Lähes puolet yrityksistä on jo vuotanut dataa tekoälylle

David Pontoppidan pysähtyy yhden luvun kohdalle. SAP:n Pohjoismaiden ja Baltian Business AI -johtaja kommentoi tuoretta kyselytutkimusta, jonka mukaan alle puolella yrityksistä on minkäänlaista luetteloa niistä tekoälyagenteista, jotka pyörivät niiden omissa järjestelmissä. "On vaikea kuvitella, että sama pätisi työntekijöihin tai ulkoisiin konsultteihin", hän sanoo yhtiön tiedotteessa.

Sama kysely kertoo, että lähes puolet yrityksistä on jo kokenut tietovuodon, joka johtui tekoälyn luvattomasta käytöstä. Silti vain kolme prosenttia vastaajista pitää omaa yritystään täysin valmiina ottamaan tekoälyagentteja käyttöön. Investointien odotetaan nelinkertaistuvan kahdessa vuodessa.

Lukujen alkuperä kannattaa panna merkille heti. Kyse on raportista The Value of AI Report 2026, jonka Oxford Economics teki SAP:n tilauksesta ja jonka SAP itse julkaisee. Vastaajina oli 2 600 yritysjohtajaa 13 maasta. Riippumaton mittaus tämä ei siis ole, vaan yhtiön maksama tutkimus aiheesta, johon sama yhtiö myy ratkaisuja. Se ei tee luvuista automaattisesti virheellisiä, mutta lukijan on hyvä tietää, kuka laskun maksoi.

Sitaatit ovat SAP:n omasta suomenkielisestä tiedotteesta, eli yhtiön käännöksiä. Muita osapuolia tiedotteessa ei kuulu, eivätkä Oxford Economicsin tutkijat kommentoi siinä tuloksia omilla nimillään.

Mitä varjotekoäly tarkoittaa käytännössä

Luvaton tekoälykäyttö eli varjotekoäly tarkoittaa tilannetta, jossa työntekijä käyttää työssään palvelua, jota työnantaja ei ole hyväksynyt eikä tiedä käytettävän. Arjessa se näyttää vaatimattomalta. Myyjä kopioi pätkän asiakasrekisteristä ilmaiseen chatbottiin ja pyytää tiivistelmää seuraavaa tapaamista varten. Taloushallinnon assistentti liittää palkkataulukon selaimessa auki olevaan tekoälytyökaluun, koska se laskee summat nopeammin kuin hän itse.

Kumpikaan ei tee mitään pahantahtoista. Tiedot ovat silti siirtyneet yrityksen ulkopuolelle palvelimelle, jonka sijaintia, säilytysaikoja tai käyttöehtoja kukaan yrityksessä ei ole arvioinut. Jos palvelu käyttää syötteitä mallien opettamiseen, aineisto voi päätyä paikkoihin, joista sitä ei enää saa pois. Tätä mekanismia kyselyn tietovuotoluku kuvaa.

Agenttien myötä asetelma muuttuu astetta hankalammaksi. Chatbotti vastaa kysymykseen, agentti tekee tekoja: kirjoittaa tietokantaan, lähettää viestejä, hyväksyy tilauksia. Kun puolella yrityksistä ei ole lokia siitä, mitä agentti päätti ja millä perusteella, jälkikäteen ei ole mistään katsoa, missä kohtaa asia meni vinoon.

Digikärki ei näy hallinnassa

Pohjoismaita pidetään yleensä digitalisaation edelläkävijänä. Tiedotteen mukaan Pontoppidan ei näe selvää eroa Pohjoismaiden ja muun Euroopan välillä, kun kysymys on kyvystä integroida tekoäly liiketoimintaprosesseihin. Sen verran itsestäänselvänä pidetty etumatka siis kutistuu.

Väite kannattaa lukea tarkasti. Se ei koske sitä, kuinka paljon tekoälyä käytetään, vaan sitä, kuinka hyvin käyttö on kytketty yrityksen omiin prosesseihin, käyttöoikeuksiin ja valvontaan. Korkea käyttöaste ja ohut hallinta ovat kaksi eri asiaa, ja ensimmäinen voi tehdä toisesta kalliimman: mitä useampi työntekijä kokeilee työkaluja omin päin, sitä enemmän syntyy luetteloimatonta pintaa, josta tieto voi valua ulos.

Pontoppidan sanoo, että kaksi samaan malliin nojaavaa yritystä voi saada agenttipohjaisista työnkuluista hyvin erilaiset tulokset, eikä syy ole kehittäjien taidoissa. "Mielestäni tämä on strateginen keskustelu, jonka tulisi alkaa ylimmästä johdosta: Missä arvo luodaan, miten sitä mitataan ja mitä päätöksiä ei saa koskaan jättää agentin tehtäväksi?" hän sanoo tiedotteessa.

Hänen neuvonsa kulkee luontevasti SAP:n oman tuotevalikoiman suuntaan: älä rakenna erillistä tekoäly-ympäristöä liiketoiminnan viereen, vaan vie agentit järjestelmiin, jotka jo tuntevat yrityksen datan, roolit ja tarkastusjäljet. Myyntikulman voi lukea rivien välistä. Sisältö on kuitenkin sama, jonka tietoturva-ammattilaiset toistavat myyjästä riippumatta.

Miksi tämä koskee muitakin kuin it-osastoa

Tavallisen ihmisen kannalta kysymys on siitä, kuka on nähnyt hänen tietonsa. Terveystiedot, luottopäätöksen perustelut, työhakemus, asiakaspalvelukeskustelu: kaikki tämä kulkee järjestelmien läpi, joissa voi nykyään olla agentti tekemässä osan päätöksistä. Jos yritys ei tiedä, mitkä agentit sen järjestelmissä toimivat, se ei myöskään kykene vastaamaan kysymykseen, minne tiedot menivät. Asiakas saa vastauksen vasta silloin, kun vuoto on jo tapahtunut.

Euroopassa asialla on suora oikeudellinen puoli. Tietosuoja-asetus edellyttää, että yritys tietää, missä ja millä perusteella henkilötietoja käsitellään, ja pystyy myös osoittamaan sen. EU:n tekoälyasetuksen velvoitteet ovat astuneet voimaan portaittain, ja niissäkin dokumentointi ja jäljitettävyys ovat keskiössä. Puuttuva lokitus ei siis ole pelkkä tekninen puute vaan mahdollinen näyttöongelma valvojan edessä.

Rahaa liikkuu joka tapauksessa. Raportin mukaan yritykset odottavat tekoälysijoituksilleen tänä vuonna keskimäärin 21 prosentin tuottoa, kun vuotta aiemmin odotus oli 16 prosenttia, ja keskimääräinen investointi on 28 miljoonaa dollaria. Samaan aikaan 79 prosenttia vastaajista kertoo kohtaavansa säännöllisesti heikkolaatuisia tekoälytuloksia, jotka aiheuttavat ylimääräistä työtä, ja 73 prosenttia nimeää datan laadun tärkeimmäksi syyksi siihen, että tekoälystä saatava hyöty jää odotettua pienemmäksi.

Kolmen prosentin luku on kiinnostava vielä yhdestä syystä: se on johtajien oma arvio itsestään. Harva aliarvioi omaa valmiuttaan vapaaehtoisesti. Jos vain kolme sadasta uskaltaa sanoa olevansa valmis ja investointien silti odotetaan nelinkertaistuvan kahdessa vuodessa, kuilu ei todennäköisesti umpeudu pelkästään hallintaa parantamalla. Osa siitä umpeutuu sillä, että valmiuden mittapuuta lasketaan hiljaa alaspäin.