AI Act läpinäkyvyysvelvoitteet nostavat yritysten tekoälyn käytön aiempaa tarkempaan tarkasteluun. EU:n tekoälyasetus eli asetus (EU) 2024/1689 etenee vaiheittain, ja 2.8.2026 alkaen suuri osa uusista vaatimuksista alkaa koskea myös käytännön liiketoimintaa, kuten asiakasrajapinnan chatbotteja, tekoälyllä tuotettua sisältöä ja korkean riskin järjestelmiä.
Yrityksille kyse ei ole vain lakitekstistä. Asetus vaikuttaa siihen, miten tekoälytyökalut hankitaan, dokumentoidaan, otetaan käyttöön ja selitetään asiakkaille, työntekijöille sekä kumppaneille. Käytännön varautuminen alkaa usein näkyvyydestä: yrityksen on tiedettävä, missä tekoälyä käytetään ja millä ehdoilla.
Mitä AI Actissa muuttuu yritysten kannalta?
EU:n tekoälyasetus rakentuu riskiluokittelun varaan. Osa tekoälyn käyttötavoista on kielletty, korkean riskin järjestelmille asetetaan laajoja velvoitteita ja tietyt järjestelmät kuuluvat läpinäkyvyysvaatimusten piiriin. Vähäisemmän riskin tekoälykäyttöä säädellään kevyemmin, mutta sekään ei poista tarvetta selkeille pelisäännöille.
Asetuksen voimaantulo on jaksotettu. Kiellettyjä tekoälykäytäntöjä koskevia sääntöjä alettiin soveltaa 2.2.2025. Yleiskäyttöisiä tekoälymalleja koskevat velvoitteet tulivat sovellettaviksi 2.8.2025. Laaja osa muista vaatimuksista, mukaan lukien monet läpinäkyvyys- ja avoimuusvaatimukset, tulee sovellettavaksi 2.8.2026.
Läpinäkyvyysvelvoitteet tarkoittavat esimerkiksi sitä, että käyttäjälle on tietyissä tilanteissa kerrottava, kun hän asioi tekoälyjärjestelmän kanssa. Tämä koskee erityisesti chatbotteja ja virtuaaliavustajia, ellei tekoälyn käyttö ole asiayhteydestä selvästi ilmeistä. Lisäksi tekoälyllä tuotetut tai manipuloidut kuvat, äänet ja videot, kuten deepfake-sisällöt, on tietyissä tilanteissa merkittävä tekoälyllä tuotetuiksi tai muokatuiksi.
Miksi asia on pk-yrityksille käytännössä tärkeä?
Tekoälyä ei käytetä enää vain teknologiayhtiöissä. Sitä on asiakaspalvelussa, markkinoinnissa, sisällöntuotannossa, raportoinnissa, rekrytoinnissa, taloushallinnossa, koulutusmateriaaleissa ja sisäisessä tiedonhaussa. Siksi AI Act koskee monia suomalaisia pk-yrityksiä riippumatta toimialasta.
Jos yritys käyttää verkkosivuillaan chatbotia, markkinoinnissa tekoälyllä tuotettuja videoita tai sisäisessä päätöksenteossa automatisoituja arviointityökaluja, käyttö kannattaa kirjata ja luokitella. Olennaista on selvittää, onko kyse vähäisen riskin avustavasta työkalusta, läpinäkyvyysvelvoitteen alaisesta järjestelmästä vai mahdollisesti korkean riskin tekoälystä.
Korkean riskin tekoälyä voi esiintyä esimerkiksi tietyissä biometriikan, kriittisen infrastruktuurin, koulutuksen, työllistämisen, luotonannon, lainvalvonnan, maahanmuuton ja oikeudenkäytön käyttötapauksissa. Näissä tilanteissa vaatimukset voivat koskea muun muassa riskienhallintaa, datanhallintaa, teknistä dokumentaatiota, lokitusta, ihmisen valvontaa, tarkkuuden seurantaa, kyberturvaa ja laadunhallintaa.
Miten muutos näkyy arjessa?
Yrityksen arjessa AI Act näkyy usein kolmessa kohdassa: hankinnoissa, viestinnässä ja järjestelmähallinnassa. Uutta tekoälytyökalua ei kannata ottaa käyttöön vain kokeilemalla, vaan ennen käyttöönottoa pitäisi selvittää vähintään käyttötarkoitus, käsiteltävä data, toimittajan vastuut, tietoturva, tietosuoja ja se, mitä käyttäjälle pitää kertoa.
Asiakasrajapinnassa muutos voi tarkoittaa selkeää ilmoitusta siitä, että keskustelukumppanina on tekoäly. Markkinoinnissa ja viestinnässä se voi tarkoittaa ohjeita tekoälyllä tuotettujen kuvien, videoiden ja äänien merkitsemiseen. IT-ympäristössä se tarkoittaa näkyvyyttä siihen, mitä tekoälypalveluita käytetään Microsoft 365 -ympäristössä, verkkosivustolla, asiakaspalvelussa ja selainpohjaisissa työkaluissa.
Suomi Solutions auttaa yrityksiä muuttamaan nämä havainnot konkreettisiksi toimenpiteiksi. Käytännössä tämä voi tarkoittaa tekoälytyökalujen kartoitusta, Microsoft 365 -ympäristön asetusten ja lokituksen tarkistamista, WordPress-sivuston chatbot- ja lisäosakäytön arviointia sekä henkilöstölle laadittavia selkeitä käyttöohjeita.
Sopimukset ja vastuut nousevat tärkeään rooliin
AI Act lisää tarvetta tarkentaa tekoälytoimittajien ja asiakasyritysten välisiä sopimuksia. Sopimuksissa kannattaa huomioida ainakin dokumentaatio, vastuunjako, lokit, tietoturva, tietosuoja, auditointioikeudet ja vaatimustenmukaisuuteen liittyvät velvoitteet. Tämä on erityisen tärkeää silloin, kun tekoälyratkaisu liittyy asiakasdataan, henkilötietoihin, päätöksentekoon tai liiketoiminnan kriittisiin prosesseihin.
Seuraamusmaksujen enimmäistasot tekevät aiheesta johdon riskienhallintakysymyksen. Vakavimmista rikkomuksista voidaan määrätä hallinnollinen seuraamusmaksu, joka voi olla enintään 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta. Muiden velvoitteiden rikkomuksissa enimmäistasot voivat olla alempia, esimerkiksi 15 miljoonaa euroa tai 3 prosenttia liikevaihdosta.
Sääntelyn toimeenpanossa on ollut myös epävarmuutta, koska aikatauluja ja keventämisehdotuksia on käsitelty EU-tasolla. Yrityksen ei silti kannata jäädä odottamaan täydellistä varmuutta. Jo nyt on järkevää rakentaa peruskyvykkyys: tiedetään, mitä tekoälyä käytetään, kuka vastaa käytöstä, mitä dataa käsitellään ja miten käyttäjille kerrotaan tekoälyn roolista.
Mitä yrityksen kannattaa tehdä nyt?
- Laadi tekoälykartoitus. Listaa käytössä olevat tekoälytyökalut, toimittajat, käyttötarkoitukset, käyttäjäryhmät, datalähteet ja liiketoimintaprosessit.
- Luokittele käyttötapaukset. Arvioi, onko kyse kielletystä käytöstä, korkean riskin järjestelmästä, läpinäkyvyysvelvoitteen alaisesta käytöstä vai vähäisemmän riskin työkalusta.
- Tarkista chatbotit ja virtuaaliavustajat. Varmista, että käyttäjä saa tarvittaessa selkeän ilmoituksen tekoälyn kanssa asioimisesta.
- Päivitä sisällöntuotannon ohjeet. Määritä, milloin tekoälyllä tuotettu tai muokattu kuva, ääni tai video merkitään tekoälyllä tuotetuksi.
- Käy sopimukset läpi. Tarkista tekoälytoimittajien vastuut, dokumentaatio, tietoturva, auditointi, tietosuoja ja lokitukseen liittyvät ehdot.
- Nimeä vastuutaho. Luo prosessi uusien tekoälytyökalujen hyväksymiselle ennen käyttöönottoa.
- Kouluta henkilöstöä. Käy läpi sallitut käyttötavat, liikesalaisuudet, henkilötiedot, sisällön tarkistaminen ja läpinäkyvyysvaatimukset.
Tekninen ympäristö kannattaa ottaa mukaan samaan tarkasteluun. WordPress-sivustojen chatbotit, lomakkeet ja lisäosat, Microsoft 365 -palveluiden tekoälyominaisuudet, selainlaajennukset ja pilvipohjaiset automaatiot muodostavat kokonaisuuden, jossa hallinta, käyttöoikeudet ja lokit ratkaisevat paljon. Suomi Solutions voi auttaa arvioimaan tämän kokonaisuuden käytännön tasolla, koventamaan palvelinympäristöä ja selkeyttämään ylläpidon vastuita.
AI Act -valmius kannattaa nostaa osaksi yrityksen riskienhallintaa samalla tavalla kuin tietosuoja ja kyberturva. Kun tekoälykäytöt on kartoitettu ja läpinäkyvyys on rakennettu osaksi prosesseja, yritys pystyy vastaamaan paremmin asiakkaiden, kumppaneiden ja viranomaisten kysymyksiin. Jos tarvitsette apua tekoälykäyttöjen kartoituksessa, WordPress-ympäristön tarkistamisessa, Microsoft 365 -hallinnassa tai henkilöstön käytännön ohjeistuksessa, Suomi Solutions auttaa etenemään hallitusti: https://suomisolutions.fi/
