EU:n tekoälysäädöksen uusia velvoitteita astui voimaan 2.8.2026, muun muassa sosiaalisessa mediassa jo paljon puhetta herättäneet avoimuusvelvoitteet. Säädöksessä säädettyjen velvoitteiden voimaantulo alkoi jo vuonna 2024, mutta aiemmin voimaan astuneet säännökset esimerkiksi yleiskäyttöisten tekoälymallien tarjoajien vastuista eivät ole koskettaneet keskivertoyrityksiä. Viime viikolla voimaan astuneet avoimuusvelvoitteet (Art 50) vaikuttavat kuitenkin potentiaalisesti kaikkiin tekoälyä ammattimaisesti EU:ssa käyttäviin yrityksiin. Avoimuusvelvoitteiden kanssa voimaan astuivat myös tekoälysäädöksen sanktiopykälät (etenkin Art. 99), joiden nojalla yritykselle voidaan määrätä jopa 35 miljoonan euron tai 7 %:n globaalista liikevaihdosta suuruista osuutta vastaava hallinnollinen sakko.
Toisaalta samalla säädöksen ydinvelvoitteiden, eli suuririskisiä tekoälyjärjestelmiä koskevien vaatimusten soveltamista viivästytetään, ja ne astuvat voimaan vaiheittain elokuuhun 2028 mennessä.
Alla käymme läpi, mitä yritysten tulisi ottaa huomioon säädöksen jo voimaan astuneiden ja tulevien velvoitteiden osalta.
Mistä tekoälysäädöksessä on kyse?
EU:n tekoälysäädös (AI Act) sääntelee tekoälyjärjestelmien ja yleiskäyttöisten tekoälymallien kehittämistä ja käyttöä EU:n alueella.
Säädöstä sovelletaan käytännössä kaikkiin tekoälyjärjestelmiin tai yleiskäyttöisiin tekoälymalleihin liittyviin toimijoihin, joilla on kytkentä EU:hun — kuten tarjoajiin, käyttöönottajiin, maahantuojiin, jakelijoihin, valmistajiin, valtuutettuihin edustajiin sekä henkilöihin, joihin järjestelmän vaikutukset kohdistuvat — riippumatta siitä, sijaitsevatko ne EU:ssa vai sen ulkopuolella.
Säädös jakaa tekoälyjärjestelmät eri riskitasoihin (matalasta korkeaan) ja asetetaan kaikille tekoälyjärjestelmille tiettyjä avoimuusvelvoitteita.
Avoimuusvelvoitteet (50 artikla)
Mistä avoimuusvelvoitteissa on kyse? Ensin on korjattava yleinen väärinkäsitys – tekoälysäädös ei pääsääntöisesti edellytä tekoälyjärjestelmän tuottamien sisältöjen (output) merkitsemistä näkyvästi AI-generoiduksi tai AI-manipuloiduksi. Sääntelyn lähtökohtana on, ettei tällaisia merkintöjä tarvitse tehdä, paitsi jos niitä erikseen vaaditaan.
Tällaisia merkitsemistä edellyttäviä tilanteita ovat erityisesti seuraavat:
-
Chatbotit tai muut AI-järjestelmät kuten AI-agentit, jotka ovat vuorovaikutuksessa ihmisten kanssa. Tällaisten järjestelmien on ilmoitettava tai niiden yhteydessä on kerrottava, että ihminen on tekemisissä koneen kanssa. Velvoitteen täyttäminen voi käytännössä edellyttää korjaavia toimenpiteitä, sillä todennäköisesti suurin osa AI-agentteja hyödyntävistä tahoista ei vielä tällä hetkellä tee asianmukaisia ilmoituksia.
-
AI-järjestelmien tarjoajien on merkittävä koneluettavalla tavalla AI-generoidut tai -manipuloidut sisällöt, ja mielellään tarjottava myös esim. ohjelmistoja, joilla tavalliset ihmiset voivat selvittää onko sisältö AI-generoitua tai -manipuloitua. Kyse ei ole lähtökohtaisesti ihmisen havaittavissa olevasta merkinnästä, vaan eräänlaisesta teknisestä vesileimasta. AI-järjestelmien tarjoajista mm. Anthropic on jo ilmoittanut tulevansa vesileimaamaan Claude-järjestelmänsä luoman sisällön maailmanlaajuisesti.
-
Tunteita tunnistavan tai biometrista luokitusta käyttävän järjestelmän käyttöönottajan tulee pääsääntöisesti kertoa kohdeyleisölleen järjestelmän käytöstä.
-
Syväväärennettyjen mediasisältöjen (ns. deepfake) yhteydessä on ilmoitettava, että kyse on manipuloidusta tai generoidusta sisällöstä.
-
Valistamistarkoituksessa luotujen tai generoitujen tekstien yhteydessä on pääsääntöisesti kerrottava AI:n hyödyntämisestä. Tällaista sisältöä ovat esimerkiksi poliittinen mainonta tai uutissisällöt.
Avoimuusvelvoitteiden rikkomisesta voi seurata maksimissaan 15 miljoonan euron tai 3 %:n globaalin liikevaihdon suuruinen sanktio. Komissio on antanut omat tulkintaohjeensa avoimuusvelvoitteiden noudattamisesta, minkä lisäksi on myös julkaistu vapaaehtoiset käytännesäännöt läpinäkyvyysvelvoitteiden noudattamisesta. Käytännössä ainakin tässä vaiheessa jokaisen toimijan pitää kuitenkin tehdä oma arvio toiminnastaan, ja etenkin siitä, miltä osin se joutuu tekemään 50 artiklan edellyttämiä ilmoituksia tai muita toimenpiteitä.
Suuririskisten tekoälysovellusten tilanne?
Tähän mennessä EU:n komissio on vuosi vuodelta kiristänyt teknologiayhtiöiden ruuvia uusilla velvoitteilla ja sääntelyllä. Nyt melkeinpä ensimmäistä kertaa joitain velvoitteita on soudettu takaisin – kesällä 2026 julkaistu Digital Omnibus (AI Act) pakkaus on hieman keventänyt tekoälysäädökseen liittyviä velvoitteita. EU kevensi muun muassa viime vuonna voimaan tullutta AI-lukutaitovelvoitetta (Art 4) huomattavasti. Sen sijaan, että organisaatioiden olisi saatava aikaan tietty AI-lukutaidon taso, riittää jatkossa, että ne pyrkivät voimistamaan kyseisen lukutaidon tasoa. Kyse on siten pikemminkin ns. ”best efforts” tyyppisestä pyrkimyksestä kuin tiettyjen tulosten saavuttamisesta.
Samalla EU on myös siirtänyt eteenpäin suuririskisiin tekoälysovelluksiin liittyvien määräysten voimaantuloa. Osa velvoitteista oli ajoitettu jo elokuulle 2026, mutta nyt voimaantuloa on lykätty siten, että osa velvoitteista astuu voimaan 2.12.2027, ja loput 2.8.2028.
Aikaa sääntelyyn mukautumiselle siis vielä on. Toisaalta suuririskisten tekoälyjärjestelmien sääntely on raskasta, ja mukautumisprosessi kannattaa aloittaa ajoissa. Yritysten kannattaa jo nyt vähintään kartoittaa, ovatko heidän käyttämänsä tekoälysovellukset sellaisia, että niitä voisi pitää suuririskisinä. Tähän on myös nyt tullut uusia työkaluja, kun Komissio on kesällä julkaissut kauan odotetut ohjeet suuririskisten sovellusten määrittelystä.
Mitä pitäisi tehdä juuri nyt?
Avoimuusvelvoitteiden astuttua voimaan jokaisen organisaation tulisi kartoittaa omaa AI:n käyttöänsä etenkin mainonnassa ja muissa teksti- tai mediasisällöissä, jotka lähtevät organisaation ulkopuolelle. Tämä edellyttää todennäköisesti myös mainontaa, markkinointia tai sisällöntuotantoa tekevien ihmisten kouluttamista ja ohjeistamista, sekä läpinäkyvyysvelvoitteisiin liittyvien prosessien huomiointia riskienhallinnassa.
Lisäksi jokaisen organisaation tulisi muutenkin kartoittaa omat AI-järjestelmänsä, ja selvittää, voidaanko ne potentiaalisesti katsoa suuririskisiksi. Mikäli vastaus on kyllä, se edellyttää huolellista valmistautumista siihen hetkeen, kun suuririskisten järjestelmien velvoitteet tulevat voimaan vuosina 2027 ja 2028, sillä velvoitteiden implementointia tuskin enää lykätään uudelleen.
Berggrenin juristit mielellään auttavat mm.
-Tekoälysäädökseen ja laajemmin tekoälyn hyödyntämiseen (myös IPR, tietosuoja, liikesalaisuudet) liittyvissä koulutuksissa ja sparrauksessa
-Tekoälyn hyödyntämiseen liittyvien eettisten ohjeiden ja menettelyohjeiden laatimisessa yritykselle
-Avoimuusvelvoitteisiin liittyviä selvityksissä
-Potentiaalisesti suuririskisten tekoälyjärjestelmien läpikäynnissä ja luokittelussa
Artikkelin ovat kirjoittaneet Berggrenin juristit Arttu Ahava ja Jaakko Mäntynen.
