EU:n kyberkestävyyssäädös eli Cyber Resilience Act (CRA) asettaa laajasti pakollisia kyberturvallisuusvaatimuksia EU-markkinoilla tarjottaville digitaalisia elementtejä sisältäville tuotteille. Sääntelyn tavoitteena on parantaa ohjelmistojen ja laitteiden kyberturvallisuutta koko niiden elinkaaren ajan. Suurinta osaa kyberkestävyyssäädöksen velvoitteista aletaan soveltaa 11.12.2027, mutta osa ilmoitusvelvollisuuksista tulee sovellettavaksi jo 11.9.2026.
Tässä artikkelissa käymme läpi, mistä kyberkestävyyssäädöksessä on kyse, millaisia tuotteita ja toimijoita se koskee sekä mitä keskeisiä velvoitteita sääntely tuo yrityksille.
Mistä on kyse ja millaisiin yrityksiin säädös soveltuu?
Kyberkestävyyssäädös on EU-asetus, jolla asetetaan kyberturvallisuutta koskevia vaatimuksia digitaalisia elementtejä sisältäville tuotteille. Sääntelyn perusajatuksena on, että markkinoille saatettavien tuotteiden on oltava kyberturvallisia jo silloin, kun ne saatetaan markkinoille, ja niiden turvallisuudesta on huolehdittava myös tämän jälkeen koko tuotteen elinkaaren ajan.
Säädöksen soveltamisala on laaja. Se koskee EU-markkinoilla tarjottavia ohjelmistoja ja laitteita, joissa on digitaalisia elementtejä. Tuotteen käyttötarkoitukseen tai kohtuudella ennakoitavissa olevaan käyttöön on lisäksi kuuluttava suora tai epäsuora looginen tai fyysinen datayhteys laitteeseen tai verkkoon.
Kyberkestävyyssäädöksen soveltuminen ei riipu ensisijaisesti yrityksen toimialasta tai koosta, vaan siitä, millaisia tuotteita yritys tarjoaa EU-markkinoilla ja missä roolissa se toimii tuotteen toimitusketjussa. Laajimmat velvoitteet kohdistuvat valmistajiin, mutta säädös asettaa velvoitteita myös muille toimijoille. Säädöksen soveltuminen kannattaa tarkistaa esimerkiksi seuraavissa tilanteissa.
Ohjelmistoyhtiöt: mobiilisovellukset, tietokoneohjelmistot, käyttöjärjestelmät ja erikseen tarjottavat ohjelmistokomponentit voivat kuulua säädöksen piiriin. Sääntely ei rajoitu kuluttajatuotteisiin, vaan myös yritysasiakkaille tarjottavat ohjelmistot voivat kuulua sen soveltamisalaan.
SaaS-palveluyritykset: pelkkä selainpohjainen SaaS-palvelu ei lähtökohtaisesti ole säädöksen tarkoittama digitaalisia elementtejä sisältävä tuote. Tilanne voi kuitenkin olla toinen, jos palveluun liittyy asiakkaan laitteella toimiva ohjelmisto, kuten mobiili- tai työpöytäsovellus. Tällöin myös ohjelmiston toiminnan kannalta välttämätön, valmistajan toimesta tai vastuulla kehitetty taustaratkaisu voi kuulua samaan sääntelyn alaiseen tuotekokonaisuuteen.
Verkkoon kytkettäviä laitteita tarjoavat yritykset: esimerkiksi IoT-laitteet, älylaitteet, kamerat, reitittimet ja muut digitaalisia elementtejä sisältävät fyysiset tuotteet voivat kuulua sääntelyn piiriin.
Maahantuojat ja jakelijat: myös EU:n ulkopuolisen toimijan digitaalisia tuotteita EU-markkinoille tuoville yrityksille sekä digitaalisia tuotteita EU:ssa jakeleville yrityksille asetetaan säädöksessä omia tarkistus- ja reagointivelvollisuuksia.
Ohjelmistokehitystä ostavat yritykset: Säädös voi soveltua myös yrityksiin, joiden pääasiallista liiketoimintaa ei ole ohjelmistojen tai digitaalisten laitteiden kehittäminen. Nykyisin monen yrityksen palveluun tai tuotteeseen liittyy esimerkiksi asiakkaalle tarjottava mobiilisovellus, joka voi kuulua säädöksen soveltamisalaan. Yrityksen ei tarvitse itse koodata ohjelmistoa tai valmistaa laitetta ollakseen säädöksessä tarkoitettu valmistaja. Jos yritys teettää tuotteen suunnittelun, kehittämisen tai valmistamisen kolmannella osapuolella ja tarjoaa valmiin tuotteen omalla nimellään tai tavaramerkillään, valmistajan velvoitteet voivat tulla sovellettaviksi.
Avoimen lähdekoodin ohjelmistovastaavat: Säädöksessä tunnistetaan erikseen toimijat, jotka eivät ole tuotteen valmistajia, mutta tukevat järjestelmällisesti ja pitkäjänteisesti kaupalliseen toimintaan tarkoitettujen avoimen lähdekoodin ohjelmistojen kehittämistä ja varmistavat niiden toimintakelpoisuuden. Avoimen lähdekoodin ohjelmistovastaaviin sovelletaan valmistajia kevyempiä, niiden erityiseen asemaan mukautettuja velvoitteita.
Mitä valmistajalta edellytetään?
Valmistajan on huolehdittava siitä, että tuote täyttää kyberkestävyyssäädöksessä asetetut olennaiset kyberturvallisuusvaatimukset. Käytännössä valmistajan on arvioitava tuotteeseen liittyviä kyberturvallisuusriskejä ja otettava nämä riskit huomioon tuotteen suunnittelussa, kehittämisessä, tuotannossa ja ylläpidossa. Tuote on muun muassa suunniteltava siten, että sen tietoturvariskejä voidaan hallita asianmukaisesti.
Valmistajan on myös hallittava tuotteessa ilmenneitä haavoittuvuuksia. Tämä tarkoittaa esimerkiksi havaittujen haavoittuvuuksien käsittelyä, korjaavien päivitysten tarjoamista ja tuotteen turvallisuuden ylläpitämistä sääntelyssä edellytetyn tukijakson ajan.
Lisäksi valmistajan on laadittava tuotetta koskeva tekninen dokumentaatio ja suoritettava soveltuva vaatimustenmukaisuuden arviointi ennen tuotteen markkinoille saattamista.
Mitä vaatimustenmukaisuuden arviointi tarkoittaa?
Kyberkestävyyssäädös toimii tältä osin vastaavantyyppisellä logiikalla kuin EU:n muu tuotesääntely. Valmistajan on pystyttävä osoittamaan, että tuote täyttää sitä koskevat vaatimukset. Arviointimenettely riippuu tuotteen ominaisuuksista ja siitä, mihin tuoteluokkaan se kuuluu.
Useimpien tuotteiden osalta valmistaja voi arvioida vaatimustenmukaisuuden itse. Kyberturvallisuuden kannalta tärkeisiin ja kriittisiin tuotteisiin sovelletaan kuitenkin tiukempia arviointimenettelyjä. Tuoteluokasta ja käytettävistä standardeista tai sertifiointijärjestelmistä riippuen vaatimustenmukaisuuden arviointiin voidaan tällöin edellyttää myös ilmoitetun laitoksen osallistumista.
Kun tuotteen vaatimustenmukaisuus on osoitettu, valmistaja laatii EU-vaatimustenmukaisuusvakuutuksen ja kiinnittää tuotteeseen CE-merkinnän. Ohjelmistotuotteiden osalta CE-merkintä esitetään EU-vaatimustenmukaisuusvakuutuksessa tai ohjelmiston verkkosivustolla helposti ja suoraan saatavilla.
Milloin haavoittuvuuksista ja tietoturvapoikkeamista on ilmoitettava?
Yksi säädöksen keskeisistä uusista velvollisuuksista liittyy aktiivisesti hyödynnettyihin haavoittuvuuksiin ja vakaviin tietoturvapoikkeamiin. Valmistajalla on velvollisuus ilmoittaa tällaisista sääntelyn piiriin kuuluviin tuotteisiin liittyvistä haavoittuvuuksista tai poikkeamista viranomaisille keskitetyn raportointialustan kautta. Ensimmäinen ilmoitus on tehtävä jo 24 tunnin kuluessa siitä, kun valmistaja tulee tietoiseksi tapahtumasta. Asetuksessa on kuvattu määräajat myös tämän jälkeen annettavien tarkempien tietojen toimittamiselle.
Valmistajan on ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista myös tuotteen käyttäjille. Käyttäjille on annettava tieto myös mahdollisista toimenpiteistä, joilla käyttäjät voivat lieventää haavoittuvuuden tai poikkeaman vaikutuksia.
Ilmoitusvelvollisuudet tulevat sovellettaviksi jo 11.9.2026, eli huomattavasti muuta sääntelyä aikaisemmin. Käytännössä tämä tarkoittaa, että haavoittuvuuksien tunnistamiseen, sisäiseen eskalointiin ja viranomaisraportointiin liittyvien toimintamallien pitäisi olla kunnossa jo ennen kuin säädöksen muut velvoitteet tulevat täysimääräisesti sovellettaviksi.
Kuinka pitkään tuotteen kyberturvallisuudesta on huolehdittava?
Kyberkestävyyssäädös korostaa tuotteen koko elinkaaren aikaista turvallisuutta. Valmistajan on määritettävä tuotteelle tukiaika, jonka aikana se muun muassa käsittelee tuotteen haavoittuvuudet tehokkaasti ja tarjoaa tarvittavia tietoturvapäivityksiä. Tukiajan pituutta määriteltäessä on otettava huomioon muun muassa käyttäjien kohtuulliset odotukset, tuotteen luonne ja käyttötarkoitus sekä tuotteen odotettu käyttöaika. Tukiajan on lähtökohtaisesti oltava vähintään viisi vuotta, mutta jos tuotetta odotetaan käytettävän lyhyemmän ajan, tukiajan on vastattava odotettua käyttöaikaa.
Haavoittuvuuksiin on puututtava ja ne on korjattava viipymättä, esimerkiksi tarjoamalla tietoturvapäivityksiä. Tunnistettujen tietoturvaongelmien korjaamiseksi tarjottavat päivitykset on myös jaettava käyttäjille viipymättä ja lähtökohtaisesti maksutta, ellei räätälöidyn tuotteen osalta ole yrityskäyttäjän kanssa toisin sovittu. Tukiaikana julkaistu tietoturvapäivitys on pidettävä saatavilla vähintään kymmenen vuoden ajan sen julkaisemisesta tai jäljellä olevan tukiajan sen mukaan, kumpi ajanjaksoista on pidempi.
Mitä yrityksen kannattaa tehdä nyt?
Ensimmäinen kysymys on luonteva: kuuluuko jokin yrityksen tarjoamista tuotteista kyberkestävyyssäädöksen soveltamisalaan? Jos vastaus on kyllä, seuraavaksi kannattaa selvittää yrityksen rooli toimitusketjussa ja tunnistaa, mitä velvollisuuksia juuri kyseiseen rooliin liittyy.
Tämän jälkeen voidaan arvioida, miten nykyiset tuotekehitys-, haavoittuvuuksienhallinta-, dokumentointi- ja raportointiprosessit suhteutuvat uuden sääntelyn vaatimuksiin. Ensimmäisenä kannattaa luoda prosessi ilmoitusvelvollisuuksien noudattamiseksi, jotta valmius on olemassa jo ensimmäisten velvoitteiden tullessa sovellettaviksi.
Kyberkestävyyssäädöksessä on lopulta kyse melko perustavanlaatuisesta muutoksesta siinä, miten digitaalisten tuotteiden kyberturvallisuutta EU:ssa tarkastellaan. Tietoturva on jatkossa entistä useammin osa tuotteen lakisääteistä vaatimustenmukaisuutta, eikä vain hyvä käytäntö tai asiakkaan kanssa neuvoteltava vastuukysymys.
Katri Aarnio
Counsel
+358 50 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
EU:n tekoälyasetuksesta on puhuttu jo pitkään tulevaisuuden sääntelynä. Elokuussa 2026 tilanne on kuitenkin toinen. EU:n tekoälyasetus eli AI Act on ollut voimassa jo kaksi vuotta, ja merkittävä osa sen velvoitteista on tullut sovellettavaksi. Samalla asetusta on ehditty jo muuttaa. Heinäkuussa 2026 voimaan tullut AI Omnibus muun muassa siirsi suuririskisiä tekoälyjärjestelmiä koskevien velvoitteiden soveltamisaikoja myöhemmäksi.
Yritysten näkökulmasta tilanne on kaksijakoinen. Osa velvoitteista, kuten kiellettyjä tekoälykäytäntöjä ja läpinäkyvyyttä koskevat vaatimukset, soveltuvat jo nyt. Sen sijaan suuririskisiä tekoälyjärjestelmiä koskeviin raskaimpiin velvoitteisiin on vielä valmistautumisaikaa. Yritysten kannattaa kuitenkin jo nyt kartoittaa tekoälyn käyttötapansa, tunnistaa erikseen säännellyt käyttötapaukset ja varmistaa, että sisäiset toimintamallit ja sopimukset tukevat vaatimusten noudattamista.
Mitä tekoälyasetuksen velvoitteita sovelletaan jo nyt?
Tekoälyasetuksen ensimmäiset olennaiset velvoitteet tulivat sovellettaviksi jo helmikuussa 2025. Tuolloin voimaan tulivat muun muassa kiellettyjä tekoälykäytäntöjä koskevat säännökset. Myös henkilöstön tekoälylukutaitoa koskevia velvoitteita alettiin soveltaa. Heinäkuussa 2026 tekoälylukutaitoa koskevaa säännöstä kevennettiin, mutta tekoälyjärjestelmiä tarjoavilla tai käyttävillä yrityksillä on edelleen velvollisuus toteuttaa toimenpiteitä henkilöstönsä tekoälyosaamisen tukemiseksi.
Elokuusta 2025 lähtien yleiskäyttöisten tekoälymallien tarjoajia ovat koskeneet omat velvoitteensa. Tämä osa sääntelystä kohdistuu ennen kaikkea tekoälymallien kehittäjiin ja tarjoajiin, joten tavallinen yritys, joka esimerkiksi ostaa markkinoilta käyttöönsä tekoälytyökalun tai hyödyntää kolmannen osapuolen valmista tekoälymallia oman SaaS-palvelunsa taustalla, ei yleensä ole näiden velvoitteiden kohteena. Olennaista on siten tunnistaa oma rooli tekoälyn arvoketjussa.
Elokuun 2026 alussa voimaan tuli jälleen uusi merkittävä kokonaisuus. Nyt sovellettaviksi tulivat tekoälyasetuksen läpinäkyvyysvaatimukset. Esimerkiksi käyttäjälle on tietyissä tilanteissa kerrottava, että hän asioi tekoälyjärjestelmän eikä ihmisen kanssa. Myös tekoälyllä tuotettuun tai manipuloituun sisältöön liittyy uusia tunnistettavuutta ja merkitsemistä koskevia vaatimuksia.
Milloin suuririskisiä tekoälyjärjestelmiä koskevia velvoitteita aletaan soveltaa?
Yksi tekoälyasetuksen keskeisistä kokonaisuuksista koskee suuririskisiä tekoälyjärjestelmiä. Tällaisia voivat olla esimerkiksi tietyt rekrytoinnissa, työntekijöiden arvioinnissa, koulutuksessa, kriittisessä infrastruktuurissa tai biometrisessä tunnistamisessa käytettävät järjestelmät.
Näiden järjestelmien osalta aikataulu on kuitenkin muuttunut alkuperäisestä. Heinäkuussa 2026 voimaan tullut AI Omnibus siirsi tekoälyasetuksen liitteessä III tarkoitettuja suuririskisiä järjestelmiä koskevien velvoitteiden soveltamisen 2.12.2027 saakka. Säänneltyihin tuotteisiin, kuten tiettyihin koneisiin ja muihin fyysisiin tuotteisiin, sisältyvien suuririskisten tekoälyjärjestelmien osalta uusi määräpäivä on puolestaan 2.8.2028.
Lisäaika ei kuitenkaan tarkoita, että valmistautuminen kannattaisi aloittaa vasta myöhemmin. Suuririskisen järjestelmän tarjoajaan kohdistuvat vaatimukset liittyvät muun muassa riskienhallintaan, dokumentointiin, datanhallintaan, lokitukseen, ihmisen suorittamaan valvontaan ja vaatimustenmukaisuuden arviointiin. Myös käyttöönottajalle tulee velvoitteita esimerkiksi käyttöohjeiden noudattamiseen, ihmisen suorittamaan valvontaan, lokien säilyttämiseen tietyissä tilanteissa sekä järjestelmän käytön seuraamiseen ja vakavista vaaratilanteista ilmoittamiseen liittyen. Näihin käytännön toimintamalleihin on syytä alkaa varautua hyvissä ajoin. Prosessien rakentaminen jälkikäteen on usein huomattavasti hankalampaa kuin niiden huomioiminen jo järjestelmää kehitettäessä tai käyttöönottoa suunniteltaessa.
Miten yrityksen kannattaa valmistautua tekoälyasetukseen vuonna 2026?
Jokaiselle yritykselle luonteva ensimmäinen askel on selvittää, missä ja miten yritys käyttää tekoälyä. Monessa organisaatiossa tekoälyn käyttö on edennyt nopeasti ilman keskitettyä kokonaiskuvaa. Markkinointitiimi käyttää yhtä työkalua, henkilöstöhallinto toista, asiakaspalvelussa kokeillaan tekoälyavustajaa ja liiketoimintayksikkö hankkii samaan aikaan uutta järjestelmää, jonka toiminnallisuuksiin tekoäly on upotettu. Tekoälyasetuksen näkökulmasta näillä käyttötapauksilla voi olla hyvin erilainen merkitys.
Käytännössä yksi yleisimmistä käyttötapauksista, johon yrityksissä törmätään, liittyy henkilöstöhallintoon ja rekrytointiin. Tässä kohtaa kannattaa olla erityisen tarkkana, sillä esimerkiksi työnhakijoiden arviointiin, valintaan tai työntekijöiden suoriutumisen arviointiin käytettävä tekoäly voi kuulua suuririskisten tekoälyjärjestelmien piiriin. Tavanomaiselta ja tehokkuutta lisäävältä HR-työkalulta vaikuttava ratkaisu voi siis tuoda mukanaan huomattavasti laajempia tekoälyasetuksen mukaisia velvoitteita kuin yrityksessä ensi alkuun ajatellaan. Tekoälyasetuksen vaatimusten lisäksi käyttötapauksessa on luonnollisesti huomioitava myös muu soveltuva sääntely, kuten tietosuoja- ja työoikeudelliset velvoitteet.
Käyttötapauksia kartoittaessaan yritysten on syytä varmistaa, että järjestelmiä käytetään niiden suunnitellun käyttötarkoituksen mukaisesti. Jos käyttöönottaja tekee järjestelmään olennaisen muutoksen tai muuttaa sen käyttötarkoitusta siten, että järjestelmästä tulee suuririskinen esimerkiksi yllättävän HR-käytön myötä, käyttöönottajaa voidaan tekoälyasetuksen perusteella pitää järjestelmän tarjoajana. Tavallisella tekoälyä hyödyntävällä yrityksellä ei yleensä ole valmiuksia esimerkiksi järjestelmän rekisteröintiin, vaatimustenmukaisuuden osoittamiseen tai laajan laadunhallintajärjestelmän ylläpitämiseen, joten tällaiset tilanteet kannattaa tunnistaa ja ehkäistä jo etukäteen. Suuririskiseen käyttötarkoitukseen kannattaa siksi lähtökohtaisesti hankkia järjestelmä, jonka tarjoaja on nimenomaisesti tarkoittanut kyseiseen tarkoitukseen ja rekisteröinyt asianmukaisesti suuririskisenä tekoälyjärjestelmänä.
Yrityksen olisi tässä vaiheessa syytä muodostaa riittävä kokonaiskuva käytössä olevista ja suunnitteilla olevista tekoälyjärjestelmistä, niiden käyttötarkoituksista sekä yrityksen roolista suhteessa kuhunkin järjestelmään. Kartoituksen avulla voidaan tunnistaa mahdolliset kielletyt käyttötavat, läpinäkyvyysvelvoitteet ja suuririskiset käyttötapaukset sekä varmistaa, että myös sopimukset tukevat sääntelyn noudattamista. Sopimuksissa kannattaa kiinnittää huomiota erityisesti tarvittavan dokumentaation saatavuuteen, sallittuihin käyttötarkoituksiin, datan käyttöön, muutoshallintaan sekä siihen, kuka vastaa sääntelyn edellyttämistä muutoksista ja niiden kustannuksista. Myös henkilöstön tekoälylukutaitoa tukevat toimenpiteet, kuten koulutus ja ohjeistus, kannattaa suhteuttaa tunnistettuihin käyttötapoihin ja niiden riskiluokkiin.
Odottamisen aika alkaa olla ohi
Tekoälyasetuksen soveltaminen etenee edelleen vaiheittain, eikä yritysten tarvitse ratkaista kaikkia kysymyksiä kerralla. Elokuussa 2026 sääntely ei kuitenkaan enää ole horisontissa näkyvä tulevaisuuden ilmiö, vaan osa tämän päivän compliance-vaatimuksia. Komissio ja kansalliset viranomaiset ovat aloittaneet soveltuvien velvoitteiden täytäntöönpanon, ja myös seuraavat merkittävät määräajat ovat jo näkyvissä. Yritysten kannattaa siksi varmistaa jo nyt, että oma tekoälyn käyttö, sisäiset toimintamallit ja sopimukset ovat riittävän hyvällä pohjalla nykyisiä ja tulevia velvoitteita varten.
Autamme mielellämme tekoälyasetuksen soveltamiseen, tekoälyjärjestelmien käyttötapausten ja riskiluokitusten arviointiin sekä tekoälyä koskeviin sopimuksiin liittyvissä kysymyksissä.
Katri Aarnio
Counsel
+358 50 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
Tekoäly on tullut markkinointiin nopeasti ja melko vaivattomasti. Kuvia, videoita, ääntä, mainostekstejä ja kampanjaideoita syntyy hetkessä. Juridiikan näkökulmasta tämä ei kuitenkaan tarkoita, että markkinoinnin perussäännöt olisivat menettäneet merkityksensä. Pikemminkin tekoäly nostaa tutut kysymykset uudenlaiseen tarkasteluun: onko markkinointi totuudenmukaista, ymmärtääkö vastaanottaja, mitä hänelle näytetään, ja kuka vastaa lopputuloksesta?
Mihin uusiin sääntöihin ja ohjeisiin markkinoijan kannattaa kiinnittää huomiota?
Ajankohtaista keskustelua ohjaavat tällä hetkellä erityisesti kolme aineistokokonaisuutta. Ensinnäkin ICC on julkaissut ohjeen tekoälyn vastuullisesta käytöstä markkinoinnissa. Ohje täydentää ICC:n markkinointisääntöjä ja korostaa, että markkinoinnin on oltava lainmukaista, asiallista, rehellistä ja totuudenmukaista riippumatta siitä, mitä teknologiaa sen tuottamisessa käytetään. ICC:n ohje on luonteeltaan itsesääntelyä, ei suoraan velvoittavaa lainsäädäntöä. Käytännössä sillä voi silti olla merkitystä, kun arvioidaan sitä, millaista huolellisuutta vastuulliselta markkinoijalta voidaan odottaa.
Toiseksi EU:n tekoälyasetuksen 50 artikla tuo markkinointiin sitovia läpinäkyvyysvelvoitteita. Nämä läpinäkyvyysvelvoitteet tulevat monelta osin sovellettaviksi 2.8.2026, ja ne koskevat muun muassa tilanteita, joissa henkilö on vuorovaikutuksessa tekoälyjärjestelmän kanssa tai altistuu tietyille tekoälyllä tuotetuille tai muokatuille sisällöille. Kolmanneksi komissio on julkaissut 50 artiklaa koskevat soveltamisohjeet luonnoksena, ja tekoälyllä tuotetun sisällön merkitsemistä koskeva Code of Practice on valmisteilla. Komission luonnoksen mukaan ohjeistus on nimenomaan käytännön tulkinta-apua, eikä se ole sitova lopullinen tulkinta tekoälyasetuksesta.
Lähtökohtana ei ole automaattinen ilmoitusvelvollisuus
Tekoälyä voidaan hyödyntää monilla tavoin markkinointiprosessien eri vaiheissa, joten on hyvä tunnistaa, että tekoälyn käytöstä markkinoinnissa ei tarvitse automaattisesti kertoa kaikissa tilanteissa. ICC:n ohje sanoo tämän varsin suoraan, eikä tekoälyasetuskaan luo automaattista ilmoitusvelvollisuutta. Pelkkä generatiivisen tekoälyn käyttö mainosmateriaalien tai markkinointiviestinnän luomisessa ei itsessään edellytä ilmoitusta. Ratkaisevaa on, voiko tekoälyn käytöstä kertomatta jättäminen antaa vastaanottajalle harhaanjohtavan kokonaisvaikutelman. Jos voi, ilmoitus saattaa olla tarpeen.
Deepfake-sisältö on markkinoinnin riskialuetta
Tekoälyasetuksen 50 artikla konkretisoi tekoälyn käytöstä ilmoittamisen tietyissä tilanteissa lakisääteiseksi velvoitteeksi. Markkinoinnin kannalta kiinnostavin esimerkki on deepfake-sisältö eli syväväärennökset. Asetuksen mukaan tekoälyjärjestelmän käyttöönottajan on ilmoitettava, jos kuva-, ääni- tai videosisältö on tekoälyllä tuotettu tai muokattu siten, että se muodostaa syväväärennöksen. Tekoälyasetuksen ja komission ohjeistusluonnoksen mukaan syväväärennöksessä on kyse sisällöstä, joka muistuttaa olemassa olevia henkilöitä, esineitä, paikkoja, toimijoita tai tapahtumia ja voisi virheellisesti vaikuttaa aidolta tai totuudenmukaiselta.
Tämä määritelmä on markkinoinnissa merkityksellinen, koska syväväärennökset eivät rajoitu vain tilanteisiin, joissa jäljitellään tunnettua henkilöä. Myös esimerkiksi olemassa olevaa paikkaa, tapahtumaa tai tuotteen käyttökontekstia realistisesti kuvaava tekoälysisältö voi tulla arvioitavaksi deepfake-sääntelyn kautta, jos vastaanottaja voisi erehtyä pitämään sitä aitona. Markkinointikontekstissa kyse voisi olla esimerkiksi tekoälyllä luodusta videosta, jossa realistiset “asiakkaat” käyttävät tuotetta aidolta vaikuttavassa tilanteessa.
ICC:n ohje vie tarkastelun vielä käytännönläheisemmälle tasolle. Jos tekoälyllä luodaan tai olennaisesti muokataan todellisen ja tunnistettavan henkilön kuvaa, ääntä tai muuta hahmoa markkinointitarkoituksiin, henkilön lupa tulisi lähtökohtaisesti hankkia ja luvan rajoja kunnioittaa. Käytännössä markkinoijan on siis arvioitava erikseen sekä se, saako henkilöä esittävää sisältöä käyttää, että se, pitääkö tekoälyn käytöstä kertoa yleisölle. Tekoälyasetuksen 50 artikla ei varsinaisesti ota kantaa suostumuskysymykseen, vaan keskittyy läpinäkyvyyteen. Myös komission ohjeistusluonnos kuitenkin muistuttaa, että deepfake-sisältöön voi liittyä tietosuoja-, immateriaalioikeus- ja persoonallisuusoikeudellisia kysymyksiä.
Ilmoituksen on huomioitava vastaanottajan näkökulma
Toinen olennainen kysymys on kohderyhmä. Sekä ICC:n ohje että tekoälyasetuksen 50 artiklan ohjeistusluonnos korostavat, että ilmoituksen ymmärrettävyyttä on arvioitava yleisön näkökulmasta. Erityisesti lapsille, iäkkäille tai muuten haavoittuvassa asemassa oleville suunnatussa markkinoinnissa kynnys kertoa tekoälyn käytöstä voi käytännössä olla matalampi. Ilmoituksen on oltava sellainen, että juuri kyseinen yleisö ymmärtää sen. Pelkkä tekninen merkintä, käyttöehtoihin piilotettu lause tai epäselväksi jäävä tekoälyyn viittaava ilmaisu ei välttämättä riitä. Komission luonnoksen mukaan tieto on annettava selkeästi ja erottuvasti viimeistään ensimmäisen vuorovaikutuksen tai altistumisen yhteydessä, eikä se saa jäädä esimerkiksi käyttöohjeen tai valikkorakenteen taakse.
Code of Practice -luonnoksessa tätä ajatusta viedään pidemmälle. Sen mukaan syväväärennösten ja tiettyjen tekoälyllä tuotettujen tekstien merkintöjen tulisi olla helposti havaittavia, saavutettavia ja sisältömuotoon sopivia. Luonnoksessa ehdotetaan myös EU-laajuisen yhteisen AI-ikonin kehittämistä ja mahdollisuutta toiseen tietokerrokseen, jossa kerrottaisiin tarkemmin, mitä sisällössä on tuotettu tai muokattu tekoälyllä. Käytännön kannalta kiinnostavaa on myös ajatus siitä, että merkinnän tulisi mahdollisuuksien mukaan “kulkea sisällön mukana”, esimerkiksi silloin kun video tai kuva jaetaan eri kanaviin.
Vastuu tekoälyn käytöstä on rakennettava osaksi markkinoinnin prosesseja
Yrityksille tämä tarkoittaa, että tekoälyn käyttö markkinoinnissa ei ole vain luovan tiimin työkaluvalinta. ICC:n ohje korostaa, että markkinoija vastaa markkinoinnistaan, vaikka kampanja olisi toteutettu toimiston, vaikuttajan, alustatoimijan tai tekoälytyökalun avulla. Organisaatioiden tulisi päivittää sisäistä koulutusta ja ohjeistusta niin, että markkinoinnin parissa työskentelevät ymmärtävät vastuunsa. Tekoälyasetuksessa sama tavoite näkyy tekoälylukutaitoa koskevissa velvoitteissa: yrityksen on huolehdittava siitä, että tekoälyä käyttävillä henkilöillä on riittävä ymmärrys tekoälyn mahdollisuuksista, rajoituksista ja riskeistä.
Käytännössä vastuullisen markkinoijan on huomioitava ainakin kolme perusasiaa. Ensin on tunnistettava, missä kampanjan osissa tekoälyä käytetään ja onko tekoälyn käytöstä lopputuloksessa ilmoitettava tekoälyasetuksen mukaisesti. Sen jälkeen on arvioitava, voiko tekoälyn käytön kertomatta jättäminen johtaa harhaanjohtavaan vaikutelmaan myös tilanteissa, joissa asetuksen nimenomainen ilmoitusvelvollisuus ei sovellu. Lopuksi on varmistettava, että sopimukset mainostoimistojen, vaikuttajien ja teknologiatoimittajien kanssa tukevat tätä. Markkinoijan pitäisi tietää, milloin tekoälyä on käytetty lopputuloksen luomiseksi, jotta markkinoija pystyy tarvittaessa täyttämään omat velvoitteensa.
Tekoälyn käyttö markkinoinnissa ei ole automaattisesti ongelmallista. Se voi päinvastoin parantaa laatua, nopeuttaa tuotantoa ja avata uusia luovia mahdollisuuksia. Mitä aidommalta tekoälyllä tuotettu sisältö näyttää ja kuulostaa, sitä tärkeämmäksi kuitenkin muuttuu kysymys siitä, ymmärtääkö vastaanottaja, mitä hänelle esitetään. Tässä mielessä ICC:n ohje ja tekoälyasetuksen 50 artikla kulkevat samaan suuntaan. Molemmat muistuttavat, että luottamus on markkinoinnin kovaa ydintä. Jos tekoälyn käyttö murentaa sitä, tekninen tehokkuus voi nopeasti muuttua juridiseksi riskiksi ja mainehaitaksi.
Valmistautuminen kannattaa aloittaa ajoissa
Lopullista tulkintakäytäntöä odotetaan vielä. Komission 50 artiklaa koskeva ohjeistus ja Code of Practice ovat luonnosvaiheessa, ja myös ICC on todennut päivittävänsä ohjettaan teknologian ja käytäntöjen kehittyessä. Yritysten kannattaa kuitenkin varautua velvoitteisiin jo nyt päivittämällä prosessinsa, ohjeistuksensa, sopimuksensa ja hyväksymiskäytäntönsä, koska elokuusta 2026 alkaen läpinäkyvyys on monessa tilanteessa entistä konkreettisemmin suora lakisääteinen velvollisuus.
Katri Aarnio
Counsel
+358 50 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.