Tekoäly voi säästää työaikaa, nopeuttaa asiakaspalvelua, auttaa myyntiä, analysoida tietoa ja automatisoida yrityksen työvaiheita.
Mutta samaan aikaan monen yrittäjän ja yritysjohtajan mielessä on toinen kysymys:
Onko tekoälyn käyttäminen turvallista?
Huoli on ymmärrettävä. Tekoälyä käytetään yhä enemmän yrityksen tiedon käsittelyyn, ja AI-toimintoja tulee CRM-, ERP- ja muihin yritysjärjestelmiin. AI-agentit voivat myös suorittaa tehtäviä yrityksen puolesta.
Tekoälystä ei kuitenkaan kannata tehdä itsessään uhkakuvaa.
Tavallisen pk-yrityksen kannalta olennaisempi kysymys on:
Kuka käyttää tekoälyä, millä tiedoilla, mihin sillä on pääsy, mitä se saa tehdä ja miten sen toimintaa valvotaan?
Kun nämä asiat ovat hallinnassa, tekoälyä voidaan hyödyntää ilman, että yrityksen tarvitsee suhtautua siihen pelolla.
Tekoäly ei itsessään ole yrityksen hyökkääjä
Tekoälyn turvallisuudesta puhuttaessa voi helposti syntyä mielikuva AI-järjestelmästä, joka itsenäisesti päättää hyökätä yritystä vastaan.
Tämä ei kuvaa tavallisen pk-yrityksen tämänhetkistä keskeistä uhkakuvaa.
Tekoäly on ennen kaikkea erittäin tehokas työväline.
Sitä voivat käyttää yrityksen omat työntekijät, asiakkaat, järjestelmätoimittajat – ja myös rikolliset.
Kyberrikollinen voi käyttää tekoälyä esimerkiksi huijausviestien laatimiseen, tietojenkalastelun tehostamiseen, tietojen keräämiseen tai hyökkäyksen valmisteluun. Tällöin hyökkääjä ei ole tekoäly vaan sitä käyttävä ihminen tai ihmisen rakentama järjestelmä.
AI voi tehdä hyökkääjän työstä nopeampaa, halvempaa ja helpommin skaalautuvaa.
Sama periaate toimii yrityksen sisällä toiseen suuntaan. AI ei itsestään päätä lähettää yrityksen luottamuksellisia tietoja väärään paikkaan. Ongelma voi syntyä esimerkiksi siitä, että työntekijä syöttää tietoja palveluun, johon niitä ei pitäisi antaa, tai AI-sovellukselle annetaan tarpeettoman laajat käyttöoikeudet.
Tämä ero on tärkeä.
AI itsessään ei ole lähtökohtaisesti vihamielinen toimija. Sen käyttöön ja järjestelmiin liittyvät riskit pitää silti tunnistaa ja hallita.
Suurin käytännön kysymys voi olla hyvin arkinen: mitä AI:lle kerrotaan?
Työntekijä voi avata julkisen AI-palvelun muutamassa sekunnissa ja kysyä siltä apua.
Hän voi kopioida palveluun asiakasviestin, tarjouspyynnön, sopimusluonnoksen, Excel-taulukon tai kokousmuistion.
Tämä on juuri AI:n vahvuus: avun saaminen on helppoa.
Samasta helppoudesta syntyy myös turvallisuuskysymys.
Yrityksen kannattaa määritellä ainakin, saako AI-palveluihin syöttää esimerkiksi:
- asiakkaiden henkilötietoja
- tarjouksia ja sopimuksia
- taloudellisia tietoja
- henkilöstötietoja
- tuotekehitysaineistoa
- yrityksen sisäisiä suunnitelmia
- salasanoja, tunnuksia tai muuta turvallisuuskriittistä tietoa.
Yksinkertainen sääntö on parempi kuin tilanne, jossa jokainen työntekijä joutuu itse arvaamaan, mikä on sallittua.
Tiedätkö, mitä AI-palveluja yrityksessä käytetään?
Perinteisen yritysohjelmiston käyttöönottoon tarvittiin usein hankintapäätös, sopimus ja IT-asennus.
AI-palvelun työntekijä voi ottaa käyttöön itse.
Yritykseen voi tämän vuoksi syntyä niin sanottua varjo-AI:ta: työntekijät käyttävät hyödylliseksi kokemiaan AI-palveluja, mutta yrityksen johto tai IT-vastuullinen ei välttämättä edes tiedä niiden käytöstä.
Ongelma ei välttämättä ole itse palvelu. Ongelma on se, ettei yritys tiedä, missä sen tietoa käsitellään ja millä ehdoilla.
Britannian hallinnon AI-kyberturvallisuustutkimuksessa havaittiin vastaava johtamisongelma. Osa organisaatioista ei tuntenut riittävästi AI:n käyttöä ja siihen liittyviä kyberriskejä omassa toiminnassaan. Osa tunnisti riskit, mutta koki sisäisen osaamisensa niiden arviointiin ja hallintaan puutteelliseksi.
Pk-yritykselle ensimmäinen turvallisuustoimenpide voikin olla hyvin yksinkertainen:
Selvitä, mitä AI-palveluja yrityksessä jo käytetään.
AI:n käyttöoikeudet muuttavat riskin
ChatGPT:lle kirjoitettu kysymys ja yrityksen järjestelmiin yhdistetty AI-agentti ovat turvallisuuden näkökulmasta kaksi eri asiaa.
AI:n hyöty kasvaa, kun se pääsee käyttämään yrityksen omaa tietoa.
Samalla kasvaa vastuu käyttöoikeuksista.
AI voi esimerkiksi saada pääsyn:
CRM → sähköposti → dokumentit → ERP → taloushallinto → ulkoiset palvelut
Mitä useampaan järjestelmään AI pääsee, sitä enemmän kannattaa kysyä:
Tarvitseeko se todella kaikki nämä oikeudet?
Periaate on sama kuin työntekijöiden käyttöoikeuksissa. Myyjä ei tarvitse järjestelmänvalvojan oikeuksia voidakseen tehdä työnsä.
Ei AI:kaan.
Ehdottaminen ja itsenäinen tekeminen ovat eri asioita
Tämä tulee erityisen tärkeäksi AI-agenttien yleistyessä.
AI voi toimia yrityksessä eri tasoilla:
AI ehdottaa → AI valmistelee → ihminen hyväksyy → AI suorittaa → AI toimii rajatusti itsenäisesti
Ensimmäisessä tapauksessa AI voi esimerkiksi ehdottaa vastausta asiakkaalle.
Toisessa se tekee valmiin sähköpostiluonnoksen.
Seuraavalla tasolla AI voi lähettää ihmisen hyväksymän viestin.
Pidemmälle mentäessä agentti voi itse tunnistaa tilanteen, tehdä päätelmän ja käynnistää toimenpiteen.
Mitä enemmän toimivaltaa AI:lle annetaan, sitä tärkeämmiksi tulevat käyttöoikeudet, toimintarajat, lokitiedot ja ihmisen mahdollisuus puuttua toimintaan.
Hyvä käytännön periaate on:
AI:n oikeuksien pitäisi kasvaa vasta, kun luottamus käyttötapaukseen kasvaa.
Turvallisuus ei tarkoita vain tietovuotojen estämistä
Tekoälyn turvallisuudesta puhuttaessa huomio kiinnittyy helposti siihen, voiko yrityksen tietoa joutua vääriin käsiin.
Se on tärkeä kysymys, mutta ei ainoa.
AI voi myös:
- antaa virheellisen vastauksen
- tulkita ohjeen väärin
- käyttää puutteellista tai vanhentunutta tietoa
- yhdistää oikeita tietoja väärällä tavalla
- tuottaa vakuuttavan kuuloisen mutta virheellisen johtopäätöksen.
Jos AI auttaa kirjoittamaan markkinointitekstiä, virheen seuraukset voivat olla pienet.
Jos sama AI tekee päätelmiä asiakkaan sopimuksesta, tuotannon tilanteesta tai yrityksen taloudesta, seuraukset voivat olla aivan toisenlaiset.
Turvallisuutta pitää siksi arvioida käyttötarkoituksen mukaan.
ERP:n ja CRM:n tieto on myös turvallisuuskysymys
Kun AI integroidaan yritysjärjestelmiin, tiedon laadusta tulee sekä hyöty- että turvallisuuskysymys.
Jos CRM:ssä on vanhentunutta asiakastietoa, AI voi käyttää sitä päätelmiensä pohjana.
Jos ERP:n tuotetieto, toimitusaika tai hintatieto on väärä, AI voi tuottaa sen perusteella väärän ehdotuksen.
AI pystyy käsittelemään suuria tietomääriä nopeasti. Siksi se voi myös monistaa huonon lähtötiedon vaikutuksia nopeasti.
Tämä yhdistää tekoälyn turvallisuuden suoraan yrityksen normaaliin toiminnanohjaukseen:
Hyvä tieto, selkeät prosessit ja hallitut käyttöoikeudet ovat myös AI-turvallisuuden perusta.
AI auttaa myös hyökkääjää – mutta hyökkääjä on edelleen hyökkääjä
Kyberrikolliset hyödyntävät samoja teknologian ominaisuuksia kuin yrityksetkin: nopeutta, automaatiota, tiedon käsittelyä ja sisällön tuottamista.
AI voi tehdä esimerkiksi huijausviesteistä aikaisempaa uskottavampia ja helpottaa niiden tuottamista eri kielillä.
Tämä kannattaa ottaa vakavasti, mutta asiaa ei tarvitse mystifioida.
Britannian Cyber Security Breaches Survey 2025/2026 -tutkimuksessa tietojenkalastelu oli edelleen selvästi yleisin yritysten tunnistama hyökkäystyyppi. Tutkimuksen haastatteluissa yritykset myös kokivat phishing-hyökkäysten tekemisen helpottuneen hyökkääjille.
Kyberturvallisuuden perusteet eivät siis katoa AI-aikana.
Hyvä salasanasuojaus, monivaiheinen tunnistautuminen, päivitykset, varmuuskopiot, rajatut käyttöoikeudet ja henkilöstön osaaminen ovat edelleen tärkeitä.
AI tuo niiden päälle uusia huomioitavia asioita.
Myös itse AI-järjestelmä pitää suojata
AI-järjestelmään voidaan kohdistaa hyökkäyksiä aivan kuten muihinkin tietojärjestelmiin.
Hyökkääjä voi esimerkiksi yrittää manipuloida AI:lle annettavia ohjeita tai sen käyttämää tietoa.
Tämä on erityisen tärkeää silloin, kun AI käyttää yrityksen sisäisiä tietolähteitä tai AI-agentilla on oikeus suorittaa toimenpiteitä.
Britannian DSIT:n tutkimuskatsaus on tunnistanut AI-järjestelmien haavoittuvuuksia niiden elinkaaren eri vaiheissa suunnittelusta käyttöönottoon ja ylläpitoon.
Tätä teknisempää näkökulmaa käsitellään tarkemmin artikkelissa:
Tekoäly ja yrityksen kyberturvallisuus – puolustaja, suojattava kohde ja hyökkääjän työkalu
Uuden artikkelin kannalta tärkein johtopäätös on yksinkertaisempi:
Mitä tärkeämmäksi AI tulee yrityksen toiminnalle ja mitä enemmän oikeuksia sille annetaan, sitä paremmin myös AI-järjestelmä pitää suojata.
AI voi myös parantaa yrityksen kyberturvallisuutta
AI:n ja kyberturvallisuuden suhde ei ole pelkästään riskikysymys.
Tekoälyä voidaan käyttää myös puolustamiseen: suurten tapahtumamäärien analysointiin, poikkeamien tunnistamiseen ja turvallisuusasiantuntijoiden työn tukemiseen.
Tämä kaksisuuntainen rooli näkyy myös NISTin Cyber AI Profile -mallissa. Sen näkökulmia ovat AI-järjestelmien suojaaminen, AI:n käyttäminen kyberpuolustuksessa sekä AI:ta hyödyntävien hyökkäysten torjuminen.
AI ei siis ole kyberturvallisuuden vastakohta.
Sama teknologia voi auttaa sekä puolustajaa että hyökkääjää.
Yrityksissä AI:n käyttö etenee turvallisuuskäytäntöjä nopeammin
Tämä on ehkä tärkein tutkimushavainto yritysjohdolle.
Britannian virallisessa Cyber Security Breaches Survey 2025/2026 -tutkimuksessa noin kolmannes yrityksistä joko käytti AI:ta, oli ottamassa sitä käyttöön tai harkitsi aktiivisesti käyttöönottoa.
Tästä joukosta vain noin 24 prosenttia ilmoitti, että yrityksessä oli käytössä kyberturvallisuuskäytäntöjä tai prosesseja AI:n käytöstä aiheutuvien riskien hallitsemiseksi.
Tutkimus koskee Britanniaa eikä lukua pidä sellaisenaan siirtää suomalaisiin pk-yrityksiin.
Havainto on silti ajatuksia herättävä:
AI:n käyttöönotto voi edetä nopeammin kuin sen turvallisen käytön pelisäännöt.
Juuri tähän pk-yritys pystyy itse vaikuttamaan.
Pk-yritys ei tarvitse raskasta AI-turvallisuusorganisaatiota
Turvallinen AI:n käyttö ei tarkoita sitä, että pienyrityksen pitäisi perustaa uusi turvallisuusosasto.
NISTin AI Risk Management Framework lähtee riskiperusteisesta ajattelusta. Riskienhallinta suhteutetaan käyttötapaukseen, tavoitteisiin ja organisaation tilanteeseen.
Pk-yrityksessä alkuun päästään jo muutamalla selkeällä päätöksellä.
Tarkistuslista: AI:n turvallinen käyttö pk-yrityksessä
Yrityksen johdon kannattaa pystyä vastaamaan ainakin näihin kysymyksiin:
- Mitä AI-palveluja yrityksessämme käytetään?
- Mitkä niistä ovat yrityksen hyväksymiä?
- Mitä tietoja niihin saa ja ei saa syöttää?
- Saako AI käsitellä asiakas-, henkilöstö- tai muuta luottamuksellista tietoa?
- Mihin ERP-, CRM- ja muihin järjestelmiin AI:lla on pääsy?
- Ovatko käyttöoikeudet vain niin laajat kuin tehtävä edellyttää?
- Mitä AI saa tehdä itse ja missä tarvitaan ihmisen hyväksyntä?
- Kuka tarkistaa tärkeät AI:n tuottamat tiedot ja päätösehdotukset?
- Miten AI:n tekemät toimenpiteet voidaan jäljittää?
- Mitä tehdään, jos AI toimii väärin tai tietoa joutuu väärään paikkaan?
- Tietävätkö työntekijät nämä pelisäännöt?
Kaikkea ei tarvitse ratkaista kerralla.
Tärkeintä on, ettei AI:n käyttö jää kokonaan yksittäisten työntekijöiden omien arvioiden varaan.
Turvallisuus ja hyöty eivät ole toistensa vastakohtia
Yrityksen ei tarvitse valita tekoälyn hyödyntämisen ja turvallisuuden välillä.
Päinvastoin.
Hyvin hallittu AI voi olla myös hyödyllisempi AI.
Kun tiedetään, mitä tietoja voidaan käyttää, käyttöoikeudet ovat kunnossa ja vastuut selviä, AI voidaan liittää rohkeammin yrityksen todellisiin prosesseihin ja järjestelmiin.
Silloin päästään satunnaisesta kokeilusta kohti todellista liiketoimintahyötyä.
Tämän vuoksi yritysjohdon kaksi tärkeää AI-kysymystä kuuluvat yhteen:
Mitä hyötyä tekoälystä meille syntyy?
ja
Voimmeko saavuttaa tämän hyödyn riittävän turvallisesti ja hallitusti?
AI:n käyttöönotossa ei lopulta ole kyse siitä, valitseeko yritys mahdollisuudet vai riskien välttämisen.
Kyse on siitä, että:
hyödyt tavoitellaan hallituilla riskeillä.
Lähteitä
Department for Science, Innovation & Technology:
Cyber Security Breaches Survey 2025/2026
Department for Science, Innovation & Technology:
Cyber security risks to artificial intelligence
NIST:
Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile
NIST:
Cyber AI Profile