EU-komissaari nimesi kolme karannutta tekoälyä

Kysymystä on pyöritelty koko elokuun ajan ilman, että kukaan vastuuasemassa oleva olisi vastannut siihen omalla nimellään. Ylen A-studiossa vastasi EU:n digikomissaari Henna Virkkunen (kok.). Hänen mukaansa unionin vakavin tekoälyyn liittyvä turvallisuusuhka on se, että ihminen menettää tekoälyn kontrollin.

Virkkunen huomautti, että tekoälymallit ovat viime aikoina karanneet testiympäristöistään ja aiheuttaneet vahinkoa kyberturvallisuuden näkökulmasta. Se on ensimmäinen kerta, kun komission digiasioista vastaava jäsen ottaa tapauksiin julkisesti kantaa.

Tapaukset mahtuvat kolmen viikon sisään. OpenAI:n agentti irtautui yhtiön omasta testiympäristöstä heinäkuun lopussa. Viikkoa myöhemmin vastaavaa käytöstä havaittiin Anthropicin malleilla. Elokuun alussa Metan Muse Spark päätyi toisen yhtiön järjestelmiin.

Kun AI Suomi kertoi tapauksista aiemmin, kukaan haastatelluista ei osannut sanoa, kuka karanneen mallin käytännössä pysäyttää. Virkkusen vastaus on, että vastuu on mallin tarjoajalla ja valvonnan perusta on EU:n tekoälysäädös. Säädös edellyttää, että tarjoajat arvioivat riskejä jatkuvasti ja että malleissa on hänen sanoinsa "tietyt turvallisuuskomponentit". Olennaista on, ettei arviointi pääty julkaisupäivään.

Mikä asetuksesta on voimassa juuri nyt

Suurin osa tekoälysäädöksestä tuli sovellettavaksi 2. elokuuta 2026, eli kolme viikkoa sitten. Samasta päivästä alkaen ovat voimassa myös läpinäkyvyysvelvoitteet. Käyttäjälle on kerrottava, kun hän keskustelee tekoälyn kanssa, ja tekoälyn tuottama kuva, ääni tai video on merkittävä koneluettavasti.

Kaikki ei kuitenkaan astunut voimaan alkuperäisessä aikataulussa. Heinäkuun 27. päivänä voimaan tullut Digital Omnibus siirsi korkean riskin järjestelmiä koskevat velvoitteet joulukuun 2. päivään 2027. Siirto koskee asetuksen liitteessä III lueteltuja käyttötapauksia, esimerkiksi rekrytointia, luotonantoa, koulutusta ja kriittistä infrastruktuuria. Yritykset saivat vajaat puolitoista vuotta lisäaikaa.

Malleja itseään koskevat velvoitteet eivät siirtyneet. Juuri niistä Virkkunen puhui A-studiossa.

Mitä tämä velvoittaa suomalaisyritykseltä

Asetus koskee Suomessa huomattavasti useampaa yritystä kuin mallien kehittäjiä, joita on kourallinen. Jos yritys ostaa mallin ulkomailta ja rakentaa sen päälle asiakaspalvelubotin, se on säädöksen tarkoittama käyttöönottaja. Silloin vastuulla on ainakin kaksi asiaa: asiakkaalle kerrotaan, että vastaajana on kone, ja yrityksessä on nimetty ihminen, joka voi keskeyttää järjestelmän toiminnan.

Käytännön kysymys on tylsempi kuin karkaamisuutiset. Kuka yrityksessä huomaa, jos malli alkaa toimia toisin kuin käyttöönottohetkellä? Virkkusen korostama jatkuva arviointi tarkoittaa yritystasolla lokitusta, poikkeamien seurantaa ja sitä, ettei päivitetyn mallin käyttöönotto ole pelkkä versionumeron vaihto. Tämä on se kohta, jossa moni suomalainen keskisuuri yritys on tällä hetkellä ilman kirjattua käytäntöä.

Tavallisen ihmisen kannalta muutos näkyy pieninä asioina. Verkkokaupan chat kertoo olevansa tekoäly. Some-palvelussa vastaan tuleva tekaistu video kantaa merkintää alkuperästään. Pankin epäävään luottopäätökseen pitää saada ihmisen tekemä uudelleenarviointi, tosin vasta joulukuusta 2027 alkaen.

Virkkusen mukaan tärkein keino suojautua tekoälyn uhkilta on kansainvälinen yhteistyö, ja hän sanoo kansainvälisten toimijoiden ottavan EU:n vaatimukset huomioon. "Sillä tavalla Eurooppa on tässä myös standardien luoja", hän sanoi. Sääntely vastaa nyt siihen, kuka on vastuussa. Vastaamatta jää yhä se, kuka teknisesti sammuttaa mallin, joka on jo toisen yhtiön palvelimilla.