Tekoälyasetukselle ensimmäinen standardi – mitä se vaatii yritykseltä

Ajatellaan suomalaista ohjelmistoyritystä, joka myy rekrytoijille tekoälyä työnhakijoiden esikarsintaan. EU:n tekoälyasetuksen silmissä se on suuririskisen tekoälyjärjestelmän tarjoaja, ja sen pitää pystyä osoittamaan, että laadunhallinta on kunnossa. Kukaan ei ole tähän asti osannut sanoa tarkasti, miltä riittävä laadunhallinta näyttää. Nyt vastaus on olemassa.

Euroopan komissio kertoi 19. lokakuuta, että tekoälyasetusta tukevan ensimmäisen yhdenmukaistetun standardin viite on julkaistu Euroopan unionin virallisessa lehdessä. Kyse on standardista EN 18286:2026, jonka englanninkielinen nimi on ”Artificial intelligence – Quality management system for EU AI Act regulatory purposes”. Sen laativat eurooppalaiset standardointijärjestöt CEN ja CENELEC. Järjestöjen oman tiedotteen mukaan viite ilmestyi virallisessa lehdessä jo maailman standardipäivänä 14. lokakuuta, ja komission tiedote seurasi viisi päivää myöhemmin.

Komission englanninkielisen tiedotteen mukaan standardi antaa suuririskisten tekoälyjärjestelmien tarjoajille ”selkeän oikeudellisen polun” (clear legal pathway) laadunhallintavaatimusten täyttämiseen. Kumpikaan tiedote ei sisällä yhdenkään nimetyn ihmisen kommenttia, eikä niissä kerrota, mikä tekninen komitea standardin valmisteli.

Mitä artikla 17 vaatii

Tekoälyasetuksen artikla 17 velvoittaa suuririskisen tekoälyjärjestelmän tarjoajan ottamaan käyttöön laadunhallintajärjestelmän. Sen pitää olla dokumentoitu kirjallisina toimintaperiaatteina, menettelyinä ja ohjeina. Asetus luettelee järjestelmälle toista kymmentä osa-aluetta. Tärkeimmät niistä ovat nämä:

• strategia sääntelyn noudattamiseen, myös vaatimustenmukaisuuden arviointiin ja järjestelmään tehtävien muutosten hallintaan
• suunnittelun, kehityksen, testauksen ja validoinnin menettelyt
• datanhallinta keräämisestä ja merkitsemisestä säilyttämiseen
• riskienhallinta, markkinoille saattamisen jälkeinen seuranta ja vakavien vaaratilanteiden ilmoittaminen
• asiakirjojen säilytys, resurssien hallinta ja selkeä vastuunjako

Lakiteksti kertoo, mitä pitää olla. Se ei kerro, miten. EN 18286 täyttää tämän aukon muuttamalla artiklan vaatimukset auditoitaviksi vaatimuksiksi, kuten CEN-CENELEC asian muotoilee. Komission mukaan standardi on rakennettu tekoälyjärjestelmän elinkaaren ympärille eikä organisaation rakenteen mukaan.

Olennaista on, ettei standardi korvaa yrityksen nykyisiä laatujärjestelmiä. Komissio kertoo sen olevan suunniteltu kerrokseksi esimerkiksi ISO/IEC 42001:n, ISO 9001:n tai lääkinnällisten laitteiden ISO 13485:n päälle. Säännellyillä aloilla toimiva yritys voi siis yhdistää johtamisjärjestelmänsä eikä joudu pyörittämään kahta rinnakkaista. Jos ISO/IEC 42001 -sertifikaattia ei ole, standardin avulla voi laajentaa olemassa olevaa laatujärjestelmää tai rakentaa uuden.

Ketä standardi koskee

Standardi on tarkoitettu suuririskisten tekoälyjärjestelmien tarjoajille eli niille, jotka kehittävät järjestelmän ja tuovat sen markkinoille omalla nimellään. Tavallinen yritys, joka vain käyttää valmista tekoälytyökalua, ei ole asetuksen tarkoittama tarjoaja.

Suuririskisiä ovat asetuksen mukaan esimerkiksi rekrytoinnissa, koulutuksessa, luottokelpoisuuden arvioinnissa, kriittisessä infrastruktuurissa ja biometrisessä tunnistuksessa käytettävät järjestelmät. Joukkoon kuuluvat myös tekoäly, joka on osa jo valmiiksi säänneltyä tuotetta, kuten lääkinnällistä laitetta tai konetta. Suomessa tämä osuu esimerkiksi terveysteknologiaan, henkilöstöhallinnon ohjelmistoihin ja fintech-yrityksiin.

Merkitys ulottuu myös tavalliseen kansalaiseen. Kun työhakemuksen, lainapäätöksen tai potilaan hoitosuosituksen taustalla on tekoäly, laadunhallinta ratkaisee, huomataanko virheet ja vinoumat ennen kuin ne osuvat ihmiseen. Standardi tekee tästä valvottavaa.

Mitä suomalaisen yrityksen kannattaa tehdä nyt

Ensimmäinen askel on selvittää rehellisesti, onko oma tuote suuririskinen. Moni yritys olettaa olevansa asetuksen ulkopuolella, kunnes asiakas kysyy toisin. Jos vastaus on kyllä, seuraavaksi kannattaa verrata nykyistä laatujärjestelmää standardin vaatimuksiin ja katsoa, mitä puuttuu.

Eurooppalaiset EN-standardit saatetaan Suomessa voimaan SFS-EN-standardeina, ja niitä myy Suomen Standardisoimisliitto SFS. Kannattaa tarkistaa SFS:n verkkokaupasta tai suoraan liitolta, milloin EN 18286 on saatavilla ja millä kielellä. SFS on tänä vuonna jo pyytänyt suomalaisilta kommentteja kolmeen tekoälyasetusta tukevaan standardiluonnokseen, joten yritykset pääsevät vaikuttamaan myös tuleviin standardeihin.

Suomessa tekoälyasetuksen valvonnasta vastaa pääasiassa Liikenne- ja viestintävirasto Traficom. Sen verkkosivujen mukaan virasto valvoo erityisesti uusia läpinäkyvyysvelvoitteita, julkaisee ohjeita ja ylläpitää tekoälyasetuksen asiakaspalvelukanavaa, jonne voi lähettää kysymyksiä. Traficom ei ole ainakaan vielä kommentoinut julkisesti uutta standardia.

Vapaaehtoinen, mutta vain paperilla

Muodollisesti kukaan ei pakota käyttämään EN 18286:ta. Yritys voi osoittaa vaatimustenmukaisuuden muullakin tavalla, mutta silloin todistustaakka on sillä itsellään. Kokemus muilta säännellyiltä aloilta, kuten lääkinnällisistä laitteista, viittaa siihen, että yhdenmukaistetusta standardista tulee nopeasti alan oletusreitti. Ilmoitetut laitokset, julkiset hankkijat ja suuret asiakkaat alkavat kysyä sitä tarjouspyynnöissä.

Laadunhallinta on silti vain yksi palanen. Komission mukaan lisää yhdenmukaistettuja standardeja on tulossa, ja ne koskevat todennäköisesti muun muassa riskienhallintaa, dataa ja kyberturvallisuutta. Yritys, joka rakentaa laatujärjestelmänsä nyt EN 18286:n varaan, saa valmiin rungon, johon seuraavat standardit on helppo kiinnittää.