EU:n tekoälyasetukseen tehtiin 7. toukokuuta 2026 muutos, joka lisää Article 5:n kiellettyjen käytäntöjen listalle kaksi uutta kohtaa. Joulukuun 2. päivästä 2026 alkaen on laitonta valmistaa tai muokata tekoälyllä realistista intiimiaineistoa tunnistettavasta henkilöstä ilman tämän vapaaehtoista, nimenomaista ja yksiselitteistä suostumusta. Samasta päivästä alkaen myös tekoälyllä luotu tai muokattu lapsipornografinen aineisto (CSAM) kuuluu kiellon piiriin direktiivin 2011/93/EU mukaisesti.
Vastuu jakautuu tarjoajan ja käyttäjän välillä
Tekoälyjärjestelmän tarjoaja on vastuussa, jos kielletyn sisällön tuottaminen on järjestelmän tarkoitettu tehtävä tai järkevästi ennakoitavissa oleva lopputulos ilman riittäviä teknisiä suojakeinoja. Käyttäjä eli deployer joutuu vastuuseen vain, jos hän on tarkoituksellisesti käyttänyt järjestelmää väärin. Tahaton sisältö on jätetty käyttäjän vastuun ulkopuolelle.
Vastuujako kannustaa kuvageneraattoreiden valmistajia rakentamaan suodattimia jo mallin tasolle. Pelkkä käyttöehtokielto ei enää riitä, jos järjestelmä tosiasiallisesti tuottaa kiellettyä materiaalia tavanomaisilla kehotteilla.
Korkean riskin järjestelmien deadline siirtyi vuodella
Samassa paketissa siirrettiin useita aikatauluja. Annex III -listan käyttöperusteisten korkean riskin järjestelmien velvoitteet siirtyivät elokuusta 2026 joulukuun 2. päivään 2027, eli 16 kuukauden myöhästyminen. Tuotesääntelyn alaiset Annex I -järjestelmät saivat lisävuotensa elokuuhun 2028 saakka. Kansallisten testiympäristöjen eli sääntelyhiekkalaatikoiden käynnistys lykkääntyi vuoden eteenpäin elokuuhun 2027.
Synteettisen sisällön merkitsemisvelvoite (Article 50(2)) sai neljän kuukauden lisäajan ja astuu voimaan joulukuussa 2026 alkuperäisen elokuun sijasta. Komissio perusteli viivettä yritysten valmistautumisajan tarpeella ja standardien keskeneräisyydellä. Käytännössä lykkäykset antavat sekä viranomaisille että tekoäly-yhtiöille noin puolitoista vuotta lisäaikaa rakenteiden pystyttämiseen.
Suomessa valvonta on hajautettu 15 viranomaiselle
Asetuksen toimeenpano on Suomessa jaettu 15 viranomaiselle. Traficom toimii kansallisena yhteyspisteenä ja koordinoi muiden viranomaisten työtä. Sen tehtäviin kuuluu sekä yritysneuvonta että valvonta tietoliikenteen tekoälyratkaisuissa. Toimivaltuudet astuivat voimaan 1. tammikuuta 2026.
Kilpailu- ja kuluttajavirasto KKV vastaa kuluttajien suojaamisesta harhaanjohtavilta tekoälysovelluksilta ja markkinakäyttäytymisestä, jossa tekoälyä käytetään väärin esimerkiksi hinnoittelussa tai mainonnassa. Kuluttajaa harhaanjohtava deepfake-mainos kuuluu siten KKV:n työpöydälle.
Poliisi astuu kuvaan, kun kyse on rikoslain alaisesta materiaalista. Lapsipornografisen aineiston tutkinta on jo nyt poliisin vastuulla, ja tekoälyllä luodun CSAM:n lisääminen kiellettyjen käytäntöjen listaan laajentaa tutkijoiden työsarkaa. Ei-suostumukseen perustuva intiimimateriaali kytkeytyy myös rikoslain kunnianloukkausta ja yksityiselämää suojaaviin pykäliin. Suomi joutuu täsmentämään, mihin kohtaan rangaistusasteikkoa tekoälyllä luotu deepfake-aineisto sijoittuu.
Mitä joulukuun deadline tarkoittaa suomalaisille
Käytännössä joulukuusta 2026 lähtien tekoälysovellus, joka tuottaa Suomessa toimivalle henkilölle pyydetyn deepfake-pornon, on EU-tasolla laiton. Sakot voivat olla jopa 35 miljoonaa euroa tai 7 prosenttia tekoälytarjoajan maailmanlaajuisesta liikevaihdosta. Tämä koskee yhtä lailla suomalaisia kuluttajapalveluita kuin yhdysvaltalaisia jättejä, kunhan palvelu on saatavissa EU:ssa.
Yrityksille muutos tarkoittaa, että vastuu suojakeinoista siirtyi selvemmin tarjoajalle. Suomalaisen mediayhtiön käyttämä kuvageneraattori ei voi enää nojata pelkkään käyttöehtokieltoon, jos järjestelmä tosiasiallisesti pystyy tuottamaan kiellettyä sisältöä. Vaaditaan suodattimia, vesileimoja ja audit-jälki.
Tavalliselle käyttäjälle viesti on suoraviivaisempi. Tunnistettavasta henkilöstä luotu deepfake-intiimisisältö ilman lupaa on ensi vuoden joulukuusta lähtien rangaistavaa. Suomalaisten viranomaisten kannattaisi jo nyt julkaista yhden luukun ohjeet uhrille: kenen puoleen käännytään, kun deepfake-kuva leviää, ja miten sisällön poistoa vaaditaan alustoilta. Ilman selkeää ohjetta riski on, että kansalainen pomppii poliisin, Traficomin ja KKV:n välillä menettäen kallisarvoista aikaa.
AI Actin keskeiset päivämäärät toukokuun 2026 muutoksen jälkeen
2026-05-07
AI Actin muutos hyväksytty
Article 5:een lisätään kaksi uutta kiellettyä käytäntöä: ei-suostumukseen perustuva intiimiaineisto ja tekoälyllä luotu CSAM.
2026-12-02
Uudet kiellot voimaan
Tekoälyllä tuotetun intiimisisällön ja CSAM:n valmistaminen on EU-tasolla laitonta. Myös synteettisen sisällön merkintävelvoite astuu voimaan.
2027-08-02
Sääntelyhiekkalaatikot käynnistyvät
Kansalliset testiympäristöt aloittavat toimintansa vuoden myöhässä alkuperäisestä aikataulusta.
2027-12-02
Annex III -järjestelmät säänneltyiksi
Käyttöperusteisten korkean riskin tekoälyjärjestelmien velvoitteet astuvat voimaan 16 kuukautta alkuperäistä aikataulua myöhemmin.
2028-08-02
Annex I -järjestelmät säänneltyiksi
Tuotesääntelyn alaiset korkean riskin järjestelmät saavuttavat täyden sääntelyn vuoden viiveellä.
