Koskeeko AI Act meitä, jos emme itse rakenna tekoälymalleja vaan käytämme esimerkiksi ChatGPT:tä tai muita valmiita työkaluja?

Koskee, mutta kevyemmin. Valmista tekoälyä käyttävä yritys on yleensä 'käyttöönottaja', ei 'tarjoaja', ja käyttöönottajan velvoitteet ovat suppeammat: järjestelmää käytetään tarjoajan ohjeiden mukaan, sille nimetään pätevä ihmisvalvonta, vakavista häiriöistä ilmoitetaan, lokeja säilytetään vähintään kuusi kuukautta ja henkilöstön AI-lukutaidosta huolehditaan. Tämä viimeinen on ollut voimassa jo 2.2.2025 alkaen.

Siirtyikö korkean riskin tekoälyjärjestelmien määräaika, ja voiko asian unohtaa toistaiseksi?

Määräaika siirtyi, mutta asiaa ei kannata unohtaa. Digital Omnibus on AI -asetus (EU) 2026/1744, joka tuli voimaan 27.7.2026, siirtää itsenäisten korkean riskin järjestelmien (liite III, mm. rekrytointi ja luottokelpoisuusarviointi) velvoitteet 2.8.2026:sta 2.12.2027:ään, ja tuotteisiin upotettujen järjestelmien (liite I) velvoitteet 2.8.2027:stä 2.8.2028:aan. Luokittelu ja valmistelu kannattaa silti aloittaa nyt. Komission luonnosohjeet korkean riskin luokittelusta auttavat itsearvioinnissa, mutta ne ovat yhä luonnos: kohdennettu kuuleminen päättyi 23.7.2026, ja komission mukaan lopulliset ohjeet hyväksytään vuoden 2026 loppuun mennessä.

Mitä 2.8.2026 voimaan tulleet velvoitteet tarkoittavat meille käytännössä?

Kerro käyttäjille, kun he asioivat tekoälyn kanssa. 50 artiklan läpinäkyvyysvelvoitteet ovat voimassa 2.8.2026 alkaen Digital Omnibuksesta riippumatta: chatbotista on ilmoitettava, tekoälyllä tuotettu tai muokattu kuva-, ääni- ja videosisältö on merkittävä, ja yleistä etua koskeva tekoälyllä tuotettu teksti merkitään, ellei sitä ole tarkistanut ihminen. Traficomin ohjeen mukaan pelkkä maininta käyttöehdoissa tai dokumentaatiossa ei yleensä riitä, ja koneluettava merkintä voidaan tehdä esimerkiksi digitaalisella vesileimalla, metatietotunnisteella, kryptografisella alkuperän todentamisella, lokitiedoilla tai digitaalisella sormenjäljellä. Vähäiset muutokset, kuten kieliopin korjaukset, tiedostomuodon muunnokset ja kohinan vähentäminen, eivät edellytä merkintää. Vanhaa, ennen 2.8.2026 tuotettua tai julkaistua sisältöä ei tarvitse merkitä takautuvasti. Yksi siirtymäaika kuitenkin on. Traficomin 20.8.2026 julkaiseman tiedotteen mukaan ennen 2.8.2026 markkinoille saatettujen tekoälyjärjestelmien tarjoajien on täytettävä koneluettavan merkinnän vaatimus vasta 2.12.2026 mennessä, kun muut avoimuusvelvoitteet ovat olleet voimassa 2.8.2026 alkaen. Sääntelyhiekkalaatikkovaatimus ei kuulu tähän päivään: sen määräaika siirtyi vuoteen 2027.

Koskevatko AI Actin säännöt tekoälyagentteja, vai jäävätkö ne sääntelyn ulkopuolelle?

Nykyiset määritelmät kattavat agentit, eikä omaa määritelmää tarvita. Näin tulkitsee komission AI Act Service Desk, jonka vastaukset ovat ohjeistusta eivätkä sitovaa sääntelyä. Agentti sisältää tyypillisesti vähintään yleiskäyttöisen tekoälymallin ja muodostaa tekoälyjärjestelmän, koska siinä on yleensä jonkinlainen käyttöliittymä, joten 3 artiklan 1 ja 63 alakohdan määritelmät riittävät. Käytännössä olennaisimpia ovat 5 artiklan kiellot haitallisesta manipuloinnista ja haavoittuvuuksien hyväksikäytöstä. Jos agentti on tarkoitettu vuorovaikutukseen ihmisten kanssa tai tuottaa sisältöä, 50 artiklan läpinäkyvyyssäännöt koskevat sitä 2.8.2026 alkaen. Jos agentti luokittuu korkean riskin järjestelmäksi, III luvun lisävaatimukset tulevat sovellettaviksi 2.12.2027 tai 2.8.2028.

Voiko sakkoja tulla jo nyt, vai vasta korkean riskin sääntöjen voimaantulon jälkeen?

Sakkoja voi tulla jo nyt. 99 artiklan sakkokehikko on ollut voimassa 2.8.2025 alkaen: kiellettyjen käytäntöjen rikkomisesta enimmillään 35 miljoonaa euroa tai 7 % globaalista liikevaihdosta, useimmista muista rikkomuksista enimmillään 15 miljoonaa euroa tai 3 %, ja virheellisten tietojen antamisesta enimmillään 7,5 miljoonaa euroa tai 1 %. Pienemmälle yritykselle sovelletaan aina näistä alempaa kattoa.

Onko yleiskäyttöisten tekoälymallien käytännesäännöstö (GPAI Code of Practice) pakollinen meille, jos käytämme esimerkiksi OpenAI:n tai Googlen malleja?

Ei ole. Käytännesäännöstö on vapaaehtoinen ja suunnattu mallien tarjoajille: OpenAI, Google, Anthropic ja Mistral ovat allekirjoittaneet sen, Meta on kieltäytynyt. Teille hyöty tulee välillisesti: säännöstön allekirjoittanut tarjoaja saa vaatimustenmukaisuusolettaman, mikä keventää omaa selvitystyötänne toimittajaa arvioidessa.

Onko tekoälysisällön läpinäkyvyyden käytännesäännöstö sama asia kuin mallien tarjoajien GPAI-säännöstö?

Ei ole, ja nämä kaksi sekoitetaan usein. GPAI-säännöstö koskee mallien tarjoajia, kun taas tekoälysisällön läpinäkyvyyden käytännesäännöstö koskee 50 artiklan merkintä- ja tunnistevelvoitteita — siis myös tavallista yritystä, joka tuottaa tai julkaisee tekoälyllä tehtyä sisältöä. Heinäkuun loppuun mennessä säännöstön oli allekirjoittanut noin 190 organisaatiota. Komission mukaan noin puolet niistä on pieniä tai vasta perustettuja yrityksiä. Allekirjoittaminen on vapaaehtoista: se voi auttaa osoittamaan, miten yritys pyrkii täyttämään velvoitteet, mutta se ei yksin takaa vaatimustenmukaisuutta.

Kuka valvoo AI Actin noudattamista Suomessa, ja mistä saa apua?

Valvonta jakautuu 15 viranomaisen kesken sektorin mukaan, ja Traficom toimii kansallisena yhteyspisteenä, joka koordinoi kokonaisuutta. Tietosuojavaltuutetun toimistolla on erityisen laaja rooli: se valvoo markkinoita tietyissä korkean riskin järjestelmissä, seuraa kiellettyjen käytäntöjen noudattamista ja huolehtii perusoikeuksien suojasta. Yleisiin kysymyksiin vastaa myös EU:n AI Act Service Desk, josta löytyy vaatimustenmukaisuustarkistin ja asiantuntija-apua usealla kielellä. Epäillystä rikkomuksesta ilmoitetaan komissiolle, jolla on kolme erillistä kanavaa. Yleisellä valitustyökalulla kuka tahansa voi ilmoittaa tarjoajan tai käyttöönottajan rikkomuksesta (85 artikla), mutta kanava ei ole anonyymi: valittajan on annettava henkilö- ja yhteystietonsa. Toinen kanava on yrityksille, jotka rakentavat oman tuotteensa jonkun toisen yleiskäyttöisen mallin päälle ja epäilevät mallin tarjoajan laiminlyöneen velvoitteensa (89(2) artikla). Kolmas on anonyymi väärinkäytöskanava, ja se on tarkoitettu vain henkilöille, joilla on ammatillinen yhteys tarjoajaan tai käyttöönottajaan.

Pitääkö kymmenen hengen yrityksen jo tehdä tekoälyriskikartoitus?

Ei ole vielä pakollista, mutta on suositeltavaa. Korkean riskin liite III -velvoitteet siirtyivät 2.12.2027:ään, joten pienellä yrityksellä on aikaa. Silti kannattaa jo nyt hoitaa pakollinen AI-lukutaitokoulutus ja tehdä kevyt inventaario: mitä tekoälytyökaluja on käytössä ja koskettaako mikään niistä esimerkiksi rekrytointia, luottopäätöksiä tai biometriikkaa.

Onko meille kevennyksiä, jos yrityksemme on kasvanut pk-yrityksen kokoluokasta ulos?

Mahdollisesti, jos mahdutte uuteen 'pieni midcap' -kategoriaan. Digital Omnibus on AI -asetus loi tämän luokan yrityksille, jotka eivät enää ole pk-yrityksiä mutta työllistävät alle 750 henkeä ja joiden vuosiliikevaihto on enintään 150 miljoonaa euroa tai taseen loppusumma enintään 129 miljoonaa euroa. Näille laajenevat mm. yksinkertaistetut teknisen dokumentaation mallipohjat, oikeasuhteisempi laadunhallintavaatimus, etusija sääntelyhiekkalaatikkoihin ja räätälöidyt sakkokatot.

EU:n tekoälyasetus (AI Act)

Riskiperusteiset säännöt tekoälyn kehittäjille ja käyttöönottajille.

Aloita tästä: tarkista soveltuminen

Selvittäkää roolinne: rakennatteko, hienosäädättekö tai brändäättekö tekoälyjärjestelmän itse (tarjoaja) vai käytättekö valmista järjestelmää omassa toiminnassanne (käyttöönottaja). Lähde: AI Act Service Desk: usein kysytyt kysymykset · https://ai-act-service-desk.ec.europa.eu/en/faq
Tarkistakaa, onko käytössänne mitään kielletyistä käytännöistä, kuten tunteiden tunnistusta työpaikalla tai sosiaalista pisteytystä. Lähde: Asetus (EU) 2024/1689 (EUR-Lex) · https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689 · Kohta: 5 artikla
Käykää läpi, käytättekö tekoälyä korkean riskin käyttötapauksissa, kuten rekrytoinnissa, luottokelpoisuuden arvioinnissa tai biometriikassa. Lähde: Asetus (EU) 2024/1689 (EUR-Lex) · https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689 · Kohta: liite III
Katsokaa, tuotatteko tai julkaisetteko tekoälyllä tehtyä kuva-, ääni-, video- tai tekstisisältöä ja asioivatko käyttäjänne chatbotin kanssa. Lähde: Euroopan komissio: täytäntöönpano ja läpinäkyvyysvelvoitteet käynnistyivät 2.8.2026 · https://digital-strategy.ec.europa.eu/en/news/commission-starts-enforcing-ai-act-rules-and-new-transparency-requirements-2-august · Kohta: 50 artikla

Aloita tästä: velvoittaa nyt

Henkilöstön riittävästä tekoälylukutaidosta on pitänyt huolehtia 2.2.2025 alkaen. Lähde: Asetus (EU) 2024/1689 (EUR-Lex) · https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689 · Kohta: 4 artikla
Kielletyt tekoälykäytännöt, muun muassa sosiaalinen pisteytys ja tunteiden tunnistus työpaikalla, ovat olleet kiellettyjä 2.2.2025 alkaen. Lähde: Asetus (EU) 2024/1689 (EUR-Lex) · https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689 · Kohta: 5 artikla
Käyttäjälle on kerrottava, kun hän asioi tekoälyn kanssa, ja tekoälyllä tuotettu tai olennaisesti muokattu sisältö on saatava tunnistettavaksi 2.8.2026 alkaen. Koneluettavasta merkinnästä vastaa tarjoaja, syväväärennöksen ja yleistä etua koskevan tekoälytekstin merkitsemisestä käyttöönottaja. Ennen 2.8.2026 markkinoille saatetuissa järjestelmissä koneluettava merkintä on täytettävä viimeistään 2.12.2026; muita avoimuusvelvoitteita sovelletaan ilman siirtymäaikaa. Lähde: Traficom (tiedote 20.8.2026): Tekoälyn käytöstä nyt kerrottava aiempaa avoimemmin, Traficom julkaisi ohjeet uusiin velvoitteisiin · https://www.traficom.fi/fi/uutiset/tekoalyn-kaytosta-nyt-kerrottava-aiempaa-avoimemmin-traficom-julkaisi-ohjeet-uusiin-velvoitteisiin · Kohta: 50 artikla

Aloita tästä: tee seuraavaksi

Järjestäkää henkilöstön tekoälylukutaitokoulutus, jos sitä ei ole vielä pidetty. Rungoksi käy CEN-CENELECin 2.9.2026 julkaisema työpajasopimus CWA 18398, joka kuvaa tekoälyyn liittyvät ammattiroolit, osaamiset ja koulutusprofiilit. Se on vapaaehtoinen: se ei ole harmonisoitu standardi, se ei tuota vaatimustenmukaisuusolettamaa eikä se luo velvoitteita. Lähde: CEN-CENELEC: työpajasopimus CWA 18398, AI Professional Role Profiles and Educational Profiles (2.9.2026) · https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-09-02-cwa_arisa/
Tehkää kevyt inventaario käytössä olevista tekoälytyökaluista ja merkitkää, koskeeko jokin niistä rekrytointia, luottopäätöksiä tai biometriikkaa. Lähde: AI Act Service Desk: usein kysytyt kysymykset · https://ai-act-service-desk.ec.europa.eu/en/faq
Kertokaa tekoälyn käytöstä siellä, missä käyttäjä sen näkee: chatbotissa ja tekoälyllä tuotetussa kuva-, ääni- ja videosisällössä. Traficomin ohjeen mukaan pelkkä maininta käyttöehdoissa tai dokumentaatiossa ei yleensä riitä, ja koneluettava merkintä voi olla esimerkiksi digitaalinen vesileima tai metatietotunniste. Vanhaa, ennen 2.8.2026 tuotettua tai julkaistua sisältöä ei tarvitse merkitä takautuvasti. Lähde: Traficom: Milloin tekoälyn käytöstä pitää kertoa (50 artiklan avoimuusvelvoitteet) · https://www.traficom.fi/fi/tekoalyn-saantely/milloin-tekoalyn-kaytosta-pitaa-kertoa · Kohta: 50 artikla

Jos määräaika on jo mennyt

Määräpäivät 2.2.2025 (tekoälylukutaito ja kielletyt käytännöt) ja 2.8.2026 (läpinäkyvyysvelvoitteet) ovat menneet, eikä myöhästyminen poista velvoitetta. Sakkokehikko on ollut voimassa 2.8.2025 alkaen, joten korjatkaa ensin henkilöstön tekoälylukutaito ja 50 artiklan merkinnät chatbotissa ja uudessa tekoälysisällössä. Vanhaa, ennen 2.8.2026 tuotettua tai julkaistua sisältöä ei tarvitse merkitä takautuvasti. Traficom toimii kansallisena yhteyspisteenä, ja AI Act Service Deskin vaatimustenmukaisuustarkistin auttaa kartoituksessa.

Pikatiedot

Virallinen nimi Asetus (EU) 2024/1689, muutettu asetuksella (EU) 2026/1744
Tila vaiheittain: Sovelletaan vaiheittain 2025–2028; osa määräajoista siirtyi 2026
Kenelle Kaikki organisaatiot, jotka kehittävät tai käyttävät tekoälyä
Koskee, jos Koskee, jos organisaationne kehittää, tarjoaa tai käyttää tekoälyä — myös silloin, kun käytössä on vain valmis työkalu kuten ChatGPT.
Myös jos Myös koosta ja toimialasta riippumatta, myös julkishallinnossa. Rooli voi vaihtua tarjoajaksi, jos räätälöitte, hienosäädätte tai brändäätte tekoälytuotteen omiin nimiinne.
Valvoja Suomessa Traficom (kansallinen yhteyspiste), 15 valvontaviranomaista
Seuraava vahvistettu määräpäivä 2026-12-02: Koneluettavan merkinnän siirtymäaika päättyy
Päivitetty 2026-09-04
Tarkistettu 2026-09-04

Mikä se on EU:n tekoälyasetus eli AI Act (asetus (EU) 2024/1689) on maailman ensimmäinen kattava tekoälysäädös. Se tuli voimaan 1.8.2024, ja sen velvoitteet astuvat voimaan vaiheittain vuoteen 2028 asti. Asetus luokittelee tekoälyjärjestelmät riskin mukaan: osa käytännöistä on kokonaan kiellettyjä, korkean riskin järjestelmiä koskevat tiukat vaatimukset, ja suurinta osaa muista koskee lähinnä läpinäkyvyys. Keväällä ja kesällä 2026 EU sopi laajasta Digital Omnibus on AI -muutospaketista, joka keventää ja myöhentää erityisesti korkean riskin sääntöjä. Paketti allekirjoitettiin 8.7.2026, julkaistiin EU:n virallisessa lehdessä 24.7.2026 asetuksena (EU) 2026/1744 ja tuli voimaan 27.7.2026. Aikataulu oli poikkeuksellisen nopea, jotta muutokset ehtivät soveltua ennen AI Actin 2.8.2026 velvoitteita. Asetus on siis nyt muodollisesti voimassa, ja se muuttaa AI Actin lisäksi myös EU:n ilmailu- ja koneasetuksia. Koskeeko sinua Koskee, jos organisaatiosi kehittää, tarjoaa tai käyttää tekoälyä (käytännössä lähes kaikkia yrityksiä). Ratkaisevaa on rooli: "tarjoaja" rakentaa tai markkinoi tekoälyjärjestelmän, "käyttöönottaja" ottaa sen käyttöön osana omaa toimintaansa. Valtaosa suomalaisista pk-yrityksistä on käyttöönottajia, kun ne käyttävät esimerkiksi ChatGPT-tyyppisiä työkaluja tai valmiiseen tekoälyyn nojaavia SaaS-ominaisuuksia. Käyttöönottajan velvoitteet ovat kevyempiä kuin tarjoajan, mutta silti todellisia: järjestelmää on käytettävä tarjoajan ohjeiden mukaan, sille on nimettävä pätevä ihmisvalvonta, vakavista häiriöistä on ilmoitettava ja henkilöstön AI-lukutaidosta on huolehdittava jo nyt. Jos yritys räätälöi, hienosäätää tai tuo markkinoille oman tekoälytuotteen, se voi muuttua tarjoajaksi ja saada laajemman velvoitejoukon: riskienhallinnan, teknisen dokumentaation ja tarvittaessa vaatimustenmukaisuuden arvioinnin. Keskeiset velvoitteet Kiellettyjä tekoälykäytäntöjä (5 artikla) ei saa käyttää. Voimassa 2.2.2025 alkaen. Henkilöstön riittävästä AI-lukutaidosta on huolehdittava (4 artikla). Voimassa 2.2.2025 alkaen. Käyttöönottajan on käytettävä järjestelmää ohjeiden mukaan, nimettävä ihmisvalvonta ja ilmoitettava vakavista häiriöistä (26 artikla). Käyttäjälle on kerrottava, kun hän asioi tekoälyn kanssa, ja tekoälyllä tuotettu tai olennaisesti muokattu sisältö on saatava tunnistettavaksi (50 artikla). Voimassa 2.8.2026 alkaen tuotettuun ja julkaistuun sisältöön. Koneluettavan merkinnän siirtymäaika koskee vain tarjoajaa: ennen 2.8.2026 markkinoille saatettujen tekoälyjärjestelmien tarjoajan on täytettävä vaatimus viimeistään 2.12.2026. Käyttöönottajan omiin velvoitteisiin siirtymäaika ei vaikuta. Korkean riskin järjestelmiä (mm. rekrytointi, luottokelpoisuus, biometriikka) koskevat laajemmat vaatimukset tulevat voimaan vaiheittain 2027–2028. Rikkomuksista voi seurata sakko, enimmillään 35 miljoonaa euroa tai 7 % liikevaihdosta. Sakkokehikko on ollut voimassa 2.8.2025 alkaen. Näin sovellat käytännössä Pk-SaaS, joka on rakentanut asiakaspalvelu-chatbotin OpenAI:n API:n päälle Yritys on käyttöönottaja, ei korkean riskin tarjoaja. Elokuusta 2026 alkaen sen on kerrottava käyttäjille selvästi, että he asioivat tekoälyn kanssa. Ensimmäiset askeleet: varmista henkilöstön AI-lukutaito, pidä kirjaa chatbotin toiminnasta ja tarkista, onko käytetyn mallin tarjoaja allekirjoittanut GPAI-käytännesäännöstön. Se pienentää toimittajariskiä. Verkkokauppa, joka käyttää tekoälyä suosituksiin ja hinnoitteluun Suositus- ja hinnoittelutekoäly ei yleensä ole korkean riskin järjestelmä, joten lähiajan velvoitteet ovat läpinäkyvyys ja henkilöstön AI-lukutaito. Ensimmäinen askel: merkitse tekoälyllä tuotettu sisältö, esimerkiksi tuotekuvaukset, ja varmista, että profilointiin perustuva markkinointi täyttää myös muun kuluttajansuojalainsäädännön vaatimukset. HR-teknologiayritys, joka myy rekrytointi- ja soveltuvuusarviointityökaluja Tämä on tyypillinen korkean riskin käyttötapaus (liite III). Velvoitteiden voimaantulo siirtyi 2.12.2027:ään, mutta asiakkaat alkavat vaatia näyttöä vaatimustenmukaisuudesta hyvissä ajoin ennen sitä. Ensimmäinen askel: käynnistä riskienhallintajärjestelmän ja teknisen dokumentaation rakentaminen nyt, älä vasta määräajan lähestyessä. Työlle antaa rungon CEN-CENELECin 31.7.2026 julkaisema standardi EN 18286:2026, joka kuvaa laadunhallintajärjestelmän ja tukee 17 artiklan noudattamista. Yhtä asiaa se ei vielä tuo: 40 artiklan vaatimustenmukaisuusolettama syntyy vasta, kun standardin viite on julkaistu EU:n virallisessa lehdessä. Tarkista viitteen tila ennen kuin nojaat olettamaan. Tietosuoja- tai compliance-konsulttiyritys, joka neuvoo asiakkaita AI Actin noudattamisessa Yritys ei itse ole tyypillisesti tarjoaja tai käyttöönottaja, mutta sen neuvonnan arvo riippuu ajantasaisuudesta. Ensimmäinen askel: seuraa AI Act Service Deskiä ja komission luokitteluohjeita, ja auta asiakkaita erottamaan, mitkä velvoitteet (5 artiklan kiellot, 50 artiklan läpinäkyvyys, 99 artiklan sakot) ovat jo voimassa ja mitkä siirtyivät Digital Omnibuksessa. Suomessa Kansallinen valvonta perustuu lakiin eräiden tekoälyjärjestelmien valvonnasta (1377/2025), joka tuli voimaan 1.1.2026. Traficom toimii kansallisena yhteyspisteenä ja koordinoi 15:tä viranomaista, jotka jakautuvat markkinavalvontaviranomaisiin (mm. Tukes, Tulli) ja perusoikeusviranomaisiin. Tietosuojavaltuutetun toimistolla on näistä laajin rooli: se valvoo markkinoita tietyissä korkean riskin järjestelmissä, seuraa kiellettyjen käytäntöjen noudattamista ja huolehtii perusoikeuksien suojasta. Suomeen on tulossa myös toinen kansallisen lainsäädännön vaihe. Se koskee tekoälyn sääntelyn testiympäristön toteuttamista ja kansallisen rekisterin perustamista korkean riskin järjestelmille, jotka toimivat kriittisen infrastruktuurin turvakomponentteina. Hankeikkunan mukaan hallituksen esitys (TEM091:00/2024) on aikataulutettu annettavaksi eduskunnalle viikolla 43/2026, ja suunnitellut voimaantulot ovat 1.3.2027 tekoälyvalvontalain muutoksille ja 3.5.2027 finanssivalvontalain muutoksille. Kyse on suunnitelmasta, ei laista: esitystä ei ole vielä annettu, ja hankkeen tuorein asiakirja on 9.7.2026 päivätty lausuntotiivistelmä. Ajantasaista tietoa julkaisevat Traficom ja tietosuojavaltuutetun toimisto suomeksi. Katso myös GDPR , sillä tekoälyn käyttöönotto voi laukaista henkilötietojen vaikutustenarvioinnin (DPIA) tarpeen.

Usein kysytyt kysymykset

Koskeeko AI Act meitä, jos emme itse rakenna tekoälymalleja vaan käytämme esimerkiksi ChatGPT:tä tai muita valmiita työkaluja? Koskee, mutta kevyemmin. Valmista tekoälyä käyttävä yritys on yleensä 'käyttöönottaja', ei 'tarjoaja', ja käyttöönottajan velvoitteet ovat suppeammat: järjestelmää käytetään tarjoajan ohjeiden mukaan, sille nimetään pätevä ihmisvalvonta, vakavista häiriöistä ilmoitetaan, lokeja säilytetään vähintään kuusi kuukautta ja henkilöstön AI-lukutaidosta huolehditaan. Tämä viimeinen on ollut voimassa jo 2.2.2025 alkaen.
Siirtyikö korkean riskin tekoälyjärjestelmien määräaika, ja voiko asian unohtaa toistaiseksi? Määräaika siirtyi, mutta asiaa ei kannata unohtaa. Digital Omnibus on AI -asetus (EU) 2026/1744, joka tuli voimaan 27.7.2026, siirtää itsenäisten korkean riskin järjestelmien (liite III, mm. rekrytointi ja luottokelpoisuusarviointi) velvoitteet 2.8.2026:sta 2.12.2027:ään, ja tuotteisiin upotettujen järjestelmien (liite I) velvoitteet 2.8.2027:stä 2.8.2028:aan. Luokittelu ja valmistelu kannattaa silti aloittaa nyt. Komission luonnosohjeet korkean riskin luokittelusta auttavat itsearvioinnissa, mutta ne ovat yhä luonnos: kohdennettu kuuleminen päättyi 23.7.2026, ja komission mukaan lopulliset ohjeet hyväksytään vuoden 2026 loppuun mennessä.
Mitä 2.8.2026 voimaan tulleet velvoitteet tarkoittavat meille käytännössä? Kerro käyttäjille, kun he asioivat tekoälyn kanssa. 50 artiklan läpinäkyvyysvelvoitteet ovat voimassa 2.8.2026 alkaen Digital Omnibuksesta riippumatta: chatbotista on ilmoitettava, tekoälyllä tuotettu tai muokattu kuva-, ääni- ja videosisältö on merkittävä, ja yleistä etua koskeva tekoälyllä tuotettu teksti merkitään, ellei sitä ole tarkistanut ihminen. Traficomin ohjeen mukaan pelkkä maininta käyttöehdoissa tai dokumentaatiossa ei yleensä riitä, ja koneluettava merkintä voidaan tehdä esimerkiksi digitaalisella vesileimalla, metatietotunnisteella, kryptografisella alkuperän todentamisella, lokitiedoilla tai digitaalisella sormenjäljellä. Vähäiset muutokset, kuten kieliopin korjaukset, tiedostomuodon muunnokset ja kohinan vähentäminen, eivät edellytä merkintää. Vanhaa, ennen 2.8.2026 tuotettua tai julkaistua sisältöä ei tarvitse merkitä takautuvasti. Yksi siirtymäaika kuitenkin on. Traficomin 20.8.2026 julkaiseman tiedotteen mukaan ennen 2.8.2026 markkinoille saatettujen tekoälyjärjestelmien tarjoajien on täytettävä koneluettavan merkinnän vaatimus vasta 2.12.2026 mennessä, kun muut avoimuusvelvoitteet ovat olleet voimassa 2.8.2026 alkaen. Sääntelyhiekkalaatikkovaatimus ei kuulu tähän päivään: sen määräaika siirtyi vuoteen 2027.
Koskevatko AI Actin säännöt tekoälyagentteja, vai jäävätkö ne sääntelyn ulkopuolelle? Nykyiset määritelmät kattavat agentit, eikä omaa määritelmää tarvita. Näin tulkitsee komission AI Act Service Desk, jonka vastaukset ovat ohjeistusta eivätkä sitovaa sääntelyä. Agentti sisältää tyypillisesti vähintään yleiskäyttöisen tekoälymallin ja muodostaa tekoälyjärjestelmän, koska siinä on yleensä jonkinlainen käyttöliittymä, joten 3 artiklan 1 ja 63 alakohdan määritelmät riittävät. Käytännössä olennaisimpia ovat 5 artiklan kiellot haitallisesta manipuloinnista ja haavoittuvuuksien hyväksikäytöstä. Jos agentti on tarkoitettu vuorovaikutukseen ihmisten kanssa tai tuottaa sisältöä, 50 artiklan läpinäkyvyyssäännöt koskevat sitä 2.8.2026 alkaen. Jos agentti luokittuu korkean riskin järjestelmäksi, III luvun lisävaatimukset tulevat sovellettaviksi 2.12.2027 tai 2.8.2028.
Voiko sakkoja tulla jo nyt, vai vasta korkean riskin sääntöjen voimaantulon jälkeen? Sakkoja voi tulla jo nyt. 99 artiklan sakkokehikko on ollut voimassa 2.8.2025 alkaen: kiellettyjen käytäntöjen rikkomisesta enimmillään 35 miljoonaa euroa tai 7 % globaalista liikevaihdosta, useimmista muista rikkomuksista enimmillään 15 miljoonaa euroa tai 3 %, ja virheellisten tietojen antamisesta enimmillään 7,5 miljoonaa euroa tai 1 %. Pienemmälle yritykselle sovelletaan aina näistä alempaa kattoa.
Onko yleiskäyttöisten tekoälymallien käytännesäännöstö (GPAI Code of Practice) pakollinen meille, jos käytämme esimerkiksi OpenAI:n tai Googlen malleja? Ei ole. Käytännesäännöstö on vapaaehtoinen ja suunnattu mallien tarjoajille: OpenAI, Google, Anthropic ja Mistral ovat allekirjoittaneet sen, Meta on kieltäytynyt. Teille hyöty tulee välillisesti: säännöstön allekirjoittanut tarjoaja saa vaatimustenmukaisuusolettaman, mikä keventää omaa selvitystyötänne toimittajaa arvioidessa.
Onko tekoälysisällön läpinäkyvyyden käytännesäännöstö sama asia kuin mallien tarjoajien GPAI-säännöstö? Ei ole, ja nämä kaksi sekoitetaan usein. GPAI-säännöstö koskee mallien tarjoajia, kun taas tekoälysisällön läpinäkyvyyden käytännesäännöstö koskee 50 artiklan merkintä- ja tunnistevelvoitteita — siis myös tavallista yritystä, joka tuottaa tai julkaisee tekoälyllä tehtyä sisältöä. Heinäkuun loppuun mennessä säännöstön oli allekirjoittanut noin 190 organisaatiota. Komission mukaan noin puolet niistä on pieniä tai vasta perustettuja yrityksiä. Allekirjoittaminen on vapaaehtoista: se voi auttaa osoittamaan, miten yritys pyrkii täyttämään velvoitteet, mutta se ei yksin takaa vaatimustenmukaisuutta.
Kuka valvoo AI Actin noudattamista Suomessa, ja mistä saa apua? Valvonta jakautuu 15 viranomaisen kesken sektorin mukaan, ja Traficom toimii kansallisena yhteyspisteenä, joka koordinoi kokonaisuutta. Tietosuojavaltuutetun toimistolla on erityisen laaja rooli: se valvoo markkinoita tietyissä korkean riskin järjestelmissä, seuraa kiellettyjen käytäntöjen noudattamista ja huolehtii perusoikeuksien suojasta. Yleisiin kysymyksiin vastaa myös EU:n AI Act Service Desk, josta löytyy vaatimustenmukaisuustarkistin ja asiantuntija-apua usealla kielellä. Epäillystä rikkomuksesta ilmoitetaan komissiolle, jolla on kolme erillistä kanavaa. Yleisellä valitustyökalulla kuka tahansa voi ilmoittaa tarjoajan tai käyttöönottajan rikkomuksesta (85 artikla), mutta kanava ei ole anonyymi: valittajan on annettava henkilö- ja yhteystietonsa. Toinen kanava on yrityksille, jotka rakentavat oman tuotteensa jonkun toisen yleiskäyttöisen mallin päälle ja epäilevät mallin tarjoajan laiminlyöneen velvoitteensa (89(2) artikla). Kolmas on anonyymi väärinkäytöskanava, ja se on tarkoitettu vain henkilöille, joilla on ammatillinen yhteys tarjoajaan tai käyttöönottajaan.
Pitääkö kymmenen hengen yrityksen jo tehdä tekoälyriskikartoitus? Ei ole vielä pakollista, mutta on suositeltavaa. Korkean riskin liite III -velvoitteet siirtyivät 2.12.2027:ään, joten pienellä yrityksellä on aikaa. Silti kannattaa jo nyt hoitaa pakollinen AI-lukutaitokoulutus ja tehdä kevyt inventaario: mitä tekoälytyökaluja on käytössä ja koskettaako mikään niistä esimerkiksi rekrytointia, luottopäätöksiä tai biometriikkaa.
Onko meille kevennyksiä, jos yrityksemme on kasvanut pk-yrityksen kokoluokasta ulos? Mahdollisesti, jos mahdutte uuteen 'pieni midcap' -kategoriaan. Digital Omnibus on AI -asetus loi tämän luokan yrityksille, jotka eivät enää ole pk-yrityksiä mutta työllistävät alle 750 henkeä ja joiden vuosiliikevaihto on enintään 150 miljoonaa euroa tai taseen loppusumma enintään 129 miljoonaa euroa. Näille laajenevat mm. yksinkertaistetut teknisen dokumentaation mallipohjat, oikeasuhteisempi laadunhallintavaatimus, etusija sääntelyhiekkalaatikkoihin ja räätälöidyt sakkokatot.

Aikajana

2024-08-01: AI Act tulee voimaan Asetus (EU) 2024/1689 tulee voimaan, mutta velvoitteet alkavat vaiheittain vasta myöhemmin. Vahvistettu päivämäärä. Laji: prosessi.
2025-02-02: Kielletyt käytännöt ja AI-lukutaito 5 artiklan kielletyt tekoälykäytännöt (mm. sosiaalinen pisteytys, tunteiden tunnistus työpaikalla ja koulussa) sekä 4 artiklan AI-lukutaitovelvoite tulevat voimaan. Vahvistettu päivämäärä. Laji: velvoite.
2025-08-02: GPAI-velvoitteet, hallinto ja sanktiot Yleiskäyttöisten tekoälymallien (GPAI) tarjoajien velvoitteet ja 99 artiklan sakkokehikko tulevat voimaan. Vahvistettu päivämäärä. Laji: velvoite.
2025-11-19: Komissio antaa Digital Omnibus -ehdotuksen Euroopan komissio julkaisee digisääntelyn keventämispaketin, jonka osana ehdotetaan AI Actin aikataulujen ja vaatimusten muutoksia. Vahvistettu päivämäärä. Laji: prosessi.
2026-01-01: Suomen kansallinen valvonta käynnistyy Laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025) tulee voimaan. Traficom nimetään kansalliseksi yhteyspisteeksi, joka koordinoi 15:tä valvontaviranomaista. Vahvistettu päivämäärä. Laji: prosessi.
2026-05-07: Alustava sopu Digital Omnibus on AI:sta Neuvosto ja Euroopan parlamentti pääsevät alustavaan sopuun AI Actin muutospaketista, joka lykkää korkean riskin velvoitteita. Vahvistettu päivämäärä. Laji: prosessi.
2026-06-29: Neuvosto hyväksyy muutokset lopullisesti Neuvosto antaa lopullisen hyväksyntänsä sen jälkeen, kun Euroopan parlamentti oli hyväksynyt tekstin 16.6.2026. Vahvistettu päivämäärä. Laji: prosessi.
2026-07-08: Digital Omnibus on AI allekirjoitetaan Neuvoston ja parlamentin puheenjohtajat allekirjoittavat säädöksen. Se odottaa vielä julkaisua EU:n virallisessa lehdessä. Vahvistettu päivämäärä. Laji: prosessi.
2026-07-20: Komissio julkaisi ohjeet läpinäkyvyysvelvoitteista Komissio julkaisi ohjeet 50 artiklan läpinäkyvyysvelvoitteiden soveltamisesta kaksi viikkoa ennen niiden voimaantuloa. Ohjeet täsmentävät, keitä velvoitteet koskevat ja miten tekoälyllä tuotettu sisältö merkitään ja tunnisteet esitetään. Ne eivät ole sitovia eivätkä luo uusia velvoitteita, vaan kertovat komission tulkinnan. Vahvistettu päivämäärä. Laji: prosessi.
2026-07-23: Korkean riskin luokitteluohjeiden kuuleminen päättyi Komission kohdennettu kuuleminen korkean riskin tekoälyjärjestelmien luokitteluohjeiden luonnoksesta oli avoinna 19.5.–23.7.2026. Alkuperäistä kuuden viikon määräaikaa jatkettiin neljällä viikolla sidosryhmien pyynnöstä. Komission mukaan lopulliset ohjeet hyväksytään vuoden 2026 loppuun mennessä, joten ohjeet ovat toistaiseksi luonnos eivätkä komission virallinen tulkinta. Ehdotus, ei vielä sitova. Laji: prosessi.
2026-07-27: Digital Omnibus on AI julkaistu ja voimassa Muutosasetus (EU) 2026/1744 julkaistiin EU:n virallisessa lehdessä 24.7.2026 ja tuli voimaan kolmantena päivänä sen jälkeen, 27.7.2026. Aikataulu oli poikkeuksellisen nopea, jotta se ehti soveltua ennen AI Actin 2.8.2026 velvoitteita. Asetus muuttaa AI Actin lisäksi EU:n ilmailu- ja koneasetuksia. Vahvistettu päivämäärä. Laji: prosessi.
2026-07-31: EN 18286:2026 julkaistiin CEN ja CENELEC julkaisivat standardin EN 18286:2026, joka määrittelee tekoälyjärjestelmiä tarjoaville organisaatioille laadunhallintajärjestelmän vaatimukset ja tukee erityisesti 17 artiklan noudattamista korkean riskin järjestelmissä. CEN-CENELEC kuvaa sitä ensimmäiseksi AI Actin toimeenpanoa tukevaksi harmonisoiduksi eurooppalaiseksi standardiksi. Vaatimustenmukaisuusolettamaa se ei vielä tuota: 40 artiklan olettama syntyy vasta, kun standardin viite julkaistaan EU:n virallisessa lehdessä, eikä tiedote kerro viitteen tilaa. Vahvistettu päivämäärä. Laji: prosessi.
2026-08-02: Läpinäkyvyysvelvoitteet ja GPAI-täytäntöönpano 50 artiklan läpinäkyvyysvelvoitteet (chatbot-ilmoitukset, tekoälysisällön merkintä) tulevat voimaan, ja komissio saa täydet täytäntöönpanovaltuudet GPAI-malleja kohtaan. Sääntelyhiekkalaatikkovaatimus ei kuulu tähän päivään: se siirtyi vuoteen 2027. Vahvistettu päivämäärä. Laji: velvoite.
2026-12-02: Koneluettavan merkinnän siirtymäaika päättyy Ennen 2.8.2026 markkinoille saatettujen tekoälyjärjestelmien tarjoajien on täytettävä koneellisesti luettavaa merkintää koskeva vaatimus viimeistään tänä päivänä. Siirtymäaika koskee vain koneluettavaa merkintää ja vain ennen 2.8.2026 markkinoille saatettuja järjestelmiä. Muita 50 artiklan avoimuusvelvoitteita, kuten ilmoitusta siitä, että käyttäjä asioi tekoälyn kanssa, on sovellettu 2.8.2026 alkaen ilman siirtymäaikaa. Tieto on Traficomin 20.8.2026 julkaisemasta tiedotteesta. Vahvistettu päivämäärä. Laji: velvoite.
2026-12-02: Uusi kielto intiimikuvaston ja CSAM-materiaalin tuottamiselle Kielto suostumuksettoman intiimikuvaston ja CSAM-materiaalin tuottamiseen tarkoitetuille tekoälyjärjestelmille tulee voimaan. Kielto on peräisin Digital Omnibus on AI -asetuksesta. Vahvistettu päivämäärä. Laji: velvoite.
2027-08-02: Sääntelyhiekkalaatikko ja vanhojen GPAI-mallien määräaika Jokaisella jäsenvaltiolla on oltava vähintään yksi toimiva tekoälyn sääntelyhiekkalaatikko. Kyseessä on määräaika, jonka Digital Omnibus siirsi alkuperäisestä 2.8.2026:sta. Samana päivänä umpeutuu siirtymäaika ennen 2.8.2025 markkinoilla olleille GPAI-malleille. Vahvistettu päivämäärä. Laji: velvoite.
2027-12-02: Korkean riskin velvoitteet (liite III) Itsenäisten korkean riskin käyttötapausten (mm. rekrytointi, luottokelpoisuusarviointi, koulutus) velvoitteet tulevat voimaan. Alkuperäinen määräaika 2.8.2026 siirtyi Digital Omnibuksessa. Vahvistettu päivämäärä. Laji: velvoite.
2028-08-02: Korkean riskin velvoitteet tuotteisiin upotetuille järjestelmille (liite I) Jo säänneltyihin tuotteisiin (mm. lääkinnälliset laitteet, koneet) upotettujen korkean riskin tekoälyjärjestelmien velvoitteet tulevat voimaan. Alkuperäinen määräaika 2.8.2027 siirtyi Digital Omnibuksessa. Vahvistettu päivämäärä. Laji: velvoite.

Tuoreet ohjeet

2026-09-02: CEN julkaisi vapaaehtoisen työpajasopimuksen CWA 18398 tekoälyn ammatti- ja koulutusprofiileista CEN-CENELEC https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-09-02-cwa_arisa/
2026-08-20: Traficom julkaisi suomenkielisen ohjeen 50 artiklan avoimuusvelvoitteista Traficom https://www.traficom.fi/fi/tekoalyn-saantely/milloin-tekoalyn-kaytosta-pitaa-kertoa
2026-08-03: AI Office julkaisi yhteenvedon GPAI-säännöstön allekirjoittajien neljännestä kokouksesta Euroopan komissio https://digital-strategy.ec.europa.eu/en/news/fourth-gpai-signatory-taskforce-meeting
2026-07-31: Noin 190 organisaatiota allekirjoitti tekoälysisällön läpinäkyvyyden käytännesäännöstön Euroopan komissio https://digital-strategy.ec.europa.eu/en/news/strong-backing-code-practice-transparency-ai-generated-content
2026-07-31: Komissio kokosi AI Actin kolme valitus- ja ilmoituskanavaa Euroopan komissio https://digital-strategy.ec.europa.eu/en/policies/ai-act-complaints-tool
2026-07-31: EN 18286:2026 julkaistiin, viite EU:n virallisessa lehdessä yhä auki CEN-CENELEC https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-07-30-ai-quality-management/

Liittyvät säädökset

Digital Omnibus: EU:n Digital Omnibus -paketti Muutosasetus (EU) 2026/1744 siirsi korkean riskin määräaikoja, ja keventämispaketin muut osat ovat yhä kesken. /saatelywiki/digital-omnibus
GDPR: GDPR ja tietosuojalaki Henkilötietoja käsittelevä tekoäly tarvitsee GDPR:n mukaisen oikeusperusteen, ja käyttöönotto voi laukaista tietosuojan vaikutustenarvioinnin, jos käsittely todennäköisesti aiheuttaa korkean riskin. /saatelywiki/gdpr
Tuotevastuudirektiivi: EU:n uusi tuotevastuudirektiivi Uusi tuotevastuudirektiivi laskee tekoälyjärjestelmän tuotteeksi, joten sama järjestelmä voi kantaa ankaran tuotevastuun 9.12.2026 alkaen. /saatelywiki/tuotevastuu

Lähteet

Traficom: Tekoälyn sääntely https://traficom.fi/fi/tekoalyn-saantely (suomeksi)
Traficom: Milloin tekoälyn käytöstä pitää kertoa (50 artiklan avoimuusvelvoitteet) https://www.traficom.fi/fi/tekoalyn-saantely/milloin-tekoalyn-kaytosta-pitaa-kertoa (suomeksi)
Traficom (tiedote 20.8.2026): Tekoälyn käytöstä nyt kerrottava aiempaa avoimemmin, Traficom julkaisi ohjeet uusiin velvoitteisiin https://www.traficom.fi/fi/uutiset/tekoalyn-kaytosta-nyt-kerrottava-aiempaa-avoimemmin-traficom-julkaisi-ohjeet-uusiin-velvoitteisiin (suomeksi)
Tietosuojavaltuutetun toimisto: valvontaviranomaisten toimivaltuudet 1.1.2026 https://tietosuoja.fi/-/uudet-saannot-vahvistavat-luottamusta-tekoalyyn-tekoalyasetusta-valvovien-viranomaisten-toimivaltuudet-tulivat-voimaan-1.1 (suomeksi)
Finlex: Laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025) https://www.finlex.fi/fi/lainsaadanto/2025/1377 (suomeksi)
Traficom: Tekoälyn sääntelyn testiympäristöt https://traficom.fi/fi/viestinta/datatalous-ja-digipalvelut/tekoalyn-saantelyn-testiymparistot (suomeksi)
Työ- ja elinkeinoministeriö: hallituksen esitys tekoälyasetuksen kansallisesta täytäntöönpanosta (TEM091:00/2024) https://tem.fi/hanke?tunnus=TEM091:00/2024 (suomeksi)
Asetus (EU) 2024/1689 (EUR-Lex) https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689 (englanniksi)
Asetus (EU) 2026/1744 (EUR-Lex): Digital Omnibus on AI https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng (englanniksi)
Euroopan komissio: AI Actin sääntelykehys https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (englanniksi)
Euroopan komissio: täytäntöönpano ja läpinäkyvyysvelvoitteet käynnistyivät 2.8.2026 https://digital-strategy.ec.europa.eu/en/news/commission-starts-enforcing-ai-act-rules-and-new-transparency-requirements-2-august (englanniksi)
Neuvosto: Digital Omnibus on AI, lopullinen hyväksyntä https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/ (englanniksi)
AI Act Service Desk: usein kysytyt kysymykset https://ai-act-service-desk.ec.europa.eu/en/faq (englanniksi)
CEN-CENELEC: työpajasopimus CWA 18398, AI Professional Role Profiles and Educational Profiles (2.9.2026) https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-09-02-cwa_arisa/ (englanniksi)

Koko sivu tekstitiedostona Säädöskooste yhdellä sivulla