Mitä yrityksen pitää huomioida chatbotin tietosuojassa?

Keskustelut ovat henkilötietoja

Henkilötietoa on kaikki, josta ihmisen voi tunnistaa. Chatbotin keskustelussa sellaista on usein, vaikka bottia ei olisi tehty keräämään tietoja: kävijä kertoo nimensä, puhelinnumeronsa, osoitteensa tai kuvailee tilannettaan niin, että hänet voi tunnistaa. Siksi tietosuoja-asetus koskee chatbottia samalla tavalla kuin yhteydenottolomaketta.

Erityistä huolellisuutta tarvitaan aloilla, joilla kävijä voi kertoa terveydestään tai muusta arkaluonteisesta asiasta, esimerkiksi hieronnassa, terapiassa tai kauneudenhoidossa. Botti voi pyytää kävijää olemaan kirjoittamatta keskusteluun arkaluonteisia tietoja ja ohjata hänet ottamaan yhteyttä suoraan.

Kuka vastaa mistäkin

Yritys, jonka sivuilla botti on, on keskustelujen rekisterinpitäjä. Se päättää, miksi tietoja käsitellään, ja vastaa siitä kävijöille. Botin toimittaja on henkilötietojen käsittelijä, joka käsittelee tietoja yrityksen puolesta. Kielimallin tarjoava palvelu on tavallisesti toimittajan alikäsittelijä.

Tietosuoja-asetuksen 28 artikla edellyttää, että rekisterinpitäjän ja käsittelijän välillä on kirjallinen sopimus henkilötietojen käsittelystä. Siinä sovitaan muun muassa, mihin tietoja saa käyttää, miten ne suojataan, kuka alikäsittelijä on ja mitä tiedoille tapahtuu sopimuksen päättyessä. Jos botin toimittaja ei tarjoa tällaista sopimusta, se on varoitusmerkki.

Siirtyvätkö keskustelut EU:n ulkopuolelle

Monet kielimallipalvelut ovat yhdysvaltalaisia, ja keskustelut voivat siirtyä käsiteltäväksi EU:n ulkopuolelle. Siirto on sallittu, kun sille on peruste, esimerkiksi EU:n ja Yhdysvaltojen tietosuojakehys tai komission vakiosopimuslausekkeet. Kysy toimittajalta, missä keskustelut käsitellään, millä perusteella mahdollinen siirto tehdään ja kuinka kauan kielimallipalvelu säilyttää viestit.

Tarkista myös, saako palvelu käyttää keskusteluja omien mallien kehittämiseen. Yrityskäyttöön tarkoitetuissa palveluissa tämä on yleensä kielletty, mutta ilmaisissa ja kuluttajille suunnatuissa palveluissa ehdot voivat olla toiset.

Mitä tietosuojaselosteeseen kirjoitetaan

Botti lisätään selosteeseen omana kohtanaan ennen kuin se julkaistaan. Kohdassa kerrotaan ainakin nämä asiat.

• Tarkoitus. Botti vastaa kävijöiden kysymyksiin yrityksen palveluista.
• Peruste. Esimerkiksi oikeutettu etu vastata kävijän kysymykseen.
• Mitä tallennetaan. Tallennetaanko keskustelut ja jos tallennetaan, mitä niistä.
• Säilytysaika. Kuinka kauan keskusteluja tai niiden osia säilytetään, myös kielimallipalvelussa.
• Vastaanottajat ja siirrot. Botin toimittaja, kielimallipalvelu ja mahdollinen siirto EU:n ulkopuolelle.

Selosteen yleisestä rakenteesta on kerrottu artikkelissa tietosuojaseloste kotisivuille, ja koko sivuston tietosuojavaatimuksista artikkelissa mitä GDPR vaatii pienyrityksen kotisivuilta.

Säilytä vain tarpeellinen

Tietosuoja-asetuksen periaate on, että tietoja kerätään ja säilytetään vain sen verran kuin tarkoitus vaatii. Jos keskustelujen sisältöä ei tarvita mihinkään, sitä ei kannata tallentaa. Jos niitä halutaan käyttää botin kehittämiseen, säilytysaika kannattaa rajata ja tunnistettavat tiedot, kuten puhelinnumerot ja sähköpostiosoitteet, peittää. Älä pyydä botissa henkilötunnusta tai muuta tietoa, jota et tarvitse vastaamiseen.

Tekoälysäädös edellyttää, että botti kertoo olevansa botti

EU:n tekoälysäädöksen 50 artiklan avoimuusvelvoitteita on sovellettu 2.8.2026 alkaen. Niiden mukaan tekoälyjärjestelmä, joka on tarkoitettu olemaan vuorovaikutuksessa ihmisten kanssa, on suunniteltava niin, että ihminen saa tietää keskustelevansa tekoälyn kanssa, ellei se ole tilanteesta ilmeistä. Velvoite koskee ensisijaisesti järjestelmän tarjoajaa, mutta sivuston omistajana sinun kannattaa varmistaa, että kävijä näkee sen selvästi ennen kuin hän kirjoittaa ensimmäisen viestin.

Käytännössä riittää selkeä nimi ja lyhyt maininta keskusteluikkunassa. Se on myös asiakaskokemuksen kannalta järkevää: kävijä, joka tietää puhuvansa botin kanssa, kirjoittaa lyhyemmin ja ymmärtää, miksi botti ohjaa hankalissa asioissa ihmiselle.

Kun kävijä jättää yhteystietonsa

Moni botti tarjoaa kävijälle mahdollisuuden jättää nimen ja puhelinnumeron, jotta yritys voi ottaa yhteyttä. Silloin botti toimii kuin yhteydenottolomake, ja samat säännöt pätevät. Kerro kävijälle, mihin tietoja käytetään, kysy vain se, mitä yhteydenottoon tarvitaan, ja varmista, että viesti päätyy oikeaan paikkaan eikä jää botin palveluun lukematta.

Sovi myös, kuinka kauan yhteydenottopyyntöjä säilytetään ja kuka niihin pääsee käsiksi. Jos tiedot siirtyvät sähköpostiin tai asiakasrekisteriin, ne kuuluvat selosteessa samaan kohtaan kuin lomakkeella tulleet yhteydenotot. Lomakkeen hyvistä käytännöistä on kerrottu artikkelissa mitä yhteydenottolomakkeessa pitää olla.

Evästeet ja chatbotti

Chat-ikkuna tarvitsee evästesuostumuksen vain, jos se tallentaa kävijän laitteelle tietoja, jotka eivät ole palvelun toiminnan kannalta välttämättömiä, esimerkiksi seurantaan tai markkinointiin. Keskustelun toimintaan tarvittava tieto on yleensä välttämätöntä. Tarkista toimittajalta, mitä ikkuna tallentaa selaimeen. Evästebannerin perusteista on kerrottu artikkelissa onko evästebanneri pakollinen.