AI Act uu­teen vai­hee­seen – mi­tä EU:n te­ko­ä­ly­ase­tus tar­koit­taa suo­ma­lai­sil­le yri­tyk­sil­le?

EU tekoälyasetus (AI Act) siirtyi elokuussa jälleen uuteen soveltamisvaiheeseen. Vaikka julkisuudessa huomio on usein kohdistunut suuriin tekoälymallien kehittäjiin, käytännössä sääntely koskettaa lähes jokaista suomalaista yritystä, joka käyttää tekoälyä liiketoiminnassaan. Kyse ei ole enää tulevaisuuden lainsäädännöstä, vaan voimassa olevasta velvollisuudesta tunnistaa, hallita ja dokumentoida tekoälyn käyttöä.

AI Actin uudet velvoitteet ovat nyt voimassa

Yritysten tulee nyt huomioida käytännön arjessaan, että AI Actin läpinäkyvyyttä koskevat velvoitteet tulivat voimaan 2.8.2026. Asetuksen mukaisesti tietyissä tilanteissa yritysten on kerrottava selkeästi, milloin henkilö asioi tekoälyjärjestelmän kanssa eikä ihmisen kanssa, eli tämä ilmoitusvelvollisuus koskee esimerkiksi verkkosivustojen tekoäly-chattibotteja. Lisäksi tekoälyn tuottama tai muokkaama sisältö (esimerkiksi markkinoinnissa käytettävät kuvat) on merkittävä asianmukaisesti.

Monessa yrityksessä tekoäly on tullut osaksi arkea lähes huomaamatta. Myynti hyödyntää tekoälyä tarjousluonnosten laatimisessa, markkinointi tuottaa kuvia ja tekstejä generatiivisilla työkaluilla, ohjelmistokehittäjät käyttävät tekoälyavusteista koodausta ja henkilöstöhallinto hyödyntää tekoälyä rekrytoinnissa tai hakemusten käsittelyssä. Valmistavassa teollisuudessa tekoälyä käytetään laadunvalvonnassa, ennakoivassa kunnossapidossa ja tuotannon optimoinnissa. Asiantuntijayrityksissä sillä laaditaan muistioita, analysoidaan aineistoja ja etsitään tietoa.

Ensimmäinen askel on tekoälyn käytön kartoittaminen

Yhteistä näille tilanteille on se, ettei tekoälyn käyttöä ole aina suunniteltu organisaatiotasolla. Ratkaisuja on otettu käyttöön yksittäisissä tiimeissä tai työntekijöiden omasta aloitteesta ilman yhteisiä pelisääntöjä. Juuri tähän sekalaiseen toimintaan yritysten kannattaa puuttua oma-aloitteisesti ennen kuin siitä syntyy oikeudellisia tai liiketoiminnallisia riskejä. Yrityksen on tiedettävä, missä tekoälyä käytetään, mitä tietoja järjestelmiin syötetään, kuka vastaa niiden käytöstä ja millaisia oikeudellisia riskejä niiden käyttöön liittyy.

Monelle yritykselle ensimmäinen askel on nykytilan kartoittaminen. Käytössä olevat tekoälypalvelut kannattaa tunnistaa, niiden käyttötarkoitukset dokumentoida ja arvioida, käsitelläänkö niiden avulla omaa tai muiden henkilötietoja, liikesalaisuuksia tai muuta luottamuksellista aineistoa. Samalla on syytä tarkistaa, mitä palveluntarjoajien käyttöehdot sallivat ja miten tekoälyn käyttö on huomioitu yrityksen omissa asiakas-, alihankinta- ja tietojenkäsittelysopimuksissa. Usein havaitaan, ettei tekoälyä ole huomioitu sopimuksissa lainkaan, vaikka sitä käytetään päivittäin.

AI Act edellyttää osaamista ja selkeitä toimintamalleja

Pelkkä tekninen käyttöönotto ei enää riitä. AI Act edellyttää myös, että organisaatiolla on riittävä tekoälyosaaminen. Käytännössä tämä tarkoittaa henkilöstön kouluttamista ja selkeiden sisäisten ohjeiden laatimista. Työntekijöiden on ymmärrettävä esimerkiksi, millaista aineistoa tekoälypalveluihin saadaan syöttää, milloin tekoälyn tuottamaan sisältöön voidaan luottaa ja milloin lopputulos edellyttää ihmisen tekemää arviointia. Vastuu ei siirry tekoälylle, vaan säilyy aina yrityksellä, viime kädessä sen johdolla ja hallituksella.

AI Act on osa yrityksen riskienhallintaa

Yrityksen johdon näkökulmasta AI Act on ennen kaikkea uusi compliance-kysymys. Samalla tavoin kuin GDPR, tietoturva tai kilpailuoikeudellinen sääntely, myös tekoälyn käyttö kuuluu jatkossa yrityksen normaaliin riskienhallintaan. Hallituksen ja johdon on voitava osoittaa, että tekoälyn käyttö tunnetaan, sitä koskevat vastuut on määritelty ja riskejä seurataan järjestelmällisesti. Tämä on yhä useammin myös asiakkaiden, rahoittajien ja yhteistyökumppaneiden odotus.

AI Actiin liittyvien velvollisuuksien laiminlyönti voi johtaa valvontaviranomaisen toimenpiteisiin ja vakavimmissa tapauksissa huomattaviin hallinnollisiin seuraamusmaksuihin. Seuraamusmaksut itsessään eivät kuitenkaan ole useimmille yrityksille merkittävin riski. Käytännössä huomattavasti yleisempiä ovat sopimusvastuut, tietosuojarikkomukset, immateriaalioikeuksia koskevat riidat, liikesalaisuuksien paljastuminen sekä asiakkaiden luottamuksen menetys. Siksi tekoälyn käyttöä ei kannata tarkastella vain tylsänä pakollisena lakisääteisenä velvoitteena, vaan osana hyvää yritysjohtamista.

Tekoälyn hallittu käyttö vahvistaa myös kilpailukykyä

Yrityksille tärkein viesti on yksinkertainen: tekoälyn käyttöä ei tarvitse pelätä, mutta sitä ei voi enää jättää sattuman varaan. Organisaatio, joka tunnistaa käyttämänsä tekoälyratkaisut, kouluttaa henkilöstönsä, päivittää sopimuksensa ja rakentaa selkeän hallintamallin, täyttää samalla sekä AI Actin tavoitteita että vahvistaa omaa kilpailukykyään nopeasti muuttuvassa toimintaympäristössä.

Ilkka Vuorenmaa
IPR- ja liikejuridiikan asiantuntija

Aiheeseen liittyvää:
Muut IPR-palvelut
Tekoälyasetus – Mitä työnantajien on tarpeen huomioida?
Kun tekoäly valehtelee