EU AI Act pähkinänkuoressa

Mikä EU AI Act on

EU AI Act eli EU:n tekoälyasetus (EU) 2024/1689 on maailman ensimmäinen kattava tekoälylaki. Se tuli voimaan elokuussa 2024 ja sen velvoitteet astuvat sovellettaviksi vaiheittain. Olennaisin asia ensin: laki ei sääntele teknologiaa vaan käyttöä. Sama malli voi olla yhdessä käytössä vapaa, toisessa raskaasti dokumentoitava ja kolmannessa kokonaan kielletty.

Useimmille suomalaisille yrityksille laki tarkoittaa vähemmän kuin otsikoista voisi päätellä: tavallinen tekoälyn toimistokäyttö tuo lähinnä henkilöstön lukutaitovelvoitteen ja velvollisuuden varmistaa, ettei mikään käyttötapa osu kiellettyjen käytäntöjen listalle. Raskas dokumentaatiotaakka koskee vain korkean riskin järjestelmiä, ja siihen luokkaan päädytään käyttötarkoituksen, ei tekniikan, perusteella.

Toinen olennainen asia: velvoitteesi riippuvat roolistasi. Tekoälyn kehittäjällä (tarjoajalla) on eri tehtävälista kuin valmiin järjestelmän käyttöönottajalla, maahantuojalla tai jälleenmyyjällä. Siksi ensimmäinen kysymys ei ole ”mitä kaikkea laki vaatii” vaan ”mikä on meidän roolimme ja riskiluokkamme”. Loppu seuraa siitä.

Neljä riskiluokkaa

Asetus jakaa tekoälyn käytön neljään luokkaan riskin mukaan. Luokka ratkaisee kaiken: kielletystä käytöstä on luovuttava, korkea riski tuo dokumentaatiovelvoitteet, läpinäkyvyysluokka vaatii merkinnät ja loppu on käytännössä vapaata.

Korkean riskin alueet listaa liite III: biometria, kriittinen infrastruktuuri, koulutus, työllisyys ja työvoiman hallinta, elintärkeät yksityiset ja julkiset palvelut (mm. luotonanto ja vakuutus), lainvalvonta, maahanmuutto sekä oikeudenhoito. PK-yritykset osuvat listalle useimmiten rekrytoinnissa, luotonannossa ja vakuutuksissa. Tee liite III -testi, se vie vartin ja ratkaisee koko dokumentaatiotaakkasi. Jos olet rajalla, lue myös 6(3)-poikkeuksen tarkistuksesta.

Kuka vastaa mistäkin: roolit

Sama järjestelmä kulkee usein monen yrityksen kautta, ja jokaisella on omat velvoitteensa. Tarjoaja (kehittäjä tai omalla brändillä myyjä) kantaa raskaimman listan. Käyttöönottaja vastaa siitä, miten järjestelmää käytetään: ohjeiden mukainen käyttö, ihmisvalvonta, lokit ja henkilöstön informointi. Maahantuoja ja jakelija tarkistavat paperit ennen myyntiä.

Yksi raja kannattaa tuntea erityisen tarkasti: jos rakennat tuotteesi valmiin tekoälyn päälle ja myyt sitä omalla nimelläsi, muutat sen käyttötarkoitusta tai muokkaat sitä olennaisesti, sinusta tulee lain silmissä tarjoaja kaikkine velvoitteineen. Tämä on arvoketjun kallein yllätys, ja se koskee yhä useampaa suomalaista ohjelmistotaloa.

Aikataulu: mikä on jo voimassa

Kaksi asiaa on siis jo voimassa: kielletyt käytännöt ja lukutaitovelvoite ovat koskeneet jokaista yritystä helmikuusta 2025 asti. Useimmille tärkein tuleva takaraja on 2.12.2027, jolloin korkean riskin vaatimuksia aletaan soveltaa — Digital Omnibus -muutoksen mukaisesti (muutos on parlamentin hyväksymä 16.6.2026, mutta neuvoston vahvistus ja OJ-julkaisu vielä kesken). Muutos sitoo vasta kun se on julkaistu EU:n virallisessa lehdessä, joten siihen asti nykytekstin 2.8.2026 on muodollisesti voimassa, eikä siirto koske jo voimassa olevia velvoitteita. Koko aikataulu roolikohtaisine takarajoineen on aikatauluoppaassa, ja sakkokehys sanktio-oppaassa: maksimit ovat kovat (jopa 35 M€ tai 7 % liikevaihdosta kielletyistä käytännöistä), mutta PK-yritykselle sovelletaan pienempää lukua.

Viisi ensimmäistä askelta

Järjestys ei ole makuasia: kiellettyä käyttöä ei voi dokumentoida lailliseksi, ja luokitus ratkaisee, kuinka pitkä loppumatka on. Jos luokitus osoittaa korkean riskin, dokumentaatiopolku alkaa riskienhallinnasta ja jatkuu tekniseen dokumentaatioon, ihmisvalvontaan ja vaatimustenmukaisuuden arviointiin. Käyttöönottajan vastinparit ovat Art. 26 ja tarvittaessa FRIA. Nopein tapa löytää juuri sinun artiklasi on kahden minuutin suunnistus oppaiden etusivulla.

Usein kysytyt kysymykset