EU AI Act eli EU:n tekoälyasetus koskee kaikkia yrityksiä, jotka kehittävät, ottavat käyttöön tai hyödyntävät tekoälyjärjestelmiä EU:n markkinoilla, toimialasta tai koosta riippumatta. Asetus on maailman ensimmäinen kattava tekoälysääntely, ja se tuo mukanaan konkreettisia velvoitteita, joiden laajuus määräytyy tekoälyjärjestelmän riskitason mukaan. Alla käymme läpi keskeisimmät kysymykset, jotka suomalaisten yritysten on syytä ymmärtää.
EU AI Act asettaa yrityksille velvoitteita, jotka vaihtelevat tekoälyjärjestelmän riskitason mukaan. Korkean riskin järjestelmiin kohdistuu tiukat vaatimukset, kuten riskienhallintajärjestelmän rakentaminen, tekninen dokumentaatio, lokitiedot, läpinäkyvyys käyttäjille sekä ihmisvalvonnan varmistaminen. Matalan riskin järjestelmiin riittää usein kevyempi läpinäkyvyysvelvoite.
Asetus jakaa tekoälyjärjestelmät neljään riskiluokkaan: kiellettyihin, korkean riskin, rajatun riskin ja minimaalisen riskin järjestelmiin. Kiellettyihin kuuluvat esimerkiksi manipuloivat tekoälysovellukset ja reaaliaikainen biometrinen tunnistaminen julkisilla paikoilla tietyin poikkeuksin. Korkean riskin luokka kattaa muun muassa rekrytointiin, luottopäätöksiin ja kriittiseen infrastruktuuriin liittyvät sovellukset.
Rajatun riskin järjestelmiltä, kuten chatboteilta, edellytetään lähinnä, että käyttäjä tietää asioivansa tekoälyn kanssa. Minimaalisen riskin järjestelmiin, kuten roskapostisuodattimiin, ei kohdistu erityisiä velvoitteita. Keskeistä on tunnistaa, missä roolissa oma organisaatio toimii: onko se tekoälyjärjestelmän tarjoaja, käyttöönottaja vai pelkästään loppukäyttäjä, sillä velvoitteet vaihtelevat roolin mukaan merkittävästi.
Tekoälyjärjestelmä kuuluu korkean riskin luokkaan, jos se on lueteltu asetuksen liitteessä III tai jos se on turvallisuuskomponentti EU:n lainsäädännön alaisessa tuotteessa. Liite III kattaa muun muassa henkilöstöhallinnon, koulutuksen, oikeudenkäytön, lainvalvonnan sekä elintärkeiden palvelujen, kuten veden ja sähkön, hallinnoinnin.
Arvioinnissa on syytä tarkastella kolmea peruskysymystä:
Pelkkä tekoälyn hyödyntäminen ei automaattisesti tarkoita korkean riskin luokittelua. Esimerkiksi asiakaspalveluchatbot tai sisäinen dokumentinhallintajärjestelmä jää tyypillisesti korkean riskin luokan ulkopuolelle. Sen sijaan jos organisaatio käyttää tekoälyä lainahakemusten arviointiin tai työnhakijoiden seulontaan, korkean riskin luokitus on todennäköinen. Oikeudellinen arviointi riippuu aina yksittäisen järjestelmän konkreettisista ominaisuuksista ja käyttöympäristöstä.
EU AI Act tuli voimaan elokuussa 2024, mutta velvoitteet astuvat voimaan vaiheistetun aikataulun mukaisesti. Kielletyt tekoälykäytännöt kiellettiin helmikuussa 2025. Korkean riskin järjestelmiä koskevat velvoitteet tulevat täysimääräisesti sovellettaviksi elokuussa 2026, ja yleiskäyttöisiä tekoälymalleja koskevat säännöt astuivat voimaan elokuussa 2025.
Vaiheistus tarkoittaa käytännössä, että yrityksillä on ollut siirtymäaikaa valmistautua. Vuoden 2026 loppuun mennessä organisaatioiden tulisi kuitenkin olla jo pitkällä vaatimustenmukaisuuden rakentamisessa korkean riskin järjestelmien osalta. Myöhemmin, vuoteen 2027 mennessä, korkean riskin luokkaan kuuluvia, jo markkinoilla olevia järjestelmiä koskevat lisävelvoitteet tulevat voimaan.
Aikataulun seuraaminen on tärkeää erityisesti niille toimijoille, jotka kehittävät tai hankkivat uusia tekoälyratkaisuja parhaillaan. Järjestelmä, joka otetaan käyttöön tänään, on suunniteltava asetuksen vaatimusten mukaisesti jo nyt, eikä vasta siirtymäajan päättyessä.
Kyllä, EU AI Act koskee myös pieniä ja keskisuuria suomalaisia yrityksiä, jos ne kehittävät, markkinoivat tai ottavat käyttöön tekoälyjärjestelmiä EU:n alueella. Asetus ei rajaa velvoitteitaan yrityksen koon perusteella, vaikka pk-yrityksille on joitakin kevennyksiä esimerkiksi dokumentaatiovaatimuksissa ja markkinavalvontamaksuissa.
Käytännössä pienen yrityksen kohdalla ratkaisevaa on se, minkälaista tekoälyä se hyödyntää ja missä roolissa. Jos pk-yritys ostaa valmiin tekoälyratkaisun suuremmalta toimittajalta eikä muokkaa sitä merkittävästi, pääosa vaatimustenmukaisuusvelvoitteista kuuluu järjestelmän tarjoajalle. Jos yritys kuitenkin räätälöi järjestelmän omaan käyttötarkoitukseensa tai ottaa sen käyttöön korkean riskin kontekstissa, velvoitteet siirtyvät osittain myös käyttöönottajalle.
Suomalaisille startup-yrityksille ja kasvuyrityksille, jotka rakentavat tekoälypohjaisia tuotteita kansainvälisille markkinoille, asetus on erityisen ajankohtainen. Suomen tekoälysääntelyn viitekehys nojaa EU:n yhteiseen lainsäädäntöön, joten kansallista erillisnormistoa ei juurikaan ole, mutta kansalliset viranomaiset vastaavat valvonnasta.
EU AI Actin rikkomisesta voi seurata merkittäviä hallinnollisia sakkoja. Kiellettyjen tekoälykäytäntöjen rikkominen voi johtaa jopa 35 miljoonan euron tai seitsemän prosentin maailmanlaajuisesta liikevaihdosta laskettavaan sakkoon, sen mukaan kumpi on suurempi. Korkean riskin järjestelmiä koskevien velvoitteiden laiminlyönnistä voidaan määrätä jopa 15 miljoonan euron tai kolmen prosentin liikevaihdon mukainen sanktio.
Sanktiorakenne muistuttaa GDPR:n mallia, joka on jo osoittanut, että eurooppalaiset viranomaiset ovat valmiita käyttämään toimivaltaansa aktiivisesti. Pelkkä rahallinen seuraamus ei kuitenkaan kata kaikkia riskejä: asetuksen rikkominen voi johtaa myös markkinoilta poistamiseen, mainevahinkoihin sekä siviilioikeudellisiin korvausvaatimuksiin, jos tekoälyjärjestelmä on aiheuttanut vahinkoa.
Pk-yrityksille ja startup-yrityksille on säädetty lievennetty sakkoasteikko, mutta perusvastuu vaatimustenmukaisuudesta säilyy. Oikeudellinen arviointi on aina tapauskohtaista, ja se riippuu muun muassa siitä, onko rikkomus tahallinen, kuinka laajaa haittaa se on aiheuttanut ja onko yritys pyrkinyt korjaamaan tilanteen viipymättä. Vaatimustenmukaisuuden rakentaminen ennakoivasti on siksi huomattavasti edullisempaa kuin jälkikäteinen korjailu sanktioiden uhatessa.
EU AI Actin kokonaisuus on laaja, ja sen soveltaminen yksittäisen organisaation tilanteeseen edellyttää huolellista analyysiä. Me Hedman Partnersilla autamme yrityksiä arvioimaan tekoälyjärjestelmiensä riskitason, rakentamaan vaatimustenmukaisuuden ja navigoimaan sääntelyn muuttuvassa ympäristössä. Ensimmäinen yhteydenotto on maksuton.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.