Shadow AI HR:ssä: tekoäly ilman GDPR-rikkomuksia (2026)

Jos johdat HR- tai osaamistiimiä vuonna 2026, suurin tekoälyriskisi ei ole se toimittaja, jota hankintaosastosi on arvioinut puoli vuotta. Se on kokenut rekrytoija, L&D-päällikkö ja palkitsemisanalyytikko, jotka liittävät hakijoiden ansioluetteloita, suoritusarviointeja ja palkkataulukoita ilmaiseen ChatGPT-tiliin yksityisellä kannettavallaan kello 23 illalla, koska virallinen työkalu on hitaampi. Tämä on shadow AI HR:ssä, ja se sijaitsee kahden tällä hetkellä EU:ssa nopeimmin valvotun sääntelyn risteyksessä: GDPR:n ja tekoälysäädöksen.

Tämä on toinen artikkeli asiakirjojen peittämistä käsittelevässä opassarjassamme. Pääopas käsittelee tietojen peittämistä kaikissa käyttötapauksissa; tämä keskittyy HR:ään: rekrytointiin, suoritusjohtamiseen, henkilöstösuhteisiin, palkitsemiseen ja L&D:hen. Siellä shadow AI -ongelma on akuutein, sääntelyriski suurin ja operatiivinen korjaus tuo suurimman hyödyn yksittäiselle tiimille. Huomautus laajuudesta: tässä artikkelissa shadow AI HR:ssä sisältää rekrytoinnin, ja saman arkkitehtuurin on katettava useita operatiivisesti erilaisia työnkulkuja, tekoälyllä tehtävästä ansioluetteloiden seulonnasta ja osaajahankinnasta HR-henkilöstön generatiivisiin tekoälyavustajiin ja työntekijöiden HR-chatbotteihin. Suoritusjohtaminen ja yksittäisten suoritusarviointien kirjoittaminen limittyvät näiden kanssa mutta ovat erillisiä työnkulkuja, ja molempia koskee sama ongelma.

Jos yrityksesi on jo käynyt keskustelun ”mitä teemme ChatGPT:n kanssa” ja hävinnyt sen, tämä on artikkeli, jonka voit antaa niille, jotka käyttävät tekoälyä joka päivä. Se käy läpi, missä shadow AI esiintyy HR:ssä (seitsemän konkreettista käyttötapausta), miksi nämä käytöt rikkovat GDPR:ää ja tekoälysäädöstä tietyillä tavoilla, vuosien 2023-2026 todellisen täytäntöönpanon (Workday, EEOC, NYC AEDT, Italian Garante Foodinho/Glovo-asiassa, Euroopan ihmisoikeustuomioistuin), miltä hyväksytyn vaihtoehdon pitää näyttää, jotta se todella otetaan käyttöön, sekä kymmenen vaiheen käyttöönoton, joka muuttaa keskustelun 90 päivässä päätökseksi hyväksytystä työkalusta.

1. Miksi HR on shadow AI:n nollapiste

Shadow AI on kuluttajatason tekoälytyökalujen (ChatGPT, Claude, Gemini, Perplexity, Mistral Le Chat, App Storen kymmenet GPT-kääreet) käyttöä luottamuksellisilla tiedoilla, IT:n näkyvyyden ulkopuolella, tyypillisesti yksityisten tilien kautta. Jokaisella yrityksen toiminnolla on jonkin verran altistumista; HR:llä on pahin. Syitä on neljä rakenteellista.

Ensiksi HR:n käsittelemät tiedot ovat enimmäkseen vapaata tekstiä. Ansioluettelot, hakemuskirjeet, suoritusarviointien kommentit, työntekijöiden valitukset, lähtöhaastattelut, esihenkilöiden kahdenkeskisten keskustelujen muistiinpanot, kalibrointikeskustelut: mikään niistä ei ole taulukkomuotoista tietuetta, kuten asiakastiedot yleensä ovat. Vapaa teksti on täsmälleen se, missä generatiivinen tekoäly tuntuu hyödyllisimmältä, joten houkutus liittää se chat-ikkunaan on suurin. Pääopas käsitteli henkilötietojen peittämistä teknisenä ongelmana; HR:ssä se on myös käyttäytymisongelma.

Toiseksi HR-työ on epätasaista ja harkintaa vaativaa. Rekrytoija, joka käy läpi 200 ansioluetteloa viikkoa ennen täyttöhetkeä, ei ehdi kysyä lakiosastolta, onko uusi sourcing-työkalu GDPR:n mukainen. Esihenkilö, joka kirjoittaa vaikeaa suoritusarviointia kello 21, haluaa ajattelukumppanin eikä hankintaprosessia. Viralliset työkalut, kun niitä on, hankittiin HRIS- tai ATS-käyttöön eikä tähän. Siksi HR-henkilöstö kääntyy ChatGPT:n puoleen omin päin.

Kolmanneksi HR-tiedot ovat vahvasti säännelty luokka. GDPR:n 88 artikla antaa jäsenvaltioille nimenomaisen valtuuden säätää yksityiskohtaisempia sääntöjä työntekijöiden tietojen käsittelystä, ja useimmat ovat tehneet niin. Tekoälysäädös luokittelee HR-käytöt suuririskisiksi liitteen III kohdassa 4. Useat EU:n ulkopuoliset oikeusjärjestelmät ovat säätäneet työllistämisen tekoälylakeja: New York City Local Law 144 (Automated Employment Decision Tools, AEDT, voimassa heinäkuusta 2023), Illinois AI Video Interview Act (2020), Colorado AI Act (voimassa 2026). Vaatimustenmukaisuuden pinta-ala HR:ssä on todella suurempi kuin muissa toiminnoissa, ja shadow AI -käyttö luo dokumentoimatonta käsittelyä koko sen laajuudelta.

Neljänneksi HR on oikeudellisen ja vaatimustenmukaisuuden riman sekä nopeuspaineen välissä. Sama HR-johtaja, jonka odotetaan vauhdittavan tuottavuutta tekoälyllä, vastaa myös GDPR:n käsittelytoimien selosteista (30 artikla), uusien teknologioiden tietosuojan vaikutustenarvioinnista 35 artiklan mukaan, 22 artiklan oikeudesta olla joutumatta automaattisen päätöksenteon kohteeksi ja monissa EU-maissa työntekijöiden edustajien kuulemisesta uusista valvontatyökaluista. Ilman hyväksyttyä vaihtoehtoa, joka ratkaisee molemmat ongelmat kerralla, järjestelmä taipuu kohti varjoa.

Shadow AI:sta HR:ssä siteerattuja tilastoja toistetaan usein eri laajuudessa kuin lähde käytti, ja mistä jokainen shadow AI -luku tulee kertoo eniten siteerattujen taustalla olevan populaation, menetelmän ja päivämäärän.

2. Missä shadow AI esiintyy HR-tiimeissä

Alla olevat seitsemän käyttötapausta kattavat noin 95 % HR-auditoinneissa näkemästämme shadow AI:sta. Jokainen luo erilaisen riskiluokan ja erilaisen tilaisuuden hyväksytylle vaihtoehdolle.

1. Ansioluetteloiden seulonta ja lyhyen listan laatiminen. Rekrytoija liittää chat-istuntoon 50-200 ansioluetteloa ja pyytää: ”järjestä nämä kulttuurisen sopivuuden ja Kubernetes-osaamisen syvyyden mukaan; anna minulle kymmenen parasta”. Malli näkee koko nimet, valokuvat, osoitteet, syntymäajat, aiemmat työnantajat ja kaikki muut hakijan paljastamat henkilötiedot. GDPR:n 22 artiklan mukaan täysin automatisoitu päätös, jolla on oikeusvaikutuksia tai vastaava merkittävä vaikutus, vaatii nimenomaisen oikeusperusteen; tekoälysäädös luokittelee ansioluetteloiden seulonnan suuririskiseksi; ja rekrytoinnin tekoälytyökalujen vinouma, jota kirjallisuus kutsuu myös tekoälyn rekrytointivinoumaksi, tuo oman syrjintäriskinsä kansallisen työoikeuden mukaan. Varjoversio luo dokumentoimatonta erityisten henkilötietoryhmien käsittelyä (jotkin ansioluettelot paljastavat terveystietoja, ammattiliiton jäsenyyden, uskonnollisen kuulumisen) yhdysvaltalaisessa LLM-päätepisteessä ilman DPA:ta. Tämä on osaajahankinnan oppikirjaesimerkki varjotyönkulusta.

2. Suoritusarviointien kirjoittaminen ja suoritusjohtaminen. Esihenkilö liittää 12 kuukauden kahdenkeskisten keskustelujen muistiinpanot ja pyytää mallia laatimaan luonnoksen vuosiarvioinnista. Muistiinpanot sisältävät tyypillisesti suoria lainauksia työntekijältä, havaittuja terveystietoja (”hän oli kolme viikkoa sairaana kolmannella neljänneksellä”), palkkakeskusteluja ja joskus valituksia työtovereista. Suoritusarviointien kirjoittaminen tekoälyllä kuluttajatason päätepisteessä luo ongelman johdanto-osan 71 kappaleen kanssa (oikeusvaikutuksellisia tai vastaavasti merkittäviä päätöksiä), ongelman 88 artiklan kanssa (käsittely työsuhteen yhteydessä) ja usein ongelman 9 artiklan kanssa (erityisen tietoryhmän paljastuminen). Tekoälyllä kirjoitettujen suoritusarviointien vinouma on hyvin dokumentoitu virhetapa: malli vahvistaa taustamuistiinpanojen voimakkaimman signaalin, ja se signaali on usein esihenkilön ennestään olemassa oleva vaikutelma työntekijästä eikä työntekijän todellinen käyttäytyminen.

3. Lähtöhaastattelujen tiivistäminen. HR-liiketoimintakumppani pitää lähtöhaastatteluja ja liittää litteraatit chatbottiin tiivistääkseen teemat johdolle. Litteraatit sisältävät palkkatietoja, ahdistelusyytöksiä, nimettyjä valituksia esihenkilöistä ja joskus EU:n ilmiantajadirektiivillä (2019/1937) suojattua ilmoittajatietoa. Varjoversio altistaa sekä lähtijän että nimetyt kolmannet osapuolet julkiselle LLM:lle. Lähtöhaastattelut ovat myös yksi niistä paikoista, joissa työntekijät odottavat eniten luottamuksellisuutta, joten vuoto tekoälytyökalun kautta on maineelle vakava.

4. Toimenkuvien ja ilmoitusten kirjoittaminen. Osaajamarkkinoija syöttää chatbotille edellisen ilmoituksen, rekrytoivan esihenkilön toimeksiannon ja kilpailijoiden ilmoitukset uuden toimenkuvan kirjoittamiseksi. Henkilötietoriski on tässä pieni, mutta syrjintäriski merkittävä: historiallisella rekrytointidatalla koulutetut LLM:t kantavat mukanaan historiallista sukupuoli- ja ikäkoodausta, joka voi tuottaa ilmoituksia, jotka systemaattisesti karkottavat suojattuja ryhmiä (oppikirjaesimerkki on Amazonin vuoden 2018 ansioluetteloiden työkalu, joka alensi arvosanaa sanonnasta ”women's chess club”). EEOC:n vuoden 2023 tekninen ohjeistus vahvistaa, että ilmoitukset voivat rikkoa Title VII:ää ilman tahallisuuttakin.

5. Palkitsemisen vertailuanalyysi. Palkitsemisanalyytikko liittää yrityksen palkkaluokkataulukon ja pyytää mallia vertaamaan julkaistuun markkinadataan, ehdottamaan uutta rakennetta tai merkitsemään poikkeamat. Luokat ovat itsessään luottamuksellisia, työntekijöihin liitetyt rivit ovat henkilötietoja, ja mallin tuloste on nyt yhdysvaltalaisessa LLM:ssä mahdollisine koulutuskäyttöineen. Palkitsemisen vertailuanalyysi shadow AI:lla vuotaa tietosuojariskin lisäksi myös kilpailutietoa.

6. Työntekijöiden kysymykset ja käytäntöapu. Työntekijät esittävät HR-chatbotille kysymyksiä kuten ”olen vanhempainvapaalla; mihin minulla on oikeus?”, ja vastaus vaatii työntekijän sopimuksen, maan, roolin ja työsuhteen keston. Moni yritys on pystyttänyt generatiivisen tekoälyavustajan HR:lle kuluttajatason päätepisteeseen hoitamaan tämän tajuamatta, että työntekijän syöte sisältää terveystietoja (”olen sairauslomalla, koska…”), ammattiyhdistystoimintaa (”olen luottamusmiestehtävässä”) tai perhetietoja. Tällaisten avustajien kautta ChatGPT:lle paljastuvat työntekijätiedot ovat yksi vaikeammin havaittavista ongelmista, koska tiedot lähtevät työntekijän syötteen kautta eikä työnantajan. Italian Garante on antanut ymmärtää, että työntekijöille suunnatut tekoälyavustajat kuuluvat samoihin 88 artiklan työsuhdesääntöihin kuin työnantajan puolen käsittely.

7. Algoritminen johtaminen ja henkilöstösuunnittelu. Henkilöstösuunnittelun analyytikko antaa LLM:lle organisaatiokaavion nimineen, tasoineen, palkkauspäivineen ja arvosanoineen ja pyytää uudelleenjärjestelyskenaarioita tai ”luettelon työntekijöistä, joilla on suurin riski lähteä seuraavan 6 kuukauden aikana”. Tämä on algoritmista johtamista Foodinho/Glovo-tapauksen merkityksessä, ja siitä on syntynyt kaksi EU:n suurinta työllistämisen tekoälyä koskevaa täytäntöönpanopäätöstä: Italian Garanten Foodinholle määräämä 2,6 miljoonan euron sakko (2021) ja Espanjan AEPD:n sitä seurannut työ alustatyöntekijöiden asioissa.

Seitsemällä käyttötapauksella on yhteinen kaava. Käyttäjä tietää tietojen olevan arkaluonteisia mutta tuntee olevansa suojassa, koska chat-ikkuna on ”vain minä kirjoittamassa”. Malli näkee tiedot syötteenä; palveluntarjoajan lokit näkevät ne pyyntönä; koulutusputki voi nähdä ne koulutusesimerkkinä; ja yrityksesi käsittelyseloste ei näe niistä mitään.

3. GDPR, tekoälysäädös ja kansallinen oikeus HR:n tekoälylle

HR:n tekoälykäyttöön sovelletaan samanaikaisesti neljää oikeudellista kerrosta. Ne eivät ole päällekkäisiä; kukin kerros nappaa eri virhetavan.

GDPR:n 88 artikla (käsittely työsuhteen yhteydessä). Jäsenvaltiot voivat säätää yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä, myös rekrytointia, työsopimuksen täyttämistä, työn suunnittelua ja organisointia, tasa-arvoa ja monimuotoisuutta, työterveyttä ja -turvallisuutta sekä työsuhteen päättämistä varten. Italia (D.Lgs. 196/2003 muutoksineen), Ranska (Code du travail L1121-1 ja L1222-4), Saksa (BDSG § 26), Espanja (orgaaninen laki 3/2018) ja Belgia ovat käyttäneet tätä valtaa. Käytännön vaikutus on, että koko EU:n kattavaa vaatimustenmukaisuutta ei ole: sinun on noudatettava GDPR:ää ja paikallisia työsuhdetietoja koskevia sääntöjä.

GDPR:n 5, 9 ja 22 artikla: työsuhteen tekoälyn sisällöllinen selkäranka. 5 artikla asettaa periaatteet (lainmukaisuus, kohtuullisuus, läpinäkyvyys, käyttötarkoitussidonnaisuus, tietojen minimointi, täsmällisyys, säilytyksen rajoittaminen, eheys, osoitusvelvollisuus). 9 artikla kieltää erityisten ryhmien käsittelyn ilman 9 artiklan 2 kohdan perustetta, joka työsuhteessa on useimmiten 2 kohdan b alakohta, ”työoikeuden velvoitteiden täyttäminen”, mutta vain ”siltä osin kuin unionin oikeus tai jäsenvaltion lainsäädäntö sen sallii”. 22 artikla antaa oikeuden olla joutumatta pelkästään automaattiseen käsittelyyn, profilointi mukaan lukien, perustuvan päätöksen kohteeksi, jolla on oikeusvaikutuksia tai joka vaikuttaa vastaavalla tavalla merkittävästi. EDPB:n 22 artiklaa koskevat suuntaviivat 04/2024 selventävät, että ”pelkästään” on merkityksellinen suodatin: näennäinen ihmisen tekemä tarkistus prosessin lopussa ei vältä 22 artiklaa, ja HR:n esivalinta on kanoninen esimerkki. Työntekijätietojen käsittely minkä tahansa näiden artiklojen nojalla vaatii oikeusperusteen, läpinäkyvyyden ja dokumentoidun arvioinnin.

Tekoälysäädös, liite III kohta 4: suuririskiset HR-käytöt. Tekoälysäädös luettelee HR-käytöt nimenomaisesti suuririskisiksi: a) tekoälyjärjestelmät, jotka on tarkoitettu luonnollisten henkilöiden rekrytointiin tai valintaan, erityisesti kohdennettujen työpaikkailmoitusten sijoittamiseen, hakemusten analysointiin ja suodattamiseen sekä ehdokkaiden arviointiin; b) tekoälyjärjestelmät, jotka on tarkoitettu päätösten tekemiseen, jotka vaikuttavat työsuhteiden ehtoihin, työsopimussuhteiden etenemiseen tai päättämiseen, tehtävien jakamiseen yksilöllisen käyttäytymisen tai henkilökohtaisten ominaisuuksien perusteella tai tällaisissa suhteissa olevien henkilöiden suoriutumisen ja käyttäytymisen seurantaan ja arviointiin. Suuririskiluokitus käynnistää III osaston kaikki velvoitteet: riskienhallintajärjestelmä (9 artikla), tiedonhallinta (10 artikla), tekninen dokumentaatio (11 artikla), tietojen kirjaaminen (12 artikla), läpinäkyvyys (13 artikla), ihmisen suorittama valvonta (14 artikla), tarkkuus ja kestävyys (15 artikla), vaatimustenmukaisuuden arviointi, rekisteröinti EU:n tietokantaan, markkinoille saattamisen jälkeinen seuranta ja perusoikeusvaikutusten arviointi (27 artikla julkisille elimille ja tietyille yksityisille käyttöönottajille). Tekoälysäädöksen velvoitteet HR:lle ovat vaativin vaatimustenmukaisuusjärjestelmä, jonka alla mikään HR-toiminto on koskaan joutunut toimimaan. HR-käyttöjen luokittelu suuririskisiksi liitteessä III käynnistää kaiken tämän, ja vaikutustenarvioinnit, joita HR-tiimien on nyt laadittava (GDPR:n DPIA ja tekoälysäädöksen FRIA), ovat uusi operatiivinen dokumentaatiotaakka.

Kansalliset työllistämisen tekoälylait. 88 artiklan täytäntöönpanojen lisäksi useat oikeusjärjestelmät ovat kirjoittaneet tekoälykohtaisia työlakeja. NYC Local Law 144 (AEDT) vaatii heinäkuusta 2023 vinoumatarkastuksia ja hakijoiden informointia jokaisesta ”automatisoidusta työllistämispäätösten työkalusta”, joka ”olennaisesti avustaa” palkkaamista tai ylentämistä New Yorkissa. Illinois AI Video Interview Act (2020) vaatii suostumuksen ja ilmoituksen tekoälyn käytöstä ja rajoittaa tietojen jakamista videohaastattelujen tekoälyssä. Colorado AI Act (voimassa 1. helmikuuta 2026 alkaen) heijastaa suuren osan tekoälysäädöksen rakenteesta suuririskisille käytöille, työllistäminen mukaan lukien. Espanja on kodifioinut algoritmisen läpinäkyvyyden alustatyölle (Real Decreto-Ley 9/2021). Italian Garante on antanut erityisohjeita biometrisestä läsnäolon kirjaamisesta, paikannuksesta ja algoritmisesta johtamisesta. Ranskan CNIL on antanut suosituksia nimenomaan tekoälystä HR:ssä (2024).

Käytännön johtopäätös: jokaisen HR:n tekoälyn käyttöönoton vuonna 2026 on läpäistävä samanaikaisesti GDPR, tekoälysäädös, kansallinen työsuhdetietojen oikeus ja tarvittaessa tekoälykohtainen työlaki. Shadow AI -käyttö ohittaa ne kaikki.

4. Seitsemän erityistä tapaa, joilla shadow AI HR:ssä rikkoo vaatimustenmukaisuutta

Jos esität tämän hallitukselle tai työntekijöiden edustajille ja tarvitset konkreettisen luettelon siitä, mitä shadow AI todella rikkoo, tässä on operatiivinen versio.

1. 28 artikla: henkilötietojen käsittelijä ilman DPA:ta. Kuluttajatason ChatGPT-tili ei ole henkilötietojen käsittelysopimus. Kokenut rekrytoija, joka liittää ansioluetteloita, luo käsittelyä yrityksen puolesta ilman 28 artiklan 3 kohdan lausekkeita, ilman alikäsittelijöiden ilmoittamista ja ilman sopimusperustaa toimia yrityksen puolesta.
2. 30 artikla: näkymätön käsittelytoimi. HR:n käsittelytoimien selosteet kattavat yleensä ATS:n, HRIS:n, palkkatoimittajan ja L&D-alustan. Ne eivät kata rekrytoijan yksityistä ChatGPT-käyttöä. Yrityksen 30 artiklan mukainen seloste on siksi olennaisesti epätäydellinen, mikä on sinänsä rikkomus riippumatta tietovuodosta.
3. 9 artikla: dokumentoimaton erityisten ryhmien käsittely. Ansioluettelot ja suoritusväittelyt sisältävät rutiininomaisesti 9 artiklan tietoja (terveys, ammattiliiton jäsenyys, uskonto, seksuaalinen suuntautuminen). Niiden käsittely kuluttajatason LLM:ssä luo 9 artiklan mukaista käsittelyä ilman 9 artiklan 2 kohdan perustetta ja ilman lisäsuojatoimia.
4. 22 artikla: pelkästään automatisoitu päätös. Jos shadow AI:ta käytetään hakijoiden asettamiseen järjestykseen ja rekrytoija toteuttaa järjestyksen, ihmisen tekemä tarkistus on leima; päätös on ”pelkästään automaattiseen käsittelyyn perustuva” 22 artiklan ja johdanto-osan 71 kappaleen mielessä. Unionin tuomioistuimen SCHUFA-tuomio (C-634/21, joulukuu 2023) vahvisti laajan tulkinnan sanonnasta ”pelkästään”.
5. 5 ja 35 artikla: ei vaikutustenarviointia. Suuririskinen käsittelytoimi vaatii DPIA:n 35 artiklan mukaan, ja tekoälysäädös lisää perusoikeusvaikutusten arvioinnin monelle HR-käyttöönotolle. Shadow AI -käytössä sellaista ei ole koskaan.
6. 88 artikla ja kansallinen työoikeus. Useimmat EU-oikeusjärjestelmät vaativat jonkinlaista työntekijöiden edustajien kuulemista (Italia: Statuto dei Lavoratori 4 artikla; Saksa: Betriebsverfassungsgesetz § 87; Ranska: Code du travail L2312-38) ennen valvonta- tai arviointiteknologian käyttöönottoa. Shadow AI on valvontateknologiaa, joka on otettu käyttöön ilman kuulemista.
7. Rajat ylittävät siirrot ja Schrems II. Kuluttajatason ChatGPT-, Claude- ja Gemini-tilit ohjaavat tiedot oletuksena yhdysvaltalaiseen laskentaan. Siirron vaikutusarviointia ei ole, vakiosopimuslausekkeita ei ole, eikä yritys tiedä siirron tapahtuvan. Tämä on auditoinnissa helpoimmin osoitettava GDPR-rikkomus, koska pelkät verkkolokit ovat riittävä todiste.

Seitsemän rikkomusta kasautuu. Yksittäinen ansioluetteloiden varjoseulontaistunto voi laukaista kuusi seitsemästä samanaikaisesti. Espanjan AEPD on määrännyt sakkoja vähemmästäkin.

5. Todellinen täytäntöönpano ja toimimattomuuden hinta

HR-tiimit pitävät joskus oikeudellista riskiä teoreettisena. Vuosien 2023-2026 rekisteri on toista mieltä. Seuraavat ovat tapauksia, jotka jokaisen HR-johtajan tulisi tuntea vuonna 2026.

Workday (Yhdysvallat, 2024-2025). Liittovaltion ryhmäkanne Mobley v. Workday väittää, että Workdayn tekoälyseulonta-algoritmi syrjii hakijoita rodun, iän ja vammaisuuden perusteella. Tuomioistuin hylkäsi Workdayn vaatimuksen kanteen hylkäämisestä heinäkuussa 2024 ja vahvisti ryhmäkanteen toukokuussa 2025, hyväksyen teorian, että tekoälyseulontatyökalua voidaan Title VII:n mielessä kohdella työnantajan edustajana. Tämä on ensimmäinen tapaus, joka vahvistaa, että itse tekoälytoimittaja voidaan saattaa vastuuseen syrjivistä lopputuloksista, mikä laajentaa vastuupinta-alaa työnantajan ulkopuolelle.

EEOC:n tekninen ohjeistus ja sovintorekisteri (Yhdysvallat, 2023-2026). EEOC:n toukokuun 2023 tekninen ohjeistus tekoälystä työntekijöiden valinnassa asetti kehyksen Title VII:n (välillinen syrjintä) soveltamiselle tekoälytyökaluihin. Asiassa EEOC v. iTutorGroup (elokuu 2023, sovittu 365 000 dollarilla) EEOC väitti, että yrityksen rekrytointiohjelmisto hylkäsi ohjelmallisesti iäkkäämmät naishakijat. EEOC jatkaa tekoälysyrjintätapausten lisäämistä asialistalleen läpi vuoden 2026; toukokuun 2023 strateginen täytäntöönpanosuunnitelma nimesi tekoälyn ajaman syrjinnän prioriteetiksi.

NYC AEDT Law 144:n täytäntöönpano (Yhdysvallat, 2023-2026). 5. heinäkuuta 2023 alkaen työnantajien, jotka käyttävät ”automatisoitua työllistämispäätösten työkalua” palkkaamiseen tai ylentämiseen New Yorkissa, on tehtävä vuosittainen riippumaton vinoumatarkastus, julkaistava tulosten yhteenveto ja ilmoitettava hakijoille. Täytäntöönpano on ollut maltillista mutta todellista, ja lain olemassaolo on olennaisesti muokannut toimittajien käyttäytymistä Yhdysvaltain rekrytointimarkkinoilla. Useat yritykset ovat vetäneet tekoälyominaisuuksia pois NYC:n markkinoilta noudattamisen sijaan.

Italian Garante Foodinho / Glovo -asiassa (Italia, 2021-2024). Garante määräsi Foodinholle (Glovo Italy) vuonna 2021 2,6 miljoonan euron sakon siitä, miten lähettien arviointialgoritmi käsitteli henkilötietoja ilman asianmukaista 88 artiklan mukaista perustetta ja ilman riittävää läpinäkyvyyttä, ja uudelleen 5 miljoonan euron sakon vuonna 2024 liittyvistä kysymyksistä. Päätös on perustavanlaatuinen algoritmisen johtamisen vaatimustenmukaisuudelle Italiassa, ja siihen on viitattu laajasti myöhemmissä päätöksissä kaikkialla EU:ssa.

Italian Garante biometrisestä läsnäolon kirjaamisesta (Italia, 2022-2025). Peräkkäiset päätökset ovat vahvistaneet, että biometriset läsnäolojärjestelmät ja kasvojentunnistukseen perustuvat kulunvalvontajärjestelmät työpaikoilla vaativat erityisen oikeusperusteen suostumuksen lisäksi (joka on työsuhteessa pätemätön valtasuhteen epätasapainon vuoksi), ja ne ovat kaataneet useita käyttöönottoja. Kaava soveltuu suoraan jokaiseen tekoälytyökaluun, joka käsittelee työntekijöiden biometrisiä tietoja.

CNIL:n ohjeistus tekoälystä HR:ssä (Ranska, 2024-2025). CNIL julkaisi vuonna 2024 ohjeistuksen, joka vahvistaa, että jokaista HR:n tekoälyn käyttöönottoa on edeltävä DPIA, sen on perustuttava muuhun oikeusperusteeseen kuin suostumukseen, siihen on kuuluttava ihmisen suorittama valvonta ja siinä on kunnioitettava työntekijöiden edustajien kuulemisvaatimusta. CNIL:n sääntelytoimet algoritmisen johtamisen työkaluja vastaan Ranskan julkisella sektorilla ovat asettaneet lähtötasot, joiden yksityisten työnantajien odotetaan täyttävän.

Euroopan ihmisoikeustuomioistuin työpaikkavalvonnasta. Suuren jaoston tuomio Bărbulescu v. Romania (2017) ja uudempi López Ribalda v. Espanja (2019) asettavat eurooppalaisen lähtötason työpaikkavalvonnalle: työnantajan on annettava ennakkoon selkeä ja läpinäkyvä tieto, ja toimien on oltava oikeasuhteisia. Tekoälypohjainen käyttäytymisvalvonta perii tämän lähtötason, ja työntekijöiden suoritustietojen shadow AI -käyttö jää sen ulkopuolelle lähes määritelmällisesti.

OpenAI / Italian Garante (2023-2024). Garanten ChatGPT:n väliaikainen keskeytys 30. maaliskuuta 2023, EDPB:n ChatGPT-työryhmän alustavat havainnot toukokuussa 2024 ja OpenAI:lle itselleen joulukuussa 2024 määrätty 15 miljoonan euron sakko vahvistavat yhdessä, että LLM-puolen käsittely on nyt aktiivisesti valvottu vaatimustenmukaisuuden alue. Shadow AI HR:ssä perii kaikki nämä riskit välillisesti.

Kokonaisvaikutus on, että HR-johtaja ei voi enää olettaa, että ”meille ei ole vielä tapahtunut mitään”. Rekisteri on riittävän tiheä, jotta kysymys on milloin eikä onko.

6. Miltä hyväksytty, varjoa nopeampi HR-tekoäly näyttää

Valmistele arkaluonteiset tiedot ennen valinnaista tekoälytehtävää, tarkista valmisteltu sisältö ja arvioi palveluntarjoajan ehdot ja jäljelle jäävä tunnistettavuus. HR:n työnkuluissa tietojen minimoinnin on kuljettava käsi kädessä asianmukaisen hallinnan, ihmisen suorittaman valvonnan ja työsuhdekohtaisten vaatimusten kanssa.

(a) Roolitietoinen peittäminen. Ansioluetteloiden seulonnan työnkulun on peitettävä hakijan nimi, valokuva, syntymäaika, osoite ja kaikki 9 artiklan mukaiset paljastukset, mutta sen ei pidä peittää pätevyyksiä, kokemusta, koulutusta ja taitoja. Suoritusarvioinnin luonnoksen on peitettävä työntekijän nimi ja kaikki muistiinpanoissa mainitut kolmannet osapuolet, mutta säilytettävä taustalla oleva käyttäytyminen. Yleinen peittäjä, joka maskaa kaiken, tuhoaa työnkulun arvon. Hyväksytyn työkalun on ymmärrettävä HR-kohteiden luokat sillä tarkkuudella, jota työ todella vaatii.

(b) Dokumentoitu palveluntarjoajaketju. Tutustu Redacticin DPA:han palvelun alikäsittelijöiden, niiden roolien ja sovellettavien muutoksista ilmoittamisen ehtojen osalta. Vahvista, mikä valinnainen palveluntarjoaja ja työnkulku on valittu HR-sisältöä varten ja mitä tietoluokkia voidaan jakaa.

(c) 22 artiklan hygienia oletuksena. Työkalun on rakenteellisesti estettävä ”pelkästään automaattiseen käsittelyyn perustuvat” lopputulokset. Käytännössä tämä tarkoittaa, että tulos on aina neuvoa-antava, jokaisella yksittäisellä päätöksellä on kirjattu ihmistarkastaja ja dokumentoitu tarkistusvaihe, ja vinoumatarkastuksen loki tallentaa ihmisen tekemien ylikirjausten osuuden. Suoritusarviointien kirjoittaminen tekoälyllä tässä kurissa tuottaa luonnoksen, jota esihenkilö muokkaa sisällöllisesti; peittämiskerros tekee syötteestä turvallisen; ihmisen tekemän tarkistuksen kerros tekee tuloksesta turvallisen 22 artiklan kannalta.

(d) Hallintotodisteet. Määritä, mitä käsittelyselosteita, arviointeja, ilmoituksia ja kuulemisasiakirjoja organisaatiosi vaatii. Peittämissertifikaatti voi tukea toimenpiderekisteriä; se ei korvaa DPIA:ta, vinoumaarviointia, työntekijöiden edustajien kanssa käytävää prosessia tai muita sovellettavia velvoitteita.

Redacticin asiakirjojen tunnistus ja peittäminen toimivat Redacticin hallitsemassa eurooppalaisessa infrastruktuurissa ilman kolmansien osapuolten tekoäly- tai koneoppimispäättelyä peittämättömälle sisällölle. Valinnaiset tekoälytyönkulut ovat erillisiä: löydetyt arkaluonteiset arvot poistetaan tai korvataan, ennen kuin valmisteltu sisältö lähetetään valitulle palveluntarjoajalle. Tarkista asiakirjateksti, lisäohjeet ja keskusteluviestit; huomaamatta jääneet arvot ja asiayhteyden yksityiskohdat voivat edelleen tunnistaa henkilöitä. Palveluntarjoaja, alue, säilytys ja koulutusehdot riippuvat valitusta työnkulusta ja sovellettavasta sopimuksesta. Lisätietoja: redactic.eu

Jotta voit käyttää tekoälyä paljastamatta nimiä ja tunnisteita, Redactic voi valmistella asiakirjasi tekoälyä varten: löydetyt arvot muuttuvat paikkamerkeiksi, ja oikeat nimet palaavat selaimeesi vastauksen saapuessa.

7. 90 päivän käyttöönotto HR-johtajille

Tämä on kymmenen vaiheen suunnitelma, jota käytämme HR-johtajien kanssa, jotka ottavat hyväksyttyä tekoälyä käyttöön ensimmäistä kertaa. Se olettaa, että organisaatiossasi on tänään shadow AI:ta (lähes varmasti on) ja että haluat siirtyä hyväksyttyyn vaihtoehtoon neljänneksessä.

1. Päivä 0-7. Varjokäytön sisäinen kartoitus. Kysy HR:ltä, L&D:ltä ja rekrytoinnilta, mitä tekoälytyökaluja he todella käyttävät, mihin tehtäviin ja millä tiedoilla. Lupaa armahdus rehellisistä vastauksista: tarvitset totuuden etkä virallista vastausta. Odota ChatGPT:tä yli 70 %:ssa vastauksista, Geminiä ja Claudea 30-50 %:ssa sekä pitkää häntää erikoistuneita työkaluja.
2. Päivä 7-14. Yhdistä käyttötapaukset yllä oleviin seitsemään luokkaan. Merkitse kukin korkeaksi, keskitason tai matalaksi tietoherkkyydeltään. Merkitse kukin tekoälysäädöksen liitteen III mukaan suuririskiseksi tai ei. Tämä on ensimmäinen käsittelytoimien luettelosi.
3. Päivä 14-30. Vaatimustenmukaisuuden lähtötaso. Tee aukkoanalyysi osion 4 seitsemää rikkomusta vasten. Tietosuojavastaava ja lakiosasto allekirjoittavat aukkoanalyysin. Siitä tulee hyväksytyn työkalun liiketoimintaperustelu ja todistusketju, jos valvontaviranomainen ilmestyy sillä välin.
4. Päivä 30-45. Toimittajan valinta. Käytä pääoppaan 8 kohdan tarkistuslistaa HR-painotuksella kohdissa (b) ja (d) yllä (roolitietoinen peittäminen ja työntekijöiden edustajille tarkoitetut asiakirjat). Hankinta allekirjoittaa DPA:n, alikäsittelijäluettelon ja tarvittaessa vakiosopimuslausekkeet.
5. Päivä 45-60. DPIA ja FRIA. DPIA kattaa GDPR-puolen ja FRIA tekoälysäädöksen puolen; molempia vaaditaan suuririskisiin HR-käyttöihin. Toimittajan peittämissertifikaatti, vinoumatarkastuksen malli ja alikäsittelijäluettelo syöttävät suoraan molempia asiakirjoja.
6. Päivä 60-70. Työntekijöiden edustajat ja läpinäkyvyys työntekijöille. Ilmoita työntekijöiden edustajille sovellettavan kansallisen lain mukaisesti, käynnistä kuuleminen, laadi työntekijöille suunnattu ilmoitus (GDPR:n 13 ja 14 artikla sekä tekoälysäädöksen 26 artiklan mukainen läpinäkyvyys). Julkaise ilmoitus.
7. Päivä 70-80. Pilotti yhden tiimin kanssa. Valitse tiimi, jolla on eniten varjokäyttöä, yleensä kokeneet rekrytoijat tai HR-liiketoimintakumppanit, ja ota heidät hyväksytyn työkalun käyttäjiksi. Mittaa käyttöönottoa lähtötason varjokäyttöön nähden. Ainoa menestyksen testi on, laskeeko varjokäyttö viikkoon 2 mennessä.
8. Päivä 80-85. Säädä kitkaprofiili. Jos hyväksytty työkalu on varjopolkua hitaampi, korjaa kitka (SSO, selainlaajennus, oletusmallit, viive). Arkkitehtuuri voittaa vain, jos se on nopeampi eikä pelkästään turvallisempi.
9. Päivä 85-90. Laajempi käyttöönotto. Laajenna seuraaviin 2-3 tiimiin. Varjokielto muuttuu uskottavaksi vasta, kun virallinen työkalu on nähty toimivana pilottitiimissä.
10. Päivä 90+. Jatkuva vaatimustenmukaisuus. Vinoumatarkastusraportin kuukausittainen tarkistus, alikäsittelijäluettelon neljännesvuosittainen tarkistus, DPIA:n ja FRIA:n vuosittainen päivitys. Hyväksytyn työkalun lokit syöttävät viranomaiselle suunnattuja asiakirjoja; varjokartoitus toistetaan neljännesvuosittain, jotta varjokäyttö pysyy vähäisenä.

Kaksi asiaa kannattaa ennakoida. Ensinnäkin työntekijöiden edustajien vaihe on se, jossa käyttöönotot useimmin hidastuvat: aloita se päivänä 60, vaikka tekninen pilotti ei olisi valmis, ja aja molemmat rinnakkain. Toiseksi kitkan säätö päivinä 80-85 ratkaisee yleensä eron onnistuneen käyttöönoton ja 20 %:iin tasaantuvan käyttöönoton välillä. Varjopolku ei lakkaa olemasta houkutteleva vain siksi, että se on nyt virallisesti kielletty; se lakkaa olemasta houkutteleva, kun hyväksytty polku on todella nopeampi.

8. Usein kysytyt kysymykset

Eikö ChatGPT:n voi vain estää yrityksen verkossa?

Voi, ja moni yritys on estänyt. Ongelma ei ratkea. Varjokäyttö siirtyy yksityisille puhelimille, kotiverkon yksityisille kannettaville ja yksityisille tileille yrityksen koneilla. Verkkokiellot ilman hyväksyttyä vaihtoehtoa ovat vaatimustenmukaisuusnäytelmää, joka heikentää näkyvyyttä mutta ei pienennä riskiä. Pääoppaan shadow AI -osio käsittelee ilmiötä yksityiskohtaisesti.

Soveltuuko GDPR:n 22 artikla todella tekoälyn tekemään esivalintaan?

Unionin tuomioistuimen SCHUFA-tuomio (C-634/21, joulukuu 2023) vahvisti laajan tulkinnan sanonnasta ”pelkästään automaattiseen käsittelyyn perustuva”. Jos päätöksentekijä käytännössä vain hyväksyy tekoälyn tuloksen, päätöstä pidetään pelkästään automatisoituna. EDPB:n suuntaviivat 04/2024 vahvistavat tätä. Turvallinen oletus on, että jokaiseen tekoälyllä toteutettavaan esivalintatyökaluun on rakennettava 22 artiklan suojatoimet: dokumentoitu sisällöllinen ihmisen tekemä tarkistus, selitys ja mahdollisuus riitauttaa päätös.

Koskeeko tekoälysäädös ChatGPT:n käyttöäni HR:ssä, vaikka en ole rakentanut sitä?

Kyllä. Tekoälysäädös koskee suuririskisten tekoälyjärjestelmien käyttöönottajia eikä pelkästään toimittajia. Jos HR-tiimisi käyttää tekoälyjärjestelmää johonkin liitteen III kohdan 4 tarkoitukseen, olet käyttöönottaja ja vastaat käyttöönottajan velvoitteista: ihmisen suorittama valvonta, seuranta, läpinäkyvyys asianomaisille, kirjanpito ja monissa tapauksissa perusoikeusvaikutusten arviointi. Kuluttajatason LLM:n käyttö ei vapauta sinua; se vaikeuttaa vaatimusten täyttämistä, koska dokumentaatio, jonka toimittajan pitäisi antaa sinulle 13 artiklan nojalla, puuttuu.

Sitooko Workday-tapaus Yhdysvaltojen ulkopuolella?

Ei suoraan, mutta oikeudellinen teoria, jonka mukaan tekoälytoimittajaa voidaan syrjintäasioissa kohdella työnantajan edustajana, leviää. Euroopan tasa-arvoelinten verkosto on viitannut tapaukseen vuoden 2025 kommentissaan, ja useat EU-oikeusjärjestelmät harkitsevat vastaavaa tulkintaa rotusyrjintädirektiivin (2000/43/EY) ja työsyrjintädirektiivin (2000/78/EY) nojalla. Suunnittele ikään kuin teoria pätisi.

Voiko yhteistoimintaelin estää tekoälyn käyttöönoton?

Useissa EU-oikeusjärjestelmissä, muun muassa Saksassa BetrVG:n 87 §:n 1 momentin 6 kohdan nojalla ja Italiassa Statuto dei Lavoratorin 4 artiklan nojalla, kyllä: työntekijöiden edustajien yhteispäätösoikeus valvonta- ja arviointiteknologiasta on pakollinen. Kuulemisen laiminlyönti voi johtaa käyttöönoton keskeyttämiseen takautuvasti ja lisäksi hallinnollisiin seuraamuksiin. Oikea strategia on aloittaa kuuleminen toimittajavalinnan ensimmäisenä päivänä eikä käyttöönoton jälkeen.

Ratkaiseeko pelkkä ansioluettelon peittäminen tekoälysäädöksen ongelman?

Ei. Peittäminen ratkaisee GDPR-ongelman tietovuodosta LLM-kierrossa. Tekoälysäädöksen velvoitteet (suuririskiluokitus, riskienhallinta, ihmisen suorittama valvonta, läpinäkyvyys, vinoumatarkastus, FRIA) pätevät itsenäisesti, eikä peittäminen täytä niitä. Nämä kaksi kerrosta toimivat yhdessä: peittämiskerros pitää tietojen minimoinnin periaatteen puhtaana; ihmisen tekemä tarkistus ja auditointikerros pitävät tekoälysäädöksen velvoitteet puhtaina.

Mitä on ”algoritminen johtaminen” ja miten se eroaa tekoälystä HR:ssä?

Algoritminen johtaminen tarkoittaa automatisoitujen järjestelmien käyttöä tehtävien jakamiseen, suoriutumisen seurantaan ja työntekijöitä koskevaan päätöksentekoon. Se yhdistetään useimmiten alustatyöhön (Foodinho/Glovo), mutta sitä sovelletaan yhä useammin myös perinteisessä työsuhteessa. Italian Garanten Foodinho-päätökset ovat EU:n perustavanlaatuinen täytäntöönpano; EU:n alustatyödirektiivi (2024) laajentaa erityiset läpinäkyvyysoikeudet alustatyöntekijöille. Jokaiseen perinteisen työsuhteen ”tekoälyaikatauluttajaan”, ”tekoälyvuoro-optimoijaan” tai ”tekoälytuottavuusmittariin” liittyy sama oikeudellinen riski, vaikka yritys ei pitäisi itseään alustana.

Ovatko lähtöhaastattelujen litteraatit todella suuririskisiä?

Kyllä. Ne sisältävät tyypillisesti 9 artiklan tietoja (terveys, ammattiliiton jäsenyys), nimeävät kolmansia osapuolia, jotka eivät ole suostuneet käsittelyyn, ja voivat sisältää EU-direktiivillä 2019/1937 suojattua ilmoittajatietoa, jonka luottamuksellisuutta koskee erillinen järjestelmä. Ne kuuluvat myös tietoluokkiin, joiden vuoto vahingoittaa mainetta eniten. Niiden tiivistäminen kuluttajatason LLM:llä on yksi riskialtteimmista yksittäisistä shadow AI -käytöksistä, joita näemme.

Kuinka kauan 90 päivän käyttöönotto todella kestää?

Kokemuksemme mukaan tekninen pilotti kestää 4-6 viikkoa ja työntekijöiden edustajien kuuleminen 6-8 viikkoa niissä EU-oikeusjärjestelmissä, joissa se on pakollinen. 90 päivää edellyttää rinnakkaista toteutusta. Jos ne tehdään peräkkäin, kannattaa varata 4-5 kuukautta. Suurin muuttuja on hankintojen vauhti eikä tekninen monimutkaisuus.

Missä Redacticin HR-tiedot tarkalleen sijaitsevat?

Asiakirjat ja tulokset käyttävät tilapäistä tallennusta käsittelyä varten Redacticin hallitsemassa eurooppalaisessa infrastruktuurissa. Palautustietojen tilapäinen palvelinpuolen käsittely voi kuulua prosessiin. Tili-, laskutus-, suostumus- ja toimenpidetiedot käsitellään erikseen. Säilytys- ja poistoehdot löytyvät Redacticin henkilötietojen käsittelysopimuksesta (DPA) ja tietosuojailmoituksesta, ja voit pyytää meitä vahvistamaan oman työnkulkusi profiilin. Lisätietoja: redactic.eu:n luottamussivut

Jos yrityksessäsi on shadow AI -käyttöä HR:ssä (ja on), toimimattomuuden hinta ei ole enää abstrakti sääntelyriski. Se on Workday-tyylinen syrjintäkanne, joka odottaa nostamistaan, EEOC:n täytäntöönpanoprioriteetti, malli CNIL:n tai Garanten toimille, työntekijöiden edustajien valitus ja ryhmäkanne, jota syrjintäasioita kantajien puolesta ajavat asianajajat ovat jo valmistelemassa. Korjaus ei ole tiukempi kielto; korjaus on tehdä hyväksytystä polusta varjopolkua nopeampi ja asettaa peittämiskerros tiimin ja mallin väliin. Vaatimustenmukaisuus ja syrjintäriski HR:n tekoälyssä ovat nyt toisiinsa kietoutuneita riskejä: dokumentoimaton varjotyönkulku on samalla GDPR-rikkomus ja mahdollinen syrjintävaateiden lähde. Arkkitehtuuri on olemassa, sääntelykello käy ja 90 päivän käyttöönotto on realistinen. Aloita kartoituksella tällä viikolla.

Peittämiskerroksen perustavat tekniset yksityiskohdat (tilat, sertifikaatit, jäljetön arkkitehtuuri, monikielinen tunnistus) löytyvät pääoppaasta. Työnkulun näkee toiminnassa Redacticin etusivulla, joka esittelee neljä käyttötilaa live-demolla.