EU:n tekoälyasetuksesta on puhuttu jo pitkään tulevaisuuden sääntelynä. Elokuussa 2026 tilanne on kuitenkin toinen. EU:n tekoälyasetus eli AI Act on ollut voimassa jo kaksi vuotta, ja merkittävä osa sen velvoitteista on tullut sovellettavaksi. Samalla asetusta on ehditty jo muuttaa. Heinäkuussa 2026 voimaan tullut AI Omnibus muun muassa siirsi suuririskisiä tekoälyjärjestelmiä koskevien velvoitteiden soveltamisaikoja myöhemmäksi.
Yritysten näkökulmasta tilanne on kaksijakoinen. Osa velvoitteista, kuten kiellettyjä tekoälykäytäntöjä ja läpinäkyvyyttä koskevat vaatimukset, soveltuvat jo nyt. Sen sijaan suuririskisiä tekoälyjärjestelmiä koskeviin raskaimpiin velvoitteisiin on vielä valmistautumisaikaa. Yritysten kannattaa kuitenkin jo nyt kartoittaa tekoälyn käyttötapansa, tunnistaa erikseen säännellyt käyttötapaukset ja varmistaa, että sisäiset toimintamallit ja sopimukset tukevat vaatimusten noudattamista.
Mitä tekoälyasetuksen velvoitteita sovelletaan jo nyt?
Tekoälyasetuksen ensimmäiset olennaiset velvoitteet tulivat sovellettaviksi jo helmikuussa 2025. Tuolloin voimaan tulivat muun muassa kiellettyjä tekoälykäytäntöjä koskevat säännökset. Myös henkilöstön tekoälylukutaitoa koskevia velvoitteita alettiin soveltaa. Heinäkuussa 2026 tekoälylukutaitoa koskevaa säännöstä kevennettiin, mutta tekoälyjärjestelmiä tarjoavilla tai käyttävillä yrityksillä on edelleen velvollisuus toteuttaa toimenpiteitä henkilöstönsä tekoälyosaamisen tukemiseksi.
Elokuusta 2025 lähtien yleiskäyttöisten tekoälymallien tarjoajia ovat koskeneet omat velvoitteensa. Tämä osa sääntelystä kohdistuu ennen kaikkea tekoälymallien kehittäjiin ja tarjoajiin, joten tavallinen yritys, joka esimerkiksi ostaa markkinoilta käyttöönsä tekoälytyökalun tai hyödyntää kolmannen osapuolen valmista tekoälymallia oman SaaS-palvelunsa taustalla, ei yleensä ole näiden velvoitteiden kohteena. Olennaista on siten tunnistaa oma rooli tekoälyn arvoketjussa.
Elokuun 2026 alussa voimaan tuli jälleen uusi merkittävä kokonaisuus. Nyt sovellettaviksi tulivat tekoälyasetuksen läpinäkyvyysvaatimukset. Esimerkiksi käyttäjälle on tietyissä tilanteissa kerrottava, että hän asioi tekoälyjärjestelmän eikä ihmisen kanssa. Myös tekoälyllä tuotettuun tai manipuloituun sisältöön liittyy uusia tunnistettavuutta ja merkitsemistä koskevia vaatimuksia.
Milloin suuririskisiä tekoälyjärjestelmiä koskevia velvoitteita aletaan soveltaa?
Yksi tekoälyasetuksen keskeisistä kokonaisuuksista koskee suuririskisiä tekoälyjärjestelmiä. Tällaisia voivat olla esimerkiksi tietyt rekrytoinnissa, työntekijöiden arvioinnissa, koulutuksessa, kriittisessä infrastruktuurissa tai biometrisessä tunnistamisessa käytettävät järjestelmät.
Näiden järjestelmien osalta aikataulu on kuitenkin muuttunut alkuperäisestä. Heinäkuussa 2026 voimaan tullut AI Omnibus siirsi tekoälyasetuksen liitteessä III tarkoitettuja suuririskisiä järjestelmiä koskevien velvoitteiden soveltamisen 2.12.2027 saakka. Säänneltyihin tuotteisiin, kuten tiettyihin koneisiin ja muihin fyysisiin tuotteisiin, sisältyvien suuririskisten tekoälyjärjestelmien osalta uusi määräpäivä on puolestaan 2.8.2028.
Lisäaika ei kuitenkaan tarkoita, että valmistautuminen kannattaisi aloittaa vasta myöhemmin. Suuririskisen järjestelmän tarjoajaan kohdistuvat vaatimukset liittyvät muun muassa riskienhallintaan, dokumentointiin, datanhallintaan, lokitukseen, ihmisen suorittamaan valvontaan ja vaatimustenmukaisuuden arviointiin. Myös käyttöönottajalle tulee velvoitteita esimerkiksi käyttöohjeiden noudattamiseen, ihmisen suorittamaan valvontaan, lokien säilyttämiseen tietyissä tilanteissa sekä järjestelmän käytön seuraamiseen ja vakavista vaaratilanteista ilmoittamiseen liittyen. Näihin käytännön toimintamalleihin on syytä alkaa varautua hyvissä ajoin. Prosessien rakentaminen jälkikäteen on usein huomattavasti hankalampaa kuin niiden huomioiminen jo järjestelmää kehitettäessä tai käyttöönottoa suunniteltaessa.
Miten yrityksen kannattaa valmistautua tekoälyasetukseen vuonna 2026?
Jokaiselle yritykselle luonteva ensimmäinen askel on selvittää, missä ja miten yritys käyttää tekoälyä. Monessa organisaatiossa tekoälyn käyttö on edennyt nopeasti ilman keskitettyä kokonaiskuvaa. Markkinointitiimi käyttää yhtä työkalua, henkilöstöhallinto toista, asiakaspalvelussa kokeillaan tekoälyavustajaa ja liiketoimintayksikkö hankkii samaan aikaan uutta järjestelmää, jonka toiminnallisuuksiin tekoäly on upotettu. Tekoälyasetuksen näkökulmasta näillä käyttötapauksilla voi olla hyvin erilainen merkitys.
Käytännössä yksi yleisimmistä käyttötapauksista, johon yrityksissä törmätään, liittyy henkilöstöhallintoon ja rekrytointiin. Tässä kohtaa kannattaa olla erityisen tarkkana, sillä esimerkiksi työnhakijoiden arviointiin, valintaan tai työntekijöiden suoriutumisen arviointiin käytettävä tekoäly voi kuulua suuririskisten tekoälyjärjestelmien piiriin. Tavanomaiselta ja tehokkuutta lisäävältä HR-työkalulta vaikuttava ratkaisu voi siis tuoda mukanaan huomattavasti laajempia tekoälyasetuksen mukaisia velvoitteita kuin yrityksessä ensi alkuun ajatellaan. Tekoälyasetuksen vaatimusten lisäksi käyttötapauksessa on luonnollisesti huomioitava myös muu soveltuva sääntely, kuten tietosuoja- ja työoikeudelliset velvoitteet.
Käyttötapauksia kartoittaessaan yritysten on syytä varmistaa, että järjestelmiä käytetään niiden suunnitellun käyttötarkoituksen mukaisesti. Jos käyttöönottaja tekee järjestelmään olennaisen muutoksen tai muuttaa sen käyttötarkoitusta siten, että järjestelmästä tulee suuririskinen esimerkiksi yllättävän HR-käytön myötä, käyttöönottajaa voidaan tekoälyasetuksen perusteella pitää järjestelmän tarjoajana. Tavallisella tekoälyä hyödyntävällä yrityksellä ei yleensä ole valmiuksia esimerkiksi järjestelmän rekisteröintiin, vaatimustenmukaisuuden osoittamiseen tai laajan laadunhallintajärjestelmän ylläpitämiseen, joten tällaiset tilanteet kannattaa tunnistaa ja ehkäistä jo etukäteen. Suuririskiseen käyttötarkoitukseen kannattaa siksi lähtökohtaisesti hankkia järjestelmä, jonka tarjoaja on nimenomaisesti tarkoittanut kyseiseen tarkoitukseen ja rekisteröinyt asianmukaisesti suuririskisenä tekoälyjärjestelmänä.
Yrityksen olisi tässä vaiheessa syytä muodostaa riittävä kokonaiskuva käytössä olevista ja suunnitteilla olevista tekoälyjärjestelmistä, niiden käyttötarkoituksista sekä yrityksen roolista suhteessa kuhunkin järjestelmään. Kartoituksen avulla voidaan tunnistaa mahdolliset kielletyt käyttötavat, läpinäkyvyysvelvoitteet ja suuririskiset käyttötapaukset sekä varmistaa, että myös sopimukset tukevat sääntelyn noudattamista. Sopimuksissa kannattaa kiinnittää huomiota erityisesti tarvittavan dokumentaation saatavuuteen, sallittuihin käyttötarkoituksiin, datan käyttöön, muutoshallintaan sekä siihen, kuka vastaa sääntelyn edellyttämistä muutoksista ja niiden kustannuksista. Myös henkilöstön tekoälylukutaitoa tukevat toimenpiteet, kuten koulutus ja ohjeistus, kannattaa suhteuttaa tunnistettuihin käyttötapoihin ja niiden riskiluokkiin.
Odottamisen aika alkaa olla ohi
Tekoälyasetuksen soveltaminen etenee edelleen vaiheittain, eikä yritysten tarvitse ratkaista kaikkia kysymyksiä kerralla. Elokuussa 2026 sääntely ei kuitenkaan enää ole horisontissa näkyvä tulevaisuuden ilmiö, vaan osa tämän päivän compliance-vaatimuksia. Komissio ja kansalliset viranomaiset ovat aloittaneet soveltuvien velvoitteiden täytäntöönpanon, ja myös seuraavat merkittävät määräajat ovat jo näkyvissä. Yritysten kannattaa siksi varmistaa jo nyt, että oma tekoälyn käyttö, sisäiset toimintamallit ja sopimukset ovat riittävän hyvällä pohjalla nykyisiä ja tulevia velvoitteita varten.
Autamme mielellämme tekoälyasetuksen soveltamiseen, tekoälyjärjestelmien käyttötapausten ja riskiluokitusten arviointiin sekä tekoälyä koskeviin sopimuksiin liittyvissä kysymyksissä.
Katri Aarnio
Counsel
+358 50 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
Tekoäly on monessa organisaatiossa arkipäivää. Osassa yrityksistä implementoidaan jo johdonmukaisesti tekoälystrategiaa, ja osa on matkalla vasta alkuvaiheessa. Todellisuus on kuitenkin se, että monissa organisaatioissa tekoälyä hyödynnetään laajasti eri toiminnoissa joko yrityksen valitsemilla työkaluilla tai henkilöstön itse käyttöönottamilla versioilla.
Moni yritys on tilanteessa, jossa yhtenäistä ohjeistusta tekoälyn käyttämisestä ei ole ehditty rakentamaan. Toisinaan ohjeistusta on olemassa, mutta se on laadittu ennen kuin EU:n tekoälyasetuksen vaatimukset ovat tulleet ajankohtaisiksi. Viimeistään nyt on oikea hetki varmistaa, että yrityksen omat tekoälykäytännöt ja osaaminen ovat ajan tasalla. Tämä on kriittistä myös sen varmistamiseksi, että henkilöstöllä on tekoälyasetuksen edellyttämä riittävä tekoälylukutaito.
Mihin tekoälyohjeistusta tarvitaan?
Tekoälyohjeistus ei ole pelkkä muodollisuus, vaan käytännön väline, jolla yritys varmistaa tekoälyn vastuullisen ja turvallisen hyödyntämisen. Se on samalla keino vastata uusiin sääntelyvaatimuksiin ja luoda edellytykset tehokkaalle innovoinnille.
Tekoälylukutaidon varmistaminen: Ensinnäkin ohjeistus tukee tekoälyasetuksen edellyttämää riittävää tekoälylukutaitoa. Helmikuusta 2025 alkaen jokaisella tekoälyä hyödyntävällä organisaatiolla on ollut velvollisuus parhaansa mukaan huolehtia siitä, että henkilöstöllä on riittävä ymmärrys tekoälyn riskeistä, mahdollisuuksista ja sen mahdollisesti aiheuttamista vahingoista. Hyvin laadittu tekoälyohjeistus on keskeinen osa tätä organisatorista ja koulutuksellista velvoitetta. Euroopan komissio on myös vihjannut, että tekoälyasetuksen rikkomistilanteissa sanktioita ja muita seuraamuksia voidaan todennäköisemmin määrätä, jos tekoälylukutaitovelvoitetta on laiminlyöty.
Kannustava vaikutus: Selkeät pelisäännöt rohkaisevat henkilöstöä käyttämään tekoälyä. Kun työntekijöillä on varmuus siitä, mikä on sallittua ja mikä ei, tekoälyn käyttö muuttuu varovaisesta kokeilusta suunnitelmalliseksi toiminnan kehittämiseksi. Ohjeistus luo turvaa, joka kannustaa kokeilemaan ja löytämään uusia tapoja tehostaa työtä ilman pelkoa siitä, että tekoälyn käyttö voisi vahingossa johtaa sopimus- tai sääntelyvelvoitteiden rikkomiseen tai muiden riskien realisoitumiseen. Näin ohjeistus toimii paitsi riskienhallinnan myös innovoinnin välineenä.
Piilokäytön hallinta: Tekoälyohjeistus auttaa tunnistamaan ja hallitsemaan piilokäyttöä ja varjo-AI:ta. Monessa organisaatiossa tekoälytyökalut ovat tulleet käyttöön työntekijöiden omatoimisesti valitsemien sovellusten kautta. Kun käyttöä ei tunnisteta, sen riskejä ei voida myöskään hallita. Ohjeistus tekee tekoälyn käytön näkyväksi ja mahdollistaa henkilöstön ohjeistamisen myös sellaisten työkalujen osalta, joita työntekijät ottavat omatoimisesti käyttöön ilman erillistä hyväksyntää. Sen sijaan tekoälyn yksiselitteinen kieltäminen ei välttämättä vähennä riskejä – vaan päinvastoin – sillä tällöin henkilöstöä ei voida luontevasti ohjeistaa tarkemmista toimintamalleista.
Liikesalaisuuksien ja henkilötietojen suojaaminen: Yksi tekoälyohjeistuksen tärkeimmistä tehtävistä on luoda selkeät rajat sille, miten liikesalaisuuksia ja henkilötietoja saa hyödyntää tekoälyn yhteydessä. Kun työntekijä syöttää tekoälytyökaluun asiakasdataa, sisäisiä suunnitelmia tai henkilötietoja, voi seurauksena olla tietojen leviäminen organisaation kontrollin ulkopuolelle. Ohjeistus määrittää käytännön säännöt sille, mitä tietoa saa käyttää, millä ehdoilla ja missä ympäristöissä. Näin se suojaa sekä yrityksen että sen sidosryhmien intressejä.
Tekoälysäädöksen vaatimusten toteuttaminen: Tekoälyohjeistus auttaa jalkauttamaan tekoälysääntelyn edellyttämät toimintamallit ja rajoitukset organisaatioon. Tekoälyasetus asettaa erityisesti suuririskisten käyttötapausten osalta velvoitteita esimerkiksi datan hallinnasta, lokitietojen säilyttämisestä sekä käytön seurannasta ja valvonnasta. Pelkkä tieto velvoitteista ei riitä, vaan ne on vietävä käytäntöön siten, että ne näkyvät päivittäisissä prosesseissa ja päätöksenteossa. Ohjeistus toimii tässä sillanrakentajana juridiikan ja käytännön työn välillä.
Luottamuksen rakentaminen sidosryhmiin: Tekoälyohjeistus on myös viesti ulospäin. Kun yritys pystyy osoittamaan, että tekoälyä käytetään harkitusti ja vastuullisesti, se rakentaa luottamusta asiakkaisiin, yhteistyökumppaneihin ja viranomaisiin. Luottamus puolestaan vahvistaa yrityksen mainetta ja erottaa sen positiivisesti kilpailijoista. Tekoälyohjeistus on siten yhtä aikaa riskienhallintatyökalu, koulutusväline ja strateginen viesti vastuullisesta toiminnasta.
Tekoälyohjeistus on investointi kestävään tulevaisuuteen
Tekoälyn hyödyntäminen tuo mukanaan uudenlaisia riskejä, mutta myös valtavasti mahdollisuuksia. Selkeä tekoälyohjeistus auttaa tekemään tekoälystä aidosti liiketoiminnan vahvuuden, sillä se mahdollistaa uudenlaisen innovoinnin varmistaen samalla, että riskit hallitaan asianmukaisesti.
Olipa tekoäly olennainen osa yrityksen arkea tai vasta kokeilun tasolla, nyt on oikea aika varmistaa, että ohjeistus ja koulutus ovat ajan tasalla.
Katri Aarnio
Counsel
050 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.