Korkean riskin tekoälyjärjestelmien luokittelusäännöt
Tämä ratkaisee, onko järjestelmäsi ”korkean riskin” ja sitä myötä koko dokumentaatiotaakkasi.
Mistä tässä on kyse
Kallein yksittäinen kysymys koko asetuksessa on tämä: onko järjestelmäsi korkean riskin vai ei. Vastaus ratkaisee, puhutaanko muutaman dokumentin perusasioista vai täydestä dokumentaatiopaketista, ja se määräytyy käyttötarkoituksen, ei teknologian, mukaan. Vastauksen saa liitteen III listasta noin vartissa, ja se kannattaa selvittää ennen kuin ostaa tai rakentaa mitään.
Koko EU AI Act:n raskain velvoitelista koskee vain ”korkean riskin” järjestelmiä, joten 6. artikla on se kohta, joka ratkaisee paljonko työtä sinulle tulee. Järjestelmä on korkean riskin joko siksi, että se on tuotteen turvakomponentti (esimerkiksi lääkinnällinen laite), tai siksi, että sen käyttötarkoitus kuuluu liitteen III listaan.
Liite III: kahdeksan aluetta
Liitteen III kahdeksan aluetta ovat: biometria; kriittinen infrastruktuuri; koulutus ja ammatillinen koulutus; työllisyys ja työvoiman hallinta; elintärkeät yksityiset ja julkiset palvelut, joihin kuuluvat muun muassa luottokelpoisuuden arviointi sekä henki- ja sairausvakuutusten hinnoittelu; lainvalvonta; maahanmuutto ja rajavalvonta; sekä oikeudenhoito ja demokraattiset prosessit. Komissio voi päivittää listaa (Art. 7), joten rajatapauksissa kannattaa tarkistaa ajantasainen liite.
Suomalaisen PK-yrityksen arki osuu listalle useimmiten neljässä kohdassa. Rekrytointi ja HR: hakemusten karsinta, haastateltavien pisteytys, työsuhteen aikainen arviointi. Luotonanto ja vakuutus: luottokelpoisuuden arviointi ja henki- tai sairausvakuutusten hinnoittelu. Koulutus: opiskelijavalinta ja osaamisen arviointi. Julkiset palvelut: etuuksien ja palveluiden myöntämistä tukevat järjestelmät. Ratkaisevaa on aina, mihin järjestelmää tosiasiassa käytetään, ei millä tekniikalla se on rakennettu.
6(3)-poikkeus on kapea, ei oikotie
Artiklassa on poikkeus: liitteen III alueella toimiva järjestelmä ei ole korkean riskin, jos se ei tosiasiassa vaikuta päätöksen lopputulokseen merkittävästi, esimerkiksi kapea menettelytehtävä tai valmisteleva vaihe. Poikkeukseen on kuitenkin kaksi kovaa reunaehtoa. Ensinnäkin se ei ole koskaan käytettävissä, jos järjestelmä profiloi luonnollisia henkilöitä. Toiseksi perustelut on dokumentoitava ennen markkinoille saattamista, ja viranomainen voi tarkistaa ja kumota luokituksen (Art. 80). Jos ehdotustasi noudatetaan käytännössä aina, poikkeus ei kestä tarkastelua.
Mitä luokituksen jälkeen
Jos testi osoittaa korkean riskin, dokumentaatiopolku on tunnettu: riskienhallinta (Art. 9), datanhallinta (Art. 10), tekninen dokumentaatio (Art. 11), laadunhallinta (Art. 17) ja vaatimustenmukaisuuden arviointi (Art. 43) ennen markkinoille saattamista. Jos taas et ole korkean riskin luokassa, velvoitteesi ovat kevyet: lukutaito (Art. 4), tarvittaessa läpinäkyvyysmerkinnät (Art. 50) ja halutessasi vapaaehtoiset sitoumukset (Art. 95). Juuri siksi luokitus kannattaa tehdä ensin, ja ennen kuin ostaa tai rakentaa mitään.
Luokka määräytyy käyttötarkoituksen, ei teknologian, mukaan, ja vastaus ratkaisee koko dokumentaatiotaakkasi.
Mitä laki vaatii, kohta kohdalta
Tarkista, kuuluuko käyttötarkoituksesi Annex III -listaan (esim. rekrytointi, luotonanto, terveydenhuolto). Jos kuuluu, olet korkean riskin polulla.
- §1Liite I (A-jakso) – tuoteturvallisuuskomponentti
- §2Liite III – itsenäinen tekoälyjärjestelmä
- §3Poikkeus (3 kohta): Liite III -järjestelmä ei ole korkean riskin, jos se ei aiheuta merkittävää riskiä – kapea menettelytehtävä, ihmistyön parantaminen, poikkeaman havaitseminen tai valmisteleva tehtävä; profilointi on kuitenkin aina korkean riskin
- §4Tarjoaja dokumentoi arvionsa, ettei Liite III -järjestelmä ole korkean riskin, ennen markkinoille saattamista, ja rekisteröi sen Art. 49(2) mukaisesti
- §5Komissio antaa ohjeet ja käytännön esimerkit korkean ja ei-korkean riskin käyttötapauksista (viimeistään 2.2.2026)
Usein kysytyt kysymykset
pkai tunnistaa lomakkeesta, koskeeko tämä järjestelmääsi, ja koostaa oikean dokumenttipaketin automaattisesti, noin 20 minuutissa.
Näytä artiklan tarkka rakenneteksti
Järjestelmä on korkean riskin, jos molemmat täyttyvät (1 kohta): (a) se on tuotteen turvakomponentti tai itse tuote, joka kuuluu liitteen I unionin yhdenmukaistamislainsäädännön soveltamisalaan; ja (b) kyseinen tuote edellyttää kolmannen osapuolen vaatimustenmukaisuuden arviointia. Lisäksi liitteessä III tarkoitetut järjestelmät ovat korkean riskin (2 kohta). Poikkeus (3 kohta): liitteen III järjestelmä ei ole korkean riskin, jos se ei aiheuta merkittävää riskiä terveydelle, turvallisuudelle tai perusoikeuksille, mukaan lukien siten, ettei se olennaisesti vaikuta päätöksenteon lopputulokseen; edellytyksenä jokin seuraavista: (a) suppea menettelyllinen tehtävä; (b) aiemmin suoritetun ihmisen toiminnan tuloksen parantaminen; (c) päätöksentekomallien tai poikkeamien havaitseminen korvaamatta tai ohjaamatta aiempaa ihmisarviota ilman asianmukaista tarkistusta; tai (d) valmisteleva tehtävä. Poikkeusta EI sovelleta, jos järjestelmä suorittaa luonnollisten henkilöiden profilointia (3 kohdan viimeinen alakohta). Poikkeukseen nojaavan tarjoajan on dokumentoitava arvionsa ennen markkinoille saattamista, rekisteröitävä järjestelmä Art. 49(2):n mukaisesti ja toimitettava dokumentaatio pyynnöstä (4 kohta).