AI Act ja tekoälylainsäädäntö

1. Johdanto: tekoälyn villistä lännestä sääntöjen aikaan

Tekoäly on edennyt nopeammin kuin moni organisaatio ehti rakentaa sille pelisääntöjä. Ensin tuli innostus. Chatbotit, kuvageneraattorit, automaattiset tiivistelmät, rekrytointityökalut, asiakaspalvelubotit ja päätöksenteon apurit ilmestyivät työpöydille vauhdilla.

Sitten tuli seuraava kysymys: Kuka vastaa, jos tekoäly tekee virheen?

Jos AI-järjestelmä syrjii rekrytoinnissa, antaa virheellisen luottopäätöksen, tunnistaa ihmisen väärin kamerakuvasta tai tuottaa harhaanjohtavaa sisältöä, kyse ei ole enää vain teknologiasta. Kyse on ihmisistä, oikeuksista, rahasta, turvallisuudesta ja luottamuksesta.

Tähän tarpeeseen syntyi Euroopan unionin tekoälyasetus, eli AI Act. Se on maailman ensimmäinen laaja, horisontaalinen tekoälylainsäädäntökehys. Sen tavoite on yksinkertainen mutta kunnianhimoinen: tekoälyä saa kehittää ja käyttää, mutta sen pitää tapahtua turvallisesti, läpinäkyvästi ja ihmisten perusoikeuksia kunnioittaen.

Euroopan komission AI Act -sivu kertoo, että AI Act tuli voimaan 1.8.2024 ja sitä sovelletaan vaiheittain: kiellettyjä käytäntöjä koskevat säännöt ja AI-lukutaito alkoivat 2.2.2025, yleiskäyttöisiä tekoälymalleja koskevat velvoitteet 2.8.2025 ja läpinäkyvyysvelvoitteet sekä viranomaisvalvonta 2.8.2026. Korkean riskin järjestelmiä koskevat velvoitteet siirtyivät myöhemmäksi asetuksella (EU) 2026/1744: liitteen III käyttötapaukset 2.12.2027 ja liitteen I tuotteet 2.8.2028.^[1]^[12]

AI Act ei siis ole enää kaukainen tulevaisuus. Se on jo käynnissä.

2. Mikä AI Act on?

AI Act eli EU:n tekoälyasetus on Euroopan unionin asetus, joka säätelee tekoälyjärjestelmien kehittämistä, markkinoille saattamista ja käyttöä EU-alueella.

Asetus ei koske vain yhtä toimialaa. Se koskee laajasti tekoälyn käyttöä eri sektoreilla: työelämässä, koulutuksessa, rahoituksessa, julkisissa palveluissa, terveydenhuollossa, turvallisuudessa, infrastruktuurissa ja kuluttajapalveluissa.

Tärkeää on ymmärtää, että AI Act ei kiellä tekoälyä. Se ei myöskään sano, että kaikki AI on vaarallista. Sen logiikka on riskiperusteinen:

pieni riski → vähän tai ei erityisiä velvoitteita
läpinäkyvyysriski → käyttäjälle pitää kertoa AI:n käytöstä
korkea riski → tiukat vaatimukset
hyväksymätön riski → käyttö kielletään

Tämä tekee AI Actista kiinnostavan. Se ei yritä säädellä tekoälyä yhtenä möykkynä, vaan kysyy: mihin tekoälyä käytetään ja millaisia seurauksia käytöllä voi olla?

Sama teknologia voi olla harmiton yhdessä tilanteessa ja erittäin riskialtis toisessa. Tekoäly, joka ehdottaa blogiotsikoita, ei ole sama asia kuin tekoäly, joka arvioi työnhakijan soveltuvuutta tai luottokelpoisuutta.

3. Miksi EU halusi oman tekoälyasetuksen?

Tekoälyn sääntelyssä on kaksi suurta tavoitetta, jotka voivat näyttää ristiriitaisilta mutta eivät välttämättä ole sitä.

Ensimmäinen on innovaatio. Eurooppa haluaa, että tekoälyä kehitetään ja käytetään. Yritykset tarvitsevat uusia työkaluja, julkinen sektori parempia palveluja ja kansalaiset hyödyllisiä sovelluksia.

Toinen on luottamus. Jos ihmiset eivät luota tekoälyyn, he eivät halua käyttää sitä. Jos yritykset eivät tiedä sääntöjä, ne voivat joko ottaa liian suuria riskejä tai jättää hyödylliset ratkaisut tekemättä.

Euroopan komission tekoälypolitiikan sivu kuvaa EU:n lähestymistapaa kahden sanan kautta: excellence and trust — huippuosaaminen ja luottamus. EU haluaa vahvistaa kilpailukykyä ja teknologista omavaraisuutta, mutta samalla varmistaa, että tekoäly on ihmiskeskeistä ja luotettavaa.^[2]

Tässä on AI Actin poliittinen ydin. Eurooppa yrittää rakentaa markkinaa, jossa tekoälyyn voi luottaa. Se ei ole vain juridinen tavoite. Se on myös liiketoiminnallinen tavoite. Luottamus voi olla kilpailuetu.

4. Riskiperusteinen ajattelu: AI Actin ydin

AI Actin tärkein ajatus on riskiperusteisuus. Kaikkia tekoälyjärjestelmiä ei kohdella samalla tavalla. Velvoitteet riippuvat siitä, kuinka suuri riski järjestelmästä voi aiheutua ihmisille, yhteiskunnalle tai perusoikeuksille.

Yksinkertaistettuna AI Act jakaa tekoälyn käytön neljään luokkaan:

4.1 Hyväksymätön riski

Tietyt tekoälykäytännöt kielletään kokonaan, koska niiden katsotaan olevan ristiriidassa EU:n arvojen ja perusoikeuksien kanssa.

4.2 Korkea riski

Tekoälyä saa käyttää, mutta vain tiukkojen vaatimusten mukaisesti. Tämä koskee esimerkiksi monia järjestelmiä, joita käytetään ihmisten mahdollisuuksiin, oikeuksiin tai turvallisuuteen vaikuttavissa tilanteissa.

4.3 Läpinäkyvyysriski tai rajallinen riski

Tietyissä tilanteissa ihmiselle pitää kertoa, että hän on tekemisissä tekoälyn kanssa tai että sisältö on tekoälyn tuottamaa.

4.4 Vähäinen riski

Suurin osa arjen AI-käytöstä jää kevyemmän sääntelyn piiriin. Esimerkiksi tekstin luonnostelu, ideointi tai sisäinen tuottavuuskäyttö ei automaattisesti ole korkean riskin toimintaa.

Tämä riskimalli on käytännöllinen, mutta se vaatii organisaatioilta uudenlaista ajattelua. Enää ei riitä kysyä: ”Käytämmekö tekoälyä?”

Pitää kysyä: ”Mihin käytämme tekoälyä, keihin se vaikuttaa ja mitä vahinkoa virhe voisi aiheuttaa?”

5. Kielletyt tekoälykäytännöt: mitä ei saa tehdä?

AI Actin tiukin osa koskee kiellettyjä tekoälykäytäntöjä. Nämä ovat käyttötapoja, joita EU pitää niin riskialttiina, että niitä ei sallita.

AI Actin artikla 5 kertoo, että kiellettyjä tekoälykäytäntöjä koskeva artikla tuli sovellettavaksi 2.2.2025.^[3]

Kiellettyihin käytäntöihin kuuluu esimerkiksi tekoälyn käyttö ihmisten manipuloimiseen tai hyväksikäyttämiseen tavalla, joka voi aiheuttaa merkittävää haittaa. Lisäksi sääntely kohdistuu muun muassa tiettyihin sosiaalisen pisteytyksen muotoihin ja muihin perusoikeuksien kannalta erityisen ongelmallisiin käyttötapoihin.

Käytännössä tämä tarkoittaa, että organisaation pitää pystyä tunnistamaan, jos AI-ratkaisu menee alueelle, jossa ihmisten käyttäytymistä ohjataan, arvioidaan tai rajoitetaan tavalla, joka voi olla epäoikeudenmukainen, syrjivä tai läpinäkymätön. Tämä ei koske vain suuria teknologiayhtiöitä — myös pienempi yritys voi joutua riskialueelle, jos se käyttää tekoälyä esimerkiksi työntekijöiden, asiakkaiden tai käyttäjien käyttäytymisen arviointiin tavalla, jolla on todellisia seurauksia.

Tässä kohtaa AI Act pakottaa kysymään epämukavan mutta tärkeän kysymyksen: Auttaako tekoäly ihmistä — vai alkaako se ohjata ihmistä tavalla, jota ihminen ei ymmärrä tai voi vastustaa?

6. Korkean riskin AI-järjestelmät: missä vastuu kiristyy?

Korkean riskin tekoälyjärjestelmät ovat AI Actin käytännön kannalta ehkä tärkein osa. Niitä ei kielletä, mutta niille asetetaan tiukat vaatimukset. Korkean riskin järjestelmiä voi syntyä esimerkiksi silloin, kun tekoälyä käytetään:

rekrytoinnissa
työntekijöiden arvioinnissa
koulutukseen pääsyssä tai opiskelijoiden arvioinnissa
luottokelpoisuuden arvioinnissa
kriittisessä infrastruktuurissa
lainvalvonnassa
maahanmuutto- ja rajavalvontatilanteissa
oikeudenkäytössä
biometrisessä tunnistamisessa tai luokittelussa
tietyissä terveydenhuollon tai turvallisuuden käyttötapauksissa

Euroopan komission AI Act -palvelupisteen UKK huomauttaa, että jos AI-agentti luokitellaan korkean riskin AI-järjestelmäksi, siihen sovelletaan lisävaatimuksia, joiden tarkoitus on varmistaa järjestelmän turvallisuus ja luotettavuus sen käyttötarkoituksessa. Näiden vaatimusten soveltaminen alkaa liitteen III käyttötapauksissa 2.12.2027 ja liitteen I tuotteissa 2.8.2028; asetus (EU) 2026/1744 pidensi alkuperäistä 2.8.2026:n määräaikaa. Läpinäkyvyyssäännöt sen sijaan voivat tulla sovellettaviksi jo 2.8.2026 alkaen, jos agentti on tarkoitettu vuorovaikutukseen luonnollisten henkilöiden kanssa tai sisällön tuottamiseen.^[4]^[12]^[1]

Tässä on olennainen viesti yrityksille: Korkea riski ei määräydy sen mukaan, onko teknologia hienoa tai monimutkaista. Se määräytyy käyttötarkoituksen ja vaikutusten mukaan.

Yksinkertainenkin AI-työkalu voi olla korkean riskin järjestelmä, jos sitä käytetään ihmisen oikeuksiin, mahdollisuuksiin tai turvallisuuteen vaikuttavassa tilanteessa.

7. Mitä korkean riskin järjestelmiltä vaaditaan?

7.1 Riskienhallinta

Organisaation pitää tunnistaa, arvioida ja hallita järjestelmän riskejä koko elinkaaren ajan. Tämä ei tarkoita vain alkuvaiheen riskilistaa — se tarkoittaa jatkuvaa prosessia. Mitä voi mennä pieleen? Keihin se vaikuttaa? Miten riski havaitaan? Mitä tehdään, jos järjestelmä toimii väärin?

7.2 Datahallinta ja datan laatu

AI-järjestelmä on niin hyvä kuin sen data. Korkean riskin järjestelmissä datan pitää olla tarkoitukseen sopivaa, laadukasta ja hallittua. Erityisesti pitää kiinnittää huomiota vinoumiin, puutteisiin ja siihen, voiko data johtaa syrjiviin lopputuloksiin.

7.3 Tekninen dokumentaatio

Järjestelmästä pitää olla riittävä dokumentaatio: mitä järjestelmä tekee, mihin sitä käytetään, millä datalla se on kehitetty, mitkä ovat sen rajoitukset, miten sitä valvotaan. Dokumentaatio ei ole vain viranomaisia varten — se on myös organisaation oma turvaverkko.

7.4 Lokitus

Korkean riskin järjestelmien pitää tuottaa lokitietoja, jotta käyttöä ja toimintaa voidaan jäljittää. Lokit ovat tärkeitä, jos myöhemmin pitää selvittää, miksi järjestelmä teki tietyn suosituksen tai päätöksen.

EUR-Lexin AI Act -tekstissä todetaan muun muassa, että korkean riskin AI-järjestelmien tarjoajien on pidettävä automaattisesti syntyneitä lokitietoja hallussaan tarkoituksenmukaisen ajan, vähintään kuusi kuukautta, ellei muu EU- tai kansallinen lainsäädäntö toisin määrää.^[5]

7.5 Ihmisen valvonta

Korkean riskin AI-järjestelmä ei saa olla musta laatikko, joka toimii ilman ymmärrettävää ihmiskontrollia.

AI Actin artikla 14 sanoo, että ihmisen valvonnan tavoitteena on estää tai minimoida terveyteen, turvallisuuteen tai perusoikeuksiin kohdistuvia riskejä, joita korkean riskin AI-järjestelmän käyttö voi aiheuttaa.^[6]

”Ihminen valvoo” ei saa tarkoittaa sitä, että joku klikkaa hyväksy-painiketta ymmärtämättä, mitä järjestelmä teki. Valvovalla ihmisellä pitää olla osaamista, valtaa ja todellinen mahdollisuus puuttua tilanteeseen.

7.6 Tarkkuus, robustisuus ja kyberturvallisuus

Järjestelmän pitää toimia luotettavasti myös käytännön olosuhteissa. Sen pitää kestää virheitä, poikkeamia ja väärinkäyttöyrityksiä paremmin kuin tavallisen kokeilutyökalun.

Tässä AI Act muistuttaa yrityksiä yhdestä perusasiasta: Jos tekoäly vaikuttaa ihmisten elämään, sitä ei voi kohdella beta-versiona.

8. Läpinäkyvyysvelvoitteet: milloin ihmiselle pitää kertoa AI:sta?

Kaikki AI Actin velvoitteet eivät liity korkean riskin järjestelmiin. Monissa tilanteissa keskeinen vaatimus on läpinäkyvyys. Ihmisen pitää tietää, jos hän on vuorovaikutuksessa tekoälyn kanssa tai jos sisältö on tekoälyn tuottamaa tietyissä sääntelyn tarkoittamissa tilanteissa.

Euroopan komission läpinäkyvyysvelvoitteiden UKK kertoo, että AI Actin artikla 50 asettaa läpinäkyvyysvelvoitteita tiettyjen AI-järjestelmien tarjoajille ja käyttöönottajille, mukaan lukien generatiiviset ja vuorovaikutteiset AI-järjestelmät sekä deepfake-sisällöt. Velvoitteiden tarkoitus on vähentää harhaanjohtamisen, impersonoinnin ja disinformaation riskejä sekä vahvistaa luottamusta informaatioympäristöön.^[7]

Käytännössä tämä voi tarkoittaa esimerkiksi:

chatbotin pitää kertoa olevansa AI, jos se ei ole ilmeistä
tekoälyllä tuotettu tai muokattu sisältö voi vaatia merkintöjä
deepfake-sisällön kohdalla läpinäkyvyys on erityisen tärkeää
käyttäjän pitää ymmärtää, milloin hän on tekemisissä koneen eikä ihmisen kanssa

Tämä ei ole vain juridinen yksityiskohta. Se on luottamuskysymys. Jos asiakas huomaa jälkikäteen puhuneensa tekoälyn kanssa, vaikka luuli puhuvansa ihmiselle, luottamus voi särkyä nopeasti.

9. Yleiskäyttöiset tekoälymallit (GPAI): miksi ChatGPT-tyyppiset mallit ovat oma kysymyksensä?

AI Actissa on oma sääntelykerroksensa yleiskäyttöisille tekoälymalleille. Näitä kutsutaan usein GPAI-malleiksi, englanniksi general-purpose AI models.

Kyse on malleista, joita voidaan käyttää moniin eri tarkoituksiin. Ne eivät ole vain yhtä sovellusta varten rakennettuja järjestelmiä. Sama yleiskäyttöinen malli voi päätyä asiakaspalveluun, koodin kirjoittamiseen, sisällöntuotantoon, analytiikkaan, opetukseen, päätöksenteon tueksi tai korkean riskin sovelluksen osaksi.

AI Actin aikataulussa yleiskäyttöisiä tekoälymalleja koskevat velvoitteet alkoivat soveltua 2.8.2025.^[1]

Yrityksen näkökulmasta tämä tarkoittaa kahta asiaa. Ensinnäkin mallin tarjoajilla on omia velvoitteitaan. Toiseksi mallia käyttävä organisaatio ei voi ajatella, että vastuu katoaa, koska ”käytämme vain valmista työkalua”.

Jos yleiskäyttöinen malli liitetään osaksi rekrytointia, luottopäätöksiä, työntekijäarviointia tai muuta korkean riskin käyttötapaa, kokonaisuus pitää arvioida käyttötarkoituksen perusteella. Teknologia voi olla sama. Riskitaso muuttuu käyttökohteen mukaan.

10. AI Actin aikataulu: mikä on jo voimassa ja mikä tulee seuraavaksi?

1.8.2024 — AI Act tuli voimaan

Asetus tuli voimaan 1.8.2024. Tästä alkoi siirtymäaika.

2.2.2025 — kielletyt käytännöt ja AI-lukutaito

Kiellettyjä tekoälykäytäntöjä koskevat säännöt sekä AI-lukutaitoa koskevat velvoitteet alkoivat soveltua.^[1]

2.8.2025 — yleiskäyttöiset AI-mallit

GPAI-malleja koskevat velvoitteet alkoivat soveltua.

2.8.2026 — läpinäkyvyys ja valvonta

Läpinäkyvyysvelvoitteet tulevat sovellettavaksi. Tästä päivästä alkaen AI-toimisto ja jäsenvaltioiden viranomaiset vastaavat asetuksen täytäntöönpanosta, valvonnasta ja sen noudattamisen varmistamisesta.^[1]

Joulukuu 2026 — uusi kielletty käytäntö

Digital Omnibus -asetuksella lisätty yhdeksäs kielletty käytäntö tulee voimaan.^[1]

2.12.2027 — korkean riskin käyttötapaukset (liite III)

Herkkien alojen korkean riskin käyttötapaukset — muun muassa rekrytointi, koulutus, luottopäätökset ja biometriikka — tulevat sovellettavaksi. Alkuperäinen määräpäivä oli 2.8.2026, ja siirtymäaikaa pidennettiin asetuksella (EU) 2026/1744.^[1]^[12]

2.8.2028 — korkean riskin tuotteet (liite I)

Säänneltyihin tuotteisiin sisältyvät korkean riskin AI-järjestelmät saivat pisimmän siirtymäajan. Euroopan komission standardointisivu kuvaa standardointiin ja soveltamisaikatauluihin liittyviä jatkovaiheita korkean riskin järjestelmien osalta.^[1]^[12]^[8]

Aikataulu muuttui kesken soveltamisen. Euroopan parlamentti ja neuvosto antoivat 8.7.2026 asetuksen (EU) 2026/1744, joka muuttaa AI Actia ja siirtää korkean riskin velvoitteiden soveltamista. Jos olet lukenut AI Actin aikataulusta aiemmin, korkean riskin päivämäärät ovat todennäköisesti vanhentuneet. Muutos näkyy myös komission Navigating the AI Act -UKK:ssa.^[9]^[12]

Yrityksen ei silti kannata jäädä odottamaan. Jos organisaatiossa on mahdollisesti korkean riskin AI-käyttöä, valmistelu kannattaa aloittaa nyt — pidennetty siirtymäaika on lisäaikaa valmistautua, ei syy jättää asiaa.

11. AI-lukutaito: pieni pykälä, iso muutos

AI-lukutaito on yksi AI Actin kiinnostavimmista kohdista, koska se näyttää ensi silmäyksellä pehmeältä velvoitteelta. Todellisuudessa se voi muuttaa organisaatioiden arkea paljon.

AI-lukutaito tarkoittaa, että tekoälyjärjestelmien tarjoajien ja käyttöönottajien pitää huolehtia siitä, että tekoälyä käyttävillä ihmisillä on riittävä osaaminen suhteessa käyttökontekstiin. Tämä ei tarkoita, että kaikkien pitää osata koodata. Se tarkoittaa, että ihmisten pitää ymmärtää esimerkiksi mihin AI sopii, missä sen rajat ovat, mitä riskejä käyttöön liittyy, miten vastauksia arvioidaan, milloin ihmisen pitää puuttua, mitä dataa AI:lle saa antaa, milloin lähteet pitää tarkistaa ja mitä organisaation omat säännöt sanovat.

AI Actin artikla 4 koskee AI-lukutaitoa ja on ollut sovellettavana 2.2.2025 alkaen. Se velvoittaa tarjoajia ja käyttöönottajia toteuttamaan toimenpiteitä riittävän AI-lukutaidon varmistamiseksi, huomioiden muun muassa teknisen osaamisen, kokemuksen, koulutuksen ja käyttökontekstin.

Tämä on iso viesti johdolle. AI-koulutus ei ole enää vain ”kiva lisä”. Se on osa vastuullista tekoälyn käyttöönottoa.

12. Mitä AI Act tarkoittaa yrityksille käytännössä?

Yritykselle AI Act ei tarkoita ensisijaisesti sitä, että lakiosasto lukee asetuksen ja tekee muistion. Se tarkoittaa tekoälyn käytön kartoittamista.

Ensimmäinen tehtävä on selvittää: Missä me käytämme tekoälyä jo nyt?

Monessa organisaatiossa vastaus yllättää. AI:ta voi olla HR-työkaluissa, markkinointialustoissa, asiakaspalvelussa, CRM-järjestelmissä, analytiikassa, dokumenttien käsittelyssä, tietoturvatyökaluissa, tuotantoprosesseissa, rekrytointijärjestelmissä, työntekijöiden suorituskyvyn arvioinnissa, sisällöntuotannossa ja sisäisissä chatbot-ratkaisuissa.

Toinen tehtävä on luokitella käyttötapaukset riskin mukaan. Kolmas tehtävä on rakentaa hallintamalli. Käytännössä tämä voi tarkoittaa AI-rekisteriä, riskiluokittelua, vastuuhenkilöitä, hyväksymisprosesseja, tietosuojan ja tietoturvan arviointia, hankintakriteerejä, henkilöstön koulutusta, ohjeita generatiivisen AI:n käyttöön, korkean riskin järjestelmien dokumentointia, lokitusta ja ihmisen valvonnan määrittelyä.

Euroopan komission AI Pact -sivu kannustaa organisaatioita valmistautumaan AI Actin toimeenpanoon etukäteen. AI Pact on vapaaehtoinen aloite, jonka tarkoitus on tukea organisaatioita suunnittelemaan AI Actin vaatimusten käyttöönottoa.^[10]

Tässä on hyvä käytännön periaate: Älä aloita pykälistä. Aloita käyttötapauksista. Kun tiedät, missä AI:ta käytetään, voit arvioida, mitä sääntöjä sovelletaan.

13. Startupit ja AI Act: hidaste vai kilpailuetu?

Startup-maailmassa sääntely herättää usein kaksijakoisia tunteita. Toisaalta sääntely voi tuntua hidasteelta. Pienellä tiimillä ei ole rajattomasti juristeja, compliance-asiantuntijoita tai dokumentointiresursseja. Toisaalta AI Act voi olla myös kilpailuetu.

Jos startup rakentaa alusta asti tekoälytuotteen, joka on läpinäkyvä, dokumentoitu, turvallinen ja riskit huomioiva, se voi olla vahvemmassa asemassa erityisesti yritysmyynnissä. B2B-asiakkaat kysyvät jatkossa yhä useammin: Mihin dataan järjestelmä perustuu? Miten riskejä hallitaan? Voiko järjestelmä syrjiä? Miten ihmisen valvonta toimii? Onko järjestelmä korkean riskin käyttötapaus? Miten lokitus ja dokumentaatio on hoidettu? Miten AI Act on huomioitu?

Startupille tämä voi kuulostaa raskaalta. Mutta se voi myös erottaa vakavasti otettavan toimijan kokeiluprojektista.

Erityisesti jos startup toimii HR:n, koulutuksen, finanssin, terveyden, turvallisuuden tai julkisen sektorin alueella, AI Actia ei voi jättää myöhemmäksi.

Hyvä nyrkkisääntö startupille: Jos tuotteesi vaikuttaa ihmisen mahdollisuuksiin, oikeuksiin tai turvallisuuteen, rakenna compliance mukaan jo tuotekehityksen alkuvaiheessa. Se on halvempaa kuin korjata kaikki jälkikäteen.

14. Käytännön tarkistuslista organisaatiolle

14.1 Tee AI-inventaario

Listaa kaikki AI-järjestelmät ja AI:ta hyödyntävät työkalut. Kysy: Missä AI:ta käytetään? Kuka sitä käyttää? Mihin tarkoitukseen? Onko kyse sisäisestä vai ulkoisesta käytöstä? Vaikuttaako se asiakkaisiin, työntekijöihin tai kansalaisiin?

14.2 Luokittele käyttötapaukset riskin mukaan

Arvioi, kuuluuko käyttö kiellettyihin käytäntöihin, korkean riskin järjestelmiin, läpinäkyvyysvelvoitteiden piiriin vai vähäisen riskin käyttöön.

14.3 Tarkista erityisesti korkean riskin alueet

Jos käytätte AI:ta rekrytoinnissa, työntekijöiden arvioinnissa, koulutusvalinnoissa, opiskelijoiden arvioinnissa, luottopäätöksissä, vakuutus- tai rahoituspäätöksissä, biometrisessä tunnistamisessa, kriittisessä infrastruktuurissa, turvallisuudessa, terveydenhuollossa tai viranomaispäätösten tukena, selvittäkää asia erityisen huolellisesti.

14.4 Määritä vastuut

Kuka omistaa AI-riskit? Tarvitaan ainakin liiketoimintavastuu, tekninen vastuu, tietosuojavastuu, tietoturvavastuu, juridinen arviointi, käyttäjäkoulutus ja johdon seuranta.

14.5 Rakenna dokumentointi

Korkean riskin järjestelmien kohdalla dokumentointi ei ole vapaaehtoinen lisä. Dokumentoi: käyttötarkoitus, datalähteet, riskit, testaus, ihmisen valvonta, lokitus, toimittajat, päivitykset, poikkeamat, käyttäjäohjeet.

14.6 Kouluta henkilöstö

AI-lukutaito pitää suhteuttaa tehtävään. Markkinointitiimi tarvitsee eri koulutuksen kuin HR, juridiikka, IT tai asiakaspalvelu.

14.7 Päivitä hankintakriteerit

Kun ostatte AI-työkalun, kysykää toimittajalta: kuuluuko järjestelmä AI Actin piiriin? Mikä on sen käyttötarkoitus? Onko tehty riskinarviointi? Mitä dokumentaatiota on saatavilla? Miten dataa käsitellään? Miten lokitus toimii? Miten ihmisen valvonta on suunniteltu? Miten järjestelmä voidaan auditoida?

14.8 Luo hyväksymisprosessi korkean riskin käytölle

Kenenkään ei pitäisi ottaa korkean riskin AI-järjestelmää käyttöön yksin kokeiluna. Tarvitaan selkeä portti ennen käyttöönottoa.

14.9 Seuraa sääntelyn tarkentumista

AI Actin käytännön soveltaminen tarkentuu ohjeiden, standardien ja viranomaistulkintojen kautta. Euroopan komission standardointisivu kertoo, että harmonisoituja standardeja kehitetään muun muassa korkean riskin AI-järjestelmien vaatimuksiin. Kun standardit valmistuvat ja ne julkaistaan EU:n virallisessa lehdessä, ne voivat antaa vaatimustenmukaisuuden olettaman.^[11]

Tämä tarkoittaa käytännössä: AI Act ei ole vain yksi laki. Se on kehittyvä sääntely- ja standardointiekosysteemi.

15. Tyypilliset väärinkäsitykset AI Actista

Väärinkäsitys 1: ”AI Act koskee vain isoja teknologiayhtiöitä”

Ei koske. Se voi koskea myös tavallisia yrityksiä, jos ne käyttävät AI-järjestelmiä sääntelyn tarkoittamissa käyttötarkoituksissa.

Väärinkäsitys 2: ”Jos käytämme valmista työkalua, vastuu on toimittajalla”

Ei välttämättä. Toimittajalla voi olla velvoitteita, mutta myös käyttöönottajalla voi olla omia velvoitteitaan. Erityisesti käyttötarkoitus ratkaisee paljon.

Väärinkäsitys 3: ”Generatiivinen AI on aina korkean riskin AI”

Ei ole. Chatbotin käyttö ideointiin ei automaattisesti ole korkean riskin toimintaa. Mutta sama teknologia voi muuttua korkean riskin osaksi, jos sitä käytetään esimerkiksi rekrytoinnin arviointiin.

Väärinkäsitys 4: ”AI-lukutaito tarkoittaa teknistä koulutusta”

Ei tarkoita vain sitä. AI-lukutaito on myös kykyä arvioida riskejä, ymmärtää rajoja, tarkistaa tietoa ja käyttää tekoälyä vastuullisesti.

Väärinkäsitys 5: ”Sääntely tappaa innovaation”

Huono sääntely voi hidastaa. Mutta selkeät pelisäännöt voivat myös lisätä luottamusta ja nopeuttaa käyttöönottoa. Yritysasiakkaat eivät halua ostaa mustaa laatikkoa, joka voi aiheuttaa juridisia tai mainehaittoja.

Väärinkäsitys 6: ”Tämä voidaan hoitaa myöhemmin”

Vaarallinen ajatus. Jos AI on jo osa rekrytointia, työntekijäarviointia, asiakasluokitusta tai päätöksenteon tukea, riskikartoitus kannattaa tehdä heti.

16. Johtopäätökset: vastuullinen AI ei ole paperityötä, vaan luottamuksen rakentamista

AI Act muuttaa tekoälyn käyttöönottoa Euroopassa. Se ei tarkoita, että tekoälyn kehittäminen loppuu. Se tarkoittaa, että tekoälyä ei voi enää ottaa käyttöön pelkän innostuksen varassa, jos sen vaikutukset ihmisiin ovat merkittäviä.

Tärkeimmät opit ovat nämä:

AI Act on jo voimassa. Asetus tuli voimaan 1.8.2024. Osa velvoitteista, kuten kielletyt käytännöt ja AI-lukutaito, on ollut sovellettavana 2.2.2025 alkaen. GPAI-malleja koskevat velvoitteet alkoivat 2.8.2025, ja läpinäkyvyysvelvoitteet sekä viranomaisvalvonta 2.8.2026. Korkean riskin velvoitteet alkavat 2.12.2027 (liite III) ja 2.8.2028 (liite I).
Kaikki AI ei ole saman riskin AI:ta. Riskiperusteisuus on koko asetuksen ydin.
Korkean riskin käyttö pitää tunnistaa ajoissa. Rekrytointi, koulutus, työntekijöiden arviointi, luottopäätökset, biometria ja kriittinen infrastruktuuri ovat alueita, joissa organisaation pitää olla erityisen tarkkana.
Dokumentointi, riskienhallinta ja ihmisen valvonta eivät ole byrokratiaa. Ne ovat keinoja varmistaa, että tekoäly toimii oikein, virheet voidaan jäljittää ja ihmisellä säilyy todellinen kontrolli.
AI-lukutaito on organisaation perustaito. Tekoälyä käyttävien ihmisten pitää ymmärtää, mitä he tekevät.
Startupille vastuullisuus voi olla kilpailuetu.
Nyt kannattaa tehdä inventaario. Missä käytämme AI:ta? Mihin se vaikuttaa? Kuka vastaa? Mitä pitää tarkistaa ennen elokuuta 2026?

Käytännön tiivistys

Jos organisaatiosi käyttää tekoälyä rekrytoinnissa, koulutuksessa, työntekijöiden arvioinnissa, luottopäätöksissä, biometrisessä tunnistamisessa tai kriittisessä infrastruktuurissa, selvitä ajoissa, voiko kyse olla korkean riskin AI-järjestelmästä.

Korkean riskin järjestelmiltä vaaditaan muun muassa: riskienhallintaa, dokumentointia, lokitusta, laadukasta datahallintaa, ihmisen valvontaa, läpinäkyvyyttä ja jatkuvaa seurantaa.

AI Actin iso viesti on lopulta tämä: Tekoälyä saa käyttää rohkeasti, mutta ei huolimattomasti.

Euroopan tekoälyaika ei rakennu vain tehokkuudelle. Se rakentuu luottamukselle.