EU:n tekoälyasetus (AI Act) ja tekoälydirektiivi ovat kaksi erillistä säädöstä, jotka säätelevät tekoälyä eri näkökulmista: asetus luo yhtenäiset turvallisuus- ja vaatimustenmukaisuusvelvoitteet tekoälyjärjestelmille koko EU:ssa, kun taas direktiivi harmonisoi kansallisia vahingonkorvaussääntöjä tilanteissa, joissa tekoäly aiheuttaa vahinkoa. Asetus koskee ensisijaisesti tekoälyjärjestelmien kehittäjiä ja käyttöönottajia, direktiivi puolestaan vahvistaa vahinkoa kärsineiden oikeussuojaa. Alla käymme läpi molempien säädösten sisällön, niiden välisen suhteen ja sen, mitä ne tarkoittavat yrityksille käytännössä.
EU käyttää kahta eri säädösvälinettä, koska tekoälyn sääntely edellyttää sekä ennaltaehkäisevää turvallisuusvalvontaa että jälkikäteistä vahingonkorvausvastuun selkeyttämistä. Nämä ovat oikeudellisesti erilaisia kysymyksiä, jotka on luontevampaa ratkaista eri instrumenteilla. Asetus soveltuu suoraan kaikissa jäsenvaltioissa ilman kansallista täytäntöönpanolainsäädäntöä, direktiivi taas edellyttää, että kukin jäsenvaltio saattaa sen osaksi omaa lainsäädäntöään.
Toisena syynä on EU:n lainsäädäntöarkkitehtuuri: asetuksella luodaan yhtenäinen sisämarkkina tekoälyjärjestelmille asettamalla kaikille toimijoille samat tekniset ja hallinnolliset vaatimukset. Direktiivillä puolestaan täydennetään olemassa olevia kansallisia vahingonkorvausjärjestelmiä, joita ei ole mielekästä korvata kokonaan unionitason asetuksella, koska vahingonkorvausoikeus on perinteisesti kuulunut jäsenvaltioiden toimivaltaan.
Yhdessä nämä kaksi välinettä muodostavat kokonaisuuden: asetus ehkäisee riskejä etukäteen, direktiivi varmistaa, että vahingon sattuessa vahinkoa kärsineellä on tehokkaat oikeuskeinot käytettävissään.
EU:n tekoälyasetus on maailman ensimmäinen kattava tekoälyä koskeva yleislaki, joka luokittelee tekoälyjärjestelmät niiden aiheuttaman riskin perusteella neljään luokkaan: kielletyt järjestelmät, korkean riskin järjestelmät, rajatun riskin järjestelmät ja minimaalisen riskin järjestelmät. Luokittelu määrittää, mitä vaatimustenmukaisuusvelvoitteita kehittäjiin ja käyttöönottajiin sovelletaan.
Kiellettyihin järjestelmiin kuuluvat esimerkiksi tietyt biometrisen luokittelun sovellukset ja manipuloivat tekoälyjärjestelmät, joiden käyttö on kokonaan kielletty. Korkean riskin järjestelmät, kuten rekrytointitekoäly, luottoluokittelu tai kriittiseen infrastruktuuriin liittyvät sovellukset, edellyttävät ennen markkinoille tuomista läpinäkyvyysdokumentaatiota, riskienhallintajärjestelmää ja ihmisvalvontaa.
Asetus kohdistaa velvoitteet sekä tekoälyjärjestelmien tarjoajiin että käyttöönottajiin, ja vastuun laajuus vaihtelee roolin mukaan. Tarjoajilla on laajimmat velvoitteet: heidän on muun muassa laadittava tekninen dokumentaatio ja rekisteröitävä korkean riskin järjestelmät EU:n tietokantaan. Käyttöönottajilla on puolestaan velvollisuus varmistaa, että järjestelmiä käytetään tarkoitetulla tavalla ja että henkilöstö on riittävästi koulutettu.
Tekoälyvastuudirektiivi (AI Liability Directive) koskee vahingonkorvausvastuuta tilanteissa, joissa tekoälyjärjestelmä aiheuttaa vahinkoa henkilölle, omaisuudelle tai perusoikeuksille. Direktiivi helpottaa vahinkoa kärsineen asemaa erityisesti kahdella mekanismilla: todisteiden luovuttamisvelvollisuudella ja syy-yhteysolettamalla.
Käytännössä direktiivi vaikuttaa kaikkiin toimijoihin, jotka kehittävät, markkinoivat tai ottavat käyttöön tekoälyjärjestelmiä EU:n alueella. Erityisen merkittävä se on yrityksille, jotka hyödyntävät korkean riskin tekoälyjärjestelmiä liiketoiminnassaan, sillä juuri näissä tilanteissa syy-yhteysolettama aktivoituu herkimmin.
Direktiivi ei luo uutta vahingonkorvausjärjestelmää tyhjästä, vaan rakentuu kansallisten vahingonkorvauslakien päälle. Se poistaa kuitenkin merkittävän esteen vahingonkorvauskanteiden tieltä: tekoälyjärjestelmien toimintalogiikka on usein niin monimutkainen, että vahinkoa kärsineen on käytännössä mahdotonta osoittaa syy-yhteys ilman pääsyä kehittäjän dokumentaatioon.
Asetus ja direktiivi täydentävät toisiaan siten, että asetus määrittelee, mitä tekoälyjärjestelmiltä vaaditaan ennen niiden käyttöönottoa, ja direktiivi määrittelee seuraukset silloin, kun järjestelmä siitä huolimatta aiheuttaa vahinkoa. Yhdessä ne muodostavat kehän, jossa ennaltaehkäisy ja vastuullisuus tukevat toisiaan.
Konkreettisena esimerkkinä: jos yritys ottaa käyttöön korkean riskin tekoälyjärjestelmän rekrytointiprosessissa ja järjestelmä syrjii hakijaa, asetuksen vaatimustenmukaisuusvelvoitteiden laiminlyönti voi direktiivin nojalla johtaa syy-yhteysolettamaan vahingonkorvauskanteessa. Asetuksen mukainen dokumentaatio puolestaan voi toimia yrityksen puolustuksena, jos se osoittaa noudattaneensa kaikkia velvoitteitaan.
Yritysten kannalta tämä tarkoittaa, että tekoälysääntelyn noudattaminen ei ole pelkästään hallinnollinen velvoite vaan myös oikeudellinen suoja. Puutteellinen vaatimustenmukaisuus lisää sekä valvontaviranomaisten sanktioriskiä että altistumista yksityisoikeudellisille vahingonkorvausvaateille.
EU:n tekoälyasetus tuli voimaan elokuussa 2024, mutta sen soveltaminen etenee vaiheistetun aikataulun mukaisesti. Kiellettyjen tekoälykäytäntöjen kiellot tulivat voimaan helmikuussa 2025. Korkean riskin järjestelmiä koskevat velvoitteet tulevat pääosin sovellettaviksi vuoden 2026 aikana, ja koko asetus on täysimääräisesti sovellettavissa vuoteen 2027 mennessä.
Tekoälyvastuudirektiivi on edelleen kansallisen täytäntöönpanon vaiheessa, ja jäsenvaltioiden on saatettava se osaksi kansallista lainsäädäntöä direktiivin edellyttämässä määräajassa. Suomessa tämä tarkoittaa, että kansallinen lainsäätäjä muokkaa olemassa olevia vahingonkorvaussäännöksiä direktiivin vaatimusten mukaisiksi.
Käytännön näkökulmasta yritysten on syytä aloittaa tekoälyjärjestelmiensä kartoitus ja riskiluokittelu viipymättä. Prosessiin liittyy tyypillisesti järjestelmien inventointi, riskiluokan arviointi, dokumentaatiovaatimusten selvittäminen ja mahdollisten organisatoristen muutosten, kuten ihmisvalvontaprosessien, käyttöönotto. Oikeudellinen arviointi on aina tapauskohtaista ja riippuu yrityksen toimialasta, käytetyistä järjestelmistä ja roolista tekoälyn arvoketjussa.
Meillä Hedman Partnersilla autamme yrityksiä navigoimaan tekoälysääntelyn kokonaisuudessa, hahmottamaan velvoitteet suhteessa omaan liiketoimintaan ja rakentamaan vaatimustenmukaisuuden käytännön toimenpiteiksi. Ensimmäinen yhteydenotto on maksuton.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.