Julkaistu 19.10.2026
Kirjoittaja on tehnyt tietojärjestelmätieteen pro gradu -tutkielmansa tekoälyn hyödyntämisestä finanssialan kyberriskejä koskevassa päätöksenteossa. Tutkimuksessa selvitettiin tekoälyn käyttötapoja, siihen liittyviä riskejä sekä sitä, kenelle päätösvalta ja vastuu kuuluvat. Teksti pohjautuu tutkimuksen havaintoihin ja
kirjoittajan pohdintaan niiden merkityksestä.
Kyberturvallisuuden asiantuntijan työssä tietoa on usein enemmän kuin aikaa sen käsittelyyn. Uhkia koskevia uutisia, teknisiä havaintoja ja raportteja tulee useista lähteistä, eikä kaikkeen ehdi perehtyä yhtä tarkasti, vaikka joukossa voi olla organisaation kannalta tärkeää tietoa. Tekoälyn kyky koota ja tiivistää tätä aineistoa on siksi houkutteleva.
Tutkimuksessa tekoälyn käyttö painottui tiedon etsimiseen, dokumenttien käsittelyyn ja analyysin valmisteluun. Strategisessa päätöksenteossa sen rooli jäi rajalliseksi. Päätökset tekivät ihmiset, jotka myös vastasivat niistä.
Työnjako on perusteltu, mutta yksi olennainen kysymys jää silti avoimeksi: kuinka itsenäisesti ihminen todella arvioi tilannetta, jos tekoäly on jo valinnut hänen nähtäväkseen asiat, joita se pitää tärkeinä?
TEKOÄLY OHJAA HUOMIOTA
Tekoälyn vaikutus alkaa jo ennen varsinaista päätöstä. Kun se tiivistää raportin tai nostaa esiin tiettyjä havaintoja, se ohjaa asiantuntijan huomiota. Tiivistelmä voi olla pääosin oikea, mutta jokin päätöksen kannalta tärkeä yksityiskohta saattaa jäädä pois. Ihminen tekee ratkaisun sen tiedon perusteella, jonka hän on saanut tarkasteltavakseen.
Siksi se, että vastuu säilyy ihmisellä, ei vielä yksin takaa huolellista päätöksentekoa. Jos hyväksyntä perustuu vain tekoälyn tuottaman tekstin lukemiseen, myös sen virheelliset oletukset voivat päätyä päätöksen perusteluiksi.
Tekoäly voi käydä läpi laajan dokumenttiaineiston ja tuottaa siitä alustavan arvion. Asiantuntija lukee dokumentit tämän jälkeen itse ja tekee oman analyysinsa. Tekoälyn tekemä pohjatyö helpottaa tehtävää, mutta sen nostamat havainnot on tarkistettava alkuperäisestä aineistosta.
Tällaisessa käytössä tekoälystä saa selvää hyötyä. Se antaa lähtökohdan perehtymiselle ja auttaa kohdistamaan työtä. Samalla asiantuntijan on muistettava tarkastella myös asioita, joita tekoäly ei nostanut esiin, muuten ensimmäinen yhteenveto voi rajata ajattelua liikaa.
MIHIN SÄÄSTYNYT AIKA KÄYTETÄÄN?
Tekoäly helpottaa suurten tietomäärien käsittelyä ja kokonaisuuksien hahmottamista. Tiedon löytäminen ei kuitenkaan vielä kerro, mikä on olennaista ja mihin pitäisi reagoida ensin. Organisaation vanhoista aineistoista voi nousta esiin tietoa, joka ei enää vastaa nykyistä toimintaa. Asiantuntijan on siksi arvioitava, onko tieto ajantasaista ja kyseisessä tilanteessa hyödyllistä.
Tekoälyn käyttö ei silti aina tuo merkittävää lisäarvoa. Tutkimushetkellä sen hyödyntäminen oli monilta osin alkuvaiheessa, ja odotusten sekä käytännön hyötyjen välillä oli eroa.
Nopeasti syntynyt analyysi ei vielä kerro, että riskit olisi ymmärretty paremmin. Jos tuloksen tarkistaminen ja korjaaminen vievät paljon aikaa, hyöty voi jäädä olemattomaksi. Tarkistamista ei kuitenkaan voi jättää pois ajan säästämiseksi.
Onnistumista on arvioitava sen perusteella, mitä asiantuntija pystyy tekemään säästyneellä ajalla. Ehtiikö hän perehtyä epäselviin havaintoihin, vertailla lähteitä tai arvioida vaikutuksia liiketoimintaan? Juuri näissä tehtävissä tekoälyn tekemä pohjatyö voi parantaa päätöksenteon laatua.
Epävarmuus ei poistu tekoälyn avulla, vaan muuttaa muotoaan. Laajan aineiston läpikäynti helpottuu, mutta samalla pitää arvioida, voiko tekoälyn tekemään tulkintaan luottaa. Selkeästi kirjoitettu yhteenveto voi saada epävarmatkin havainnot näyttämään varmoilta. Siksi tiedon puutteiden ja epävarmuuden pitää näkyä myös yhteenvedossa.
KUINKA PALJON VIRHEITÄ HYVÄKSYMME?
Tutkimuksessa nousi esiin myös tekoälyn virheiden hyväksyttävyys suhteessa ihmisen tekemiin virheisiin. Yksittäinen tekoälyn virhe voi saada paljon huomiota, vaikka muu analyysi olisi hyödyllinen. Ihmisen erehdystä sen sijaan pidetään helpommin ymmärrettävänä osana työtä.
Vertailu on helposti epäreilu, jos tekoälyltä vaaditaan virheettömyyttä ja ihmisen erehdykset hyväksytään osaksi työtä. Tekoälyn vertailukohdan pitäisi olla todellinen työprosessi. Myös asiantuntijalta voi jäädä tietoa huomaamatta, hän voi tulkita lähdettä väärin tai tehdä väärän arvion.
Tekoälyn virheisiin on silti suhtauduttava vakavasti, eikä niiden määrää voi käyttää ainoana arviointiperusteena. Olennaisempaa on, millaisia seurauksia virheellä on ja kuinka helposti se huomataan. Tiivistelmän epätarkkuus ja vakavan kyberuhan jääminen tunnistamatta ovat seurauksiltaan aivan eri asioita. Sama tekoälyn virheellinen oletus voi myös toistua useissa analyyseissä.
Hyväksyttävää virhetasoa pitäisi siis arvioida tehtävän ja organisaation hyväksymän riskitason perusteella. Alustavassa tiedonhaussa voidaan sallia enemmän epävarmuutta kuin analyysissä, jonka perusteella päätetään kiireellisistä suojaustoimista. Tätä varten tarvitaan selkeä hallintamalli, jossa sovitaan, mihin tekoälyä saa käyttää, miten sen tuottama tieto tarkistetaan ja kuka vastaa virheiden korjaamisesta. Virheet pitäisi löytää ennen kuin niiden perusteella toimitaan. Samalla on arvioitava, tekeekö tekoälyn käyttö työprosessista kokonaisuutena luotettavamman.
Sama koskee riskien hyväksymistä laajemmin. Tekoäly voi auttaa arvioimaan uhkaa ja mahdollisia toimenpiteitä, mutta organisaation on päätettävä, kuinka paljon riskiä se on valmis ottamaan. Esimerkiksi suojaustoimenpiteen lykkääminen voi olla tietoinen valinta, vaikka uhka olisi tunnistettu oikein. Tällaisen päätöksen perusteluiksi eivät riitä tekoälyn suositukset, vaan tarvitaan harkintaa kustannuksista ja mahdollisista seurauksista.
TURVALLISEN KÄYTÖN PITÄÄ TOIMIA ARJESSA
Tekoälyn haasteiksi nousivat datan laatu, asiayhteyden väärin ymmärtäminen ja hallusinaatiot eli uskottavilta näyttävät mutta virheelliset vastaukset. Esimerkiksi organisaatiossa käytetty lyhenne saattoi saada tekoälyn vastauksessa merkityksen aivan toisesta yhteydestä.
Tässä on käyttäjän kannalta hankala asetelma: tekoäly auttaa perehtymään vieraaseen aiheeseen, mutta juuri silloin sen virheitä voi olla vaikea tunnistaa. Selkeältä näyttävän vastauksen arvioimiseen tarvitaan tietoa, jota käyttäjällä ei välttämättä vielä ole.
Asiantuntemuksen merkitys säilyy siksi vahvana. Käyttäjän on ymmärrettävä, mitä hän kysyy, mihin vastaus perustuu ja sopiiko se käsillä olevaan tilanteeseen. Pelkkä työkalun käytön opettelu ei riitä.
Organisaation tehtävänä on tehdä hyväksyttyjen työkalujen käytöstä selkeää ja sujuvaa. Työntekijät voivat päätyä käyttämään muita tekoälypalveluja, jos organisaation omat työkalut eivät vastaa heidän tarpeitaan. Organisaation hyväksynnän tai valvonnan ulkopuolella tapahtuvaa käyttöä kutsutaan hallitsemattomaks tekoälyn käytöksi (shadow AI). Taustalla voi olla halu tehdä työ paremmin ja nopeammin. Samalla luottamuksellista tietoa voi kuitenkin päätyä palveluihin, joiden käyttöä organisaatio ei ole hyväksynyt. Siksi hyväksyttyjen työkalujen on vastattava työntekijöiden todellisiin tarpeisiin.
Tekoälyn käyttöä rajaavat myös sääntely ja tietosuoja. Työkalun hyödyllisyyden lisäksi on arvioitava, mitä tietoja sillä saa käsitellä ja miten sen käyttöä valvotaan. Organisaation pitää tietää, mihin tekoälyä käytetään, ja pystyä puuttumaan sen käyttöön tarvittaessa. Samalla hyväksyntäprosessien pitäisi toimia riittävän sujuvasti, jotta uusiin uhkiin voidaan reagoida ajoissa.
Painetta nopeuttaa tekoälyn hyödyntämistä lisää se, että myös hyökkääjät saavat siitä uusia mahdollisuuksia. Tekoäly madaltaa hyökkäysten tekemisen kynnystä ja auttaa laatimaan muun muassa kieliasultaan virheettömiä, vastaanottajalle räätälöityjä tietojenkalasteluviestejä. Hyökkääjien toimintaa eivät rajoita samanlaiset hyväksyntäprosessit kuin finanssialan organisaatioita. Organisaatioiden on siksi löydettävä käytännöt, joilla tekoälyä voidaan hyödyntää sekä turvallisesti että riittävän nopeasti.
Tekoälyn käyttötavat muuttuvat, mutta tiedon arviointi ja vastuu päätöksistä kuuluvat edelleen ihmiselle. Tekoälystä on eniten hyötyä silloin, kun nopeampi tiedonkäsittely jättää asiantuntijalle tilaa perehtymiselle ja harkinnalle. Päätöksentekijän pitää viime kädessä osata perustella päätöksensä ja tunnistaa, missä kohdassa tekoäly on voinut erehtyä.
Antti Kuisma
Vakuutustutkija, KTM (tietojärjestelmätiede)