EU:n tekoälyasetuksen avoimuusvelvoitteet tulivat voimaan sunnuntaina. Käytännössä se tarkoittaa kahta asiaa: chatbotin on kerrottava käyttäjälle olevansa kone, ja tekoälyllä tuotettu kuva, ääni ja video on merkittävä koneluettavasti.
Viikkoa ennen määräpäivää sääntely kuitenkin muuttui. Niin sanottu omnibus-muutos tuli voimaan 27. heinäkuuta ja siirsi korkean riskin tekoälyjärjestelmien velvoitteet joulukuulle 2027. Tuotteisiin upotetun tekoälyn osalta aikaa on elokuuhun 2028.
Siirto on merkittävä, koska juuri korkean riskin säännöt sisältävät työläimmän osuuden: teknisen dokumentaation, lokitiedot, riskienhallintajärjestelmän ja ihmisen suorittaman valvonnan. Niiden piti olla kunnossa tänään. Nyt aikaa on 16 kuukautta lisää.
AI Suomi kertoi aiemmin, että valvonta on Suomessa hajautettu noin 15 viranomaiselle. Se on nyt taustaa. Tärkeämpi kysymys kuuluu, mitä yrityksen pitää tehdä maanantaiaamuna.
Mitä on voimassa tänään
Ensimmäinen velvoite koskee keskustelevia järjestelmiä. Jos yrityksen verkkosivuilla on asiakaspalvelubotti, käyttäjälle on kerrottava viimeistään ensimmäisen viestin yhteydessä, että vastassa on tekoäly. Poikkeus on kapea: kertomista ei vaadita, jos asia on tavalliselle käyttäjälle ilmeinen. Maininta käyttöehdoissa ei riitä.
Toinen koskee merkintää. Tekoälyllä luodun kuvan, äänen, videon ja tekstin on oltava koneluettavasti tunnistettavissa keinotekoiseksi. Vesileima tai C2PA-metatieto kelpaa, näkyvä teksti kuvan kulmassa ei yksin riitä. Vastuu on ensisijaisesti järjestelmän tarjoajalla, mutta se valuu sopimusketjussa eteenpäin.
Kolmas velvoite osuu julkaisijaan. Jos yritys julkaisee syväväärennöksen tai tekoälyllä tuotettua tekstiä yleisen edun kannalta merkittävästä aiheesta, siitä on kerrottava avoimesti. Tekstin osalta velvoite raukeaa, jos ihminen on tarkistanut sisällön ja joku kantaa siitä toimituksellisen vastuun.
Neljäs tapaus on harvinaisempi. Jos järjestelmä tunnistaa ihmisten tunteita tai luokittelee heitä biometrisesti, altistuville on kerrottava asiasta. Työpaikoilla ja oppilaitoksissa tunteentunnistus on ollut kokonaan kielletty jo helmikuusta 2025.
Maanantain tarkistuslista
Listaa kaikki tekoälyjärjestelmät, jotka näkyvät asiakkaalle: botit, sisällöntuotantotyökalut, puhelinvastaajat, kuvageneraattorit.
Tarkista, kertooko jokainen niistä käyttäjälle olevansa tekoäly heti ensimmäisessä kontaktissa.
Kysy toimittajalta kirjallisesti, tuottaako työkalu koneluettavan merkinnän. Kirjaa vastaus sopimukseen.
Nimeä vastuuhenkilö. Viranomaiselle on pystyttävä osoittamaan, kuka asiaa hoitaa.
Älä pura korkean riskin valmistelua, vaikka määräaika siirtyi.
Suomessa ei ole mallien kehittäjiä, käyttäjiä on satoja
Asetus erottelee roolit, ja rooli ratkaisee velvoitteet. Yleiskäyttöisten mallien kehittäjiä eli GPAI-tarjoajia Suomessa ei käytännössä ole. Ne ovat OpenAI:n, Googlen ja Mistralin kokoluokan toimijoita, ja niitä koskevat velvoitteet alkoivat jo elokuussa 2025.
Suomalaisyritys on lähes aina jakelija, integraattori tai käyttöönottaja. Se ostaa valmiin mallin ja rakentaa sen päälle jotain omaa. Tässä on sudenkuoppa, jonka moni ohittaa: jos yritys myy järjestelmää omalla nimellään tai brändillään, se voi asetuksen silmissä muuttua tarjoajaksi ja periä koko tarjoajan velvoitepaketin.
Ero on käytännössä suuri. Käyttöönottajan velvoitteet ovat kevyempiä, lähinnä avoimuutta ja ihmisvalvontaa. Tarjoajalta vaaditaan vaatimustenmukaisuuden arviointi ja CE-merkintä.
Ennen 2. elokuuta markkinoille tuotujen järjestelmien merkintävelvoitteeseen on lakiasiaintoimistojen tulkinnan mukaan siirtymäaika 2. joulukuuta 2026 asti. Tänään käyttöön otettavaan työkaluun sitä ei ole.
Kuka valvoo ja mitä laiminlyönti maksaa
Keskeisin osoite on Liikenne- ja viestintävirasto Traficom, joka toimii asetuksen kansallisena yhteyspisteenä ja markkinavalvontaviranomaisena. Sen yhteydessä toimii myös seuraamusmaksulautakunta. Valvontaviranomaisten toimivaltuudet tulivat voimaan jo tämän vuoden tammikuussa.
Perusoikeuksia valvovia viranomaisia on kahdeksan, muun muassa tietosuojavaltuutettu, yhdenvertaisuusvaltuutettu, kuluttaja-asiamies ja työsuojeluviranomainen. Ne voivat pyytää markkinavalvojaa testaamaan järjestelmän.
Sakot on porrastettu kolmeen tasoon. Kiellettyjen tekoälykäytäntöjen käytöstä voi seurata 35 miljoonan euron tai seitsemän prosentin sakko maailmanlaajuisesta liikevaihdosta. Avoimuusvelvoitteiden rikkomisesta 15 miljoonaa tai kolme prosenttia. Väärien tietojen antamisesta viranomaiselle 7,5 miljoonaa tai yksi prosentti. Pieniin ja keskisuuriin yrityksiin sovelletaan alempaa summaa.
