EU AI Act lykkääntyi – Traficomin aikataulu uusiksi

Bryssel painoi jarrua viime hetkellä

Euroopan parlamentti ja neuvosto sopivat 7. toukokuuta merkittävistä muutoksista EU:n tekoälylakiin. Niin sanottu Digital Omnibus -paketti siirtää korkean riskin tekoälyjärjestelmien velvoitteita 16 kuukaudella eteenpäin. Suomalaiset yritykset, jotka ovat painineet AI Act -velvoitteiden kanssa, saivat odottamatta hengähdysaikaa.

Päätös ratkoo kuukausia jatkunutta vääntöä. Komissio esitti lykkäystä jo loppuvuonna 2025, ja kompromissi syntyi viime hetkellä ennen elokuun 2026 määräaikaa. Sopimuksen on vielä saatava lopullinen siunaus parlamentilta ja neuvostolta, mikä tapahtunee kesä-heinäkuussa.

Uudet päivämäärät käytännössä

Korkean riskin järjestelmiä koskevat säännöt jakautuvat kahteen ryhmään. Erilliset Annex III -järjestelmät, kuten työnhaun automatisoidut suodattimet, luottoluokituksen algoritmit ja koulutuspolkujen valintaa ohjaavat työkalut, siirtyvät elokuusta 2026 joulukuulle 2027. Liitteen I tuotteisiin upotetut järjestelmät, joita käytetään esimerkiksi lääkinnällisissä laitteissa ja autoissa, saavat aikalisää elokuuhun 2028 saakka.

Watermarking-velvoitteet, jotka pakottavat kuvanmuokkausta ja tekstigenerointia tarjoavat palvelut merkitsemään synteettisen sisällön, eivät jää odottamaan. Artikla 50(2):n mukaiset transparenssivelvoitteet astuvat voimaan 2. joulukuuta 2026. Komission alkuperäisestä esityksestä siirtymäaika lyheni kuudesta kuukaudesta kolmeen.

Nudifier-sovellukset ja CSAM-generointi kieltoihin

Sopimukseen ujutettiin kaksi täysin uutta kieltoa. Ensi joulukuusta lähtien EU:ssa ei saa tarjota tekoälyjärjestelmiä, jotka tuottavat tai muokkaavat tunnistettavasta henkilöstä ei-konsensuaalista intiimisisältöä, käytännössä niin sanottuja nudifier-sovelluksia. Kielto kattaa myös lapsiin kohdistuvan seksuaalisen hyväksikäyttömateriaalin generoinnin.

Rajaus on poikkeuksellisen tiukka. Kiellettyjä eivät ole vain järjestelmät, joiden tarkoitus on tuottaa tällaista sisältöä, vaan myös ne, joiden kohdalla väärinkäyttö on lakitekstin sanoin "kohtuudella ennakoitavissa" ilman riittäviä suojatoimia. Kuvanmuokkausalustat ja kuvageneraattorit joutuvat näyttämään, miten ne estävät pahimman.

Lainvalvonnan käyttämät CSAM-tunnistustyökalut ja molempien osapuolten suostumukseen perustuva intiimisisältö jäävät kiellon ulkopuolelle. Sakon yläraja kiellettyjen järjestelmien tarjoamisesta on 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta liikevaihdosta, kumpi tahansa on suurempi.

Traficomin sakotusaikataulu menee uusiksi

Suomessa AI Actin koordinoiva viranomainen on Liikenne- ja viestintävirasto Traficom. Sen piti aloittaa korkean riskin järjestelmien valvonta 73 päivän kuluttua, 2. elokuuta 2026. Nyt sakkojen jakaminen Annex III -järjestelmien puutteista lykkääntyy yli vuodella.

Käytännössä Traficom joutuu järjestelemään aikataulunsa uudelleen. Suomi rakentaa AI Actin valvontaa 15 eri viranomaisen yhteistyönä. Traficomin rinnalla mukana ovat muun muassa Tietosuojavaltuutettu, Finanssivalvonta ja Sosiaali- ja terveysalan lupa- ja valvontavirasto Valvira. Sektoriviranomaisten valmistautumissuunnitelmat on tehty elokuun 2026 määräaikaan.

Toinen pää aikataulusta ei silti löysty. Watermarking-velvoitteiden valvonta käynnistyy edelleen joulukuun alussa, ja samaan tahtiin tulee voimaan nudifier-sovellusten ja CSAM-generoinnin kielto. Niiden osalta valvontaresurssit pitää olla paikallaan jo loppuvuodesta.

Sääntelyn kahtia jakautunut kritiikki

Lykkäys herättää Brysselissä huolta molempiin suuntiin. Kansalaisjärjestöt arvostelivat omnibus-pakettia siitä, että teollisuuden painostus voitti suoja-aikataulun ja perusoikeudet jäivät toissijaisiksi. Yrityksiä edustavat järjestöt näkevät asian päinvastoin: pelkkä lykkäys ei poista perusongelmaa, jossa sama sääntö koskee niin suuria pilvipalveluja kuin viiden hengen ohjelmistotaloa.

Suomalaisyrityksille käytännön suositus on selkeä. Lopullinen muoto vahvistetaan kesä-heinäkuussa, ja Traficomin ohjeet päivittyvät loppukesän mittaan. Siihen asti kannattaa varmistaa, että oma järjestelmäluokittelu on tehty huolellisesti. Vääränlainen "ei-korkean-riskin" -leima saattaa muuttua kalliiksi, kun rekisteröintivaatimukset säilyivät myös itse-arvioiduille järjestelmille omnibus-paketista huolimatta.