EU lykkäsi AI Actin määräajat 2027:ään

Mitä Brysselissä sovittiin

Euroopan parlamentti ja neuvosto saavuttivat 7. toukokuuta poliittisen sovun niin sanotusta AI Act Omnibuksesta. Sopimus venyttää tekoälyasetuksen tiukimpia velvoitteita yli vuodella.

Itsenäisten korkean riskin järjestelmien soveltamispäivä siirtyy 2. elokuuta 2026:sta 2. joulukuuta 2027:ään. Kun tekoäly on upotettu jo muuten säänneltyyn tuotteeseen, esimerkiksi lääkinnälliseen laitteeseen tai autoon, määräaika venyy 2. elokuuta 2028:aan.

Käytännössä lykkäys koskee niitä järjestelmiä, joita Suomessa eniten ehditään valvomaan: luottokelpoisuuden arviointia, työnhakijoiden seulontaa, vakuutusriskin laskentaa, biometristä tunnistusta ja koulutuksen pisteytystä.

Suomalaispankit voittivat eniten

Finanssivalvonta listasi kesäkuussa 2025 omilla sivuillaan, että korkeariskisiksi luetaan finanssialalla erityisesti luottokelpoisuuden arviointi sekä sairaus- ja henkivakuutuksen riskiarviointi. Nämä mallit ovat OP:n, Nordean ja LähiTapiolan päivittäisessä käytössä.

Lykkäys tarkoittaa, että pankit eivät joudu rakentamaan elokuuhun 2026 mennessä laajaa riskienhallintajärjestelmää, teknistä dokumentaatiota ja jatkuvaa ihmisvalvontaa jokaiseen luottoluokitusmalliinsa. Aikaa kertyy noin 16 kuukautta lisää.

Tavalliselle lainanhakijalle siirtymä näkyy tuskin lainkaan. Pankki käyttää samaa pisteytyskonetta kuin tänäkin keväänä, sitä ei vain auditoida vielä yhtä tiukasti kuin alkuperäinen aikataulu olisi vaatinut. Vuoden 2027 lopulla tilanne kääntyy: jos pankin algoritmi hylkää lainan, asiakkaalle pitää voida kertoa millä perusteella.

Vakuutuspuolella vaikutus on vastaava. Henkivakuutuksen hinnoittelumallit, jotka pisteyttävät asiakasta esimerkiksi terveystietojen perusteella, joutuvat täysimittaisen valvonnan kohteeksi vasta joulukuussa 2027.

Nudifier-sovellukset kielletään jo 2026

Lykkäysten vastapainona Bryssel veti yhden tiukennuksen aikaisemmaksi. Sopimus kieltää 2. joulukuuta 2026 alkaen sellaiset tekoälysovellukset, jotka tuottavat tunnistettavasta henkilöstä alastonkuvia ilman suostumusta tai luovat lapsia esittävää seksuaalista materiaalia.

Käytännössä kielto osuu niin sanottuihin nudifier-palveluihin, joissa käyttäjä lataa kuvan henkilöstä ja saa takaisin manipuloidun alastonversion. Vastaavia palveluita on raportoitu käytetyn yläkoululaisten kiusaamiseen myös Suomessa.

Kielto koskee niin järjestelmien tarjoamista EU-markkinoille kuin niiden käyttöönottoa. Pelkät turvasuojaukset eivät enää riitä: sovellus, joka ei kykene tuottamaan muuta kuin ei-suostuttua intiimikuvaa, on automaattisesti laiton. Kielto kattaa kuvan, videon ja äänen.

Kuka Suomessa valvoo?

Traficom toimii Suomen kansallisena yhteyspisteenä yhdessä neljäntoista muun viranomaisen kanssa. Finanssivalvonta hoitaa pankit ja vakuutusyhtiöt, Tietosuojavaltuutettu biometriikan ja työelämän käytön, Lääkealan turvallisuus- ja kehittämiskeskus Fimea terveysteknologian. Toimivaltuudet astuivat voimaan 1.1.2026.

Sakon määrää suomalaiselle yhtiölle valvova viranomainen, ei komissio. Käytännössä nudifier-tapauksissa Tietosuojavaltuutetun toimisto ja poliisi pelaavat keskeisen roolin, koska kyse on usein samaan aikaan myös tietosuojarikoksesta ja seksuaalirikoksesta.

Mitä tämä tarkoittaa

Lykkäys ei tarkoita sitä, että pankit, vakuutusyhtiöt tai sairaalat voivat lopettaa valmistautumisen. Asiakirjat, malliriskin arvioinnit ja henkilötietojen käsittelyn dokumentaatio kannattaa tehdä, koska eurooppalaiset standardit valmistuvat vasta lähellä uutta määräaikaa. Ne, jotka odottavat viime hetkeen, joutuvat kilpailemaan samoista konsulteista ja auditointiajoista.

Politiikan puolella sopu on tärkeämpi kuin luvut antaisivat ymmärtää. Se on EU:n ensimmäinen iso peruutus digiregulaatiossa sitten GDPR:n. Komission viesti teollisuudelle on selkeä: säännöt pidetään, mutta aikataulu joustaa, jos kilpailukyvystä uhkaa tulla katastrofi.

Sopu pitää vielä virallistaa parlamentin täysistunnossa ja neuvostossa ennen 2. elokuuta 2026, jolloin alkuperäinen aikataulu olisi laukaissut velvoitteet. Käytännössä se on muodollisuus, koska poliittinen riitely käytiin jo huhti-toukokuussa.