CyberCoach is a security awareness, privacy and AI skills training platform that runs inside Microsoft Teams, Slack or a web browser. Employees practice role-based skills such as responding to social engineering, ethical and productive use of AI and even secure coding skills in short conversational scenarios. Learning is anonymous, while successful completions are stored so the organization can evidence training completion for compliance frameworks such as ISO/IEC 27001 and SOC 2.

Does CyberCoach do phishing tests?

Yes, but not by sending deceptive emails to employees. CyberCoach uses conversational phishing challenges in which employees practice recognizing and responding to social engineering scenarios in Teams, Slack or the browser. Peer-reviewed research, including Lain et al. (ETH Zurich, 2022 and 2024), finds that traditional email-based simulated phishing does not reduce risk and can increase misplaced trust in the inbox.

Are individual employee answers visible to managers?

No. Learning is anonymous: how an employee answered a training scenario is never visible to managers or administrators. What is recorded is successful completion, so the organization can evidence who has completed required training for compliance purposes. This is privacy by design: the sensitive part of the interaction stays private, and only the completion fact is retained.

Can CyberCoach be used without sharing personal data?

Yes. CyberCoach can be deployed using pseudonymous identifiers, such as Slack or Microsoft UUIDs, so no personal data is shared with CyberCoach. Compliance reporting still works: the mapping between a UUID and a real person is resolved only for authenticated and authorized administrators within the customer's own organization.

Which compliance requirements does CyberCoach support?

CyberCoach supports security awareness and secure development training requirements under ISO/IEC 27001 and SOC 2, and includes assessments covering ISO 27001, GDPR and AI compliance on the Complete plan.

Which languages does CyberCoach support?

CyberCoach is available in English, Spanish, Portuguese (Brazil), Portuguese (Portugal), Polish, French, Dutch, German, Swedish, Norwegian, Danish and Finnish, with more languages in development.

How much does CyberCoach cost?

Plans start at 49 EUR per month for Starter, 159 EUR per month for Advanced and 179 EUR per month for Complete, available monthly or yearly, including through the Microsoft Azure Marketplace.

Is simulated phishing legal in the EU?

There is no prohibition on simulated phishing as such and it has not been ruled unlawful. The GDPR requires a valid legal basis for the employee personal data it generates, together with transparency, proportionate design, a defined retention period and, where national law requires, employee representative involvement. For a private employer the realistic basis is legitimate interest under Article 6(1)(f), which must be documented and kept current. This is general information, not legal advice.

Can an employer rely on employee consent for phishing simulations?

Usually it is a difficult basis to rely on. EDPB and Article 29 Working Party guidance treats employee consent as presumptively not freely given because of the imbalance of power in the employment relationship, and consent that cannot be refused without consequence would not qualify. A few member states appear to have legislated specifically: Germany's Federal Data Protection Act Section 26(2) is generally read as permitting employee consent under stated conditions, and Danish commentary describes the Danish position as more permissive than the default, while Finnish and Portuguese provisions are reported as narrowing or excluding it. Most member states have no specific rule either way. These are secondhand characterizations offered for orientation only, and local counsel should confirm the position for each country in scope.

Are per-employee phishing risk scores profiling under the GDPR?

Yes, on the ordinary reading of Article 4(4) GDPR. A score derived from automated evaluation of an employee's behavior, used to predict future reliability and to target them with further processing, is profiling. That triggers heightened transparency duties under Articles 13 and 14, an Article 21 right to object where legitimate interest is the basis, and a likely data protection impact assessment obligation under Article 35.

Does research showing phishing simulations are ineffective affect the legal basis?

It can, because necessity and balancing under Article 6(1)(f) are factual judgments rather than fixed legal conclusions. Necessity requires that the processing actually achieve its purpose and that no less intrusive means would suffice. Where independent peer-reviewed studies report little or no durable benefit and documented costs to trust and incident reporting, a controller relying on legitimate interest carries a heavier evidential burden than when the benefit was assumed.

Do ISO 27001, SOC 2, NIS2 or DORA require phishing simulations?

No. These frameworks require awareness, education and training, and testing of security controls. None prescribes deceptive simulation of named individuals and none requires retaining per-person failure records. An obligation to train is not an obligation to deceive and score, which is why Article 6(1)(c) legal obligation does not carry this processing.

Does the EU AI Act apply to security awareness platforms?

It may. Annex III of Regulation (EU) 2024/1689 treats AI systems intended to monitor or evaluate the behavior or performance of workers as high risk, and obligations for those systems became applicable on 2 August 2026. Whether a particular susceptibility-scoring engine falls inside that classification depends on its intended purpose, so deployers should obtain a written position from the provider, since deployer duties including human oversight and worker information can follow.

Can employees request their phishing simulation results?

Yes. Individual results and derived risk scores are personal data and fall within the Article 15 right of access, alongside information about purposes, recipients and retention and, where profiling is involved, meaningful information about the logic. Employees may also object under Article 21 where the basis is legitimate interest.

Can security awareness training be delivered without processing personal data?

Largely yes. If learning interactions are anonymous and only successful completion is recorded, there is no per-person performance record to justify, disclose or defend. Deployment on pseudonymous identifiers such as Microsoft UUIDs can mean the vendor never receives personal data, while the customer's own authenticated and authorized administrators retain the mapping needed for compliance reporting.

Analyysi

Miten GDPR tulee huomioida tekoälypohjaisissa kalastelusimulaatioissa?

Inhimillisten tietoturvariskien hallintaan tarkoitetut alustat (human risk management) profiloivat työntekijöitä: ne lähettävät työntekijälle räätälöityjä simuloituja hyökkäyksiä, tallentavat tiedot epäonnistumisista ja laskevat jopa henkilökohtaisia riskipisteitä, joiden perusteella toimenpiteitä kohdennetaan automaattisesti. Yleisen tietosuoja-asetuksen (GDPR) mukaan tämä on työntekijöiden henkilötietoihin perustuvaa profilointia, joka edellyttää 6 artiklan mukaista oikeusperustetta. Käytännössä useimpien eurooppalaisten työnantajien ainoa mahdollinen käsittelyperuste on oikeutettu etu. Sen käyttö puolestaan edellyttää, että käsittely on aidosti tarpeen ilmoitetun tarkoituksen toteuttamiseksi. Tämän perusteen yhä useampi vertaisarvioitu tutkimus nyt kyseenalaistaa.

Tällä sivulla asiaa tarkastellaan tekoälypohjaista kalastelusimulaatioalustaa ostavan organisaation näkökulmasta: mitä tietoja käsitellään, mitkä käsittelyperusteet soveltuvat, miten tarpeellisuuden ja tasapainon arvioinnissa tulisi huomioida sekä mitä lisävaatimuksia EU:n tekoälysäädös on tuonut 2.8.2026 alkaen.

Ei oikeudellista neuvontaa

Tämä artikkeli tarjoaa yhden kaupallisen toimijan näkökannan tietoturvan ja tietosuojan ammattilaisille. Artikkeli ei ole oikeudellista neuvontaa, eikä synnytä asianajajan ja asiakkaan välistä toimeksiantosuhdetta. Artikkeli ei ota huomioon toimialaasi, sovellettavaa kansallista lainsäädäntöä, työehtosopimuksiasi tai muita toimintaasi mahdollisesti soveltuvia vaatimuksia. Tietosuojalainsäädäntöä sovelletaan kansallisesti, ja sen tulkinnat kehittyvät. Pyydä aina neuvoa pätevältä paikallisen lainsäädännön tuntevalta juristilta kun teet päätöksiä työntekijöiden henkilötietojen käsittelystä.

Keskeiset johtopäätökset

Yksilölle kohdennetut kalastelusimulaatiot vaativat yleisen tietosuoja-asetuksen 4 artiklan 4 kohdassa tarkoitettua profilointia: siinä arvioidaan henkilön käyttäytymistä ja pisteytyksen avulla ennakoidaan hänen tulevaa käyttäytymistään.

Useimmissa Euroopan maissa yksityisen työnantajan ainoa käytännössä mahdollinen oikeusperuste 6 artiklan kuudesta vaihtoehdosta on oikeutettu etu. Suostumus ei yleensä ole työsuhteessa pätevä, mikään laki ei edellytä kalastelusimulaatioita, eivätkä ne ole tarpeen työsopimuksen täytäntöön panemiseksi.

Oikeutetun edun käyttö edellyttää kolmen ehdon täyttymistä: tarkoitus on oikeutettu, käsittely on tarpeen, eivätkä työntekijän oikeudet syrjäytä tavoiteltua etua. Koska tutkimusnäyttö enenevässä määrin haastaa kalastelusimulaatioiden toimivuuden kalasteluriskin hallinnassa, täytyy hankkivan organisaation itse perustella, miksi palvelu on edelleen organisaation edun mukainen.

Neljän vertaisarvioidun tutkimuksen yhteensä noin 36 000 työntekijää kattavat tulokset osoittavat, että harhauttamiseen perustuvat simulaatiot tuottivat vain vähän tai eivät lainkaan pysyvää parannusta. Tulokset viittaavat jopa mitattaviin haittoihin.

Jos vähemmällä henkilötiedolla, kuten CyberCoachilla, saavutetaan sama tarkoitus, tarpeellisuuden edellytys ei vakiintuneen tietosuojaoikeudellisen päättelyn mukaan täyty – riippumatta siitä, kuinka yleiseksi korkeamman tietosuojariskin menetelmä on markkinoilla vakiintunut.

Riskipisteytys, jotka johtavat seurauksiin ilman ihmisen osallistumista, herättävät kysymyksiä 22 artiklan soveltumisesta. Työntekijöiden arviointiin käytettävät tekoälyjärjestelmät kuuluvat puolestaan EU:n tekoälysäädöksen suuririskisten järjestelmien luokkaan.

Mitä tietoja kalastelusimulaatioalustat todellisuudessa käsittelevät?

Ennen käsittelyperusteen arviointia kalastelusimulaatioalustaa ostavan organisaation on kuvattava henkilötietojen käsittely. Nykyaikainen henkilöstön tietoturvariskien hallinta-alusta sisältää tyypillisesti seuraavia tietoja kustakin nimetystä työntekijästä:

Henkilö- ja organisaatiotiedot: nimi, työsähköpostiosoite, osasto, esihenkilö, sijainti ja tehtävä

Käyttäytymistä kuvaavat tapahtumatiedot: mitkä simuloidut viestit avattiin, mitä klikattiin, mihin vastattiin, mistä ilmoitettiin ja mitkä jätettiin huomiotta – aikaleimoineen

Johdetut pisteet: henkilökohtainen riskiä tai alttiutta kuvaava arvo, jonka kehitystä usein seurataan ajan mittaan ja verrataan työtovereiden tuloksiin

Automaattiset kohdentamispäätökset: millaisen houkuttimen, vaikeustason tai korjaavan lisäkoulutuksen henkilö saa seuraavaksi aiemman toimintansa perusteella

Yhdistäminen uhkatietoihin: joissakin tuotteissa ajantasaisista sähköpostiturvallisuuden tiedoista selvitetään, kohdistuuko henkilöön ulkopuolisia hyökkäyksiä

Tulosten näkyvyys johdolle: raportointinäkymät, joissa yksilökohtaiset tulokset näkyvät lähiesihenkilöille, henkilöstöhallinnolle tai molemmille

Oikeudellisessa arvioinnissa olennaista on, miten tiedot kerätään ja mitä niiden perusteella päätellään. Työntekijä ei anna tietoja tietoisesti ja vapaaehtoisesti, vaan työnantaja kerää niitä johtamalla häntä tarkoituksella harhaan. Kyse ei myöskään ole vain tapahtumien kirjaamisesta, vaan työntekijän toimintaa käytetään hänen osaamisensa arviointiin. Tällainen arvio voi vaikuttaa hänen asemaansa työpaikalla, mikä antaa hänelle painavan syyn vastustaa tietojensa käsittelyä.

Onko työntekijöiden seuranta kalastelusimulaatioissa profilointia?

Human risk management -nimellä markkinoituja järjestelmiä myydään nimenomaan sillä, että ne mittaavat ja ennakoivat jokaisen työntekijän toimintaa. Yleisen tietosuoja-asetuksen 4 artiklan 4 kohdan mukaan profiloinnista on kyse, kun henkilötietoja käsitellään automaattisesti esimerkiksi henkilön työsuorituksen, luotettavuuden tai käyttäytymisen arvioimiseksi. Kun järjestelmä seuraa, miten työntekijä reagoi simuloituun hyökkäykseen, laskee hänelle tämän perusteella riskipisteytyksen tai riskiluokituksen, ja mukauttaa seuraavia simulaatioita tämän perusteella, kyse on todennäköisesti juuri tällaisesta profiloinnista.

Tästä seuraa olennaisia velvoitteita: profilointi on sallittua, mutta se korostaa läpinäkyvyyden vaatimuksia. Artiklat 13–14 edellyttävät työntekijöille viestintää tietoja käsittelyyn liittyvästä logiikasta. Profilointi vahvistaa myös työntekijän 21 artiklan mukaista vastustamisoikeutta silloin, kun oikeusperusteena on oikeutettu etu. Lisäksi tietosuojaa koskeva vaikutustenarviointi on todennäköisesti tarpeen 35 artiklan 3 kohdan a alakohdan nojalla, jos profilointi on järjestelmällistä ja kattavaa ja sen perusteella tehdään päätöksiä (esim. simulaatioiden tason muutos).

Neljä mahdollista oikeusperustetta tarkastelussa

Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetään kuudesta henkilötiedon käsittelyperusteesta. Niistä kaksi – elintärkeiden etujen suojaaminen ja yleisen edun vuoksi toteutettavan tehtävän suorittaminen – eivät sovellu tavallisen yksityisen työnantajan tietoturvakoulutusohjelmaan. Jäljelle jää neljä tarkasteltavaa vaihtoehtoa.

Suostumus – 6 artiklan 1 kohdan a alakohta

Ei yleensä sovellu

Suostumuksen on oltava vapaaehtoinen. Eurooppalaiset valvontaviranomaiset ovat johdonmukaisesti katsoneet, että työntekijän on harvoin aidosti mahdollista kieltäytyä työnantajan pyynnöstä, koska työsuhteessa vallitsee valta-aseman epätasapaino. Tätä kantaa käsitellään 29 artiklan mukaisen tietosuojatyöryhmän lausunnossa henkilötietojen käsittelystä työssä ja Euroopan tietosuojaneuvoston (EDPB) suostumusta koskevissa ohjeissa. Suostumus ei ole pätevä, jos sitä ei voi peruuttaa ilman kielteisiä seurauksia.

Harhauttamiseen perustuvissa simulaatioissa on myös erityinen rakenteellinen ongelma: tiettyyn testiin etukäteen annettu tietoon perustuva suostumus tekee tyhjäksi testin tarkoituksen. Ohjelmasta voidaan toki kertoa yleisellä tasolla. Jos osallistumisesta tehdään aidosti vapaaehtoista ja siitä voi helposti kieltäytyä, eivät vapaaehtoiset enää välttämättä olekaan sitä kohderyhmää, joka harjoittelua tarvitsisi.

Lakisääteinen velvoite – 6 artiklan 1 kohdan c alakohta

Ei sovellu

Tämä oikeusperuste edellyttää lakisääteistä velvoitetta kyseiseen käsittelyyn. Mikään eurooppalainen säädös ei edellytä, että työnantaja lähettää henkilöstölleen harhauttavia viestejä tai riskiluokittelee työntekijöitä. NIS 2 -direktiivi edellyttää kyberhygieniakäytäntöjä sekä johdon ja henkilöstön tietoturvakoulutusta. Tietoturvan standardit sekä toimialakohtaiset regulaatiot (kuten ISO/IEC 27001, SOC 2 ja DORA) edellyttävät toki tietoturvatietoisuuden lisäämistä, mutta velvollisuus kouluttaa ei ole velvollisuus harhauttaa ja pisteyttää. Todiste koulutuksen suorittamisesta riittää auditoijalle. Työntekijöiden riskiluokittelu kalastelualttiuden perusteella on työnantajan oma valinta, joka sen on perusteltava erikseen.

Sopimuksen täytäntöön paneminen – 6 artiklan 1 kohdan b alakohta

Ei sovellu

Tätä oikeusperustetta tulkitaan suppeasti: käsittelyn on oltava objektiivisesti tarpeen sopimuksen täytäntöön panemiseksi. 6 artiklan 1 kohdan b alakohdan soveltamisohjeissa on johdonmukaisesti korostettu, että kyse on itse sopimuksen kannalta objektiivisesta tarpeesta, ei siitä, mikä on rekisterinpitäjälle kätevää. Voi olla vaikea perustella, miksi työsopimuksen täytäntöön paneminen edellyttäisi työntekijöiden harhauttamista ja testaamista, jotta työnantaja voisi maksaa palkkaa ja tarjota työtä.

Oikeutettu etu – 6 artiklan 1 kohdan f alakohta

YLEISIN oikeusperuste

Käytännössä tämä on ainoa soveltuva oikeusperuste, ja siihen viitataan useimpien toimittajien dokumentaatiossa. Se on myös ainoa oikeusperuste, jonka käyttö edellyttää työnantajalta jatkuvaa arviointia. Siksi kertyvä tutkimusnäyttö muuttaa tilannetta.

Lisähuomio 9 artiklasta: tietoturvakoulutusohjelmissa ei ole tarkoitus käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja. Niitä voi kuitenkin tulla käsiteltäväksi tahattomasti esimerkiksi avointen vastausten, vammaisuuteen liittyvien saavutettavuustarpeiden tai terveysaiheisten kalasteluviestien kautta. Myös tämä on otettava huomioon tietosuojan vaikutustenarvioinnissa.

Yleisen tietosuoja-asetuksen 88 artikla antaa jäsenvaltioille mahdollisuuden antaa työsuhteessa tapahtuvaa henkilötietojen käsittelyä koskevia säännöksiä. Muutamat maat ovat säätäneet erikseen työntekijän suostumuksesta. Tuloksena on hajanainen kokonaisuus, jonka tulkinnat ovat asiantuntijoidenkin mukaan kiistanalaisia. Alla olevat tiivistelmät on tarkoitettu juristin kanssa käytävän keskustelun tueksi, eivät lakineuvonnaksi.

Suomi – työelämän tietosuoja säädelty erikseen

Suomessa työelämän tietosuoja lähtee siitä, ettei työntekijän henkilötietojen käsittelyn tarpeellisuusvaatimuksesta voida poiketa edes suostumuksella. Tämän tulkinnan mukaan suostumus ei olisi käytettävissä yleisenä oikeusperusteena riippumatta siitä, miten se hankitaan.

Tanska – sallivampi malli

Tanskassa yleistä tietosuoja-asetusta täydentävä kansallinen laki jättää työntekijän suostumukselle enemmän tilaa kuin muualla Euroopassa. Tämän lain mahdollinen soveltamisala vaikuttaa tosin kapealta: henkilötiedon käsittely, josta työntekijä voi aidosti kieltäytyä ilman haittaa. Esimerkkinä voisi olla vapaaehtoiseen työsuhde-etuun liittyvä henkilötiedon käsittely. Soveltuuko suostumus käsittelyperusteeksi kalastelusimulaatioille kannattaa arvioida huolella.

Saksa – sallivampi malli

Saksan liittovaltion tietosuojalain (BDSG) 26 §:n 2 momentin tulkitaan yleensä mahdollistavan työntekijän suostumuksen käyttämisen. Säännös kuvaa tilanteita, joiden katsotaan osoittavan suostumuksen vapaaehtoisuutta: työntekijälle koituva oikeudellinen tai taloudellinen etu taikka työnantajan ja työntekijän yhteinen intressi. Suostumuksen tulee olla kirjallinen.

Portugali – kuvattu Saksan mallin vastakohdaksi

Portugalin lainsäädännössä suostumus suljetaan pois silloin, kun käsittelystä koituu työntekijälle taloudellista tai oikeudellista etua. Tämä on lähes vastakohta Saksan linjalle, jossa työntekijän etu tulkitaan osoituksena suostumuksen vapaaehtoisuudesta.

Useimmat jäsenvaltiot – ei erityissäännöstä kumpaankaan suuntaan

Valtaosa jäsenvaltioista työntekijän suostumusta pidetään lähtökohtaisesti muuna kuin vapaaehtoisena valta-aseman epätasapainon vuoksi.

Suostumus ei ratkaise toteutustavan ongelmallisuutta

Oikeudellinen kysymys käsittelyperusteesta on myös rakenteellinen ongelma: kalastelusimulaatiotestaukselle annettu suostumus saattaa poistaa testauksen mahdolliset hyödyt. Jos ohjelmasta voi aidosti kieltäytyä, siitä kieltäytyvät todennäköisemmin ne, jotka ovat eniten alttiita kalastelulle. Suostumukseen perustuva toteutus on myös heikoimmin siirrettävissä maasta toiseen, mikä tuo lisähaastetta kansainvälisille organisaatioille.

Kaikki tässä osiossa esitetyt kansallisen lainsäädännön kuvaukset perustuvat toissijaisiin lähteisiin – myös silloin, kun mainitsemme tietyn säännöksen. Paikalliseen työoikeuteen ja tietosuojaan perehtyneen juristin on varmistettava tilanne jokaisessa koulutusohjelman piiriin kuuluvassa maassa ennen hankintaa. Sääntelyn hajanaisuus itsessään puoltaa CyberCoachin tarjoamaa käytännön harjoittelua, jossa työntekijöitä ei profiloida ja työntekijä saa psykologisesti turvallisesti itse valita haasteiden vaikeustason.

Oikeutetun edun arviointi – onko uudella tutkimusnäytöllä merkitystä?

Oikeutettu etu edellyttää kolmen ehdon täyttymistä. Euroopan tietosuojaneuvosto esitti tämän rakenteen 6 artiklan 1 kohdan f alakohtaa koskevissa ohjeissaan 1/2024. Unionin tuomioistuin sovelsi samaa päättelyä asiassa KNLTB (C-621/22, lokakuu 2024): rekisterinpitäjän tavoittelema etu ei muutu oikeutetuksi pelkästään siksi, että se on kaupallisesti todellinen.

Ehto 1 – oikeutettu etu

Täyttyy yleensä

Organisaation suojaaminen sosiaaliselta manipuloinnilta (social engineering) on oikeutettu etu. Yleisen tietosuoja-asetuksen johdanto-osan 49 kappaleessa verkko- ja tietoturvallisuus tunnustetaan nimenomaisesti tällaiseksi eduksi.

Ehto 2 – tarpeellisuus

Vaikuttavuustutkimus kohdistuu juuri tähän

Tarpeellisuuden arvioinnissa kysytään kahta asiaa: saavutetaanko tällä käsittelyllä todella ilmoitettu tarkoitus? Ja onko olemassa yksityisyyteen vähemmän puuttuva tapa saavuttaa se? Jos ensimmäiseen kysymykseen vastataan ei tai jälkimmäiseen kyllä, oikeusperuste ei täyty. Molemmat vastaukset perustuvat havaintoaineistoon, eivät pelkkään oikeudelliseen tulkintaan.

Juuri tässä on tapahtunut olennainen muutos. Vuosikymmenen ajan väite "lähetämme simuloituja kalasteluviestejä ja pisteytämme työntekijöitä, koska se vähentää riskiä" oli testaamaton mutta uskottava. Nyt kyse on kiistanalaisesta empiirisestä väitteestä, ja rekisterinpitäjän on esitettävä sille näyttö.

Ehto 3 – etujen punninta

Sama tutkimusnäyttö heikentää perusteluja

Punninnassa tavoiteltua organisaation etua verrataan rekisteröidyn oikeuksiin, vapauksiin ja kohtuullisiin odotuksiin. Työsuhteen valta-aseman epätasapainon takia turvallisuushyödyn pitäisi olla vaakakupin painavampi puoli. Jos hyöty on vähäinen tai sitä ei ole osoitettu, samaa yksityisyyteen puuttumista vastassa on vähemmän painavia perusteita. Näyttö luottamukselle ja ilmoittamishalukkuudelle aiheutuvista haitoista puolestaan lisää painoa työntekijän puolelle, eikä vain vähennä sitä työnantajan puolelta.

Tästä seuraa suora vaatimus dokumentoinnille: vuonna 2019 laadittu oikeutettua etua koskeva arviointi, jota ei ole sen jälkeen tarkistettu, ei välttämättä riitä vuonna 2026. Etujen punninta perustuu tosiseikkoihin. Kalastelusimulaatioiden vaikuttavuudesta alkaa nyt kertyä riittävästi empiiristä ja riippumatonta tutkimustietoa, jonka julkaisijoina eivät ole palveluntarjoajat itse.

Mitä vertaisarvioitu tutkimusnäyttö kertoo?
Viime vuosina (2022–2026) julkaistuissa laajoissa tutkimuksissa tarkastellaan, tuottavatko harhauttamiseen perustuvat simulaatiot sen suojaavan hyödyn, jolla niitä perustellaan. Tutkimukset kattavat yhteensä noin 36 000 työntekijää todellisissa organisaatioissa. Tutkimuksia on avattu kattavammin täällä.

14 733 työntekijää · 15 kuukautta · IEEE Security & Privacy 2022

Epäonnistuneet ja koulutukseen ohjatut työntekijät klikkasivat myöhemmin enemmän

Lain, Kostiainen ja Capkun havaitsivat, että epäonnistumisen jälkeen näytettävä koulutussivu oli yhteydessä myöhemmän toiminnan heikkenemiseen, ei paranemiseen.

4 554 työntekijää · ACM CCS 2024

Muistutus vaikutti, ei sisältö – eikä pakollinen lisäkoulutus tuonut lisähyötyä

Lain ja hänen kollegansa havaitsivat, että parannukset johtuivat lähinnä jatkuvan ohjelman toistuvasta muistutuksesta, eivät itse simulaatiosta tai sen jälkeen pakotetusta koulutusmateriaalista. Toistuvasti epäonnistuneiden velvoittamisesta lisäkoulutukseen ei havaittu mitattavaa hyötyä.

USENIX Security 2023

Todennettuja haittoja luottamukselle, kulttuurille ja ilmoittamiselle

Brünken, Buckmann, Hielscher ja Sasse kartoittivat kalastelusimulaatioiden piilokustannuksia, kuten haittoja työntekijän ja työnantajan väliselle suhteelle sekä halukkuudelle ilmoittaa todellisista poikkeamista. Tällä tavalla kalastelusimulaatioista saattaa aiheutua haittaa molemmille osapuolille: työnantajalle riski siitä etteivät työntekijät raportoi mahdollisia häiriötilanteita, ja työntekijälle tietosuojariski.

12 511 työntekijää · ACM Web Conference 2026

Klikkausprosentit heijastivat houkuttimen vaikeutta, eivät työntekijöiden osaamista

Rozema ja Davis eivät havainneet kalastelusimulaatioiden parantavan merkittävästi kykyä tunnistaa kalastelua. Klikkausprosentti vaihteli vain houkuttimen vaikeuden mukaan: helposti tunnistettavissa viesteissä se oli 7 % ja vaikeasti tunnistettavissa 15 %. Tämä herättää kysymyksen itse pisteytyksen pätevyydestä. Jos luku mittaa pääasiassa valitun testin vaikeutta, siihen perustuva työntekijöiden keskinäinen järjestys ei mittaa sitä, mitä simulaatioalustan oli tarkoitus mitata. Tällaiselle riskianalyysille työntekijöistä tulee olla vahva perusta.

Tutkimukset koskevat rajallista määrää organisaatioita. Tarpeellisuuden osoittaminen edellyttää rekisterinpitäjältä näyttöä, ja saatavilla oleva riippumaton tutkimusnäyttö viittaa tällä hetkellä päinvastaiseen suuntaan.

Google on kertonut julkisesti, ettei se teetä henkilöstöllään kalastelutestejä, koska niiden luottamukselle aiheuttamat haitat ovat hyötyjä suuremmat. Yhä useammat tunnetut organisaatiot ovat luopumassa jatkuvasta kalastelutestaamisesta.

Johtaako riskipisteytys 22 artiklan soveltamiseen?

Artikla 22 rajoittaa pelkästään automaattiseen käsittelyyn perustuvia päätöksiä, joilla on henkilöä koskevia oikeusvaikutuksia tai jotka vaikuttavat häneen vastaavalla tavalla merkittävästi. Pisteytys, jonka perusteella luodaan seuraava simuloitu sähköposti, tuskin ylittää tätä kynnystä. Tilanne on toinen, jos pisteet automaattisesti rajoittavat henkilön käyttöoikeuksia, määräävät hänet pakolliseen korjaavaan lisäkoulutukseen, nostavat hänet henkilöstöhallinnon huomion kohteeksi tai vaikuttavat suoriutumista koskevaan keskusteluun. Unionin tuomioistuimen tuomio asiassa SCHUFA (C-634/21) osoittaa, että jo pisteiden muodostaminen voi itsessään olla päätös, jos niitä myöhemmin hyödyntävä toimija ennakoitavasti toimii niiden mukaisesti.

Tietosuojavastaavan olennainen kysymys ei ole "kutsuuko toimittaja tätä päätökseksi", vaan "mitä henkilölle tapahtuu, kun hänen riskipisteensä nousevat, ja osallistuuko ihminen aidosti asian arviointiin ennen seurauksia?"

Myös seuraava velvoite on syytä huomioida: kaikki työntekijäkohtaiset tiedot, mukaan lukien johdetut riskipisteet, kuuluvat pyyntöön saada pääsy omiin henkilötietoihin. Työntekijöillä on oikeus tietää sijoituksensa kalastelualttiuden vertailussa, pisteytyksen taustalla oleva logiikka ja se, ketkä ovat nähneet tiedot.

Mitä lisävaatimuksia EU:n tekoälysäädös tuo?

Tekoälysäädöstä sovelletaan yleisen tietosuoja-asetuksen rinnalla, ei sen sijaan. Tekoälyä hyödyntävien tietoturvakoulutusalustojen kannalta kaksi osa-aluetta ovat suoraan merkityksellisiä.

Työelämän suuririskiset käyttötapaukset

Liitteessä III suuririskisiksi luokitellaan tekoälyjärjestelmät, jotka on tarkoitettu työntekijöiden käyttäytymisen tai työsuorituksen seurantaan tai arviointiin. Se, kuuluuko kalastelualttiutta pisteyttävä järjestelmä tähän luokkaan, riippuu sen käyttötarkoituksesta. Toimittajan pitäisi pystyä vastaamaan kysymykseen kirjallisesti.

Itsenäisten, liitteen III mukaisten suuririskisten tekoälyjärjestelmien velvoitteiden soveltamisen alkamispäivä siirrettiin 2.8.2026:sta päivään 2.12.2027 asetuksella (EU) 2026/1744, eli tekoälyä koskevalla digitaalialan koontiasetuksella (Digital Omnibus on AI). Kahden velvoitteen aikataulu ei muuttunut: 50 artiklan avoimuusvelvoitteet ja 4 artiklan tekoälylukutaitoa koskeva velvoite noudattavat alkuperäistä aikataulua. Lisäksi 5 artiklan kieltoa päätellä tunteita työpaikoilla on sovellettu helmikuusta 2025 lähtien.

Kielletyt käytännöt

Artikla 5 kieltää tunteiden päättelemisen työpaikoilla sekä sellaisen sosiaalisen pisteytyksen, joka johtaa haitalliseen tai epäedulliseen kohteluun asiaan liittymättömissä yhteyksissä. Tavanomaisia tietoturvakoulutusalustoja ei ole suunniteltu kumpaankaan tarkoitukseen. Kiellot on silti syytä nostaa esiin: kun toimittajat lisäävät osallistumisen, tunnetilan ja käyttäytymisen ohjaamisen ominaisuuksia, rajanvetoa kannattaa seurata ja siitä kysyä – ei vain olettaa kaiken olevan sallittua.

Tietoturvajohdon on syytä hahmottaa velvoitteiden yhteisvaikutus. Toimenpide, jonka tarpeellisuus on kiistanalainen yleisen tietosuoja-asetuksen kannalta, jonka täsmällisyyden tutkimus kyseenalaistaa ja joka saattaa kuulua tekoälysäädöksen suuririskisten järjestelmien luokkaan, tuo mukanaan kolme erillistä dokumentointitaakkaa. Toimintatapa, joka tarjoaa yksilöllistä ja vaikuttavaa käytännön koulutusta mutta ei koskaan profiloi yksilöitä, ei tuo niistä yhtäkään.

Yritysneuvostot ja kansallinen työlainsäädäntö

Artikla 88 antaa jäsenvaltioille mahdollisuuden säätää erikseen työsuhteessa tapahtuvasta henkilötietojen käsittelystä, ja useat ovat tehneet niin. Yleisen tietosuoja-asetuksen noudattaminen on siis välttämätöntä, mutta ei yksin riitä.

Saksassa tekniset järjestelmät, joilla voidaan seurata työntekijöiden työsuoritusta tai käyttäytymistä, edellyttävät tavallisesti yritysneuvoston osallistumista yhteispäätöksentekoon yritysten yhteistoimintaa koskevan lain (Betriebsverfassungsgesetz) nojalla. Tämä voi estää käyttöönoton riippumatta valitusta oikeusperusteesta.

Alankomaissa, Ranskassa ja Pohjoismaissa yleisen tietosuoja-asetuksen rinnalla sovelletaan henkilöstön edustajien kuulemista koskevia velvoitteita sekä kansallisten tietosuojaviranomaisten työpaikkavalvontaa koskevia ohjeita.

Mitä on dokumentoitava valitusta toimintatavasta riippumatta?

Tämä lista on tarkoituksella neutraali. Organisaatio, joka käy sen läpi ja päättää jatkaa harhauttamiseen perustuvia simulaatioita, on huomattavasti vahvemmassa asemassa kuin organisaatio, joka ei ole koskaan arvioinut näitä kysymyksiä.

1. Ajantasainen oikeutettua etua koskeva arviointi, joka on päivätty viimeisten 12 kuukauden aikana ja jossa käsitellään julkaistua vaikuttavuusnäyttöä sen sivuuttamisen sijaan.

2. Dokumentoitu vaihtoehtojen arviointi: mitä yksityisyyteen vähemmän puuttuvia menetelmiä harkittiin ja millä näytöllä ne hylättiin riittämättöminä.

3. Tietosuojaa koskeva vaikutustenarviointi silloin, kun sitä edellytetään työntekijöiden seurannan, profiloinnin tai automaattisen päätöksenteon vuoksi.

4. Läpinäkyvä tiedotus, jossa kerrotaan selkeästi simuloitujen hyökkäysten lähettämisestä, henkilökohtaisesti tallennettavista tiedoista, tietojen näkyvyydestä ja säilytysajasta. Tiedot annetaan oma-aloitteisesti ennen ohjelman alkua, ei vasta valituksen jälkeen.

5. Yksilökohtaisille epäonnistumistiedoille ja johdetuille pisteille määritelty säilytysaika sekä käytännössä toteutettu tietojen poistaminen.

6. Määritelty toimintatapa 21 artiklan mukaisten vastustamisten käsittelyyn: mitä tapahtuu, kun työntekijä vastustaa profilointiaan, ja kuka ratkaisee asian.

7. Artiklan 22 soveltumisen arviointi jokaisen pisteytykseen liitetyn automaattisen seurauksen osalta sekä kuvaus siitä, missä vaiheessa ihminen arvioi asian.

8. Toimittajan kirjallinen vastaus siihen, onko järjestelmä tekoälysäädöksen liitteen III mukainen suuririskinen tekoälyjärjestelmä ja mitä käyttöönottajan velvoitteita tästä seuraa organisaatiollesi.

9. Selvitys yritysneuvoston tai henkilöstön edustajien osallistumisesta silloin, kun kansallinen lainsäädäntö sitä edellyttää. Osallistuminen on toteutettava ennen järjestelmän käyttöönottoa.

Oikeudellisen kysymyksen taustalla on toteutustavan valinta

Lähes kaikki edellä kuvatut velvoitteet syntyvät siitä, että ohjelma muodostaa henkilökohtaisen suoriutumishistorian. Kun sitä ei muodosteta, arviointi yksinkertaistuu huomattavasti: ei profilointia, ei etujen punnintaa, jossa työnantajan etu voisi jäädä toiseksi, ei tietopyynnön yhteydessä luovutettavaa kalastelualttiuden pisteytystä, ei 22 artiklan soveltamiskysymystä eikä erimielisyyttä yritysneuvoston kanssa valvontajärjestelmästä.

Myöskään vaatimusten noudattamisen osoittaminen ei edellytä henkilökohtaista suoriutumishistoriaa. Auditoija kysyy, onko vaadittu koulutus suoritettu, ja suoritustiedot vastaavat tähän. Yksilökohtaisia epäonnistumistietoja kerätään mittaamista varten, ja juuri tämäntyyppisen mittaamisen viimeaikainen tutkimus kyseenalaistaa.

Oma kantamme, jonka taustalla on kaupallinen intressi – ei puolueeton tutkimustulos: CyberCoach on rakennettu ilman yksilökohtaista pisteytystä. Oppiminen on nimetöntä, ja henkilökohtaisesti tallennetaan vain hyväksytty suoritus. Alusta voi toimia pseudonyymeillä Microsoft-tunnisteilla niin, ettei meille välity lainkaan henkilötietoja. Tämän toteutustavan taustalla oleva tutkimus on dokumentoitu. Mielestämme tämä on parempi vastaus kysymykseen käsittelyn tarpeellisuudesta. Arvioi väitettä oman tilanteesi ja oman juristisi näkemyksen perusteella – aivan kuten arvioisit minkä tahansa toimittajan oikeudellisia perusteluja sen omalle tuotteelle.

Usein kysytyt kysymykset

Ovatko kalastelusimulaatiot laillisia EU:ssa?

Kalastelusimulaatioita ei sellaisinaan ole kielletty eikä niitä ole todettu lainvastaisiksi. Yleinen tietosuoja-asetus edellyttää kuitenkin pätevää oikeusperustetta niiden tuottamien työntekijöiden henkilötietojen käsittelylle. Lisäksi tarvitaan läpinäkyvyyttä, oikeasuhteinen toteutus, määritelty säilytysaika ja kansallisen lainsäädännön niin edellyttäessä henkilöstön edustajien osallistuminen. Yksityisen työnantajan käytännössä soveltuva oikeusperuste on 6 artiklan 1 kohdan f alakohdan mukainen oikeutettu etu. Sitä koskeva arviointi on dokumentoitava ja pidettävä ajan tasalla.

Voiko työnantaja perustaa kalastelusimulaatiot työntekijän suostumukseen?

Yleensä ei. Eurooppalaisten valvontaviranomaisten mukaan työntekijän suostumus on harvoin aidosti vapaaehtoinen työsuhteen valta-aseman epätasapainon vuoksi. Suostumus, josta ei voi kieltäytyä ilman kielteisiä seurauksia, ei ole pätevä. Joidenkin maiden, kuten Tanskan, täydentävän kansallisen lainsäädännön on tulkittu sallivan suostumuksen laajemmin. Mahdollinen soveltamisala on kuitenkin kapea: aidosti vapaaehtoiset järjestelyt, joista työntekijä voi kieltäytyä ilman haittaa.

Ovatko työntekijäkohtaiset kalasteluriskipisteet yleisen tietosuoja-asetuksen mukaista profilointia?

Meidän mielestämme kyllä, 4 artiklan 4 kohdan tavanomaisen tulkinnan mukaan. Pisteytys, joka perustuu työntekijän käyttäytymisen automaattiseen arviointiin ja jolla ennakoidaan hänen tulevaa luotettavuuttaan sekä kohdennetaan häneen lisäkäsittelyä, on profilointia. Tämä korostaa läpinäkyvyysvelvoitteita, tuo mukanaan 21 artiklan mukaisen vastustamisoikeuden oikeutetun edun ollessa oikeusperusteena ja todennäköisesti edellyttää tietosuojaa koskevaa vaikutustenarviointia.

Vaikuttaako simulaatioiden tehottomuutta osoittava tutkimus oikeusperusteeseen?

Se voi vaikuttaa, koska tarpeellisuuden arviointi ja etujen punninta perustuvat tosiseikkoihin, eivät pysyviin oikeudellisiin johtopäätöksiin. Tarpeellisuuden edellytyksenä on, että käsittely todella saavuttaa tarkoituksensa eikä samaan tulokseen päästäisi yksityisyyteen vähemmän puuttuvilla keinoilla. Kun riippumattomissa vertaisarvioiduissa tutkimuksissa havaitaan vain vähän tai ei lainkaan pysyvää hyötyä sekä haittoja luottamukselle ja poikkeamista ilmoittamiselle, oikeutettuun etuun tukeutuvan rekisterinpitäjän on esitettävä vahvempaa näyttöä kuin silloin, kun hyöty vain oletettiin.

Edellyttävätkö ISO 27001, SOC 2, NIS 2 tai DORA kalastelusimulaatioita?

Nämä vaatimuskokonaisuudet edellyttävät tietoisuuden lisäämistä, opetusta ja koulutusta sekä suojaustoimenpiteiden testaamista. Mikään niistä ei määrää nimettyihin henkilöihin kohdistuvista harhauttavista simulaatioista eikä edellytä yksilökohtaisten epäonnistumistietojen säilyttämistä. Velvollisuus kouluttaa ei ole velvollisuus harhauttaa ja pisteyttää.

Koskeeko EU:n tekoälysäädös tietoturvakoulutusalustoja?

Se voi koskea. Liitteen III mukaan tekoälyjärjestelmät, jotka on tarkoitettu työntekijöiden käyttäytymisen tai työsuorituksen seurantaan tai arviointiin, ovat suuririskisiä. Tämän luokan velvoitteiden soveltamisen alkamispäivä siirrettiin 2.8.2026:sta päivään 2.12.2027 tekoälyä koskevalla digitaalialan koontiasetuksella, eli asetuksella (EU) 2026/1744. Artiklan 50 avoimuusvelvoitteita ja 4 artiklan tekoälylukutaitoa koskevaa velvoitetta ei kuitenkaan lykätty. Luokittelukysymystä ei kannata siirtää myöhemmäksi: tänään allekirjoitettu monivuotinen sopimus on edelleen voimassa uuden soveltamispäivän koittaessa. Se, kuuluuko tietty kalastelualttiutta pisteyttävä järjestelmä liitteeseen III, riippuu sen käyttötarkoituksesta. Käyttöönottajan kannattaa pyytää tarjoajalta kirjallinen kanta jo nyt, sillä käyttöönottajan velvoitteet – ihmisen suorittama valvonta ja työntekijöille annettavat tiedot – kohdistuvat ostajaan riippumatta siitä, milloin täytäntöonpano alkaa.

Voivatko työntekijät pyytää kalastelusimulaatioidensa tulokset?

Kyllä. Yksilökohtaiset tulokset ja niistä johdetut riskipisteet ovat henkilötietoja, joten ne kuuluvat 15 artiklan mukaiseen rekisteröidyn oikeuteen saada pääsy tietoihin. Oikeus kattaa myös tiedot käsittelyn tarkoituksista, vastaanottajista ja säilytysajasta sekä profilointiin liittyvät merkitykselliset tiedot käsittelyssä käytetystä logiikasta. Työntekijä voi myös vastustaa käsittelyä 21 artiklan nojalla, kun oikeusperusteena on oikeutettu etu.

Voiko tietoturvakoulutusta toteuttaa ilman henkilötietojen käsittelyä?

Suurelta osin kyllä. CyberCoachissa oppija voi tehdä koulutusta mukauttavia valintoja, joita ei tallenneta eikä yhdistetä käyttäjään. Vain hyväksytty suoritus tallennetaan. CyberCoachia on mahdollista käyttää jakamalla käyttäjistä ainoastaan pseudonyymien tunnisteet (Microsoftin tai Slackin UUID-tunnisteet), joka minimoi henkilötietojen käsittelyä entisestään. Asiakkaan omilla valtuutetuilla ylläpitäjillä säilyvät vaatimusten noudattamisen raportointiin tarvittavat tiedot.

Vastuuvapauslauseke, lähteet ja tarkistukset

CyberCoach myy uudenlaista älykästä tietosuojariskejä minimoivaa tietoturvakoulutusalustaa, jonka oppijakohtainen räätälöinti ei edellytä työntekijöiden profilointia. Meillä on kaupallinen intressi edellä esitettyihin johtopäätöksiin. Artikkelin tekstin ensimmäinen suomenkielinen käännösversio on laadittu sekä sen sujuvuutta on parannettu asiantuntijan ja tekoälyn yhteistyöllä.

Viitatut ensisijaiset lähteet: asetus (EU) 2016/679 eli yleinen tietosuoja-asetus (4 artiklan 4 kohta, 5, 6 ja 9 artikla, 13–15 artikla, 21, 22, 35 ja 88 artikla sekä johdanto-osan 49 kappale); asetus (EU) 2024/1689 eli tekoälysäädös (5 artikla ja liite III); asetusta (EU) 2024/1689 muuttava asetus (EU) 2026/1744 eli tekoälyä koskeva digitaalialan koontiasetus; direktiivi (EU) 2022/2555 eli NIS 2 -direktiivi; Euroopan tietosuojaneuvoston ohjeet 1/2024 oikeutetusta edusta; 29 artiklan mukaisen tietosuojatyöryhmän lausunto 2/2017 henkilötietojen käsittelystä työssä; Euroopan unionin tuomioistuimen tuomiot C-621/22 (KNLTB) ja C-634/21 (SCHUFA); yleistä tietosuoja-asetusta täydentävä Tanskan tietosuojalaki. Tutkimukset: Lain, Kostiainen ja Capkun, IEEE Security & Privacy 2022; Lain, Jost, Matetic, Kostiainen ja Capkun, ACM CCS 2024; Brünken, Buckmann, Hielscher ja Sasse, USENIX Security 2023; Rozema ja Davis, ACM Web Conference 2026; Google Security Blog, 2024.

Julkaistu 16.10.2026

Tarkistetaan neljännesvuosittain

Korjaukset: info@cybercoach.com

Tutustu itse tutkimusnäyttöön

Kaikki edellä viitatut tutkimukset on tiivistetty täällä.

Phishing-koulutus voi altistaa työntekijät entistä enemmän tietojenkalastelulle

Tietojenkalasteluhyökkäysten torjumiseksi on syntynyt kokonainen phishing-simulaatioihin keskittyvä toimiala...

LUE LISÄÄ

Roolipohjainen oppiminen

Phishing-simulaatiot

Anonyymi oppiminen

Miten valita oikea koulutusratkaisu?

Hinnoittelu

Blogi

Asiakastarinat

OT-turvallisuuskoulutus

AI tietoturvakoulutus

Opas tekoälyassistentteihin liittyvien tietoturva- ja compliance-riskien hallintaan

Tekoälyturvallisuuskoulutuksen tarkistuslista ja parhaat käytännöt

Tietoturvallinen ohjelmistokehitys (SecDevOps)

Tietoa meistä

Yhteystiedot

Avoimet työpaikat

Kumppaniksi?

Miten GDPR tulee huomioida tekoälypohjaisissa kalastelu­simulaatioissa?