EU:n tekoälylaki puree elokuussa, sakot jopa 35 miljoonaa

Mikä muuttuu 2. elokuuta

EU:n tekoälyasetus, tutummin AI Act, tuli voimaan jo kesällä 2024, mutta sen velvoitteet otetaan käyttöön portaittain. Ensi kuussa, 2. elokuuta, sovellettavaksi tulee liiketoiminnan kannalta tärkein osa: korkean riskin tekoälyjärjestelmiä ja läpinäkyvyyttä koskevat säännöt.

Samalla jäsenmaiden valvontaviranomaisten on oltava toimintakykyisiä. Rangaistussäännökset ovat olleet sovellettavissa jo viime elokuusta lähtien, mutta käytännön valvonta ja korkean riskin velvoitteiden täytäntöönpano terävöityvät vasta nyt.

Sakot kolmessa portaassa

Sakon suuruus riippuu rikkomuksen vakavuudesta. Kovin taso, enintään 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta liikevaihdosta, koskee kiellettyjä tekoälykäytäntöjä. Näitä ovat esimerkiksi sosiaalinen pisteytys ja manipuloivat järjestelmät, jotka kiellettiin jo helmikuussa 2025.

Korkean riskin järjestelmiä ja yleiskäyttöisiä tekoälymalleja koskevien velvoitteiden laiminlyönnistä sakko on enintään 15 miljoonaa euroa tai 3 prosenttia liikevaihdosta. Viranomaiselle annetuista vääristä tai harhaanjohtavista tiedoista voi seurata 7,5 miljoonan euron tai prosentin sakko. Sovellettavaksi tulee aina yritykselle suurempi summa.

Pk-yrityksille ja kasvuyrityksille on oma helpotus: niiden kohdalla sovelletaan pienempää näistä kahdesta, joko kiinteää summaa tai prosenttiosuutta. Se ei silti tee sakoista pieniä.

Ketä velvoitteet koskevat Suomessa

Asetus ei koske vain teknologiajättejä tai tekoälyn kehittäjiä. Velvoitteita lankeaa myös käyttöönottajille, eli yrityksille, jotka ottavat valmiin tekoälytyökalun omaan toimintaansa. Jos suomalainen yritys käyttää tekoälyä rekrytoinnissa, luottokelpoisuuden arvioinnissa, biometrisessä tunnistuksessa tai kriittisen infrastruktuurin ohjauksessa, kyse on todennäköisesti korkean riskin käytöstä.

Tällöin yrityksen pitää huolehtia muun muassa riskienhallinnasta, datan laadusta, dokumentaatiosta ja ihmisen suorittamasta valvonnasta. Kevyempi läpinäkyvyysvelvoite koskee laajempaa joukkoa: chatbotin kanssa asioivan käyttäjän on tiedettävä puhuvansa koneelle, ja tekoälyn tuottama kuva tai video on merkittävä.

Suomessa valvonta on tarkoitus hajauttaa. Liikenne- ja viestintävirasto Traficomia on esitetty koordinoivaksi markkinavalvontaviranomaiseksi, ja toimialakohtaiset valvojat kuten Finanssivalvonta ja Fimea hoitavat oman sektorinsa. Kansallista täytäntöönpanolakia on viimeistelty kevään aikana.

Tavalliselle kuluttajalle muutos näkyy arjessa. Verkkokaupan asiakaspalvelubotin pitää kertoa olevansa tekoäly, ja sosiaalisessa mediassa leviävät tekoälyvideot saavat merkinnän. Työnhakijan kannalta sääntely tarkoittaa, ettei algoritmi saa hylätä hakemusta läpinäkymättömin perustein.

Mitä pk-yrityksen pitää tehdä ennen elokuuta

Ensimmäinen askel on kartoittaa, missä kaikkialla yrityksessä tekoälyä jo käytetään. Moni työkalu on hiipinyt käyttöön huomaamatta, asiakaspalvelusta markkinointiin. Kun käyttökohteet on listattu, ne luokitellaan riskitason mukaan ja päätetään, mitkä vaativat erillistä dokumentointia.

Sääntelyä on helppo pitää pelkkänä kustannuksena, mutta se voi myös erottaa edukseen. Dokumentoitu ja läpinäkyvä tekoälyn käyttö on myyntivaltti etenkin julkishallinnon ja suuryritysten hankinnoissa, joissa vaatimustenmukaisuutta aletaan kysyä jo sopimusehdoissa. Aikaa valmistautua on enää reilu kuukausi.