EU AI Act -auditoinnin valmistelu edellyttää yritykseltä järjestelmällistä lähestymistapaa: tekoälyjärjestelmien tunnistamista, riskitasojen arviointia ja asianmukaisen dokumentaation kokoamista ennen kuin valvontaviranomainen tai kauppakumppani pyytää niitä. Velvoitteet koskevat laajaa joukkoa organisaatioita, ja niiden laajuus riippuu siitä, minkä riskitason järjestelmiä yritys kehittää tai ottaa käyttöön. Alla käymme läpi keskeisimmät kysymykset, joihin jokaisen asiaa selvittävän yrityksen kannattaa ensin hankkia vastaukset.
EU AI Act velvoittaa yritykset tunnistamaan käyttämänsä ja kehittämänsä tekoälyjärjestelmät, luokittelemaan ne riskitason mukaan sekä toteuttamaan riskitasoa vastaavat hallinta-, dokumentaatio- ja läpinäkyvyysvaatimukset. Velvoitteiden laajuus vaihtelee merkittävästi sen mukaan, onko järjestelmä luokiteltu korkea-, matala- vai minimaalisen riskin järjestelmäksi.
Käytännössä asetuksen noudattaminen tarkoittaa useimmille organisaatioille vähintään kolmea konkreettista toimenpidettä. Ensimmäinen on tekoälyjärjestelmien kartoitus: yrityksen on selvitettävä, mitä tekoälyratkaisuja sen liiketoiminnassa käytetään tai tarjotaan muille. Toinen on riskiarviointi, jossa kukin järjestelmä sijoitetaan asetuksen riskikehikkoon. Kolmas on hallintamallin rakentaminen, johon kuuluu sisäinen vastuunjako, henkilöstön koulutus ja jatkuva seuranta.
Korkean riskin järjestelmille asetus asettaa huomattavasti raskaammat vaatimukset: pakollinen vaatimustenmukaisuuden arviointi, tekninen dokumentaatio, ihmisvalvonnan mekanismit ja rekisteröinti EU:n tekoälyrekisteriin. Matalan riskin järjestelmille riittää yleensä läpinäkyvyysvelvoitteiden täyttäminen, kuten käyttäjien informointi siitä, että he ovat tekemisissä tekoälyjärjestelmän kanssa.
EU AI Act koskee kaikkia yrityksiä, jotka kehittävät, tuovat markkinoille, ottavat käyttöön tai käyttävät tekoälyjärjestelmiä EU:n alueella riippumatta siitä, onko organisaatio rekisteröity Euroopassa vai sen ulkopuolella. Soveltamisala on siis huomattavan laaja: pelkästään EU-markkinoille myyvä yhdysvaltalainen ohjelmistotoimittaja kuuluu asetuksen piiriin siinä missä helsinkiläinen pk-yrityskin.
Asetuksessa erotetaan toisistaan neljä eri roolia, joilla kullakin on erilaiset velvoitteet:
Pienemmät toimijat voivat helposti aliarvioida roolinsa. Esimerkiksi yritys, joka räätälöi valmisohjelmiston omiin tarpeisiinsa ja tarjoaa sen asiakkailleen, saattaa muuttua jakelijan roolista tarjoajan rooliin, mikä tuo mukanaan huomattavasti laajemmat velvoitteet. Roolin tunnistaminen on siksi yksi auditoinnin ensimmäisistä ja tärkeimmistä vaiheista.
EU AI Act jakaa tekoälyjärjestelmät neljään riskitasoon: kielletyt käytännöt, korkea riski, rajoitettu riski ja minimaalinen riski. Luokittelu perustuu järjestelmän käyttötarkoitukseen ja siihen, millä toimialalla tai missä kontekstissa se toimii, ei teknologian tyyppiin sinänsä.
Korkean riskin luokkaan kuuluvat järjestelmät, joilla on merkittävä vaikutus ihmisten perusoikeuksiin, turvallisuuteen tai elämänmahdollisuuksiin. Asetus luettelee tarkasti toimialat, joilla korkean riskin järjestelmät esiintyvät: rekrytointi ja henkilöstöhallinto, luotonanto, koulutus, kriittinen infrastruktuuri, lainvalvonta sekä oikeuslaitos. Jos organisaatio käyttää tekoälyä esimerkiksi työnhakijoiden pisteyttämiseen tai luottokelpoisuuden arviointiin, se todennäköisesti käsittelee korkean riskin järjestelmää.
Rajoitetun riskin järjestelmille, kuten chatboteille ja synteettistä sisältöä tuottaville sovelluksille, riittää läpinäkyvyysvelvoitteiden täyttäminen. Minimaalisen riskin järjestelmiin, kuten roskapostisuodattimiin tai suositusalgoritmeihin, ei kohdistu erityisiä lakisääteisiä velvoitteita. Käytännön haasteena on, että sama teknologinen ratkaisu voi kuulua eri riskitasoihin riippuen siitä, missä yhteydessä ja mille kohderyhmälle sitä käytetään.
EU AI Act -auditoinnissa korkean riskin järjestelmiltä edellytetään kattavaa teknistä dokumentaatiota, vaatimustenmukaisuusvakuutusta, lokitietoja järjestelmän toiminnasta sekä kuvausta ihmisvalvonnan mekanismeista. Dokumentaation on oltava ajan tasalla koko järjestelmän elinkaaren ajan, ei ainoastaan käyttöönottovaiheessa.
Käytännön dokumentaatiovaatimukset voidaan jakaa viiteen keskeiseen kokonaisuuteen:
Dokumentaation hallinta on yksi auditoinnin käytännöllisimmistä haasteista. Monilla organisaatioilla tekoälyjärjestelmiin liittyvä tieto on hajautunut eri tiimien välille, eikä yhtenäistä dokumentaatiorakennetta ole olemassa. Auditoinnin valmistelu tarkoittaa usein ensin tiedon kokoamista ja sitten sen muokkaamista asetuksen edellyttämään muotoon.
EU AI Act -vaatimusten laiminlyönti voi johtaa merkittäviin hallinnollisiin sanktioihin: vakavimmissa rikkomuksissa, kuten kiellettyjen tekoälykäytäntöjen soveltamisessa, sakko voi olla jopa 35 miljoonaa euroa tai seitsemän prosenttia yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Korkean riskin järjestelmiin liittyvissä rikkomuksissa enimmäissanktioksi on säädetty 15 miljoonaa euroa tai kolme prosenttia liikevaihdosta.
Taloudelliset seuraamukset eivät kuitenkaan ole ainoa riski. Vaatimusten laiminlyönti voi johtaa myös järjestelmän käyttökieltoon, julkiseen valvontaviranomaisen päätökseen sekä mainehaittaan, joka vaikuttaa asiakassuhteisiin ja kauppakumppaneiden luottamukseen. Julkisten hankintojen yhteydessä vaatimustenmukaisuus saattaa muodostua jo lähivuosina sopimusehdoksi, jota ilman tarjouskilpailuun osallistuminen ei onnistu.
Oikeudellinen arviointi riippuu aina yrityksen yksilöllisistä olosuhteista: toimialasta, järjestelmien riskitasosta ja siitä, missä roolissa organisaatio suhteessa tekoälyjärjestelmään toimii. Me Hedman Partnersilla autamme yrityksiä hahmottamaan, mitä EU AI Act -vaatimukset tarkoittavat juuri heidän liiketoimintansa kannalta, ja rakentamaan vaatimustenmukaisuuden askel kerrallaan. Ensimmäinen yhteydenotto on maksuton.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.