Jos asutte Euroopan unionissa ja käytätte tekoälyä hyödyntäviä tuotteita tai palveluita henkilökohtaisissa tai liiketoiminnallisissa asioissa, EU:n tekoälyasetus vaikuttaa todennäköisesti teihin jollain tavalla.

Olette saattaneet jo nähdä jonkin sen vaikutuksista: tunnisteet tai ilmoitukset, jotka osoittavat, että kuva, video, äänileike tai muu sisältö on luotu tai sitä on muokattu tekoälyllä alustoilla, kuten Instagram tai TikTok(uusi ikkuna). Nämä tulivat sovellettaviksi elokuussa 2026 osana EU:n tekoälyasetuksen läpinäkyvyyssääntöjä, ja ne ovat osa paljon laajempaa lakia, joka otetaan käyttöön vaiheittain.

EU:n tekoälyasetus myös kieltää tiettyjä tekoälyn käyttötapoja, asettaa tiukkoja vaatimuksia korkeariskisiksi katsotuille järjestelmille ja määrittää sääntöjä tekoälyä kehittäville, tarjoaville tai käyttäville yrityksille, ja eri säännökset tulevat voimaan eri aikoina.

Mikä EU:n tekoälyasetus siis tarkalleen ottaen on, mitä tekoälyjärjestelmiä se koskee ja mitä se merkitsee teille tai yrityksellenne? Tässä on mitä teidän tulee tietää.

Mikä on EU:n tekoälyasetus?

EU:n tekoälyasetus on Euroopan unionin laki tekoälyn säätelemiseksi. Virallisesti asetuksena (EU) 2024/1689 tunnetun säädöksen tavoitteena on tehdä tekoälystä turvallisempaa, läpinäkyvämpää, luotettavampaa ja ihmiskeskeisempää samalla kun suojellaan perusoikeuksia ja mahdollistetaan innovaatiot sekä tekoälyn käyttöönotto EU:ssa.

Yksinkertaisesti sanottuna voitte pitää EU:n tekoälyasetusta tekoälyn GDPR:nä, vaikka se säätelee eri asioita: GDPR säätelee pääasiassa sitä, miten henkilötietoja kerätään ja käsitellään, kun taas EU:n tekoälyasetus säätelee sitä, miten tekoälyjärjestelmiä kehitetään, tarjotaan, julkaistaan ja käytetään, erityisesti silloin, kun ne voivat vaikuttaa ihmisten oikeuksiin, turvallisuuteen tai tärkeisiin elämänpäätöksiin.

Miten tekoälyn riskejä käsitellään EU:n tekoälyasetuksessa

Sen sijaan, että kaikkea tekoälyä säädeltäisiin samalla tavalla, EU:n tekoälyasetus noudattaa riskipohjaista lähestymistapaa, joka voidaan luokitella neljään tasoon:

  • Kestämätön (kielletty)
  • Korkeariskinen
  • Rajoitettu (läpinäkyvyys) riski
  • Matala riski tai ei riskiä

Ensimmäiset kahdeksan kieltoa tulivat voimaan helmikuussa 2025, ja viimeinen tulee voimaan joulukuussa 2026.

Yleisesti ottaen mitä suurempi mahdollinen haitta tekoälyjärjestelmästä voi aiheutua, sitä tiukemmat ovat säännöt. Laki ei muodollisesti määrittele neljää ”riskitasoa”, mutta sen säännöt ryhmitellään usein neljään laajaan luokkaan niiden ymmärtämisen helpottamiseksi.

Alla olevat esimerkit elävästä elämästä eivät ole EU:n tekoälyasetuksen alaisuudessa nostettuja tapauksia. Sen sijaan ne havainnollistavat sellaisia haittoja tai käyttötapoja, joita tekoälylailla pyritään estämään, rajoittamaan tai säätelemään EU:ssa.

Kestämättömän riskin tekoäly

Tiettyjä tekoälyn käyttötapoja pidetään sinällään kestämättöminä eikä sellaisina, joita voitaisiin hallita riskien lieventämisellä, dokumentoinnilla tai valvonnalla. Tässä on mitä on kielletty:

Manipulointi ja harhaanjohtaminen

Tekoäly, joka manipuloi tai johtaa harhaan ihmisiä tekemään haitallisia päätöksiä, joita he eivät muuten tekisi.

Belgialainen mies teki itsemurhan vuonna 2023(uusi ikkuna) sen jälkeen, kun tekoälychatti kannusti häntä ja peilasi hänen tunteitaan viikkojen ajan.

Haavoittuvassa asemassa olevien ihmisten hyväksikäyttö

Tekoäly, joka käyttää hyväkseen ihmisiä heidän ikänsä, vammaisuutensa tai sosiaalisen tai taloudellisen tilanteensa vuoksi.

Chatbot-alusta Character.AI ja Google sopivat tammikuussa 2026 sovittelevansa kanteet(uusi ikkuna) teineille aiheutuneista haitoista, mukaan lukien äidin nostaman kanteen, jonka teini-ikäinen poika teki itsemurhan kehitettyään syvän tunnesiteen chatbot-bottiin, joka kannusti häntä “tulemaan kotiin” sen luo.

Sosiaalinen pisteytys

Tekoäly, joka luokittelee ihmisiä heidän käyttäytymisensä tai henkilökohtaisten ominaisuuksiensa perusteella ja käyttää näitä pisteitä kohdellakseen heitä epäoikeudenmukaisesti.

Kiinan sosiaalista luottoluokitusjärjestelmää on käytetty estämään alhaisen pistemäärän saaneita kansalaisia ostamasta esimerkiksi lento- tai junalippuja. Vuonna 2021 Kiina allekirjoitti YK:n ei-sitovan lupauksen(uusi ikkuna) lopettaa sosiaalinen pisteytys, mutta se on vain jatkanut järjestelmän laajentamista siitä lähtien, eikä ole selvää, kuinka suuri osa siitä pyörii edelleen tekoälyllä.

Ennakoiva poliisitoimi

Tekoäly, joka ennustaa, syyllistyykö joku rikokseen pelkästään profiloinnin tai persoonallisuuden piirteiden perusteella. Muut tekoälyn käyttötavat lainsäädännön täytäntöönpanossa, kuten todisteiden arviointi tai riskin arviointi todennettavissa olevien tosiasioiden perusteella, ovat korkeariskisiä, mutta eivät kiellettyjä.

Joulukuussa 2025 Hollannin poliisi lopetti CAS:n käytön, kyseessä oli algoritmi, jota oli käytetty vuodesta 2017 lähtien ennustamaan, missä rikoksia todennäköisesti tapahtuu, sen jälkeen kun tarkastuksessa havaittiin tiettyjen naapurustojen historiallisen ylivalvonnan aiheuttama vahvistunut vääristymä.

Kasvontunnistustietokannat

Tekoäly, joka kerää erottelematta kuvia internetistä tai valvontakamerakuvista luodakseen kasvontunnistustietokantoja.

Yhdysvaltalainen yritys Clearview AI keräsi miljardeja verkkoon yhdistettyjä valokuvia (mukaan lukien monien EU-kansalaisten kuvia) viranomaisille ja hallintoelimille, ja EU-sääntelijät ovat mätkäisseet sille kymmenien miljoonien eurojen sakot(uusi ikkuna).

Tunteiden tunnistus

Tekoäly, joka yrittää päätellä, miltä työntekijöistä tai opiskelijoista tuntuu työpaikoilla tai kouluissa, lukuun ottamatta aitoja lääketieteellisiä tai turvallisuussyitä. Tunteiden tunnistaminen näiden kahden ympäristön ulkopuolella kuuluu korkeariskisten sääntöjen piiriin sen sijaan, että se olisi kiellettyä.

Vuonna 2018 yläkoulu Hanzhoussa, Kiinassa, asensi luokkahuonekameroita(uusi ikkuna), jotka skannaavat opiskelijoiden kasvoja mitatakseen, kuinka tarkkaavaisia ja keskittyneitä he olivat, mikä herätti valtakunnallisen keskustelun lasten valvonnasta. Ohjelma pysäytettiin tietojen mukaan vastareaktion jälkeen, mutta samanlainen valvonta levisi pian muihin kouluihin.

Vuoteen 2022 mennessä jotkut olivat siirtyneet aivoaaltoja mittaaviin pantoihin, ja valvonta laajeni etäopiskeluun ja kesäläksyjen seurantaan(uusi ikkuna).

Arkaluonteinen biometrinen profilointi

Tekoäly, joka käyttää biometrisiä tietoja päätelläkseen ominaisuuksia, kuten rodun, poliittiset näkemykset, ammattiliiton jäsenyyden, uskonnon, sukupuolielämän tai seksuaalisen suuntautumisen. Biometrinen luokittelu muihin tarkoituksiin on korkeariskistä, ei kiellettyä.

Vuonna 2025 Maailman uiguurien kongressi haastoi oikeuteen(uusi ikkuna) Hikvisionin, Huawein ja Dahuan Ranskassa väittäen, että kasvontunnistusteknolgia auttoi uiguurien tunnistamisessa ja vainoamisessa.

Poliisin suorittama reaaliaikainen kasvontunnistus

Lainvalvontaviranomaisten julkisissa tiloissa käyttämä reaaliaikainen kasvontunnistus, lukuun ottamatta pientä määrää tiukasti valvottuja tapauksia, kuten kadonneiden tai kaapattujen henkilöiden löytämistä, välittömän uhan ehkäisemistä tai vakavista rikoksista epäiltyjen paikantamista. Kasvontunnistus, joka ei ole reaaliaikaista, ei tapahdu julkisessa tilassa tai jota ei käytä lainvalvontaviranomainen, on korkeariskistä kielletyn sijaan.

Vuonna 2025 Unkari kielsi LGBTQ Pride -tapahtumat ja sääti lain, jonka mukaan poliisi saa käyttää reaaliaikaista kasvontunnistusta osallistujien tunnistamiseen. Kansalaisvapausryhmät haastoivat lain(uusi ikkuna) väittäen sen rikkovan suoraan EU:n tekoälyasetuksen 5 artiklaa. Huhtikuussa 2026 EU:n ylimpänä tuomioistuimena toimiva tuomioistuin päätti, että Unkari oli rikkonut LGBTQ-ihmisten perusoikeuksia; Pride-järjestäjiä vastaan nostetut syytteet hylättiin, ja samassa kuussa tapahtunut hallituksen vaihdos mitätöi kiellon.

Seksuaalinen hyväksikäyttö ja ilman suostumusta luotu intiimi sisältö

Tekoälyjärjestelmät, jotka luovat lasten seksuaalista hyväksikäyttöä kuvaavaa materiaalia (CSAM) tai jotka luovat tai muokkaavat seksuaalisesti eksplisiittisiä tai intiimejä kuvauksia todellisista, tunnistettavista ihmisistä ilman heidän suostumustaan.

Grokilla, X-palveluun sisäänrakennetulla tekoälychatbotilla, oli ”spicy tila”, joka loi seksualisoituja syväväärennöksiä todellisista ihmisistä, mukaan lukien lapsista, tuottaen yli 4,4 miljoonaa kuvaa hieman yli 9 päivässä. Tammikuussa 2026 Yhdysvaltain osavaltioiden syyttäjät vaativat, että xAI poistaa ominaisuuden, ja useita oikeusjuttuja seurasi(uusi ikkuna).

Korkeariskinen tekoäly

Korkeariskiset tekoälyjärjestelmät ovat sallittuja EU:n markkinoilla, kunhan tarjoaja täyttää vaativat velvoitteet. Tekoälyjärjestelmä katsotaan korkeariskiseksi toisella kahdesta tavasta:

  1. Se on tuote tai tuotteen turvallisuuskomponentti, joka kuuluu jo EU:n tuoteturvallisuuslainsäädännön piiriin ja johon sovelletaan ulkopuolisen tahon vaatimustenmukaisuuden arviointia, kuten lääkinnälliset laitteet, koneet, hissit tai lelut. Nämä järjestelmät luokitellaan korkeariskisiksi artiklan 6(1) ja liitteen I mukaisesti, ja niihin sovelletaan korkeariskisiä velvoitteita elokuusta 2028 alkaen.
  2. Se kuuluu johonkin artiklan 6(2) ja liitteen III luetelluista erityisistä käyttötapausluokista. Tämän ryhmän velvoitteet alkavat joulukuussa 2027 ja sisältävät seuraavat:

Biometria

Tähän sisältyy etänä tapahtuva biometrinen tunnistus, joka ei ole reaaliaikaista, ei tapahdu julkisesti saatavilla olevassa tilassa tai jota ei käytä lainvalvontaviranomainen, biometrinen luokittelu muihin tarkoituksiin kuin edellä kiellettyjen arkaluonteisten ominaisuuksien päättelyyn sekä tunteiden tunnistaminen työpaikan tai koulutusyhteyden ulkopuolella (tämä ei koske perusmuotoista biometristä vahvistusta, kuten puhelimen lukituksen avaamista kasvoilla).

Ruotsalainen lukio kokeili kasvontunnistusta opiskelijoiden läsnäolon seurantaan vuonna 2019. Ruotsin tietosuojaviranomainen sakotti koulua(uusi ikkuna) katsoen, että opiskelijat eivät voineet antaa pätevää suostumusta ottaen huomioon heidän riippuvuutensa koulusta.

Kriittinen infrastruktuuri

Tekoälyä, joka hallitsee digitaalista infrastruktuuria, tieliikennettä tai veden, kaasun, lämmityksen tai sähkön jakelua, pidetään korkeariskisenä.

Elokuussa 2024 Praha julkaisi tekoälypohjaisen liikenteenohjausjärjestelmän(uusi ikkuna), joka säätää liikennevalojen ajoitusta reaaliajassa nykytilanteen mukaan ja asettaa julkisen liikenteen ja hälytysajoneuvot etusijalle. Se on yksi ensimmäisistä tämäntyyppisistä laajamittaisista käyttöönotoista Euroopassa.

Koulutus ja ammatillinen koulutus

Tekoälyä, joka päättää, kuka pääsee kouluun tai koulutusohjelmaan, arvostelee suorituksia, arvioi jollekulle sopivaa koulutustasoa tai suorittaa opiskelijoiden valvontaa kokeiden aikana, pidetään korkeariskisenä.

Englannin tutkintoviranomainen käytti algoritmia vuoden 2020 arvosanojen määrittämiseen sen jälkeen, kun koronaviruspandemia peruutti kokeet, alentaen monien opiskelijoiden arvosanoja(uusi ikkuna) ja asettaen heikommin menestyneiden koulujen opiskelijat epäedulliseen asemaan. Tämä aiheutti protesteja ja hallituksen päätöksen pyörtämisen.

Työllisyys ja työntekijöiden hallinta

Tämä koskee tekoälyä, jota käytetään työnhakijoiden seulontaan tai arviointiin tai joka vaikuttaa ylennyksiin, tehtävien jakoon tai suorituskyvyn valvontaan työssä.

Italialainen tuomioistuin päätti Deliveroon lähettien luokittelu-algoritmin(uusi ikkuna) olevan syrjivä(uusi ikkuna), koska se rankaisi ruoankuljettajia heikosta saatavuudesta ilman, että tunnistettaisiin hyväksyttäviä syitä, kuten sairautta tai lakkoja. Deliveroo määrättiin maksamaan vahingonkorvauksia.

Olennaiset palvelut

Tekoälyä, joka päättää oikeudesta julkisiin etuuksiin tai terveydenhuoltoon, arvioi luottokelpoisuutta, hinnoittelee henki- tai terveysvakuutuksia tai tekee hätäpuheluiden hoidon tarpeen arviointia, pidetään korkeariskisenä.

Hollannin veroviranomaiset käyttivät algoritmista petosriskijärjestelmää, joka merkitsi virheellisesti noin 26 000 vanhempaa(uusi ikkuna) ja kohdistui suhteettomasti kaksoiskansalaisuuden omaaviin ihmisiin etuuksien takaisinperinnässä. Skandaali kaatoi Hollannin hallituksen tammikuussa 2021.

Lainvalvonta

Tekoälyä, joka arvioi uhrin tai rikoksentekijän riskiä, arvioi todisteiden luotettavuutta tai profiloi ihmisiä rikostutkinnan aikana, pidetään korkeariskisenä.

Englanti ja Wales käyttävät OASys-järjestelmää arvioimaan yli 7 miljoonan ihmisen uusintarikollisuuden riskiä(uusi ikkuna), mikä vaikuttaa takuu-, tuomio- ja ehdonalaiseen pääsyä koskeviin päätöksiin. Viralliset arvioinnit osoittivat, että se on vähemmän tarkka tummaihoisille, aasialaisille ja monietnisille henkilöille kuin valkoisille rikoksentekijöille, ja vangit voivat vain rajoitetusti riitauttaa heidän pisteisiinsä käytetyt epätarkat tiedot. Korvaavaa järjestelmää (ARNS) kehitetään, ja valtakunnallinen käyttöönotto on tavoitteena vuonna 2026.

Maahanmuutto, turvapaikka ja rajavalvonta

Tämä koskee tekoälyä, joka arvioi turvallisuus- tai maahanmuuttoriskiä, tutkii turvapaikkahakemuksia tai tunnistaa ihmisiä rajalla.

Yhdistyneen kuningaskunnan sisäministeriö hylkäsi marokkolaisen naisen ja hänen lapsensa turvapaikkahakemuksen(uusi ikkuna) viitaten turvallisuusasiakirjaan, jota ei ollut olemassa. Valituksessa ylemmän tuomioistuimen tuomari esitti, että hylkäyskirje näytti merkkejä tekoälyn hallusinaatiosta, ja kutsui sitä ”rinnastettavaksi väärennettyihin todisteisiin tukeutumiseen”.

Oikeuslaitos ja demokraattiset prosessit

Tekoälyä, joka avustaa tuomareita tosiseikkojen tai lain tulkinnassa, tai järjestelmiä, jotka voisivat vaikuttaa vaalituloksiin tai siihen, miten ihmiset äänestävät, pidetään korkeariskisinä.

Ehkä tunnetuin esimerkki — Cambridge Analytica keräsi tietoja jopa 87 miljoonalta Facebook-käyttäjältä ilman suostumusta rakentaakseen psykografisia profiileja kohdennettuja poliittisia mainoksia varten(uusi ikkuna), erityisesti vuoden 2016 Trumpin kampanjaa ja Brexit-äänestystä varten.

Korkeariskisten tekoälyjärjestelmien vaatimukset

EU:n tekoälyasetuksen mukaan korkeariskisten tekoälyjärjestelmien on täytettävä tiukat vaatimukset ennen kuin ne voidaan saattaa markkinoille tai ottaa käyttöön. Näitä ovat:

Riskienhallinta: Tarjoajien on tunnistettava, arvioitava ja vähennettävä mahdollisia riskejä järjestelmän koko elinkaaren ajan.

Tietojen laatu: Koulutus-, vahvistus- ja testausdata täytyy olla asianmukaista ja sitä on hallittava virheiden ja syrjivien tulosten vähentämiseksi.

Lokikirjaus ja jäljitettävyys: Järjestelmien on pidettävä kirjaa toiminnastaan, jotta niiden toiminta ja tulokset voidaan jäljittää.

Tekninen dokumentaatio: Tarjoajien on dokumentoitava, miten järjestelmä toimii, mihin se on suunniteltu ja miten se noudattaa tekoälyasetusta.

Tiedot käyttöönottajille: Järjestelmää käyttävien henkilöiden ja organisaatioiden on saatava selkeät ohjeet sen suorituskyvystä, rajoituksista ja asianmukaisesta käytöstä.

Ihmisen suorittama valvonta: Järjestelmät on suunniteltava siten, että pätevät henkilöt voivat ymmärtää, valvoa ja puuttua niiden toimintaan tarvittaessa.

Tarkkuus, vankkuus ja kyberturvallisuus: Järjestelmien on täytettävä asianmukaiset standardit tarkkuuden, luotettavuuden, joustavuuden ja tietoturvauhkilta suojaamisen osalta.

Kuitenkin artiklassa 6(3) säädetään tietyistä poikkeuksista liitteessä III luetelluille tekoälyjärjestelmille. Niitä ei pitäisi pitää korkeariskisinä, jos ne eivät ”aiheuta merkittävää haittariskiä luonnollisten henkilöiden terveydelle, turvallisuudelle tai perusoikeuksille, mukaan lukien se, etteivät ne vaikuta olennaisesti päätöksenteon tulokseen.” Artikla 6(3) sisältää lisää tietoja siitä, miten määritellään, kuuluuko tekoälyjärjestelmä tämän poikkeuksen piiriin.

Läpinäkyvyysriskin (rajoitetun riskin) tekoäly

Läpinäkyvyysriskin osalta 50 artiklassa keskitytään tekoälyyn, joka voi tehdä ihmisille vaikeaksi erottaa tekoälyn luomaa ja ihmisen luomaa sisältöä. Huolena on pääasiassa harhaanjohtaminen, valepuvussa esiintyminen, desinformaatio, manipulointi ja kuluttajapetokset. Nämä järjestelmät ovat yleensä sallittuja, mutta tarjoajien ja käyttöönottojien on tehtävä tekoälyn käytöstä riittävän läpinäkyvää. Artiklan 50 läpinäkyvyysvelvoitteet tulivat voimaan elokuussa 2026.

Tekoälyn läpinäkyvyyssäännöt kattavat neljä pääasiallista tilannetta:

Tekoälyvuorovaikutus

Kun tekoälyjärjestelmä on suorassa vuorovaikutuksessa henkilön kanssa, tarjoajan on tehtävä selväksi, että he ovat vuorovaikutuksessa tekoälyn eikä ihmisen kanssa. Tämä voi koskea vuorovaikutteisia järjestelmiä, joihin kuuluu keskustelutekoäly tai asiakaspalveluedustajia.

Tekoälyä koskeva ilmoitus on annettava ensimmäisen vuorovaikutuksen alusta alkaen sekä saavutettavalla, selkeällä ja erottuvalla tavalla. Vain taustalla pyörivä tai koneiden välistä viestintää hoitava tekoäly ei kuulu tämän erityisvaatimuksen piiriin.

Tavanomainen tekoälyn luoma sisältö

Tekoälyjärjestelmien tarjoajien, jotka luovat tai muokkaavat tekstiä, kuvia, ääntä tai videota, on tehtävä tuotoksesta teknisesti tunnistettavissa tekoälyn luomaksi tai muokkaamaksi, esimerkiksi koneluettavien metatietojen avulla.

Tämä ei välttämättä tarkoita näkyvän tunnisteen lisäämistä sisältöä katselevalle henkilölle. Yksinkertaiset muokkaustyökalut, jotka eivät olennaisesti muuta syötettyä dataa tai sen merkitystä, on vapautettu tästä.

Syväväärennökset ja tietty yleisen edun mukainen sisältö

Jos organisaatio luo tai muokkaa syväväärennettyjä kuvia, ääntä tai videota, pelkkä koneluettava merkintä ei riitä. Heidän on ilmoitettava siitä selkeästi yleisölle helposti havaittavalla tavalla, kuten näkyvän tunnisteen tai kuuluvalla ilmoituksella.

Samaa standardia sovelletaan tekoälyn luomaan tai muokkaamaan tekstiin, joka julkaistaan tiedottamaan yleisölle yleistä etua koskevista asioista, ellei ihminen ole arvioinut sitä mielekkäästi ja ottanut siitä toimituksellista vastuuta.

Tunteiden tunnistaminen ja biometrinen luokittelu

Ihmisille on tiedotettava, kun tekoälyä käytetään heidän tunteidensa havaitsemiseen tai luokitteluun biometristen tietojen avulla; tätä sovelletaan riippumatta siitä, luokitellaanko järjestelmä myös korkeariskiseksi.

Matalan riskin tai riskitön tekoäly

Useimmat tekoälyjärjestelmät kuuluvat tähän luokkaan, eikä niihin sovelleta tekoälyasetuksen mukaisia ylimääräisiä pakollisia vaatimuksia. Esimerkkejä ovat roskapostisuodattimet ja peleissä käytettävä tekoäly. Tarjoajat voivat silti vapaaehtoisesti noudattaa parhaita käytäntöjä ja toimintasääntöjä.

Mitä GPAI-mallit ovat ja mitä velvoitteita niillä on?

GPAI-mallit (yleiskäyttöiset tekoälymallit) ovat tekoälymalleja, jotka on suunniteltu käsittelemään monia eri tehtäviä yhden tietyn ja kapea-alaisen tarkoituksen sijaan. Esimerkkejä GPAI-malleista ovat suuret kielimallit (LLM), jotka pyörittävät palveluita ChatGPT, Gemini, Claude ja Meta AI. Ne voivat luoda tai analysoida sisältöä ja niitä voidaan integroida muihin tekoälyjärjestelmiin ja sovelluksiin.

GPAI-malleihin sovelletaan omia vaatimuksiaan tekoälyasetuksen nojalla. Tarjoajien on ylläpidettävä teknistä dokumentaatiota, annettava jatkokehittäjille tietoa mallin suorituskyvystä ja rajoituksista, noudatettava EU:n tekijänoikeussääntöjä ja julkaistava julkinen yhteenveto, jossa kuvataan mallin kouluttamiseen käytetyt tietotyypit (kuten teksti, kuvat, ääni tai video) ja lähteet (esimerkiksi julkiset aineistot, yksityiset aineistot, kerätyt verkkosivustot, käyttäjätiedot tai synteettiset tiedot).

GPAI-malleihin, jotka aiheuttavat systeemisen riskin — eli ovat riittävän tehokkaita tai laajalle levinneitä, jotta niihin liittyvät ongelmat voisivat aiheuttaa laajamittaista haittaa koko EU:ssa — kohdistuu lisävaatimuksia, kuten mallien arviointeja ja hyökkäystestausta, jatkuvaa riskienhallintaa, vaaratilanteista ilmoittamista ja tiukempia kyberturvallisuussuojauksia.

Kieltääkö EU:n tekoälyasetus tekoälyjärjestelmiä käyttämästä ihmisten tietoja tekoälyn kouluttamiseen?

Ei. EU:n tekoälyasetus ei kiellä människunnan tietojen käyttöä tekoälyn kouluttamiseen. Se vaatii korkeariskisiä järjestelmiä käyttämään hyvälaatuista dataa ja yleiskäyttöisten tekoälyjen tarjoajia olemaan läpinäkyviä siitä, millä dataa on koulutettu, mutta sitä, voidaanko henkilötietoja laillisesti käyttää tekoälyn kouluttamiseen, säätelee pääasiassa GDPR. Yrityksillä on oltava voimassa oleva laillinen peruste henkilötietojen käsittelylle ja niiden on kunnioitettava sovellettavia tietosuojaoikeuksia ja suojatoimia.

Suojaako EU:n tekoälyasetus immateriaalioikeuksia?

Kyllä, mutta vain rajoitetulla ja epäsuoralla tavalla. EU:n tekoälyasetus ei luo uusia immateriaalioikeuksia eikä korvaa nykyistä tekijänoikeuslainsäädäntöä. Se kuitenkin edellyttää GPAI-tarjoajien noudattavan EU:n tekijänoikeussääntöjä, kunnioittavan oikeudenhaltijoiden kieltäytymisiä tekstin- ja datanlouhinnasta ja julkaisevan yhteenvedon malliensa kouluttamiseen käytetystä sisällöstä.

EU:n tekoälyasetuksen täytäntöönpanon aikajana

Tässä on tärkeitä päivämääriä, jotka teidän tulee tietää:

1. elokuuta 2024: EU:n tekoälyasetus tuli voimaan.

2. helmikuuta 2025: Asetuksen yleisiä säännöksiä ja määritelmiä alettiin soveltaa, samoin kuin ensimmäisiä kahdeksaa kieltoa kielletyistä tekoälykäytännöistä. Vaatimukset tarjoajille ja käyttöönottojille tukea henkilöstön tekoälylukutaitoa alkoivat myös koskea heitä.

2. elokuuta 2025: GPAI-malleja koskevat säännöt tulivat voimaan, samoin kuin tekoälyn hallintoa ja karistuksia koskevat säännökset.

27. heinäkuuta 2026: AI Omnibus tuli voimaan. Virallisesti asetuksena (EU) 2026/1744 tunnettu AI Omnibus on vuoden 2026 muutos EU:n tekoälyasetukseen, jonka tarkoituksena on yksinkertaistaa sen täytäntöönpanoa, vähentää noudattamista koskevaa taakkaa ja antaa yrityksille ja sääntelijöille enemmän aikaa valmistautua säilyttäen samalla asetuksen keskeiset turvallisuus- ja perusoikeussuojat.

2. elokuuta 2026: Suurin osa muusta tekoälyasetuksesta tuli sovellettavaksi, mukaan lukien läpinäkyvyyssäännöt, jotka edellyttävät ilmoittamista tai teknistä merkintää tietyille tekoälyjärjestelmille ja tekoälyn luomalle sisällölle.

2. joulukuuta 2026: Yhdeksäs kielto, joka kattaa tekoälyn luoman CSAM-materiaalin ja ilman suostumusta luodut seksuaalisesti eksplisiittiset tai intiimit kuvaukset, tulee voimaan. Niiden tekoälyjärjestelmien tarjoajien, jotka on saatettu markkinoille ennen 2. elokuuta 2026 ja jotka luovat synteettistä tekstiä, kuvia, ääntä tai videota, on myös noudatettava asetuksen koneluettavia merkintävaatimuksia tähän päivämäärään mennessä.

2. elokuuta 2027: EU:n jäsenvaltioilla on oltava saatavilla vähintään yksi kansallinen tekoälyn sääntelyn hiekkalaatikko tähän päivämäärään mennessä, jotta yritykset voivat kehittää ja testata tekoälyjärjestelmiä sääntelyvalvonnassa.

2. joulukuuta 2027: Korkeariskisiä tekoälysääntöjä aletaan soveltaa järjestelmiin, joita käytetään arkaluonteisilla alueilla, kuten biometriassa, kriittisessä infrastruktuurissa, koulutuksessa, työllisyydessä, olennaisissa palveluissa, lainvalvonnassa, maahanmuutossa ja oikeudenhoidossa.

2. elokuuta 2028: Korkeariskisiä vaatimuksia aletaan soveltaa tekoälyjärjestelmiin, jotka ovat osa EU:n tuotelainsäädännön piiriin kuuluvia säänneltyjä tuotteita tai niiden turvallisuuskomponentteja, kuten tietyt koneet, lääkinnälliset laitteet, lelut ja hissit.

Miten valmistella yrityksenne EU:n tekoälyasetuksen noudattamiseen

Yrityksille suurin käytännön muutos on se, että noudattaminen alkaa sen selvittämisestä, mikä tehtävä yrityksellä on ja millaista tekoälyä se käyttää. Yrityksellä, joka yksinkertaisesti käyttää tekoälypohjaista kirjoitusavustajaa, on huomattavasti vähemmän velvoitteita kuin yrityksellä, joka kehittää rekrytointialgoritmin, myy tekoälyllä toimivan lääkinnällisen laitteen tai tarjoaa GPAI-mallin. Asetusta voidaan soveltaa myös EU:n ulkopuolisiin yrityksiin, jos ne saattavat tekoälyjärjestelmiä tai GPAI-malleja EU:n markkinoille tai jos niiden tekoälyjärjestelmän tuotosta käytetään EU:ssa.

Valmistautuaksenne EU:n tekoälyasetuksen noudattamiseen ja sen ylläpitämiseen yrityksenne tulisi:

Tietää mitä tekoälyä käytätte: Pitäkää kirjaa tiimienne käyttämistä tekoälyjärjestelmistä (mukaan lukien ulkopuolisen tahon työkalut) ja ymmärtäkää, mihin niitä käytetään. Tähän voi sisältyä tekoäly, jota käytetään henkilöstöhallinnossa, asiakaspalvelussa, markkinoinnissa, tietoturvassa, analytiikassa ja muissa liiketoimintaprosesseissa.

Määrittäkää tehtävänne: Selvittäkää, onko yrityksenne tarjoaja, joka kehittää tai myy tekoälyjärjestelmää, käyttöönottoja, joka käyttää sitä, vai maahantuoja tai jakelija. Eri tehtäviin sovelletaan erilaisia velvoitteita.

Luokitella tekoäly riskin mukaan: Tarkistakaa, onko jokin tekoälyn käyttö kiellettyä, korkeariskistä, läpinäkyvyysvaatimusten alaista vai vähimmäisriskiä. Jos käytätte tekoälyä esimerkiksi työnhakijoiden seulontaan, säännöt ovat huomattavasti tiukemmat kuin tekoälypohjaisille roskapostisuodattimille.

Lopettaa kielletty tekoälyn käyttö: Tarkastakaa tekoälytyökalunne ja työnkulkunne kiellettyjen käytäntöjen varalta ja poista käytöstä tai korvatkaa järjestelmät, jotka ylittävät rajan. Keskittykää erityisesti tekoälyyn, jota käytetään työntekijöiden valvontaan, ihmisten profilointiin, biometristen tietojen analysointiin, käyttäytymisen manipulointiin tai arkaluonteisten arvioiden tekemiseen yksilöistä.

Kouluttakaa tekoälyä käyttävät työntekijät: Tarjoajien ja käyttöönottojien on ryhdyttävä toimenpiteisiin tukeakseen tekoälylukutaitoa työntekijöiden ja muiden heidän puolestaan tekoälyjärjestelmiä käyttävien keskuudessa. Koulutuksen tulisi heijastaa sitä, miten tekoälyä tosiasiallisesti käytetään ja mitä riskejä siihen liittyy.

Täyttäkää tekoälyn läpinäkyvyysvaatimukset: Saatatte joutua kertomaan ihmisille, kun he ovat vuorovaikutuksessa tekoälyn kanssa, merkitsemään tietyn tekoälyn luoman tai muokkaaman sisällön tai tiedottamaan ihmisille, kun sallittuja tunteiden tunnistus- tai biometrisiä luokittelujärjestelmiä käytetään.

Soveltakaa tiukempia valvontatoimia korkeariskiseen tekoälyyn: Tarjoajien on hallittava riskejä, käytettävä asianmukaista dataa, pidettävä dokumentaatiota ja lokeja, varmistettava ihmisen suorittama valvonta ja täytettävä tarkkuus-, turvallisuus- ja luotettavuusvaatimukset. He saattavat myös joutua suorittamaan vaatimustenmukaisuuden arviointeja ja rekisteröimään järjestelmän. Korkeariskistä tekoälyä käyttävien yritysten on noudatettava tarjoajan ohjeita, valvottava sen suorituskykyä ja pidettävä vaaditut kirjanpidot.

Tarkistaa GPAI-velvoitteet: Jos tarjoatte GPAI-malleja, teillä on erilliset vaatimukset, jotka kattavat teknisen dokumentaation, tiedot jatkokehittäjille, tekijänoikeuksien noudattamisen ja yhteenvedot koulutussisällöstä. Malleihin, jotka aiheuttavat systeemisen riskin, kohdistuu ylimääräisiä turvallisuus- ja kyberturvallisuusvaatimuksia.

Tarkistaa tekoälyntoimittajat: Jos käytätte ulkopuolisen tahon tekoälyä, tarkistakaa toimittajien tarjoamat järjestelmät, miten ne on luokiteltu, mitä dokumentaatiota on saatavilla ja kuka on vastuussa EU:n tekoälyasetuksen kunkin osan noudattamisesta. Tiettyjen tekoälyjärjestelmien muokkaaminen tai uudelleenbrändäys voi myös siirtää tarjoajan vastuita yrityksellenne.

Pitää tekoälyn hallinto ajan tasalla: Tekoälyjärjestelmät, niiden käyttötavat ja laki voivat muuttua. Yritysten tulisi dokumentoida, miten tekoälyä käytetään, valvoa järjestelmiä uusien riskien tai vaaratilanteiden varalta ja arvioida noudattamista uudelleen, kun tekoälyjärjestelmää muutetaan olennaisesti tai sen käyttötarkoitusta muutetaan.

Tekoälyasetuksen noudattaminen ei korvaa muita lakisääteisiä velvoitteita. Henkilötietoja, tekijänoikeudella suojattua materiaalia tai tekoälyä säännellyillä aloilla käyttävien yritysten saattaa joutua noudattamaan myös muita lakeja, kuten GDPR:ää, EU:n tekijänoikeussääntöjä, kuluttajansuojalakia ja toimialakohtaisia säädöksiä.

Rakenna yksityisyyskeskeinen lähestymistapa tekoälyyn

EU:n tekoälyasetus noudattaa riskipohjaista lähestymistapaa tekoälyyn, eikä teidän tarvitse välttämättä itse käyttää tekoälyä tullaksenne sen vaikuttamaksi. Jos asutte EU:ssa, tekoäly voi vaikuttaa näkemäänne sisältöön, palveluihin, joiden kanssa olette vuorovaikutuksessa, tai teitä koskeviin päätöksiin, kuten siihen, voitteko ostaa tiettyjä asioita. Asetukseen tutustuminen voi siten auttaa teitä ymmärtämään, milloin tekoälystä on ilmoitettava, mitä suojauksia sovelletaan ja milloin voitte kyseenalaistaa tai riitauttaa tekoälyjärjestelmän käyttötavan.

Yrityksille velvoitteet riippuvat siitä tehtävästä, joka organisaatiolla on, miten sen tekoälyjärjestelmiä käytetään ja mikä on niihin liittyvä riskitaso.

Ihmisille, jotka päättävät käyttää tekoälyä, Lumo tarjoaa yksityisyyskeskeisen, eurooppalaisen tekoälyvaihtoehdon. Tekoälyavustajamme ei koskaan pidä lokia keskusteluistanne eikä kouluta dataanne. Dataanne on suojattu nollapääsysalauksella, jotta vain te voitte lukea sen. Edes Proton ei voi nähdä dataanne.

Samat suojaukset koskevat myös palvelua Lumo for Business, tiimeille suunnattua tekoälyavustajaamme, jonka avulla organisaatiot voivat tarjota työntekijöille hyväksytyn tekoälytyökalun ja samalla pitää yrityksen luottamukselliset, asiakkaiden ja muut arkaluonteiset tiedot yksityisinä. Lumon käyttö ei sellaisenaan tee yrityksestä EU:n tekoälyasetuksen mukaista, mutta se voi tukea yksityisyystietoisempaa lähestymistapaa tekoälyn käyttöönottoon ja hallintaan koko organisaatiossa.

Keskustele Lumon kanssa(uusi ikkuna) Hanki Lumo for Business

Jos tekoäly on teille uutta tai haluatte ymmärtää näiden sääntöjen taustalla olevaa teknologiaa, tutustukaa tekoälyoppaaseemme syventyäksenne tekoälyn yksityisyyteen, valvontaan, tietoturvariskeihin sekä yleiskatsaukseen joidenkin suosituimpien tekoälyntarjoajien usein harhaanjohtavista käytännöistä.