EU lykkäsi tekoälyn tiukimpia sääntöjä yli vuodella

Mitä omnibus-paketti muuttaa

EU:n neuvosto ja parlamentti pääsivät 7. toukokuuta poliittiseen sopuun AI-asetuksen niin sanotusta omnibus-paketista. Lopputulos on selvä lykkäys: korkean riskin tekoälyjärjestelmien velvoitteet alkavat vasta 2. joulukuuta 2027 alkuperäisen elokuun 2026 sijaan.

Lykkäys koskee AI-asetuksen Liite III -järjestelmiä, joihin lukeutuvat työnhakuun ja rekrytointiin, koulutukseen, luotonantoon, biometriikkaan, kriittiseen infrastruktuuriin, lainvalvontaan, oikeudenkäyttöön ja maahanmuuttoon liittyvät tekoälyjärjestelmät. Säänneltyihin tuotteisiin upotettujen Liite I -järjestelmien velvoitteet siirtyvät vielä pidemmälle, elokuuhun 2028.

Komission perustelu on tekninen. Yhdenmukaistettuja standardeja, joihin järjestelmien tarjoajat olisivat nojanneet vaatimustenmukaisuuden osoittamisessa, ei saada valmiiksi ennen loppuvuotta 2026. Ilman standardeja yhtiöillä ei olisi käytännössä ollut tapaa todistaa toimivansa lain mukaan, ja standardointiprosessi on edennyt jälkijunassa lainsäädäntöön nähden.

Kuka voitti, kuka hävisi

Suomalaisille rekrytointialustoille kuten Duunitori ja Oikotie lykkäys on huomattava helpotus. Niiden tekoälypohjaiset hakijasuositukset ja CV-seulonnat olisivat joutuneet täyteen vaatimustenmukaisuusarvioon jo elokuussa. Sama pätee korkeakouluihin ja toisen asteen oppilaitoksiin, jotka käyttävät tekoälytyökaluja opiskelijavalinnoissa, oppimisanalytiikassa tai automaattisessa arvioinnissa.

Suomalainen koneteollisuus saa vielä suuremman lahjan. KONEen, Valmetin ja Wärtsilän kaltaiset valmistajat eivät joudu noudattamaan kahta päällekkäistä järjestelmää, vaan koneisiin upotettuihin tekoälykomponentteihin sovelletaan jatkossa pelkkää koneasetusta. Sen alle liitetään delegoiduilla säädöksillä terveys- ja turvallisuusvaatimukset, ja AI-asetus pysyy näiltä osin kokonaan ulkopuolella. Yhden valvontajärjestelmän malli vähentää sertifiointityötä huomattavasti.

Wärtsilän kaltaiset moottorinvalmistajat ovat investoineet voimakkaasti tekoälyperustaiseen ennustavaan kunnossapitoon, jossa anturidata syötetään tekoälymallille huoltotarpeen arvioimiseksi. Aiemman tulkinnan mukaan tällaiset järjestelmät olisivat saattaneet pudota korkean riskin koriin, koska koneen rikkoutuminen voi aiheuttaa vahinkoa ihmisille. Nyt vastuu siirtyy yksinomaan koneasetuksen puolelle.

Käytännön tasolla muutos näkyy myös siinä, että pankkien luottopäätösalgoritmit, kunnallisten työllistämispalveluiden profilointityökalut tai rajavalvonnan kasvojentunnistus saavat jatkaa nykyiseen tapaan ainakin syksyyn 2027 saakka. Asetuksen riskienhallinta-, valvonta- ja inhimillisen tarkastuksen vaatimukset eivät astu voimaan ennen joulukuuta 2027.

Häviäjiä löytyy kansalaisjärjestöjen leiristä. Digitaalisia oikeuksia ajava EDRi keräsi 60 järjestön yhteisen vetoomuksen, jossa vaadittiin Artikla 49(2):n säilyttämistä. Pykälä olisi pakottanut tarjoajat ilmoittamaan julkiseen EU-tietokantaan, jos ne itse luokittelevat Liite III -järjestelmänsä matalan riskin alaisiksi. Omnibus poistaa velvoitteen kokonaan, mikä vie kansalaisilta keskeisen läpinäkyvyyden välineen.

Kuluttajajärjestö BEUC kritisoi puolestaan biometristen järjestelmien lykkäystä. Sen mukaan ihmiset altistuvat puolitoista vuotta pidempään esimerkiksi virheellisille kasvojentunnistustuloksille ilman lain vaatimaa riskinhallintaa. Myös Euroopan tietosuojaneuvosto on varoittanut, että läpinäkyvyysvaatimusten karsiminen heikentää kansalaisten mahdollisuuksia haastaa automaattisia päätöksiä.

Mikä ei muutu

Generatiivisen tekoälyn vesileimavaatimukset eivät lykkäänny. Tekoälyllä tuotettu kuva, ääni ja video pitää edelleen merkitä koneluettavasti joulukuusta 2026 alkaen, ja palveluntarjoajien on paljastettava synteettinen sisältö. Samaan omnibus-pakettiin sisältyy myös niin sanottu nudifier-kielto, joka käsitellään erikseen.

Käytännössä monille suomalaisille pk-yrityksille uusi aikataulu antaa hengähdystauon, sillä harva olisi pystynyt rakentamaan tarvittavaa riskidokumentaatiota muutamassa kuukaudessa. Valmistautuminen kannattaa silti aloittaa nyt: yhdenmukaistettujen standardien valmistuessa loppuvuonna 2026 yhtiöillä on käytännössä vain vuosi aikaa sovittaa prosessinsa niihin.

Sopu vaatii vielä virallisen vahvistuksen molemmilta lainsäätäjiltä, mutta poliittisen tason kompromissi on loppumetreillä enää muodollisuus. Suomalaisille yhtiöille viesti on käytännönläheinen: dokumentointia voi tehdä rauhassa loppuvuoteen 2027 saakka, mutta vahingonkorvausvelvollisuus syrjivästä rekrytointialgoritmista tai virheellisesti opiskelijan hylkäävästä tekoälytyökalusta ei katoa minnekään. AI-asetuksen erityisvelvoitteet alkavat myöhemmin, mutta yleiset oikeusperiaatteet pätevät jo nyt.