EU:n tekoälyasetus: missä mennään nyt ja mitä yrityksen pitää huomioida?

EU:n tekoälyasetuksesta on puhuttu jo pitkään tulevaisuuden sääntelynä. Elokuussa 2026 tilanne on kuitenkin toinen. EU:n tekoälyasetus eli AI Act on ollut voimassa jo kaksi vuotta, ja merkittävä osa sen velvoitteista on tullut sovellettavaksi. Samalla asetusta on ehditty jo muuttaa. Heinäkuussa 2026 voimaan tullut AI Omnibus muun muassa siirsi suuririskisiä tekoälyjärjestelmiä koskevien velvoitteiden soveltamisaikoja myöhemmäksi.

Yritysten näkökulmasta tilanne on kaksijakoinen. Osa velvoitteista, kuten kiellettyjä tekoälykäytäntöjä ja läpinäkyvyyttä koskevat vaatimukset, soveltuvat jo nyt. Sen sijaan suuririskisiä tekoälyjärjestelmiä koskeviin raskaimpiin velvoitteisiin on vielä valmistautumisaikaa. Yritysten kannattaa kuitenkin jo nyt kartoittaa tekoälyn käyttötapansa, tunnistaa erikseen säännellyt käyttötapaukset ja varmistaa, että sisäiset toimintamallit ja sopimukset tukevat vaatimusten noudattamista.

Mitä tekoälyasetuksen velvoitteita sovelletaan jo nyt?

Tekoälyasetuksen ensimmäiset olennaiset velvoitteet tulivat sovellettaviksi jo helmikuussa 2025. Tuolloin voimaan tulivat muun muassa kiellettyjä tekoälykäytäntöjä koskevat säännökset. Myös henkilöstön tekoälylukutaitoa koskevia velvoitteita alettiin soveltaa. Heinäkuussa 2026 tekoälylukutaitoa koskevaa säännöstä kevennettiin, mutta tekoälyjärjestelmiä tarjoavilla tai käyttävillä yrityksillä on edelleen velvollisuus toteuttaa toimenpiteitä henkilöstönsä tekoälyosaamisen tukemiseksi.

Elokuusta 2025 lähtien yleiskäyttöisten tekoälymallien tarjoajia ovat koskeneet omat velvoitteensa. Tämä osa sääntelystä kohdistuu ennen kaikkea tekoälymallien kehittäjiin ja tarjoajiin, joten tavallinen yritys, joka esimerkiksi ostaa markkinoilta käyttöönsä tekoälytyökalun tai hyödyntää kolmannen osapuolen valmista tekoälymallia oman SaaS-palvelunsa taustalla, ei yleensä ole näiden velvoitteiden kohteena. Olennaista on siten tunnistaa oma rooli tekoälyn arvoketjussa.

Elokuun 2026 alussa voimaan tuli jälleen uusi merkittävä kokonaisuus. Nyt sovellettaviksi tulivat tekoälyasetuksen läpinäkyvyysvaatimukset. Esimerkiksi käyttäjälle on tietyissä tilanteissa kerrottava, että hän asioi tekoälyjärjestelmän eikä ihmisen kanssa. Myös tekoälyllä tuotettuun tai manipuloituun sisältöön liittyy uusia tunnistettavuutta ja merkitsemistä koskevia vaatimuksia.

Milloin suuririskisiä tekoälyjärjestelmiä koskevia velvoitteita aletaan soveltaa?

Yksi tekoälyasetuksen keskeisistä kokonaisuuksista koskee suuririskisiä tekoälyjärjestelmiä. Tällaisia voivat olla esimerkiksi tietyt rekrytoinnissa, työntekijöiden arvioinnissa, koulutuksessa, kriittisessä infrastruktuurissa tai biometrisessä tunnistamisessa käytettävät järjestelmät.

Näiden järjestelmien osalta aikataulu on kuitenkin muuttunut alkuperäisestä. Heinäkuussa 2026 voimaan tullut AI Omnibus siirsi tekoälyasetuksen liitteessä III tarkoitettuja suuririskisiä järjestelmiä koskevien velvoitteiden soveltamisen 2.12.2027 saakka. Säänneltyihin tuotteisiin, kuten tiettyihin koneisiin ja muihin fyysisiin tuotteisiin, sisältyvien suuririskisten tekoälyjärjestelmien osalta uusi määräpäivä on puolestaan 2.8.2028.

Lisäaika ei kuitenkaan tarkoita, että valmistautuminen kannattaisi aloittaa vasta myöhemmin. Suuririskisen järjestelmän tarjoajaan kohdistuvat vaatimukset liittyvät muun muassa riskienhallintaan, dokumentointiin, datanhallintaan, lokitukseen, ihmisen suorittamaan valvontaan ja vaatimustenmukaisuuden arviointiin. Myös käyttöönottajalle tulee velvoitteita esimerkiksi käyttöohjeiden noudattamiseen, ihmisen suorittamaan valvontaan, lokien säilyttämiseen tietyissä tilanteissa sekä järjestelmän käytön seuraamiseen ja vakavista vaaratilanteista ilmoittamiseen liittyen. Näihin käytännön toimintamalleihin on syytä alkaa varautua hyvissä ajoin. Prosessien rakentaminen jälkikäteen on usein huomattavasti hankalampaa kuin niiden huomioiminen jo järjestelmää kehitettäessä tai käyttöönottoa suunniteltaessa.

Miten yrityksen kannattaa valmistautua tekoälyasetukseen vuonna 2026?

Jokaiselle yritykselle luonteva ensimmäinen askel on selvittää, missä ja miten yritys käyttää tekoälyä. Monessa organisaatiossa tekoälyn käyttö on edennyt nopeasti ilman keskitettyä kokonaiskuvaa. Markkinointitiimi käyttää yhtä työkalua, henkilöstöhallinto toista, asiakaspalvelussa kokeillaan tekoälyavustajaa ja liiketoimintayksikkö hankkii samaan aikaan uutta järjestelmää, jonka toiminnallisuuksiin tekoäly on upotettu. Tekoälyasetuksen näkökulmasta näillä käyttötapauksilla voi olla hyvin erilainen merkitys.

Käytännössä yksi yleisimmistä käyttötapauksista, johon yrityksissä törmätään, liittyy henkilöstöhallintoon ja rekrytointiin. Tässä kohtaa kannattaa olla erityisen tarkkana, sillä esimerkiksi työnhakijoiden arviointiin, valintaan tai työntekijöiden suoriutumisen arviointiin käytettävä tekoäly voi kuulua suuririskisten tekoälyjärjestelmien piiriin. Tavanomaiselta ja tehokkuutta lisäävältä HR-työkalulta vaikuttava ratkaisu voi siis tuoda mukanaan huomattavasti laajempia tekoälyasetuksen mukaisia velvoitteita kuin yrityksessä ensi alkuun ajatellaan. Tekoälyasetuksen vaatimusten lisäksi käyttötapauksessa on luonnollisesti huomioitava myös muu soveltuva sääntely, kuten tietosuoja- ja työoikeudelliset velvoitteet.

Käyttötapauksia kartoittaessaan yritysten on syytä varmistaa, että järjestelmiä käytetään niiden suunnitellun käyttötarkoituksen mukaisesti. Jos käyttöönottaja tekee järjestelmään olennaisen muutoksen tai muuttaa sen käyttötarkoitusta siten, että järjestelmästä tulee suuririskinen esimerkiksi yllättävän HR-käytön myötä, käyttöönottajaa voidaan tekoälyasetuksen perusteella pitää järjestelmän tarjoajana. Tavallisella tekoälyä hyödyntävällä yrityksellä ei yleensä ole valmiuksia esimerkiksi järjestelmän rekisteröintiin, vaatimustenmukaisuuden osoittamiseen tai laajan laadunhallintajärjestelmän ylläpitämiseen, joten tällaiset tilanteet kannattaa tunnistaa ja ehkäistä jo etukäteen. Suuririskiseen käyttötarkoitukseen kannattaa siksi lähtökohtaisesti hankkia järjestelmä, jonka tarjoaja on nimenomaisesti tarkoittanut kyseiseen tarkoitukseen ja rekisteröinyt asianmukaisesti suuririskisenä tekoälyjärjestelmänä.

Yrityksen olisi tässä vaiheessa syytä muodostaa riittävä kokonaiskuva käytössä olevista ja suunnitteilla olevista tekoälyjärjestelmistä, niiden käyttötarkoituksista sekä yrityksen roolista suhteessa kuhunkin järjestelmään. Kartoituksen avulla voidaan tunnistaa mahdolliset kielletyt käyttötavat, läpinäkyvyysvelvoitteet ja suuririskiset käyttötapaukset sekä varmistaa, että myös sopimukset tukevat sääntelyn noudattamista. Sopimuksissa kannattaa kiinnittää huomiota erityisesti tarvittavan dokumentaation saatavuuteen, sallittuihin käyttötarkoituksiin, datan käyttöön, muutoshallintaan sekä siihen, kuka vastaa sääntelyn edellyttämistä muutoksista ja niiden kustannuksista. Myös henkilöstön tekoälylukutaitoa tukevat toimenpiteet, kuten koulutus ja ohjeistus, kannattaa suhteuttaa tunnistettuihin käyttötapoihin ja niiden riskiluokkiin.

Odottamisen aika alkaa olla ohi

Tekoälyasetuksen soveltaminen etenee edelleen vaiheittain, eikä yritysten tarvitse ratkaista kaikkia kysymyksiä kerralla. Elokuussa 2026 sääntely ei kuitenkaan enää ole horisontissa näkyvä tulevaisuuden ilmiö, vaan osa tämän päivän compliance-vaatimuksia. Komissio ja kansalliset viranomaiset ovat aloittaneet soveltuvien velvoitteiden täytäntöönpanon, ja myös seuraavat merkittävät määräajat ovat jo näkyvissä. Yritysten kannattaa siksi varmistaa jo nyt, että oma tekoälyn käyttö, sisäiset toimintamallit ja sopimukset ovat riittävän hyvällä pohjalla nykyisiä ja tulevia velvoitteita varten.

Autamme mielellämme tekoälyasetuksen soveltamiseen, tekoälyjärjestelmien käyttötapausten ja riskiluokitusten arviointiin sekä tekoälyä koskeviin sopimuksiin liittyvissä kysymyksissä.

Katri Aarnio

Counsel

katri.aarnio@legalfolks.fi

+358 50 306 2031

Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.