Riskiperusteiset säännöt tekoälyn kehittäjille ja käyttöönottajille.
Mikä se on EU:n tekoälyasetus eli AI Act (asetus (EU) 2024/1689) on maailman ensimmäinen kattava tekoälysäädös. Se tuli voimaan 1.8.2024, ja sen velvoitteet astuvat voimaan vaiheittain vuoteen 2028 asti. Asetus luokittelee tekoälyjärjestelmät riskin mukaan: osa käytännöistä on kokonaan kiellettyjä, korkean riskin järjestelmiä koskevat tiukat vaatimukset, ja suurinta osaa muista koskee lähinnä läpinäkyvyys. Keväällä ja kesällä 2026 EU sopi laajasta Digital Omnibus on AI -muutospaketista, joka keventää ja myöhentää erityisesti korkean riskin sääntöjä. Paketti allekirjoitettiin 8.7.2026 ja odottaa vielä julkaisua EU:n virallisessa lehdessä — se ei siis ole muodollisesti voimassa vielä tänään, mutta muutokset kannattaa ottaa huomioon jo suunnittelussa, sillä poliittinen sopu on tehty ja vahvistettu sekä parlamentissa että neuvostossa. Koskeeko sinua Koskee, jos organisaatiosi kehittää, tarjoaa tai käyttää tekoälyä — käytännössä lähes kaikkia yrityksiä. Ratkaisevaa on rooli: "tarjoaja" rakentaa tai markkinoi tekoälyjärjestelmän, "käyttöönottaja" ottaa sen käyttöön osana omaa toimintaansa. Valtaosa suomalaisista pk-yrityksistä on käyttöönottajia, kun ne käyttävät esimerkiksi ChatGPT-tyyppisiä työkaluja tai valmiiseen tekoälyyn nojaavia SaaS-ominaisuuksia. Käyttöönottajan velvoitteet ovat kevyempiä kuin tarjoajan, mutta silti todellisia: järjestelmää on käytettävä tarjoajan ohjeiden mukaan, sille on nimettävä pätevä ihmisvalvonta, vakavista häiriöistä on ilmoitettava ja henkilöstön AI-lukutaidosta on huolehdittava jo nyt. Jos yritys räätälöi, hienosäätää tai tuo markkinoille oman tekoälytuotteen, se voi muuttua tarjoajaksi ja saada laajemman velvoitejoukon: riskienhallinnan, teknisen dokumentaation ja tarvittaessa vaatimustenmukaisuuden arvioinnin. Keskeiset velvoitteet Kiellettyjä tekoälykäytäntöjä (5 artikla) ei saa käyttää — voimassa 2.2.2025 alkaen. Henkilöstön riittävästä AI-lukutaidosta on huolehdittava (4 artikla) — voimassa 2.2.2025 alkaen. Käyttöönottajan on käytettävä järjestelmää ohjeiden mukaan, nimettävä ihmisvalvonta ja ilmoitettava vakavista häiriöistä (26 artikla). Käyttäjälle on kerrottava, kun hän asioi tekoälyn kanssa, ja tekoälysisältö on merkittävä (50 artikla) — voimassa 2.8.2026 alkaen. Korkean riskin järjestelmiä (mm. rekrytointi, luottokelpoisuus, biometriikka) koskevat laajemmat vaatimukset tulevat voimaan vaiheittain 2027–2028. Rikkomuksista voi seurata sakko — enimmillään 35 miljoonaa euroa tai 7 % liikevaihdosta — sakkokehikko on ollut voimassa 2.8.2025 alkaen. Näin sovellat käytännössä Pk-SaaS, joka on rakentanut asiakaspalvelu-chatbotin OpenAI:n API:n päälle. Yritys on käyttöönottaja, ei korkean riskin tarjoaja. Elokuusta 2026 alkaen sen on kerrottava käyttäjille selvästi, että he asioivat tekoälyn kanssa. Ensimmäiset askeleet: varmista henkilöstön AI-lukutaito, pidä kirjaa chatbotin toiminnasta ja tarkista, onko käytetyn mallin tarjoaja allekirjoittanut GPAI-käytännesäännöstön — se pienentää toimittajariskiä. Verkkokauppa, joka käyttää tekoälyä suosituksiin ja hinnoitteluun. Suositus- ja hinnoittelutekoäly ei yleensä ole korkean riskin järjestelmä, joten lähiajan velvoitteet ovat läpinäkyvyys ja henkilöstön AI-lukutaito. Ensimmäinen askel: merkitse tekoälyllä tuotettu sisältö, esimerkiksi tuotekuvaukset, ja varmista, että profilointiin perustuva markkinointi täyttää myös muun kuluttajansuojalainsäädännön vaatimukset. HR-teknologiayritys, joka myy rekrytointi- ja soveltuvuusarviointityökaluja. Tämä on tyypillinen korkean riskin käyttötapaus (liite III). Velvoitteiden voimaantulo siirtyi 2.12.2027:ään, mutta asiakkaat alkavat vaatia näyttöä vaatimustenmukaisuudesta hyvissä ajoin ennen sitä. Ensimmäinen askel: käynnistä riskienhallintajärjestelmän ja teknisen dokumentaation rakentaminen nyt, älä vasta määräajan lähestyessä. Tietosuoja- tai compliance-konsulttiyritys, joka neuvoo asiakkaita AI Actin noudattamisessa. Yritys ei itse ole tyypillisesti tarjoaja tai käyttöönottaja, mutta sen neuvonnan arvo riippuu ajantasaisuudesta. Ensimmäinen askel: seuraa AI Act Service Deskiä ja komission luokitteluohjeita, ja auta asiakkaita erottamaan, mitkä velvoitteet (5 artiklan kiellot, 50 artiklan läpinäkyvyys, 99 artiklan sakot) ovat jo voimassa ja mitkä siirtyivät Digital Omnibuksessa. Suomessa Kansallinen valvonta perustuu lakiin eräiden tekoälyjärjestelmien valvonnasta (1377/2025), joka tuli voimaan 1.1.2026. Traficom toimii kansallisena yhteyspisteenä ja koordinoi 15:tä viranomaista, jotka jakautuvat markkinavalvontaviranomaisiin (mm. Tukes, Tulli) ja perusoikeusviranomaisiin. Tietosuojavaltuutetun toimistolla on näistä laajin rooli: se valvoo markkinoita tietyissä korkean riskin järjestelmissä, seuraa kiellettyjen käytäntöjen noudattamista ja huolehtii perusoikeuksien suojasta. Suomeen on tulossa myös toinen kansallisen lainsäädännön vaihe, joka perustaa pakollisen tekoälyn sääntelyhiekkalaatikon ja kriittisen infrastruktuurin korkean riskin järjestelmien rekisterin. Koska EU-tason sääntelyhiekkalaatikkovaatimus siirtyi Digital Omnibuksessa vuoteen 2027, myös tämän kansallisen lainsäädännön tarkka voimaantuloaika on vielä auki. Ajantasaista tietoa julkaisevat Traficom ja tietosuojavaltuutetun toimisto suomeksi — katso myös GDPR , sillä tekoälyn käyttöönotto on yleisin uusi henkilötietojen vaikutustenarvioinnin (DPIA) laukaiseva tekijä.