Tekoälysäädös Suomessa: mitä pk-yrityksenne pitää tarkistaa

Ehkä joku tiimistänne alkoi käyttää Copilot'ia tarjouslaskennassa. Ehkä toiminnanohjausjärjestelmänne toimittaja lisäsi hiljattain tekoälypohjaisen ennustetoiminnon samaan tilaukseen, josta jo maksatte kuukausittain. Sitten sana "tekoälysäädös" ilmestyy toimialaliiton uutiskirjeeseen, tai asiakas kysyy sähköpostilla, oletteko "compliant" — sävyyn, joka vihjaa, että olisitte jo jäljessä, vaikka kukaan yrityksessä ei ole vielä tehnyt asiasta varsinaista päätöstä. Tunne on tuttu monelle pk-yrityksen johtajalle: sääntely tuntuu ilmestyvän sivusta, ilman että kukaan on ehtinyt selittää, mitä se konkreettisesti tarkoittaa juuri teidän yrityksellenne. Tämä artikkeli pyrkii antamaan konkreettisen vastauksen, ei lakitekstin luetteloa.

EU-asetus, joka on jo voimassa Suomessa

Asetus (EU) 2024/1689, tekoälysäädös, on nimensä mukaisesti asetus eikä direktiivi. Se pätee siis sellaisenaan Suomessa ilman, että eduskunnan pitäisi säätää erillinen kansallinen laki sen sisällön voimaan saattamiseksi — toisin kuin EU-direktiivi, joka pitää ensin implementoida kansallisesti. Velvoitteet tulevat voimaan vaiheittain: kielletyt tekoälykäytännöt ovat olleet kiellettyjä 2.2.2025 alkaen, yleiskäyttöisiä tekoälymalleja koskevat vaatimukset astuivat voimaan 2.8.2025. Suurimman osan korkean riskin järjestelmiä koskevista säännöistä piti alun perin alkaa soveltua 2.8.2026, mutta niin sanottu Digital Omnibus -paketti, joka tuli voimaan 27.7.2026, siirsi tämän määräajan 2.12.2027. Liitteen I mukaisia tuoteturvallisuussäädöksiä koskevat korkean riskin vaatimukset siirtyvät nyt vielä pidemmälle, elokuuhun 2028 asti. Suomi on kuitenkin, kuten moni muukin jäsenvaltio, vielä viimeistelemässä kansallista täytäntöönpanolainsäädäntöä, joka nimeää tarkat valvontaviranomaiset — tästä lisää seuraavassa osiossa.

Suomessa tämä osuu markkinaan, jossa tekoäly on jo pitkälti sulautunut vientiteollisuuden ytimeen. Metsäteollisuus — UPM:n, Stora Enson ja Metsä Groupin kaltaisten toimijoiden ympärille rakentunut arvoketju — on käyttänyt algoritmipohjaista optimointia jo vuosia, esimerkiksi hakkuukoneiden apteerausohjelmistoissa, jotka päättävät, mihin pölkkyihin runko kannattaa katkoa. Osa näistä järjestelmistä koneoppii aiempaa aineistoa hyödyntäen, mikä tuo ne tekoälysäädöksen soveltamisalan piiriin, vaikka kyse ei olisikaan mielikuvan mukaisesta "tekoälystä". Samaan tapaan konepajateollisuudessa — Valmetin, Wärtsilän ja Koneen kaltaisten suuryritysten alihankintaverkostossa toimivat pk-yritykset ottavat käyttöön ennakoivan kunnossapidon ja laadunvalvonnan konenäköjärjestelmiä, usein isomman asiakkaan vaatimuksesta. Kun tilaaja pyytää dokumentaatiota toimittamastanne tai räätälöimästänne järjestelmästä, tekoälysäädös tulee monelle pk-yritykselle vastaan ensin sopimusvaatimuksena, ei viranomaiskirjeenä.

Kuka valvoo tekoälysäädöstä Suomessa?

Tietosuojavaltuutetun toimisto on Suomen itsenäinen tietosuojaviranomainen, ja tämä rooli säilyy ennallaan: jokainen tekoälyjärjestelmä, joka käsittelee henkilötietoja — rekrytointityökalu, asiakaspalvelun chatbot, luottoluokitusmalli — kuuluu edelleen Tietosuojavaltuutetun toimivaltaan tietosuoja-asetuksen nojalla. Tekoälysäädöksen artikla 70 velvoittaa jokaisen jäsenvaltion nimeämään lisäksi markkinavalvontaviranomaiset, jotka valvovat säädöksen laajempaa soveltamista riippumatta siitä, käsitelläänkö henkilötietoja. Suomen hallitus on valmistellut tähän liittyvää kansallista lainsäädäntöä, jossa koordinoivaksi viranomaiseksi on esitetty Liikenne- ja viestintävirasto Traficomia, sektorikohtaisten viranomaisten — kuten Finanssivalvonnan tai Fimean — vastatessa omista toimialoistaan. Emme voi tässä vaiheessa taata, että tämä rakenne on lopullinen tai voimassa juuri nyt: kannattaa tarkistaa ajantasainen tilanne suoraan Traficomin ja Tietosuojavaltuutetun sivuilta ennen kuin perustatte päätöksiä pelkästään tähän artikkeliin. Käytännössä tämä tarkoittaa, että Tietosuojavaltuutetun toimisto on jo nyt se taho, jonka useimmat suomalaiset pk-yritykset todennäköisesti kohtaavat ensimmäisenä, riippumatta siitä, miten lopullinen artikla 70 -rakenne päätyy jakautumaan viranomaisten kesken.

Riskitasot lyhyesti

Säädös ei kohtele kaikkia tekoälyjärjestelmiä samalla tavalla, vaan erottaa neljä tasoa. Pieni joukko käytäntöjä on kokonaan kiellettyjä kohtuuttoman riskin vuoksi, esimerkiksi ihmisten yleinen sosiaalinen pisteytys. Korkean riskin taso koskee arkaluonteisia käyttötarkoituksia — rekrytointia, työntekijöiden arviointia, luottokelpoisuuden arviointia ja pääsyä keskeisiin julkisiin palveluihin — ja edellyttää tiukempia vaatimuksia riskienhallinnalle, dokumentaatiolle ja ihmisen suorittamalle valvonnalle. Rajoitetun riskin taso tuo lähinnä läpinäkyvyysvaatimuksia, kuten velvollisuuden kertoa, että sisältö on tekoälyn tuottamaa tai että asiakas keskustelee botin kanssa. Minimaalisen riskin tasolle sijoittuu suurin osa arkisista työkaluista, eikä se tuo merkittäviä uusia velvoitteita.

Metsäkone- ja konepajateollisuudelle relevantti yksityiskohta löytyy liitteestä I: jos tekoälyjärjestelmä toimii turvakomponenttina jo ennestään säännellyssä tuotteessa — esimerkiksi hakkuukoneen turvajärjestelmässä, joka kuuluu konelaitteita koskevan asetuksen piiriin — järjestelmä voi olla korkean riskin luokassa tuotealueen perusteella, ei käyttötarkoituksen perusteella kuten liitteessä III. Tämä koskee ennen kaikkea laitevalmistajia, ei niinkään loppukäyttäjänä toimivia pk-yrityksiä, mutta kannattaa tuntea, jos yrityksenne toimittaa tai integroi tällaisia komponentteja osana alihankintaketjua.

Sanktiot: summat kannattaa tuntea

Sanktiojärjestelmä on määritelty artiklassa 99 ja on sama kaikkialla EU:ssa, myös Suomessa. Tarkoitus on ehkäistä konkreettisia riskejä, ei kerätä sakkotuloja — mutta suuruusluokat kannattaa silti tietää:

• Enintään 35 miljoonaa euroa tai 7 % maailmanlaajuisesta vuosiliikevaihdosta, sen mukaan kumpi on suurempi, kiellettyjen tekoälykäytäntöjen osalta.
• Enintään 15 miljoonaa euroa tai 3 % maailmanlaajuisesta vuosiliikevaihdosta useimpien muiden rikkomusten osalta, mukaan lukien korkean riskin järjestelmien tarjoajien ja käyttöönottajien velvoitteet.
• Enintään 7,5 miljoonaa euroa tai 1 % maailmanlaajuisesta vuosiliikevaihdosta virheellisten tai harhaanjohtavien tietojen antamisesta viranomaisille.

Mitä yrityksenne kannattaa tarkistaa käytännössä

Lakitekstin ulkoa opettelun sijaan kannattaa käydä läpi yrityksenne todellinen tekoälyn käyttö muutaman konkreettisen kysymyksen kautta:

• Oletteko "tarjoaja" (kehitätte tai teetätte tekoälyjärjestelmän) vai "käyttöönottaja" (hankitte ja käytätte valmiita työkaluja)? Valtaosa suomalaisista pk-yrityksistä on käyttöönottajia, ei tarjoajia — mikä keventää velvoitteita mutta ei poista niitä.
• Osuuko jokin tekoälyn käyttötarkoituksistanne liitteen III korkean riskin listalle, esimerkiksi hakijoiden esikarsinta, henkilöstön arviointi tai luottopäätökset?
• Käytättekö asiakaspalvelun chatbotia tai julkaisetteko tekoälyn tuottamaa sisältöä ilman merkintää? Tämä laukaisee yleensä läpinäkyvyysvelvoitteet, vaikka kyse ei olisi korkean riskin järjestelmästä.
• Tiedättekö varmasti, mihin jo käytössä olevaan ohjelmistoon on viimeisen vuoden aikana lisätty tekoälyominaisuus ilman, että kukaan on virallisesti arvioinut sitä — esimerkiksi toiminnanohjaus- tai apteerausjärjestelmäänne?
• Onko tekoälyä toimittavalta kumppaniltanne pyydetty dokumentaatiota vaatimustenmukaisuudesta ennen sopimuksen allekirjoittamista, vai nojaudutaanko pelkkään toimittajan omaan vakuutukseen asiasta?

Yleistä tietoa, ei oikeudellista neuvontaa

Kaikki edellä mainittu on yleistä, opastavaa tietoa, ei oikeudellista neuvontaa juuri teidän tilanteestanne. Tekoälysäädös sisältää vivahteita, joita yksi artikkeli ei voi kattaa täysin, ja sen soveltuminen riippuu kunkin yrityksen konkreettisesta tekoälyn käytöstä — samoin kuin Suomen valvontarakenteen lopullinen muoto on vielä osin kesken. Kun Komplya julkaisee tämäntyyppistä sisältöä, erottelemme selkeästi, mikä on oikeudellisesti tarkistettu ja mikä on vielä työn alla oleva luonnos, jotta voitte käyttää materiaalia sen tietäen.

Nopein tapa päästä epämääräisestä "tämä koskee luultavasti meitäkin" -tunteesta selkeään vastaukseen on käydä yrityksenne tekoälyn käyttötavat läpi yksi kerrallaan. Täyttäkää lyhyt kyselylomake tekoälyn käytöstänne ja saatte helposti ymmärrettävän kuvan tilanteestanne.