Tekoälyä käytetään jo laajasti osana yritysten arkea. Chatbotit palvelevat asiakkaita, generatiivisella tekoälyllä tuotetaan tekstiä, kuvia ja videoita, ja tekoälyä hyödynnetään esimerkiksi markkinoinnissa, journalistisessa työssä, ohjelmistokehityksessä ja koulutuksessa.
Olemme aiemmin kirjoittaneet tekoälyasetuksen keskeisistä velvoitteista ja niiden vaiheittaisesta voimaantulosta sekä tekoälyn käytöstä markkinoinnissa. Tässä kirjoituksessa keskitymme tarkemmin tekoälyasetuksen avoimuusvelvoitteisiin ja siihen, milloin tekoälyn käytöstä pitää kertoa käyttäjille tai yleisölle.
EU:n tekoälyasetuksen avoimuusvelvoitteita on sovellettu 2.8.2026 alkaen. Niiden tavoitteena on erityisesti varmistaa, että ihmiset tunnistavat, milloin he ovat vuorovaikutuksessa tekoälyn kanssa tai kohtaavat tekoälyllä tuotettua tai muokattua sisältöä. Kaikesta tekoälyn käytöstä ei kuitenkaan tarvitse kertoa. Velvollisuudet koskevat tiettyjä tekoälyasetuksessa määriteltyjä tilanteita.
Euroopan komissio julkaisi heinäkuussa 2026 tarkemmat ohjeet velvoitteiden soveltamisesta, ja myös Traficom on julkaissut suomalaisille toimijoille käytännön ohjeistusta.
Milloin ihmiselle pitää kertoa, että hän asioi tekoälyn kanssa?
Jos tekoälyjärjestelmä on tarkoitettu suoraan vuorovaikutukseen ihmisten kanssa, käyttäjälle on lähtökohtaisesti kerrottava, että hän asioi tekoälyn eikä ihmisen kanssa. Velvollisuus koskee esimerkiksi verkkosivuilla olevia tekoälypohjaisia chatbotteja, ääniavustajia, ihmisten kanssa vuorovaikutuksessa olevia tekoälyagentteja ja tekoälyavatareja.
Tieto pitää antaa viimeistään ensimmäisen vuorovaikutuksen yhteydessä, ellei tekoälyn käyttö ole tilanteessa muuten ilmeistä. Pelkkä maininta käyttöehdoissa tai käyttäjälle näkymätön tekninen merkintä ei yleensä riitä. Myöskään pelkkä palveluntarjoajan nimi ei välttämättä kerro käyttäjälle, että hän keskustelee tekoälyn kanssa.
Miten tekoälyllä tuotettu sisältö pitää merkitä teknisesti?
Tekoälyasetuksessa on erillinen tekninen merkintävelvollisuus, joka kohdistuu generatiivisen tekoälyjärjestelmän tarjoajaan. Käytännössä velvollisuus koskee esimerkiksi OpenAI:n ja Anthropicin kaltaisia toimijoita silloin, kun ne tarjoavat EU:ssa tekoälyjärjestelmiä, jotka tuottavat tekstiä, kuvaa, ääntä tai videota. Tarjoajan on pääsääntöisesti huolehdittava siitä, että järjestelmän tuottama tai muokkaama sisältö voidaan tunnistaa koneellisesti tekoälyllä tuotetuksi tai muokatuksi. Velvollisuus ei siis lähtökohtaisesti ole esimerkiksi ChatGPT:tä tai Claudea työssään käyttävän asiakasyrityksen velvollisuus.
Tekninen merkintä voi toteutua eri tavoin sisällön tyypistä riippuen. OpenAI käyttää tuetuissa tekoälyllä tuotetuissa kuvissa C2PA-alkuperätietoja ja näkymätöntä SynthID-vesileimaa. Kuvan voi ladata OpenAI:n varmennustyökaluun, joka tarkistaa, löytyykö tiedostosta OpenAI:n alkuperäsignaaleja. Tällainen vesileima ei näy kuvassa ihmissilmälle.
Myös tekoälyllä tuotettua tekstiä voidaan merkitä koneellisesti tunnistettavalla tavalla. Anthropic on esimerkiksi kertonut toteuttavansa Claude-tekstien merkinnän tekstivesileimalla, jossa mallin sanavalintoihin muodostetaan koneellisesti tunnistettava tilastollinen kuvio. Lukijalle vesileimattu teksti näyttää tavalliselta tekstiltä, mutta vesileima voidaan tunnistaa palveluntarjoajan tunnistusmenetelmällä.
Tekninen merkintävelvollisuus on eri asia kuin käyttäjälle tai yleisölle näkyvä ilmoitus. Se ei siis tarkoita, että esimerkiksi ChatGPT:tä tai Claudea käyttävän yrityksen pitäisi lisätä jokaiseen sisältöön näkyvä AI-leima.
Milloin tekoälyllä tuotettu kuva, video tai ääni pitää merkitä?
Yksi käytännössä keskeisimmistä avoimuusvelvoitteista koskee syväväärennöksiä eli deepfakeja. Jos tekoälyä käytetään ammatillisessa tai muussa kuin puhtaasti henkilökohtaisessa toiminnassa syväväärennöksen tuottamiseen tai muokkaamiseen, sisällön yhteydessä pitää ilmoittaa selkeästi, että se on tekoälyllä tuotettua tai muokattua.
Syväväärennöksellä tarkoitetaan tekoälyllä tuotettua tai muokattua kuva-, ääni- tai videosisältöä, joka muistuttaa olemassa olevia henkilöitä, esineitä, paikkoja, toimijoita tai tapahtumia ja antaa henkilölle valheellisen vaikutelman siitä, että sisältö on aito tai totuudenmukainen.
Deepfake ei siis tarkoita vain esimerkiksi tunnettua henkilöä esittävää valheellista videota. Velvollisuus voi tulla vastaan myös tavallisessa kaupallisessa tai luovassa sisällöntuotannossa. Esimerkiksi dokumenttityylisessä tuotannossa tekoälyllä toteutettu realistinen rekonstruktio tai mainoksessa käytetty aidolta vaikuttava, tekoälyllä luotu tilanne voi edellyttää ilmoitusta. Kaikki tekoälyllä tuotetut kuvat tai videot eivät kuitenkaan automaattisesti ole deepfakeja.
Luoville sisällöille on säädetty joustoa. Jos deepfake on osa ilmeisen taiteellista, luovaa, satiirista tai fiktiivistä teosta, tekoälyllä tuotetun tai muokatun sisällön olemassaolosta on edelleen kerrottava, mutta ilmoitus voidaan toteuttaa tavalla, joka ei tarpeettomasti haittaa teoksen esittämistä.
Tekoälyllä tuotetun äänen avoimuusvelvoitteista erityisesti radiotoiminnassa voit lukea lisää RadioMedian blogista.
Entä tekoälyllä kirjoitetut tekstit?
Kaikkia tekoälyn avulla kirjoitettuja tekstejä ei tarvitse yleisölle näkyvästi merkitä tekoälyllä tuotetuiksi.
Avoimuusvelvoite koskee tekoälyn tuottamaa tai muokkaamaa tekstiä silloin, kun teksti julkaistaan yleisön tiedottamiseksi yleistä etua koskevasta asiasta. Tällaisia aiheita voivat olla esimerkiksi julkishallinto, perusoikeudet, kansanterveys, ympäristönsuojelu sekä yhteiskunnallisesti merkittävä taloudellinen, poliittinen, tieteellinen tai kulttuurinen kehitys. Velvollisuus voi siten koskea esimerkiksi uutisartikkeleita, tieteellisiä julkaisuja, sijoittajaraportteja tai viranomaisten julkisia tiedotteita. Tavanomainen mainossisältö ei sen sijaan yleensä kuulu tämän nimenomaisen velvoitteen piiriin.
Tähän liittyy kuitenkin tärkeä poikkeus. Tekstiä ei tarvitse merkitä, jos se on käynyt läpi ihmisen suorittaman tarkastuksen tai toimituksellisen valvonnan ja luonnollinen henkilö tai oikeushenkilö kantaa toimituksellisen vastuun sisällön julkaisemisesta. Esimerkiksi tekoälyn käyttäminen uutisartikkelin luonnosteluun ei siis automaattisesti tarkoita, että valmis artikkeli pitäisi merkitä tekoälyllä tuotetuksi, jos toimitus tarkastaa sisällön ja vastaa sen julkaisemisesta. Pelkkä oikoluku tai kieliopin korjaaminen ei riitä, vaan poikkeus edellyttää sisällön tosiasiallista tarkastamista tai toimituksellista valvontaa.
Entä tunteentunnistus ja biometrinen kategorisointi?
Avoimuusvelvoitteita sovelletaan myös tunteentunnistukseen ja biometriseen kategorisointiin. Jos tällaista tekoälyjärjestelmää käytetään ihmiseen, hänelle on kerrottava siitä selkeästi ja helposti havaittavalla tavalla viimeistään silloin, kun hän ensimmäisen kerran altistuu järjestelmän käytölle.
Tunteentunnistuksesta voi olla kyse esimerkiksi silloin, kun asiakaspalvelussa tekoäly analysoi asiakkaan ääntä ja päättelee sen perusteella, onko asiakas vihainen tai kärsimätön. Biometrisessä kategorisoinnissa tekoäly puolestaan sijoittaa henkilön tiettyyn ryhmään tämän biometristen ominaisuuksien perusteella, esimerkiksi arvioimalla kasvonpiirteiden perusteella henkilön ikäryhmää.
Pelkkä informointi ei kuitenkaan tee järjestelmän käytöstä sallittua. Esimerkiksi tunteiden päättelemiseen tarkoitetun tekoälyn käyttö työpaikoilla ja oppilaitoksissa on lähtökohtaisesti kielletty, lukuun ottamatta tiettyjä lääketieteellisiä tai turvallisuuteen liittyviä käyttötarkoituksia.
On myös hyvä huomata, että sallitut tunteentunnistusjärjestelmät ja tietyt biometrisen kategorisoinnin järjestelmät kuuluvat tekoälyasetuksen suuririskisiä tekoälyjärjestelmiä koskevan sääntelyn piiriin. Tällöin avoimuusvelvoitteen lisäksi sekä järjestelmän tarjoajaan että käyttöönottajaan kohdistuu muita laajoja tekoälyasetuksen mukaisia velvoitteita.
Kuka valvoo velvoitteita ja mitä rikkomisesta voi seurata?
Suomessa avoimuusvelvoitteiden noudattamista valvovat markkinavalvontaviranomaiset. Traficom valvoo niitä pääsääntöisesti, mutta suuririskisiin tekoälyjärjestelmiin liittyvissä tilanteissa valvonta voi kuulua toimialakohtaiselle viranomaiselle.
Avoimuusvelvoitteen tahallisesta tai huolimattomasta rikkomisesta voidaan määrätä hallinnollinen seuraamusmaksu. Yritykselle määrättävän maksun enimmäismäärä on 15 miljoonaa euroa tai kolme prosenttia sen edeltävän tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi. Pk-yritykselle sovelletaan näistä pienempää enimmäismäärää.
Kyse on enimmäismääristä, ja seuraamus sekä sen suuruus arvioidaan tapauskohtaisesti. Kansallisen lain nojalla seuraamusmaksua ei määrätä, jos rikkomusta on pidettävä vähäisenä tai seuraamusmaksun määräämistä ilmeisen kohtuuttomana.
Mitä yrityksen kannattaa tehdä nyt?
Ensimmäiseksi kannattaa tunnistaa ne tilanteet, joissa tekoäly näkyy asiakkaille, käyttäjille tai muulle yleisölle. Erityistä huomiota kannattaa kiinnittää asiakasrajapinnassa toimiviin tekoälyratkaisuihin sekä tekoälyllä tuotettuun tai muokattuun ulospäin julkaistavaan sisältöön.
Käytännössä yrityksessä kannattaa ainakin:
kartoittaa asiakkaille ja muille ulkopuolisille näkyvät tekoälyn käyttötavat
laatia henkilöstölle käytännön ohjeet siitä, missä tilanteissa tekoälyn käytöstä pitää ilmoittaa, miten ilmoitus tehdään ja kuka siitä vastaavarmistaa, että tekoälyllä tuotetun tekstin tarkastamiselle on tarvittaessa selkeä prosessi
huomioida avoimuusvelvoitteet myös sopimuksissa, jos tekoälyratkaisun tai tekoälysisällön tuottaa ulkopuolinen kumppani.
Tekoälyasetuksen avoimuusvelvoitteissa ei siis ole kyse siitä, että jokainen tekoälyavusteinen työvaihe pitäisi tehdä näkyväksi yleisölle. Olennaista on tunnistaa ne tilanteet, joissa käyttäjän pitää tietää asioivansa tekoälyn kanssa tai joissa tekoälyllä tuotetun sisällön alkuperästä on nimenomaisesti kerrottava.
Kaipaatko apua tekoälyasetuksen soveltamisessa tai organisaatiosi tekoälyn käyttötapausten arvioinnissa? Autamme tunnistamaan soveltuvat velvoitteet ja rakentamaan käytännön toimintamallit niiden noudattamiseksi.
Lila Kallio
Counsel
+358 41 465 1365
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä!
EU:n kyberkestävyyssäädös eli Cyber Resilience Act (CRA) asettaa laajasti pakollisia kyberturvallisuusvaatimuksia EU-markkinoilla tarjottaville digitaalisia elementtejä sisältäville tuotteille. Sääntelyn tavoitteena on parantaa ohjelmistojen ja laitteiden kyberturvallisuutta koko niiden elinkaaren ajan. Suurinta osaa kyberkestävyyssäädöksen velvoitteista aletaan soveltaa 11.12.2027, mutta osa ilmoitusvelvollisuuksista tulee sovellettavaksi jo 11.9.2026.
Tässä artikkelissa käymme läpi, mistä kyberkestävyyssäädöksessä on kyse, millaisia tuotteita ja toimijoita se koskee sekä mitä keskeisiä velvoitteita sääntely tuo yrityksille.
Mistä on kyse ja millaisiin yrityksiin säädös soveltuu?
Kyberkestävyyssäädös on EU-asetus, jolla asetetaan kyberturvallisuutta koskevia vaatimuksia digitaalisia elementtejä sisältäville tuotteille. Sääntelyn perusajatuksena on, että markkinoille saatettavien tuotteiden on oltava kyberturvallisia jo silloin, kun ne saatetaan markkinoille, ja niiden turvallisuudesta on huolehdittava myös tämän jälkeen koko tuotteen elinkaaren ajan.
Säädöksen soveltamisala on laaja. Se koskee EU-markkinoilla tarjottavia ohjelmistoja ja laitteita, joissa on digitaalisia elementtejä. Tuotteen käyttötarkoitukseen tai kohtuudella ennakoitavissa olevaan käyttöön on lisäksi kuuluttava suora tai epäsuora looginen tai fyysinen datayhteys laitteeseen tai verkkoon.
Kyberkestävyyssäädöksen soveltuminen ei riipu ensisijaisesti yrityksen toimialasta tai koosta, vaan siitä, millaisia tuotteita yritys tarjoaa EU-markkinoilla ja missä roolissa se toimii tuotteen toimitusketjussa. Laajimmat velvoitteet kohdistuvat valmistajiin, mutta säädös asettaa velvoitteita myös muille toimijoille. Säädöksen soveltuminen kannattaa tarkistaa esimerkiksi seuraavissa tilanteissa.
Ohjelmistoyhtiöt: mobiilisovellukset, tietokoneohjelmistot, käyttöjärjestelmät ja erikseen tarjottavat ohjelmistokomponentit voivat kuulua säädöksen piiriin. Sääntely ei rajoitu kuluttajatuotteisiin, vaan myös yritysasiakkaille tarjottavat ohjelmistot voivat kuulua sen soveltamisalaan.
SaaS-palveluyritykset: pelkkä selainpohjainen SaaS-palvelu ei lähtökohtaisesti ole säädöksen tarkoittama digitaalisia elementtejä sisältävä tuote. Tilanne voi kuitenkin olla toinen, jos palveluun liittyy asiakkaan laitteella toimiva ohjelmisto, kuten mobiili- tai työpöytäsovellus. Tällöin myös ohjelmiston toiminnan kannalta välttämätön, valmistajan toimesta tai vastuulla kehitetty taustaratkaisu voi kuulua samaan sääntelyn alaiseen tuotekokonaisuuteen.
Verkkoon kytkettäviä laitteita tarjoavat yritykset: esimerkiksi IoT-laitteet, älylaitteet, kamerat, reitittimet ja muut digitaalisia elementtejä sisältävät fyysiset tuotteet voivat kuulua sääntelyn piiriin.
Maahantuojat ja jakelijat: myös EU:n ulkopuolisen toimijan digitaalisia tuotteita EU-markkinoille tuoville yrityksille sekä digitaalisia tuotteita EU:ssa jakeleville yrityksille asetetaan säädöksessä omia tarkistus- ja reagointivelvollisuuksia.
Ohjelmistokehitystä ostavat yritykset: Säädös voi soveltua myös yrityksiin, joiden pääasiallista liiketoimintaa ei ole ohjelmistojen tai digitaalisten laitteiden kehittäminen. Nykyisin monen yrityksen palveluun tai tuotteeseen liittyy esimerkiksi asiakkaalle tarjottava mobiilisovellus, joka voi kuulua säädöksen soveltamisalaan. Yrityksen ei tarvitse itse koodata ohjelmistoa tai valmistaa laitetta ollakseen säädöksessä tarkoitettu valmistaja. Jos yritys teettää tuotteen suunnittelun, kehittämisen tai valmistamisen kolmannella osapuolella ja tarjoaa valmiin tuotteen omalla nimellään tai tavaramerkillään, valmistajan velvoitteet voivat tulla sovellettaviksi.
Avoimen lähdekoodin ohjelmistovastaavat: Säädöksessä tunnistetaan erikseen toimijat, jotka eivät ole tuotteen valmistajia, mutta tukevat järjestelmällisesti ja pitkäjänteisesti kaupalliseen toimintaan tarkoitettujen avoimen lähdekoodin ohjelmistojen kehittämistä ja varmistavat niiden toimintakelpoisuuden. Avoimen lähdekoodin ohjelmistovastaaviin sovelletaan valmistajia kevyempiä, niiden erityiseen asemaan mukautettuja velvoitteita.
Mitä valmistajalta edellytetään?
Valmistajan on huolehdittava siitä, että tuote täyttää kyberkestävyyssäädöksessä asetetut olennaiset kyberturvallisuusvaatimukset. Käytännössä valmistajan on arvioitava tuotteeseen liittyviä kyberturvallisuusriskejä ja otettava nämä riskit huomioon tuotteen suunnittelussa, kehittämisessä, tuotannossa ja ylläpidossa. Tuote on muun muassa suunniteltava siten, että sen tietoturvariskejä voidaan hallita asianmukaisesti.
Valmistajan on myös hallittava tuotteessa ilmenneitä haavoittuvuuksia. Tämä tarkoittaa esimerkiksi havaittujen haavoittuvuuksien käsittelyä, korjaavien päivitysten tarjoamista ja tuotteen turvallisuuden ylläpitämistä sääntelyssä edellytetyn tukijakson ajan.
Lisäksi valmistajan on laadittava tuotetta koskeva tekninen dokumentaatio ja suoritettava soveltuva vaatimustenmukaisuuden arviointi ennen tuotteen markkinoille saattamista.
Mitä vaatimustenmukaisuuden arviointi tarkoittaa?
Kyberkestävyyssäädös toimii tältä osin vastaavantyyppisellä logiikalla kuin EU:n muu tuotesääntely. Valmistajan on pystyttävä osoittamaan, että tuote täyttää sitä koskevat vaatimukset. Arviointimenettely riippuu tuotteen ominaisuuksista ja siitä, mihin tuoteluokkaan se kuuluu.
Useimpien tuotteiden osalta valmistaja voi arvioida vaatimustenmukaisuuden itse. Kyberturvallisuuden kannalta tärkeisiin ja kriittisiin tuotteisiin sovelletaan kuitenkin tiukempia arviointimenettelyjä. Tuoteluokasta ja käytettävistä standardeista tai sertifiointijärjestelmistä riippuen vaatimustenmukaisuuden arviointiin voidaan tällöin edellyttää myös ilmoitetun laitoksen osallistumista.
Kun tuotteen vaatimustenmukaisuus on osoitettu, valmistaja laatii EU-vaatimustenmukaisuusvakuutuksen ja kiinnittää tuotteeseen CE-merkinnän. Ohjelmistotuotteiden osalta CE-merkintä esitetään EU-vaatimustenmukaisuusvakuutuksessa tai ohjelmiston verkkosivustolla helposti ja suoraan saatavilla.
Milloin haavoittuvuuksista ja tietoturvapoikkeamista on ilmoitettava?
Yksi säädöksen keskeisistä uusista velvollisuuksista liittyy aktiivisesti hyödynnettyihin haavoittuvuuksiin ja vakaviin tietoturvapoikkeamiin. Valmistajalla on velvollisuus ilmoittaa tällaisista sääntelyn piiriin kuuluviin tuotteisiin liittyvistä haavoittuvuuksista tai poikkeamista viranomaisille keskitetyn raportointialustan kautta. Ensimmäinen ilmoitus on tehtävä jo 24 tunnin kuluessa siitä, kun valmistaja tulee tietoiseksi tapahtumasta. Asetuksessa on kuvattu määräajat myös tämän jälkeen annettavien tarkempien tietojen toimittamiselle.
Valmistajan on ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista myös tuotteen käyttäjille. Käyttäjille on annettava tieto myös mahdollisista toimenpiteistä, joilla käyttäjät voivat lieventää haavoittuvuuden tai poikkeaman vaikutuksia.
Ilmoitusvelvollisuudet tulevat sovellettaviksi jo 11.9.2026, eli huomattavasti muuta sääntelyä aikaisemmin. Käytännössä tämä tarkoittaa, että haavoittuvuuksien tunnistamiseen, sisäiseen eskalointiin ja viranomaisraportointiin liittyvien toimintamallien pitäisi olla kunnossa jo ennen kuin säädöksen muut velvoitteet tulevat täysimääräisesti sovellettaviksi.
Kuinka pitkään tuotteen kyberturvallisuudesta on huolehdittava?
Kyberkestävyyssäädös korostaa tuotteen koko elinkaaren aikaista turvallisuutta. Valmistajan on määritettävä tuotteelle tukiaika, jonka aikana se muun muassa käsittelee tuotteen haavoittuvuudet tehokkaasti ja tarjoaa tarvittavia tietoturvapäivityksiä. Tukiajan pituutta määriteltäessä on otettava huomioon muun muassa käyttäjien kohtuulliset odotukset, tuotteen luonne ja käyttötarkoitus sekä tuotteen odotettu käyttöaika. Tukiajan on lähtökohtaisesti oltava vähintään viisi vuotta, mutta jos tuotetta odotetaan käytettävän lyhyemmän ajan, tukiajan on vastattava odotettua käyttöaikaa.
Haavoittuvuuksiin on puututtava ja ne on korjattava viipymättä, esimerkiksi tarjoamalla tietoturvapäivityksiä. Tunnistettujen tietoturvaongelmien korjaamiseksi tarjottavat päivitykset on myös jaettava käyttäjille viipymättä ja lähtökohtaisesti maksutta, ellei räätälöidyn tuotteen osalta ole yrityskäyttäjän kanssa toisin sovittu. Tukiaikana julkaistu tietoturvapäivitys on pidettävä saatavilla vähintään kymmenen vuoden ajan sen julkaisemisesta tai jäljellä olevan tukiajan sen mukaan, kumpi ajanjaksoista on pidempi.
Mitä yrityksen kannattaa tehdä nyt?
Ensimmäinen kysymys on luonteva: kuuluuko jokin yrityksen tarjoamista tuotteista kyberkestävyyssäädöksen soveltamisalaan? Jos vastaus on kyllä, seuraavaksi kannattaa selvittää yrityksen rooli toimitusketjussa ja tunnistaa, mitä velvollisuuksia juuri kyseiseen rooliin liittyy.
Tämän jälkeen voidaan arvioida, miten nykyiset tuotekehitys-, haavoittuvuuksienhallinta-, dokumentointi- ja raportointiprosessit suhteutuvat uuden sääntelyn vaatimuksiin. Ensimmäisenä kannattaa luoda prosessi ilmoitusvelvollisuuksien noudattamiseksi, jotta valmius on olemassa jo ensimmäisten velvoitteiden tullessa sovellettaviksi.
Kyberkestävyyssäädöksessä on lopulta kyse melko perustavanlaatuisesta muutoksesta siinä, miten digitaalisten tuotteiden kyberturvallisuutta EU:ssa tarkastellaan. Tietoturva on jatkossa entistä useammin osa tuotteen lakisääteistä vaatimustenmukaisuutta, eikä vain hyvä käytäntö tai asiakkaan kanssa neuvoteltava vastuukysymys.
Katri Aarnio
Counsel
+358 50 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
”Ympäristöystävällinen”, ”hiilineutraali” ja ”vastuullinen” ovat vakiintuneet osaksi markkinointia. Ympäristöväittämät eivät tähänkään asti ole saaneet olla harhaanjohtavia, mutta 27.9.2026 sääntely täsmentyy ja tietyt menettelyt kielletään kaikissa tilanteissa. Uudet viherväittämien pelisäännöt edellyttävät, että yritykset tarkistavat kuluttajille suunnatut ympäristöväittämät, kestävyysmerkinnät, ilmastotavoitteet ja tuotetiedot.
Mitä sääntelyä uudistetaan?
Kyse on direktiivistä (EU) 2024/825, jolla muutetaan EU:n sopimattomia kaupallisia menettelyjä ja kuluttajan oikeuksia koskevia direktiivejä. Suomessa direktiivi on pantu täytäntöön kuluttajansuojalain muutoksella ja uudella valtioneuvoston asetuksella.
Uudistus koskee kuluttajille suunnattua markkinointia ja menettelyjä asiakassuhteessa yrityksen koosta riippumatta. Säännöt voivat tulla sovellettaviksi verkkosivuilla, mainonnassa, sosiaalisen median kaupallisissa sisällöissä, pakkauksissa, verkkokauppojen tuotetiedoissa ja muussa kuluttajille suunnatussa vastuullisuusviestinnässä.
Direktiiviä ei pidä sekoittaa erilliseen Green Claims -direktiiviehdotukseen. Sen käsittely on tällä hetkellä jumissa, eikä ehdotusta ole hyväksytty tai virallisesti peruutettu.
Milloin sääntöjä aletaan soveltaa?
Uusia säännöksiä aletaan soveltaa 27.9.2026. Rajattu siirtymäsäännös koskee ennen tätä päivää markkinoille saatettuun tavaraan tai sen pakkaukseen sisältyvää markkinointia: kestävyysmerkintöjä, yleisiä ympäristöväittämiä ja väittämän laajuutta koskevia tiettyjä kieltoja sovelletaan tällaiseen markkinointiin vasta 27.3.2027. Kyse ei ole yleisestä lisäajasta kaikille viherväittämille, eikä siirtymäsäännös koske esimerkiksi verkkomainontaa, uusia pakkauksia tai muita asetuksessa kiellettyjä menettelyjä.
Millaisia ympäristöväittämiä saa käyttää?
Yleiset ilmaukset, kuten ”ympäristöystävällinen”, ”vihreä”, ”ekologinen” ja ”ilmastoystävällinen”, ovat lähtökohtaisesti kiellettyjä, ellei yritys pysty osoittamaan väittämän kannalta merkityksellistä, tunnustettua erinomaista ympäristönsuojelullista tasoa. Tällainen taso voi perustua esimerkiksi EU-ympäristömerkkiin tai virallisesti tunnustettuun EN ISO 14024 -standardin mukaiseen tyypin I ympäristömerkkiin.
Yleinen väite voidaan muuttaa täsmälliseksi kertomalla samassa viestintävälineessä selvästi, mitä ominaisuutta tai tuotteen osaa väite koskee. Täsmällisenkin tiedon on oltava totuudenmukainen, ajantasainen ja todennettavissa, eikä koko tuotetta tai yritystä saa markkinoida ympäristön kannalta parempana, jos hyöty koskee vain pakkausta tai yhtä toimintoa.
Ilmaisun ”vastuullinen” arviointi riippuu viestin kokonaisvaikutelmasta, sillä sana voi viitata ympäristövaikutusten lisäksi yhteiskunnallisiin ominaisuuksiin. Jos sillä luodaan kuva myönteisestä ympäristövaikutuksesta, ympäristöväittämiä koskevat säännöt voivat tulla sovellettaviksi.
Entä hiilineutraalius ja kompensointi?
Tavaraa tai palvelua ei saa markkinoida ympäristövaikutuksiltaan neutraalina, tavanomaista vähäisempänä tai myönteisenä, jos väite perustuu kasvihuonekaasupäästöjen kompensointiin. Esimerkiksi kompensointiin perustuvat väitteet ”hiilineutraali tuote”, ”hiilineutraali toimitus” ja ”ilmastokompensoitu” ovat kiellettyjä.
Yritys saa kertoa todellisista päästövähennyksistä ja ilmastohankkeiden rahoittamisesta, kun tiedot esitetään täsmällisesti ja harhaanjohtamatta. Kompensointia ei kuitenkaan saa kuvata tuotteen omaksi ympäristöominaisuudeksi tai keinoksi nollata sen aiheuttamat päästöt.
Mitä kestävyysmerkinnöiltä ja ilmastotavoitteilta vaaditaan?
Kestävyysmerkintää saa käyttää vain, jos se perustuu vaatimukset täyttävään kolmannen osapuolen sertifiointijärjestelmään tai viranomainen on vahvistanut merkinnän. Järjestelmän ehtojen on oltava julkisia, läpinäkyviä ja syrjimättömiä, ja vaatimusten noudattamista on valvottava riippumattomasti. Yrityksen oma arvio tai sisäinen pisteytys ei yksin riitä ”Green Choice” -tyyppisen merkin perustaksi.
Tulevaisuutta koskeva väite, kuten ”olemme hiilineutraali vuonna 2030”, edellyttää julkisia ja todennettavia sitoumuksia sekä yksityiskohtaista ja toteuttamiskelpoista suunnitelmaa. Suunnitelmassa on oltava mitattava aikataulu, arvio tarvittavista resursseista ja riippumattoman asiantuntijan säännöllinen seuranta, jonka havainnot ovat kuluttajien saatavilla.
Mitä muuta uudistus koskee?
Uudet kiellot liittyvät myös tuotteiden kestävyyteen, ohjelmistopäivityksiin ja korjattavuuteen. Kiellettyä on esimerkiksi markkinoida tavaraa, jonka kestävyyttä rajoittavasta ominaisuudesta on yrityksen saatavilla tieto, tai esittää tavara korjauskelpoisena, vaikka sitä ei voi korjata. Myöskään pelkästään toiminnallisia ominaisuuksia parantavaa ohjelmistopäivitystä ei saa esittää välttämättömänä.
Ennen sopimuksen tekemistä kuluttajalle on annettava uusia tietoja muun muassa lakisääteisestä virhevastuusta. Laissa säädetyin edellytyksin tietoja annetaan myös tuottajan yli kaksi vuotta voimassa olevasta maksuttomasta kestävyystakuusta, päivitysten vähimmäisajasta, korjattavuuspistemäärästä sekä varaosien ja korjausohjeiden saatavuudesta.
Mitä rikkomisesta voi seurata?
Sääntelyn noudattamista valvoo kuluttaja-asiamies. Säännösten vastainen menettely voidaan kieltää, kieltoa voidaan tehostaa uhkasakolla ja rikkomisesta voidaan määrätä seuraamusmaksu. Markkinaoikeus voi tietyissä tilanteissa velvoittaa yrityksen myös oikaisemaan markkinointiaan.
Kuluttajalla voi lisäksi olla oikeus kohtuulliseen hinnanalennukseen, jos sopimattoman menettelyn voidaan olettaa vaikuttaneen ostopäätökseen. Tahallinen tai huolimaton rikkominen voi johtaa myös vahingonkorvausvastuuseen.
Mitä yrityksen kannattaa tehdä nyt?
Yrityksen kannattaa ennen 27.9.2026:
inventoida verkkosivujen, kampanjoiden, sosiaalisen median ja pakkausten väittämät;
täsmentää, mitä tuotetta, ominaisuutta tai elinkaaren vaihetta kukin väite koskee;
koota väitteitä tukeva ajantasainen näyttö ja käytetyt laskentamenetelmät;
tarkistaa kompensointiväitteet, omat kestävyysmerkit ja tulevaisuuden tavoitteet;
varmistaa tuotetietojen kulku valmistajalta myyjälle ja verkkokauppaan; sekä
nimetä väittämien hyväksymisestä ja seurannasta vastaavat henkilöt.
Uudistus ei tarkoita vastuullisuusviestinnän loppua, mutta yleisten lupausten sijaan tarvitaan rajattuja, ymmärrettäviä ja todennettavia tietoja. Folks auttaa tunnistamaan ympäristöväittämien ja pakkausmerkintöjen riskit sekä rakentamaan käytännöt sääntelyn mukaista markkinointia varten.
Anna Paimela
Osakas
+358 40 1648626
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.