Mikä EU:n tekoälyasetus on?
EU:n tekoälyasetus (AI Act, asetus (EU) 2024/1689) on tekoälyjärjestelmien riskiperusteinen sääntelykehys. Se ei sääntele tekniikkaa vaan käyttötarkoitusta: mitä riskialttiampi käyttötarkoitus, sitä enemmän velvoitteita. Asetus tuli voimaan 1.8.2024, ja sen velvoitteet ovat astuneet voimaan vaiheittain.
Asetus jakaa toimijat kahteen pääasialliseen rooliin. Tarjoaja kehittää tekoälyjärjestelmän tai saattaa sen markkinoille omalla nimellään. Käyttöönottaja käyttää järjestelmää omassa toiminnassaan. Valtaosa pk-yrityksistä on käyttöönottajia, ja käyttöönottajan velvoitteet ovat selvästi kevyemmät. Rooli voi kuitenkin vaihtua tarjoajaksi, jos yritys muokkaa hankkimaansa järjestelmää olennaisesti tai myy sitä eteenpäin omalla brändillään.
Mitkä velvoitteet ovat jo voimassa?
| Velvoite | Sovelletaan | Mitä se tarkoittaa käytännössä |
|---|---|---|
| Kielletyt käytännöt (5 artikla) | 2.2.2025 | Esimerkiksi manipulatiiviset tekniikat, sosiaalinen pisteytys ja tunteiden tunnistaminen työpaikalla ovat kiellettyjä. |
| Tekoälyosaaminen (4 artikla) | 2.2.2025 | Henkilöstöllä, joka käyttää tekoälyä työssään, on oltava riittävä osaamistaso. Velvoitteen sisältöä kevennettiin Digital Omnibus -muutoksessa, mutta se on edelleen voimassa. |
| Yleiskäyttöiset mallit (GPAI) | 2.8.2025 | Koskee mallien tarjoajia, ei tavallista käyttäjäyritystä. |
| Läpinäkyvyys (50 artikla) | 2.8.2026 | Käyttäjälle on kerrottava, kun hän on vuorovaikutuksessa tekoälyn kanssa, ja synteettinen sisältö on merkittävä. |
| Korkea riski, liite III | 2.12.2027 | Siirretty alkuperäisestä 2.8.2026 päivämäärästä. Koskee mm. rekrytointia, luotonantoa ja koulutusta koskevia käyttötarkoituksia. |
| Korkea riski, liite I | 2.8.2028 | Siirretty alkuperäisestä 2.8.2027 päivämäärästä. Koskee säänneltyihin tuotteisiin sulautettuja järjestelmiä. |
Mikä muuttui Digital Omnibus -paketissa?
Euroopan unionin toimielimet pääsivät toukokuussa 2026 poliittiseen yhteisymmärrykseen tekoälyasetusta muuttavasta Digital Omnibus on AI -paketista, joka tuli voimaan heinäkuun 2026 lopussa. Muutoksen ydin on kolme asiaa:
- Korkean riskin velvoitteiden siirto. Liitteen III käyttötarkoituksia koskevat velvoitteet siirtyivät joulukuulle 2027 ja liitteen I velvoitteet elokuulle 2028.
- Läpinäkyvyysvelvoitteita ei siirretty. 2.8.2026 pysyi voimassa. Synteettisen sisällön merkitsemiseen annettiin siirtymäaika joulukuulle 2026.
- Kiellettyjä käytäntöjä täydennettiin. Muun muassa niin sanottujen riisumissovellusten osalta, siirtymäajalla joulukuuhun 2026.
Miksi tämä kannattaa tietää: verkossa on paljon vuosien 2024 ja 2025 materiaalia, jossa korkean riskin määräajaksi mainitaan 2.8.2026. Se tieto on vanhentunut. Jos yrityksessä on tehty valmistautumissuunnitelma vanhan aikataulun pohjalta, aikataulu kannattaa tarkistaa — mutta valmistautumista ei kannata lopettaa, koska velvoitteet siirtyivät eivätkä poistuneet.
Koskeeko asetus meidän yritystämme?
Kyllä koskee, jos yritys käyttää tekoälyjärjestelmää osana toimintaansa. Kysymys ei ole siitä, koskeeko asetus, vaan siitä, mihin riskiluokkaan käyttötarkoitus kuuluu.
Kielletty
Käyttötarkoitus on kokonaan kielletty. Tähän kuuluvat esimerkiksi sosiaalinen pisteytys ja tunteiden tunnistaminen työpaikalla tai oppilaitoksessa.
Korkea riski
Esimerkiksi rekrytointi, luotonanto ja arviointi koulutuksessa. Vaatii riskienhallintaa, dokumentaatiota, lokitusta ja ihmisen valvontaa.
Rajoitettu riski
Chatbotit ja synteettinen sisältö. Vaatii läpinäkyvyyden: käyttäjän on tiedettävä olevansa tekemisissä tekoälyn kanssa.
Minimaalinen riski
Valtaosa pk-yrityksen käytöstä: sisäiset työkalut, tekstin muokkaus, tiivistäminen, käännökset. Ei erityisvelvoitteita.
Käytännössä tavallinen pk-yritys liikkuu luokkien 3 ja 4 välillä. Korkean riskin luokkaan päädytään yleensä vain, jos tekoälyä käytetään yksilöä koskevassa päätöksenteossa — tyypillisimmin rekrytoinnissa.
Mitä pk-yrityksen kannattaa tehdä nyt
- Listaa käytössä olevat tekoälytyökalut. Myös ne, jotka yksittäiset työntekijät ovat ottaneet käyttöön itse. Ilman listaa mitään muuta ei voi arvioida.
- Merkitse kunkin työkalun käyttötarkoitus. Riskiluokka määräytyy käyttötarkoituksesta, ei työkalusta. Sama työkalu voi olla minimaalisen riskin käytössä yhdessä tehtävässä ja korkean riskin käytössä toisessa.
- Tarkista asiakasrajapinta. Jos verkkosivulla on chatbot tai asiakkaille menee tekoälyn tuottamaa sisältöä, läpinäkyvyysvelvoite on ollut sovellettavissa 2.8.2026 alkaen.
- Järjestä henkilöstölle perehdytys. Tekoälyosaamisvelvoite ei edellytä sertifikaattia, vaan sitä, että käyttäjät ymmärtävät työkalun rajat, riskit ja oman vastuunsa. Dokumentoi, mitä on käyty läpi ja milloin.
- Tarkista sopimukset ja tietosuoja. Käsittelysopimus palveluntarjoajan kanssa, peruste henkilötietojen käsittelylle ja se, ettei tietoa käytetä mallin opettamiseen ilman perustetta.
- Jos käytätte tekoälyä rekrytoinnissa tai luotonannossa, hankkikaa juridinen arvio. Tämä on se kohta, jossa yleisopas ei riitä.
Mitä asetus ei vaadi
Asetus ei vaadi yritystä rekisteröimään tavanomaista tekoälyn käyttöä mihinkään rekisteriin. Se ei vaadi erillistä tekoälysertifikaattia henkilöstöltä. Se ei kiellä kielimallien käyttöä asiakaspalvelussa, sisällöntuotannossa tai analytiikassa. Eikä se korvaa tietosuoja-asetusta — GDPR koskee henkilötietojen käsittelyä riippumatta siitä, mihin riskiluokkaan tekoälyn käyttö kuuluu.
Lähteet
- Euroopan parlamentin ja neuvoston asetus (EU) 2024/1689 (EUR-Lex)
- Euroopan komissio: tekoälyn sääntelykehys
- AI Act Explorer: Digital Omnibus on AI
Huomio: tämä artikkeli on yleiskuvaus eikä oikeudellinen neuvo. Yksittäisen käyttötapauksen riskiluokka ja siitä seuraavat velvoitteet on arvioitava tapauskohtaisesti.
Haluatko tietää, mihin luokkaan teidän käyttönne kuuluu?
Maksuttomassa kartoituspuhelussa käydään läpi käytössä olevat työkalut ja käyttötarkoitukset sekä se, mitä ne käytännössä edellyttävät. Puhelu ei sisällä tarjouspakkoa.
Varaa maksuton kartoituspuhelu →