AI Tekoälysäädös

Tekoälyasetus: Mikä on roolisi tekoälyn käytössä?

Katri Harjuveteläinen

7. elokuuta 2026

EU:n tekoälyasetus (Artificial Intelligence Act, EU 2024/1689, tekoälysäädös), on ensimmäinen kattava lainsäädäntö tekoälyn käytölle. Sen tarkoituksena on varmistaa, etttä tekoälyjärjestelmät ovat turvallisia ja kunnioittavat ihmisten perusoikeuksia.

Tekoälyasetusta sovelletaan hyvin laajasti eri toimijoihin EU:n alueella ja tietyissä tilanteissa myös EU:n ulkopuolella. Monet velvollisuudet määräytyvät toimijan roolin mukaan - siksi oman roolin tunnistaminen on kriittisen tärkeää.

Sisällys

Mitä rooleja tekoälyasetuksessa määritellään?

Mitä velvollisuuksia kiellettyihin käytäntöihin liittyy?

Mitä velvollisuuksia suuririskisiin tekoälyjärjestelmiin liittyy?

Mitä velvollisuuksia rajoitetun riskin tekoälyjärjestelmiin liittyy?

Mitä velvollisuuksia yleiskäyttöisiin tekoälymalleihin liittyy?

Miten pääsen alkuun?

Mitä rooleja tekoälyasetuksessa määritellään?

Tekoälyasetuksessa määritellään erilaisia "toimijoita", joihin vaatimukset kohdistuvat. Toimijan asemaa voi ajatella myös eräänlaisena roolina. Yleisimmät roolit käytännössä ovat tarjoaja tai käyttöönottaja. Tarjoaja tai käyttöönottaja voi olla luonnollinen tai oikeushenkilö, viranomainen, virasto tai muu taho.

Tarjoaja on toimija, joka kehittää tai kehityttää tekoälyjärjestelmän ja saattaa sen markkinoille. Tarjoajan rooli kattaa myös toimijan, joka ottaa tekoälyjärjestelmän käyttöön omalla nimellään tai tavaramerkillään.

Käyttöönottaja on toimija, joka käyttää valvonnassaan olevaa tekoälyjärjestelmää muuhun kuin yksityiseen käyttöön.

Muita toimijoita ovat valtuutettu edustaja, maahantuoja ja jakelija. Valtuutettu edustaja on EU:ssa sijaitseva luonnollinen tai oikeushenkilö, joka toteuttaa tarjoajan puolesta tekoälyasetuksen mukaiset velvollisuudet. Maahantuoja taas on EU:ssa sijaitseva toimija, joka tuo tekoälyjärjestelmän EU:n markkinoille kolmanteen maahan sijoittuneen toimijan nimissä. Jakelija on muu toimitusketjuun kuuluva oikeushenkilö, joka saattaa tekoälyjärjestelmän saataville EU:n markkinoilla.

Esimerkki:

Yritys ottaa käyttöön tekoälyjärjestelmän henkilöstön työn tehostamiseksi ja tarjoaa lisenssin kaikille työntekijöille. Järjestelmä ostetaan palveluntuottajalta valmiina pakettina. Yritys on käyttöönottaja ja palveluntuottaja tarjoaja.

Mitä velvollisuuksia kiellettyihin tekoälyjärjestelmiin liittyy?

Kielletyt tekoälyjärjestelmiin liittyvät käytännöt tarkoittavat tekoälyn käyttöä, joka on vastoin EU:n arvoja ja perusoikeuksia. Tällaisia järjestelmiä ei saa tarjota, käyttää tai saattaa markkinoille EU:ssa.

Kiellettyjä tekoälyyn liittyviä käytäntöjä ovat esimerkiksi:

manipuloivat tai harhaanjohtavat tekniikat
ihmisten haavoittuvuuksien hyödyntäminen ja käyttäytymisen vääristäminen
sosiaalinen pisteytys tietyissä käyttötapauksissa
rikollisuuden ennustaminen profiloinnin perusteella
internetin tai kameroiden tietojen "scraping" kasvojentunnistustietokantojen luomiseksi
tunteiden päättely työpaikoilla tai kouluissa
ihmisten biometrinen luokittelu sensitiivisten tietojen perusteella (rotu, seksuaalisuus, vakaumus).

Kaikkien roolien - myös tarjoajan ja käyttöönottajan - tulee varmistaa, ettei tällaisia tekoälyjärjestelmiä käytetä tai tarjota EU:n alueella. Kieltoon on erittäin rajattuja poikkeuksia (kansallisen turvallisuuden varmistaminen). Poikkeamisperusteen soveltuminen tulee aina arvioida huolellisesti.

Mitä velvollisuuksia suuririskisiin tekoälyjärjestelmiin liittyy?

Suuririskisten tekoälyjärjestelmien käyttö ja kehittäminen on tarkasti määriteltyä. Kun järjestelmä on suuririskinen eri toimijoiden on täytettävä roolinsa mukaiset velvollisuudet. Tärkeimpiä velvollisuuksia on kuvattu alla toimijan roolin mukaan.

Tarjoajan velvollisuudet

Suuririskisen tekoälyjärjestelmän tarjaojan velvollisuuksiin kuuluuvat:

• riskienhallinta- ja laadunhallintajärjestelmien toteuttaminen
• tietojen kirjaaminen ja avoimuusvelvoitteiden noudattaminen
• järjestelmän testaus ja vaatimustenmukaisuusarviointi ennen markkinoille saattamista tai käyttöönottoa
• tietojen laadukkuus ja tekninen dokumentaatio
• CE-merkintä ja EU-vaatimustenmukaisuusvakuutus
• rekisteröintivelvollisuus tietyillä järjestelmillä
• jäljitettävyys ja ihmisen suorittama valvonta
• vakauden ja kyberturvallisuuden varmistaminen
• korjaavien toimenpiteiden toteuttaminen
• yhteistyö viranomaisten kanssa

Käyttönottajan velvollisuudet

Käyttönottajan velvollisuutena on:

• käyttää järjestelmää sen käyttöohjeiden ja -tarkoituksen mukaisesti
• valvoa järjestelmän toimintaa ja raportoida poikkeavuudet
• raportoida vuosittain biometrisen etätunnistusjärjestelmän käytöstä

Myös maahantuojalla, jakelijalla ja valtuutetulla edustajalla on erityisiä velvollisuuksia suuririskisten tekoälyjärjestelmien yhteydessä. Niiden täytyy esimerkiksi varmistaa järjestelmän vaatimuksenmukaisuus ennen markkinoille saattamista, huolehtia asiakirjojen saatavuudesta ja tehdä yhteistyötä toimivaltaisten viranomaisten kanssa.

Mitä velvollisuuksia rajatun riskin tekoälyjärjestelmiin liittyy?

Rajatun riskin tekoälyjärjestelmät ovat usein tekoälyjärjestelmiä, joilla esimerkiksi tuotetaan tekstiä, kuvia tai ääntä. Ne eivät kuulu korkeampiin riskiluokkiin ja siksi velvollisuudet ovat rajatumpia.

Rajatun riskin tekoälyjärjestelmien keskeisin velvollisuus on avoimuus tekoälyn käytöstä. Avoimuusvaatimukset koskevat tekoälyllä luotua sisältöä, tekoälyn hyödyntämistä tunteiden tunnistamiseen ja biologiseen kategorisointiin sekä ihmisen kanssa vuorovaikuttavia tekoälyjärjestelmiä (mm. chatbotit).

Tarjoajan velvollisuudet

Tarjoajan on varmistettava, että:

• ihmisten kanssa vuorovaikuttava tekoälyjärjestelmä kertoo, että kyseessä on tekoäly
• synteettisesti tekoälyllä luotu sisältö merkitään teknisesti (koneellisesti luettava merkintä).

Käyttöönottajan velvollisuudet

Käyttöönottajan on varmistettava, että:

• tekoälyllä luotu tai manipuloitu tosielämää muistuttava sisältö (ns. deepfake) merkitään selkeästi
• yleistä etua koskeva teksti, joka on luotu tai muokattu tekoälyllä, merkitään selkeästi

• henkilöille ilmoitetaan, jos he altistuvat tunteita tunnistavalle tai biometristä luokittelua suorittavalle tekoälyjärjestelmälle.

Avoimuusvelvoitteisiin liittyvät ilmoitukset ja merkinnät pitää antaa selkeästi ja helposti havaittavalla tavalla. Käyttäjälle on ilmoitettava tekoälyn käytöstä viimeistään ensimmäisen vuorovaikutuksen yhteydessä.

Avoimuusvelvoitteita sovelletaan 2.8.2026 alkaen. Ennen tätä tuotettua tai julkaistua tekoälysisältöä ei tarvitse merkitä takautuvasti.

Vaatimuksiin on rajattuja poikkeuksia esimerkiksi, kun kyse on rikosten tunnistamisesta tai jos tekoälyn käyttö on ilmeistä. Poikkeuksen soveltuminen on syytä arvioida huolellisesti.

Mitä velvollisuuksia yleiskäyttöisiin tekoälymalleihin liittyy?

Yleiskäyttöinen tekoälymalli on sellainen, jota voi käyttää moniin eri tarkoituksiin, Esimerkkejä ovat esimerkiksi suuret kielimallit, kuten ChatGPT, Microsoft Copilot ja Claude. Jotkut tekoälymallit voivat olla systeemisen riskin malleja, joilla on erityisen suuri vaikutus.

Tekoälyasetuksen tietyt vaatimukset koskevat myös näitä malleja, vaikka ne eivät olisi suuririskisiä järjestelmiä. Luonnollisesti suuririskisen järjestelmän vaatimuksia on noudatettava, jos sen kriteerit täyttyvät.

Tarjoajan velvollisuuksiin kuuluvat mm. dokumentointi, käyttöohjeiden laatiminen, sisällön alkuperän ja datan laadun arviointi, avoimuusvelvoitteiden noudattaminen ja yhteistyö viranomaisten kanssa. Valtuutetun edustajan taas tulee varmistaa asiakirjojen saatavuus, suorittaa toimimeksiannossa määritellyt tehtävät ja tehdä yhteistyötä viranomaisten kanssa.

Vaatimuksiin on lievennyksiä, jos kyseessä on ilmainen, avoimen lähdekoodin järjestelmä. Poikkeuksen soveltuminen on syytä arvioida huolellisesti.

Miten pääsen alkuun?

Tekoälyasetuksen vaatimuksiin valmistautuminen kannattaa aloittaa kahdesta asiasta: tekoälyn riskitason ja oman roolin määrittelystä. Nämä kannattaa kirjata tekoälyjärjestelmien lokiin, jotta roolitus on myös myöhemmin selkeää.

Kun hankintaan tekoälyjärjestelmää, osapuolten roolit on erittäin tärkeää kuvata myös sopimukseen myöhempien riitaisuuksien välttämiseksi.

Eli lyhyesti: kartoita tekoälyn käyttö ja kirjaa selkeästi oma roolisi kirjalliseen dokumentaatioon.

Mikäli roolin määrittäminen tuottaa hankaluuksia, autamme mielellämme.