AI Act keveni – mutta yksi päivämäärä koskee jokaista suomalaisyritystä

EU antoi lisäaikaa, mutta merkintävaade kiristyi

EU:n neuvosto ja parlamentti pääsivät 7. toukokuuta sopuun tekoälyasetuksen kevennyksistä. Niin sanottu Omnibus VII -paketti antaa korkeariskisten tekoälyjärjestelmien tarjoajille lisää aikaa, mutta tiukentaa samalla synteettisen sisällön merkintävelvollisuutta. Suomalaisille tekoälytuotteille on nyt yksi selkeä rajapyykki: 2.12.2026.

Aiemmin korkeariskisten järjestelmien velvoitteet piti täyttää 2.8.2026 mennessä. Nyt määräaika siirtyi 16 kuukautta eteenpäin, uuteen päivämäärään 2.12.2027. Liite I:n tuotelainsäädännön piiriin kuuluvat järjestelmät, kuten lääkinnälliset laitteet, hissit ja radiolaitteet, saivat vielä lisävuoden: niiden määräaika on 2.8.2028.

Korkeariskisten järjestelmien lista on käytännössä juuri se, missä suomalaiset ohjelmistotalot tekevät rahaa. Asetuksen liite III kattaa rekrytointityökalut, luottoluokitukset, biometrisen tunnistuksen ja kriittisen infrastruktuurin järjestelmät. Solitan, TietoEvryn ja Reaktorin asiakkaat julkishallinnossa ja finanssialalla osuvat juuri näihin kategorioihin.

Synteettiselle sisällölle uusi takaraja

Samaan aikaan EU kiristi otetta tekoälyn tuottamasta sisällöstä. Kaikki ennen 2.8.2026 markkinoille tulleet AI-järjestelmät, jotka tuottavat tai muokkaavat synteettistä sisältöä – kuvia, videoita, tekstiä, ääntä – on merkittävä koneluettavasti tunnistettavaksi 2.12.2026 mennessä.

Muille järjestelmille velvoite alkoi alkuperäisen aikataulun mukaisesti 2.8.2026. Jo markkinoilla olleiden järjestelmien siirtymäaika on neljä kuukautta, mutta sääntö itsessään ei höltynyt. Kaikkien uusien järjestelmien, jotka tulevat markkinoille elokuun jälkeen, on täytettävä vaatimus heti markkinoilletulopäivästä.

Käytännössä tämä tarkoittaa, että suomalaisen ohjelmistotalon, joka rakentaa esimerkiksi markkinointitekstien generaattoria tai kuvatyökalua, on lisättävä tuotteeseensa tekninen vesileima tai metatieto ennen joulukuuta. C2PA-standardi, jota Microsoft, Adobe ja BBC käyttävät, on yksi todennäköisistä toteutusvaihtoehdoista. EU ei vielä määrittele yhtä pakollista tapaa, vaan komission on määrä julkaista tekniset ohjeet ennen syksyä.

Mitä se tarkoittaa käyttäjälle

Jos käytät työssäsi tekoälyn tuottamia kuvia esityksiin tai annat ChatGPT:n laatia asiakaspalveluviestejä, ero näkyy viimeistään ensi joulukuusta lähtien. Sisällön on oltava tunnistettavasti tekoälyn tuottamaa, joko näkyvällä merkinnällä tai vähintään koneellisesti luettavalla metadatalla.

Some-syötteissä alkaa näkyä "AI-tuotettu" -merkintöjä yhä useammin. Yrityksille se tarkoittaa joko teknistä työtä omiin tuotteisiin tai luottamusta siihen, että käytetty alusta hoitaa merkinnän automaattisesti. Käytännössä isot pilvitoimittajat Microsoft, Google ja AWS ratkaisevat tämän asiakkaidensa puolesta. Ongelma jää sellaisille suomalaisille toimijoille, jotka pyörittävät avoimen lähdekoodin malleja omissa palvelimissaan.

Uudet kiellot ja kireämmät sakot

EU lisäsi asetukseen kaksi kiellettyä järjestelmäkategoriaa: ei-vapaaehtoisen intiimimateriaalin tuottajat ja lasten seksuaalista hyväksikäyttöä esittävän materiaalin generoijat. Näiden myynti ja käyttöönotto EU:ssa kielletään 2.12.2026 alkaen.

Samalla artikla 25:n mukaisten rikkomusten, kuten toimitusketjun tiedonantovelvollisuuden laiminlyönnin, sakkokattoa nostettiin. Yläraja on nyt 3 prosenttia yhtiön maailmanlaajuisesta liikevaihdosta. Viesti on selkeä niille suomalaisille toimijoille, jotka integroivat amerikkalaisten valmistajien malleja omiin sovelluksiinsa: vastuu teknisten tietojen oikeellisuudesta toimitusketjussa kasvaa.

Suomen sandbox aukeaa elokuussa

Suomi avaa kansallisen AI-sandboxin elokuussa 2026. Siellä yritykset voivat testata järjestelmiään valvotussa ympäristössä ennen markkinoille tuloa. Lykkäykset antavat suomalaisille toimijoille hieman lisäaikaa, mutta sandboxin merkitys kasvaa. Ne yritykset, jotka aloittavat compliance-työn vasta 2027, jäävät jälkeen niistä, jotka käyttävät sandboxia kesä-joulukuussa 2026.

Yksi käytännön kysymys jää vielä avoimeksi. Komissio ei ole määrittänyt, onko avoimen lähdekoodin malleilla, kuten Mistralilla ja Llamalla, sama merkintävelvollisuus kuin kaupallisilla, ja mitä se tarkoittaa suomalaisille yliopistoille ja tutkimusryhmille, jotka julkaisevat omia generatiivisia malleja. Vastauksen pitäisi tulla komission täytäntöönpanoasetuksessa syksyn aikana. Sitä odotellessa nyrkkisääntö on yksinkertainen: merkitse jo nyt.