Euroopan unioni antoi tekoälyä kehittäville yrityksille lisäaikaa juuri ennen kuin takaraja ehti umpeutua. AI Omnibus -paketti tuli voimaan 27. heinäkuuta 2026, kuusi päivää ennen kuin tekoälyasetuksen tiukimmat velvoitteet olisivat alkaneet purra.
Korkean riskin tekoälyjärjestelmien velvoitteet siirtyivät 2. joulukuuta 2027:ään. Siirto kattaa asetuksen liitteen III alat: biometriikan, kriittisen infrastruktuurin, koulutuksen, työelämän sekä muuttoliikkeen, turvapaikka-asiat ja rajavalvonnan. Koneisiin ja muihin säänneltyihin tuotteisiin upotetut järjestelmät, hisseistä leluihin, saivat armonaikaa 2. elokuuta 2028:aan asti.
Alkuperäisessä aikataulussa nämä velvoitteet olisivat alkaneet soveltua 2. elokuuta 2026. Komission perustelu lykkäykselle on käytännöllinen: harmonisoidut standardit ja yritysten tukivälineet ovat myöhässä. Sääntöjen noudattamista on vaikea vaatia, jos mittatikku puuttuu.
Voimassa nyt, lykätty myöhemmäksi
Voimassa: kielletyt tekoälykäytännöt (helmikuu 2025), yleiskäyttöisten mallien velvoitteet (elokuu 2025) sekä avoimuusvelvoitteet eli chatbottien ilmoitusvelvollisuus ja tekoälysisällön merkintä (2.8.2026).
Lykätty: korkean riskin järjestelmät liitteen III aloilla 2.12.2027:ään ja säänneltyihin tuotteisiin upotetut järjestelmät 2.8.2028:aan.
Avoimuusvelvoitteet jäivät voimaan
Lykkäys ei koske avoimuutta. Tekoälyasetuksen 50. artikla alkoi soveltua 2. elokuuta, ja se velvoittaa kertomaan käyttäjälle, kun tämä keskustelee koneen kanssa, sekä merkitsemään tekoälyllä tuotetun tai muokatun sisällön. Näistä velvoitteista AI Suomi kertoi erikseen.
Voimassa ovat myös helmikuussa 2025 alkaneet kiellot ja elokuussa 2025 voimaan tulleet yleiskäyttöisiä malleja koskevat velvoitteet. Joulukuussa 2026 kieltolistalle lisätään yhdeksäs kohta, joka koskee ilman suostumusta tuotettua intiimiä kuvamateriaalia ja lasten seksuaalista hyväksikäyttöä esittävää aineistoa.
Erottelu on tärkeä, koska julkisuudessa lykkäys on tiivistynyt muotoon "tekoälylaki siirtyi". Se ei siirtynyt. Siirtyi se osa, joka olisi koskenut raskaimmin säänneltyjä käyttökohteita.
Suomessa laskut on jo maksettu
Suomalaisyritykset ehtivät valmistautua elokuun takarajaan. Korkean riskin luokitus tarkoittaa raskasta pakettia: riskienhallintajärjestelmä, tekninen dokumentaatio, datan laadunvarmistus, ihmisen tekemä valvonta, vaatimustenmukaisuusarviointi ja CE-merkintä. Näihin on kevään ja kesän aikana kulunut konsultti- ja auditointirahaa etenkin terveysteknologian, rekrytointiohjelmistojen ja teollisuusautomaation toimittajilla.
Työ ei mene hukkaan, sillä samat vaatimukset tulevat voimaan puolitoista vuotta myöhemmin. Sen tuotto vain siirtyy, ja se on eri asia kuin säästö. Yritys, joka rakensi vaatimustenmukaisuutensa nyt, kantaa kulut aikaisemmin kuin kilpailija, joka päätti odottaa ja arvasi oikein.
Valvontapuolella tilanne on nurinkurinen. Suomessa tekoälyasetuksen valvonta on hajautettu 15 viranomaiselle, ja Liikenne- ja viestintävirasto Traficom toimii keskitettynä yhteyspisteenä. Perusoikeuksien suojaa valvoo asetuksen 77. artiklan nojalla kahdeksan tahoa, muun muassa tietosuojavaltuutettu, yhdenvertaisuusvaltuutettu, työsuojeluviranomainen ja kuluttaja-asiamies. Iso osa niiden toimivallasta koskee juuri korkean riskin järjestelmiä, eli työtä, joka alkaa vasta joulukuussa 2027.
“Siirtymäaikoja pidennettiin, jotta yrityksillä on riittävästi aikaa valmistautua ja käytettävissään tarvittavat tukivälineet.”
Työnhakija odottaa suojaansa puolitoista vuotta pidempään
Tavalliselle ihmiselle lykkäys näkyy siellä, missä kone tekee päätöksiä hänestä. Hakemuksia seulova rekrytointijärjestelmä, työvuoroja jakava algoritmi ja työsuoritusta arvioiva malli ovat kaikki liitteen III korkean riskin järjestelmiä. Niihin liittyvät oikeudet saada selitys päätöksestä ja työnantajan velvollisuus arvioida järjestelmän vaikutukset perusoikeuksiin siirtyivät samalla eteenpäin.
Sama koskee opiskelijaa, jonka koesuoritusta arvioidaan koneellisesti, ja rajanylittäjää, jonka henkilöllisyys tarkistetaan biometrisesti. Suoja ei katoa, sillä tietosuoja-asetus ja yhdenvertaisuuslaki pätevät edelleen. Tekoälyasetuksen tuoma lisäkerros tulee vain myöhemmin kuin luvattiin.
Tekoälyasetuksen aikataulu AI Omnibuksen jälkeen
2.2.2025
Kiellot voimaan
Kielletyt tekoälykäytännöt ja tekoälyosaamista koskeva vaatimus alkoivat soveltua.
2.8.2025
Yleiskäyttöiset mallit
GPAI-mallien velvoitteet ja EU-tason hallintorakenne astuivat voimaan.
2.8.2026
Avoimuus voimaan
Chatbottien ilmoitusvelvollisuus ja tekoälysisällön merkintä alkoivat soveltua.
2.12.2026
Yhdeksäs kielto
Kieltolistalle lisätään ilman suostumusta tuotettu intiimi kuvamateriaali ja lasten hyväksikäyttöaineisto.
2.12.2027
Korkea riski
Liitteen III velvoitteet: biometriikka, kriittinen infra, koulutus, työelämä, muuttoliike ja rajavalvonta.
2.8.2028
Tuotteisiin upotetut
Koneisiin ja muihin säänneltyihin tuotteisiin upotetut korkean riskin järjestelmät.
Sisältöä ei kevennetty. Vaatimukset ovat samat kuin ennenkin, vain kello siirtyi. Se erottaa AI Omnibuksen niistä toiveista, joita osa eurooppalaisista teknologiayhtiöistä esitti keväällä: ne halusivat sääntelyn sisältöä auki, eivät lisäaikaa.
Kiinnostavin kysymys koskee vuotta 2027. Lykkäyksen perusteena oli standardien ja tukivälineiden keskeneräisyys, ja täsmälleen sama perustelu on käytettävissä uudelleen, jos työ viivästyy taas. Suomalaisyrityksen kannattaa siis seurata kalenterin sijaan sitä, milloin CEN-CENELECin harmonisoidut standardit valmistuvat. Kun ne julkaistaan, aikataulusta tulee sitova tavalla, jota on vaikea siirtää enää uudelleen.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
