AI Act -tekoälysäädös määrittää pelisäännöt tekoälyn käytölle

AI Act (Artificial intelligence act) on Euroopan unionin tekoälysäädös, joka sääntelee tekoälyn kehittämistä ja käyttöä EU:ssa. Säädös tuli voimaan 1.8.2024, ja sen vaatimuksia on otettu käyttöön vaiheittain. Ensimmäiset kiellot tulivat voimaan 2.2.2025, yleiskäyttöisiä tekoälymalleja koskevat säännöt 2.8.2025 ja avoimuusvelvoitteet 2.8.2026. Kyseessä on maailman ensimmäinen kattava tekoälylaki, joka asettaa yhteiset pelisäännöt tekoälyteknologian kehittämiselle ja hyödyntämiselle.

Tekoälyn aikakausi tarvitsee yhteiset pelisäännöt

Tekoäly on tullut osaksi arkeamme vauhdilla. Vielä muutama vuosi sitten emme olisi osanneet kuvitellakaan, kuinka nopeasti tekoäly kehittyy ja miten monella tavalla sitä voidaan hyödyntää.

Tämä ei ole ensimmäinen kerta, kun teknologinen kehitys mullistaa toimintatapojamme. Internet, hakukoneet ja älypuhelimet muuttivat aikanaan tapaamme työskennellä, viestiä ja käyttää digitaalisia palveluita. Nyt tekoäly vie kehitystä jälleen eteenpäin.

OpenAI julkaisi ensimmäisen GPT-kielimallinsa vuonna 2018, mutta suuren yleisön tietoisuuteen tekoäly nousi marraskuussa 2022 julkaistun ChatGPT 3.5 myötä. Sen jälkeen tekoälyn käyttö on yleistynyt nopeasti niin arjessa kuin liiketoiminnassakin.

Tekoälyn mahdollisuudet kasvavat, mutta entä riskit?

Yrityksille tekoälyn mahdollisuudet ovat valtavat, ja ne voivat hyödyntää sitä esimerkiksi prosessien automatisoinnissa, tiedonkäsittelyssä ja uusien palveluiden kehittämisessä.

Samalla teknologia tuo mukanaan aivan uudenlaisia eettisyys- ja turvallisuuskysymyksiä. Miten varmistetaan, että tekoälyn tekemät päätökset ovat oikeudenmukaisia? Kuka vastaa virheistä? Entä miten estetään tekoälyn väärinkäyttö?

Näihin kysymyksiin tarvitaan yhteisiä pelisääntöjä. AI Act on EU:n vastaus tekoälyn nopeaan kehitykseen ja siihen liittyviin riskeihin. Säädöksen tavoitteena on edistää turvallista ja vastuullista tekoälyn käyttöä sekä suojella ihmisten perusoikeuksia.

Mitä AI Act -tekoälysäädös sisältää?

Tekoälysäädös asettaa vaatimuksia tekoälyjärjestelmien kehittäjille, tarjoajille ja käyttöönottajille. Velvoitteet määräytyvät erityisesti sen mukaan, mihin tekoälyä käytetään ja millaisia riskejä sen käyttöön liittyy.

Sääntelyssä huomioidaan myös yrityksille aiheutuva hallinnollinen ja taloudellinen kuormitus. Kaikkiin tekoälyjärjestelmiin ei siksi sovelleta samoja vaatimuksia.

Tekoälyjärjestelmien neljä riskitasoa

AI Act perustuu riskiperusteiseen lähestymistapaan. Tekoälyjärjestelmät jaotellaan neljään riskitasoon sen perusteella, millaisia vaikutuksia niiden käytöllä voi olla ihmisiin ja yhteiskuntaan.

1. Ei-hyväksyttävä riski

Ei-hyväksyttävän riskin tekoälyjärjestelmät ovat kiellettyjä, koska niiden katsotaan aiheuttavan vakavia uhkia ihmisten turvallisuudelle tai perusoikeuksille.

Kiellettyihin käyttötapoihin kuuluvat muun muassa:

• Ihmisten manipulointi tai haavoittuvuuksien hyväksikäyttö tavalla, joka voi aiheuttaa merkittävää haittaa.
• Sosiaalinen pisteytys, jossa ihmisiä arvioidaan heidän käyttäytymisensä tai henkilökohtaisten ominaisuuksiensa perusteella säädöksessä kielletyllä tavalla.
• Yksilön rikoksentekoriskin arviointi pelkästään profiloinnin tai henkilökohtaisten ominaisuuksien perusteella.
• Kasvojentunnistustietokantojen luominen keräämällä kasvokuvia kohdentamattomasti internetistä tai valvontakameroista.
• Tunteiden tunnistaminen työpaikoilla ja oppilaitoksissa, lukuun ottamatta tiettyjä lääketieteellisiä ja turvallisuuteen liittyviä tilanteita.
• Biometrinen luokittelu, jonka tarkoituksena on päätellä tiettyjä arkaluonteisia henkilökohtaisia ominaisuuksia.
• Reaaliaikainen biometrinen etätunnistaminen julkisissa tiloissa lainvalvontaa varten, tiettyjä tarkasti rajattuja poikkeuksia lukuun ottamatta.

Kiellettyjen käyttötapojen luettelo täydentyy 2.12.2026 kahdella uudella kohdalla. Kiellot koskevat järjestelmiä, joilla tuotetaan tai muokataan ilman asianmukaista suostumusta realistista intiimimateriaalia tunnistettavista henkilöistä, sekä järjestelmiä, joilla tuotetaan lasten seksuaalista hyväksikäyttöä esittävää materiaalia.

2. Suuri riski

Suuren riskin tekoälyjärjestelmät voivat vaikuttaa merkittävästi ihmisten terveyteen, turvallisuuteen tai perusoikeuksiin.

Tällaisia järjestelmiä voidaan käyttää esimerkiksi:

• Kriittisen infrastruktuurin turvallisuuteen liittyvissä tehtävissä.
• Koulutuksessa ja opiskelijoiden arvioinnissa.
• Rekrytoinnissa ja työntekijöiden arvioinnissa.
• Luottokelpoisuuden arvioinnissa.
• Tietyissä biometriseen tunnistamiseen ja tunteiden tunnistamiseen liittyvissä käyttötarkoituksissa.
• Lainvalvonnassa, maahanmuuton hallinnassa ja oikeudellisissa prosesseissa.
• Tiettyjen säänneltyjen tuotteiden turvallisuuteen liittyvinä osina.

Suuren riskin järjestelmille asetetaan tiukkoja vaatimuksia. Niiltä edellytetään muun muassa kattavaa riskienhallintaa, laadukasta dataa, teknistä dokumentaatiota, toiminnan jäljitettävyyttä ja asianmukaista ihmisen valvontaa.

Tarkoituksena on varmistaa, että järjestelmät toimivat luotettavasti ja että niiden mahdolliset virheet tai haitalliset vaikutukset voidaan tunnistaa ja korjata.

3. Vähäinen riski (läpinäkyvyyteen liittyvä riski)

Tähän ryhmään kuuluvat esimerkiksi tekoälyä hyödyntävät chatbotit ja muut järjestelmät, joissa käyttäjä on suoraan vuorovaikutuksessa tekoälyn kanssa.

Keskeinen vaatimus on läpinäkyvyys. Käyttäjän tulee tietää, milloin hän asioi tekoälyn kanssa, ellei asia ole tilanteesta muuten ilmeinen.

Myös syväväärennösten ja tiettyjen tekoälyllä tuotettujen tekstien julkaisemiseen liittyy avoimuusvelvoitteita. Näitä käsitellään tarkemmin artikkelin loppupuolella.

4. Minimaalinen riski

Suurin osa tekoälyjärjestelmistä kuuluu minimaalisen riskin luokkaan. Esimerkkejä ovat roskapostisuodattimet ja videopelien tekoälyominaisuudet.

Näihin järjestelmiin ei pääsääntöisesti kohdistu AI Actin riskiperusteisia erityisvaatimuksia. Yrityksiä kannustetaan kuitenkin noudattamaan vastuullisen tekoälyn periaatteita ja hyviä käytäntöjä myös silloin, kun laki ei niitä erikseen edellytä.

Riskiluokittelusta riippumatta tekoälyjärjestelmään voi kohdistua myös muita sovellettavia velvoitteita.

Miten säädös vaikuttaa yleiskäyttöisiin tekoälymalleihin?

Yleiskäyttöisiä tekoälymalleja hyödynnetään jo monissa sovelluksissa ja digitaalisissa palveluissa. Esimerkiksi ChatGPT ja Claude ovat palveluita, joiden taustalla toimivia kielimalleja voidaan käyttää myös osana yritysten omia ratkaisuja.

AI Act asettaa näiden mallien tarjoajille velvoitteita, jotka liittyvät muun muassa läpinäkyvyyteen, tekijänoikeuksien noudattamiseen ja tekniseen dokumentaatioon. Erityisen tehokkaille malleille, joihin liittyy systeemisiä riskejä, asetetaan lisäksi turvallisuutta ja riskienhallintaa koskevia vaatimuksia.

Myös tekoälymalleja omissa sovelluksissaan hyödyntävien yritysten on tunnistettava vastuunsa.

Esimerkiksi kielimallin käyttäminen osana asiakaspalvelua, rekrytointia tai päätöksentekoa voi tuoda mukanaan erilaisia velvoitteita. Niiden laajuus riippuu sovelluksen käyttötarkoituksesta, riskitasosta ja yrityksen roolista järjestelmän tarjoajana tai käyttöönottajana.

Yrityksen kannattaa siis selvittää jo kehitysprojektin alussa, mitä vaatimuksia suunniteltuun ratkaisuun liittyy. Silloin ne voidaan huomioida teknisessä toteutuksessa eikä tarvittavia muutoksia tarvitse tehdä vasta käyttöönoton yhteydessä.

Mitä AI Act tarkoittaa yrityksille käytännössä?

Tekoälysäädös selkeyttää vastuunjakoa tekoälyjärjestelmien kehittämisessä ja käytössä.

Järjestelmien tarjoajat vastaavat esimerkiksi niiden vaatimustenmukaisuudesta, dokumentoinnista ja tarvittavista turvallisuustoimista. Käyttöönottajien vastuulla on puolestaan varmistaa, että tekoälyä käytetään sovellettavien vaatimusten mukaisesti.

Erityisesti suuren riskin järjestelmissä korostuvat ihmisen valvonta, järjestelmän toiminnan seuranta ja mahdollisten ongelmien tunnistaminen. Vakavista vaaratilanteista on myös ilmoitettava viranomaisille säädöksen edellyttämällä tavalla.

Lisäksi tietyissä tilanteissa tekoälyn käytöstä ja sen tuottamasta sisällöstä on kerrottava avoimesti. Käytännössä vastuullinen tekoälyn käyttö edellyttää yrityksiltä aiempaa tarkempaa suunnittelua. On tiedettävä, mitä tietoja järjestelmä käsittelee, miten sen toimintaa valvotaan ja kuka vastaa mahdollisiin ongelmiin puuttumisesta.

Milloin AI Act tulee voimaan täysimääräisesti?

EU:n tekoälysäädös tuli voimaan 1.8.2024, mutta sen soveltaminen etenee vaiheittain. Suurin osa säädöksestä on ollut sovellettavana 2.8.2026 alkaen. Viimeiset keskeiset siirtymäajat päättyvät vuonna 2028.

AI Actin keskeiset päivämäärät:

• 1.8.2024: AI Act tuli voimaan.
• 2.2.2025: Ensimmäiset kiellettyjä tekoälykäytäntöjä koskevat säännöt sekä tekoälylukutaitoa koskevat velvoitteet tulivat sovellettaviksi.
• 2.8.2025: Yleiskäyttöisiä tekoälymalleja koskevien sääntöjen soveltaminen alkoi.
• 2.8.2026: Avoimuusvelvoitteiden ja useiden muiden säännösten soveltaminen alkoi.
• 2.12.2026: Uudet suostumuksetonta intiimimateriaalia ja lasten seksuaalista hyväksikäyttöä esittävää materiaalia koskevat kiellot tulevat sovellettaviksi. Samalla päättyy tiettyjen aiemmin markkinoille tuotujen järjestelmien koneluettavia merkintöjä koskeva siirtymäaika.
• 2.12.2027: Suuren riskin tekoälyjärjestelmien erityisvaatimuksia aletaan soveltaa muun muassa työelämään, koulutukseen ja luottokelpoisuuden arviointiin liittyvissä käyttötarkoituksissa.
• 2.8.2028: Säänneltyihin tuotteisiin, kuten tiettyihin koneisiin ja lääkinnällisiin laitteisiin, liittyvien suuren riskin tekoälyjärjestelmien vaatimukset tulevat sovellettaviksi.

Vuonna 2026 hyväksytty AI Omnibus -säädösmuutos siirsi suuren riskin tekoälyjärjestelmien vaatimusten soveltamisaikoja. Muutoksen tarkoituksena on antaa yrityksille ja viranomaisille enemmän aikaa valmistautua vaatimuksiin ja niitä tukeviin standardeihin.

Sääntelyn kehitystä kannattaa seurata, sillä myös sen käytännön tulkinnat tarkentuvat. Ajantasaiset tiedot löytyvät Euroopan komission AI Act -sivustolta.

Uusi avoimuusvelvoite tekoälysisällön merkitsemiseen

Yksi AI Actin näkyvimmistä muutoksista koskee tekoälyn käytöstä kertomista ja tekoälyllä tuotetun sisällön merkitsemistä.

Säädöksen 50 artiklan avoimuusvelvoitteita on sovellettu 2.8.2026 alkaen. Ne koskevat tietyissä tilanteissa tekoälyllä tuotettuja tai muokattuja kuvia, videoita, ääntä ja tekstiä sekä tekoälyjärjestelmien kanssa tapahtuvaa vuorovaikutusta.

Mitä tekoälyn avoimuusvelvoitteet tarkoittavat?

AI Act edellyttää, että tekoälyn käytöstä ja sen tuottamasta sisällöstä kerrotaan tietyissä tilanteissa avoimesti. Merkintävelvoitteet koskevat esimerkiksi aidolta vaikuttavia tekoälyllä tuotettuja tai muokattuja kuvia, videoita ja ääniä sekä tiettyjä yleistä etua koskevia tekstejä.

Velvoitteet koskevat sekä tekoälyjärjestelmien tarjoajia että käyttöönottajia. Tarjoajien vastuulla on huolehtia sisällön teknisestä tunnistettavuudesta, kun taas sisältöä julkaisevien yritysten on tarvittaessa kerrottava tekoälyn käytöstä selkeästi. Myös chatbotin käyttäjälle on kerrottava, että hän asioi tekoälyn kanssa, ellei asia ole muuten ilmeinen.

Avoimuusvelvoitteet tulivat sovellettaviksi 2.8.2026, eikä niitä tarvitse soveltaa takautuvasti ennen kyseistä päivämäärää julkaistuun sisältöön. Kaikkea tekoälysisältöä ei myöskään tarvitse merkitä, ja velvoitteisiin liittyy poikkeuksia.

Euroopan komissio on julkaissut vapaaehtoisen käytännesäännöstön, joka auttaa tarjoajia ja käyttöönottajia täyttämään avoimuusvaatimukset. Suomessa niiden noudattamista valvoo pääasiassa Traficom, jonka ohjeista löytyy lisätietoa sääntelystä.

Tekoälyagenttien on kerrottava toiminnastaan

Tekoälyagentit ovat yksi nopeimmin kehittyvistä tekoälyn käyttötavoista. Ne pystyvät suorittamaan tehtäviä itsenäisesti käyttäjän puolesta, esimerkiksi käsittelemään tilauksia, lähettämään viestejä tai tekemään varauksia.

Tekoälyagenttien yleistyessä myös niiden toiminnan läpinäkyvyys korostuu. Kun agentti asioi ihmisen kanssa, vastaanottajan on voitava tunnistaa tekoälyn osallistuminen tilanteissa, joissa AI Act sitä edellyttää. On myös tärkeää tietää, minkä tahon puolesta agentti toimii. Komission 20.7.2026 julkaisemissa ohjeissa käsitellään tekoälyagenttien vuorovaikutusta ihmisten kanssa ja sitä, miten avoimuusvelvoitteet tulee huomioida niiden suunnittelussa.

Yrityksille tekoälyagentit tarjoavat paljon mahdollisuuksia, mutta itsenäisesti toimivien järjestelmien kohdalla myös käyttöoikeuksien, valvonnan ja vastuiden määrittely on erityisen tärkeää.

Tekoälyn pelisäännöt tarkentuvat, ja se on vain hyvä asia

On hyvä, että tekoälyn etiikka puhuttaa ja saamme kaikille EU-maille yhteiset pelisäännöt sen turvalliseen ja vastuulliseen käyttöön. EU:n tavoitteena on olla turvallisen tekoälyn edelläkävijä, ja yhteinen sääntely luo pohjaa luotettavalle tekoälykehitykselle.

Tekoäly kehittyy vauhdilla, ja sen mahdollisuuksia opitaan hyödyntämään jatkuvasti uusilla tavoilla. Samalla on pidettävä huolta siitä, että teknologiaa käytetään vastuullisesti ja sen toimintaan voidaan luottaa. Avoimuus, tietoturva ja ihmisen mahdollisuus vaikuttaa tekoälyn toimintaan ovat keskeisiä asioita myös yritysten näkökulmasta.

Tekoälyn eettinen käyttö puhuttaa myös meillä Hurjalla. Olemme laatineet omat tekoälyn eettiset periaatteemme, jotka ohjaavat kehitystyötämme ja tekoälyn vastuullista hyödyntämistä. Huomioimme ratkaisujen turvallisuuden, läpinäkyvyyden ja luotettavuuden jo suunnitteluvaiheessa.

Haluamme auttaa yrityksiä hyödyntämään tekoälyn mahdollisuuksia fiksusti. Parhaimmillaan tekoäly tehostaa liiketoimintaa, vähentää manuaalista työtä ja mahdollistaa aivan uudenlaisia digitaalisia palveluita.

Onko yrityksessäsi suunnitteilla tekoälyä hyödyntävä ratkaisu? Autamme tunnistamaan sopivat käyttökohteet ja toteuttamaan yrityksesi tarpeisiin räätälöidyn tekoälyratkaisun, jossa huomioidaan myös tietoturva ja vastuullinen käyttö.