Kuka saa Suomen ensimmäisen AI Act -sakon?

Suomen tekoälyasetuksen D-päivä on syksy 2026

Elokuun toisena päivänä 2026 suurin osa EU:n tekoälyasetuksesta alkaa soveltua: kuluttajille suunnatut läpinäkyvyysvelvoitteet ja valvontaviranomaisten täysi toimivalta. Suuririskisten järjestelmien säännöt siirtyivät kevennyspaketissa joulukuuhun 2027. Tämän jälkeen Traficomilla on työkalupakki kunnossa.

Tämä on mitä jos -juttu. Kuvitellaan, että lokakuussa 2026 Traficom langettaa Suomen ensimmäisen tekoälyasetuksen rikkomuksesta tehdyn sakon. Millaisesta yhtiöstä olisi kyse, ja millä logiikalla?

Suomesta puuttuvat ne, joita laki ensisijaisesti koskee

Suomalaisia yleiskäyttöisten tekoälymallien tarjoajia eli GPAI-toimittajia ei käytännössä ole. Aalto-yliopiston tutkimusryhmiä ja muutama avoimia malleja kehittävä startup työskentelee aiheen parissa, mutta varsinaisten kaupallisten GPAI-tarjoajien sarjaan ei mahdu yhden käden sormia. Määritelmä elää komission ohjeistuksen mukana, joten rajatapauksia riittää.

Sen sijaan jakelijoita, integraattoreita ja API-tuotteistajia on satoja. PRH:n yritysrekisteristä löytyy toimialaluokkien perusteella noin 300–500 tekoälypalveluita myyvää suomalaisyritystä, jakeluketjun tulkinnasta riippuen. Heitä asetus koskee suoraan – ja heille velvoitteet ovat usein kalliimmat kuin koolla ennakoisi.

Traficom ja 15 muuta viranomaista

Liikenne- ja viestintävirasto Traficom toimii Suomen koordinoivana valvontaviranomaisena, mutta varsinainen valvonta hajautuu sektoreittain viidelletoista eri viranomaiselle. Sakkohaarukka on lavea. Kiellettyjen käytäntöjen rikkomuksesta voi seurata jopa 35 miljoonan euron tai seitsemän prosentin globaali liikevaihtosakko. Läpinäkyvyysvelvoitteiden laiminlyönnistä yläraja on 15 miljoonaa euroa tai kolme prosenttia.

Suomessa kukaan ei realistisesti maksa noita summia ensimmäisellä kierroksella. Sakon koko skaalautuu rikkomuksen vakavuuden, keston ja yhtiön koon mukaan. Ensimmäinen langetus on todennäköisemmin kymmeniä tai satoja tuhansia euroja.

Skenaario 1 – integraattori unohtaa kertoa tekoälystä

Helsinkiläinen ohjelmistotalo on rakentanut SaaS-tuotteen, joka kytkee OpenAI:n API:n asiakaspalvelubottiin. Yritysasiakkaita on parisataa, loppukäyttäjiä kymmeniä tuhansia. Mikään käyttöliittymäelementti ei kerro, että vastaajana on tekoäly.

Tämä on artikla 50:n suoran läpinäkyvyysvelvoitteen rikkomus. Turhautunut kuluttaja tekee ilmoituksen, ja Traficom siirtää tapauksen sektorivalvojalle. Selvitys vie kuukauden. Lokakuun lopussa tuomio on valmis: 150 000 euron sakko ja velvollisuus korjata käyttöliittymä kahdessa viikossa.

Tämä on todennäköisin skenaario yksinkertaisesta syystä. Integraattorin rikkomus on dokumentoitavissa kuvakaappauksella. Tekninen asiantuntemus vaatimaton, näyttö vahva, prosessi lyhyt.

Skenaario 2 – API-jakelijan tekniset asiakirjat puuttuvat

Tamperelainen yhtiö myy yhdysvaltalaisen GPAI-mallin omalla suomalaisella tuotemerkillään edelleen. Mallin tekniset asiakirjat ja koulutusaineiston yhteenveto tulevat alkuperäiseltä toimittajalta englanninkielisinä. Jakelijan oma rooli on varmistaa, että dokumentaatio on saatavilla suomalaisille viranomaisille ja loppuasiakkaille.

Auditoinnissa selviää, että materiaalia ei ole tai se on vanhentunutta. Tapaus on hankalampi kuin ensimmäinen, koska velvoiteketju kulkee kahden maanosan halki ja sopimustulkinnat ovat sotkuisia. Juuri siksi Traficom voisi valita tämän ennakkotapaukseksi: jakelijan vastuuta halutaan selventää, ja kotimaisen yhtiön sakottaminen on poliittisesti helpompi kuin yhdysvaltalaisen toimittajan tavoittaminen.

Skenaario 3 – GPAI-edustaja ei rekisteröidy

Yhdysvaltalainen tekoäly-yhtiö on nimennyt suomalaisen lakitoimiston EU:n valtuutetuksi edustajakseen. Rekisteröinti komission tietokantaan on jäänyt tekemättä, koska sopimusneuvotteluissa kysymys vastuun rajauksesta ei ratkennut ennen elokuun 2. päivää.

Edustajan velvollisuuksiin kuuluu juuri rekisteröinti ja viranomaisyhteistyö. Vaikka edustajan rooli on kapea, formaalin velvoitteen laiminlyönti on helppo todeta. Tämä olisi pienin sakko, koska yhtiön koko on rajallinen, mutta symbolisesti merkittävin: ulkomaisen toimittajan vastuu ei katoa edustajasopimuksen pykäliin.

Miksi sakkoa ei välttämättä tule lokakuuhun mennessä

Realistinen vasta-argumentti: Traficom ei pidä kiirettä. Suomalainen valvontakulttuuri suosii ohjausta ennen rangaistusta. Ensimmäinen toimenpide on todennäköisemmin huomautus, korjauspyyntö ja kuuden kuukauden määräaika. Sakko tulee vasta, jos yhtiö ei korjaa.

Toinen vasta-argumentti: viidentoista viranomaisen valvontamalli on hidas. Tapauksen reititys oikealle taholle, lausuntopyynnöt ja kuulemiset venyvät. Aitoon ensisakkoon voi mennä vuoden 2027 puolelle.

Mitä jokaisen tekoälyä myyvän kannattaa tehdä nyt

Sitran julkaisemissa kannanotoissa korostuu, että suomalaisyritykset ovat tekoälyasetuksen valmistautumisessa keskitasoa. Konkreettiset askeleet eivät ole monimutkaisia: tekoälyinventaario, sopimusehtojen päivitys ostosopimuksiin, läpinäkyvyysmerkinnät käyttöliittymiin ja vastuuhenkilön nimeäminen.

Tavalliselle kuluttajalle muutos näkyy ensimmäiseksi siinä, että chatbotit alkavat ilmoittaa olevansa tekoälyä – ja että jotkut suomalaiset palvelut voivat kadota markkinoilta, kun pieni toimittaja päättää että sääntely ei kannata. Yritysasiakkaalle se tarkoittaa kymmeniä tunteja sopimusten läpikäyntiä ja todennäköisesti uusia korvauslausekkeita ostoehdoissa.

Mikä lopulta on ensisakon kohdalle osuvan yhtiön käytännön opetus muille? Että EU-tason sääntely tavoittaa ne, jotka eivät ehdi sopia paperitöistä – ei välttämättä niitä, jotka tekevät isoimmat virheet.