Laaja opas

Varjo-IT ja hyväksymättömät tekoälytyökalut korkeakouluissa: miten ne löydetään, luokitellaan ja hyväksytään

Jokaisessa korkeakoulussa on käytössä ohjelmistoja, joita keskitetty IT ei ole koskaan arvioinut: maksuttomia tekoälyavustajia, selainlaajennuksia, tutkimusrahoituksella maksettuja kyselytyökaluja ja kokouksiin liittyviä litterointibotteja. Tässä oppaassa kerrotaan, miksi näin käy, mitä tietosuoja-asetukseen ja NIS2:een liittyviä riskejä siitä seuraa, miten työkalut löydetään jo käytössä olevilla hallintakonsoleilla ja miten rakennetaan hyväksyntäprosessi, jota tutkijat oikeasti käyttävät.

Julkaistu 9. lokakuuta 2026 · Lähteet tarkistettu 9. lokakuuta 2026

Saatavilla myös kielillä: English · Svenska · Nederlands · Norsk · Dansk · Français · Español · Português

Lyhyesti

Varjo-IT on korkeakouluissa tavallista: hajautetut budjetit, akateeminen vapaus, tutkimusrahoituksella tehdyt hankinnat ja maksuttomat versiot tekevät siitä väistämätöntä. Tavoite ei ole nolla varjo-IT:tä vaan tieto siitä, mitä on käytössä, ja riskialttiin käytön ohjaaminen hyväksyttyihin vaihtoehtoihin.
Oikeudellinen ongelma on osoitusvelvollisuus. Tietosuoja-asetuksen mukaan korkeakoulu on edelleen rekisterinpitäjä, kun henkilöstö käyttää työkalua korkeakoulun työssä, ja se saa käyttää vain käsittelijöitä, jotka antavat riittävät takeet (24, 28 ja 32 artikla). Alankomaiden tietosuojaviranomainen pitää luvatonta chatbotin käyttöä henkilötiedoilla tietoturvaloukkauksena.
Kartoituksen aloittaminen ei vaadi uusia tuotteita. Microsoft Entra ID:n ja Google Workspacen OAuth-suostumustiedot, kertakirjautumisen lokit, maksukorttitiedot, DNS- tai välityspalvelinlokit, selainlaajennusten käytännöt ja lyhyt kysely antavat yhdessä hyvän ensikuvan.
Luokitelkaa kahden asian perusteella: arkaluonteisin tieto, jota työkalu käsittelee, ja kuinka syvälle se integroituu korkeakoulun järjestelmiin. Useimmat pyynnöt ovat matalan riskin pyyntöjä, jotka voidaan käsitellä pikakaistalla.
Julkaiskaa kolme luetteloa (hyväksytty, hyväksytty ehdoin, ei hyväksytty) hyväksyttyine vaihtoehtoineen, kuten esimerkiksi Utrechtin, Oxfordin, Cambridgen, Helsingin ja St Andrewsin yliopistot jo tekevät eri muodoissa.

Sisällys

Mitä ovat varjo-IT ja varjotekoäly?
Miksi varjo-IT on korkeakouluissa niin yleistä
Riskit: tietosuoja, siirrot, tekoälyn koulutus, tietoturva, saavutettavuus, lisenssit, NIS2
Mitä viranomaiset ja alan toimijat sanovat
Miten varjo-IT löydetään: seitsemän kartoitustapaa
Riskiluokittelu tietojen ja integraation mukaan
Pikakaistan hyväksyntäprosessi
Hyväksytty, hyväksytty ehdoin, ei hyväksytty
Miten eurooppalaiset yliopistot toimivat
Viestintä tutkijoille ja opettajille
Mittarit, jotka näyttävät edistymisen
90 päivän suunnitelma
Lähteet
Tietoa tästä sivusta

1. Mitä ovat varjo-IT ja varjotekoäly?

Varjo-IT tarkoittaa ohjelmistoja, pilvipalveluja tai laitteita, joita käytetään korkeakoulun työssä ilman organisaation tavanomaista IT:n, tietoturvan, tietosuojan ja hankintojen arviointia. Varjotekoäly (shadow AI) on se osa siitä, joka koskee tekoälypalveluja: chatbotteja, kirjoitusavustajia, kokousbotteja sekä litterointi-, käännös- ja kirjallisuustyökaluja. Kumpikaan termi ei viittaa pahaan tahtoon. Useimmiten varjo-IT syntyy, koska jonkun piti saada työ tehdyksi.

Marylandin yliopiston Baltimore Countyn kampuksen (UMBC) tutkimusryhmä, joka tutki varjo-IT:tä korkeakoulutuksessa tapaustutkimuksen ja IT-ammattilaisille tehdyn kyselyn avulla, kuvaa sitä järjestelmän tai verkon ohjelmistoksi tai laitteistoksi, joka on vastuullisen IT-yksikön tavanomaisen arviointiprosessin ulkopuolella. Samassa työssä luetellaan mahdollisia tekijöitä, jotka altistavat siihen liittyville tietoturvapoikkeamille, kuten IT:n hajautuksen aste ja organisaation suhtautuminen varjo-IT:hen.

Eurooppalaisessa korkeakoulussa tyypillisiä esimerkkejä ovat:

opettaja käyttää maksutonta tekoälypohjaista tenttikysymysgeneraattoria kurssin osallistujaluettelon kanssa;
tutkimusryhmä litteroi haastattelunsa kuluttajille suunnatulla litterointisovelluksella;
yksikkö maksaa verkkokyselytyökalun maksukortilla;
työntekijä on antanut ”Kirjaudu Microsoft-tilillä” tai ”Kirjaudu Google-tilillä” -sovellukselle pääsyn sähköpostiinsa, kalenteriinsa tai tiedostoihinsa;
selainlaajennus lukee jokaisen käyttäjän avaaman sivun korjatakseen kielioppia tai tiivistääkseen tekstiä;
tekoälypohjainen kokousavustaja liittyy verkkokokouksiin ja tallentaa ne.

2. Miksi varjo-IT on korkeakouluissa niin yleistä

Korkeakoulut ovat Euroopan hajautetuimpia organisaatioita. Se on vahvuus tutkimukselle ja opetukselle, ja samalla syy siihen, miksi keskitetty hyväksyntäprosessi on aina jäljessä siitä, mitä ihmiset käyttävät.

Akateeminen vapaus ja paikallinen itsehallinto. Tutkijat valitsevat omat menetelmänsä ja työkalunsa, ja tiedekunnilla ja laitoksilla on usein omat IT-henkilöstönsä ja budjettinsa.
Tutkimusrahoituksella tehdyt hankinnat. Tutkimushankkeet ostavat palveluja hankevaroilla, joskus maksukortilla tai henkilökohtaisella kulukorvauksella, jolloin hankinta ei välttämättä koskaan päädy keskitettyihin hankintoihin tai tietosuojavastaavalle.
Maksuttomat versiot. Monet työkalut ovat yksittäisille käyttäjille maksuttomia. Kun ostoa ei ole, hankintavaihettakaan ei ole, mutta tietosuoja-asetuksen velvoitteet seuraavat tietoja eivätkä laskua.
Selainlaajennukset ja apuohjelmat. Ne asentuvat sekunneissa, tarvitsevat usein laajat oikeudet lukea sivujen sisältöä eivätkä näy perinteisissä ohjelmistoinventaarioissa.
OAuth-suostumus. Microsoftin dokumentaation mukaan Microsoft Entra ID:ssä oletuksena ”all users are allowed to consent to applications for permissions that don't require administrator consent” (kaikki käyttäjät voivat antaa sovelluksille suostumuksen oikeuksiin, jotka eivät edellytä järjestelmänvalvojan suostumusta). Käyttäjä voi siis liittää kolmannen osapuolen sovelluksen omaan sähköpostiinsa kenenkään muun huomaamatta.
Tekoälyavustajat. Generatiivinen tekoäly tuli nopeammin kuin hankintasyklit ehtivät reagoida. Korkeakoulut vastasivat ohjeilla ja omilla palveluilla, mutta kuluttajatyökalut ovat edelleen yhden selainvälilehden päässä.
Vierailevat tutkijat, opiskelijat ja ulkopuoliset kumppanit. He tuovat omat työkalunsa ja tilinsä, ja korkeakoulujen välisessä yhteistyössä tiedot kulkevat palvelujen kautta, joita mikään yksittäinen korkeakoulu ei ole hyväksynyt.

Validemicin analyysi Varjo-IT on myös signaali. Kun moni käyttää samaa hyväksymätöntä työkalua, se yleensä tarkoittaa, ettei organisaatio tarjoa hyväksyttävää vaihtoehtoa tai että hyväksyntäprosessi on liian hidas tai vaikea löytää. Käsitelkää kartoituksen tuloksia sekä riskiluettelona että luettelona täyttämättömistä tarpeista.

3. Riskit: tietosuoja, siirrot, tekoälyn koulutus, tietoturva, saavutettavuus, lisenssit, NIS2

Riski ei ole se, että hyväksymättömät työkalut olisivat aina huonompia kuin hyväksytyt. Riski on se, ettei kukaan ole tarkistanut niitä, joten kukaan ei pysty osoittamaan, että alla luetellut velvoitteet täyttyvät.

Kun henkilöstö käyttää työkalua korkeakoulun työssä, korkeakoulu on yleensä käsittelyn rekisterinpitäjä. Tietosuoja-asetuksen 24 artikla edellyttää, että rekisterinpitäjä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet ja pystyy osoittamaan käsittelyn olevan asetuksen mukaista. Asetuksen 28 artiklan 1 kohdan mukaan rekisterinpitäjä ”saa käyttää ainoastaan sellaisia henkilötietojen käsittelijöitä, jotka antavat riittävät takeet”, ja 3 kohta edellyttää kirjallista sopimusta jokaisen käsittelijän kanssa. Asetuksen 32 artikla edellyttää riskiä vastaavaa tietoturvaa. Klikkaamalla hyväksytyllä kuluttajalisenssillä käyttöön otetulla maksuttomalla työkalulla ei yleensä ole lainkaan 28 artiklan mukaista sopimusta korkeakoulun kanssa, ja seloste käsittelytoimista (30 artikla), josta työkalu puuttuu, on puutteellinen. Tietosuoja-asetuksen säädössivulla nämä artiklat ovat kokonaisuudessaan.

Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens, AP) on tehnyt tästä käytännön johtopäätöksen tekoälychatbottien osalta. Se totesi 6.8.2024 antamassaan varoituksessa: ”Often, employees use the chatbots on their own initiative and contrary to the agreements made with the employer.” (Usein työntekijät käyttävät chatbotteja omasta aloitteestaan ja työnantajan kanssa sovitun vastaisesti.) AP:n mukaan, jos henkilötietoja syötettiin tällaisessa tilanteessa, kyse on tietoturvaloukkauksesta; kun chatbotin käyttö on organisaation linjaus, ”it is not a data breach, but often not permitted by law” (kyse ei ole tietoturvaloukkauksesta, mutta käyttö ei usein ole lain mukaan sallittua). Tietoturvaloukkauksista voi olla ilmoitettava 72 tunnin kuluessa (33 artikla). Katso opas tietoturvaloukkausten käsittelyyn korkeakouluissa.

Kansainväliset siirrot

Monia maksuttomia työkaluja ylläpidetään Euroopan talousalueen ulkopuolelta. Tietosuoja-asetuksen V luku (44 artiklasta alkaen) sallii siirrot vain siirtoperusteen, kuten tietosuojan riittävyyttä koskevan päätöksen tai vakiolausekkeiden, nojalla. Yksittäinen kuluttajapalveluun rekisteröityvä henkilö ei ota niitä käyttöön korkeakoulun puolesta. Vaihtoehdot selitetään EU:n ja Yhdysvaltojen välistä tietosuojakehystä käsittelevässä oppaassa ja siirtoperustetyökalussa.

Tekoälyn koulutus ladatuilla tiedoilla

AP varoitti, että ”Most companies behind the chatbots store all data entered” (useimmat chatbottien taustalla olevat yritykset tallentavat kaikki syötetyt tiedot), usein tietoja syöttävän henkilön sitä tajuamatta. Kööpenhaminan yliopisto kertoi työntekijöilleen toukokuussa 2024, että useimmat generatiivisen tekoälyn työkalut tallentavat käyttäjien syötteet ja käyttävät niitä taustalla olevien mallien kehittämiseen, ja pyysi henkilöstöä käyttämään vain organisaation lisensoimaa työkalua. Oxfordin tekoälykeskus huomauttaa, että kuluttajaversioissa käyttäjän on itse seurattava toimittajan ehtoja ja kiellettävä koulutuskäyttö. Palvelutasoilla on merkitystä: koulutus- ja yrityslisensseissä koulutus- ja säilytysehdot poikkeavat usein maksuttomista versioista. Tietosuojakatsauksemme ChatGPT:stä, Grammarlysta, Otter.ai:sta, DeepSeekistä ja Microsoft Copilotista kertovat palvelutasoittain, mitä kukin toimittaja dokumentoi julkisesti.

Tietoturva

Arvioimattomat sovellukset, joilla on OAuth-pääsy sähköposteihin tai tiedostoihin, ovat hyökkäysreitti. Microsoftin oma Defender for Cloud Apps -dokumentaatio toteaa, että OAuth-sovellukset ”often behave unnoticed” (toimivat usein huomaamatta), vaikka niillä on laajat oikeudet muiden sovellusten tietoihin. Selainlaajennukset voivat lukea ja muuttaa sivujen sisältöä, myös korkeakoulun järjestelmien sivuja. Myös itse rakennetut työkalut ovat riski: UMBC:n tapaustutkimuksessa löytyi tyypillisiä haavoittuvuuksia, kuten sivustorajat ylittävää komentosarjaa (XSS) ja SQL-injektioita, sisäisesti rakennetusta tutkimusrahoitusten hallintajärjestelmästä.

Saavutettavuus

Julkiset korkeakoulut ovat yleensä julkisen sektorin elimiä julkisen sektorin verkkosivustojen ja mobiilisovellusten saavutettavuudesta annetun direktiivin (EU) 2016/2102 tarkoittamassa mielessä. Työkalu, jonka käyttöä opettaja edellyttää kaikilta opiskelijoilta mutta jonka saavutettavuutta kukaan ei ole tarkistanut, voi sulkea vammaisia opiskelijoita ulkopuolelle. Katso sivu saavutettavuusdirektiivistä.

Lisenssirikkomukset

Kuluttajaehdot on kirjoitettu yksityishenkilöille. Ne voivat rajata käytön ei-kaupalliseen tai henkilökohtaiseen käyttöön, antaa toimittajalle laajat oikeudet ladattuun sisältöön tai kieltää lataamasta aineistoa, jota käyttäjä ei omista. Henkilöstö, joka lataa palveluun kirjaston lisensoimaa sisältöä, julkaisemattomia käsikirjoituksia tai muiden tietoja, voi rikkoa lisenssiä tai tekijöiden oikeuksia. Esimerkiksi Utrechtin yliopiston hyväksymättömiä tekoälytyökaluja koskevissa ehdoissa henkilöstöä pyydetään olemaan lataamatta tekijänoikeudella suojattua, luottamuksellista tai yksinoikeudellista aineistoa tai tallennettuja haastatteluja.

NIS2:n toimitusketjuvelvoitteet, jos korkeakoulu kuuluu soveltamisalaan

NIS2 (direktiivi (EU) 2022/2555) sallii jäsenvaltioiden ulottaa sen opetus- ja koulutusalan laitoksiin, ”etenkin kun niissä harjoitetaan olennaisen tärkeää tutkimustoimintaa” (2 artiklan 5 kohdan b alakohta), ja tutkimusorganisaatiot voivat kuulua soveltamisalaan omana ryhmänään. Soveltamisalaan kuuluvien toimijoiden on toteutettava riskienhallintatoimenpiteitä, joihin kuuluu ”toimitusketjun turvallisuus, mukaan lukien kunkin toimijan ja sen välittömien toimittajien tai palveluntarjoajien välisten suhteiden turvallisuusnäkökohdat” (21 artiklan 2 kohdan d alakohta), sekä omaisuuden hallinta. Palveluja, joista kukaan ei tiedä, ei voi kattaa näillä toimenpiteillä. Se, kuuluuko korkeakoulunne soveltamisalaan, riippuu kansallisesta täytäntöönpanosta; maakohtaista tilannetta käsittelevät NIS2-opas korkeakouluille ja NIS2:n säädössivu.

Tekoälysäädös: tekoälylukutaito

EU:n tekoälysäädöksen, sellaisena kuin se on muutettuna asetuksella (EU) 2026/1744, mukaan käyttöönottajien on toteutettava toimenpiteitä tekoälyjärjestelmiä käyttävän henkilöstön tekoälylukutaidon tukemiseksi (4 artikla). Organisaation, joka ei tiedä, mitä tekoälyjärjestelmiä henkilöstö käyttää, on vaikea täyttää tätä velvoitetta. Katso tekoälysäädösopas korkeakouluille.

4. Mitä viranomaiset ja alan toimijat sanovat

Yksikään eurooppalainen tietosuojaviranomainen ei ole antanut nimenomaan korkeakoulujen varjo-IT:tä koskevaa sääntöä, mutta useat ovat julkaisseet generatiivista tekoälyä koskevia ohjeita, jotka soveltuvat suoraan.

Toimija	Ohje	Mitä se tarkoittaa varjotekoälylle
Autoriteit Persoonsgegevens (Alankomaat)	Varoitus tekoälychatboteista ja tietoturvaloukkauksista, 6.8.2024	Sopikaa henkilöstön kanssa selkeästi, saako chatbotteja käyttää ja mitä tietoja niihin saa syöttää; harkitkaa sopimista palveluntarjoajan kanssa, ettei syötteitä tallenneta; ilmoittakaa tietoturvaloukkauksista.
IMY (Ruotsi)	”GDPR vid användning av generativ AI”, 5.2.2025, IMY:n osuus Diggin kanssa laadituista julkishallinnon generatiivista tekoälyä koskevista kansallisista ohjeista	Lähtökohtana tietosuoja-asetus: selvittäkää rekisterinpitäjän ja käsittelijän roolit, tarkistakaa siirrot kolmansiin maihin, arvioikaa riskit ja varmistakaa asianmukainen tietoturva. IMY:n mukaan ohje on suurelta osin merkityksellinen myös yksityisille organisaatioille.
CNIL (Ranska)	Suositukset tekoälyjärjestelmien kehittämisestä, viimeistelty 22.7.2025	Merkityksellinen lähinnä silloin, kun korkeakoulu itse rakentaa, hienosäätää tai kouluttaa tekoälytyökaluja (esimerkiksi mallia kehittävä tutkimusryhmä), mukaan lukien tietoturva ja koulutusdatan annotointi.
Jisc (alan toimija, Iso-Britannia)	”Generative AI: a primer”, julkaistu heinäkuussa 2023, päivitetty 1.2.2024	Yksi sen keskeisistä huomioista on, että generatiivinen tekoäly ”is likely to be pervasive, so banning it isn't an option” (tulee todennäköisesti olemaan kaikkialla, joten sen kieltäminen ei ole vaihtoehto). Tämä tukee hyväksyttyjen vaihtoehtojen tarjoamista pelkän estämisen sijaan.
EDUCAUSE (alan toimija, Yhdysvallat)	HECVAT eli Higher Education Community Vendor Assessment Toolkit	Yhteinen toimittajakysely. Trinity College (Connecticut) on ottanut sen käyttöön ”as a standard component” (vakio-osana) tietoturva-arviointiaan. Tietosuoja-asetuksen ja tekoälysäädöksen kannalta puuttuvat kohdat käsitellään oppaassa HECVAT eurooppalaisille korkeakouluille.

Ruotsin kansalliset ohjeet kattavat tietosuojan lisäksi muitakin alueita, kuten hankinnat ja työoikeuden, mikä muistuttaa, ettei varjotekoälyyn vastaaminen ole pelkästään tietosuojahanke. Muiden kansallisten viranomaisten osalta tarkistakaa niiden tekoälysivut suoraan; Pohjoismaiden tekoälypalveluja käsittelevä opas kertoo kansallisten tutkimus- ja opetusverkkojen tarjoamista yhteisistä palveluista.

5. Miten varjo-IT löydetään: seitsemän kartoitustapaa

Kartoituksen aloittaminen ei vaadi uutta tuotetta. Useimmilla korkeakouluilla tiedot ovat jo identiteettialustalla, taloushallinnon järjestelmässä ja verkon lokeissa. Yhdistäkää useita lähteitä, koska kukin niistä näkee vain osan kokonaisuudesta.

Tapa 1: OAuth-sovellussuostumusten tarkastus Microsoft Entra ID:ssä

Microsoft Entra ID:ssä jokainen kolmannen osapuolen sovellus, jolle käyttäjä tai järjestelmänvalvoja on antanut pääsyn, näkyy yrityssovelluksena oikeuksineen. Microsoftin ohje yrityssovelluksille myönnettyjen oikeuksien tarkistamisesta kertoo, miten järjestelmänvalvojan ja käyttäjän suostumukset näkee sovelluskohtaisesti. Huomatkaa yksi rajoitus: käyttäjien myöntämiä oikeuksia ei voi perua portaalin User consent -välilehdeltä, vaan Microsoft ohjaa käyttämään siihen Microsoft Graphia tai PowerShelliä.

Viekää ulos luettelo yrityssovelluksista, joilla on delegoituja oikeuksia, sekä suostumuksen antaneiden käyttäjien määrä ja julkaisija.
Merkitkää sovellukset, joilla on pääsy sähköpostiin, tiedostoihin, kalentereihin tai hakemistoon, vahvistamattomien julkaisijoiden sovellukset ja sovellukset, joilla on paljon käyttäjiä.
Muuttakaa käyttäjäsuostumuksen asetusta. Microsoft suosittelee sallimaan käyttäjäsuostumuksen ”only for applications that have been published by a verified publisher” (vain vahvistetun julkaisijan julkaisemille sovelluksille), ja sen valmis käytäntö rajaa tämän lisäksi oikeuksiin, jotka olette luokitelleet vähäisen vaikutuksen oikeuksiksi (katso Configure how users consent to applications).
Ottakaa käyttöön järjestelmänvalvojan suostumuksen työnkulku (admin consent workflow), jotta käyttäjät, jotka eivät voi antaa suostumusta, voivat lähettää pyynnön. Microsoftin kuvauksen mukaan pyyntö lähetetään sähköpostitse arvioijiksi nimetyille järjestelmänvalvojille, jotka käsittelevät sen, minkä jälkeen käyttäjälle ilmoitetaan. Tästä tulee pikakaistan sisäänkäynti.

Suostumusasetusten muuttaminen vaikuttaa vain tuleviin suostumuksiin; Microsoftin mukaan olemassa olevat myönnöt säilyvät ennallaan, joten tarvitaan sekä tarkastus että käytännön muutos.

Tapa 2: kolmansien osapuolten sovellusten pääsy Google Workspacessa

Google Workspacen järjestelmänvalvojat hallitsevat kolmansien osapuolten sovelluksia API-hallinnan kautta. Googlen ohjesivu Control which apps access Google Workspace data kuvaa luettelon sovelluksista, jotka ovat käyttäneet Googlen tietoja, käyttäjämäärineen ja pyydettyine palveluineen, sekä neljä pääsytasoa kullekin sovellukselle: Trusted, Limited, Specific Google data ja Blocked. Järjestelmänvalvojat voivat myös määrittää, mitä määrittämättömille sovelluksille tapahtuu, rajoittaa korkean riskin käyttöoikeusalueita esimerkiksi Gmailin ja Driven osalta sekä antaa käyttäjien pyytää pääsyä sovellukseen, jolloin pyyntö tulee arvioitavaksi. Koulutusversioissa on erilliset asetukset alle 18-vuotiaille käyttäjille. Googlen mukaan sovellusten käyttötietojen näkyminen voi kestää 24–48 tuntia.

Tapa 3: kertakirjautumisen lokit

Entra ID:n, Googlen tai organisaation oman identiteetinhallinnan kirjautumislokit näyttävät, mihin palveluntarjoajiin ihmiset tunnistautuvat, myös identiteettifederaation kautta liitettyihin palveluihin. Kertakirjautumisen lokit näyttävät vain organisaation tunnuksilla käytettävät työkalut, joten ne eivät paljasta henkilökohtaisilla tileillä käytettäviä maksuttomia työkaluja. OAuth-tarkastuksen kanssa yhdistettyinä ne kuitenkin näyttävät työkalut, joihin kirjaudutaan korkeakoulun sähköpostiosoitteella toimittajan omalla kirjautumissivulla.

Tapa 4: kulu- ja maksukorttitiedot

Pyytäkää taloushallinnolta vuosittain ote korttitapahtumista ja kulukorvauksista, joiden kauppiasnimet viittaavat ohjelmistotilauksiin. Ryhmitelkää ne toimittajan ja kustannuspaikan mukaan. Tämä on usein ainoa tapa löytää tutkimusrahoituksella ostetut maksulliset palvelut. Se kertoo myös, keneen ottaa yhteyttä, koska jokaisella tapahtumalla on nimetty kortinhaltija tai korvauksen hakija.

Tapa 5: DNS, välityspalvelin ja CASB

Kootut DNS- tai välityspalvelinlokit näyttävät, mihin pilvipalveluihin kampusverkosta otetaan yhteyttä. Pilvipalvelujen tietoturvavälittäjä (CASB) tuo lisäksi sovellusluettelon ja riskiluokitukset. Microsoft kuvaa Defender for Cloud Appsin tunnistavan käytössä olevat sovellukset verkkoliikenteen ja sovellusluettelon avulla ja arvioivan löydettyjä sovelluksia ”more than 90 risk indicators” (yli 90 riski-indikaattorin) perusteella. Muut CASB-tuotteet toimivat samankaltaisesti. Korkeakoulujen verkot ovat avoimia ja moni työskentelee kampuksen ulkopuolella, joten pitäkää tätä otoksena eikä kattavana inventaariona.

Verkko- ja lokianalyysi on itsessään henkilöstön ja opiskelijoiden henkilötietojen käsittelyä. Käyttäkää mahdollisuuksien mukaan koottuja tietoja, rajatkaa pääsyä, määritelkää säilytysaika, kertokaa henkilöstölle tietosuojaselosteessa ja ottakaa tietosuojavastaava ja tarvittaessa henkilöstön edustajat mukaan ennen aloittamista. Vaikutustenarvioinnin esiarviointityökalu auttaa ratkaisemaan, tarvitaanko itse valvonnasta vaikutustenarviointi.

Tapa 6: kysykää ihmisiltä

Lyhyt, oletuksena anonyymi kysely yksiköille ja tutkimusryhmille löytää usein työkaluja, joita mikään loki ei näytä: työpöytäohjelmistoja, henkilökohtaisilla laitteilla käytettäviä työkaluja ja hankkeen ulkopuolisten kumppanien käyttämiä palveluja. Kysykää kolme asiaa: mitä työkaluja käytätte opetuksessa, tutkimuksessa ja hallinnossa, jotka eivät ole hyväksyttyjen luettelossa; mitä tietoja niihin menee; ja mitä tarvitsisitte korkeakoululta lopettaaksenne niiden käytön. Toistakaa kysely vuosittain.

Tapa 7: selainlaajennusten hallinta

Hallituilla laitteilla selainkäytännöt näyttävät ja hallitsevat laajennuksia. Microsoftin ohje Microsoft Edgen laajennusten hallinnasta ryhmäkäytännöillä kuvaa käytännöt ExtensionInstallBlocklist ja ExtensionInstallAllowlist (kaikki estetään merkillä ”*” ja sallitut laajennukset luetellaan), ExtensionSettings-käytännön tiettyjä oikeuksia pyytävien laajennusten estämiseksi sekä runtime_blocked_hosts-asetuksen, jolla laajennuksia voidaan estää lukemasta tai muuttamasta tiettyjä sivustoja, kuten opintohallinnon järjestelmää. Asennetun laajennuksen lisääminen estolistalle poistaa sen käytöstä poistamatta asennusta. Chromessa on vastaavat käytännöt.

Validemicin analyysi Järkevä ensimmäinen askel ei ole estää kaikkia laajennuksia, mikä häiritsisi tutkimusta ja opetusta, vaan käyttää runtime_blocked_hosts-asetusta pitämään laajennukset poissa järjestelmistä, joissa on arkaluonteisimmat tiedot (opiskelijarekisteri, henkilöstöhallinto, talous, terveystutkimuksen alustat), ja koota sallittujen luettelo sen perusteella, mitä kartoitus osoittaa todella käytettävän.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

6. Riskiluokittelu tietojen ja integraation mukaan

Kun luettelo on koossa, on päätettävä, mihin arviointityö kohdistetaan. Kaksi kysymystä tekee suurimman osan työstä: mikä on arkaluonteisin tieto, jota työkalu käsittelee, ja kuinka syvälle se integroituu korkeakoulun järjestelmiin? Käyttäkää organisaationne olemassa olevaa tietoluokittelua, jos sellainen on (monet korkeakoulut käyttävät kolmea tai neljää luokkaa, esimerkiksi julkinen, sisäinen, luottamuksellinen ja erittäin luottamuksellinen tai ”punainen”).

Arkaluonteisin tieto	Ei integraatiota (erillinen, henkilökohtainen kirjautuminen)	Vain kirjautuminen (kertakirjautuminen, perusprofiili)	Pääsy tietoihin (OAuth sähköpostiin tai tiedostoihin, oppimisalusta- tai opintohallintointegraatio)
Julkinen tai ei henkilötietoja	Taso 1	Taso 1	Taso 2
Sisäinen, henkilöstön tai opiskelijoiden tavanomaiset henkilötiedot	Taso 2	Taso 2	Taso 3
Luottamuksellinen: arviointi, tutkittavat, julkaisematon tutkimus	Taso 3	Taso 3	Taso 3
Erityiset henkilötietoryhmät, lapset, erittäin luottamuksellinen	Taso 3+	Taso 3+	Taso 3+

Taso	Arviointi	Tyypillinen päätösaika (tavoite)
Taso 1	Pikakaista: tarkistetaan ehdot ja tietosuojaseloste, palvelinten sijaintialue, tekoälyn koulutusasetus ja pakollisten työkalujen saavutettavuus. Käsittelysopimus, jos henkilötietoja käsitellään korkeakoulun lukuun.	Päiviä
Taso 2	Tavanomainen arviointi: kysely, käsittelysopimus, alikäsittelijäluettelo, siirtoperuste, tietoturvanäyttö.	Viikkoja
Tasot 3 ja 3+	Täysi arviointi toimittaja-arvioinnin oppaan mukaisesti, tarvittaessa vaikutustenarviointi, tietoturva-arviointi ja tekoälysäädöksen mukainen luokittelu. Tasolla 3+ kannattaa kysyä, olisiko organisaation oma tai kansallinen palvelu (esimerkiksi suojattu tutkimusympäristö) parempi reitti.	Viikoista kuukausiin

Päätösajat ovat suunnittelutavoitteita, eivät lakisääteisiä vaatimuksia. Lisätkää kaksi tarkennusta. Tekoälyominaisuudet, jotka tuottavat henkilöitä koskevaa sisältöä, arvioivat opiskelijoita tai antavat suosituksia, nostavat työkalua yhden tason, koska roolianalyysi, koulutuskäyttö ja tekoälysäädöksen mukainen asema on tarkistettava. Työkalu, jota moni jo käyttää, nousee jonossa ylemmäs, koska altistuminen on jo olemassa.

7. Pikakaistan hyväksyntäprosessi

Pikakaistan tarkoitus on tehdä hyväksytystä reitistä useimmissa pyynnöissä nopeampi kuin hyväksymättömästä. Se toimii vain, jos se on helppo löytää, kysyy vähän ja antaa vastauksen nopeasti.

Yksi sisäänkäynti. Yksi lyhyt lomake, johon on linkki IT-palveluportaalista, tekoälyohjeiden sivuilta ja järjestelmänvalvojan suostumuksen työnkulun viestistä. Vertailun vuoksi Utrechtin yliopiston tekoälytyökaluja koskevan kyselyn täyttäminen vie noin 30 minuuttia.
Tarkistakaa, onko vastaus jo olemassa. Ennen arviointia tarkistakaa kolme luetteloa. Jos työkalu on jo hyväksytty tai hyväksytty vaihtoehto sopii, vastatkaa samana päivänä.
Riskiluokittelu. Soveltakaa tieto- ja integraatiomatriisia. Kirjatkaa taso ja peruste.
Kerätkää toimittajan näyttö kerran. Tasolla 1 julkiset ehdot, tietosuojaseloste ja asetukset riittävät yleensä. Tasolla 2 ja sitä ylemmillä pyytäkää toimittajalta käsittelysopimus, alikäsittelijäluettelo, siirtoperuste ja tietoturvanäyttö. Ilmainen toimittajakyselyn laadintatyökalu tuottaa tasoon mitoitetun kyselyn.
Päättäkää ehdoin. Useimmat pikakaistan päätökset ovat ”hyväksytty ehdoin”: vain organisaation tunnuksilla, koulutus pois päältä, ei henkilötietoja käyttäjätilien lisäksi, vain nimetyllä opintojaksolla tai hankkeessa, uudelleenarviointi 12 kuukauden kuluttua.
Julkaiskaa tulos. Lisätkää työkalu oikeaan luetteloon, jotta seuraava kysyjä saa vastauksen heti. Päivittäkää seloste käsittelytoimista (katso selosteen malli).
Seuratkaa. Ehdot ovat vain yhtä hyviä kuin toimittajan ehdot. Seuratkaa alikäsittelijöiden ja ehtojen muutoksia ja tarkistakaa uudelleen, kun toimittaja lisää tekoälyominaisuuksia. Ilmaiset alikäsittelijähälytykset auttavat tässä.

Selventäkää, kuka päättää. Utrechtissa hyväksyttyä työkalua käyttävä tiedekunta maksaa sen, yleensä ostamalla suoraan toimittajalta. Cambridgessa keskitettyjen työkalujen lisäksi muut lisensoidut generatiivisen tekoälyn työkalut eivät ole kiellettyjä, mutta ne ”must be procured in accordance with any applicable procurement policy or process” (on hankittava sovellettavien hankintalinjausten tai -prosessien mukaisesti), ja riski on laitoksella. Molemmat mallit toimivat, kun ne on kirjattu.

8. Hyväksytty, hyväksytty ehdoin, ei hyväksytty

Luettelot ovat prosessin näkyvin tuotos ja tärkein keino muuttaa käyttäytymistä. Utrechtin yliopisto käyttää opetuksen tekoälytyökaluille täsmälleen kolmea lopputulosta: hyväksytty, hyväksytty ehdoin ja hylätty. Hyväksyttyjä työkaluja saa käyttää niiden ehtojen ja hyväksyntään liitettyjen ehtojen mukaisesti.

Luettelo	Mitä kustakin merkinnästä pitäisi käydä ilmi
Hyväksytty	Työkalu ja palvelutaso, sallitut tietoluokat, miten käyttöoikeuden saa, omistaja, viimeisimmän arvioinnin päivämäärä.
Hyväksytty ehdoin	Kaikki edellä mainittu sekä ehdot selkokielellä (esimerkiksi ”vain organisaation tunnuksilla”, ”mallin koulutus pois päältä”, ”ei tutkimushaastattelujen tallenteita”) ja keitä hyväksyntä koskee.
Ei hyväksytty	Peruste yhdellä virkkeellä (esimerkiksi ”maksuttomaan versioon ei ole saatavilla käsittelysopimusta”, ”tietoja käytetään mallien koulutukseen”), hyväksytty vaihtoehto ja tieto siitä, voiko arviointia pyytää uudelleen.

Pitäkää ”ei hyväksytty” -luettelo lyhyenä ja asiallisena. Pitkä kiellettyjen työkalujen luettelo houkuttelee etsimään seuraavan, jota luettelossa ei ole. Lyhyt luettelo selkeine vaihtoehtoineen toimii paremmin. Muiden organisaatioiden hyväksymistä työkaluista kertoo opas eurooppalaisissa yliopistoissa hyväksytyistä tekoälytyökaluista, ja linjausten sanamuotoihin sopii tekoälylinjauksen malli korkeakouluille.

9. Miten eurooppalaiset yliopistot toimivat

Alla olevat sivut näyttävät keskeiset rakennuspalikat käytännössä: organisaation oma vaihtoehto, tietoluokitteluun sidotut tietosäännöt, kannanotto hyväksymättömiin työkaluihin ja reitti pyytää arviointia. Sivut tarkistettiin 9.10.2026.

Yliopisto	Mitä se julkaisee
Utrechtin yliopisto (Alankomaat)	Opetuksen tekoälytyökalujen sallittujen luettelointiprosessi: ”Before an AI tool can be used within UU education, an allowlisting process must take place.” (Ennen kuin tekoälytyökalua voi käyttää yliopiston opetuksessa, sille on tehtävä sallittujen luettelointiprosessi.) Opettajat lähettävät AI Veritas -kyselyn sähköpostitse; lopputulos on hyväksytty, hyväksytty ehdoin tai hylätty. Hyväksymättömille työkaluille on omat ehtonsa, kuten ”Do not use a UU email address to create your account” (älä luo tiliä yliopiston sähköpostiosoitteella) ja mallin koulutuksen kytkeminen pois. Yliopisto tarjoaa myös UU AI-Chatin, joka sen mukaan käsittelee tiedot EU:ssa.
Oxfordin yliopisto (Iso-Britannia)	Tekoälykeskus luettelee keskitetysti tarjotut työkalut, jotka ovat läpäisseet kolmansien osapuolten tietoturva-arvioinnin (Third Party Security Assessment), ja sanoo yritystason työkaluista: ”Use these for moderate and high-risk University data.” (Käytä näitä keskisuuren ja korkean riskin yliopiston tietoihin.) Se myös varoittaa, että ChatGPT:hen kirjautuminen laitoksen tai collegen sähköpostilla ”is not the same as signing in with your SSO” (ei ole sama asia kuin kirjautuminen kertakirjautumisella).
Cambridgen yliopisto (Iso-Britannia)	Tietosuojaohjeen mukaan lisensoituja työkaluja (Copilot, Gemini ja NotebookLM) on käytettävä aina kun mahdollista, ja maksuttomia julkisia versioita ”must not be used for University activities and purposes” (ei saa käyttää yliopiston toimintaan ja tarkoituksiin). Muut lisensoidut työkalut hankitaan hankintaprosessin kautta riskinarviointeineen, kuten vaikutustenarviointeineen.
Edinburghin yliopisto (Iso-Britannia)	Henkilöstön ohje: ”Assume anything put into third-party tools is shared externally.” (Oleta, että kaikki kolmansien osapuolten työkaluihin syötetty jaetaan ulkopuolisille.) Henkilöstö ohjataan käyttämään ELM:ää, yliopiston tekoälyalustaa, joka ei ole tarkoitettu tunnistettavien potilaiden tai tutkittavien tiedoille.
St Andrewsin yliopisto (Iso-Britannia)	Hyväksyttyjen tekoälyohjelmistojen sivu, jossa kustakin työkalusta kerrotaan tietoluokat, joiden kanssa sitä saa käyttää, sekä toteamus: ”Unapproved AI should not be used to process University data.” (Hyväksymätöntä tekoälyä ei pidä käyttää yliopiston tietojen käsittelyyn.)
Readingin yliopisto (Iso-Britannia)	Ohje, jonka mukaan tekoälypohjaisia kokousavustajia ”should not be used for work meetings without prior approval” (ei pidä käyttää työkokouksissa ilman ennakkohyväksyntää); arkityöhön suositellaan Copilot Chatia.
Helsingin yliopisto (Suomi)	Hyväksytyt työkalut (Copilot kaupallisella tietosuojalla, CurreChat, Kontra), kullekin omat tietorajoituksensa. Yliopisto ”does not support or recommend the use of external AI services in University-related work” (ei tue eikä suosittele ulkoisten tekoälypalvelujen käyttöä yliopiston työssä).
Aalto-yliopisto (Suomi)	Sisäinen palvelu Aalto AI Assistant: ”You may use public, internal, and confidential data” (voit käyttää julkisia, sisäisiä ja luottamuksellisia tietoja), mutta ”Secret content is not permitted” (salainen sisältö ei ole sallittua), eikä erityisiin henkilötietoryhmiin kuuluvia tietoja.
Amsterdamin yliopisto (Alankomaat)	UvA AI Chat, joka esitetään kaupallisia malleja turvallisempana vaihtoehtona: ”All input from students, lecturers and staff remains within the UvA environment.” (Kaikki opiskelijoiden, opettajien ja henkilöstön syötteet pysyvät UvA:n ympäristössä.)
Uppsalan yliopisto ja KTH (Ruotsi)	Molemmat tarjoavat Microsoft Copilotin organisaation tunnuksilla. Uppsalan mukaan yliopiston ja Microsoftin välistä tietosuojasopimusta sovelletaan eikä tietoja käytetä koulutukseen; KTH:n mukaan Copilot Chat tarjoaa paremman tietoturvan kuin maksuton kuluttajaversio.
Oslon yliopisto (Norja)	GPT UiO, jossa sallitut tiedot riippuvat valitusta mallista: punaisten (luottamuksellisten) tietojen käyttämiseksi ”you must choose a model that supports this” (on valittava malli, joka tukee tätä).
Kööpenhaminan yliopisto ja Aarhusin yliopisto (Tanska)	Kööpenhamina ohjeisti henkilöstöä toukokuussa 2024 käyttämään vain lisensoitua Copilot Enterpriseä ja olemaan syöttämättä henkilötietoja, luottamuksellisia tai tekijänoikeudella suojattuja tietoja. Aarhus kertoo opiskelijoille, että yritysversion Copilot ”does not save or train itself on the data you put into the model” (ei tallenna malliin syötettyjä tietoja eikä kouluta itseään niillä).

Validemicin analyysi Kuvio on sama maasta toiseen: tarjotaan ensin hyvä organisaation oma vaihtoehto, sidotaan tietosäännöt olemassa olevaan luokitteluun ja kerrotaan suoraan, mikä ei ole sallittua. Harvimmin julkaistaan reitti, jolla muiden työkalujen arviointia voi pyytää. Utrecht on hyvä esimerkki siitä, miten reitti, kysely ja mahdolliset lopputulokset julkaistaan.

10. Viestintä tutkijoille ja opettajille

Suurin osa varjo-IT:stä syntyy, kun ihmiset yrittävät tehdä työnsä hyvin. Viestintä, joka kohtelee heitä ongelmana, ajaa käytön entistä syvemmälle piiloon. Muutama periaate auttaa:

Aloittakaa vaihtoehdosta. ”Käytä tähän UU AI-Chatia, Aalto AI Assistantia tai GPT UiO:ta” on hyödyllisempi kuin ”älä käytä ChatGPT:tä”. Jokaisessa ”ei hyväksytty” -merkinnässä pitäisi olla vaihtoehto.
Tehkää säännöistä tietoja eikä tuotemerkkejä koskevia. AP:n neuvo on, että organisaatioiden pitää tehdä työntekijöille selväksi, mitä tietoja he saavat syöttää ja mitä eivät. Tietoluokkiin sidotut säännöt pysyvät voimassa, kun uusia työkaluja tulee.
Tarjotkaa syyllistämätön arviointi. Pyytäkää yksiköitä ilmoittamaan jo käytössä olevista työkaluista ja arvioikaa ne ilman seurauksia ilmoittajille. Kartoitustiedot ovat paljon hyödyllisempiä, kun ihmiset tekevät yhteistyötä.
Vastatkaa nopeasti. Julkaiskaa pikakaistan päätösten tavoiteaika ja raportoikaa sen toteutumisesta.
Kertokaa syy yhdellä virkkeellä. ”Maksuton versio käyttää syötteitäsi koulutukseen eikä sille ole käsittelysopimusta” ymmärretään; ”ei vaatimusten mukainen” ei.
Käyttäkää olemassa olevia kanavia. Tutkijat luottavat tutkimuspalveluihin, kirjastoon, opetuksen kehittämisyksiköihin ja tiedekuntien IT-henkilöstöön. Perehdyttäkää heidät ensin.
Kytkekää tutkimusprosesseihin. Kysykää työkaluista aineistonhallintasuunnitelmassa ja eettisen ennakkoarvioinnin hakemuksessa, jotta työkalujen arviointi tehdään ennen aineistonkeruuta eikä sen jälkeen.

Koulutus tukee myös tekoälysäädöksen velvoitetta toteuttaa toimenpiteitä tekoälylukutaidon tukemiseksi. Opas tietosuoja-asetuksesta ja tekoälytyökaluista tutkimuksessa on kirjoitettu tutkijoille, ja sen voi jakaa heille suoraan.

11. Mittarit, jotka näyttävät edistymisen

Valitkaa muutama mittari, jotka saatte kerättyä jo olemassa olevista järjestelmistä. Raportoikaa kehityssuuntia, ei yksittäisiä lukuja.

Mittari	Lähde	Miksi sillä on merkitystä
Kolmansien osapuolten sovellusten määrä, joilla on käyttäjän suostumuksella pääsy sähköpostiin tai tiedostoihin	Entra ID, Google Workspace	Suora mittari suurimman riskin varjointegraatioille.
Luokiteltujen osuus löydetyistä työkaluista	Varjo-IT-rekisteri	Näyttää, johtaako kartoitus päätöksiin.
Pyynnöstä päätökseen kuluvan ajan mediaani tasoittain	Pyyntölomake tai tikettijärjestelmä	Pikakaista toimii vain, jos se on nopea.
Luetteloiden perusteella ilman arviointia vastattujen pyyntöjen osuus	Tikettijärjestelmä	Näyttää, että luettelot löydetään ja niitä käytetään uudelleen.
Organisaation omien tekoälypalvelujen aktiivikäyttäjät	Palvelulokit	Vaihtoehdon käyttöönotto on paras merkki varjotekoälyn vähenemisestä.
Hyväksytyt työkalut, joilla on nimetty omistaja ja arviointipäivä viimeisten 12 kuukauden ajalta	Hyväksyttyjen luettelo	Hyväksynnät vanhenevat ilman omistajaa.
Hyväksymättömiin työkaluihin liittyvät poikkeamat ja tietoturvaloukkausilmoitukset	Poikkeamaloki	Kytkee ohjelman todellisiin vältettyihin tai havaittuihin haittoihin.

12. 90 päivän suunnitelma

Suunnitelma olettaa pienen tiimin, jolla on aikaa tietoturvasta, tietosuojavastaavan toimistosta ja hankinnoista. Mitoittakaa laajuus organisaationne koon mukaan.

Jakso	Kartoitus	Päätökset	Viestintä
Päivät 1–30	Viekää OAuth-myönnöt ulos Entra ID:stä tai Google Workspacesta; hankkikaa 12 kuukauden ote maksukortti- ja kulutiedoista; tarkistakaa, tarvitaanko valvonnasta vaikutustenarviointi, ja päivittäkää tietosuojaseloste.	Sopikaa luokittelumatriisista ja kolmesta lopputuloksesta; nimetkää päätöksentekijät; asettakaa pikakaistan tavoiteajat.	Perehdyttäkää tiedekuntien IT, tutkimuspalvelut ja kirjasto; ilmoittakaa syyllistämättömästä arvioinnista.
Päivät 31–60	Lisätkää kertakirjautumisen lokit ja koottu DNS- tai välityspalvelinotos; tehkää yksikkökysely; listatkaa hallittujen laitteiden laajennukset.	Luokitelkaa 30 käytetyintä ja riskialtteinta työkalua; rajatkaa käyttäjäsuostumus vahvistettuihin julkaisijoihin ja vähäisen vaikutuksen oikeuksiin; ottakaa käyttöön järjestelmänvalvojan suostumuksen työnkulku; asettakaa runtime_blocked_hosts keskeisille järjestelmille.	Julkaiskaa ensimmäiset hyväksytty-, ehdollinen- ja ei hyväksytty -luettelot vaihtoehtoineen; julkaiskaa pyyntölomake.
Päivät 61–90	Ajastakaa OAuth- ja taloustarkistukset kuukausittain; aloittakaa hyväksyttyjen työkalujen alikäsittelijä- ja ehtomuutosten seuranta.	Tehkää täydet arvioinnit laajassa käytössä oleville tason 3 työkaluille; kirjatkaa kaikki päätökset selosteeseen käsittelytoimista; suunnitelkaa siirtymät pois hyväksymättömistä työkaluista.	Raportoikaa ensimmäiset mittarit IT-hallinnolle; pitäkää lyhyitä tilaisuuksia tietoluokista ja tekoälyn käytöstä; aikatauluttakaa vuosikysely.

Kun 90 päivää on kulunut, työstä tulee rutiinia: pyyntölomake syöttää pikakaistaa, kartoitus ajetaan kuukausittain ja luettelot tarkistetaan vähintään kerran vuodessa. Olemassa olevien suostumusten peruminen ja käyttäjien siirtäminen pois hyväksymättömistä työkaluista vie pidempään, ja se kannattaa tehdä vasta, kun vaihtoehto on käytössä.

Lähteet

Asetus (EU) 2016/679 (yleinen tietosuoja-asetus), 24, 28, 30, 32, 33 ja 44 artikla (haettu 9.10.2026).
Direktiivi (EU) 2022/2555 (NIS2), 2 artiklan 5 kohta ja 21 artikla (haettu 9.10.2026).
Asetus (EU) 2024/1689 (tekoälysäädös), 4 artikla, ja asetus (EU) 2026/1744 (tekoälyomnibus) (haettu 9.10.2026).
Direktiivi (EU) 2016/2102 julkisen sektorin elinten verkkosivustojen ja mobiilisovellusten saavutettavuudesta (haettu 9.10.2026).
Autoriteit Persoonsgegevens: Caution: use of AI chatbot may lead to data breaches, 6.8.2024 (haettu 9.10.2026).
IMY: GDPR vid användning av generativ AI, IMY-2024-9162, 5.2.2025 (haettu 9.10.2026).
IMY: National guidelines for generative AI in public administration are launched (haettu 9.10.2026).
CNIL: IA, la CNIL finalise ses recommandations sur le développement des systèmes d'IA, 22.7.2025 (haettu 9.10.2026).
Jisc: Generative AI, a primer, päivitetty 1.2.2024 (haettu 9.10.2026).
Microsoft Learn: Configure the admin consent workflow (haettu 9.10.2026).
Microsoft Learn: Configure how users consent to applications (haettu 9.10.2026).
Microsoft Learn: Review permissions granted to enterprise applications (haettu 9.10.2026).
Google Workspace Admin Help: Control which apps access Google Workspace data (haettu 9.10.2026).
Microsoft Learn: Overview of Microsoft Defender for Cloud Apps (haettu 9.10.2026).
Microsoft Learn: Use group policies to manage Microsoft Edge extensions (haettu 9.10.2026).
UMBC Cyber Defense Lab: Shadow IT in Higher Education: Survey and Case Study for Cybersecurity, 2021 (haettu 9.10.2026).
Trinity College: Higher Education Community Vendor Assessment Toolkit (HECVAT) (haettu 9.10.2026).
Utrechtin yliopisto: Allow-listing process for AI tools (haettu 9.10.2026).
Utrechtin yliopisto: Conditions of use of AI tools by teachers and educational support staff (haettu 9.10.2026).
Utrechtin yliopisto: AI platforms at UU (haettu 9.10.2026).
Oxfordin yliopiston AI Competency Centre: GenAI tool features (haettu 9.10.2026).
Cambridgen yliopisto: Data protection guidance on AI (haettu 9.10.2026).
Edinburghin yliopisto: Generative AI guidance for staff (haettu 9.10.2026).
St Andrewsin yliopisto: Approved AI software (haettu 9.10.2026).
Readingin yliopisto: Generative AI and AI meeting assistants (haettu 9.10.2026).
Helsingin yliopisto: Generative artificial intelligence at the University (haettu 9.10.2026).
Aalto-yliopisto: Aalto AI Assistant (haettu 9.10.2026).
Amsterdamin yliopisto: UvA AI Chat (haettu 9.10.2026).
Uppsalan yliopisto: AI tool for students (haettu 9.10.2026).
KTH: AI services (haettu 9.10.2026).
Oslon yliopisto: GPT UiO and red data (haettu 9.10.2026).
Kööpenhaminan yliopisto: Three guidelines and a new tool for using AI, 8.5.2024 (haettu 9.10.2026).
Aarhusin yliopisto: Microsoft 365 for students (haettu 9.10.2026).

Tietoa tästä sivusta

Lähteet tarkistettu 9.10.2026. Luimme Microsoftin ja Googlen ylläpitodokumentaation, tietosuojaviranomaisten sivut ja yllä luetellut yliopistojen sivut; EU-säädöksiin viitataan virallisen lehden versioina ja niiden lainaukset ovat virallisesta suomenkielisestä tekstistä. Englanninkieliset lainaukset on säilytetty alkuperäisinä, ja suluissa oleva suomennos on omamme eikä sanatarkka lainaus. Yliopistojen sivut muuttuvat usein, joten tarkistakaa ajantasainen versio ennen kuin nojaatte yksityiskohtaan. Oma tulkintamme on merkitty Validemicin analyysiksi. Luokitteluosion päätösajat ovat suunnittelutavoitteita, eivät lakisääteisiä vaatimuksia. Sivu on yleistä tietoa eikä oikeudellista neuvontaa; kansallinen lainsäädäntö, yhteistoimintamenettely ja organisaationne omat linjaukset voivat tuoda lisävaatimuksia erityisesti henkilöstön IT-käytön valvontaan. Jos huomaatte virheen tai haluatte ehdottaa uutta yliopistoesimerkkiä, ottakaa yhteyttä, niin korjaamme sivun.

Usein kysyttyä

Mitä varjo-IT tarkoittaa korkeakoulussa?

Varjo-IT tarkoittaa ohjelmistoja, pilvipalveluja tai laitteita, joita käytetään korkeakoulun työssä ilman organisaation tavanomaista IT:n, tietoturvan, tietosuojan ja hankintojen arviointia. Korkeakouluissa siihen kuuluvat tyypillisesti maksuttomat tekoälyavustajat, kysely- ja litterointityökalut, selainlaajennukset, OAuthin kautta henkilöstön tunnuksiin liitetyt sovellukset sekä tutkimusrahoituksella tai maksukortilla ostetut palvelut.

Mitä varjotekoäly tarkoittaa?

Varjotekoäly on se osa varjo-IT:tä, joka koskee tekoälypalveluja: chatbotteja, kirjoitusavustajia, kokousbotteja sekä litterointi- ja käännöstyökaluja, joita käytetään ilman organisaation hyväksyntää. Se ansaitsee oman huomionsa, koska monet kuluttajille suunnatut tekoälypalvelut säilyttävät käyttäjien syöttämät tiedot ja voivat käyttää niitä mallien kehittämiseen, ja koska ladatut aineistot sisältävät usein henkilötietoja, julkaisemattomia tutkimustuloksia tai opiskelijoiden töitä.

Onko kyse tietoturvaloukkauksesta, jos työntekijä liittää henkilötietoja ChatGPT:hen?

Voi olla. Alankomaiden tietosuojaviranomaisen mukaan kyse on tietoturvaloukkauksesta, kun työntekijät käyttävät tekoälychatbotteja omasta aloitteestaan työnantajan sääntöjen vastaisesti ja syöttävät niihin henkilötietoja. Jos organisaation linjaus sallii käytön, kyse ei ole tietoturvaloukkauksesta, mutta käyttö ei silti usein ole lainmukaista. Monessa tapauksessa loukkauksesta on ilmoitettava.

Miten IT voi löytää hyväksymättömät sovellukset vakoilematta henkilöstöä?

Aloittakaa tiedoista, jotka organisaatiolla on jo tietoturvan ja talouden vuoksi: luettelo kolmansien osapuolten sovelluksista, joille käyttäjät ovat antaneet pääsyn Microsoft Entra ID:ssä tai Google Workspacessa, kertakirjautumisen lokit, kulu- ja maksukorttitiedot sekä kootut DNS- tai välityspalvelinlokit. Kertokaa henkilöstölle, mitä keräätte ja miksi, ja käyttäkää tuloksia palvelujen parantamiseen eikä yksittäisten henkilöiden kurinpitoon.

Pitäisikö korkeakoulujen estää kaikki hyväksymättömät tekoälytyökalut?

Pelkkä estäminen toimii harvoin avoimessa akateemisessa verkossa ja siirtää käyttöä henkilökohtaisille laitteille. Tehokkaampaa on yhdistää selkeä hyväksytty vaihtoehto tavallisiin tarpeisiin, lyhyt luettelo ei-hyväksytyistä työkaluista perusteluineen, tekniset kontrollit suurimman riskin tapauksiin, kuten sovellusten käyttöoikeussuostumuksiin, sekä nopea reitti pyytää muiden työkalujen arviointia.

Kuinka kauan ohjelmiston hyväksyntäpyynnön käsittely saa kestää?

Laissa ei ole määräaikaa. Utrechtin yliopisto pyytää opettajia täyttämään tekoälytyökaluja koskevan kyselynsä hyvissä ajoin, jos he haluavat käyttää työkalua opintojaksolla. Käytännöllinen malli on pikakaista, jolla matalan riskin pyynnöt ratkaistaan muutamassa päivässä, ja täysi arviointi varataan työkaluille, jotka käsittelevät arkaluonteisia tietoja tai integroituvat keskeisiin järjestelmiin.

Tekeekö NIS2 varjo-IT:stä vaatimustenmukaisuuskysymyksen?

Jos korkeakoulu kuuluu kansallisen NIS2-lain soveltamisalaan, sen on toteutettava riskienhallintatoimenpiteitä, joihin kuuluvat toimitusketjun turvallisuus ja omaisuuden hallinta. Palveluja, joista kukaan ei tiedä, ei voi kattaa näillä toimenpiteillä. Se, kuuluuko korkeakoulu soveltamisalaan, riippuu siitä, miten sen maa on pannut direktiivin täytäntöön, joten tarkistakaa kansallinen lainsäädäntö.

Mitä hyväksyttyjen ohjelmistojen luettelossa pitäisi olla?

Jokaisesta työkalusta: sen tila (hyväksytty, hyväksytty ehdoin, ei hyväksytty), tietoluokat, joiden kanssa sitä saa käyttää, ehdot (esimerkiksi vain organisaation tunnuksilla, tekoälyn koulutus pois päältä, ei erityisiin henkilötietoryhmiin kuuluvia tietoja), omistaja, viimeisimmän arvioinnin päivämäärä ja hyväksytty vaihtoehto kaikelle, mitä ei ole hyväksytty.