Suuririskisten tekoälyjärjestelmien luokittelusäännöt
Tämä ratkaisee, onko järjestelmäsi suuririskinen, ja sitä myötä koko dokumentaatiotaakkasi.
Mistä tässä on kyse
Tämän asetuksen kallein kysymys on yksinkertainen: onko järjestelmäsi suuririskinen vai ei. Vastaus ratkaisee, puhutaanko muutaman dokumentin perusasioista vai täydestä dokumentaatiopaketista, ja se määräytyy käyttötarkoituksesta, ei teknologiasta. Vastauksen saa liitteen III listasta noin vartissa, ja se kannattaa selvittää ennen kuin ostaa tai rakentaa mitään.
Koko EU AI Actin raskain velvoitelista koskee vain suuririskisiä järjestelmiä, joten 6. artikla on se kohta, joka ratkaisee, paljonko työtä sinulle tulee. Järjestelmä on suuririskinen joko siksi, että se on tuotteen turvakomponentti (esimerkiksi lääkinnällinen laite), tai siksi, että sen käyttötarkoitus kuuluu liitteen III listaan.
Liite III: kahdeksan aluetta
Liitteen III kahdeksan aluetta ovat: biometria; kriittinen infrastruktuuri; koulutus ja ammatillinen koulutus; työllisyys ja työvoiman hallinta; elintärkeät yksityiset ja julkiset palvelut, joihin kuuluvat muun muassa luottokelpoisuuden arviointi sekä henki- ja sairausvakuutusten hinnoittelu; lainvalvonta; maahanmuutto ja rajavalvonta; sekä oikeudenhoito ja demokraattiset prosessit. Komissio voi päivittää listaa (Art. 7), joten rajatapauksissa kannattaa tarkistaa ajantasainen liite.
Suomalaisen PK-yrityksen arki osuu listalle useimmiten neljässä kohtaa. Rekrytointi ja HR: hakemusten karsinta, haastateltavien pisteytys, työsuhteen aikainen arviointi. Luotonanto ja vakuutus: luottokelpoisuuden arviointi ja henki- tai sairausvakuutusten hinnoittelu. Koulutus: opiskelijavalinta ja osaamisen arviointi. Julkiset palvelut: etuuksien ja palveluiden myöntämistä tukevat järjestelmät. Ratkaisevaa on aina, mihin järjestelmää tosiasiassa käytetään, ei millä tekniikalla se on rakennettu.
6(3)-poikkeus on kapea, ei oikotie
Artiklassa on poikkeus. Liitteen III alueella toimiva järjestelmä ei ole suuririskinen, jos se ei tosiasiassa vaikuta päätöksen lopputulokseen merkittävästi. Tällainen on esimerkiksi kapea menettelytehtävä tai valmisteleva vaihe. Poikkeukseen on kuitenkin kaksi kovaa reunaehtoa. Ensinnäkin se ei ole koskaan käytettävissä, jos järjestelmä profiloi luonnollisia henkilöitä. Toiseksi perustelut on dokumentoitava ennen markkinoille saattamista, ja viranomainen voi tarkistaa ja kumota luokituksen (Art. 80). Jos ehdotustasi noudatetaan käytännössä aina, poikkeus ei kestä tarkastelua.
Mitä luokituksen jälkeen
Jos testi osoittaa suuren riskin, dokumentaatiopolku on tunnettu: riskienhallinta (Art. 9), datanhallinta (Art. 10), tekninen dokumentaatio (Art. 11), laadunhallinta (Art. 17) ja vaatimustenmukaisuuden arviointi (Art. 43) ennen markkinoille saattamista. Jos taas et ole suuririskisten järjestelmien luokassa, velvoitteesi ovat kevyet: lukutaito (Art. 4), tarvittaessa läpinäkyvyysmerkinnät (Art. 50) ja halutessasi vapaaehtoiset sitoumukset (Art. 95). Juuri siksi luokitus kannattaa tehdä ensin, ja ennen kuin ostaa tai rakentaa mitään.
Korkea riski määräytyy käyttötarkoituksesta, ei teknologiasta, ja se ratkaisee koko dokumentaatiotaakkasi.
Mitä laki vaatii, kohta kohdalta
Tarkista, kuuluuko käyttötarkoituksesi liitteen III listaan (esim. rekrytointi, luotonanto, terveydenhuolto). Jos kuuluu, olet suuririskisten järjestelmien polulla.
- §1Liite I (A-jakso) – tuoteturvallisuuskomponentti
- §1aTurvakomponentin rajaus: pelkästään ei-turvallisuuteen liittyvään käyttöön (käyttäjän avustaminen, suorituskyvyn optimointi, palvelun tehokkuus, automaatio, mukavuus, laadunvalvonta) tarkoitetut järjestelmät EIVÄT ole turvakomponentteja
- §1bVastapoikkeus: jos järjestelmän vika tai toimintahäiriö vaarantaisi terveyden ja turvallisuuden, se ON turvakomponentti
- §1cKolmannen osapuolen arviointi pelkästään muusta kuin terveys-/turvallisuusriskistä (esim. radiotaajuudet, sähkömagneettiset häiriöt) EI täytä 1 kohdan b alakohtaa
- §2Liite III – itsenäinen tekoälyjärjestelmä
- §3Poikkeus (3 kohta): Liite III -järjestelmä ei ole suuririskinen, jos se ei aiheuta merkittävää riskiä – kapea menettelytehtävä, ihmistyön parantaminen, poikkeaman havaitseminen tai valmisteleva tehtävä; profilointi tekee järjestelmästä kuitenkin aina suuririskisen
- §4Tarjoaja dokumentoi arvionsa, ettei Liite III -järjestelmä ole suuririskinen, ennen markkinoille saattamista, ja rekisteröi sen Art. 49(2) mukaisesti
- §5Komissio antaa ohjeet ja käytännön esimerkit suuririskisistä ja muista käyttötapauksista (viimeistään 2.2.2026)
Usein kysytyt kysymykset
pkai tunnistaa lomakkeesta, koskeeko tämä järjestelmääsi, ja koostaa oikean dokumenttipaketin automaattisesti, noin 20 minuutissa.
Näytä artiklan sisältö tiivistettynä
Järjestelmä on suuririskinen, jos molemmat täyttyvät (1 kohta): (a) se on tuotteen turvakomponentti tai itse tuote, joka kuuluu liitteen I unionin yhdenmukaistamislainsäädännön soveltamisalaan; ja (b) kyseinen tuote edellyttää kolmannen osapuolen vaatimustenmukaisuuden arviointia. Lisäksi liitteessä III tarkoitetut järjestelmät ovat suuririskisiä (2 kohta). Poikkeus (3 kohta): liitteen III järjestelmä ei ole suuririskinen, jos se ei aiheuta merkittävää riskiä terveydelle, turvallisuudelle tai perusoikeuksille, mukaan lukien siten, ettei se olennaisesti vaikuta päätöksenteon lopputulokseen; edellytyksenä jokin seuraavista: (a) suppea menettelyllinen tehtävä; (b) aiemmin suoritetun ihmisen toiminnan tuloksen parantaminen; (c) päätöksentekomallien tai poikkeamien havaitseminen korvaamatta tai ohjaamatta aiempaa ihmisarviota ilman asianmukaista tarkistusta; tai (d) valmisteleva tehtävä. Poikkeusta EI sovelleta, jos järjestelmä suorittaa luonnollisten henkilöiden profilointia (3 kohdan viimeinen alakohta). Poikkeukseen nojaavan tarjoajan on dokumentoitava arvionsa ennen markkinoille saattamista, rekisteröitävä järjestelmä Art. 49(2):n mukaisesti ja toimitettava dokumentaatio pyynnöstä (4 kohta).
Tämä on artiklan sisältö tiivistettynä, ei sanatarkka lainaus. Sitova sanamuoto on EUR-Lexin virallisessa suomennoksessa, joka on linkitetty yllä.