OpenAI julkaisi perjantaina 29. toukokuuta Frontier Governance Frameworkin, dokumentin joka kertoo ensi kertaa numeroina, mitä yhtiö pitää tekoälyn systeemisenä riskinä. Raja on yli 50 kuollutta tai miljardin dollarin omaisuusvahinko yhdessä tapauksessa. Sama kynnys ohjaa nyt sekä Kalifornian Transparency in Frontier AI Actia (TFAIA) että EU AI Actin yleiskäyttöisten mallien menettelysäännöstöä.
Mitä raamissa lukee
Frontier Governance Framework jakaa riskit neljään luokkaan: kyberhyökkäysten teho, CBRN-uhkat eli kemialliset, biologiset, radiologiset ja ydinaseet, haitallinen manipulaatio sekä mallin kontrollin menetys. Kaikkia näitä arvioidaan ennen julkaisua ja sen jälkeen. Mukana ovat myös mallien raportointimenettely, tietoturvariskien hallinta, häiriötilanteiden vastauskäytäntö, ulkopuolisten asiantuntijoiden kuuleminen ja muutostenhallinta.
OpenAI kuvaa dokumenttia sääntelyn käännöstasoksi. Käytännössä se kertoo, miten yhtiön sisäiset turvallisuuskäytännöt vastaavat juuri syntymässä olevia lakeja jo ennen kuin lakien valvonta käynnistyy täydellä teholla.
TFAIA ja EU:n menettelysäännöstö vetävät samaan suuntaan
Kalifornian TFAIA hyväksyttiin viime syyskuussa. Se vaatii suurimpia tekoäly-yhtiöitä julkaisemaan Frontier AI Framework -dokumentin, jossa kuvataan miten systeeminen riski tunnistetaan, arvioidaan ja torjutaan. OpenAI:n uusi raami on yhtiön vastine tähän vaatimukseen.
Kynnyksen valinta ei ole sattumaa. Yli 50 kuolemaa vastaa Yhdysvalloissa määritelmää massiivisesta katastrofista, ja miljardin dollarin omaisuusvahinko ylittää useimpien vakuutusyhtiöiden yksittäisten tapahtumien kattorajan. Lukujen tehtävänä on rajata pois arkiset epäonnistumiset, kuten yksittäiset väärät diagnoosit tai chatbotin antamat huonot neuvot, ja keskittää sääntelyn paine niihin tilanteisiin, joissa malli voisi mahdollistaa suuren mittakaavan vahingon.
EU AI Actin yleiskäyttöisten mallien menettelysäännöstö täydentää kuvaa. Sekin määrittää systeemisen riskin laskentakaavoja, mutta painottaa malliin sisäänrakennettuja uhkia enemmän kuin yksittäisen tapauksen seurauksia. Yhdessä nämä kaksi sääntelypolkua muodostavat ensimmäisen kerran globaalin pohjan, jota vasten suuret kielimallit mitataan.
Suomessa valvonta on jaettu viidelletoista viranomaiselle
Suomi pani EU AI Actin kansallisen lainsäädännön voimaan 1. tammikuuta. Korkean riskin tekoälyjärjestelmien velvoitteet astuvat voimaan 2. elokuuta 2026. Traficom toimii kansallisena yhteyspisteenä, mutta varsinainen valvonta on jaettu 15 viranomaisen kesken: muun muassa Finanssivalvonta, Fimea, Tukes, tietosuojavaltuutettu, Energiavirasto ja Tulli vastaavat omilta sektoreiltaan.
Huoltovarmuuskeskus ei valvo tekoälysääntelyä, mutta arvioi tekoälyn aiheuttamia järjestelmäriskejä omasta näkökulmastaan. Yhdessä Traficomin Digitaalinen turvallisuus 2030 -ohjelman kanssa keskus julkaisi tammikuussa selvityksen tekoälyagenttien uhkista. Suurin huoli ei ole se, mitä agentit osaavat tehdä, vaan mitä niille on annettu lupa tehdä.
