EU AI Act lyhyesti
EU:n tekoälyasetus (asetus (EU) 2024/1689) on maailman ensimmäinen kattava tekoälyä koskeva laki. Se ei säätele tekoälyä yhtenäisesti, vaan sen käytön riskin mukaan, ja koskee lähes jokaista yritystä, joka hyödyntää tekoälyä.
Mistä EU AI Actissa on kyse?
EU AI Act tuli voimaan 1. elokuuta 2024 ja sitä sovelletaan EU-asetuksena suoraan kaikissa jäsenvaltioissa, ilman kansallista täytäntöönpanolakia. Tavoitteena on luotettava, turvallinen ja perusoikeuksia kunnioittava tekoälyn käyttö eurooppalaisilla sisämarkkinoilla. Asetus noudattaa riskiperusteista lähestymistapaa: mitä suurempi riski tekoälysovelluksella on ihmisille ja yhteiskunnalle, sitä tiukemmat vaatimukset.
Tärkeää: EU AI Actilla on ekstraterritoriaalinen vaikutus. Myös EU:n ulkopuoliset tarjoajat kuuluvat sen piiriin heti, kun heidän tekoälyjärjestelmänsä tulevat EU:n markkinoille tai niiden tuloksia hyödynnetään EU:ssa. Velvoitteet eivät tule voimaan kerralla vaan vaiheittain, täydellinen aikataulu löytyy määräaikasivultamme.
Riskiperusteinen lähestymistapa: neljä riskiluokkaa
EU AI Actin ydin on tekoälyjärjestelmien jakaminen neljään riskiluokkaan. Luokka määrittää konkreettiset velvoitteet:
Ei-hyväksyttävä riski
Kielletyt käytännöt, esim. viranomaisten sosiaalinen pisteytys tai manipuloivat järjestelmät. Kielletty 2. helmikuuta 2025 alkaen.
Suuri riski
Tekoäly herkillä aloilla (esim. rekrytointi, luotonanto, kriittinen infrastruktuuri). Tiukat vaatimukset riskinhallinnalle, tiedon laadulle ja inhimilliselle valvonnalle.
Rajoitettu riski
Avoimuusvelvoitteet, käyttäjän on esim. tiedettävä keskustelevansa chatbotin kanssa tai sisällön olevan tekoälyn tuottamaa.
Minimaalinen riski
Suurin osa nykyisistä sovelluksista (esim. roskapostisuodattimet, tekoäly videopeleissä). Ei erityisvelvoitteita.
Useimmat yritykset käyttävät tekoälyä minimaalisen tai rajoitetun riskin alueella. Siitä huolimatta yksi perusvelvoite koskee kaikkia riskiluokasta riippumatta, henkilöstön tekoälyosaaminen.
GPAI: yleiskäyttöiset tekoälymallit
Erityisasemassa ovat GPAI-mallit (General Purpose AI), suuret, monipuolisesti hyödynnettävät tekoälymallit, jotka löytyvät modernien chatbottien sekä teksti- ja kuvageneraattoreiden taustalta. Niitä koskevat omat velvoitteet 2. elokuuta 2025 alkaen: mm. tekninen dokumentaatio, avoimuus alempien tasojen tarjoajille ja tekijänoikeuden noudattaminen. Erityisen suorituskykyisille malleille, joihin liittyy mahdollisia systeemisiä riskejä, tulee lisävaatimuksia.
Ketä koskee? Tarjoajat, käyttöönottajat ja muut
EU AI Act erottaa useita rooleja — joilla on erilaiset, eriasteisesti velvoittavat vastuut:
- Tarjoajat (Provider): kehittävät tekoälyjärjestelmiä tai saattavat niitä markkinoille omalla nimellään. Heillä on laajimmat velvoitteet.
- Käyttöönottajat (Deployer): hyödyntävät tekoälyä ammatillisessa toiminnassaan, tämä koskee useimpia yrityksiä.
- Maahantuojat ja jakelijat: tuovat tai levittävät tekoälyjärjestelmiä EU:n markkinoilla ja niiden on varmistettava järjestelmien vaatimustenmukaisuus.
Ratkaisevaa: myös pelkkä tekoälyn käyttäjä — siis käyttöönottajan roolissa toimiva — on velvoitettu, erityisesti henkilöstön tekoälyosaamisen suhteen. Harhaluulo "emme kehitä tekoälyä, joten tämä ei koske meitä" on yksi yleisimmistä virheistä.
Mitkä velvoitteet pätevät ja mistä alkaen?
EU AI Act tulee voimaan vaiheittain. Tärkeimmät päivämäärät lyhyesti:
- 1. elokuuta 2024: Asetus tuli voimaan.
- 2. helmikuuta 2025: Kielletyt käytännöt (5 artikla) ja tekoälyosaamisvelvoite (4 artikla) tulevat sovellettaviksi.
- 2. elokuuta 2025: GPAI-malleja koskevat velvoitteet, hallintarakenne ja seuraamusmääräykset astuvat voimaan.
- 2. elokuuta 2026: Suurin osa korkean riskin tekoälyjärjestelmiä koskevista säännöksistä tulee voimaan.
- 2. elokuuta 2027: Viimeiset siirtymäajat tietyille korkean riskin järjestelmille päättyvät.
Kaikki yksityiskohdat ja poikkeukset selitetään määräaikasivulla.
EU AI Act ja GDPR: ei joko-tai
EU AI Act ei korvaa tietosuoja-asetusta, molemmat pätevät rinnakkain. Siinä missä GDPR säätelee henkilötietojen käsittelyä, EU AI Act käsittelee tekoälyjärjestelmää sinänsä ja sen riskejä. Kun tekoälysovellus käsittelee henkilötietoja, yritysten on noudatettava molempia säädöksiä samanaikaisesti. Vankka tekoälyosaaminen auttaa työntekijöitä tunnistamaan juuri nämä rajapinnat arkipäivässä.
Seuraamukset rikkomuksista
EU AI Actin rikkomisesta voi seurata tuntuvia sakkoja. Asetus porrastaa ne vakavuuden mukaan:
- Jopa 35 milj. € tai 7 % maailmanlaajuisesta vuotuisesta liikevaihdosta, yksinomaan 5 artiklan kiellettyjen käytäntöjen rikkomisista.
- Jopa 15 milj. € tai 3 %, muiden velvoitteiden rikkomisesta, ml. käyttöönottajien velvoitteet (mukaan lukien 4 artiklan tekoälyosaamisvelvoite).
- Jopa 7,5 milj. € tai 1,5 %, virheellisistä tai harhaanjohtavista tiedoista viranomaisille.
Pienille ja keskisuurille yrityksille sekä startupeille sovelletaan kummassakin tapauksessa pienempää kahdesta summasta enimmäisrajana. Lisää sivulla Sakot.
Mitä tämä käytännössä tarkoittaa yrityksellenne?
- Hanki yleiskuva siitä, missä yrityksessäsi käytetään tekoälyä.
- Varmista, että työntekijöillä on riittävä tekoälyosaaminen 4 artiklan mukaisesti.
- Suorita EU AI Act -koulutus ja dokumentoi koulutukset todennettavasti, todisteeksi viranomaisille.
- Huomioi EU AI Actin määräajat, erityisesti 2. elokuuta 2026, jolloin suurin osa korkean riskin tekoälyjärjestelmiä koskevista säännöksistä tulee voimaan.
Usein kysyttyjä kysymyksiä EU AI Actista
Koskeeko EU AI Act myös pieniä yrityksiä?
Kyllä. 4 artiklan tekoälyosaamisvelvoite koskee yrityksen koosta riippumatta kaikkia, jotka käyttävät tekoälyä ammatillisesti. Sakkojen osalta pk-yrityksiä kuitenkin kohdellaan lievemmin.
Täytyykö tekoälyjärjestelmät rekisteröidä jonnekin?
Rekisteröintivelvoite koskee ennen kaikkea tiettyjä korkean riskin järjestelmiä. Jos käytät tekoälyä vain minimaalisen tai rajoitetun riskin alueella, etusijalla on henkilöstön tekoälyosaaminen. Lisää vastauksia löytyy FAQ-sivultamme.
Kouluta tiimisi nyt Katso sakot
Huom: tämä yleiskatsaus on informatiivinen eikä korvaa oikeudellista neuvontaa.