Passin ja selfien takana uusi suoja-aita
Anthropic alkoi huhtikuun puolivälissä pyytää osalta Claude-käyttäjistä virallista henkilöllisyystodistusta ja live-selfien. The Register kertoi asiasta ensimmäisten joukossa 16.4.2026, ja yhtiön omat tukisivut vahvistivat muutoksen samalla viikolla. Käytännössä käyttäjälle saattaa ilmestyä kehote kesken istunnon: näytä passi, ajokortti tai kansallinen henkilökortti sekä ota itsestäsi elävä selfie. Kuvien ottamisesta vastaa Persona, yhdysvaltalainen KYC-infrapalvelun tarjoaja, jota käyttävät muun muassa pankit ja kryptopörssit.
Anthropic on nyt ensimmäinen iso tekoälytalo, joka vaatii osalta käyttäjistään valtion myöntämää henkilöpaperia ilman suoraa viranomaisvelvoitetta. OpenAI ja Google eivät ole seuranneet perässä.
Neljä syytä joutua tarkistukseen
Kehotusta ei saa jokainen. Anthropic kertoo tarkistavansa henkilöllisyyden neljässä tilanteessa: käyttöehtojen toistuva rikkominen, tietyt toiminnallisuudet, satunnaiset alustan eheystarkistukset sekä pääsyyritykset rajoitetuilta alueilta. Jälkimmäiseen listaan kuuluvat manner-Kiina, Venäjä ja Pohjois-Korea. Kiinalaiset käyttäjät, jotka ovat aiemmin päässeet Claudeen VPN:n kautta, jäävät nyt ilman tiliä, koska passin ja elävän kasvokuvan yhdistelmää on vaikea kiertää.
Itse tarkistus kestää Personan mukaan alle viisi minuuttia. Pelkkä skannaus, valokopio, oppilaskortti tai työntekijäkortti ei kelpaa. Kuvat tallennetaan Personan, ei Anthropicin, palvelimille. Yhtiö lupaa, ettei kerättyä dataa käytetä tekoälymallien koulutukseen ja että se jaetaan kolmansille osapuolille vain lainsäädännön niin vaatiessa. Säilytysajasta tukisivu kertoo vain, että data poistetaan asetettujen säilytysaikojen ja sovellettavan lain mukaisesti. Tarkkaa kuukausilukua ei kerrota.
“Henkilöllisyyden tarkistus auttaa meitä estämään väärinkäytöksiä, valvomaan käyttöehtoja ja noudattamaan lain vaatimuksia.”
Suomen tietosuojanäkökulma: biometrinen data on erityisryhmää
Suomalaiselle Claude-käyttäjälle muutos ei jää pelkäksi kuriositeetiksi. Kasvojen mittaaminen elävästä selfiestä on biometrista dataa, joka kuuluu EU:n yleisen tietosuoja-asetuksen erityisiin henkilötietoryhmiin. Tietosuojavaltuutettu Anu Talus, joka toimii samalla Euroopan tietosuojaneuvoston (EDPB) puheenjohtajana, on toistuvasti varoittanut biometristen järjestelmien ulkoistamisen riskeistä. EDPB:n ohjeistus 05/2022 edellyttää muun muassa tietosuojan vaikutustenarviointia ennen kasvojentunnistusjärjestelmän käyttöönottoa.
Tietosuojavaltuutetun toimisto ei ole toistaiseksi kommentoinut juuri Anthropicin päätöstä, mutta sen aiempien linjausten nojalla biometrisen tiedon käsittelylle pitää olla vahva oikeusperuste: nimenomainen suostumus, lakisääteinen velvoite tai yleinen etu. Pelkkä palvelun käyttöehto ei automaattisesti täytä suostumuksen vaatimusta, jos käyttäjällä ei ole aitoa vaihtoehtoa kieltäytyä. Käytännössä vaihtoehdot kutistuvat kahteen: hyväksy tarkistus tai vaihda kilpailijan palveluun.
Traficom valvoo tunnistusta, mutta ei Personaa
Suomessa vahvan sähköisen tunnistamisen palveluntarjoajat ovat Traficomin valvonnassa, ja niiden täytyy tehdä viranomaiselle kirjallinen ilmoitus toiminnasta. Persona ei kuitenkaan lukeudu Traficomin rekisteriin, koska Anthropicin toimenpide ei täytä laissa tarkoitettua vahvaa sähköistä tunnistusta vaan on KYC-tyyppinen lisätarkistus. Käytännössä suomalaiskäyttäjän kasvokuva matkaa siis palveluun, joka ei kuulu mihinkään kotimaiseen valvontarekisteriin.
Traficomin Kyberturvallisuuskeskuksen alkuvuoden raportissa tekoälyagenttien kyberturvallisuudesta nostettiin esiin juuri se, että tekoälypalveluiden lisäämä datakerroksen monimutkaisuus kasvattaa myös hyökkäyspintaa. Lokakuussa 2025 Discord menetti tietomurrossa noin 70 000 ikävarmistukseen toimitettua henkilöllisyystodistusta. Sama riski koskee myös KYC-kumppaneita, vaikka Persona itse on kokenut toimija rahoitusalalla.
