Tekoälyasetus: mikä on voimassa ja milloin

Jos haet nyt suomeksi tietoa EU:n tekoälyasetuksesta, saat todennäköisesti vanhentuneen vastauksen. Lähes kaikki oppaat kertovat, että korkean riskin järjestelmien velvoitteet alkavat 2.8.2026. Se päivä meni juuri, mutta velvoitteet eivät alkaneet.

Kesällä 2026 hyväksyttiin muutosasetus (EU) 2026/1744, jota kutsutaan nimellä Digital Omnibus on AI. Se tuli voimaan 27.7.2026 ja siirsi korkean riskin velvoitteita yli vuodella eteenpäin. Syy oli käytännöllinen: yhdenmukaistetut standardit ja kansalliset viranomaisjärjestelyt eivät olleet valmiina siihen mennessä, kun vaatimusten piti alkaa.

Tässä artikkelissa on tilanne sellaisena kuin se on 6.8.2026, kirjoitettuna sille, joka käyttää tekoälyä työssään eikä kehitä malleja. Tämä on yleistajuinen selitys eikä oikeudellista neuvoa, ja päivät kannattaa tarkistaa lähteestä ennen kuin niiden varaan rakennetaan mitään.

Aikataulu, joka on nyt voimassa

Muutosasetus ei koskenut vain määräaikoja. Samalla kevennettiin tekoälyosaamisen sanamuotoa, lisättiin kaksi uutta kieltoa, kavennettiin turvakomponentin määritelmää ja kevennettiin pienten yritysten hallinnollista taakkaa. Siirto ei siis ole lupa unohtaa asiaa vaan lisäaikaa valmistautua, ja valmistautuminen tarkoittaa sitä, että tiedät ennen joulukuuta 2027, mitkä omat käyttötapauksesi kuuluvat liitteeseen III.

Luokka tulee käytöstä, ei tekniikasta

Tämä on asetuksen tärkein ja useimmin ohitettu perusajatus. Sääntely ei luokittele malleja vaan käyttötarkoituksia. Sama kielimalli voi olla samassa organisaatiossa yhtä aikaa neljässä eri luokassa.

• Kielletty. Manipulointi, joka aiheuttaa merkittävää haittaa, sosiaalinen pisteytys, kasvokuvien haravointi tunnistuskantoihin, tunteiden päättely työpaikalla tai oppilaitoksessa sekä eräät biometriset luokittelut. Näitä ei saa tehdä lainkaan, ja kielto on ollut voimassa helmikuusta 2025.
• Korkea riski. Nyrkkisääntönä järjestelmä, joka tekee tai valmistelee merkittävän päätöksen ihmisen elämästä: rekrytointi ja valinta, ylennys ja irtisanominen, luoton myöntäminen, koulutukseen pääsy, kriittinen infrastruktuuri, terveydenhuolto, lainvalvonta. Oikeudellisesti luokka ei kuitenkaan ratkea nyrkkisäännöllä vaan artiklasta 6 sekä liitteistä I ja III, ja artiklassa 6 on lisäksi poikkeuksia, joilla listalla oleva käyttö voi jäädä luokan ulkopuolelle. Näissä on eniten velvoitteita, ja määräaika on nyt joulukuussa 2027.
• Läpinäkyvyysvelvoite. Chatbotit, keinotekoinen sisältö ja tunteiden tunnistus. Vähän velvoitteita, mutta ne ovat voimassa nyt.
• Muu käyttö. Suurin osa arkisesta käytöstä. Ei erityisiä velvoitteita, mutta muu lainsäädäntö pätee silti.

Tästä seuraa käytännön sääntö. Kysymys ei ole "onko meillä tekoälyä" vaan "mihin päätöksiin sitä käytetään". Markkinointitekstien luonnostelu ja hakemusten esikarsinta ovat samalla työkalulla kaksi täysin eri asiaa.

Kaksi roolia, ja rooli voi vaihtua vahingossa

Asetus tuntee useita rooleja, joista kaksi riittää useimmille:

• Tarjoaja kehittää järjestelmän tai saattaa sen markkinoille omalla nimellään.
• Käyttöönottaja käyttää järjestelmää omassa toiminnassaan.

Useimmat organisaatiot ovat käyttöönottajia, ja käyttöönottajalla on selvästi kevyemmät velvoitteet. Tässä on kuitenkin ansa, joka kannattaa tietää etukäteen: käyttöönottaja muuttuu tarjoajaksi, jos se laittaa oman nimensä tai tavaramerkkinsä korkean riskin järjestelmään, muuttaa sen käyttötarkoitusta olennaisesti tai tekee siihen merkittävän muutoksen.

Käytännössä tämä tarkoittaa, että valmiin mallin päälle rakennettu oma rekrytointityökalu voi tehdä organisaatiosta tarjoajan, vaikka mallia ei ole itse koulutettu. Silloin velvoitteita ei ole muutama vaan koko lista.

Mitä käyttöönottajan pitää tehdä nyt

Kaksi asiaa koskee käyttöönottajaa jo tänään riippumatta siitä, kenen malli on.

Henkilöstön tekoälyosaaminen (artikla 4). Velvoite on ollut voimassa helmikuusta 2025, mutta sen sanamuoto kevennettiin muutosasetuksessa. Aiemmin organisaation piti varmistaa riittävä osaamisen taso. Nyt sen on toteutettava toimenpiteitä, jotka tukevat osaamisen kehittymistä, eikä tiettyä yksilöllistä tasoa tarvitse taata. Kyse on siis pyrkimysvelvoitteesta, ei lopputuloksesta. Toimenpiteet suhteutetaan siihen, mitä ihmiset tekevät, millainen tausta heillä on ja millaisia seurauksia virheellä olisi. Sertifikaattia ei vaadita. Tämä on se velvoite, joka useimmilta on jäänyt huomaamatta, koska se ei kuulosta velvoitteelta.

Läpinäkyvyys (artikla 50), voimassa 2.8.2026 alkaen. Velvoitteet jakautuvat kahtia, ja jako ratkaisee, kuuluuko asia sinulle vai toimittajalle.

Tarjoajan vastuulla:

1. Järjestelmä kertoo itse olevansa kone. Ihmisen kanssa keskustelevat järjestelmät on suunniteltava niin, että käyttäjä tietää puhuvansa tekoälylle, ellei se ole ilmeistä.
2. Koneluettava merkintä. Tekoälyn tuottama tai muokkaama ääni, kuva, video ja teksti merkitään niin, että merkintä on koneellisesti tunnistettavissa. Poikkeuksia on useita, esimerkiksi lyhyet merkkijonot, lähdekoodi ja avustavat muokkaustoiminnot.

Käyttöönottajan vastuulla:

3. Syväväärennöksen näkyvä ilmoitus. Aidolta näyttävä keinotekoinen kuva, ääni tai video on merkittävä selvästi ja viimeistään ensimmäisellä kohtaamisella. Taiteellisessa, satiirisessa tai fiktiivisessä teoksessa riittää kertominen tavalla, joka ei pilaa teosta.
4. Yleisen edun asioista julkaistu tekoälyteksti. Jos julkaiset tekoälyllä tuotettua tekstiä kertoaksesi yleisölle yhteiskunnallisesti merkittävästä asiasta, se on merkittävä. Merkintää ei vaadita, jos teksti on käynyt läpi ihmisen tekemän toimituksellisen tarkistuksen ja joku vastaa siitä.
5. Tunteiden tunnistus ja biometrinen luokittelu. Niille, joihin järjestelmää kohdistetaan, on kerrottava sen toiminnasta.

Näkyvien merkintöjen pitää olla ihmisen havaittavissa ilman erityisiä työkaluja. Ennen elokuuta 2026 markkinoille tulleiden järjestelmien koneluettavassa merkinnässä on siirtymäaika joulukuun 2026 alkuun.

Käytännön seuraus tavalliselle organisaatiolle: koneluettava merkintä ei ole sinun ongelmasi vaan työkalun tekijän. Se, mitä julkaiset ja miten sen merkitset, on sinun.

Mitä korkean riskin käytöstä seuraa myöhemmin

Jos oma käyttö osuu liitteeseen III, joulukuusta 2027 alkaen käyttöönottajalta odotetaan muun muassa seuraavaa:

• järjestelmää käytetään käyttöohjeen mukaisesti, ei sen ulkopuolella
• ihmisen valvonta on nimetty, ja valvojalla on osaaminen ja valtuudet puuttua
• syöttötieto on käyttötarkoitukseen sopivaa ja edustavaa
• lokit säilytetään
• työntekijöille kerrotaan, kun heihin kohdistetaan korkean riskin järjestelmää
• julkisilla toimijoilla ja eräillä yksityisillä on lisäksi perusoikeusvaikutusten arviointi

Yksikään näistä ei ole tekninen tehtävä. Ne ovat päätöksiä siitä, kuka vastaa mistäkin, ja siksi ne kannattaa tehdä ennen kuin järjestelmä on tuotannossa.

Kuka valvoo Suomessa

Kansallinen täydentävä lainsäädäntö tuli voimaan 1.1.2026, ja valvonta jakautuu noin viidelletoista viranomaiselle sen mukaan, mistä toimialasta on kyse.

• Traficom toimii keskitettynä yhteyspisteenä ja koordinoi valvontaa.
• Tietosuojavaltuutetun toimisto valvoo kiellettyjä käytäntöjä, osaa korkean riskin järjestelmistä ja perusoikeuksien toteutumista.
• Tukes valvoo tuotteisiin ja teollisuuteen liittyviä järjestelmiä.
• Loput jakautuvat toimialoittain, esimerkiksi terveydenhuoltoon, lääkkeisiin, energiaan ja työsuojeluun.

Käytännön seuraus: oikea viranomainen riippuu siitä, mihin tekoälyä käytetään, ei siitä, mikä yritys sen teki.

Sanktiot

Enimmäismäärät ovat kolmiportaiset:

Suuremmalla toimijalla sovelletaan näistä korkeampaa ja pienellä tai keskisuurella yrityksellä alempaa. Luvut ovat ylärajoja, eivät taksa.

Mitä tästä kannattaa tehdä tällä viikolla

Neljä asiaa, jotka eivät vaadi juristia:

1. Listaa käyttötapaukset, älä työkaluja. Kirjaa mihin päätöksiin tai valmisteluihin tekoälyä käytetään ja kuka päätöksen tekee.
2. Merkitse listalta ne, jotka koskevat ihmisiä. Rekrytointi, arviointi, luotto, valvonta ja pääsy palveluihin ovat ne, joiden kohdalla määräaika joulukuussa 2027 on merkityksellinen.
3. Tarkista läpinäkyvyys. Kertooko chat asiakkaalle olevansa kone, ja merkitäänkö julkaistu keinotekoinen kuva tai video.
4. Kirjaa perehdytys. Osaamisen tukeminen on velvoite jo nyt, ja tehtyjen toimenpiteiden osoittaminen on helpompaa, jos niistä on merkintä.

Yhdellä lauseella

Tekoälyasetus ei kysy, mikä malli teillä on, vaan mihin päätökseen sitä käytetään, ja käyttöönottajaa koskee kaksi velvoitetta jo tänään, vaikka korkean riskin määräaika siirtyi joulukuulle 2027.