Miten tekoälyn käyttötapauksia kannattaa arvioida julkishallinnossa?

Tekoälyn käyttöönotto ei yleensä pysähdy siihen, ettei organisaatiossa keksittäisi käyttötapoja. Päinvastoin. Kun henkilöstö alkaa käyttää tekoälyä työssään ja uusia ratkaisuja tulee tarjolle, mahdollisia käyttökohteita syntyy nopeasti enemmän kuin organisaatio pystyy toteuttamaan.

Silloin tarvitaan yhteinen tapa päättää, mitä käyttötapauksia kannattaa edistää, millä ehdoilla niitä voidaan ottaa käyttöön ja milloin tarvitaan laajempaa arviointia.

Käyttötapausten arvioinnissa ei ole kyse vain riskien tunnistamisesta tai sääntelyn noudattamisesta. Organisaation pitää pystyä vastaamaan yhtä aikaa ainakin neljään kysymykseen: mitä hyötyä käyttötapauksella tavoitellaan, onko se toteuttamiskelpoinen, millaisia riskejä tai velvoitteita siihen liittyy ja kuka voi tehdä päätöksen sen etenemisestä.

Hyvä arviointimalli tekee näistä kysymyksistä yhteisen päätöksentekorakenteen.

Arvioinnin kohteena on käyttötapaus, ei pelkkä tekoälytyökalu

Sama tekoälyratkaisu voi olla yhdessä käyttötarkoituksessa melko ongelmaton ja toisessa huomattavasti vaativampi.

Kielimallin käyttäminen julkisista lähteistä laadittavan sisäisen ideapaperin ensimmäiseen luonnokseen on aivan eri asia kuin saman teknologian käyttäminen asiakkaan palvelutarpeen arvioinnissa, henkilöstöpäätösten tukena tai viranomaispäätöksen valmistelussa.

Arvioinnin pitää siksi lähteä käyttötapauksesta:

• mitä tekoälyllä tehdään

• missä prosessissa sitä käytetään

• mitä tietoa siinä käsitellään

• keihin käyttö voi vaikuttaa

• mikä on ihmisen rooli

• mitä tekoäly ei saa tehdä

• mitä hyötyä käytöllä tavoitellaan.

Tämä on myös Valtiokonttorin tekoälyn hallintamallin lähtökohta. Käyttötapaus kuvataan ennen riskitason määrittämistä: miksi tekoälyä käytetään, mitä se tekee, missä prosessissa sitä käytetään ja mikä on ihmisen rooli.

Lähde: Valtiokonttori: Tekoälyn hallinta – esimerkkinä Valtiokonttorin tekoälyn hallintamalli

Hyvä arviointi alkaa hyödystä, ei riskistä

Tekoälyn hallinnasta tulee helposti lista asioista, joita ei saa tehdä. Se ei ole hyvä lähtökohta käyttötapausten johtamiselle.

Ensimmäisen kysymyksen pitäisi olla: mitä ongelmaa yritämme ratkaista ja mitä pitäisi muuttua, jos tekoälyn käyttö onnistuu?

Hyöty voi tarkoittaa esimerkiksi palvelun laadun paranemista, käsittelyajan lyhenemistä, henkilöstön työajan vapautumista vaativampiin tehtäviin, tiedon parempaa hyödyntämistä tai kokonaan uuden palvelun mahdollistumista.

Hyöty pitää kuitenkin kuvata niin, että myöhemmin voidaan arvioida, syntyikö sitä todella.

OECD:n vuoden 2026 Digital Government Outlookin mukaan tekoälyä käytetään jo ainakin jollakin hallinnon alueella 35:ssä 36:sta tarkastellusta OECD-maasta. Silti vain 10 maata raportoi mittaavansa tekoälyn käyttötapausten taloudellisia tai muita vaikutuksia. OECD nostaa vaikutusten mittaamisen puutteen yhdeksi syyksi siihen, että hallinnossa syntyy paljon kokeiluja, joilla on vain vähän mahdollisuuksia skaalautua laajempaan käyttöön.

Lähde: OECD: Digital Government Outlook 2026 – Adopting and governing AI in government

Siksi arviointiin kannattaa liittää heti kysymys: mistä tiedämme kuuden kuukauden päästä, että tämän käyttötapauksen edistäminen oli järkevää?

Arviointimalli auttaa myös valitsemaan, mitä kannattaa tehdä

Kaikki mahdolliset käyttötapaukset eivät ole organisaatiolle yhtä arvokkaita.

Kaksi käyttötapausta voivat olla molemmat sallittuja ja riskien näkökulmasta hallittavia, mutta niiden hyötypotentiaali voi olla täysin erilainen. Toinen voi säästää muutaman henkilön työaikaa satunnaisesti, kun taas toinen voi parantaa suuren asiakasprosessin laatua, nopeutta tai saavutettavuutta.

Siksi toimivassa arviointimallissa käyttötapausta ei tarkastella vain riskin kautta. Arviointiin kannattaa sisällyttää myös esimerkiksi:

• tavoiteltava hyöty

• vaikutuksen laajuus

• toteutettavuus

• tarvittava työ ja kustannukset

• tietopohjan riittävyys

• osaamisvaatimukset

• sääntelyyn ja riskeihin liittyvät kysymykset.

Näin arviointimalli toimii samalla myös priorisoinnin välineenä. Se auttaa organisaatiota suuntaamaan aikaa ja resursseja käyttötapauksiin, joissa mahdollinen hyöty on riittävän suuri suhteessa vaadittavaan panostukseen ja riskeihin.

Kaikkea ei pidä arvioida yhtä raskaasti

Toinen ääripää on antaa jokaisen yksikön kokeilla tekoälyä itsenäisesti. Toinen on rakentaa prosessi, jossa jokainen käyttötapaus kulkee tietosuojan, tietoturvan, juridiikan ja johdon kautta.

Kumpikaan ei skaalaudu.

Toimiva arviointimalli erottaa nopeasti tilanteet, joissa kevyt tarkistus riittää, niistä käyttötapauksista, joissa tarvitaan syvempää arviointia.

Organisaatio voi esimerkiksi rakentaa oman mallinsa kolmen käsittelytason ympärille.

Kevyt käsittely

Kevyimmällä tasolla voivat olla käyttötavat, joissa käytetään hyväksyttyä työkalua, käsitellään julkista tai muuten sallittua tietoa eikä tekoälyn tuotos vaikuta suoraan asiakkaaseen, viranomaispäätökseen tai ihmisen oikeuksiin.

Tällöin voi riittää, että käyttötapaus kuvataan, keskeiset ehdot tarkistetaan ja vastuuhenkilö hyväksyy käytön sovittujen pelisääntöjen mukaisesti.

Laajennettu arviointi

Arviointia kannattaa laajentaa, jos tekoäly käsittelee henkilötietoja tai salassa pidettävää tietoa, kytkeytyy organisaation tietojärjestelmiin, tuottaa sisältöä suoraan asiakkaille tai sitä käytetään ammatillisen arvion tukena.

Tässä vaiheessa arviointiin voidaan tarvita esimerkiksi tietosuojan, tietoturvan, juridiikan, hankinnan tai substanssitoiminnan asiantuntijoita.

Syventävä arviointi ja johdon päätös

Laajin käsittely tarvitaan silloin, kun käyttötapaus voi vaikuttaa merkittävästi ihmisten oikeuksiin tai asemaan, siihen liittyy korkea tietosuoja- tai tietoturvariski tai se kuuluu tekoälysäädöksen tarkoittamiin suuririskisiin käyttötarkoituksiin.

Tällöin organisaation pitää tietää jo etukäteen, mitä lisäarviointeja tarvitaan, ketkä osallistuvat arviointiin ja kuka voi tehdä lopullisen päätöksen käyttöönotosta.

Tämä organisaation oma käsittelymalli ei ole sama asia kuin EU:n tekoälysäädöksen riskiluokitus. Tekoälysäädöksen näkökulmasta vähäisen riskin järjestelmä ei automaattisesti tarkoita organisaatiolle vähäriskistä käyttötapausta.

Käyttöön voi silti liittyä esimerkiksi henkilötietoja, salassa pidettävää tietoa, tietoturvariskejä tai merkittävä riski siitä, että virheellinen tieto päätyy viranomaisen toimintaan.

Traficomin Kyberturvallisuuskeskus korostaa tekoälysovellusten käyttöönotossa muun muassa tarpeellisuuden, käyttöoikeuksien, käsiteltävien tietojen ja sovelluksen toiminnan selvittämistä ennen laajempaa käyttöönottoa.

Lähde: Kyberturvallisuuskeskus: Ole valppaana tekoälyn kanssa

Arviointimallin pitää ohjata käyttötapaus oikealle reitille

Käyttötapausten arviointia ei kannata rakentaa yhdeksi suureksi lomakkeeksi, johon yritetään mahduttaa kaikki mahdolliset kysymykset.

Parempi tavoite on rakentaa reitti, jonka avulla käyttötapaus ohjautuu oikeanlaiseen käsittelyyn.

Käytännössä arviointimallissa pitää ratkaista ainakin nämä asiat:

1. Mitä käyttötapauksesta kuvataan?

Organisaatio tarvitsee yhteisen vähimmäistietojen joukon. Siihen voi kuulua esimerkiksi käyttötarkoitus, prosessi, käyttäjät, käsiteltävät tiedot, tekoälyn tehtävä, ihmisen rooli, tavoiteltava hyöty ja vaikutusten kohde.

2. Millä kriteereillä käyttötapausta arvioidaan?

Arvioinnin pitää kattaa ainakin hyötypotentiaali, toteutettavuus, tiedot, vaikutukset, riskit ja tarvittavat resurssit.

3. Mikä käsittelytaso käyttötapaukselle kuuluu?

Arviointimalli määrittää, milloin kevyt tarkistus riittää ja mitkä tekijät nostavat käyttötapauksen syvempään arviointiin.

4. Ketä arviointiin tarvitaan?

Kaikissa käyttötapauksissa ei tarvita kaikkia asiantuntijoita. Mallin pitää auttaa tunnistamaan, milloin mukaan tarvitaan esimerkiksi tietosuoja, tietoturva, juridiikka, hankinta tai toiminnasta vastaava johto.

5. Kuka saa tehdä päätöksen?

Organisaation pitää määritellä, mitkä käyttötapaukset voidaan hyväksyä yksikössä, mitkä tarvitsevat keskitettyä käsittelyä ja mitkä kuuluvat johdon päätettäviksi.

6. Miten käyttötapausta seurataan käyttöönoton jälkeen?

Arviointi ei pääty hyväksymispäätökseen. Organisaation pitää pystyä seuraamaan, syntyvätkö tavoitellut hyödyt, toteutuvatko ennakoidut riskit ja pitääkö käyttöä muuttaa.

Kun nämä asiat on sovittu, tekoälyidean ei tarvitse jäädä yksittäisen työntekijän tai esihenkilön pohdittavaksi. Organisaatiolla on yhteinen tapa viedä idea päätökseksi.

Tietosuojan vaikutustenarviointi on yksi mahdollinen syventävä arviointi

Jos tekoälyn käyttötapauksessa käsitellään henkilötietoja, arvioinnissa pitää tunnistaa myös tietosuojakysymykset.

Tietosuojaa koskeva vaikutustenarviointi eli DPIA ei kuitenkaan ole sama asia kuin tekoälyn käyttötapauksen kokonaisarviointi. Se on yksi mahdollinen syventävä arviointi.

GDPR edellyttää DPIA:n tekemistä ennen henkilötietojen käsittelyä silloin, kun käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Arvioinnissa tarkastellaan esimerkiksi käsittelyn tarpeellisuutta ja oikeasuhtaisuutta sekä tunnistetaan ja vähennetään henkilötietojen käsittelyyn liittyviä riskejä.

Organisaation oman käyttötapausten arviointimallin tehtävä on tunnistaa, milloin tällainen arviointi tarvitaan. Kaikkia tekoälyn käyttötapauksia ei ole tarkoituksenmukaista yrittää mahduttaa samaan tietosuojaprosessiin.

Deeple auttaa organisaatioita myös tietosuojaa koskevien vaikutustenarviointien tekemisessä silloin, kun tekoälyn käyttötapaukseen liittyvä henkilötietojen käsittely sitä edellyttää. Näin syventävä tietosuoja-arviointi voidaan kytkeä osaksi samaa käyttötapausten arviointi- ja päätöksentekoprosessia.

Tietosuojan vaikutustenarviointi (DPIA) — Deeple

Joissakin käyttötapauksissa arviointi perustuu suoraan lainsäädäntöön

EU:n tekoälysäädös tekee arvioinnista tietyissä tilanteissa nimenomaisen velvollisuuden.

Kun julkisoikeudellinen toimija ottaa käyttöön tiettyjä tekoälysäädöksen tarkoittamia suuririskisiä tekoälyjärjestelmiä, sen on ennen käyttöönottoa tehtävä perusoikeusvaikutusten arviointi. Siinä tarkastellaan muun muassa prosessia, jossa järjestelmää käytetään, käytön kohteena olevia ihmisryhmiä, mahdollisia haittoja, ihmisen suorittamaa valvontaa sekä toimia riskien toteutumisen varalta.

Siksi organisaation oman arviointimallin pitää tunnistaa jo varhaisessa vaiheessa, kuuluuko suunniteltu käyttö tekoälysäädöksen kiellettyihin käytäntöihin tai suuririskisiin käyttötarkoituksiin ja liittyykö siihen velvoitteita, jotka edellyttävät laajempaa arviointia.

Tavoite ei kuitenkaan ole tehdä jokaisesta käyttötapauksesta juridista selvitystä. Tavoite on tunnistaa nopeasti ne tilanteet, joissa juridista arviointia oikeasti tarvitaan.

Hyvä arviointimalli tekee päätöksenteosta nopeampaa

Arviointimallin tarkoitus ei ole rakentaa tekoälyn ympärille uutta hallinnollista kerrosta.

Hyvä malli tekee kaksi asiaa yhtä aikaa. Se estää organisaatiota etenemästä liian kevyesti käyttötapauksissa, joissa vaikutukset voivat olla merkittäviä, mutta samalla se estää raskaan hyväksymisprosessin rakentamisen tilanteisiin, joissa riskit ovat vähäisiä ja hallittavissa normaalien pelisääntöjen avulla.

OECD:n vuoden 2026 vertailu osoittaa, että juuri toimeenpanossa on edelleen puutteita. Kaikissa tarkastelluissa OECD-maissa on jo jonkinlaisia tekoälyn käyttöä ohjaavia suojatoimia, mutta vain 14 maata 36:sta edellyttää käyttöönottoa edeltävää riskiarviointia, 12:ssa toimii sisäisiä arviointielimiä ja 11:ssä tehdään käyttöönoton jälkeisiä auditointeja.

Ongelma ei siis ole enää ensisijaisesti periaatteiden puuttuminen. Haaste on niiden muuttaminen arjen päätöksenteoksi.

Käytännössä rakennamme organisaatiolle yhteisen reitin tekoälyideasta päätökseen

Kun rakennamme asiakkaan kanssa tekoälyn käyttötapausten arviointimallia, tavoitteena ei ole tuottaa vain yksittäistä arviointilomaketta.

Rakennamme kokonaisuuden, jossa käyttötapaus voidaan kuvata, arvioida, priorisoida ja ohjata oikealle päätöstasolle.

Työssä määritellään käytännössä:

• mitä tietoja jokaisesta käyttötapauksesta tarvitaan

• millä kriteereillä hyötyä, toteutettavuutta ja riskejä arvioidaan

• millaiset käyttötapaukset voidaan käsitellä kevyesti

• mitkä tekijät käynnistävät laajemman arvioinnin

• milloin mukaan tarvitaan tietosuoja-, tietoturva-, juridiikka-, hankinta- tai muita asiantuntijoita

• kuka voi hyväksyä erilaiset käyttötapaukset

• miten käyttötapaukset priorisoidaan keskenään

• miten hyväksytyistä käyttötapauksista pidetään yhteinen näkyvyys

• miten hyötyjä ja riskejä seurataan käyttöönoton jälkeen.

Lopputuloksena organisaatiolla ei ole vain lista kysymyksiä, vaan yhteinen päätöksentekorakenne.

Tekoälyidea kulkee sovittua reittiä: käyttötapaus kuvataan, tavoiteltava hyöty määritellään, olennaiset riskit seulotaan, tarvittavat lisäarvioinnit tunnistetaan, päätöksentekijä määritellään ja käyttöönoton jälkeen seurataan, toteutuivatko tavoitellut hyödyt ja pysyivätkö riskit hallinnassa.

Kun rakenne on yhteinen, päätös ei enää riipu siitä, sattuiko ensimmäiseen keskusteluun mukaan erityisen varovainen tai erityisen innostunut ihminen. Samalla johto saa näkyvyyden siihen, missä tekoälyä organisaatiossa käytetään, mitä sillä tavoitellaan ja missä sijaitsevat merkittävimmät riskit.

Tekoälyn hallinta ei silloin tarkoita jokaisen käyttötapauksen keskitettyä hyväksymistä. Se tarkoittaa sitä, että organisaatio tietää, mitkä käyttötapaukset kannattaa viedä eteenpäin, millä ehdoilla ne voidaan toteuttaa ja kuka saa tehdä päätöksen.