusvastuu on politiikan tärkein lause

Yksi lause ratkaisee enemmän kuin muut: tekoälyn tuotoksesta vastaa se, joka käyttää sen. Kielimalli tuottaa sujuvaa tekstiä, joka voi olla väärässä, ja virhe ei näy tekstistä. Jos politiikka sanoo, että tuotos on luonnos, jonka työntekijä tarkistaa ja josta hän vastaa kuin omastaan, tekoälyn käyttö on ammattilaisen työkalu. Jos politiikka ei sano sitä, tuotos lähtee asiakkaalle tarkistamatta, ja vastuu ratkaistaan jälkikäteen.

Tämä on myös se kohta, jossa 4 artiklan tekoälylukutaito muuttuu konkreettiseksi. Lukutaito ei ole kehotteiden kirjoittamista vaan sitä, että työntekijä tietää, mitä malli ei osaa: se ei tiedä organisaation sisäisiä asioita, se keksii lähteitä, se jatkaa kuviota, kun tieto loppuu. Tätä ei opita tiedotteesta vaan harjoittelemalla.

Miten politiikka jalkautetaan

Jalkautus on kolme asiaa. Ensin inventaario siitä, mitä henkilöstö jo käyttää. Varjo-tekoälyn kartoitus kannattaa tehdä ilman seuraamuksia, koska tavoite on saada tarpeet esiin, ei syyllisiä. Jokainen löytynyt tarve saa politiikassa sallitun reitin tai perustellun kiellon.

Sitten koulutus, joka on lyhyt ja toistuva. Politiikan säännöt ovat muutamia, mutta ne pitää muistaa tilanteessa, jossa houkutus on ohittaa ne. Säännöllinen kertaus pitää ne mielessä, ja kirjattu suoritus on 4 artiklan toimenpiteen näyttö. Siitä, miksi lyhyt ja toistuva voittaa koulutuspäivän, kerrotaan artikkelissa Mikro-oppiminen työpaikalla.

Lopuksi omistaja. Taitokatalogimme tasolla 3 esihenkilö laatii ja jalkauttaa politiikan omalle vastuualueelleen ja tunnistaa varjo-tekoälyn, ja tasolla 4 tekoälyvastaava rakentaa hallintajärjestelmän ja kytkee sen lakivelvoitteisiin. Ilman nimettyä omistajaa politiikka vanhenee ensimmäisen uuden työkalun kohdalla. Kuka organisaatiossa vastaa tekoälyn käytöstä, käsitellään artikkelissa Kuka organisaatiossa vastaa tekoälyn käytöstä?.

Mitä politiikka ei ratkaise

Politiikka ei tee työkalusta turvallista. Hyväksytyn työkalun sopimus, tietojen sijainti ja se, oppiiko palvelu syötteistä, ratkaistaan hankinnassa, ja politiikka vain viittaa siihen. Politiikka ei myöskään korvaa korkean riskin järjestelmän arviointia: se tunnistaa, että arviointi tarvitaan, ja osoittaa, kuka sen tekee. Ja politiikka ei pysäytä sitä, joka päättää rikkoa sitä. Sen tehtävä on, että rehellinen työntekijä tietää, miten toimia oikein, ja että tapa toimia oikein on helpompi kuin tapa toimia väärin.