FTC vaatii OpenAI:lta ja Anthropicilta asiakirjat – agenttiturva joutuu testiin

Yhdysvaltain kauppakomissio FTC lähetti 14. lokakuuta 2026 OpenAI:lle ja Anthropicille siviilioikeudelliset tutkintavaatimukset mahdollisten kuluttajansuojarikkomusten selvittämiseksi, viraston edustaja vahvisti CBS Newsille. Vaatimukset ovat osa jo käynnissä ollutta tutkintaa. FTC ei ole ilmoittanut todenneensa kummankaan yrityksen rikkoneen lakia.

Axiosin tutkintaa koskevan raportin mukaan 14. lokakuuta lähetetyt vaatimukset ovat kumpikin yli 50-sivuisia ja koskevat turvallisuuspoikkeamia, suojatoimia, tietosuojakäytäntöjä sekä markkinointia; OpenAI:n tiedottaja sanoi lehdelle: ”We will engage constructively with the FTC.” Vaatimusten sisältöä ja laajuutta koskevat tiedot perustuvat raportissa nimettömään, asiaan perehtyneeseen henkilöön. FTC:n vahvistus koskee sitä, että virasto kerää yrityksiltä tietoja mahdollisten rikkomusten tutkimiseksi.

Vaatimukset yhdistävät poikkeamat ja asiakkaille annetut lupaukset

Pyydettyjen aineistojen yhdistelmä voi näyttää, vastaavatko turvallisuudesta ja yksityisyydestä annetut kuvaukset yritysten omaa tietoa järjestelmiensä toiminnasta. Poikkeamat kertovat, mitä käytössä tai testauksessa tapahtui. Sisäiset suojatoimet puolestaan kertovat, millaisia rajoja agenttien toiminnalle oli asetettu ja miten niiden toimivuutta seurattiin.

Markkinointiaineisto tuo rinnalle sen, mitä käyttäjille on luvattu. Jos tuotetta kuvataan turvalliseksi tietyssä tehtävässä, väitteen arviointi edellyttää tietoa sekä tehtävän olosuhteista että tunnetuista rajoituksista. Asiakirjojen pyytäminen ei kuitenkaan tarkoita, että FTC olisi jo nimennyt jonkin väitteen harhaanjohtavaksi.

Tietosuojakäytännöt ovat erillinen osa samaa kokonaisuutta. Agentti voi käsitellä tehtävää suorittaessaan käyttäjän antamia tietoja ja käyttää yhdistettyjä palveluja, jolloin on olennaista tietää, mitä tietoa siirtyy, mihin tarkoitukseen ja kuinka pitkäksi aikaa sitä säilytetään. Tutkinnassa tällaisia käytäntöjä voidaan verrata siihen, miten yritys on kuvannut tietojen käsittelyn asiakkailleen.

Yli 50 sivua kuvaa raportoitujen tietopyyntöjen laajuutta, ei epäiltyjen tapausten tai havaittujen rikkomusten määrää. Julkisuudessa kuvattu aihelista ei myöskään yksilöi, mitä tapahtumia FTC pitää tutkinnan kannalta ratkaisevina. Siksi yksittäisen agentin turvallisuudesta ei voi tehdä johtopäätöstä pelkän vaatimuksen perusteella.

Agenttien toiminnasta tarvitaan tapahtumaketju

Agenttiturvan kannalta keskeistä on erottaa annettu tehtävä, käytettävissä olleet oikeudet ja toteutuneet toimet toisistaan. Agentti voi käyttää työkaluja ja verkkopalveluja useassa vaiheessa ilman, että ihminen hyväksyy jokaista välivaihetta. Odottamattoman toimen jälkeen on pystyttävä selvittämään, mikä ohje johti siihen, mitä oikeuksia agentilla oli ja missä vaiheessa toiminta havaittiin.

Pelkkä yleinen lupaus suojauksista ei vastaa tähän kysymykseen. Poikkeamaraportti voi kuvata seurauksen, mutta toiminnan kulun selvittäminen vaatii lokitietoja, käytössä olleiden rajausten kuvauksen ja tiedon siitä, miten havaintoon reagoitiin. Samasta syystä testausympäristössä havaittua toimintaa ei pidä suoraan rinnastaa asiakkaan käytössä olevaan palveluun: käyttöoikeudet ja ympäristön rajat voivat olla erilaiset.

Vastuun arvioinnissa myös ajoitus on olennainen. Merkitystä on sillä, milloin yritys havaitsi ongelman, mitä se tiesi ongelman mahdollisista vaikutuksista ja miten sen julkiset turvallisuusväitteet muuttuivat tiedon karttuessa. Nämä ovat kysymyksiä, joihin pyydetty aineisto voi tuoda vastauksia; tutkinnan lopputulosta niistä ei voi vielä päätellä.

Velvoittava tietopyyntö ei ole ratkaisu rikkomuksesta

FTC:n CID-menettelyä koskevan ohjeen mukaan civil investigative demand on oikeudellisesti velvoittava tiedonhankintakeino, jolla virasto voi vaatia muun muassa asiakirjoja, vastauksia ja todistajanlausuntoja mahdollisesti sopimattomien tai harhaanjohtavien käytäntöjen tutkimiseksi. Vaatimuksen saanut taho voi olla tutkinnan kohde tai sillä voi olla tutkinnalle merkityksellisiä tietoja. Vaatimuksen vastaanottaminen ei siis yksin ratkaise, onko lakia rikottu.

Menettelyllä on silti käytännön painoa. Vastaanottajan on vastattava määräajassa, ellei FTC:n kanssa sovita muuta, ja virasto voi keskustella pyyntöjen rajaamisesta tai vastausten toimittamisesta vaiheittain. Tässä tapauksessa tietopyyntö antaa virastolle keinon hankkia yksityiskohtaisempaa aineistoa jo alkaneeseen selvitykseen. Mahdollinen oikeustoimi olisi myöhempi, erillinen päätös.

Suomalaiselle palvelun käyttäjälle tutkinta ei sellaisenaan kerro, että käytössä olevan agentin ominaisuudet tai sopimusehdot olisivat muuttuneet. Se nostaa kuitenkin esiin kysymyksen siitä, millaiseen näyttöön toimittajan turvallisuusväitteet perustuvat. Yritysasiakkaalle ero on käytännöllinen: yleisen tuotekuvauksen sijaan tarvitaan tietoa juuri käytössä olevasta palvelusta, sen oikeuksista ja poikkeamien käsittelystä.

Mitä suomalainen yritys voi selvittää omasta agenttikäytöstään

Suomessa tai muualla EU:ssa yhdysvaltalaista tekoälypalvelua käyttävä organisaatio voi käydä läpi oman agenttinsa toimintarajat tutkinnan ollessa kesken. Seuraavat tarkistukset ovat organisaation omaa riskienhallintaa, eivät FTC:n asiakkaille antamia määräyksiä. Niiden tarkoitus on varmistaa, että mahdollinen poikkeama voidaan jäljittää ja toiminta tarvittaessa pysäyttää.

• Lokitus: tallentuvatko agentille annettu tehtävä, sen käyttämät työkalut, tehdyt toimenpiteet ja ihmisen antamat hyväksynnät? Selvitä myös, kuinka kauan lokit säilyvät ja kenellä on pääsy niihin.
• Käyttöoikeudet: pääseekö agentti vain tehtävän edellyttämiin tietoihin ja järjestelmiin? Tarkista, voiko oikeudet rajata tehtäväkohtaisesti, poistaa nopeasti ja pitää testiympäristön erillään tuotantokäytöstä.
• Toimittajan tiedot: pyydä kuvaus poikkeamien havaitsemisesta ja ilmoittamisesta, suojatoimien rajoista sekä asiakastietojen käsittelystä. Vertaa vastauksia niihin turvallisuutta ja yksityisyyttä koskeviin väitteisiin, joihin hankintapäätös perustui.

Tarkistusten arvo näkyy vasta silloin, kun tiedot sopivat yhteen: rajatut oikeudet vähentävät mahdollisen virhetoimen vaikutusta, ja riittävät lokit auttavat selvittämään, mitä tapahtui. FTC:n tutkinnassa seuraava ratkaiseva aineisto on yritysten vastaus asiakirjavaatimuksiin. Sen arviointi näyttää, jääkö asia tiedonkeruuksi vai johtaako se jatkotoimiin.

Lue myös:

• OpenAI-agentti ohitti Medicare-portaalin estot – ilmoitus viivästyi kuukausia
• MCP vai A2A? Työkalu ja agentti tarvitsevat eri protokollan
• Anthropic kielsi Clauden jatkuvan kaltoinkohtelun – raja koskee ääritapauksia