Tekoälylaki astui voimaan – koskeeko se sinua jo?

EU:n tekoälyasetuksen pääosa muuttui velvoittavaksi viime sunnuntaina 2. elokuuta. Kahden vuoden siirtymäaika päättyi, ja moni pk-yrittäjä havahtui kysymään, mitä se käytännössä tarkoittaa oman firman asiakaspalvelubotille tai markkinointikuville.

Vastaus on kaksijakoinen. Kevyet, kaikkia koskevat velvoitteet sitovat nyt. Raskaat, kalliit ja dokumentointia vaativat velvoitteet eivät. Heinäkuun 27. päivä voimaan tullut niin sanottu digiomnibus siirsi korkean riskin tekoälyjärjestelmien vaatimukset eteenpäin: riskialttiiksi luokitelluilla käyttöalueilla, kuten rekrytoinnissa, koulutuksessa, biometriikassa ja kriittisessä infrastruktuurissa, säännöt alkavat sitoa vasta 2. joulukuuta 2027. Säänneltyjen tuotteiden sisään upotettu tekoäly, esimerkiksi lääkinnällisissä laitteissa ja koneissa, saa aikaa 2. elokuuta 2028 asti.

AI Suomi kertoi aiemmin, millaisia seuraamusmaksuja rikkomuksista voi seurata ja miten valvonta käynnistyi. Sen jälkeen komissio päätti lykätä osaa säännöistä. Nyt kun lykkäys on lopullinen ja päivämäärät lyöty lukkoon, kysymys kääntyy arkisemmaksi: mikä velvoite osuu tavalliseen suomalaiseen yritykseen tässä ja nyt?

Botin on kerrottava olevansa botti

Elokuun alusta voimaan tulleiden läpinäkyvyyssääntöjen ydin mahtuu muutamaan lauseeseen. Jos ihminen keskustelee tekoälyn kanssa, hänelle on kerrottava se. Jos yritys julkaisee tekoälyn tuottamaa ääntä, kuvaa, videota tai tekstiä, sisältö on merkittävä koneluettavasti keinotekoiseksi. Ja jos kyse on syväväärennöksestä tai yleisölle suunnatusta uutisluonteisesta tekstistä, merkinnän pitää näkyä myös lukijalle.

Poikkeuksiakin on. Taiteellinen ja satiirinen sisältö saa erivapauden, samoin tekoälyn luonnostelema teksti, jonka ihminen on toimituksellisesti tarkistanut ja jonka julkaisusta joku ottaa vastuun. Verkkokaupan tuotekuvaukset eivät siis muutu ilmoitusvelvollisiksi sillä perusteella, että kielimalli auttoi ensimmäisessä versiossa.

Käytännössä tämä on halpa velvoite. Chatbotin aloitusviestiin lisätty lause ja sisällöntuotannon ohjeistus riittävät pitkälle. Kalliiksi käy vasta se, jos asiaa ei ole ajateltu lainkaan ja ensimmäinen muistutus tulee viranomaiselta.

Suomessa valvojia on monta, yhteyspiste yksi

Suomi valitsi hajautetun mallin. Uutta tekoälyvirastoa ei perustettu, vaan valvonta jaettiin niille viranomaisille, jotka valvovat jo nyt omaa toimialaansa: tuoteturvallisuutta, tieliikennettä, digitaalista infrastruktuuria, lääkinnällisiä laitteita ja finanssialaa. Käytännössä tekoälysovelluksen valvoja määräytyy sen mukaan, mihin sovellusta käytetään.

Liikenne- ja viestintävirasto Traficom sai kaksi erityisroolia. Se on Suomen kansallinen yhteyspiste tekoälyasetuksen asioissa ja vastaa viranomaisten välisestä koordinaatiosta. Yrityksen ei siis tarvitse arvailla, mihin luukkuun soittaa, vaikka varsinainen päätösvalta olisi jollakin toisella virastolla.

Sakotusvalta on ollut olemassa jo alkuvuodesta. Laki eräiden tekoälyjärjestelmien valvonnasta astui voimaan tammikuussa, ja se loi erillisen seuraamuslautakunnan, joka päättää yli 100 000 euron seuraamusmaksuista. Sitä pienemmät maksut määrää valvova viranomainen itse. Lakia valmisteltaessa rajaa laskettiin alkuperäisestä 300 000 eurosta, ja vähimmäismäärävaatimuksista luovuttiin kokonaan.

Yksi hiekkalaatikko koko maalle

Asetus velvoittaa jokaisen jäsenmaan tarjoamaan yrityksille sääntelyhiekkalaatikon, eli valvotun testiympäristön, jossa tekoälyjärjestelmää voi kokeilla ja validoida ennen markkinoille tuomista. Suomessa niitä on tasan yksi, ja sitä vetää Traficom.

Kohderyhmäksi on nimenomaan kirjattu pienet ja keskisuuret yritykset, joilla ei ole varaa omaan compliance-osastoon. Idea on, että kehittäjä saa viranomaiselta suoraa ohjausta siitä, täyttääkö tuote vaatimukset, ilman että ensimmäinen tulkinta tulee jälkikäteen valvontapäätöksenä. Digiomnibus laajensi testiympäristöjen käyttöalaa entisestään.

Yhden hiekkalaatikon malli on samalla pullonkaula. Jos suomalaiset tekoäly-yritykset innostuvat hakemaan mukaan, paikoista tulee niukka resurssi, ja jonotusaika voi venyä pidemmäksi kuin tuotekehityssykli.

Lykkäys ei ole vapaata aikaa

Puolentoista vuoden lisäaika kuulostaa väljältä, mutta korkean riskin järjestelmän vaatimuksenmukaisuuden osoittaminen ei ole viikon urakka. Se tarkoittaa riskienhallintajärjestelmää, dokumentoitua koulutusdataa, lokitusta, ihmisen suorittamaa valvontaa ja teknistä dokumentaatiota. Jos yritys myy rekrytointityökalua vuonna 2027, työ on aloitettava tänä syksynä.

Tavallisen palkansaajan kannalta muutos näkyy ensin pieninä merkintöinä. Verkkopankin neuvontaikkuna kertoo olevansa tekoäly, mainoskuvan kulmassa lukee, että se on generoitu, ja työhakemuksen automaattisesta seulonnasta pitää jatkossa saada tieto. Isompi vaikutus tulee vasta 2027, kun tekoälyn tekemiin kielteisiin päätöksiin syntyy oikeus saada selitys.

Käytännössä pk-yrityksen aikataulua ei kuitenkaan sanele viranomainen vaan asiakas. Suuret ostajat ja julkiset hankkijat ovat jo kirjoittaneet tekoälyasetuksen vaatimukset sopimusehtoihinsa, eivätkä ne odota joulukuuta 2027. Sakko tulee aikaisintaan silloin, mutta kaupan menettäminen voi tulla ensi tarjouskilpailussa.