Mitä markkinoijan pitää tietää GDPR:stä, kun käyttää tekoälyä?

Miksi tämä asia on tärkeä juuri nyt

Markkinoijat käyttävät tekoälyä yhä enemmän: sisällöntuotantoon, kampanjoiden analysointiin, asiakassegmentointiin ja personointiin. Monissa näistä käsitellään asiakastietoja, jotka ovat GDPR:n piirissä.

Samaan aikaan EU:n tekoälyasetus (AI Act) tuo markkinoinnille uusia velvoitteita. Ensimmäiset velvoitteet astuivat voimaan helmikuussa 2025, ja lisää tulee vuosina 2025–2027.

Alla ovat käytännön tilanteet, joihin markkinoija törmää. Tämä ei ole juridinen opas, vaan selkeä käytännön ohjeistus.

Mitä tietoja tekoälylle saa syöttää

Tämä on yleisin kysymys. Vastaus riippuu kahdesta asiasta: millaista tietoa syötät ja mihin palveluun.

Ilmaiset AI-palvelut (ChatGPT Free, Gemini Free, Claude Free)

Ilmaisissa versioissa palveluntarjoaja voi käyttää syöttämiäsi tietoja mallien kouluttamiseen. Älä syötä niihin:

• Asiakkaiden nimiä, sähköposteja tai puhelinnumeroita
• CRM-dataa, joka sisältää henkilötietoja
• Myyntiraportteja, joissa on tunnistettavia asiakastietoja
• Luottamuksellisia sopimuksia tai strategiadokumentteja

Ilmaisiin palveluihin voit turvallisesti syöttää:

• Yleisiä markkinointikysymyksiä ja ideointipyyntöjä
• Julkista tietoa (oman verkkosivun tekstejä, julkaistuja artikkeleita)
• Geneerisiä esimerkkejä ilman oikeita asiakastietoja

Yritysversiot (ChatGPT Business/Enterprise, Claude Team, Gemini Google Workspacessa)

Yritysversiot tarjoavat paremman tietosuojan. Palveluntarjoaja sitoutuu siihen, ettei käytä syötteitä mallien kouluttamiseen. Tämä on merkittävä ero.

Silti kannattaa noudattaa minimointiperiaatetta: syötä vain se tieto, jonka tekoäly tarvitsee tehtävän suorittamiseen. Jos analysoit asiakaspalautteita, poista nimet ja yhteystiedot ensin.

API-käyttö

API:n kautta käytetty tekoäly on usein hyvä vaihtoehto, jos käsittelet säännöllisesti arkaluonteista dataa, mutta se ei ole automaattisesti tietosuojaltaan paras. Koulutuskäyttö ja säilyttäminen ovat eri asioita: esimerkiksi OpenAI ei lähtökohtaisesti kouluta malleja API-datalla, mutta väärinkäytösvalvonnan lokit voivat sisältää syötteitä ja vastauksia ja säilyä oletuksena enintään 30 päivää, tai pidempään, jos laki sitä vaatii. Kolmenkymmenen päivän raja koskee nimenomaan näitä lokeja, ei kaikkea API:n kautta tallentuvaa: sovellustilan objektit, esimerkiksi keskustelut ja vektorivarastot, säilyvät OpenAI:n mukaan siihen asti, kunnes ne poistetaan, ja poistamattomat säilyvät toistaiseksi. Erillinen säilyttämättömyysjärjestely ei kuulu kaikkeen API-käyttöön. Tietosuoja arvioidaan siis palvelun, käytetyn toiminnon, sopimuksen ja säilytysasetusten perusteella, ei pelkän käyttötavan.

Anonymisointi käytännössä

Ennen kuin syötät asiakastietoja tekoälyyn, anonymisoi ne. Tämä tarkoittaa tunnistettavien tietojen poistamista tai korvaamista.

Yksinkertaisin tapa: Poista tai korvaa nimet, sähköpostit ja puhelinnumerot ennen syöttämistä, esimerkiksi ”Asiakas A”, ”Asiakas B”. Tekoäly pystyy silti analysoimaan käyttäytymismalleja, trendejä ja segmenttejä.

Huomaa kuitenkin, että tunnisteiden vaihtaminen ei yksin tee aineistosta anonyymiä. Jos henkilö voi tunnistua yhdistelemällä muita tietoja (harvinainen tehtävänimike, pieni paikkakunta, tietty tapahtuma, vapaamuotoinen palaute) tai jos säilytät avaimen, jolla tunnisteet voi palauttaa, kyse on pseudonymisoinnista, ja aineisto on edelleen henkilötietoa. Aidosti anonyymiä on vasta aineisto, josta ketään ei voi kohtuullisin keinoin tunnistaa. Käytännössä varmin tapa on minimointi: syötä vain se, mitä analyysi oikeasti tarvitsee.

Esimerkki: Haluat analysoida asiakaspalautteita tekoälyllä. Alkuperäinen palaute: ”Matti Meikäläinen, matti@yritys.fi: Palvelu oli hidasta.” Tekoälylle syötettävä versio: ”Asiakas 1: Palvelu oli hidasta.” Tekoäly saa saman informaation ilman tunnistetietoja.

Koska alkuperäinen palaute on tallessa omassa järjestelmässäsi, tämäkin on pseudonymisointia, ja aineisto on edelleen henkilötietoa.

AI-kampanjat ja kohdentaminen

Kun käytät tekoälyä mainonnan kohdentamiseen tai personointiin, käsittelet lähes aina henkilötietoja. GDPR edellyttää tällöin:

Laillinen peruste. Henkilötietojen käsittelyyn tarvitaan peruste. Markkinoinnissa se on yleensä suostumus tai oikeutettu etu. Oikeutettu etu ei synny pelkästä asiakkuudesta: yrityksen pitää punnita etuaan asiakkaan oikeuksia vasten tasapainotestillä ja kirjata arvio. Evästeisiin perustuva kohdentaminen vaatii lisäksi kävijän suostumuksen, ja sähköpostimarkkinointi kuluttajille pääsääntöisesti ennakkosuostumuksen (tietosuojavaltuutetun ohje).

Tietojen minimointi. Kerää ja käsittele vain se data, jota oikeasti tarvitset. Jos kohdennat mainontaa iän ja sijainnin perusteella, älä kerää samalla harrastustietoja ”varmuuden vuoksi”.

Läpinäkyvyys. Kerro tietosuojaselosteessa, miten käytät asiakastietoja markkinoinnissa, myös tekoälyn avulla.

Rekisteröidyn oikeudet. Asiakkaalla on oikeus tietää, mitä tietoja hänestä on, pyytää niiden poistamista ja vastustaa profilointia. Varmista, että nämä prosessit toimivat myös silloin, kun data kulkee AI-työkalujen kautta.

Mainosverkostojen omat tekoälyt

Google Ads, Meta Ads ja muut alustat käyttävät tekoälyä kohdentamiseen. Tämä on eri asia kuin se, että itse syöttäisit asiakastietoja ChatGPT:hen. Mainosverkostot toimivat omien tietosuojakäytäntöjensä puitteissa, ja vastuu on jaettu sinun ja alustan välillä.

Käytännössä: varmista, että omat suostumuksesi (cookie consent, uutiskirjeen opt-in) ovat kunnossa, ja käytä alustojen tarjoamia tietosuoja-asetuksia.

EU:n tekoälyasetus (AI Act) ja markkinointi

EU:n tekoälyasetus tuo markkinoinnille velvoitteita porrastetusti. Alla aikataulu ja se, mitä kukin vaihe tarkoittaa markkinoijalle.

Helmikuu 2025: AI literacy -velvoite. Organisaation on varmistettava, että tekoälyä käyttävällä henkilöstöllä on riittävä ymmärrys työkaluista.

Elokuu 2025: yleiskäyttöisten tekoälymallien (GPAI, kuten ChatGPT ja Claude) tarjoajien velvoitteet tulivat voimaan.

Elokuu 2026: Läpinäkyvyysvelvoitteet (artikla 50) tulivat sovellettaviksi 2.8.2026. Tekoälyllä tuotettu tai olennaisesti muokattu kuva, video tai ääni on merkittävä, jos katsoja voi luulla sitä aidoksi kuvaukseksi oikeasta ihmisestä, tuotteesta, paikasta tai tapahtumasta. Laki kutsuu tätä deepfakeksi, ja käsite on paljon laajempi kuin väärennetty julkkisvideo. Kaikkea tekoälyn avulla tehtyä markkinointisisältöä velvoite ei koske: tavallista markkinointitekstiä, selvästi piirrettyä kuvitusta tai teknistä kuvankäsittelyä (rajaus, värikorjaus) ei merkitä. Tekstin osalta velvoite koskee vain yleisölle tärkeää yhteiskunnallista aihetta käsittelevää tekstiä, ja sekin vapautuu merkinnästä, kun ihminen on arvioinut sisällön ja joku vastaa julkaisusta. Pelkkä oikoluku ei ole tällainen tarkistus. Pakollista AI-logoa ei ole, selkeä tekstimerkintä riittää. Komissio julkaisi lopulliset soveltamisohjeet 20.7.2026.

Joulukuu 2026: Tekoälytyökalujen valmistajien koneluettaville merkinnöille on siirtymäaika 2.12.2026 asti. Se koskee vain työkalun tekemää teknistä merkintää tiedostoon, ei markkinoijan näkyvää merkintää yleisölle. Tästä sekaannuksesta on syntynyt väite, että ”kaikkiin AI-kuviin pitää lisätä logo”. Se ei pidä paikkaansa.

Käytännössä markkinointitiimin kannattaa:

• Dokumentoida, missä ja miten tekoälyä käytetään
• Varmistaa henkilöstön perusosaaminen
• Päättää, miten tekoälyllä tuotettu kuva, video ja ääni merkitään, ja kirjata tulkinnanvaraiset ratkaisut
• Muistaa, että merkintä ei tee harhaanjohtavasta mainoksesta sallittua. Kuvalla ei saa luoda väärää mielikuvaa tuotteesta, vaikka siinä lukisi ”tuotettu tekoälyllä”. Tätä valvoo Suomessa kuluttaja-asiamies.

Merkintävelvoite käydään tarkemmin läpi artikkelissa Milloin tekoälyllä tehty kuva, video tai ääni pitää merkitä?: mitä merkitään, mitä ei, miten merkintä tehdään ja kuka siitä vastaa.

Valvontakäytäntö on vasta muotoutumassa. Tarkista ajantasainen tilanne komission FAQ-sivulta, ennen kuin teet linjauksia sen varaan.

Käytännön tarkistuslista

Ennen kuin käytät tekoälyä markkinoinnissa, käy läpi nämä:

Tietojen syöttäminen:

• Käytä yritysversiota tai API:a, jos käsittelet asiakastietoja
• Anonymisoi henkilötiedot ennen syöttämistä
• Älä syötä ilmaisiin palveluihin mitään, mitä et laittaisi julkiseen sähköpostiin

Kampanjat ja kohdentaminen:

• Varmista suostumukset (cookie consent, uutiskirjeen opt-in)
• Päivitä tietosuojaseloste kattamaan tekoälyn käyttö
• Kerää vain tarpeellinen data

Sisällöntuotanto:

• Tarkista tekoälyn tuottaman sisällön faktat ennen julkaisua
• Seuraa AI Act -merkintävelvoitteiden aikataulua
• Dokumentoi, missä prosesseissa tekoälyä käytetään

Organisaatio:

• Sovi pelisäännöt: mitä tietoja saa syöttää, mihin palveluihin
• Varmista henkilöstön perusymmärrys (AI Act literacy -velvoite)
• Nimeä vastuuhenkilö tai lisää tekoäly osaksi tietosuojavastaavan roolia

Kirjoittanut

Janne Riihimäki

Tekoälykonsultti ja -kouluttaja markkinointiin · Sofia Digital

Autan markkinointitiimejä ottamaan tekoälyn käyttöön niin, että se jää arkeen. Kaikki lähtee tarpeesta: ensin katsotaan, mitä tiimi tekee, ja sitten valitaan keinot ja työkalut. Tutustu Janneen ja siihen, missä hän auttaa

Tarvitsetko apua käyttöönottoon?

Ota yhteyttä arrow_forward