EU lykkäsi tekoälysäännöt – lasku jäi yrityksille

Euroopan unioni antoi tekoälyä kehittäville yrityksille lisäaikaa juuri ennen kuin takaraja ehti umpeutua. AI Omnibus -paketti tuli voimaan 27. heinäkuuta 2026, kuusi päivää ennen kuin tekoälyasetuksen tiukimmat velvoitteet olisivat alkaneet purra.

Korkean riskin tekoälyjärjestelmien velvoitteet siirtyivät 2. joulukuuta 2027:ään. Siirto kattaa asetuksen liitteen III alat: biometriikan, kriittisen infrastruktuurin, koulutuksen, työelämän sekä muuttoliikkeen, turvapaikka-asiat ja rajavalvonnan. Koneisiin ja muihin säänneltyihin tuotteisiin upotetut järjestelmät, hisseistä leluihin, saivat armonaikaa 2. elokuuta 2028:aan asti.

Alkuperäisessä aikataulussa nämä velvoitteet olisivat alkaneet soveltua 2. elokuuta 2026. Komission perustelu lykkäykselle on käytännöllinen: harmonisoidut standardit ja yritysten tukivälineet ovat myöhässä. Sääntöjen noudattamista on vaikea vaatia, jos mittatikku puuttuu.

Avoimuusvelvoitteet jäivät voimaan

Lykkäys ei koske avoimuutta. Tekoälyasetuksen 50. artikla alkoi soveltua 2. elokuuta, ja se velvoittaa kertomaan käyttäjälle, kun tämä keskustelee koneen kanssa, sekä merkitsemään tekoälyllä tuotetun tai muokatun sisällön. Näistä velvoitteista AI Suomi kertoi erikseen.

Voimassa ovat myös helmikuussa 2025 alkaneet kiellot ja elokuussa 2025 voimaan tulleet yleiskäyttöisiä malleja koskevat velvoitteet. Joulukuussa 2026 kieltolistalle lisätään yhdeksäs kohta, joka koskee ilman suostumusta tuotettua intiimiä kuvamateriaalia ja lasten seksuaalista hyväksikäyttöä esittävää aineistoa.

Erottelu on tärkeä, koska julkisuudessa lykkäys on tiivistynyt muotoon "tekoälylaki siirtyi". Se ei siirtynyt. Siirtyi se osa, joka olisi koskenut raskaimmin säänneltyjä käyttökohteita.

Suomessa laskut on jo maksettu

Suomalaisyritykset ehtivät valmistautua elokuun takarajaan. Korkean riskin luokitus tarkoittaa raskasta pakettia: riskienhallintajärjestelmä, tekninen dokumentaatio, datan laadunvarmistus, ihmisen tekemä valvonta, vaatimustenmukaisuusarviointi ja CE-merkintä. Näihin on kevään ja kesän aikana kulunut konsultti- ja auditointirahaa etenkin terveysteknologian, rekrytointiohjelmistojen ja teollisuusautomaation toimittajilla.

Työ ei mene hukkaan, sillä samat vaatimukset tulevat voimaan puolitoista vuotta myöhemmin. Sen tuotto vain siirtyy, ja se on eri asia kuin säästö. Yritys, joka rakensi vaatimustenmukaisuutensa nyt, kantaa kulut aikaisemmin kuin kilpailija, joka päätti odottaa ja arvasi oikein.

Valvontapuolella tilanne on nurinkurinen. Suomessa tekoälyasetuksen valvonta on hajautettu 15 viranomaiselle, ja Liikenne- ja viestintävirasto Traficom toimii keskitettynä yhteyspisteenä. Perusoikeuksien suojaa valvoo asetuksen 77. artiklan nojalla kahdeksan tahoa, muun muassa tietosuojavaltuutettu, yhdenvertaisuusvaltuutettu, työsuojeluviranomainen ja kuluttaja-asiamies. Iso osa niiden toimivallasta koskee juuri korkean riskin järjestelmiä, eli työtä, joka alkaa vasta joulukuussa 2027.

Työnhakija odottaa suojaansa puolitoista vuotta pidempään

Tavalliselle ihmiselle lykkäys näkyy siellä, missä kone tekee päätöksiä hänestä. Hakemuksia seulova rekrytointijärjestelmä, työvuoroja jakava algoritmi ja työsuoritusta arvioiva malli ovat kaikki liitteen III korkean riskin järjestelmiä. Niihin liittyvät oikeudet saada selitys päätöksestä ja työnantajan velvollisuus arvioida järjestelmän vaikutukset perusoikeuksiin siirtyivät samalla eteenpäin.

Sama koskee opiskelijaa, jonka koesuoritusta arvioidaan koneellisesti, ja rajanylittäjää, jonka henkilöllisyys tarkistetaan biometrisesti. Suoja ei katoa, sillä tietosuoja-asetus ja yhdenvertaisuuslaki pätevät edelleen. Tekoälyasetuksen tuoma lisäkerros tulee vain myöhemmin kuin luvattiin.

Lykkäys ei ole peruutus

Sisältöä ei kevennetty. Vaatimukset ovat samat kuin ennenkin, vain kello siirtyi. Se erottaa AI Omnibuksen niistä toiveista, joita osa eurooppalaisista teknologiayhtiöistä esitti keväällä: ne halusivat sääntelyn sisältöä auki, eivät lisäaikaa.

Kiinnostavin kysymys koskee vuotta 2027. Lykkäyksen perusteena oli standardien ja tukivälineiden keskeneräisyys, ja täsmälleen sama perustelu on käytettävissä uudelleen, jos työ viivästyy taas. Suomalaisyrityksen kannattaa siis seurata kalenterin sijaan sitä, milloin CEN-CENELECin harmonisoidut standardit valmistuvat. Kun ne julkaistaan, aikataulusta tulee sitova tavalla, jota on vaikea siirtää enää uudelleen.