Tekoälyä käytetään jo laajasti osana yritysten arkea. Chatbotit palvelevat asiakkaita, generatiivisella tekoälyllä tuotetaan tekstiä, kuvia ja videoita, ja tekoälyä hyödynnetään esimerkiksi markkinoinnissa, journalistisessa työssä, ohjelmistokehityksessä ja koulutuksessa.
Olemme aiemmin kirjoittaneet tekoälyasetuksen keskeisistä velvoitteista ja niiden vaiheittaisesta voimaantulosta sekä tekoälyn käytöstä markkinoinnissa. Tässä kirjoituksessa keskitymme tarkemmin tekoälyasetuksen avoimuusvelvoitteisiin ja siihen, milloin tekoälyn käytöstä pitää kertoa käyttäjille tai yleisölle.
EU:n tekoälyasetuksen avoimuusvelvoitteita on sovellettu 2.8.2026 alkaen. Niiden tavoitteena on erityisesti varmistaa, että ihmiset tunnistavat, milloin he ovat vuorovaikutuksessa tekoälyn kanssa tai kohtaavat tekoälyllä tuotettua tai muokattua sisältöä. Kaikesta tekoälyn käytöstä ei kuitenkaan tarvitse kertoa. Velvollisuudet koskevat tiettyjä tekoälyasetuksessa määriteltyjä tilanteita.
Euroopan komissio julkaisi heinäkuussa 2026 tarkemmat ohjeet velvoitteiden soveltamisesta, ja myös Traficom on julkaissut suomalaisille toimijoille käytännön ohjeistusta.
Milloin ihmiselle pitää kertoa, että hän asioi tekoälyn kanssa?
Jos tekoälyjärjestelmä on tarkoitettu suoraan vuorovaikutukseen ihmisten kanssa, käyttäjälle on lähtökohtaisesti kerrottava, että hän asioi tekoälyn eikä ihmisen kanssa. Velvollisuus koskee esimerkiksi verkkosivuilla olevia tekoälypohjaisia chatbotteja, ääniavustajia, ihmisten kanssa vuorovaikutuksessa olevia tekoälyagentteja ja tekoälyavatareja.
Tieto pitää antaa viimeistään ensimmäisen vuorovaikutuksen yhteydessä, ellei tekoälyn käyttö ole tilanteessa muuten ilmeistä. Pelkkä maininta käyttöehdoissa tai käyttäjälle näkymätön tekninen merkintä ei yleensä riitä. Myöskään pelkkä palveluntarjoajan nimi ei välttämättä kerro käyttäjälle, että hän keskustelee tekoälyn kanssa.
Miten tekoälyllä tuotettu sisältö pitää merkitä teknisesti?
Tekoälyasetuksessa on erillinen tekninen merkintävelvollisuus, joka kohdistuu generatiivisen tekoälyjärjestelmän tarjoajaan. Käytännössä velvollisuus koskee esimerkiksi OpenAI:n ja Anthropicin kaltaisia toimijoita silloin, kun ne tarjoavat EU:ssa tekoälyjärjestelmiä, jotka tuottavat tekstiä, kuvaa, ääntä tai videota. Tarjoajan on pääsääntöisesti huolehdittava siitä, että järjestelmän tuottama tai muokkaama sisältö voidaan tunnistaa koneellisesti tekoälyllä tuotetuksi tai muokatuksi. Velvollisuus ei siis lähtökohtaisesti ole esimerkiksi ChatGPT:tä tai Claudea työssään käyttävän asiakasyrityksen velvollisuus.
Tekninen merkintä voi toteutua eri tavoin sisällön tyypistä riippuen. OpenAI käyttää tuetuissa tekoälyllä tuotetuissa kuvissa C2PA-alkuperätietoja ja näkymätöntä SynthID-vesileimaa. Kuvan voi ladata OpenAI:n varmennustyökaluun, joka tarkistaa, löytyykö tiedostosta OpenAI:n alkuperäsignaaleja. Tällainen vesileima ei näy kuvassa ihmissilmälle.
Myös tekoälyllä tuotettua tekstiä voidaan merkitä koneellisesti tunnistettavalla tavalla. Anthropic on esimerkiksi kertonut toteuttavansa Claude-tekstien merkinnän tekstivesileimalla, jossa mallin sanavalintoihin muodostetaan koneellisesti tunnistettava tilastollinen kuvio. Lukijalle vesileimattu teksti näyttää tavalliselta tekstiltä, mutta vesileima voidaan tunnistaa palveluntarjoajan tunnistusmenetelmällä.
Tekninen merkintävelvollisuus on eri asia kuin käyttäjälle tai yleisölle näkyvä ilmoitus. Se ei siis tarkoita, että esimerkiksi ChatGPT:tä tai Claudea käyttävän yrityksen pitäisi lisätä jokaiseen sisältöön näkyvä AI-leima.
Milloin tekoälyllä tuotettu kuva, video tai ääni pitää merkitä?
Yksi käytännössä keskeisimmistä avoimuusvelvoitteista koskee syväväärennöksiä eli deepfakeja. Jos tekoälyä käytetään ammatillisessa tai muussa kuin puhtaasti henkilökohtaisessa toiminnassa syväväärennöksen tuottamiseen tai muokkaamiseen, sisällön yhteydessä pitää ilmoittaa selkeästi, että se on tekoälyllä tuotettua tai muokattua.
Syväväärennöksellä tarkoitetaan tekoälyllä tuotettua tai muokattua kuva-, ääni- tai videosisältöä, joka muistuttaa olemassa olevia henkilöitä, esineitä, paikkoja, toimijoita tai tapahtumia ja antaa henkilölle valheellisen vaikutelman siitä, että sisältö on aito tai totuudenmukainen.
Deepfake ei siis tarkoita vain esimerkiksi tunnettua henkilöä esittävää valheellista videota. Velvollisuus voi tulla vastaan myös tavallisessa kaupallisessa tai luovassa sisällöntuotannossa. Esimerkiksi dokumenttityylisessä tuotannossa tekoälyllä toteutettu realistinen rekonstruktio tai mainoksessa käytetty aidolta vaikuttava, tekoälyllä luotu tilanne voi edellyttää ilmoitusta. Kaikki tekoälyllä tuotetut kuvat tai videot eivät kuitenkaan automaattisesti ole deepfakeja.
Luoville sisällöille on säädetty joustoa. Jos deepfake on osa ilmeisen taiteellista, luovaa, satiirista tai fiktiivistä teosta, tekoälyllä tuotetun tai muokatun sisällön olemassaolosta on edelleen kerrottava, mutta ilmoitus voidaan toteuttaa tavalla, joka ei tarpeettomasti haittaa teoksen esittämistä.
Tekoälyllä tuotetun äänen avoimuusvelvoitteista erityisesti radiotoiminnassa voit lukea lisää RadioMedian blogista.
Entä tekoälyllä kirjoitetut tekstit?
Kaikkia tekoälyn avulla kirjoitettuja tekstejä ei tarvitse yleisölle näkyvästi merkitä tekoälyllä tuotetuiksi.
Avoimuusvelvoite koskee tekoälyn tuottamaa tai muokkaamaa tekstiä silloin, kun teksti julkaistaan yleisön tiedottamiseksi yleistä etua koskevasta asiasta. Tällaisia aiheita voivat olla esimerkiksi julkishallinto, perusoikeudet, kansanterveys, ympäristönsuojelu sekä yhteiskunnallisesti merkittävä taloudellinen, poliittinen, tieteellinen tai kulttuurinen kehitys. Velvollisuus voi siten koskea esimerkiksi uutisartikkeleita, tieteellisiä julkaisuja, sijoittajaraportteja tai viranomaisten julkisia tiedotteita. Tavanomainen mainossisältö ei sen sijaan yleensä kuulu tämän nimenomaisen velvoitteen piiriin.
Tähän liittyy kuitenkin tärkeä poikkeus. Tekstiä ei tarvitse merkitä, jos se on käynyt läpi ihmisen suorittaman tarkastuksen tai toimituksellisen valvonnan ja luonnollinen henkilö tai oikeushenkilö kantaa toimituksellisen vastuun sisällön julkaisemisesta. Esimerkiksi tekoälyn käyttäminen uutisartikkelin luonnosteluun ei siis automaattisesti tarkoita, että valmis artikkeli pitäisi merkitä tekoälyllä tuotetuksi, jos toimitus tarkastaa sisällön ja vastaa sen julkaisemisesta. Pelkkä oikoluku tai kieliopin korjaaminen ei riitä, vaan poikkeus edellyttää sisällön tosiasiallista tarkastamista tai toimituksellista valvontaa.
Entä tunteentunnistus ja biometrinen kategorisointi?
Avoimuusvelvoitteita sovelletaan myös tunteentunnistukseen ja biometriseen kategorisointiin. Jos tällaista tekoälyjärjestelmää käytetään ihmiseen, hänelle on kerrottava siitä selkeästi ja helposti havaittavalla tavalla viimeistään silloin, kun hän ensimmäisen kerran altistuu järjestelmän käytölle.
Tunteentunnistuksesta voi olla kyse esimerkiksi silloin, kun asiakaspalvelussa tekoäly analysoi asiakkaan ääntä ja päättelee sen perusteella, onko asiakas vihainen tai kärsimätön. Biometrisessä kategorisoinnissa tekoäly puolestaan sijoittaa henkilön tiettyyn ryhmään tämän biometristen ominaisuuksien perusteella, esimerkiksi arvioimalla kasvonpiirteiden perusteella henkilön ikäryhmää.
Pelkkä informointi ei kuitenkaan tee järjestelmän käytöstä sallittua. Esimerkiksi tunteiden päättelemiseen tarkoitetun tekoälyn käyttö työpaikoilla ja oppilaitoksissa on lähtökohtaisesti kielletty, lukuun ottamatta tiettyjä lääketieteellisiä tai turvallisuuteen liittyviä käyttötarkoituksia.
On myös hyvä huomata, että sallitut tunteentunnistusjärjestelmät ja tietyt biometrisen kategorisoinnin järjestelmät kuuluvat tekoälyasetuksen suuririskisiä tekoälyjärjestelmiä koskevan sääntelyn piiriin. Tällöin avoimuusvelvoitteen lisäksi sekä järjestelmän tarjoajaan että käyttöönottajaan kohdistuu muita laajoja tekoälyasetuksen mukaisia velvoitteita.
Kuka valvoo velvoitteita ja mitä rikkomisesta voi seurata?
Suomessa avoimuusvelvoitteiden noudattamista valvovat markkinavalvontaviranomaiset. Traficom valvoo niitä pääsääntöisesti, mutta suuririskisiin tekoälyjärjestelmiin liittyvissä tilanteissa valvonta voi kuulua toimialakohtaiselle viranomaiselle.
Avoimuusvelvoitteen tahallisesta tai huolimattomasta rikkomisesta voidaan määrätä hallinnollinen seuraamusmaksu. Yritykselle määrättävän maksun enimmäismäärä on 15 miljoonaa euroa tai kolme prosenttia sen edeltävän tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi. Pk-yritykselle sovelletaan näistä pienempää enimmäismäärää.
Kyse on enimmäismääristä, ja seuraamus sekä sen suuruus arvioidaan tapauskohtaisesti. Kansallisen lain nojalla seuraamusmaksua ei määrätä, jos rikkomusta on pidettävä vähäisenä tai seuraamusmaksun määräämistä ilmeisen kohtuuttomana.
Mitä yrityksen kannattaa tehdä nyt?
Ensimmäiseksi kannattaa tunnistaa ne tilanteet, joissa tekoäly näkyy asiakkaille, käyttäjille tai muulle yleisölle. Erityistä huomiota kannattaa kiinnittää asiakasrajapinnassa toimiviin tekoälyratkaisuihin sekä tekoälyllä tuotettuun tai muokattuun ulospäin julkaistavaan sisältöön.
Käytännössä yrityksessä kannattaa ainakin:
kartoittaa asiakkaille ja muille ulkopuolisille näkyvät tekoälyn käyttötavat
laatia henkilöstölle käytännön ohjeet siitä, missä tilanteissa tekoälyn käytöstä pitää ilmoittaa, miten ilmoitus tehdään ja kuka siitä vastaavarmistaa, että tekoälyllä tuotetun tekstin tarkastamiselle on tarvittaessa selkeä prosessi
huomioida avoimuusvelvoitteet myös sopimuksissa, jos tekoälyratkaisun tai tekoälysisällön tuottaa ulkopuolinen kumppani.
Tekoälyasetuksen avoimuusvelvoitteissa ei siis ole kyse siitä, että jokainen tekoälyavusteinen työvaihe pitäisi tehdä näkyväksi yleisölle. Olennaista on tunnistaa ne tilanteet, joissa käyttäjän pitää tietää asioivansa tekoälyn kanssa tai joissa tekoälyllä tuotetun sisällön alkuperästä on nimenomaisesti kerrottava.
Kaipaatko apua tekoälyasetuksen soveltamisessa tai organisaatiosi tekoälyn käyttötapausten arvioinnissa? Autamme tunnistamaan soveltuvat velvoitteet ja rakentamaan käytännön toimintamallit niiden noudattamiseksi.
Lila Kallio
Counsel
+358 41 465 1365
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä!
Tekoäly on tullut markkinointiin nopeasti ja melko vaivattomasti. Kuvia, videoita, ääntä, mainostekstejä ja kampanjaideoita syntyy hetkessä. Juridiikan näkökulmasta tämä ei kuitenkaan tarkoita, että markkinoinnin perussäännöt olisivat menettäneet merkityksensä. Pikemminkin tekoäly nostaa tutut kysymykset uudenlaiseen tarkasteluun: onko markkinointi totuudenmukaista, ymmärtääkö vastaanottaja, mitä hänelle näytetään, ja kuka vastaa lopputuloksesta?
Mihin uusiin sääntöihin ja ohjeisiin markkinoijan kannattaa kiinnittää huomiota?
Ajankohtaista keskustelua ohjaavat tällä hetkellä erityisesti kolme aineistokokonaisuutta. Ensinnäkin ICC on julkaissut ohjeen tekoälyn vastuullisesta käytöstä markkinoinnissa. Ohje täydentää ICC:n markkinointisääntöjä ja korostaa, että markkinoinnin on oltava lainmukaista, asiallista, rehellistä ja totuudenmukaista riippumatta siitä, mitä teknologiaa sen tuottamisessa käytetään. ICC:n ohje on luonteeltaan itsesääntelyä, ei suoraan velvoittavaa lainsäädäntöä. Käytännössä sillä voi silti olla merkitystä, kun arvioidaan sitä, millaista huolellisuutta vastuulliselta markkinoijalta voidaan odottaa.
Toiseksi EU:n tekoälyasetuksen 50 artikla tuo markkinointiin sitovia läpinäkyvyysvelvoitteita. Nämä läpinäkyvyysvelvoitteet tulevat monelta osin sovellettaviksi 2.8.2026, ja ne koskevat muun muassa tilanteita, joissa henkilö on vuorovaikutuksessa tekoälyjärjestelmän kanssa tai altistuu tietyille tekoälyllä tuotetuille tai muokatuille sisällöille. Kolmanneksi komissio on julkaissut 50 artiklaa koskevat soveltamisohjeet luonnoksena, ja tekoälyllä tuotetun sisällön merkitsemistä koskeva Code of Practice on valmisteilla. Komission luonnoksen mukaan ohjeistus on nimenomaan käytännön tulkinta-apua, eikä se ole sitova lopullinen tulkinta tekoälyasetuksesta.
Lähtökohtana ei ole automaattinen ilmoitusvelvollisuus
Tekoälyä voidaan hyödyntää monilla tavoin markkinointiprosessien eri vaiheissa, joten on hyvä tunnistaa, että tekoälyn käytöstä markkinoinnissa ei tarvitse automaattisesti kertoa kaikissa tilanteissa. ICC:n ohje sanoo tämän varsin suoraan, eikä tekoälyasetuskaan luo automaattista ilmoitusvelvollisuutta. Pelkkä generatiivisen tekoälyn käyttö mainosmateriaalien tai markkinointiviestinnän luomisessa ei itsessään edellytä ilmoitusta. Ratkaisevaa on, voiko tekoälyn käytöstä kertomatta jättäminen antaa vastaanottajalle harhaanjohtavan kokonaisvaikutelman. Jos voi, ilmoitus saattaa olla tarpeen.
Deepfake-sisältö on markkinoinnin riskialuetta
Tekoälyasetuksen 50 artikla konkretisoi tekoälyn käytöstä ilmoittamisen tietyissä tilanteissa lakisääteiseksi velvoitteeksi. Markkinoinnin kannalta kiinnostavin esimerkki on deepfake-sisältö eli syväväärennökset. Asetuksen mukaan tekoälyjärjestelmän käyttöönottajan on ilmoitettava, jos kuva-, ääni- tai videosisältö on tekoälyllä tuotettu tai muokattu siten, että se muodostaa syväväärennöksen. Tekoälyasetuksen ja komission ohjeistusluonnoksen mukaan syväväärennöksessä on kyse sisällöstä, joka muistuttaa olemassa olevia henkilöitä, esineitä, paikkoja, toimijoita tai tapahtumia ja voisi virheellisesti vaikuttaa aidolta tai totuudenmukaiselta.
Tämä määritelmä on markkinoinnissa merkityksellinen, koska syväväärennökset eivät rajoitu vain tilanteisiin, joissa jäljitellään tunnettua henkilöä. Myös esimerkiksi olemassa olevaa paikkaa, tapahtumaa tai tuotteen käyttökontekstia realistisesti kuvaava tekoälysisältö voi tulla arvioitavaksi deepfake-sääntelyn kautta, jos vastaanottaja voisi erehtyä pitämään sitä aitona. Markkinointikontekstissa kyse voisi olla esimerkiksi tekoälyllä luodusta videosta, jossa realistiset “asiakkaat” käyttävät tuotetta aidolta vaikuttavassa tilanteessa.
ICC:n ohje vie tarkastelun vielä käytännönläheisemmälle tasolle. Jos tekoälyllä luodaan tai olennaisesti muokataan todellisen ja tunnistettavan henkilön kuvaa, ääntä tai muuta hahmoa markkinointitarkoituksiin, henkilön lupa tulisi lähtökohtaisesti hankkia ja luvan rajoja kunnioittaa. Käytännössä markkinoijan on siis arvioitava erikseen sekä se, saako henkilöä esittävää sisältöä käyttää, että se, pitääkö tekoälyn käytöstä kertoa yleisölle. Tekoälyasetuksen 50 artikla ei varsinaisesti ota kantaa suostumuskysymykseen, vaan keskittyy läpinäkyvyyteen. Myös komission ohjeistusluonnos kuitenkin muistuttaa, että deepfake-sisältöön voi liittyä tietosuoja-, immateriaalioikeus- ja persoonallisuusoikeudellisia kysymyksiä.
Ilmoituksen on huomioitava vastaanottajan näkökulma
Toinen olennainen kysymys on kohderyhmä. Sekä ICC:n ohje että tekoälyasetuksen 50 artiklan ohjeistusluonnos korostavat, että ilmoituksen ymmärrettävyyttä on arvioitava yleisön näkökulmasta. Erityisesti lapsille, iäkkäille tai muuten haavoittuvassa asemassa oleville suunnatussa markkinoinnissa kynnys kertoa tekoälyn käytöstä voi käytännössä olla matalampi. Ilmoituksen on oltava sellainen, että juuri kyseinen yleisö ymmärtää sen. Pelkkä tekninen merkintä, käyttöehtoihin piilotettu lause tai epäselväksi jäävä tekoälyyn viittaava ilmaisu ei välttämättä riitä. Komission luonnoksen mukaan tieto on annettava selkeästi ja erottuvasti viimeistään ensimmäisen vuorovaikutuksen tai altistumisen yhteydessä, eikä se saa jäädä esimerkiksi käyttöohjeen tai valikkorakenteen taakse.
Code of Practice -luonnoksessa tätä ajatusta viedään pidemmälle. Sen mukaan syväväärennösten ja tiettyjen tekoälyllä tuotettujen tekstien merkintöjen tulisi olla helposti havaittavia, saavutettavia ja sisältömuotoon sopivia. Luonnoksessa ehdotetaan myös EU-laajuisen yhteisen AI-ikonin kehittämistä ja mahdollisuutta toiseen tietokerrokseen, jossa kerrottaisiin tarkemmin, mitä sisällössä on tuotettu tai muokattu tekoälyllä. Käytännön kannalta kiinnostavaa on myös ajatus siitä, että merkinnän tulisi mahdollisuuksien mukaan “kulkea sisällön mukana”, esimerkiksi silloin kun video tai kuva jaetaan eri kanaviin.
Vastuu tekoälyn käytöstä on rakennettava osaksi markkinoinnin prosesseja
Yrityksille tämä tarkoittaa, että tekoälyn käyttö markkinoinnissa ei ole vain luovan tiimin työkaluvalinta. ICC:n ohje korostaa, että markkinoija vastaa markkinoinnistaan, vaikka kampanja olisi toteutettu toimiston, vaikuttajan, alustatoimijan tai tekoälytyökalun avulla. Organisaatioiden tulisi päivittää sisäistä koulutusta ja ohjeistusta niin, että markkinoinnin parissa työskentelevät ymmärtävät vastuunsa. Tekoälyasetuksessa sama tavoite näkyy tekoälylukutaitoa koskevissa velvoitteissa: yrityksen on huolehdittava siitä, että tekoälyä käyttävillä henkilöillä on riittävä ymmärrys tekoälyn mahdollisuuksista, rajoituksista ja riskeistä.
Käytännössä vastuullisen markkinoijan on huomioitava ainakin kolme perusasiaa. Ensin on tunnistettava, missä kampanjan osissa tekoälyä käytetään ja onko tekoälyn käytöstä lopputuloksessa ilmoitettava tekoälyasetuksen mukaisesti. Sen jälkeen on arvioitava, voiko tekoälyn käytön kertomatta jättäminen johtaa harhaanjohtavaan vaikutelmaan myös tilanteissa, joissa asetuksen nimenomainen ilmoitusvelvollisuus ei sovellu. Lopuksi on varmistettava, että sopimukset mainostoimistojen, vaikuttajien ja teknologiatoimittajien kanssa tukevat tätä. Markkinoijan pitäisi tietää, milloin tekoälyä on käytetty lopputuloksen luomiseksi, jotta markkinoija pystyy tarvittaessa täyttämään omat velvoitteensa.
Tekoälyn käyttö markkinoinnissa ei ole automaattisesti ongelmallista. Se voi päinvastoin parantaa laatua, nopeuttaa tuotantoa ja avata uusia luovia mahdollisuuksia. Mitä aidommalta tekoälyllä tuotettu sisältö näyttää ja kuulostaa, sitä tärkeämmäksi kuitenkin muuttuu kysymys siitä, ymmärtääkö vastaanottaja, mitä hänelle esitetään. Tässä mielessä ICC:n ohje ja tekoälyasetuksen 50 artikla kulkevat samaan suuntaan. Molemmat muistuttavat, että luottamus on markkinoinnin kovaa ydintä. Jos tekoälyn käyttö murentaa sitä, tekninen tehokkuus voi nopeasti muuttua juridiseksi riskiksi ja mainehaitaksi.
Valmistautuminen kannattaa aloittaa ajoissa
Lopullista tulkintakäytäntöä odotetaan vielä. Komission 50 artiklaa koskeva ohjeistus ja Code of Practice ovat luonnosvaiheessa, ja myös ICC on todennut päivittävänsä ohjettaan teknologian ja käytäntöjen kehittyessä. Yritysten kannattaa kuitenkin varautua velvoitteisiin jo nyt päivittämällä prosessinsa, ohjeistuksensa, sopimuksensa ja hyväksymiskäytäntönsä, koska elokuusta 2026 alkaen läpinäkyvyys on monessa tilanteessa entistä konkreettisemmin suora lakisääteinen velvollisuus.
Katri Aarnio
Counsel
+358 50 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
IT-ulkoistaminen on vakiintunut osa monen yrityksen arkea. IT-palveluiden, ohjelmistokehityksen tai infrastruktuurin hallinnan siirtäminen ulkopuoliselle toimijalle voi tuoda kustannustehokkuutta, skaalautuvuutta ja pääsyn sellaiseen osaamiseen, jota ei ole järkevää rakentaa itse. Samalla kyse ei kuitenkaan ole pelkästä teknisestä järjestelystä, vaan kokonaisuudesta, jossa juridiset kysymykset ovat keskeisessä roolissa.
Ulkoistamisen onnistuminen ratkaistaan osittain jo ennen sopimuksen allekirjoittamista. Tässä kirjoituksessa käyn läpi kolme näkökulmaa, jotka nousevat käytännössä toistuvasti esiin ulkoistushankkeissa.
Lähtötilanteen analysointi
Ensimmäinen askel on lähtötilanteen ja tavoitteiden kirkastaminen. Yllättävän usein ulkoistushankkeeseen lähdetään ilman riittävän tarkkaa kuvaa siitä, mitä ollaan ulkoistamassa ja miksi. On eri asia hakea kustannussäästöjä kuin parantaa palvelun laatua tai skaalautuvuutta, ja nämä tavoitteet ohjaavat myös sopimusratkaisuja eri suuntiin.
Käytännössä tämä tarkoittaa sitä, että ulkoistajan on pystyttävä kuvaamaan ulkoistettava toiminto riittävän tarkasti. On määritettävä, mitä palvelun halutaan sisältävän, millä tasolla sitä on tarpeen tuottaa sekä millaisia riskejä siihen mahdollisesti liittyy. Erityisesti silloin, kun palvelu on aiemmin tuotettu sisäisesti, tällainen kartoitus voi olla yllättävän puutteellinen tai sitä ei ole tehty lainkaan. Ilman tätä pohjatyötä tarjouspyynnöstä tulee helposti liian avoin, jolloin saadut tarjoukset eivät ole keskenään vertailukelpoisia. Tämä näkyy suoraan sekä aikataulussa että kustannuksissa.
Sopimuksen laadinta ja riskien hallinta
Toinen keskeinen kokonaisuus liittyy sopimukseen. IT-ulkoistuksessa sopimus ei ole pelkkä muodollisuus, vaan keskeinen riskienhallinnan työkalu. Hyvä sopimus määrittelee selkeästi, mitä palvelua tuotetaan, millä tasolla ja millä hinnalla. Yhtä tärkeää on kuitenkin se, mitä tapahtuu silloin, kun asiat eivät mene suunnitellusti.
Häiriötilanteet ovat ulkoistuksissa väistämättömiä, ja juuri niissä sopimuksen sisältö mitataan. Jos palvelu ei toimi sovitusti, millaisia seuraamuksia tästä syntyy ja miten nopeasti tilanne on korjattava? Ulkoistuksen jälkeen asiakkaalla ei välttämättä ole enää omaa kyvykkyyttä korjata ongelmia itse, mikä korostaa sopimuksellisten mekanismien merkitystä.
Käytännössä haasteita syntyy usein myös siirtymävaiheessa. Palveluntarjoaja pyrkii tyypillisesti siirtämään palvelun omaan tuotantomalliinsa mahdollisimman nopeasti, kun taas ulkoistajalle on tärkeää varmistaa palvelun jatkuvuus ilman katkoksia. Tässä jännitteessä sovitaan usein erillisistä siirtymäajan ehdoista ja korostetuista velvoitteista sopimuskauden alkuun. Niin sanottu hyper care -jakso ei ole pelkkä trendisana, vaan konkreettinen keino hallita ulkoistuksen alkuvaiheen riskejä.
Yksi aliarvostetuimmista osa-alueista on sopimuksen päättyminen. Liian usein exit-tilanne jätetään yleisluontoisten ehtojen varaan, vaikka juuri siinä vaiheessa realisoituvat monet ulkoistuksen todelliset riskit. Keskeisiä kysymyksiä ovat esimerkiksi se, missä muodossa data palautetaan, miten palvelu siirretään uudelle toimittajalle ja millä kustannuksilla. Jos näitä ei ole sovittu etukäteen, lopputuloksena voi olla tilanne, jossa palveluntarjoajan vaihtaminen on käytännössä mahdotonta tai ainakin merkittävän kallista. Ulkoistuksen osana voi olla myös sellaisia EU datasäännöksen mukaisia palveluja, jotka tulkitaan datankäsittelypalveluiksi. Joidenkin palvelujen osalta datasäädös on tuonut tähän tiettyä helpotusta, mutta tämä ei poista tarvetta sopia näistä asioista.
Työoikeudellisien aspektien huomioiminen
Kolmas näkökulma liittyy työoikeuteen. IT-ulkoistus ei koske vain pelkkiä ulkoistettavia IT-palveluja, vaan tapauskohtaisesti myös työntekijöitä. Työoikeuden näkökulmasta, on arvioitava huolellisesti täyttyvätkö liikkeenluovutuksen tunnusmerkit. Liikkeenluovutuksessa ulkoistettavaan palveluun kuuluvat työntekijät siirtyvät automaattisesti uuden työnantajan (palveluntarjoaja) palvelukseen entisin ehdoin, vanhoina työntekijöinä.
Tämä ei kuitenkaan tarkoita, että kaikki tilanteet olisivat yksinkertaisia. Keskeinen kysymys on, ketkä työntekijät kuuluvat siirtyvään kokonaisuuteen. Rajausten tekeminen voi olla haastavaa, erityisesti organisaatioissa, joissa tehtävät ja vastuut ovat jakautuneet useiden toimintojen kesken. Lisäksi on arvioitava, syntyykö ulkoistuksen yhteydessä velvollisuus käydä muutosneuvottelut, esimerkiksi tilanteissa, joissa organisaatiota järjestellään uudelleen ennen ulkoistusta.
Työoikeudelliset kysymykset eivät ole pelkästään juridinen pakollinen paha, vaan niillä on suora vaikutus myös ulkoistuksen käytännön toteutukseen ja aikatauluun. Siksi niiden analysointi kannattaa tehdä riittävän varhaisessa vaiheessa.
Lopuksi
Kun nämä kolme kokonaisuutta yhdistetään, muodostuu kuva siitä, miksi ulkoistuksen valmisteluun kannattaa panostaa. Huolellinen valmistautuminen ei ole ylimääräinen kustannus, vaan edellytys sille, että ulkoistuksella saavutetaan ne hyödyt, joita siltä haetaan.
Oikein toteutettuna IT-ulkoistus tukee liiketoiminnan kasvua ja vapauttaa resursseja ydinliiketoimintaan. Huolimattomasti toteutettuna se voi sen sijaan sitoa yrityksen pitkäksi aikaa järjestelyyn, josta irtautuminen on vaikeaa. Kokemus on osoittanut, että ero näiden kahden lopputuloksen välillä syntyy harvoin teknologiasta, mutta lähes aina valmistelusta ja sopimuksesta.
Autamme mielellämme IT-ulkoistuksiin liittyvissä sopimus-, riski- ja työoikeuskysymyksissä.
Osmo Lipponen
Senior Counsel
+358 50 439 1899
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.