AI Act iskee elokuussa – vain neljännes tietää säännöt

Kahtiajako syvenee, keskikenttä katoaa

AI Finlandin ja Business Finlandin tuore selvitys piirtää kuvan, jossa suomalaisyritysten välinen ero kasvaa nopeasti. Tekoälyä edistyneesti hyödyntävien organisaatioiden määrä on nelinkertaistunut kahdessa vuodessa. Samaan aikaan yli puolet vastaajista istuu yhä arviointi- ja valmisteluvaiheessa. Niin sanottu laaja keskikenttä on käytännössä hävinnyt.

Edelläkävijöistä lähes puolet joko tuotteistaa tekoälyä asiakkailleen tai sulauttaa sen omiin palveluihinsa. Investoinnit ovat silti pieniä mittakaavassa: tyypillinen projekti maksaa alle 100 000 euroa, ja miljoonaluokan satsaukset ovat yhä harvinaisia. Vahvinta panostus on terveysteknologiassa ja teollisuudessa, jossa konenäkö, ennakoiva analytiikka ja digitaaliset kaksoset nousevat esiin.

Vain neljännes tunnistaa AI Actin

Raportin huolestuttavin löytö koskee EU:n tekoälyasetusta. Alle 25 prosenttia kyselyyn vastanneista yrityksistä tunnistaa AI Actin pääpiirteet. Soveltamisaika korkean riskin järjestelmille ja yleiskäyttöisten mallien velvoitteille käynnistyy 2. elokuuta 2026. Tämän jutun julkaisuhetkellä takaraja on 79 päivän päässä. Vauhti ei riitä, jos asetuksen tunnistamiseen kuluu yritykseltä neljäsosa kesästä ja vaatimustenmukaisuus jää viime hetkeen.

Käytännössä asetus tarkoittaa, että monen yrityksen on dokumentoitava käyttämiensä järjestelmien koulutusdata, riskit ja käyttötarkoitukset. Sakot voivat nousta 35 miljoonaan euroon tai seitsemään prosenttiin yhtiön globaalista liikevaihdosta. Suurin osa pk-yrityksistä ei kuitenkaan tiedä, kumpaan riskiluokkaan oma käyttötapaus asettuu.

Traficom koordinoi, mutta resurssit puhuttavat

Suomessa AI Actin valvonta on pirstottu 15 eri viranomaiselle. Traficom toimii kansallisena yhteyspisteenä ja koordinoi täytäntöönpanoa, kun taas yleiskäyttöisten mallien valvonta kuuluu Euroopan komissiolle. Viranomaisten toimivaltuudet tulivat voimaan jo 1. tammikuuta 2026, mutta varsinaiset velvoitteet aktivoituvat elokuussa. Vertailun vuoksi: ranskalainen CNIL ja saksalaiset osavaltioviranomaiset ovat jo julkaisseet ennakko-ohjeita, kun taas Suomessa konkreettista soveltamisohjeistusta odotetaan yhä.

Edellisen kerran vastaavaa pirstaleisuutta nähtiin tietosuoja-asetuksen GDPR:n voimaantulossa 2018, jolloin yritysten suurin epävarmuus koski sitä, kenelle ilmoittaa rikkomuksesta. AI Actin yhteydessä tilanne on monimutkaisempi: Finanssivalvonta valvoo luotonantoa, Valvira terveysteknologiaa, Tukes tuoteturvallisuutta. Yksi yritys voi olla samanaikaisesti usean valvojan asiakas.

Liikenne- ja viestintäministeriö ja Traficom eivät ehtineet vastata AI Suomen kommenttipyyntöön ennen jutun julkaisua. Kysymykset koskivat valvonnan henkilöstöresursseja ja sitä, miten viranomaiset käytännössä ohjeistavat yrityksiä siirtymäajan loppuvaiheessa.

Mitä yrityksen pitäisi tehdä ennen elokuuta?

Jos yritykselläsi on tekoälyä asiakaspalvelussa, rekrytoinnissa, luotonannossa tai terveydenhuollossa, käyttötapaus voi olla AI Actin korkean riskin listalla. Käytännön tarkistuslistan saa Traficomin sivulta. Pelkkä chatbot ei välttämättä riitä laukaisemaan tiukkoja velvoitteita, mutta päätöksenteon automaatio yleensä laukaisee. Riskiluokituksen päättää käyttötarkoitus, ei teknologia: sama kielimalli voi olla matalan riskin sovellus markkinoinnissa ja korkean riskin sovellus terveydenhuollossa.

Erityisen ongelmallinen tilanne on pk-yrityksille, joilla ei ole omaa lakitiimiä. Asianajotoimistot ovat hinnoittautuneet aiheen ympärille, ja yhden riskiarvion hinta liikkuu helposti 5 000 ja 20 000 euron välillä. Sama summa vastaa monen pienen yhtiön koko tekoälybudjettia.

Tavalliselle työntekijälle muutos näkyy ennen kaikkea läpinäkyvyytenä. Asetus edellyttää, että generatiivisten mallien tuottamat sisällöt voidaan tunnistaa koneellisesti. Rekrytointijärjestelmistä on jatkossa kerrottava hakijoille, ja syrjivien algoritmien käyttöön puuttuminen helpottuu. Kuluttajalle tämä tarkoittaa enemmän tietoa siitä, milloin tekoäly tekee päätöksiä hänen puolestaan. Käytännössä rekrytoija näkee jatkossa lisävaiheen järjestelmässään: arvio siitä, onko hakija saanut tekoälyn tuottaman päätöksen vai ihmistarkastuksen.

Nelinkertaistuneiden edelläkävijöiden vauhti ei suojaa sääntelyn jälkijunalta. Jos sääntelyä tunteva neljännes hyödyntää valmiuttaan kilpailuetuna, kuilu syvenee kesän aikana toiseen suuntaan: edelläkävijät myyvät vaatimustenmukaisuutta, jälkijoukot maksavat konsulteille. Heinäkuun lopussa selviää, kummalla puolella oma yritys on.