Tietosuoja
Compliance (FIN)
Teknologia
SÄÄDÖS
Tekoälyasetus
Yhteenveto
EU:n tekoälyasetus jakaa tekoälyjärjestelmät neljään riskitasoon. Riskitaso määrittää, saako järjestelmää käyttää ja mitä vaatimuksia on noudatettava.
Käytännön vinkit
Organisaation kannattaa aloittaa tunnistamalla tekoälyn käyttö, määrittelemällä riskitasot ja suunnittelemalla niihin sopivat toimenpiteet.
AIKARAJA
Noudattamista valvotaan 2.8.2026 alkaen
EU:n tekoälyasetus on ensimmäinen kattava, tekoälyn kehittämistä ja käyttöä määrittävä lainsäädäntö. Tekoälyasetuksessa määritellään erilisia riskitasoja, joiden pohjalta myös velvoitteiden kattavuus määräytyy. Mitä korkeammat riskit, sitä kattavammat velvoitteet.
Tekoälyä kehittävien ja käyttöönottavien organisaatioiden on välttämätöntä arvioida tekoälyjärjestelmiensä riskitaso. Riskitason pohjalta voi tunnistaa pakottavat vevlottieet.
Sisällys
Mitä tekoälyjärjestelmät ovat?
Kielletyt järjestelmät aiheuttavat kestämättömiä riskejä
Suuririskiset tekoälyjärjestelmät - kattavimmat velvoitteet
Rajoitetun riskin järjestelmien vaatimuksena on avoimuus
Mitä tekoälyjärjestelmät ovat?
Tekoälyjärjestelmä tarkoittaa konepohjaista järjestelmää, joka toimii ainakin osittain autonomisesti ja voi mukauttaa omaa toimintaansa järjestelmän käyttöönoton jälkeen. Järjestelmä päättelee syötteen perusteella, miten tuottaa tuotoksia, kuten sisältöä tai suosituksia.
Tekoälyjärjestelmä voi olla esimerkiksi:
- tekoälyä hyödyntävä chatbot
- keskusteluiden avulla ohjattava tekoälymalli (tekoälymalli + käyttöliittymä)
-
tekoälyä hyödyntävä rekrytointijärjestelmä.
Tekoälyjärjestelmä voi olla hyvin yksinkertainen (roskapostisuodatus) tai hyvin kehittynyt (tekoälyavusteinen syövän etenemisen mallinnustyökalu). Keskeistä on osittainen autonomisuus ja mukautuvuus.
Kielletyt järjestelmät aiheuttavat kestämättömiä riskejä
Tietyt tekoälyn käyttötapaukset ovat niin riskialttiita, että ne on kielletty kokonaan. Näitä kutsutaan myös kielletyiksi käytännöiksi. Kiellettyä on tekoälyn käyttö ja kehittäminen seuraavilla tavoilla:
- manipuloivat tai harhaanjohtavat tekniikat
- tekniikat, jotka hyödyntävät ihmisten haavoittuvuuksia, olennaisesti vääristävät käyttäytymistä ja aiheuttavat merkittävää vahinkoa
- sosiaalinen pisteytys tietyissä käyttötapauksissa
- rikollisuuden ennustaminen profiloinnin perusteella
- internetin tai turvakameroiden tietojen kaapiminen kasvojentunnistustietokantojen luomiseksi
- tunteiden päättely työpaikoilla tai kouluissa
- ihmisten biometrinen luokittelu arkaluontoisten tietojen perusteella (esim. rotu, seksuaalisuus)
- ns. nudifier-sovellukset, joilla voidaan tuottaa seksuaalista aineistoa.
Tämä tarkoittaa, että organisaatioidenon varmistettava, ettei kiellettyjä järjestelmiä kehitetä, käytetä tai aseteta markkinoille EU:ssa. Kielto koskee myös järjestelmiä, jotka on kehitetty muualla kuin EU:ssa.
Käytännön esimerkki
Monikansallinen yhtiö ei voi käyttää tunteiden tunnistamiseen tarkoitettua tekoälyjärjestelmää työntekijöiden arviointiin EU:n toimipisteissä, vaikka sama järjestelmä olisi sallittu kolmansissa maissa.
Kiellettyjen käyttötarkoitusten vaatimusten rikkominen voi johtaa merkittäviin sanktioihin ja jopa 35 miljoonan euron sakkoihin.
Suuririskiset järjestelmät - kattavimmat velvoitteet
Suuririskiset tekoälyjärjestelmät ovat kattavasti säänneltyjä tekoälyasetuksessa. Tekoälyjärjestelmä voidaan luokitella suuririskiseksi kahdella eri tavalla.
Ensimmäinen luokittelutapa on "tuotereitti". Järjestelmä on korkeariskinen jos se on EU:n harmonisoiman lainsäädännön alainen tuote tai tuotteen turvakomponentti. Esimerkkejä näistä tuotteista ovat lääkinnälliset laitteet, hissit ja radiolaitteet. Suuririskisiä ovat myös järjestelmät, joille on tehtävä kolmannen osapuolen tarkastus ennen myyntiä tai käyttöönottoa EU;ssa.
Toinen luokittelutapa on "tarkoitusreitti". Tekoälyasetuksen liitteessä III määritellään tietyt käyttötarkoitukset, jotka ovat lähtökohtaisesti suuririskisiä:
- biometrinen tunnistaminen ja kategorisointi
- kriitisen infrastruktuurin hallinta
- koulutus (pääsy koulutukseen, tulosten arviointi)
- henkilöstöhallinto (rekrytointi, suoriutumisen arviointi)
- kelpoisuus etuuksiin tai palveluihin
- lainvalvonta
- maahanmuutto
- oikeudenhoito ja demokraattiset prosessit.
Suuririskisiä tekoälyjärjestelmiä koskevat hyvin laajat velvoitteet. Järjestelmän tarjoajan on huolehdittava mm. riskienhallinnasta, tiedonhallinnasta, teknisestä dokumentaatiosta ja kyberturvallisuudesta. Myös käyttöönottajalla on velvollisuuksia esimerkiksi käyttöohjeiden noudattamiseen ja monitorointiin liittyen.
Käytännön esimerkkejä
Tekoäly rekrytoinnissa: Organsiaatio käyttää tekoälyjärjestelmää CV:iden analysointiin ja sopivien kandidaattien suosittelemiseen. Kyseessä on todennköisesti suuririskinen tekoälyjärjestelmä, joka vaatii kattavaa dokumentointia, riskienhallintaa ja ihmisen valvontaa.
Tekoäly terveydenhuollossa: Terveydenhuoltoalan organisaatio käyttää tekoälysovellusta analysoidakseen masennuksen vakavuutta keskustelussa. Sovellus on todennäköisesti lääkinnällinen laite ja suuririskinen tekoälyjärjestelmä yhtä aikaa.
Tekoäly koulutuksessa: Yhtenäiskoulun tietojärjestelmiin sisältyy tekoälyominaisuuus, jota opettajat voivat käyttää oppilaiden kokeiden arvioinnissa. Kyseessä on oppimistulosten arviointi ja todennäköisesti suuririskinen tekoälyn käyttötapaus.
Ennakkoon valmistautuminen tekoälyasetuksen vaatimuksiin on erityisen tärkeää, kun kyseessä on tekoälyn käyttö terveydenhuollossa, rekrytoinnissa tai koulutuksessa. Vaatimukset tulevat voimaan 2027-2028 välillä asteittain.
Suuririskisten tekoälyjärjestelmien vaatimusten laiminlyönti voi johtaa sakkoihin (15 miljoonaa euroa tai 3 % globaalista liikevaihdosta, sen mukaan kumpi on korkeampi). Luonnollisesti laiminlyönnit voivat aiheuttaa myös muita seuraamuksia - vahingonkorvausvaatimuksia, oikeusprosesseja ja mainehaittaa.
Rajoitetun riskin järjestelmien vaatimuksena on avoimuus
Tietyille rajoitetun riskin järjestelmille asetetaan lähinnä avoimuusvaatimuksia. Nämä järjestelmät ovat yleensä järjestelmiä, joita käytetään tekstien tai muun sisällön luomiseen.
Jos tekoälyjärjestelmä vuorovaikuttaa henkilöiden kanssa, sen on kerrottava selkeästi, että kyseessä ei ole ihminen vaan tekoäly. Lisäksi tekoälyllä luotu materiaali, kuten kuvat, tekstit ja videot, on merkittävä teknisesti tekoälyllä luoduiksi tai muokatuiksi.
Myös tekoälyjärjestelmän käyttäjän on kerrottava tekoälyn käytöstä, jos tekoälyllä luodaan aidolta vaikuttavaa sisältöä (deepfake), yleistä etua koskevia tekstejä tai henkilö altistuu tunteiden tunnistukselle tai biometriselle kategorisoinnille.
Käytännön esimerkki
Tekoäly-chatbot: Kunta ottaa käyttöön tekoäly-chatbotin nettisivuilleen. Tarkoituksena on auttaa kansalaisia löytämään oikeaan sisältöön ja antaa yleisiä ohjeita. Chatbotin on selvästi kerrottava, että kyseessä on tekoäly eikä ihminen.
Avoimuusvaatimusten laiminlyönti voi johtaa sakkoihin, jotka voivat olla jopa 7 miljoonaa euroa per rikkomus. Luonnollisesti laiminlyönnit voivat aiheuttaa myös muita seuraamuksia, kuten mainehaittaa.
Muut tekoälysovellukset
Minimaalisen riskin tekoälysovellukset eivät edellytä erityisiä toimenpiteitä tekoälyasetuksen vuoksi. Nämä ovat järjestelmiä, jotka eivät aiheuta riskejä turvallisuudelle, terveydelle tai ihmisten oikeuksille.
On tärkeä huomioida, että muu lainsäädäntö - kuten GDPR - soveltuu edelleen myös näihin tekoälyjärjestelmiin. Henkilötietojen käsittely on siis syytä suunnitella huolellisesti.
Käytännön esimerkki
Videon muokkaus tekoälyllä: Tekoälyä hyödyntävä sovellus, joka parantaa videoiden laatua, resoluutiota ja auttaa editoimaan mainosvideota.
Mistä aloittaa arviointi?
Tekoälyä käyttöönottavien ja kehittävien organisaatioiden kannattaa aloittaa arviointi systemaattisesti. Alla on kolme konkreettista askelta siihen, miten voit varmistaa tekoälyasetuksen vaatimusten täyttämisen omassa organisaatiossasi.
Tekoälyjärjestelmän riskiluokittelu ei ole aina aivan yksinkertaista - erityisesti jos kyse on tekoälymallista tai tekoälyjärjestelmästä, jota käytetään useisiin tarkoituksiin. Mikäli järjestelmän luokitteluun tarvitaan tukea, autamme mielellämme.
