Kuka valvoo tekoälysäädöksen noudattamista Suomessa?

Olette lukeneet, että tekoälysäädös koskee todennäköisesti myös teidän yritystänne — rekrytointityökalunne, asiakaspalvelun chatbotinne tai konenäköön perustuva laadunvalvontanne osuu jollain tavalla säädöksen soveltamisalaan. Seuraava kysymys on käytännöllinen, ei enää oikeudellinen: jos jokin menee pieleen, kenelle soitatte? Tietosuojavaltuutetun toimistolleko, jonka jo tunnette tietosuoja-asetuksesta? Kokonaan uudelle, vasta perustetulle tekoälyviranomaiselle? Vai jollekin toimialakohtaiselle taholle, riippuen siitä, mitä yrityksenne tekee? Rehellinen vastaus on, että Suomi on tätä kirjoitettaessa vielä viimeistelemässä tätä kysymystä lopullisesti — ja juuri se epävarmuus on hyvä syy valmistautua jo nyt, riippumatta siitä, miten lopullinen rakenne asettuu.

Mitä artikla 70 edellyttää jokaiselta jäsenvaltiolta

Tekoälysäädöksen artikla 70 velvoittaa jokaisen jäsenvaltion nimeämään vähintään yhden ilmoittavan viranomaisen, joka arvioi ja valvoo tiettyjen tekoälyjärjestelmien vaatimustenmukaisuutta arvioivia laitoksia, sekä vähintään yhden markkinavalvontaviranomaisen, joka valvoo jatkuvasti, että markkinoilla olevat tekoälyjärjestelmät tosiasiallisesti noudattavat säädöstä. Käytännössä juuri markkinavalvontaviranomainen on se taho, jonka kanssa tavallinen pk-yritys todennäköisimmin asioi: se voi pyytää dokumentaatiota, tutkia valituksia ja tarvittaessa määrätä sakkoja tai vaatia järjestelmän vetämistä pois markkinoilta. Tälle nimeämiselle asetettu määräaika oli 2.8.2025. Säädös ei määrää tiettyä organisaatiomallia: jäsenvaltio voi koota vastuun yhdelle uudelle viranomaiselle, jakaa sen usealle jo olemassa olevalle valvontaviranomaiselle toimialan mukaan, tai yhdistää nämä kaksi mallia. Suomi ei, kuten suuri osa muistakin jäsenvaltioista, ehtinyt saattaa tätä nimeämistä loppuun alkuperäisessä määräajassa.

Suomen prosessi: vielä kesken

Kuten kävimme läpi tekoälysäädöksen pk-oppaassamme, työ sen määrittämiseksi, mikä tai mitkä suomalaiset viranomaiset lopulta nimetään artikla 70:n tarkoittamiksi toimivaltaisiksi viranomaisiksi, on käynnissä, mutta ei ollut tätä kirjoitettaessa saatu päätökseen. Hallituksen valmistelussa koordinoivaksi viranomaiseksi on esitetty Liikenne- ja viestintävirasto Traficomia, sektorikohtaisten viranomaisten — kuten Finanssivalvonnan tai Fimean — vastatessa omista toimialoistaan. Emme voi tässä vaiheessa taata, että tämä rakenne on lopullinen tai että se on jo voimassa juuri nyt: kannattaa tarkistaa ajantasainen tilanne suoraan Traficomin ja Tietosuojavaltuutetun sivuilta ennen kuin perustatte päätöksiä pelkästään tähän artikkeliin. Se, mikä jo nyt piirtyy suunnaksi, on kuitenkin selvä: kuten monessa muussakin EU-maassa, Suomen malli näyttää rakentuvan olemassa olevien viranomaisten varaan yhden kokonaan uuden tekoälyviraston sijaan.

Tietosuojavaltuutettu: todennäköisin ensikontakti riippumatta lopullisesta roolista

Riippumatta siitä, miltä lopullinen viranomaisrakenne näyttää, muutama asia on jo nyt varmaa. Tietosuojavaltuutetun toimisto pysyy Suomen tietosuojaviranomaisena tietosuoja-asetuksen nojalla, eikä tekoälysäädös muuta tätä toimivaltaa — kävimme tämän läpi tarkemmin artikkelissamme tietosuoja-asetuksen ja tekoälysäädöksen yhteispelistä. Koska suurin osa tekoälyjärjestelmistä, joita suomalainen pk-yritys käytännössä kohtaa — rekrytointityökalut, asiakaspalvelun chatbotit, luottoluokitusmallit — käsittelee myös henkilötietoja, Tietosuojavaltuutettu on jo nyt se taho, jonka useimmat suomalaiset yritykset todennäköisesti kohtaavat ensimmäisenä, riippumatta siitä, mihin lopullinen artikla 70 -rakenne päätyy. Tämä tekee Tietosuojavaltuutetusta useimmille pk-yrityksille lähtökohdan, ei välttämättä minkään yksittäisen yhteydenoton päätepisteen.

Toimialakohtaiset viranomaiset, jotka voivat tulla mukaan

Jos yrityksenne toimii jo säännellyllä toimialalla, on todennäköistä, että toinenkin, ennestään tuttu valvontaviranomainen tulee mukaan kuvaan Tietosuojavaltuutetun rinnalle:

• Rahoitus- ja vakuutusala, mukaan lukien luottoluokitus ja tekoälypohjainen riskinarviointi: Finanssivalvonta.
• Terveydenhuolto ja lääkinnälliset laitteet, mukaan lukien tekoälyavusteinen diagnostiikka: Fimea ja Valvira.
• Liikenne ja logistiikka: Liikenne- ja viestintävirasto Traficom, samalla virastolla, joka on esitetty koordinoivaksi artikla 70 -viranomaiseksi.
• Työsuojelu tekoälypohjaisessa työvuorosuunnittelussa tai suorituksen seurannassa: aluehallintovirastojen työsuojelun vastuualueet.
• Kuluttajansuoja tekoälyavusteisessa markkinoinnissa tai hinnoittelussa: Kilpailu- ja kuluttajavirasto (KKV).
• Eikö mikään näistä osu yrityksenne toimialaan? Silloin Tietosuojavaltuutettu on Suomen vakiintuneena tietosuojaviranomaisena todennäköisin lähtökohta.

Mitä tämä tarkoittaa pk-yrityksellenne jo nyt

Se, ettei lopullinen viranomaisrakenne ole vielä täysin selvillä, ei tarkoita, ettei asialle voisi tehdä mitään sillä välin. Velvoitteet, riskitasot ja sakkorajat, jotka kävimme läpi tekoälysäädöksen pk-oppaassamme, ovat jo voimassa riippumatta siitä, mikä viranomainen lopulta saa vastuun valvonnasta. Useimmille pk-yrityksille, jotka hankkivat valmiita tekoälyominaisuuksia sen sijaan, että kehittäisivät niitä itse, lopullinen valvontarakenne muuttaa arjen käytäntöä todennäköisesti melko vähän: heti kun henkilötietoja käsitellään, Tietosuojavaltuutettu on todennäköisin ensimmäinen yhteyspiste, täydennettynä toimialan omalla viranomaisella siellä missä se on relevanttia.

Käytännön kannalta tämä tarkoittaa, että dokumentaation ja sisäisten prosessien rakentamista ei kannata lykätä sen odotteluun, että Suomen artikla 70 -rakenne selkiytyy täysin. Riskiluokittelu, tarjoaja- vai käyttöönottaja-aseman selvittäminen ja tietosuojaselosteiden päivittäminen ovat töitä, jotka on tehtävä joka tapauksessa, ja jotka eivät riipu siitä, kuka lopulta valvoo niiden noudattamista. Kun rakenne sitten selkiytyy, valmiiksi tehty pohjatyö on helppo yhdistää oikeaan viranomaiseen — sen sijaan, että se pitäisi aloittaa tyhjästä kesken kiireisen liiketoiminta-arjen.

Tarkistuslista, joka auttaa suunnistamaan

• Käsitteleekö tekoälyn käyttönne henkilötietoja suoraan tai välillisesti? Silloin Tietosuojavaltuutettu on todennäköisesti mukana kuvassa, riippumatta siitä, miten artikla 70 -nimeäminen lopulta päättyy.
• Toimitteko jo säännellyllä toimialalla — rahoitus, terveydenhuolto, liikenne, työvoiman hallinta? Odottakaa, että toimialanne oma viranomainen tulee mukaan myös tekoälyn osalta.
• Osuuko käyttötarkoituksenne liitteen III korkean riskin listalle, esimerkiksi rekrytointi, luottopäätökset tai lääketieteellinen diagnostiikka? Varautukaa tiukempaan valvontaan riippumatta lopullisesta viranomaisrakenteesta.
• Vieläkö epävarma kolmen ensimmäisen kysymyksen jälkeen? Tietosuojavaltuutettu on Suomen vakiintuneena tietosuojaviranomaisena luontevin lähtökohta.

Yleistä tietoa, ei oikeudellista neuvontaa

Kaikki edellä mainittu on yleistä, opastavaa tietoa, ei oikeudellista neuvontaa juuri teidän tilanteestanne. Suomen artikla 70 -nimeämisprosessi on tätä kirjoitettaessa vielä kesken, ja sekä lopullinen rakenne että sen voimaantulon ajankohta voivat muuttua. Kun Komplya julkaisee tämäntyyppistä sisältöä, erottelemme selkeästi, mikä on oikeudellisesti tarkistettu ja mikä on vielä työn alla oleva luonnos, jotta voitte käyttää materiaalia sen tietäen.

Nopein tapa nähdä, mikä viranomainen todennäköisesti koskee juuri teidän yritystänne, on käydä tekoälyn käyttötapanne läpi yksi kerrallaan. Täyttäkää lyhyt kyselylomake tekoälyn käytöstänne ja saatte helposti ymmärrettävän kuvan tilanteestanne.