1. Ketä AI Act koskee?

AI Act on EU-asetus, joten sitä sovelletaan suoraan Suomessa. Se koskee tekoälyjärjestelmien tarjoajia, käyttöönottajia, maahantuojia, jakelijoita ja tuotevalmistajia. Myös EU:n ulkopuolinen yritys voi kuulua asetuksen piiriin, jos järjestelmä tuodaan EU-markkinoille tai sen tuottamaa tulosta käytetään EU:ssa.

Tavallinen suomalainen pk-yritys on useimmiten käyttöönottaja: se käyttää esimerkiksi ChatGPT:tä, Copilotia, rekrytointiohjelmaa tai asiakaspalvelubottia omassa toiminnassaan. Jos yritys rakentaa järjestelmän ja myy sen omalla nimellään, muuttaa sen käyttötarkoitusta olennaisesti tai muuttaa järjestelmää niin, että siitä tulee korkean riskin järjestelmä, yrityksestä voi tulla tarjoaja. Silloin vastuut kasvavat selvästi.

Käyttötarkoitus ratkaisee. Sama malli voi olla vähäriskinen luonnostelussa ja korkean riskin järjestelmän osa, jos sitä käytetään esimerkiksi työnhakijoiden arviointiin.

2. AI Actin aikajana

Asetus tuli voimaan.

AI-lukutaitoa koskeva 4 artikla ja valtaosa kielletyistä käytännöistä alkoivat soveltua.

Yleiskäyttöisten AI-mallien eli GPAI-mallien säännöt, hallintorakenne ja seuraamuksia koskevat luvut alkoivat soveltua.

Suurin osa asetuksesta tuli sovellettavaksi, mukaan lukien läpinäkyvyysvelvoitteet. Jäsenvaltioiden seuraamusjärjestelmät ovat käytössä.

Asetuksella 2026/1744 lisättyjä tiettyjä biometrisiä kieltosäännöksiä aletaan soveltaa.

Annex III:n käyttötarkoitukseen perustuvien korkean riskin järjestelmien vaatimukset alkavat soveltua. Näitä ovat esimerkiksi tietyt HR-, koulutus-, luottokelpoisuus- ja olennaisten palvelujen käyttötavat.

Annex I:n tuoteturvallisuuslainsäädäntöön liittyvien korkean riskin järjestelmien vaatimukset alkavat soveltua.

Huomio: verkossa on yhä paljon ennen heinäkuuta 2026 julkaistuja aikatauluja. Tässä käytetään konsolidoidun asetuksen 113 artiklaa, ei vanhaa aikataulua tai aiempaa poliittista sopimusta.

3. Neljä käytännön riskitasoa

Kielletty käyttö

Esimerkkejä ovat ihmisten vahingoittava manipulointi, haavoittuvuuksien hyväksikäyttö, sosiaalinen pisteytys, tietyt rikosriskin ennusteet, internetistä tai valvontakameroista kerättyjen kasvokuvien luokittelematon tietokanta, tunteiden tunnistaminen työpaikalla ja koulussa tietyin poikkeuksin sekä osa biometrisestä luokittelusta ja reaaliaikaisesta etätunnistamisesta. Tarkka lista ja poikkeukset ovat 5 artiklassa.

Korkea riski

Kaksi pääryhmää: säänneltyjen tuotteiden turvallisuuskomponentit (Annex I) ja tietyt käyttötarkoitukset (Annex III), kuten biometria, kriittinen infrastruktuuri, koulutus, rekrytointi ja työntekijöiden johtaminen, pääsy olennaisiin palveluihin, lainvalvonta, maahanmuutto ja oikeudenkäyttö. Kaikki näiden alojen AI ei automaattisesti ole korkean riskin järjestelmä; 6 artiklan rajaukset pitää tarkistaa.

Läpinäkyvyyttä vaativa käyttö

Chatbotin on yleensä kerrottava käyttäjälle, että tämä asioi tekoälyn kanssa. Synteettisen äänen, kuvan, videon ja tekstin tulee olla koneellisesti tunnistettavaa. Deepfake-sisällöstä sekä tietyistä yleisölle julkaistavista yleisen edun teksteistä on ilmoitettava selvästi. Sanamuoto, ajankohta ja poikkeukset löytyvät 50 artiklasta.

Muu käyttö

Esimerkiksi tekstin luonnostelu, ideointi tai sisäinen tiedonhaku on usein asetuksen näkökulmasta kevyempää käyttöä. Se ei tarkoita riskitöntä: tietosuoja, tekijänoikeus, salassapito, työlainsäädäntö ja kuluttajansuoja voivat silti tulla vastaan.

4. Selvitä ensin yrityksen rooli

Käyttöönottaja (deployer)

Käyttää AI-järjestelmää ammatillisessa toiminnassa omalla vastuullaan. Kuluttajan yksityinen käyttö ei kuulu tähän. Korkean riskin järjestelmän käyttöönottajalle kuuluu muun muassa ohjeiden noudattaminen, ihmisen valvonta, lokien säilytys omassa hallinnassa, työntekijöille ilmoittaminen ja joissakin tilanteissa vaikutustenarviointi.

Tarjoaja (provider)

Kehittää järjestelmän tai teettää sen ja tuo sen markkinoille omalla nimellään. Korkean riskin tarjoaja vastaa muun muassa riskienhallinnasta, datan hallinnasta, teknisestä dokumentaatiosta, lokeista, käyttöohjeista, vaatimustenmukaisuuden arvioinnista, rekisteröinnistä ja markkinoille tulon jälkeisestä seurannasta.

Maahantuojalla ja jakelijalla on omat tarkastus- ja yhteistyövelvoitteensa. Jos tuotteeseen liitetään korkean riskin AI-järjestelmä, myös tuotevalmistaja voi saada tarjoajan vastuut. Sopimukseen kirjoitettu nimike ei ratkaise roolia, vaan se, mitä yritys oikeasti tekee.

5. Mitä pk-yrityksen pitää tehdä käytännössä?

AI-lukutaito koskee jo nyt

Tarjoajien ja käyttöönottajien on huolehdittava henkilöstönsä ja heidän puolestaan järjestelmiä käyttävien henkilöiden riittävästä AI-lukutaidosta. Asetus ei määrää tiettyä kurssia tai sertifikaattia. Koulutuksen pitää sopia ihmisten osaamiseen, järjestelmän käyttötarkoitukseen ja niihin ihmisiin, joihin käyttö vaikuttaa. Tallenna vähintään koulutuksen sisältö, osallistujat ja ajankohta.

Korkean riskin käyttö vaatii enemmän

Jos järjestelmä kuuluu korkean riskin luokkaan, pelkkä toimittajan lupaus ei riitä. Tarkista CE-merkintä, EU-vaatimustenmukaisuusvakuutus, käyttöohjeet ja rekisteröinti. Nimeä koulutetut ihmiset valvomaan käyttöä, varmista syöttötietojen tarkoituksenmukaisuus ja seuraa toimintaa. Jos järjestelmä voi aiheuttaa riskin tai vakavan poikkeaman, reagoi ja ilmoita siitä asetuksen mukaisesti.

Julkisoikeudellisten toimijoiden sekä julkisia palveluja tarjoavien yksityisten tahojen on tehtävä perusoikeusvaikutusten arviointi ennen eräiden korkean riskin järjestelmien käyttöä. Sama koskee muun muassa tiettyjä luottokelpoisuuden ja henki- tai sairausvakuutusten riskinarvioinnin käyttötapoja.

GPAI ei yleensä tee käyttäjäyrityksestä mallin tarjoajaa

Yleiskäyttöisen mallin tarjoajan velvollisuuksia ovat tekninen dokumentaatio, tiedot mallia käyttäville järjestelmätoimittajille, tekijänoikeuspolitiikka ja yhteenveto koulutusaineistosta. Systeemistä riskiä aiheuttaville malleille tulee lisävelvoitteita. Tavallinen API:n tai valmiin palvelun käyttäjä ei yleensä ole GPAI-mallin tarjoaja, mutta oma tuotteistaminen tai olennaiset muutokset voivat muuttaa roolia.

6. Pk-yrityksen AI Act -tarkistuslista

  1. Nimeä vastuuhenkilö. Jonkun pitää omistaa AI-luettelo ja seurata muutoksia.
  2. Listaa järjestelmät. Kirjaa myös tiimien itse hankkimat palvelut, selainlisäosat ja sisäänrakennetut AI-ominaisuudet.
  3. Kirjaa käyttötarkoitus. Mitä järjestelmä tekee, mitä dataa se käyttää, kuka käyttää tulosta ja keihin tulos vaikuttaa?
  4. Määritä rooli. Oletteko käyttöönottaja, tarjoaja, maahantuoja, jakelija vai tuotevalmistaja?
  5. Luokittele riski. Tarkista ensin 5 artiklan kiellot, sitten 6 artikla ja Annex I/III, lopuksi 50 artiklan läpinäkyvyys.
  6. Tarkista toimittaja. Pyydä käyttöohjeet, tietoturva- ja tietosuojatiedot, lokitus, mallin rajoitteet sekä tarvittavat vaatimustenmukaisuusasiakirjat.
  7. Rajaa käyttö. Päätä, mitä dataa palveluun saa syöttää ja missä kohdassa ihminen hyväksyy tuloksen. Estä täysin automaattiset haitalliset päätökset.
  8. Kouluta oikeat ihmiset. Käytännön esimerkit omista työkaluista ovat hyödyllisempiä kuin yleinen luento.
  9. Tee ilmoitukset näkyviksi. Tarkista chatbotit, deepfaket, AI-generoitu sisältö ja työntekijöille annettavat ilmoitukset.
  10. Säilytä todisteet. Pidä versioituina päätökset, ohjeet, koulutukset, arvioinnit, toimittaja-aineistot ja poikkeamat.
  11. Tarkista uudelleen. Uusi käyttötarkoitus tai merkittävä muutos voi muuttaa luokituksen ja yrityksen roolin.

7. Sakot eivät ole yksi kiinteä prosentti

Kielletyn käytön enimmäissakko on 35 miljoonaa euroa tai yritykselle 7 % edellisen tilikauden maailmanlaajuisesta liikevaihdosta. Muiden lueteltujen velvoitteiden rikkomisesta enimmäismäärä on 15 miljoonaa euroa tai 3 %. Virheellisten tai harhaanjohtavien tietojen antamisesta viranomaiselle enimmäismäärä on 7,5 miljoonaa euroa tai 1 %.

Pk-yrityksen kohdalla kukin enimmäissakko on näistä vaihtoehdoista pienempi, ei suurempi. Sakko ei myöskään tule automaattisesti: viranomainen arvioi muun muassa rikkomisen vakavuutta, kestoa, tahallisuutta, yhteistyötä ja yrityksen kokoa. GPAI-mallin tarjoajalle komissio voi määrätä enintään 15 miljoonan euron tai 3 %:n sakon edellisen tilikauden maailmanlaajuisesta liikevaihdosta sen mukaan, kumpi on suurempi.

8. Usein kysytyt kysymykset

Koskeeko AI Act ChatGPT:n tai Copilotin käyttöä?

Kyllä, mutta velvoitteet riippuvat käyttötarkoituksesta. Markkinointitekstin luonnostelu ja työnhakijoiden automaattinen arviointi eivät ole sama riskitilanne.

Pitääkö jokainen AI-järjestelmä rekisteröidä?

Ei. EU-tietokantaan rekisteröinti koskee asetuksessa määriteltyjä korkean riskin järjestelmiä ja tiettyjä toimijoita. Yrityksen oma sisäinen AI-luettelo on silti järkevä.

Saako AI tehdä rekrytointipäätöksen?

Rekrytoinnissa käytetty AI voi olla Annex III:n korkean riskin järjestelmä. Se edellyttää asetuksen mukaisia suojatoimia ja aitoa ihmisen valvontaa. Lisäksi GDPR:n 22 artikla voi rajoittaa pelkästään automaattiseen käsittelyyn perustuvia, merkittävästi vaikuttavia päätöksiä.

Riittääkö toimittajan AI Act -vakuutus?

Ei aina. Käyttöönottajalla on omat velvollisuutensa, eikä luokittelua voi ulkoistaa yhdellä sopimuslauseella.

Onko tämä sama asia kuin GDPR?

Ei. AI Act säätelee AI-järjestelmiä ja niiden riskejä. GDPR koskee henkilötietojen käsittelyä. Molempia voidaan soveltaa samaan ratkaisuun.

Kuka valvoo asetusta Suomessa?

Valvonta jakautuu toimivaltaisille viranomaisille järjestelmän ja käyttötarkoituksen mukaan. Ajantasainen kansallinen toimivaltajako kannattaa tarkistaa viranomaislähteestä ennen ilmoitusta tai oikeudellista arviota.

9. Lähteet ja rajaus

Olemme käyttäneet ensisijaisesti EU:n virallisia säädöksiä ja komission ohjeita. Artiklojen nimet viittaavat konsolidoituun asetukseen.

Rajaus: Tämä sivu on yleinen käytännön yhteenveto, ei oikeudellinen lausunto. Lopullinen arvio tehdään aina järjestelmän, käyttötarkoituksen, yrityksen roolin ja muun sovellettavan lainsäädännön perusteella.