Tekoälysakot alkoivat – tiukimmat säännöt siirtyivät

Elokuun toinen päivä meni suomalaisissa ohjelmistoyhtiöissä ohi ilman otsikoita. Silti se oli päivä, jolloin EU:n tekoälyasetuksesta tuli valvottua ja sakotettavaa lainsäädäntöä. Euroopan komissio sai samana päivänä oikeuden määrätä sakkoja yleiskäyttöisten tekoälymallien tarjoajille, ja katto on 15 miljoonaa euroa tai 3 prosenttia maailmanlaajuisesta liikevaihdosta, kumpi tahansa niistä on suurempi.

Kuusi päivää aiemmin, 27. heinäkuuta, oli tullut voimaan toinen asetus, joka siirsi korkean riskin järjestelmien velvoitteet vuosiksi eteenpäin. Kaksi uutista, vastakkaiset suunnat.

Yrittäjän kannalta kysymys on yksinkertainen. Mikä sitoo jo nyt, mikä vasta myöhemmin, ja paljonko aikaa on jäljellä?

Mitä 2. elokuuta oikeasti tapahtui

Tekoälyasetus tuli voimaan 1. elokuuta 2024, mutta se on astunut käyttöön paloissa. Helmikuussa 2025 alkoivat kiellot ja henkilöstön tekoälyosaamista koskeva vaatimus. Elokuussa 2025 tulivat yleiskäyttöisten mallien dokumentaatio- ja tekijänoikeusvelvoitteet. Tänä kesänä oli vuorossa loppuosa.

Käytännössä kaksi asiaa muuttui. Ensimmäinen on artikla 50, joka velvoittaa kertomaan käyttäjälle, kun tämä keskustelee koneen kanssa, ja merkitsemään tekoälyllä tuotetun kuvan, videon ja äänen myös koneluettavasti.

Toinen on artikla 101. Se antaa komissiolle vallan sakottaa yleiskäyttöisten mallien tarjoajia suoraan, ilman kansallista viranomaista välissä. Juuri tämä pykälä oli tarkoituksella rajattu ulos, kun muut sakkosäännöt alkoivat vuosi sitten. Nyt sekin on käytössä.

Komissio muotoili tehtävänjaon omalla sivustollaan lyhyesti: 2. elokuuta 2026 alkaen tekoälytoimisto ja jäsenvaltioiden viranomaiset vastaavat asetuksen toimeenpanosta, valvonnasta ja täytäntöönpanosta. Tekoälytoimisto voi pyytää teknisen dokumentaation, arvioida mallin, vaatia korjaavia toimia ja määrätä sakon.

Nimeltä mainittujen virkamiesten kommentteja komissio ei tiedotteeseensa liittänyt, eivätkä Suomen viranomaiset ole kommentoineet sakkovallan alkamista julkisuudessa. Suomen edustajana EU:n tekoälyneuvostossa istuu liikenne- ja viestintäministeriön yksikön päällikkö Maria Rautavirta.

Mikä siirtyi ja kuinka pitkälle

Siirto tehtiin omalla asetuksellaan. Euroopan parlamentti ja neuvosto hyväksyivät 8. heinäkuuta 2026 asetuksen (EU) 2026/1744, joka tunnetaan nimellä Digital Omnibus on AI. Se julkaistiin virallisessa lehdessä 24. heinäkuuta ja tuli voimaan 27. heinäkuuta, kuusi päivää ennen alkuperäistä määräpäivää.

Asetus antaa korkean riskin järjestelmille kaksi uutta päivämäärää. Liitteen III itsenäiset järjestelmät, siis esimerkiksi rekrytointiin, luottoluokitukseen, koulutukseen ja kriittiseen infrastruktuuriin käytettävät, saavat aikaa 2. joulukuuta 2027 asti. Tuotteisiin upotetut liitteen I järjestelmät, kuten lääkinnälliset laitteet, koneet ja lelut, 2. elokuuta 2028 asti.

Olennaisinta on, että päivämäärät ovat kiinteitä. Aiemmassa valmistelussa siirto olisi ollut ehdollinen sille, valmistuvatko yhdenmukaistetut standardit ajoissa. Lopullisessa tekstissä ehto poistettiin, ja päivät pätevät riippumatta standardien tilanteesta.

Sama asetus myös kiristi sääntelyä yhdessä kohdassa. Artiklan 5 kiellot kattavat nyt nimenomaisesti tekoälyllä tuotetun ei-suostumuksellisen intiimikuvaston, niin sanotut riisumissovellukset, sekä lapsiin kohdistuvan seksuaaliväkivaltamateriaalin. Sääntelyn hiekkalaatikoita laajennettiin ja pienille sekä keskisuurille yrityksille luvattiin kevennyksiä.

Mitä kolme prosenttia maksaa Suomessa

Sakkokatot kuulostavat suurilta, koska ne on kirjoitettu maailman suurimpia teknologiayhtiöitä ajatellen. Keskikokoiselle suomalaiselle ohjelmistoyhtiölle luku on toisenlainen.

Ota esimerkiksi yhtiö, jonka liikevaihto on 20 miljoonaa euroa ja jossa työskentelee 120 ihmistä. Jos se laiminlyö tarjoajan tai käyttöönottajan velvoitteita, kansallisen viranomaisen sakkokatto on 15 miljoonaa euroa tai 3 prosenttia liikevaihdosta. Kolme prosenttia 20 miljoonasta on 600 000 euroa.

Tässä kohtaa asetuksessa on pieni mutta ratkaiseva poikkeus. Suurille yhtiöille sovelletaan kahdesta luvusta korkeampaa, pk-yrityksille ja kasvuyrityksille matalampaa. Esimerkkiyhtiön katto on siis 600 000 euroa, ei 15 miljoonaa. Se on silti summa, joka pyyhkii keskikokoisen ohjelmistotalon vuosituloksen.

Kiellettyjen käytäntöjen katto on korkeampi, 35 miljoonaa euroa tai 7 prosenttia. Väärän tai harhaanjohtavan tiedon antamisesta viranomaiselle katto on 7,5 miljoonaa tai 1 prosentti.

Artikla 101 eli komission suora sakotusvalta koskee vain yleiskäyttöisten mallien tarjoajia. Valtaosa suomalaisyrityksistä ei ole sellainen. Jos rakennat tuotteesi OpenAI:n, Googlen tai Mistralin mallin päälle, olet käyttöönottaja tai järjestelmän tarjoaja, ja sinua valvoo kansallinen viranomainen kansallisin sakoin. Ero kannattaa selvittää ennen kuin selvittää mitään muuta, koska siitä riippuu, kuka soittaa oveesi.

Lisäaika ei ole tyhjää aikaa

Siirto antaa liitteen III järjestelmille runsaat 15 kuukautta lisäaikaa. Sitä ei kannata lukea taukona. Yhdenmukaistetut standardit, joiden varaan vaatimustenmukaisuuden osoittaminen oli tarkoitus rakentaa, ovat myöhässä, ja kiinteät päivämäärät pätevät siitä huolimatta. Jos standardit valmistuvat vasta 2027, aikaa niiden soveltamiseen jää kuukausia.

Konkreettisin syy kiirehtiä on sopimuksissa. Kolmen vuoden ohjelmistosopimus, joka allekirjoitetaan tänä syksynä, on voimassa vielä joulukuussa 2027. Jos siihen ei kirjata, kumpi osapuoli vastaa vaatimustenmukaisuudesta ja sen kustannuksista silloin kun järjestelmä luokitellaan korkean riskin järjestelmäksi, neuvottelu käydään myöhemmin ja huonommasta asemasta.

Yksi päivämäärä jää julkisessa keskustelussa lähes aina huomaamatta. Ennen 2. elokuuta 2025 markkinoille tuodut yleiskäyttöiset mallit on saatettava asetuksen mukaisiksi 2. elokuuta 2027 mennessä. Se koskee juuri niitä malleja, joiden päälle eurooppalaiset yritykset ovat viimeiset kaksi vuotta tuotteitaan rakentaneet. Jos mallin tarjoaja ei ehdi, ongelma valuu asiakkaalle asti.