Palkkalaskelmat, sopimukset, haastattelumuistiinpanot ja asiakaskirjeenvaihto voivat sisältää arkaluonteisia tietoja. Asiakirjojen peittäminen auttaa poistamaan valitut tiedot siitä versiosta, jonka aiot jakaa tai käsitellä. Palautettava ja pysyvä peittäminen palvelevat eri tarkoituksia, eikä kumpikaan vahvista automaattisesti, että tulos on anonyymi tai että jatkokäyttö on lainmukaista.
Tämä opas on se kattava käsikirja, jota kaipasimme rakentaessamme Redacticia. Siinä käydään läpi, mitä tietojen peittäminen todella on ja mitä se ei ole, miten GDPR kehystää asian (pseudonymisointi 4 artiklan mukaan ja anonymisointi johdanto-osan 26 kappaleen mukaan), kaksi peittämistilaa, joita tulet käyttämään käytännössä, mitkä henkilötietoluokat on peitettävä ennen mitään tekoälykäyttöä, viisivaiheinen työnkulku, joka toimii yksittäisestä pdf-tiedostosta monivälilehtiseen palkkataulukkoon, shadow AI:n todellinen GDPR-riski asiantuntijapalveluyrityksissä, kahdeksan kohdan tarkistuslista peittämistyökalun valintaan sekä UKK, jossa on asiakkaidemme joka viikko esittämät kysymykset.
Voit lukea koko artikkelin ylhäältä alas, se on kirjoitettu silmäiltäväksi, tai hypätä osioon, joka vastaa kiireisintä ongelmaasi. Jos yrityksessäsi on jo käyty keskustelu ”mitä teemme ChatGPT:n kanssa” ja se on hävitty, aloita shadow AI -osiosta. Jos huoli koskee lähinnä valvontaviranomaisen tarkastuksia, aloita GDPR-kehyksestä.
1. Mitä tietojen peittäminen on ja mitä se ei ole
Tietojen peittäminen (englanniksi redaction) tarkoittaa henkilötietojen tai muiden arkaluonteisten tietojen tunnistamista asiakirjasta ja niiden poistamista siitä versiosta, joka jaetaan, käsitellään tai säilytetään edelleen. Sana tulee oikeuskäytännöstä, jossa oikeudenkäyntiasiakirjojen kohtia mustattiin ennen julkaisua; digitaalisissa työnkuluissa se kattaa paljon laajemman joukon toimenpiteitä, nimen korvaamisesta paikkamerkillä kuvan alueen pysyvään tuhoamiseen pikselintarkalla mustauksella.
Ihmiset käyttävät usein sanoja ”peittäminen”, ”anonymisointi”, ”pseudonymisointi”, ”maskaus”, ”salaus” ja ”poistaminen” sekaisin. Ne eivät ole vaihdettavissa keskenään, ja ero on GDPR:n kannalta olennainen. Palaamme oikeudellisiin vivahteisiin osiossa 2; pidä toistaiseksi mielessä seuraavat erot.
- Peittäminen (redaction) on ylätason vaihe: henkilötietoja sisältävän asiakirjan muuttaminen versioksi, joka ei enää sisällä niitä (tai ei sisällä niitä tavalla, jonka hyökkääjät tai asiattomat lukijat voisivat rekonstruoida).
- Maskaus (masking) on tekniikka: jokainen löydetty henkilötietojakso korvataan paikkamerkillä, kuten
[PERSON_1]tai⟦NAME⟧. Paikkamerkki on ymmärrettävä seuraavalle prosessille (esimerkiksi LLM:lle), mutta se ei sisällä tunnistetta. Käytännössä henkilötietojen peittäminen tarkoittaa valintaa tämän tien ja pysyvän mustauksen välillä sen mukaan, minne asiakirja on menossa. - Pseudonymisointi on maskaus sekä hallittu, erikseen säilytettävä yhteys takaisin alkuperäisiin arvoihin. GDPR tunnustaa sen nimenomaisesti 4 artiklan 5 kohdassa ja suosii sitä koko tekstissä, mutta se ei tee tiedoista ”anonyymeja”.
- Anonymisointi on yksisuuntainen ja peruuttamaton. Anonymisoinnin jälkeen kenenkään, myöskään sinun, ei pidä pystyä tunnistamaan rekisteröityä uudelleen. GDPR asettaa tämän rimän johdanto-osan 26 kappaleessa, ja anonyymit tiedot jäävät kokonaan asetuksen soveltamisalan ulkopuolelle.
- Salauksen voi purkaa jokainen, jolla on avain. Salatut henkilötiedot ovat edelleen henkilötietoja GDPR:n mukaan; salaus on tietoturvatoimi eikä peittämistekniikka.
- Poistaminen poistaa asiakirjan; peittäminen poistaa henkilötiedot asiakirjasta, jonka säilytät.
Valitse pysyvä peittäminen, kun valitut arkaluonteiset tiedot on saatava pois jaetusta tulosteesta. Valitse palautettava peittäminen, kun tuettu työnkulku tarvitsee paikkamerkkejä ja myöhempää palautusta. Arvioi molemmissa tapauksissa jäljelle jäävä asiayhteys ja epäsuorat tunnisteet. Pysyvä peittäminen ei automaattisesti vahvista anonymisointia.
Toinen jatkuvasti näkemämme malli on peittämisen kohtelu kertaluonteisena vaiheena ennen jakamista. Yrityksessä, jossa on jaetut laitteet, viikoittaista LLM-käyttöä ja ulkoistettuja alihankkijoita, peittämisen on oltava osa työnkulkua: latauksessa, tekoälykyselyssä ja viennissä. Juristin kuukausittainen manuaalinen läpikäynti mustalla tussilla ei riitä.
2. GDPR-kehys: pseudonymisointi 4 artiklan 5 kohdan mukaan ja anonymisointi johdanto-osan 26 kappaleen mukaan
Kolme GDPR:n viittausta ohjaa jokaista mielekästä keskustelua tietojen peittämisestä EU:ssa.
GDPR:n 4 artiklan 5 kohta määrittelee pseudonymisoinnin ”henkilötietojen käsittelyksi siten, että henkilötietoja ei voida enää yhdistää tiettyyn rekisteröityyn käyttämättä lisätietoja”. Lisätiedot on ”säilytettävä erillään, ja niihin on sovellettava teknisiä ja organisatorisia toimenpiteitä, joilla varmistetaan, ettei henkilötietoja yhdistetä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön”. Pseudonymisoidut tiedot pysyvät henkilötietoina: GDPR on edelleen voimassa, tarvitset edelleen oikeusperusteen ja rekisteröidyllä on edelleen oikeus tutustua tietoihin ja vaatia niiden poistamista.
GDPR:n johdanto-osan 26 kappale vetää anonymisoinnin rajan: ”Tietosuojaperiaatteita ei tämän vuoksi pitäisi soveltaa anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, jotka on anonymisoitu siten, ettei rekisteröityä voida tunnistaa tai ettei häntä voida enää tunnistaa.” Anonyymit tiedot ovat soveltamisalan ulkopuolella. Rima on korkealla, ja sen ymmärtää parhaiten 29 artiklan työryhmän lausunnon 05/2014 kolmen kriteerin kautta: henkilön erottaminen, tietueiden yhdistäminen ja päätelmien tekeminen. Jos peitetty asiakirja mahdollistaa edelleen yksittäisen henkilön erottamisen, tietueiden yhdistämisen aineistojen välillä tai tietyn henkilön ominaisuuksien päättelemisen, olet pseudonymisoinut etkä anonymisoinut.
25 artikla (sisäänrakennettu ja oletusarvoinen tietosuoja) ja 32 artikla (käsittelyn turvallisuus) nostavat yhdessä pseudonymisoinnin esiin järkevänä teknisenä toimenpiteenä riskialttiissa käsittelyssä. 32 artiklan 1 kohdan a alakohta mainitsee sen nimenomaisesti. Siksi valvontaviranomaiset palkitsevat GDPR-vaatimustenmukaisuusohjelman, johon on panostettu aidon pseudonymisoinnin muodossa: se on toimenpide, jonka asetus itse mainitsee nimeltä.
EU:n tekoälysäädös, joka on päällekkäinen GDPR:n kanssa tällä alueella, on ollut voimassa vuodesta 2024, ja suuririskisiä järjestelmiä koskevat säännökset tulevat voimaan vaiheittain 2026 ja 2027. Se tuo mukaan lisäkerroksen. HR:ssä käytettävät tekoälyjärjestelmät (rekrytointi, suoritusarviointi, ylennyspäätökset) luokitellaan suuririskisiksi liitteen III mukaan. Ne edellyttävät riskienhallintaa, tiedonhallintaa, teknistä dokumentaatiota, avoimuutta, ihmisen suorittamaa valvontaa, tarkkuuden, kestävyyden ja kyberturvallisuuden tarkistuksia sekä perusoikeusvaikutusten arviointia. Säädös ei vaadi pseudonymisointia ennen tekoälykäyttöä, mutta käytännössä se on selkein tapa täyttää samanaikaisesti tietojen minimointi (GDPR:n 5 artikla) ja tekoälysäädöksen tiedonhallintaa koskeva artikla (10 artikla). Tekoälykäytössä GDPR:n ja tekoälysäädöksen noudattaminen toimii parhaiten yhtenä toimintamallina, jossa kumpaakin sääntelyä hallitaan yhdessä.
Yksi myytti on kumottava: monet toimittajat markkinoivat työkaluaan ”GDPR-anonymisointina”, vaikka kyse on pseudonymisoinnista. Jos yhteys paikkamerkistä takaisin alkuperäiseen arvoon on olemassa jossakin, tiedostojärjestelmässäsi, käyttäjän selaimessa tai meidän ylläpitämässämme palvelussa, tiedot on pseudonymisoitu eikä anonymisoitu. GDPR:n mukainen pseudonymisointi on hyödyllinen suojatoimi, eikä sen tarjoamisessa ole mitään vikaa; sen kutsuminen anonymisoinniksi johtaa harhaan ja altistaa asiakkaan vaatimustenmukaisuuden sudenkuopalle. Redacticin peittämissertifikaatti erottaa nämä kaksi nimenomaisesti ja merkitsee jokaisen palautettavan työn 4 artiklan 5 kohdan mukaiseksi pseudonymisoinniksi.
Oikeuskäytäntö on tiukentanut rajaa entisestään. Asiassa Breyer v. Saksa (C-582/14, 2016) unionin tuomioistuin katsoi, että verkkosivuston ylläpitäjän säilyttämä IP-osoite on henkilötieto, jos ylläpitäjällä on kohtuullisia laillisia keinoja saada täydentävät tunnistetiedot kolmannelta osapuolelta. ”Kohtuullisten keinojen” testi on laajempi kuin moni insinööri olettaa: tiedot, joita palvelusi ei yksin pysty tunnistamaan, voivat silti olla henkilötietoja, jos tuomioistuimen määräys tai sopimusjärjestely voi toimittaa puuttuvat palaset. Peittämisen kannalta tämä tarkoittaa, että jako paikkamerkkeihin ja yhteyteen kahden organisaation välillä ei automaattisesti ole anonymisointia: jos jompikumpi osapuoli voi laillisesti pakottaa toisen luovuttamaan yhteyden, tiedot ovat molemmille pseudonymisoituja. Vuoden 2023 tuomio SRB v. EDPS (T-557/20) vahvisti testin asiayhteydestä riippuvaa luonnetta erottamalla vastaanottajan hallussa olevat pseudonymisoidut tiedot, joita vastaanottaja ei pysty tunnistamaan uudelleen, samoista tiedoista rekisterinpitäjällä, joka pystyy.
29 artiklan työryhmän lausunto 05/2014 (jota nykyisin tukee Euroopan tietosuojaneuvosto) tekee johdanto-osan 26 kappaleesta käyttökelpoisen kolmella konkreettisella hyökkäysmallilla. Erottaminen: pystyykö hyökkääjä eristämään tietueen, joka vastaa yhtä henkilöä? Yhdistäminen: voidaanko kaksi saman aineiston tai eri aineistojen tietuetta yhdistää samaan henkilöön? Päätelmien tekeminen: voidaanko yhden ominaisuuden arvo päätellä muiden yhdistelmästä? Jos vastaus johonkin kolmesta on kyllä, asiakirja on pseudonymisoitu eikä anonymisoitu. Käytännön johtopäätös on, että nimen peittäminen palkkataulukosta ei anonymisoi sitä, koska rivi erottaa edelleen työntekijän, ja että aidosti anonyymi tapaus on harvinaisempi kuin toimittajat antavat ymmärtää.
3. Kaksi peittämistilaa: palautettava (paikkamerkkiyhteys) ja peruuttamaton (mustaus)
Tuotannossa käytät kahta tilaa jatkuvasti. Eron ymmärtäminen on ero sellaisen työnkulun välillä, joka läpäisee tarkastuksen, ja sellaisen, joka vuotaa nimiä, koska valitsit tehtävään väärän työkalun.
Palautettava peittäminen korvaa löydetyt arkaluonteiset arvot paikkamerkeillä ja käyttää tuetuissa työnkuluissa palautukseen erillistä yhteyttä. Suojaa yhteys ja tarkista valmisteltu teksti ennen jokaista valinnaista tekoälytehtävää. Huomaamatta jääneet arvot ja asiayhteyden tiedot voivat edelleen tunnistaa henkilöitä.
Palautusyhteydet tarvitsevat suojauksen ja määritellyn säilytyskäytännön. Työnkulusta riippuen käsittelyyn voi kuulua paikallisen palautuksen lisäksi tilapäinen palvelinpuolen tila. Redactic ei väitä, että alkuperäinen sisältö tai yhteystiedot pysyisivät aina selaimessa. Säilytys- ja poistovelvoitteet löytyvät sovellettavasta henkilötietojen käsittelysopimuksesta.
Pysyvä peittäminen poistaa valitut arkaluonteiset tiedot viedystä asiakirjasta. Skannauksissa ja kuvissa OCR voi auttaa löytämään tekstiä, joka on tarkistettava. Tarkista tulos huomaamatta jääneiden arvojen, piilotettujen tietojen ja epäsuorien tunnisteiden varalta. Valitun tekstin tai kuva-alueiden tuhoaminen ei sellaisenaan osoita, etteikö henkilöitä voisi enää tunnistaa jäljelle jääneestä aineistosta.
Yleisimmin näkemämme virhe on päinvastainen: yritys tekee ”anonymisoinnin”, joka onkin palautettavaa peittämistä, jakaa tiedoston ulkoisesti ja jättää yhteyden jaetulle asemalle, johon vastaanottaja saa lopulta pääsyn. Tuloksena on uudelleen tunnistettavissa oleva tietue kolmannen osapuolen palvelimella. Valitse tila asiakirjan määränpään mukaan.
Redactic tarjoaa palautettavaa ja pysyvää peittämistä tuetuille työnkuluille. Käytettävissä olevat vientimuodot ja säilyvä asettelu riippuvat syötteestä ja valitusta toimenpiteestä. Vahvista tulos edustavalla tiedostolla; älä oleta, että palautettava peittäminen säilyttää pdf-tiedoston alkuperäisessä muodossa.
4. Henkilötietoluokat, jotka on peitettävä ennen tekoälykäyttöä
Kaikki henkilötiedot eivät paina sääntelyssä yhtä paljon. GDPR erottaa ”henkilötiedot” (4 artiklan 1 kohta), kaiken, mikä tunnistaa tai voi tunnistaa luonnollisen henkilön, ja ”erityiset henkilötietoryhmät” (9 artikla), kuten terveystiedot, biometriset tunnisteet, rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen vakaumus, ammattiliiton jäsenyys, seksuaalinen suuntautuminen ja geneettiset tiedot. Erityisten ryhmien käsittelyn rima on selvästi korkeampi (nimenomainen suostumus, keskeiset edut, yleinen etu terveyden alalla ja niin edelleen), ja tahattoman paljastumisen riski LLM-puolella on vastaavasti suurempi.
Seuraava taulukko on käyttämämme operatiivinen lyhytlista. Ennen kuin asiakirja menee ChatGPT:lle, Claudelle, Geminille, Mistralille tai muulle LLM-palveluntarjoajalle, jokainen alla oleva kohta on joko maskattava paikkamerkillä tai mustattava sen mukaan, tarvitseeko työnkulku palautettavuutta.
| Luokka | Esimerkit | Miksi sillä on merkitystä |
|---|---|---|
| Suorat tunnisteet | Koko nimi, sähköposti, puhelin, postiosoite | Pienin henkilötietojoukko; tunnistaa vaikeuksitta. |
| Kansalliset tunnisteet | Italian Codice Fiscale, Ranskan NIR/INSEE, Saksan Steuer-ID, Espanjan DNI/NIE, passinumerot EU:ssa | Maakohtaiset tunnisteet vaativat asianmukaisen peiton ja ihmisen tekemän tarkistuksen. Muodon täsmääminen ei välttämättä vahvista tunnistetta tai sitä, kenelle se kuuluu. |
| Taloudelliset | IBAN, SWIFT, maksukorttinumerot, pankkitili, vero- ja arvonlisäverotunnukset | PCI-DSS:n lähellä oleva riski ja suora petosriski. |
| Työsuhde | Henkilöstönumero, palkkatieto, työsuhteen alkamispäivä, palkka, suoritusarvosana | Mahdollistaa tunnistamisen pienessä organisaatiossa ilman nimeäkin. |
| Terveys (9 artikla) | Diagnoosit, lääkitys, sairauspoissaolojen syyt, työterveyshuollon muistiinpanot | Erityinen ryhmä; vaatii nimenomaisen suostumuksen tai muun 9 artiklan mukaisen perusteen. |
| Biometria / henkilöasiakirjat | Henkilökortin numero, ajokortti, passi, kasvokuvat | Erityinen ryhmä, jos niitä käytetään yksilölliseen tunnistamiseen. |
| Kvasitunnisteet | Syntymäaika + postinumero + sukupuoli, tarkka rooli + osasto, epätavallinen asema | Käytetään yhdistämishyökkäyksissä. Sweeneyn 87 prosentin sääntö: postinumero + syntymäaika + sukupuoli tunnistaa suurimman osan aikuisista Yhdysvalloissa. |
| Vapaan tekstin paljastukset | Poistumishaastattelut, asiakasvalitukset, tukipyynnöt | Vaikein luokka. Livahtaa usein mallipohjaisten työkalujen ohi ja vaatii koneoppimiseen perustuvaa nimettyjen kohteiden tunnistusta. |
Henkilötietojen automaattinen tunnistus voi yhdistää mallipohjaisia tekniikoita ja koneoppimista löytääkseen todennäköisesti arkaluonteisia tietoja. Redactic yhdistää automaattisen tunnistuksen, asiakirjakäsittelyn ja ihmisen tekemän tarkistuksen Redacticin hallitsemassa eurooppalaisessa infrastruktuurissa. Peittämätöntä sisältöä ei lähetetä kolmansien osapuolten tekoäly- tai koneoppimispalveluihin tunnistuksen tai peittämisen aikana. Tarkkuus riippuu asiakirjan laadusta, kielestä ja asiayhteydestä.
OCR tekee tuettujen skannausten ja kuvien tekstistä tunnistuksen ja tarkistuksen käytettävissä olevaa. Matala resoluutio, kierto, käsinkirjoitus ja monimutkaiset asettelut voivat vaikuttaa tulokseen. Tarkista jokainen olennainen sivu ja viety asiakirja; OCR-tuki ei takaa, että jokainen arkaluonteinen arvo löytyy.
Pääosin terveystietoja sisältävät raportit vaativat saman huolellisuuden, ja Redactic näyttää, miten psykologit voivat peittää psykologiset lausunnot ja asiantuntijaraportit ennen niiden jakamista asianajajille, kouluille tai tuomioistuimelle.
5. Viisivaiheinen työnkulku, joka skaalautuu
Toistettava peittämisprosessi yhdistää asiakirjan valinnan, automaattisen tunnistuksen, ihmisen tekemän tarkistuksen, toteutuksen ja tuloksen tarkastuksen. Seuraavat viisi vaihetta ovat käytännön lähtökohta; mukauta ne organisaatiosi tietojenkäsittely- ja hyväksyntävaatimuksiin.
- Lataa. Valitse tuettu asiakirja ja varmista, että sinulla on oikeus käsitellä sitä. Vakiomuotoisessa SaaS-palvelussa alkuperäinen asiakirja ladataan Redacticiin käsiteltäväksi Euroopassa. Tunnistus ja peittäminen eivät lähetä peittämätöntä sisältöä kolmansien osapuolten tekoälypäättelypalveluihin.
- Tunnista. Löydä todennäköiset nimet, yhteystiedot, taloustiedot ja olennaiset kansalliset tunnisteet. Skannauksissa ja kuvissa tekstintunnistus voi auttaa löytämään tietoja. Käsittele osumia ehdotuksina, jotka vaativat tarkistuksen.
- Tarkista. Käy läpi löydetyt arvot, korjaa virheelliset osumat ja etsi huomaamatta jääneitä arkaluonteisia tietoja. Kiinnitä erityistä huomiota asiayhteystunnisteisiin, huonoihin skannauksiin, taulukoihin ja epäjohdonmukaiseen kirjoitusasuun.
- Toteuta. Valitse pysyvä tai palautettava peittäminen aiottuun määränpäähän. Suojaa palautusyhteydet, kun niitä käytetään. Tarkista asiakirjan ominaisuudet ja piilotetut tiedot näkyvän tekstin rinnalla; tiedostomuotokohtaiset rajoitukset ovat tärkeitä.
- Jaa tai palauta. Tarkista viety tulos ennen jakamista. Jos valitset valinnaisen tekoälytyönkulun, tarkista ensin valmisteltu sisältö ja palveluntarjoajan ehdot. Palauta arvoja vain tuetussa työnkulussa asianmukaisesti suojatulla yhteydellä. Pidä toimenpiderekisteriä, joka sopii tarkastusvaatimuksiisi.
Peittämissertifikaatti voi täydentää toimenpiderekisteriäsi asiakirjojen tiivisteillä ja peittämisen yhteenvedoilla. Se ei todista, että jokainen arkaluonteinen arvo on löydetty, ei vahvista anonymisointia eikä todista itsenäisesti, ettei asiakirjasta ole säilytetty kopiota. Vertaa varsinaisen sertifikaatin kenttiä omiin tarkastusvaatimuksiisi.
Palkkatiimi voi esimerkiksi käydä läpi monivälilehtisen taulukon työntekijöiden nimien, veronumeroiden, pankkitietojen ja arkaluonteisten muistiinpanojen osalta. Tiimi vahvistaa osumat, korjaa huomaamatta jääneet arvot ja valitsee tarpeen mukaan palautettavan tai pysyvän peittämisen. Ennen jakamista viety työkirja tarkistetaan, mukaan lukien kaavat, numeeriset solut, piilotetut taulukot, kommentit ja ominaisuudet. Esimerkki havainnollistaa työnkulkua eikä ole mitattu takuu tarkkuudesta tai käsittelyajasta.
6. Shadow AI: miksi harkitsematon ChatGPT:n käyttö rikkoo GDPR:ää
Keskustelu, jota käymme asiakkaiden kanssa useimmin, alkaa näin: ”Kielsimme ChatGPT:n arkaluonteisilta tiedoilta. Sitten huomasimme, että kaikki liimaavat sinne asioita silti, yksityisiltä tileiltä, puhelimella, työajan jälkeen.” Tämä on shadow AI: julkisten LLM-palvelujen käyttöä arkaluonteisilla tiedoilla ilman IT:n näkyvyyttä, usein hyvässä uskossa. Se on vuonna 2026 vallitseva tekoälyriski asiantuntijapalveluyrityksissä.
Shadow AI rikkoo GDPR:ää kolmella konkreettisella tavalla. Ensinnäkin LLM-palveluntarjoajasta tulee henkilötietojen käsittelijä ilman käsittelysopimusta. 28 artikla edellyttää tällaista sopimusta, ja 28 artiklan 3 kohta luettelee kahdeksan lauseketta, jotka sen on sisällettävä, ennen mitään käsittelyä rekisterinpitäjän lukuun. Käyttäjä, joka liittää asiakkaiden nimiä yksityiselle ChatGPT-tilille, synnyttää käsittelyä ilman sopimusta, ilman merkintää käsittelytoimien selosteeseen (30 artikla), ilman 28 artiklan mukaista arviointia ja ilman dokumentoitua alikäsittelijöiden ketjua. Toiseksi palveluntarjoajan kuluttajatason oletusasetuksista riippuen syötettä voidaan käyttää seuraavan mallin kouluttamiseen, mikä on peruuttamaton paljastuminen, jota poistaminen (17 artikla) ei voi kumota. Kolmanneksi tiedot ylittävät EU:n rajan yhdysvaltalaiseen datakeskukseen ilman, että rekisterinpitäjä on tehnyt siirrosta Schrems II -tuomion jälkeistä arviointia.
Redacticin asiakirjojen tunnistus ja peittäminen toimivat Redacticin hallitsemassa eurooppalaisessa infrastruktuurissa ilman kolmansien osapuolten tekoäly- tai koneoppimispäättelyä peittämättömälle sisällölle. Valinnaiset tekoälytyönkulut ovat erillisiä: löydetyt arkaluonteiset arvot poistetaan tai korvataan ennen kuin valmisteltu sisältö lähetetään valitulle palveluntarjoajalle. Tarkista asiakirjateksti, lisäohjeet ja keskusteluviestit; huomaamatta jääneet arvot ja asiayhteyden yksityiskohdat voivat edelleen tunnistaa henkilöitä. Palveluntarjoaja, alue, säilytys ja koulutusehdot riippuvat valitusta työnkulusta ja sovellettavasta sopimuksesta.
Tämä ei ole teoreettinen huoli. Samsung kielsi ChatGPT:n ja muut generatiiviset tekoälytyökalut toukokuussa 2023 sen jälkeen, kun työntekijöiden kerrotaan syöttäneen yrityksen tietoja, myös lähdekoodia, chattibottiin. Italian Garante esti ChatGPT:n väliaikaisesti 30. maaliskuuta 2023 6 artiklan (oikeusperuste), 13 artiklan (tiedonantovelvollisuus) ja ikävarmennuksen puutteen vuoksi; palvelu palautettiin 28. huhtikuuta 2023 vasta sen jälkeen, kun OpenAI oli ottanut käyttöön ikärajoituksen, kieltäytymismahdollisuuden ja nimenomaisen tiedotuksen. Garante antoi sittemmin lopullisen päätöksen 20. joulukuuta 2024 ja määräsi 15 miljoonan euron sakon. Samaan aikaan Espanjan AEPD aloitti tutkinnan huhtikuussa 2023, ja Euroopan tietosuojaneuvosto perusti huhtikuussa 2023 erityisen ChatGPT-työryhmän, joka julkaisi alustavat päätelmänsä toukokuussa 2024. Cyberhavenin vuoden 2023 tutkimus, jota Cleansum siteeraa, havaitsi, että 11 prosenttia yritysten ChatGPT-kehotteista sisälsi arkaluonteisia tietoja, kuten palkkarekistereitä, lähdekoodia ja asiakastietoja, jotka oli ladattu palomuurien sisäpuolelta. Tekoälysäädös lisää elokuusta 2025 alkaen velvoitteita yleiskäyttöiselle tekoälylle, mikä rajoittaa entisestään LLM-pohjaisten kuluttajapalvelujen käyttöä säännellyissä yhteyksissä. Uskottava vastaus ChatGPT:n yksityisyyteen on nyt operatiivinen edellytys tekoälyn käyttöönotolle yrityksessäsi.
Hyväksytyn tekoälytyönkulun tulisi olla henkilöstölle käytännöllinen ja sen tukena selkeät käsittelysäännöt. Redactic tarjoaa valinnaisia tekoälytyönkulkuja asiakirjojen peittämisen rinnalla, ja löydetyt arkaluonteiset arvot peitetään. Emme esitä tässä vertailevaa väitettä nopeudesta: käsittelyaika ja tarkistustyön määrä riippuvat tiedostosta, tehtävästä ja työnkulusta.
Hankintakysymyksenä LLM:n tietosuoja tiivistyy kolmeen konkreettiseen vastaukseen. (1) Onko palveluntarjoajalla EU-päätepiste, jossa tiedot säilytetään EU:ssa, ja selkeä luettelo alikäsittelijöistä? (2) Onko syötteesi oletuksena rajattu mallikoulutuksen ulkopuolelle ja onko tästä allekirjoitettu käsittelysopimus? (3) Onko säilytysaika nolla tai tiukasti rajattu, ja onko olemassa tarkastusjälki, jonka voit rekonstruoida? Mikä tahansa kolmea kyllä-vastausta heikompi tulos siirtää vaatimustenmukaisuuden taakan takaisin yrityksellesi sekä juristille, kirjanpitäjälle tai HR-päällikölle, jolla ei ole aikaa eikä koulutusta kantaa sitä. ChatGPT:n kuluttajatason oletusasetukset eivät läpäise testiä; yritystasot läpäisevät, mutta vaativat sekä huolellisen hankinnan että eteen asetetun peittämiskerroksen ollakseen puolustettavissa.
Kun arvioit shadow AI -riskiä omassa yrityksessäsi, suhtaudu liikkeellä oleviin tilastoihin varovaisesti: katsauksemme yleisimmin toistetuista shadow AI -tilastoista jäljittää jokaisen luvun alkuperäiseen lähteeseen ja osoittaa useita, jotka eivät mittaa sitä, mitä niillä yleensä väitetään mitattavan.
Jotta voit käyttää tekoälyä paljastamatta nimiä ja tunnisteita, Redactic voi valmistella asiakirjasi tekoälyä varten: löydetyt arvot muuttuvat paikkamerkeiksi, ja oikeat nimet palaavat selaimeesi vastauksen saapuessa.
7. Peittämistyökalun valinta: kahdeksan kohdan arviointilista
Jos ostat asiakirjojen peittämisohjelmistoa, tekoälypohjaisella tunnistuksella tai ilman, tai punnitset sisäistä rakennetta valmista tuotetta vastaan, seuraava tarkistuslista on se, jota käytämme mahdollisten asiakkaiden kanssa. Pisteytä jokainen kohta 0-2 (ei / osittain / kyllä) ja anna yksityisyyttä koskeville kohdille kaksinkertainen paino. Jos jäät alle 18 pisteen enintään 32:sta, sinulla on vaatimustenmukaisuusriski; alle 12 pisteellä sinulla on myös tuottavuusriski.
- Jäljetön arkkitehtuuri. Käsitteleekö palvelu asiakirjan muistissa ja hylkääkö sen heti? Onko syöte salattu levossa tilapäisessä tallennustilassa lyhyellä TTL-ajalla, eikä sitä koskaan kirjoiteta pysyvään lokiin? Miksi sillä on merkitystä: tallennettu kopio on edelleen henkilötieto; peittämisprosessista tulee itsessään erillinen käsittely, jos syöte säilyy pyynnön jälkeen.
- Monikielinen henkilötietojen tunnistus. Käsitteleekö malli Italian Codice Fiscalen, Ranskan NIR:n, Saksan Steuer-ID:n, Espanjan DNI/NIE:n, Puolan PESELin ja muita, vai vain englanninkielisiä nimiä ja yhdysvaltalaisia SSN-tunnuksia? Miksi sillä on merkitystä: englantikeskeiset tunnistimet jättävät huomaamatta 30-50 prosenttia kansallisista tunnisteista EU-asiakirjoissa.
- OCR skannauksille. Pystyykö työkalu peittämään skannatun pdf-tiedoston tai valokuvatun henkilökortin pikselintarkalla mustauksella? Miksi sillä on merkitystä: tapaukset, jotka pelottavat tietosuojavastaavaasi eniten, vanhat sopimukset ja valokuvatut asiakirjat, ovat juuri ne, joissa pelkkä tekstityökalu ei auta.
- Kahden tilan tuki. Pystyykö työkalu samasta latauksesta tuottamaan sekä palautettavan (paikkamerkki) että peruuttamattoman (mustaus) tuloksen? Miksi sillä on merkitystä: yhden tilan työkalut pakottavat ylläpitämään kahta prosessia.
- Manuaalinen tarkistus. Antaako käyttöliittymä ihmisen hyväksyä tai hylätä jokainen löydetty jakso ennen peittämisen toteutusta? Miksi sillä on merkitystä: täyttä kattavuutta tavoitteleva tunnistus on oikea oletus, mutta tuottaa virheellisiä osumia, jotka tarvitsevat nopean tarkistusreitin.
- Metatietojen poisto. Poistaako työkalu myös asiakirjan ominaisuudet (tekijä, viimeksi muokannut, XMP, EXIF)? Miksi sillä on merkitystä: tuotannon yleisin vuoto on puhdas leipäteksti, jonka tekijän nimi on pdf-ominaisuuksissa.
- Tarkastussertifikaatti. Luoko työkalu jokaisesta työstä kryptografisen tietueen käsitellystä, tiivisteineen ja luokkakohtaisine määrineen mutta ilman sisältöä? Miksi sillä on merkitystä: sertifikaatti on se, jonka näytät valvontaviranomaiselle, vakuutusyhtiölle ja asiakkaalle.
- Vaatimustenmukaisuusprofiili. Tietojen säilytys EU:ssa, DPA mukana rekisteröitymisessä, alikäsittelijärekisteri, click-wrap-suostumus kryptografisella tilannevedoksella, roolien erottelu (työkalusi toimii henkilötietojen käsittelijänä, ei rekisterinpitäjänä). Miksi sillä on merkitystä: se ratkaisee, sopiiko työkalu nykyiseen GDPR-ohjelmaasi vai luoko se uusia käsittelyjä, joita sinun on hallittava.
Chrome-laajennuksina toimitettavat työkalut voivat olla tyylikkäitä, mutta saavat huonon arvosanan kohdissa (1) ja (8): ilmaisen laajennuksen takana on harvoin oikea DPA. Avoimen lähdekoodin ratkaisut, kuten Presidio tai Piiranha, saavat hyvän arvosanan kohdassa (2), mutta operatiivinen jalanjälki (jäljettömyys, OCR, tarkastus, sertifikaatti), joka on suurin osa työstä, jää sinulle. Kaupalliset isännöidyt työkalut vaihtelevat; kysyttävä kysymys on: ”näytä minulle sertifikaatti esimerkkityöstä ja luettelo alikäsittelijöistä.”
Rakentamisessa tai ostamisessa on otettava huomioon asiakirjojen käsittely, ihmisen tekemä tarkistus, tulosten validointi, säilytyksen hallinta, pääsynhallinta, sopimusdokumentaatio ja jatkuva tuki. Tunnistusprototyyppi on vain osa ylläpidettyä palvelua. Vertaa kokonaisylläpitotyötä organisaatiosi vaatimuksiin edustavien asiakirjojen avulla.
Redactic yhdistää automaattisen tunnistuksen, asiakirjakäsittelyn ja ihmisen tekemän tarkistuksen auttaakseen löytämään arkaluonteisia tietoja, myös tuetuista skannatuista asiakirjoista. Tarkista löydetyt arvot ennen pysyvän tai palautettavan peittämisen toteuttamista. Kattavuus riippuu asiakirjan laadusta, kielestä ja asiayhteydestä; automaatio voi jättää tietoja huomaamatta. Kokeile edustavia tiedostoja ja viedyjä tuloksia ennen työnkulun käyttöönottoa. Lisätietoja: DPA
Tärkeät rajoitukset: vientimuodot ja säilyvä asettelu riippuvat valitusta työnkulusta. Skannaukset, osittaiset nimet, vaihtoehtoiset kirjoitusasut ja asiayhteystunnisteet voivat johtaa huomaamatta jääneisiin tai epäjohdonmukaisiin osumiin. Tarkista nämä tapaukset ja lopullinen viety tiedosto. Palautettava palautus voi vaatia yhteyden, ja se on suojattava erikseen.
8. Usein kysytyt kysymykset
Mitä eroa on tietojen peittämisellä ja tietojen anonymisoinnilla?
Peittäminen poistaa valitut tiedot tulosteesta. Palautettava peittäminen korvaa löydetyt arvot ja käyttää palautukseen erillistä yhteyttä. Pysyvä peittäminen ei tee muusta asiakirjasta automaattisesti nimetöntä, koska asiayhteyden tiedot voivat edelleen tunnistaa henkilöitä. Arvioi tunnistettavuus erikseen, ennen kuin käsittelet tulosta anonyyminä.
Onko pseudonymisointi sama asia kuin salaus?
Ei ole. Salauksen voi purkaa jokainen, jolla on avain, ja se on tietoturvatoimi. Pseudonymisointi korvaa tunnistavat arvot paikkamerkeillä ja pitää käänteisen yhteyden tiukemman pääsynhallinnan alla. GDPR tunnustaa pseudonymisoinnin nimenomaisesti 4 artiklan 5 kohdassa ja 32 artiklan 1 kohdan a alakohdassa; salatut henkilötiedot ovat edelleen henkilötietoja.
Voinko käyttää ChatGPT:tä turvallisesti peitettyjen asiakirjojen kanssa GDPR:n mukaisesti?
Peittäminen voi vähentää tekoälypalveluntarjoajalle jaettavia henkilötietoja, mutta se ei tee käytöstä automaattisesti lainmukaista. Tarkista valmisteltu sisältö, myös lisäohjeet, vahvista palveluntarjoajan ehdot ja arvioi käyttötarkoitus, oikeusperuste ja jäljelle jäävä asiayhteys. Redactic SaaS -palvelussa asiakirjat ladataan Redacticiin käsiteltäviksi ennen erikseen valittua, valinnaista tekoälytehtävää.
Toimiiko henkilötietojen automaattinen tunnistus skannatuissa pdf-tiedostoissa?
Tekstintunnistus (OCR) voi auttaa löytämään tekstiä skannatuista pdf-tiedostoista ja kuvista. Redactic tukee skannauksia sisältäviä työnkulkuja, tiedosto- ja kielituen rajoissa. Tarkista heikkolaatuiset sivut ja viedyt tulokset; OCR ja automaattinen tunnistus voivat jättää arkaluonteisia tietoja huomaamatta.
Kuinka kauan paikkamerkkien yhteyttä kannattaa säilyttää?
Säilytä palautusyhteyttä vain niin kauan ja siihen tarkoitukseen kuin työnkulkusi vaatii, ja suojaa pääsy siihen. Redacticin tilapäistä käsittelyä ja poistoa koskevat ehdot löytyvät sovellettavasta sopimuksesta. Itse lataamasi tai säilyttämäsi yhteys tarvitsee oman käsittely- ja säilytyskäytäntönsä.
Mitä shadow AI on ja miksi se on GDPR-ongelma?
Shadow AI tarkoittaa julkisten LLM-palvelujen käyttöä arkaluonteisilla tiedoilla ilman IT:n näkyvyyttä, yleensä yksityisten tilien kautta. Siitä seuraa käsittelyä ilman henkilötietojen käsittelysopimusta (28 artikla), dokumentoimattomia kansainvälisiä siirtoja (Schrems II) ja riski, että syöte päätyy mallin koulutukseen. Toimiva ratkaisu on virallinen reitti, joka on nopeampi ja turvallisempi kuin varjoreitti, koska kiellot kierretään.
Muuttaako EU:n tekoälysäädös jotain peittämisen kannalta?
Kyllä. Liitteen III suuririskisten tekoälyjärjestelmien (HR, rekrytointi, suoritusarviointi) on täytettävä tiedonhallinnan (10 artikla), riskienhallinnan (9 artikla) ja ihmisen suorittaman valvonnan (14 artikla) vaatimukset. Syötteen pseudonymisointi ennen sen vientiä tällaiseen järjestelmään on selkein tapa täyttää samanaikaisesti GDPR:n 5 artiklan tietojen minimointi ja tekoälysäädöksen 10 artikla. Tekoälysäädös ei nimenomaisesti vaadi peittämistä, mutta se helpottaa sitä käytännössä.
Mikä on peittämissertifikaatti ja miksi tarvitsen sellaisen?
Peittämissertifikaatti voi täydentää toimenpiderekisteriäsi asiakirjojen tiivisteillä ja peittämisen yhteenvedoilla. Se ei todista, että jokainen arkaluonteinen arvo on löydetty, ei vahvista anonymisointia eikä todista itsenäisesti, ettei asiakirjasta ole säilytetty kopiota. Vertaa varsinaisen sertifikaatin kenttiä omiin tarkastusvaatimuksiisi.
Voinko peittää henkilöstötietoja sisältävän Excel-taulukon rikkomatta kaavoja?
Redactic tukee taulukoiden peittämisen työnkulkuja. Kokeile edustavaa työkirjaa ja tarkista viedyt taulukot, kaavat, lukuarvot, asettelu ja ominaisuudet. Älä oleta, että kaikki taulukon ominaisuudet säilyvät tai että kaikki arkaluonteiset tiedot on löydetty.
Missä Redactic säilyttää tietojani?
Asiakirjat ja tulokset käyttävät tilapäistä tallennusta käsittelyä varten Redacticin hallitsemassa eurooppalaisessa infrastruktuurissa. Palautustietojen tilapäinen palvelinpuolen käsittely voi kuulua prosessiin. Tili-, laskutus-, suostumus- ja toimenpidetiedot käsitellään erikseen. Säilytys- ja poistoehdot löytyvät Redacticin henkilötietojen käsittelysopimuksesta (DPA) ja tietosuojailmoituksesta, ja voit pyytää meitä vahvistamaan oman työnkulkusi profiilin. Lisätietoja: luottamussivut
Jos luet tästä oppaasta vain yhden asian, lue osio 6 shadow AI:sta. Yrityksesi suurin yksittäinen riski vuonna 2026 on tuhannen pienen ChatGPT:hen liimatun tekstin yhteisvaikutus yksityisiltä tileiltä. Vastaus on nopeampi virallinen reitti, jossa tiedot peitetään asianmukaisesti ja DPA on allekirjoitettu, koska tiukemmat säännöt kierretään. Rakenna se reitti, ennen kuin valvontaviranomainen rakentaa sen puolestasi.
Jos haluat nähdä, miten tämä toimii käytännössä, Redacticin etusivu käy läpi neljä käyttötilaa (Peitä, Anonymisoi, Käytä tekoälyn kanssa, Turvallinen chatbot) esimerkkisopimuksen livedemolla. Solo-paketti kattaa yksittäisen ammattilaisen hintaan 19 euroa kuukaudessa; Firm-paketti lisää turvallisen tekoälychatin ja jopa viisikymmentä paikkaa hintaan 49 euroa kuukaudessa; Enterprise räätälöidään. DPA allekirjoitetaan rekisteröitymisessä, ja peittämissertifikaatin voi ladata jokaisesta valmistuneesta työstä.