EU:n tekoälylain tiukin vaihe alkaa elokuussa

EU:n tekoälyasetus astuu viimeiseen isoon vaiheeseensa 2. elokuuta 2026. Päivämäärään on jäljellä hieman yli kolme kuukautta, ja tuolloin aktivoituvat ne osat, jotka vaikuttavat suoraan loppukäyttäjiin: tekoälyllä tuotetun sisällön merkintäpakko, jokaisen jäsenmaan pakollinen regulatory sandbox sekä yleiskäyttöisten mallien laajennetut läpinäkyvyysvaatimukset.

Mitä elokuussa astuu voimaan?

Asetuksen 50 artikla vaatii, että tekoälyllä tuotettu tai muokattu sisältö merkitään koneluettavasti tunnistettavaksi. Deepfake-videoiden, yleistä etua koskevan syntetisoidun tekstin ja tekoälyllä toimivien chatbottien pitää kertoa käyttäjälle selvästi, että sisältö on tekoälyn tuottamaa. Samalla aktivoituvat velvoitteet tunteidentunnistus- ja biometrisen luokittelun järjestelmille, joiden käytöstä pitää informoida kohteena olevia henkilöitä.

Toinen iso muutos tulee 57 artiklasta. Jokaisen jäsenmaan on elokuuhun 2026 mennessä perustettava vähintään yksi toimiva regulatory sandbox, testiympäristö, jossa yritykset voivat kehittää ja testata tekoälyjärjestelmiään viranomaisen ohjauksessa ennen markkinoille vientiä. Tavoite on madaltaa pienten ja keskisuurten yritysten kynnystä päästä sääntelyn piiriin.

Yleiskäyttöisten mallien eli GPAI-mallien läpinäkyvyysvaatimukset ovat jo osin voimassa. Elokuussa 2025 markkinoille tulleille malleille kuten GPT-5:lle ja Claude Opus 4.7:lle vaatimukset astuivat voimaan heti, kun taas ennen tätä markkinoilla olleille määräaika ulottuu elokuuhun 2027. Elokuussa 2026 vaatimukset laajenevat systeemisiä riskejä aiheuttavien mallien arviointiin ja koulutusdatan dokumentointiin.

Digital Omnibus uhkaa laimentaa asetusta

Samaan aikaan Brysselissä käydään vääntöä siitä, missä määrin asetusta kevennetään. Euroopan komissio julkaisi marraskuussa 2025 niin sanotun Digital Omnibus -paketin, joka ehdotti useiden velvoitteiden lykkäämistä. Neuvosto ja parlamentti hyväksyivät omat kantansa kevään aikana, parlamentti 26. maaliskuuta 2026.

Ehdotetut muutokset lykkäisivät korkean riskin tekoälyjärjestelmien keskeiset velvoitteet joulukuuhun 2027 tai jopa elokuuhun 2028. Kansalaisjärjestöjen mukaan muutokset heikentäisivät perusoikeuksia valvovien elinten tiedonsaantia ja koko asetuksen rakennetta. Trilogineuvottelut on tarkoitus saattaa päätökseen 28. huhtikuuta, kahdeksan päivän päästä tämän artikkelin julkaisemisesta.

Suomi valmistelee sandboxia kiireellä

Suomessa tekoälyasetuksen valvontaviranomaisten toimivaltuudet astuivat voimaan 1. tammikuuta 2026. Traficom toimii kansallisena yhteyspisteenä ja koordinoi toimeenpanoa. Korkean riskin järjestelmien valvontavastuut jaetaan Tukesin, Tietosuojavaltuutetun ja sektoriviranomaisten kesken.

Sandboxin osalta Suomi on yhä keskeneräisessä vaiheessa. Hallitus valmistelee toista esitystä, joka luo lainsäädännölliset puitteet testiympäristölle ja kansalliselle korkean riskin tekoälyjärjestelmien rekisterille. Lakien on määrä astua voimaan viimeistään 2. elokuuta 2026, mutta aikataulu on tiukka. Traficomin omilla sivuilla sandboxin mallia kuvataan edelleen avoinna olevaksi, eivätkä osallistumiskriteerit, hakuprosessi tai tarkempi asemointi ole julkisia.

Suomalaisissa teknologiataloissa Reaktor, Siili Solutions ja Futurice ovat jo kommentoineet asiakkailleen AI Actin vaikutuksia. Pk-sektorilla tietoisuus on ohuempaa. Tekoälyllä tuotettua sisältöä julkaisevien yritysten pitää ennen elokuuta päättää, mitä merkintätekniikkaa käytetään ja miten vaatimus kytketään julkaisuprosessiin.

Mitä yritysten pitää tehdä ennen elokuuta?

Konkreettisesti: tekoälyllä toimivan palvelun pitää kertoa käyttäjälle, että kyse on tekoälystä. Deepfakea tai muuta syntetisoitua mediaa tuottavan palvelun pitää liittää outputtiin koneluettava merkki, jota voi jäljittää. Työnantajien ja viranomaisten tunnetila- tai biometriset tunnistusjärjestelmät pitää dokumentoida, ja kohteena olevia informoida avoimesti.

Organisaatioiden kannattaa käydä läpi oma tekoälyrekisterinsä ja luokitella järjestelmät riskitasoittain. Kiellettyjä käytäntöjä, kuten sosiaalista pisteytystä ja tiettyjä reaaliaikaisia biometrisiä tunnistuksia, koskevat säännöt astuivat jo voimaan helmikuussa 2025. Yleiskäyttöisiä malleja ostaville yrityksille tärkeintä on saada toimittajalta asetuksen mukaiset tekniset asiakirjat ja koulutusdatan yhteenveto.

Tekoälyasetus on Euroopan kunnianhimoisin yritys säätää tekoälyä laajasti, ja elokuun 2. päivä on sen rakenteen viimeinen iso kivi. Jos Suomi ehtii saada sandboxin toimintakuntoon ajoissa, maa voi tarjota pohjoismaisille ja eurooppalaisille startup-yrityksille reitin kokeilla tekoälyjärjestelmiä ilman välitöntä sanktioriskiä. Jos ei, Tukholma tai Tallinna ehtivät ensin.