EU:n tekoälylaki puree elokuussa – potilastiedot syyniin

EU:n tekoälylaki, AI Act, on ollut voimassa jo puolitoista vuotta, mutta suurin osa sen velvoitteista alkaa purra vasta nyt. Elokuun toisena päivänä 2026 astuu voimaan säädöksen laajin osa: läpinäkyvyysvelvoitteet ja korkean riskin järjestelmiä koskevat vaatimukset. Suomessa muutos osuu erityisesti terveydenhuoltoon ja julkisiin toimijoihin.

Mikä muuttuu 2. elokuuta

Tähän asti tekoälylaista on sovellettu vain osaa. Kielletyt käyttötavat, kuten sosiaalinen pisteytys, kiellettiin helmikuussa 2025. Yleiskäyttöisiä malleja, kuten OpenAI:n GPT:tä tai Googlen Geminiä, koskevat säännöt tulivat voimaan viime elokuussa. Nyt vuorossa on loppuosa: kaikki muu paitsi yksi siirtymäsäännös alkaa sitoa toimijoita 2. elokuuta 2026.

Käytännössä kyse on kahdesta asiasta. Ensinnäkin läpinäkyvyysvelvoitteista: ihmisen on tiedettävä, milloin hän asioi tekoälyn kanssa tai katsoo tekoälyn tuottamaa sisältöä. Toiseksi korkean riskin järjestelmien vaatimuksista, jotka ovat lain raskain osa.

Miksi suomalaispotilaat joutuvat syyniin

Korkean riskin luokkaan kuuluvat AI Actin liitteen III mukaan muun muassa järjestelmät, joilla arvioidaan ihmisen pääsyä olennaisiin julkisiin ja yksityisiin palveluihin. Terveydenhuolto on tästä keskeinen esimerkki. Kun tekoälyä käytetään hoidon kiireellisyyden arviointiin, potilaiden priorisointiin tai etuuksien myöntämiseen, järjestelmä putoaa korkean riskin luokkaan.

Suomessa tämä koskettaa laajaa joukkoa toimijoita. Hyvinvointialueet, Kela ja terveydenhuollon tietojärjestelmätoimittajat joutuvat käymään läpi, mitkä niiden käyttämistä tekoälyominaisuuksista täyttävät korkean riskin määritelmän. Moni potilas- ja asiakastietojärjestelmä sisältää nykyään koneoppimista hyödyntäviä toimintoja, joita ei aiemmin ole tarvinnut arvioida tästä näkökulmasta.

Mitä korkean riskin järjestelmältä vaaditaan

Toimijan on rakennettava riskienhallintajärjestelmä, dokumentoitava käytetyn datan laatu ja alkuperä, pidettävä lokia järjestelmän toiminnasta ja varmistettava, että ihminen valvoo päätöksiä. Lisäksi järjestelmät on rekisteröitävä EU:n tietokantaan ja niille on tehtävä vaatimustenmukaisuuden arviointi ennen käyttöönottoa.

Tavalliselle potilaalle muutos näkyy toivon mukaan luottamuksena. Jos terveyskeskuksen tai vakuutusyhtiön tekoäly vaikuttaa siihen, miten nopeasti pääset hoitoon tai saatko korvauksen, sinulla on jatkossa oikeus tietää järjestelmän olemassaolosta ja vaatia inhimillistä arviota. Yrityksille ja julkisille toimijoille lasku on toinen: vaatimustenmukaisuus vaatii työtä, dokumentaatiota ja usein ulkopuolista arviointia, eikä valmistautumisaikaa ole enää paljon jäljellä.

Komission heinäkuun täydennys

Komissio täydensi kokonaisuutta heinäkuussa. Se esitteli toimintasuunnitelman, jonka mukaan kehittyneimmät yleiskäyttöiset mallit on arvioitava ja niiden riskit kartoitettava ennen EU-markkinoille tuloa. Google, OpenAI, Microsoft, Amazon ja Anthropic ovat jo sitoutuneet komission ja EU:n tekoälytoimiston laatimiin käytännesääntöihin, jotka kattavat läpinäkyvyyden, tekijänoikeudet ja turvallisuuden.

Sanktiot antavat velvoitteille painoa. Korkean riskin sääntöjen rikkomisesta voi seurata jopa 15 miljoonan euron tai kolmen prosentin liikevaihto-osuuden sakko. Suomalaisen terveydenhuollon kannalta kysymys ei silti ole vain sakoista. Sote-sektori nojaa yhä enemmän automaatioon paikatakseen henkilöstöpulaa, ja elokuun takaraja pakottaa arvioimaan, mihin koneen harkintaa oikeasti uskalletaan päästää.