EU kielsi tekoälyn riisutuskuvat – mitä Suomessa muuttuu?

Euroopan unionin neuvosto ja parlamentti sopivat torstaina 7. toukokuuta AI Actin uudistuksesta, joka tuo asetukseen kaksi merkittävää muutosta. Sopimus kieltää tekoälyllä tehdyn ei-konsensuaalisen seksuaalisen sisällön tuottamisen ja lyhentää tekoälysisällön läpinäkyvyysvelvoitteiden siirtymäajan puolesta vuodesta kolmeen kuukauteen.

Pakettia kutsutaan digitaaliseksi omnibukseksi. Komissio esitteli sen marraskuussa 2025 osana laajempaa digisääntelyn yksinkertaistamista. Yllätys oli, ettei keskustelu johtanutkaan yksinomaan höllennyksiin: parlamentin neuvotelijat saivat läpi kovennuksia, joita koko teksti tuskin olisi ilman heitä sisältänyt.

Riisutussovellukset kielletään – sekä tekijöiltä että käyttäjiltä

Niin sanotut nudifier-sovellukset, jotka tuottavat valokuvasta keinotekoisen alastonkuvan ilman kohteen suostumusta, päätyvät AI Actin ehdottomien kieltojen listalle. Vastuu ulottuu sekä järjestelmän tarjoajiin että niihin loppukäyttäjiin, jotka tietoisesti luovat sisältöä. Tarjoaja on vastuussa myös silloin, jos sovelluksen suojaukset ovat olleet riittämättömät tällaisen sisällön estämiseen.

Kielto astuu voimaan 2. joulukuuta 2026. Käytännön rajanvetoa on silti jäänyt avoimeksi. Tarkka määritelmä siitä, mitä lasketaan intiimiksi ruumiinosaksi, on kirjattu vain asetuksen johdanto-osaan, ei itse pykälään. Ruotsalainen meppi Arba Kokalari viittasi neuvottelujen aikana Grokin kohuun aiemmin keväällä.

Läpinäkyvyysvelvoitteet kiristyvät – kolme kuukautta aikaa

Tekoälyllä tuotetun sisällön merkitsemisvelvollisuus koskee jokaista yritystä, joka tarjoaa generatiivisia työkaluja EU-markkinoille. Aiemmin tarjoajilla oli puoli vuotta aikaa rakentaa tekninen ratkaisu sisällön merkitsemiseen. Nyt aikaa on enää kolme kuukautta. Uusi takaraja on niin ikään 2. joulukuuta 2026.

Vesileimausvelvoite, jolla tekoälysisältö pystytään jäljittämään, oli alun perin ottamassa askelta taaksepäin. Sopimuksessa sen toteutuksen takaraja siirrettiin samaan päivään joulukuun alkuun. Kahden kuukauden lyhennys ei tunnu paljolta, mutta yksittäiselle ohjelmistotalolle se tarkoittaa työsuunnitelmien uudelleenjärjestelyä.

Kuka valvoo Suomessa?

Suomi on valinnut hajautetun mallin AI Actin valvontaan. Liikenne- ja viestintävirasto Traficom toimii kansallisena yhteyspisteenä ja koordinoi markkinavalvontaa. Tietosuojavaltuutetun toimisto valvoo niitä korkean riskin järjestelmiä, joissa käsitellään henkilötietoja. Sektorikohtaisia tehtäviä on jaettu muun muassa Lääkealan turvallisuus- ja kehittämiskeskukselle ja Finanssivalvonnalle.

Kansallinen täydentävä laki astui voimaan 1. tammikuuta 2026. Oikeusministeriö valmisteli pohjan, mutta varsinainen ohjaus tulee Traficomin kautta. Riisutussovellusten kiellon valvonta menee todennäköisesti Traficomille markkinavalvontana, kun taas yksittäisen kohteen oikeusturva henkilönä jää tietosuojavaltuutetun ja poliisin reviiriksi.

Mitä tämä tarkoittaa suomalaiselle yritykselle ja käyttäjälle?

Suomalaiselle pk-yritykselle, joka käyttää generatiivista tekoälyä esimerkiksi markkinointiviestintään, kolmen kuukauden siirtymäaika tarkoittaa kahta asiaa. Kuvageneraattorin tarjoajan on rakennettava merkintätekniikka loppuvuoteen mennessä. Yrityksen oma vastuu kasvaa, jos se julkaisee tekoälyllä tehtyjä kuvia ilman tunnistetta. Vakavin sakko AI Actin ehdottoman kiellon rikkomisesta on 35 miljoonaa euroa tai seitsemän prosenttia maailmanlaajuisesta liikevaihdosta, kumpi onkin suurempi.

Tavalliselle käyttäjälle muutos näkyy suoraan sosiaalisen median palveluissa. Kun läpinäkyvyysvelvoite voimaan astuu, tekoälyllä tehty kuva tai video on lähtökohtaisesti merkittävä, joko visuaalisella tunnisteella tai metatiedolla. Riisutussovelluksen lataaminen ja käyttäminen toisesta henkilöstä on rikosoikeudellisesti riskialtista jo nyt kunnianloukkauksen ja seksuaalisen häirinnän pykälien kautta. AI Act tuo siihen lisäksi hallinnollisen sakkoraamin.

Avoimeksi jää, miten paljon riisutussovellusten saatavuutta saadaan rajattua sovelluskaupoissa, joiden ylläpitäjät eivät ole eurooppalaisia. Komissio on viestinyt odottavansa Applen ja Googlen panosta, mutta lopullinen vastuukysymys jää DSA:n ja AI Actin yhteenkudonnaisuuteen. Ensimmäiset valitukset todennäköisesti ratkaisevat tulkinnan loppuvuoden 2026 ja alkuvuoden 2027 aikana.