Tekoälylaki puree sunnuntaina – valvojia on 15

Ensi sunnuntaina 2. elokuuta EU:n tekoälyasetuksesta tulee kokonaisuudessaan sovellettavaa oikeutta. Suomalaiselle yritysjohtajalle kiinnostavin muutos ei ole asetuksen sisältö, joka on ollut luettavissa kaksi vuotta, vaan se että valvojat ovat nyt paikoillaan ja niillä on toimivalta puuttua.

Laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025) astui voimaan tämän vuoden alussa. Se hajautti valvontavastuun Suomessa 15 viranomaiselle. Liikenne- ja viestintävirasto Traficom koordinoi toimeenpanoa ja toimii kansallisena yhteyspisteenä, mutta se ei valvo läheskään kaikkea.

Markkinavalvojina toimii yhdeksän virastoa, ja perusoikeuksien toteutumista seuraa kahdeksan tahoa. Tietosuojavaltuutettu ja työsuojeluviranomainen ovat molemmissa rooleissa, joten erillisiä viranomaisia on 15. Käytännössä tämä tarkoittaa, että yrityksen kannalta oikea puhelinnumero riippuu siitä, mihin tekoälyä käytetään, ei siitä että kyse on tekoälystä.

Kuka soittaa, jos järjestelmä menee vikaan

Osaamisvelvoite ei katso yrityksen kokoa

Asetuksen 4 artikla velvoittaa sekä tekoälyjärjestelmien tarjoajia että käyttöönottajia huolehtimaan siitä, että henkilöstöllä ja muilla järjestelmiä yrityksen puolesta käyttävillä on riittävä tekoälylukutaito. Artiklassa ei ole liikevaihtorajaa eikä henkilöstömäärärajaa. Kolmen hengen kirjanpitotoimisto, joka syöttää asiakasaineistoa kielimalliin, on asetuksen tarkoittama käyttöönottaja siinä missä pörssiyhtiö.

Velvoite ei sinänsä ole uusi. Se on ollut voimassa 2. helmikuuta 2025 lähtien, eli puolitoista vuotta. Uutta on se, että kansallinen valvontarakenne syntyi vasta vuodenvaihteessa ja täysi velvoitepaketti alkaa sunnuntaina. Tähän asti asetusta on voinut lukea kiinnostuneena, nyt sitä lukee joku muukin.

Konkreettisesti pk-yritykseltä odotetaan kolmea asiaa. Ensin tieto siitä, mitä tekoälytyökaluja talossa oikeasti käytetään, myös ne joita kukaan ei ole hankkinut virallisesti. Sitten kirjattu ohje siitä, mihin niitä saa käyttää ja mitä tietoa niihin ei syötetä. Lopuksi arvio siitä, osuuko jokin käyttötapa asetuksen suuririskisiin luokkiin, koska silloin velvoitteet ovat aivan toista luokkaa.

Miksi tällä on väliä myös asiakkaalle

Hajautettu malli tarkoittaa, että tekoälyn väärinkäytöstä valittava kansalainen ottaa yhteyttä siihen viranomaiseen, joka jo valvoo kyseistä toimialaa. Työhakemuksen hylkäävän seulonta-algoritmin tapauksessa se on työsuojeluviranomainen, terveyssovelluksen kohdalla Lupa- ja valvontavirasto tai Fimea. Yritykselle tämä on hyvä uutinen siinä mielessä, että vastapuoli tuntee alan, ja huono siinä mielessä, että sama virasto tuntee myös yrityksen.

Kuluttajalle näkyvin osa asetuksesta on avoimuus. Sunnuntaista lähtien käyttäjälle on kerrottava, kun hän keskustelee koneen kanssa, ja tekoälyllä tuotettu sisältö on merkittävä. AI Suomi kertoi chatbotin merkintävelvoitteesta aiemmin, ja markkinointikuvien osalta laiminlyönnin hinta voi nousta 15 miljoonaan euroon. Merkintä on kuitenkin helpoin osuus. Vaikeampi on osoittaa, että talossa tiedetään mitä työkalut tekevät.

Vastuu siirtyy sopimuspöytään

Suomalainen pk-yritys ei useimmiten rakenna suuririskistä tekoälyjärjestelmää itse. Se ostaa palvelun, jonka sisään se ei näe. Käyttöönottajan velvoitteet, kuten käyttöohjeiden noudattaminen, toiminnan seuranta ja poikkeamien raportointi, jäävät silti ostajalle.

Tästä syntyy ennuste loppuvuodelle: asetuksen todellinen vaikutus näkyy hankintasopimuksissa, ei koulutuskalvoissa. Kun kolmen hengen yritys ei voi auditoida mallia, sen ainoa suoja on kirjaus siitä, että toimittaja vastaa vaatimustenmukaisuudesta ja toimittaa dokumentaation valvojan pyynnöstä. Ne yritykset, jotka lisäävät tämän lausekkeen sopimuspohjiinsa ennen syksyn uusintaneuvotteluita, säästävät enemmän kuin ne jotka ehtivät perjantaina lukea 4 artiklan.