EU:n tekoälyasetus 2025: Kaikki, mitä sinun tarvitsee tietää pysyäksesi ajan tasalla

Johdanto ja lainsäädännöllinen yleiskatsaus

Euroopan unionin tekoälyasetus (EU AI Act) on maailman ensimmäinen kattava tekoälyä sääntelevä kehys, jonka tavoitteena on varmistaa luotettava tekoäly, joka turvaa turvallisuuden, perusoikeudet ja yhteiskunnalliset arvot digital-strategy.ec.europa.eu. Lain ehdotti Euroopan komissio huhtikuussa 2021, ja laajojen neuvottelujen jälkeen se hyväksyttiin virallisesti kesällä 2024 europarl.europa.eu europarl.europa.eu. Se perustaa riskiperusteisen lähestymistavan tekoälyn hallintaan ja asettaa velvoitteita, jotka ovat suhteutettu tekoälyjärjestelmän aiheuttaman mahdollisen haitan mukaan artificialintelligenceact.eu.

Lainsäädännöllinen aikajana: Keskeisiä virstanpylväitä ovat Euroopan parlamentin hyväksyntä vuosina 2023–2024 ja virallinen julkaisu 12. heinäkuuta 2024, mikä käynnisti asetuksen voimaantulon 1. elokuuta 2024 artificialintelligenceact.eu artificialintelligenceact.eu. Säännökset kuitenkin astuvat voimaan asteittain seuraavien vuosien aikana:

2.2.2025: Kielletyn riskin tekoälyjärjestelmät kielletään. Kaikki tekoälykäytännöt, jotka luokitellaan ”hyväksymättömän riskin” järjestelmiksi (ks. alla), kielletään tästä päivästä lähtien europarl.europa.eu. EU-jäsenvaltiot aloittavat myös tekoälytietoisuusohjelmien toteutuksen, jotta kansalaiset saisivat tietoa tekoälystä artificialintelligenceact.eu.
2.8.2025: Läpinäkyvyys- ja hallintavaatimukset voimaan. Uudet säännöt yleiskäyttöisille tekoälymalleille (perusmallit) sekä tekoälyn hallintaelimille tulevat voimaan artificialintelligenceact.eu digital-strategy.ec.europa.eu. EU-tason Tekoälytoimisto (selitetään myöhemmin) aloittaa toimintansa, ja rangaistuksia sääntöjen rikkomisesta voidaan määrätä tästä päivästä alkaen orrick.com orrick.com.
2.8.2026: Keskeiset vaatimukset koskevat kaikkia. Suurin osa tekoälyasetuksen velvoitteista – erityisesti korkean riskin tekoälyjärjestelmien osalta – tulee pakollisiksi 24 kuukautta voimaantulon jälkeen digital-strategy.ec.europa.eu. Tähän mennessä uusien korkean riskin tekoälyjen toimittajien täytyy täyttää asetuksen vaatimukset ennen tuotteiden tuomista EU-markkinoille.
2.8.2027: Pidennetyt siirtymäajat päättyvät. Tietyissä säädellyissä tuotteissa käytettävillä tekoälyillä (kuten tekoälypohjaiset lääkinnälliset laitteet) on pidempi siirtymäaika (36 kuukautta) vuoteen 2027 asti digital-strategy.ec.europa.eu. Lisäksi jo olemassa olevien yleiskäyttöisten tekoälymallien tarjoajien (markkinoilla ennen elokuuta 2025) on päivitettävä mallinsa vastaamaan asetuksen vaatimuksia vuoteen 2027 mennessä artificialintelligenceact.eu.

Tämä vaiheittainen aikataulu antaa organisaatioille aikaa sopeutua, samalla kun varhaiset toimet (kuten haitallisten tekoälykäyttöjen kielto) puuttuvat pikaisesti vakavimpiin riskeihin europarl.europa.eu. Seuraavaksi pureudumme asetuksen riskiluokitukseen ja sen merkitykseen tekoälysidosryhmille.

Riskiperusteinen luokittelu: Kielletty, Korkea, Rajoitettu ja Vähäinen riski

EU:n tekoälyasetuksessa jokainen tekoälyjärjestelmä luokitellaan riskitason mukaan, mikä määrittää sen sääntelyn artificialintelligenceact.eu. Neljän riskitason malli on seuraava:

Kielletty riski: Näitä tekoälyn käyttötapoja pidetään selkeänä uhkana turvallisuudelle tai perusoikeuksille, ja ne ovat EUn alueella ehdottomasti kiellettyjä digital-strategy.ec.europa.eu. Asetuksessa kielletään kahdeksan käytäntöä, kuten: tekoäly, joka käyttää alitajuisia tai manipuloivia keinoja aiheuttaakseen vahinkoa, hyödyntää haavoittuvia ryhmiä (esim. lapset, vammaiset) haitallisesti, hallituksen ”sosiaalinen pisteytys” kansalaisille sekä tietyt ennakoivan poliisitoiminnan työkalut artificialintelligenceact.eu artificialintelligenceact.eu. Merkittävää on, että reaaliaikainen etäbiometrinen tunnistaminen (esim. kasvojentunnistus julkisilla paikoilla) lainvalvontaan on pääsääntöisesti kielletty digital-strategy.ec.europa.eu. Poikkeuksia on rajatusti – poliisi voi esimerkiksi käyttää kasvojentunnistusta estääkseen välittömän terroriuhkan tai löytääkseen kadonneen lapsen, mutta vain oikeudellisella luvalla ja tiukalla valvonnalla europarl.europa.eu. Käytännössä mikä tahansa tekoälyratkaisu, jonka käyttö katsotaan ristiriitaiseksi EU-arvojen kanssa (esim. sosiaalinen kaupankäyntiarviointi, tekoäly joka ennustaa perusteettomasti rikollisuutta), on ehdottomasti kielletty digital-strategy.ec.europa.eu.
Korkea riski: Tekoälyjärjestelmät, jotka aiheuttavat vakavia riskejä terveydelle, turvallisuudelle tai perusoikeuksille, kuuluvat korkean riskin luokkaan. Ne sallitaan markkinoilla vain, jos kattavat turvatoimet ovat käytössä. Korkean riskin käyttökohteet määritellään kahdella tavalla: (1) tekoälykomponentit, jotka ovat turvallisuuskriittisiä ja joita jo säännellään EU:n tuoteturvallisuuslainsäädännössä (esimerkiksi tekoäly lääkinnällisissä laitteissa, autoissa, ilmailussa jne.) artificialintelligenceact.eu; tai (2) tekoälysovellukset asetuksen liitteessä III määritellyillä aloilla artificialintelligenceact.eu. Liite III kattaa mm. kriittisen infrastruktuurin, koulutuksen, työllisyyden, välttämättömät palvelut, lainvalvonnan, rajavalvonnan ja oikeudenhoidon europarl.europa.eu europarl.europa.eu. Esimerkiksi tekoälyn käyttö koulutuksessa (esim. kokeiden arviointi tai kouluun pääsyn ratkaisut) katsotaan korkean riskin toiminnaksi, koska sillä on suuri vaikutus yksilön elämän mahdollisuuksiin digital-strategy.ec.europa.eu. Samoin rekrytointi- tai henkilöstöhallinnon tekoäly (esim. CV-skannaustyökalut) sekä luottoluokitusjärjestelmät ovat korkean riskin käytössä digital-strategy.ec.europa.eu digital-strategy.ec.europa.eu. Myös tekoälypohjainen kirurginen robotti tai diagnostiikkatyökalu terveydenhuollossa luokitellaan korkean riskin järjestelmäksi joko osana lääkinnällistä laitetta tai koska sen virheet voisivat vaarantaa potilasturvallisuuden digital-strategy.ec.europa.eu digital-strategy.ec.europa.eu. Korkean riskin tekoälyjen käyttö on tiukasti säädeltyä – järjestelmät on varustettava laajoilla riskinhallintatoimilla ja niitä koskee vaatimuksenmukaisuuden arviointi (katso seuraava osio) cimplifi.com. Kaikki korkean riskin tekoälyjärjestelmät rekisteröidään myös EU:n tietokantaan läpinäkyvyyden ja valvonnan vuoksi cimplifi.com. Oleellista on, että asetus sisältää kapeita poissulkuja – eli kaikki vähämerkityksiset käyttötapaukset näillä aloilla eivät automaattisesti kuulu korkean riskin piiriin, esimerkiksi jos tekoäly vain avustaa ihmistä päätöksenteossa tai hoitaa sivutehtävän, järjestelmää ei välttämättä luokitella korkean riskin järjestelmäksi artificialintelligenceact.eu. Pääsääntöisesti kuitenkin jokainen tekoäly, joka suorittaa arkaluonteisia tehtäviä luetelluilla aloilla, käsitellään korkean riskin järjestelmänä ja sen täytyy täyttää tiukat vaatimukset.
Rajoitettu riski: Tämä kategoria kattaa tekoälyjärjestelmät, jotka eivät ole korkean riskin mutta joihin liittyy läpinäkyvyysvelvoitteita artificialintelligenceact.eu. Asetus ei aseta näille järjestelmille tiukkoja vaatimuksia, mutta edellyttää että ihmiset tietävät käyttävänsä tekoälyä. Esimerkiksi chatbotit ja virtuaaliassistentit on ilmoitettava selkeästi käyttäjille, jotta nämä tietävät keskustelevansa koneen, ei ihmisen kanssa digital-strategy.ec.europa.eu. Samoin generatiivinen tekoäly, joka tuottaa synteettisiä kuvia, videoita tai ääntä (esim. deepfake), on suunniteltava siten, että tekoälyn tuottama sisältö on merkitty – esimerkiksi vesileimalla tai selitteellä – jotta katsojat eivät tule johdetuksi harhaan europarl.europa.eu digital-strategy.ec.europa.eu. Tavoitteena on säilyttää ihmisten luottamus varmistamalla läpinäkyvyys. Muuten rajoitetun riskin tekoälyä voi käyttää vapaasti ilman ennakkohyväksyntää. Asetus kohtelee suurinta osaa kuluttajakäyttöisistä tekoälyistä rajoitetun riskin järjestelminä, jolloin ainoa vaade on ilmoituksen antaminen käyttäjälle. Esimerkkinä tekoäly, joka muokkaa ääntä tai tuottaa realistisen kuvan – sitä ei kielletä, mutta sen on oltava selkeästi merkitty tekoälyn tuottamaksi sisällöksi harhaanjohtamisen estämiseksi europarl.europa.eu.
Vähäinen (tai olematon) riski: Kaikki muut tekoälyjärjestelmät kuuluvat tähän alimpaan luokkaan, johon lukeutuu valtaosa tekoälysovelluksista. Näihin liittyvät vain vähäiset tai rutiininomaiset riskit, eikä niitä koske uusia sääntelyvelvoitteita tekoälyasetuksessa artificialintelligenceact.eu digital-strategy.ec.europa.eu. Tyypillisiä esimerkkejä ovat roskapostisuodattimet, suositusalgoritmit, tekoäly videopeleissä tai arkipäiväiset apuohjelmat ohjelmistoissa. Näihin lainsäädäntö ei käytännössä puutu – ne voidaan kehittää ja ottaa käyttöön kuten ennenkin, olemassa olevan lainsäädännön (kuten kuluttaja- tai tietosuojalainsäädännön) mukaisesti ilman lisätekoälyvaatimuksia. EU tunnustaa, että suurin osa tekoälyjärjestelmistä on vähäriskisiä eikä niitä tule ylisäännellä digital-strategy.ec.europa.eu. Asetus tähtää poikkeuksiin (korkea ja kielletty riski), ja vähäriskinen tekoäly jää vapaasti kehitettäväksi, mikä kannustaa innovointiin tällä alueella.

Yhteenvetona: EU:n riskiperusteinen malli kieltää pahimmat tekoälykäytännöt kokonaan, hallitsee herkkiä tekoälykäyttöjä tiukasti ja jättää muu käytön kevyen sääntelyn piiriin cimplifi.com. Tällä porrastetulla lähestymistavalla pyritään suojelemaan kansalaisia haitoilta ilman yhtä ja samaa sääntelyä kaikelle tekoälylle. Seuraavaksi tarkastelemme, mitä vaatimustenmukaisuus edellyttää erityisesti korkean riskin tekoälyn rakentajille ja käyttäjille.

Velvollisuudet tekoälyn kehittäjille (toimittajat) ja käyttäjille (käyttöönoton suorittajat)

Korkean riskin tekoälyn vaatimustenmukaisuusvaatimukset: Jos kehität tekoälyjärjestelmän, joka katsotaan korkean riskin järjestelmäksi, EU:n tekoälyasetus asettaa yksityiskohtaisen luettelon velvollisuuksista sekä ennen markkinoille tuloa että sen jälkeen. Nämä velvoitteet heijastavat pitkälti turvallisuuskriittisten alojen ja tietosuojan käytäntöjä, jotka on nyt ulotettu koskemaan myös tekoälyä. Toimittajien (kehittäjien, jotka saattavat järjestelmän markkinoille) korkean riskin tekoälyn osalta on muun muassa:

Riskienhallintajärjestelmän käyttöönotto: Heillä tulee olla jatkuva riskienhallintaprosessi koko tekoälyjärjestelmän elinkaaren ajan artificialintelligenceact.eu. Tämä tarkoittaa ennakoitavissa olevien riskien (esim. turvallisuusuhkien, harhaisuuden tai virheriskien) tunnistamista, analysointia ja arviointia sekä lieventävien toimenpiteiden toteuttamista suunnittelusta käyttöönoton jälkeiseen aikaan saakka artificialintelligenceact.eu. Tämä vastaa ”turvallisuus suunnittelussa” -lähestymistapaa – ennakoida, miten tekoäly voi epäonnistua tai aiheuttaa vahinkoa ja käsitellä nämä ongelmat varhaisessa vaiheessa.
Korkealaatuisten tietojen ja tietohallinnon varmistaminen: Koulutus-, validointi- ja testausaineistojen tulee olla olennaisia, edustavia ja mahdollisimman virheettömiä ja puolueettomia artificialintelligenceact.eu. Asetus painottaa syrjivien lopputulosten välttämistä, joten toimittajien on tarkasteltava dataansa epätasapainojen ja virheiden varalta, jotka voisivat johtaa tekoälyn epäoikeudenmukaiseen kohteluun digital-strategy.ec.europa.eu digital-strategy.ec.europa.eu. Esimerkiksi jos kehitetään rekrytointiin tarkoitettua tekoälyä, koulutusdata tulee tarkastaa sen varmistamiseksi, ettei se heijasta aiempaa sukupuoli- tai rotuvinoumaa työhönotossa. Tietohallinto ulottuu myös datan alkuperän ja käsittelyn seuraamiseen, jotta tekoälyn suorituskykyä voidaan ymmärtää ja auditoida.
Tekninen dokumentaatio & kirjanpito: Kehittäjien on tuotettava laajaa teknistä dokumentaatiota, joka osoittaa tekoälyjärjestelmän vaatimustenmukaisuuden artificialintelligenceact.eu. Tämän dokumentaation tulee kuvata järjestelmän aiottu käyttötarkoitus, suunnittelu, arkkitehtuuri, algoritmit, koulutusdata ja käytössä olevat riskinhallintatoimet artificialintelligenceact.eu. Dokumentaation on oltava riittävä, jotta viranomaiset voivat arvioida järjestelmän toimintaa ja sen täyttävän asetuksen vaatimukset. Lisäksi korkean riskin tekoälyjärjestelmät tulee rakentaa siten, että ne kirjaavat toimintansa – eli tallentavat automaattisesti tapahtumat ja päätökset jäljitettävyyden ja markkinoiden jälkeisen analyysin mahdollistamiseksi artificialintelligenceact.eu digital-strategy.ec.europa.eu. Esimerkiksi tekoälyjärjestelmä, joka tekee luottopäätöksiä, voi tallentaa päätöksen perusteena olevat syötteet jokaisesta päätöksestä. Näitä lokitietoja voidaan käyttää virheiden ja ennakkoasenteiden tunnistamiseen ja ne ovat keskeisiä mahdollisissa tapahtuma- tai vaatimustenmukaisuustutkinnoissa.
Ihmisen valvonta ja selkeät käyttöohjeet: Toimittajien on rakennettava järjestelmä siten, että käyttäjä tai operaattori voi toteuttaa tehokasta inhimillistä valvontaa artificialintelligenceact.eu. Tämä voi tarkoittaa ominaisuuksien tai työkalujen sisällyttämistä, jotka mahdollistavat ihmisen puuttumisen järjestelmän toimintaan tai sen seuraamisen. Toimittajan on myös toimitettava yksityiskohtaiset käyttöohjeet järjestelmän käyttäjälle artificialintelligenceact.eu. Ohjeiden tulee kertoa, miten tekoäly asennetaan ja otetaan käyttöön oikein, mitkä ovat sen rajoitukset, odotettu tarkkuustaso, mahdolliset tarpeelliset inhimilliset valvontatoimenpiteet ja väärinkäytön riskit artificialintelligenceact.eu. Ajatuksena on, että tekoälyä käyttävä yritys (käyttäjä, deployer) voi valvoa ja hallita järjestelmää vain, jos kehittäjä antaa siihen tarvittavat tiedot ja välineet. Esimerkiksi tekoälyyn perustuvan lääketieteellisen diagnostiikkatyökalun valmistajan on annettava sairaalalle ohjeet tulosten tulkitsemiseksi ja tilanteet, joissa lääkärin tulee tarkistaa tulokset erikseen.
Suorituskyky, kestävyys ja kyberturvallisuus: Korkean riskin tekoälyjärjestelmien tulee saavuttaa sopiva tarkkuuden, kestävyyden ja kyberturvallisuuden taso käyttötarkoitukseensa nähden artificialintelligenceact.eu. Toimittajien tulee testata ja säätää mallejaan vähentääkseen virhetasoja ja estääkseen ennalta-arvaamattoman käytöksen. Heidän on varmistettava myös suojatoimenpiteet manipulointia ja hakkeroimista (kyberturvallisuutta) vastaan, sillä vaarantunut tekoäly voi olla vaarallinen (kuvittele hyökkääjä muuttamassa tekoälyn ohjaamaa liikenteenhallintajärjestelmää). Käytännössä tämä voi tarkoittaa tekoälyn rasitustestausta erilaisissa olosuhteissa ja sen varmistamista, että se pystyy käsittelemään syötteiden vaihtelut ilman kriittisiä epäonnistumisia artificialintelligenceact.eu. Kaikki tunnetut rajoitukset (esim. tekoälyn tarkkuus heikkenee tietyissä väestöryhmissä tai olosuhteissa) tulee dokumentoida ja pyrkiä lieventämään mahdollisimman pitkälle.
Laadunhallintajärjestelmä: Yhdistääkseen edellä mainitut vaatimukset toimittajilta vaaditaan laadunhallintajärjestelmä artificialintelligenceact.eu. Tämä on muodollinen organisaatioprosessi jatkuvan vaatimustenmukaisuuden varmistamiseksi – samankaltainen kuin ISO-laadunhallintastandardit – kattaen kaikki kehitysprosessin vakiomenettelyistä poikkeamatilanteiden ja päivitysten käsittelyyn. Se juurruttaa vaatimustenmukaisuuden käytäntöihin, joten turvallisen ja laillisen tekoälyn tuottaminen ei ole kertaluontoinen ponnistus vaan jatkuvaa toimintaa toimittajalle.

Ennen kuin korkean riskin tekoälyjärjestelmä voidaan tuoda EU:n markkinoille, toimittajan on suoritettava vaatimustenmukaisuuden arviointi varmistaakseen, että kaikki vaatimukset täyttyvät. Monet korkean riskin tekoälyjärjestelmät kuuluvat omavalvonnan piiriin, jolloin toimittaja itse tarkastaa vaatimustenmukaisuuden ja antaa EU-vaatimustenmukaisuusvakuutuksen. Jos taas tekoäly on osa joitain säänneltyjä tuotteita (esim. lääkinnällinen laite tai ajoneuvo), ilmoitettu laitos (ulkopuolinen arvioija) voi joutua varmentamaan tekoälyn vaatimustenmukaisuuden olemassa olevien tuotesäädösten mukaisesti cimplifi.com. Kaikissa tapauksissa vaatimustenmukaiset tekoälyjärjestelmät tulevat saamaan CE-merkinnän, joka osoittaa niiden täyttävän EU-standardit, ja ne listataan EU:n tietokantaan korkean riskin tekoälyjärjestelmistä cimplifi.com. Tämän läpinäkyvyystietokannan avulla viranomaiset ja yleisö voivat nähdä, mitä korkean riskin tekoälyjärjestelmiä on käytössä ja kuka niistä on vastuussa.

Käyttöönoton suorittajien (käyttäjien) velvollisuudet: Asetus asettaa vastuita myös käyttäjille tai operaattoreille, jotka ottavat korkean riskin tekoälyjärjestelmiä käyttöön ammatillisessa tarkoituksessa. (Nämä ovat yrityksiä tai viranomaisia, jotka käyttävät tekoälyä – eivät siis loppukäyttäjiä tai kuluttajia.) Käyttäjien tärkeimpiä velvollisuuksia ovat: toimittajan käyttöohjeiden noudattaminen, tarvittavan inhimillisen valvonnan toteuttaminen ohjeiden mukaisesti sekä tekoälyn suorituskyvyn seuraaminen käytännön toiminnassa digital-strategy.ec.europa.eu. Jos käyttäjä huomaa tekoälyn käyttäytyvän epätavallisesti tai havaitaan turvallisuusriski, hänen tulee ryhtyä toimiin (esimerkiksi keskeyttää käyttö) sekä ilmoittaa toimittajalle ja viranomaisille. Lisäksi käyttäjien on pidettävä lokia tekoälyn käytöstä (tallentaakseen sen tuotokset ja päätökset, täydentäen tekoälyn omaa lokitusta) ja raportoitava vakavat tapaturmat tai viat viranomaisille artificialintelligenceact.eu. Esimerkiksi sairaalan, joka käyttää tekoälydiagnostiikkatyökalua, tulee raportoida, jos tekoäly aiheuttaa virheellisen diagnoosin ja potilaalle syntyy haittaa. Nämä käyttäjäpuolen velvollisuudet varmistavat, että valvonta jatkuu myös käyttöönoton jälkeen – tekoälyä ei vain lasketa vapaaksi, vaan sitä seurataan ihmisen toimesta ja palaute kulkee kehittäjälle ja viranomaisille.

On huomioitava, että pienimuotoiset käyttäjät (esim. pienyritys) eivät ole vapautettuja näistä velvollisuuksista, jos he ottavat käyttöön korkean riskin tekoälyä, mutta asetuksen laatijoiden tarkoituksena on, että toimittajien dokumentaatio ja tuki tekevät vaatimusten täyttämisestä käytännössä mahdollista. Asetus erottaa myös käyttäjät vaikuttavista henkilöistä – joilla (esim. tekoälypäätöksen perusteella torjuttu kuluttaja) ei ole velvollisuuksia asetuksen perusteella, mutta heillä on oikeuksia, kuten valituksen tekeminen ongelmallisesta tekoälyjärjestelmästä europarl.europa.eu.

Läpinäkyvyysvaatimukset (korkean riskin ulkopuolella): Korkean riskin järjestelmien lisäksi AI-asetus edellyttää tiettyjä läpinäkyvyystoimenpiteitä tietyille tekoälyjärjestelmille riskiluokasta riippumatta. Käsittelimme näitä aiemmin “rajoitettu riski” -kohdassa. Käytännössä kaikkien tekoälyjärjestelmien, jotka ovat vuorovaikutuksessa ihmisten kanssa, tuottavat sisältöä tai seuraavat ihmisiä, tulee antaa ilmoitus:

Tekoälyjärjestelmien, jotka ovat vuorovaikutuksessa ihmisten kanssa (kuten chatbotit tai tekoälyavustajat), täytyy ilmoittaa käyttäjälle, että kyseessä on tekoäly. Esimerkiksi verkossa toimivan asiakastukichatin tulisi selkeästi kertoa olevansa automaattinen, jotta käyttäjiä ei huijata luulemaan keskustelevansa ihmisen kanssa digital-strategy.ec.europa.eu.
Tekoäly, joka tuottaa tai muokkaa sisältöä (kuvia, videoita, ääntä tai tekstiä) tavalla, joka voi johtaa harhaan, on varmistettava, että sisältö on merkitty tekoälyn tuottamaksi digital-strategy.ec.europa.eu. Deepfake-toteutukset ovat tästä keskeinen esimerkki: jos tekoäly luo realistisen kuvan tai videon henkilöstä, joka ei oikeasti ole tehnyt tai sanonut kuvattua asiaa, tämä tekoälyn tuottama media on merkittävä (ellei kyse ole satiirista, taiteesta tai turvallisuustutkimuksesta, jotka voivat olla poikkeuksia). Tavoitteena on torjua harhaanjohtamista ja disinformaatiota tekemällä median alkuperä selväksi.
Tekoälyjärjestelmät, joita käytetään biometristen ominaisuuksien seurantaan (kuten kasvojentunnistukseen perustuvat kamerat) tai tunteiden tunnistukseen, täytyy mahdollisuuksien mukaan ilmoittaa ihmisille niiden toiminnasta. (Ja kuten todettu, monet näistä sovelluksista ovat joko täysin kiellettyjä tai korkeassa riskiryhmässä ja niihin sovelletaan tiukkoja ehtoja).
Generatiiviset tekoälymallit (ns. foundation-mallit, kuten suuret kielimallit ChatGPT:n tapaan) joutuvat noudattamaan omia erityisiä läpinäkyvyys- ja tiedonantovaatimuksia. Vaikka generatiivista mallia ei luokitella korkean riskin järjestelmäksi, sen tarjoajan on kerrottava tietyt tiedot: esimerkiksi tekoälyn tuottama sisältö tulee merkitä ja tarjoajan tulee julkaista tiivistelmä mallin koulutuksessa käytetystä tekijänoikeuden alaisesta aineistosta europarl.europa.eu. Näin käyttäjät ja sisällöntuottajat saavat tietoa mahdollisesta aineistoon liittyvästä immateriaalioikeudesta ja noudatetaan EU:n tekijänoikeuslainsäädäntöä europarl.europa.eu. Generatiivisten mallien tarjoajien odotetaan myös estävän laittoman sisällön muodostamisen, esimerkiksi rakentamalla suodattimia ja turvarajoja malliin europarl.europa.eu.

Lyhyesti sanottuna läpinäkyvyys on AI-asetuksen läpileikkaava teema – olipa kyse korkean riskin järjestelmästä (yksityiskohtaisine dokumentaatioineen ja käyttäjätietoisuuksineen) tai matalan riskin chatbotista (yksinkertaisella “olen tekoäly” -ilmoituksella), tavoitteena on valoittaa tekoälyn “musta laatikko”. Tämä antaa valtaa käyttäjille ja asianosaisille, mutta myös mahdollistaa tilivelvollisuuden: jos jokin menee vikaan, löytyy jälki siitä, mitä tekoälyn oli tarkoitus tehdä ja miten se on kehitetty. Yleiskäyttöinen tekoäly (Foundation Models): Merkittävä lisäys asetuksen lopulliseen versioon ovat säännöt yleiskäyttöisille tekoälymalleille (GPAI) – nämä ovat laajoja tekoälymalleja, joita on koulutettu massiivisella datalla (usein itseohjatusti) ja joita voidaan mukauttaa monenlaisiin tehtäviin artificialintelligenceact.eu. Esimerkkejä ovat suuret kielimallit, kuvageneraattorit tai muut “foundation”-mallit, joita teknologiayhtiöt rakentavat ja mahdollistavat muiden käytettäväksi tai räätälöitäväksi. Asetuksessa tunnustetaan, että vaikka nämä mallit eivät suoraan liity tiettyyn korkean riskin käyttöön, ne voivat myöhemmin integroitua korkean riskin järjestelmiin tai vaikuttaa järjestelmätasolla. Siksi asetuksessa asetetaan velvollisuuksia GPAI-mallien tarjoajille, vaikka mallit eivät vielä olisikaan kuluttajatuotteissa. Kaikkien GPAI-mallien tarjoajien on julkistettava teknistä dokumentaatiota mallistaan (kuvaten sen kehitysprosessia ja kyvykkyyksiä) sekä annettava ohjeet mallin jatkokehittäjille siitä, miten mallia käytetään asetuksen mukaisesti artificialintelligenceact.eu artificialintelligenceact.eu. Lisäksi niiden on kunnioitettava tekijänoikeuksia – varmistaen, että koulutusdata noudattaa EU:n tekijänoikeuslainsäädäntöä – ja julkaistava yhteenveto koulutusdatasta (ainakin korkean tason lähde-erittely) artificialintelligenceact.eu. Nämä vaatimukset tuovat lisää läpinäkyvyyttä nykyisin läpinäkymättömään suurten tekoälymallien maailmaan. Olennaista on, että asetus erottaa omistusoikeudelliset mallit ja ne, jotka on julkaistu avointen lähdekoodien lisenssillä. Avoimen lähdekoodin GPAI-mallien (joiden painot ja koodi ovat vapaasti saatavilla) tarjoajilla on kevyemmät velvollisuudet: niiden tarvitsee vain noudattaa tekijänoikeus- ja datan läpinäkyvyysvaatimuksia, ei täyttä teknistä dokumentaatiota tai käyttöohjeita – ellei malli aiheuta “järjestelmäriskiä” artificialintelligenceact.eu. Tämä poikkeus tehtiin avoimen innovaation ja tutkimuksen tukemiseksi. Jos kuitenkin avoin malli on hyvin kykenevä ja voi aiheuttaa merkittäviä vaikutuksia, se ei välty valvonnalta pelkästään avoimen lähdekoodin vuoksi. Asetuksessa määritellään ”järjestelmäriskiä aiheuttavat GPAI-mallit” sellaisiksi erittäin edistyneiksi malleiksi, joilla on laajoja vaikutuksia yhteiskuntaan. Yhtenä kriteerinä on, että mallin koulutus vaatii yli 10^25 laskentaoperaatiota (FLOPs) – tämä toimii rajana ainoastaan kaikkein resurssi-intensiivisimmille ja tehokkaimmille malleille artificialintelligenceact.eu. Näiden korkean vaikutuksen mallien tarjoajien tulee suorittaa lisäarviointeja ja -testauksia (mm. haavoittuvuustestauksia) ja aktiivisesti ehkäistä havaittuja järjestelmäriskejä artificialintelligenceact.eu. Lisäksi niiden tulee raportoida vakavista tapauksista Euroopan tekoälytoimistolle ja kansallisille viranomaisille sekä varmistaa vahva kyberturvallisuus mallille ja sen infrastruktuurille artificialintelligenceact.eu. Näillä toimilla pyritään vastaamaan huoliin liittyen kehittyneeseen tekoälyyn (esim. GPT-4 ja uudemmat) ja sen mahdollisiin laajoihin haittavaikutuksiin (esim. uudenlaisen disinformaation, kyberhyökkäysten jne. mahdollistaminen). Asetus sanoo käytännössä: jos rakennat huipputason yleistä tekoälyä, sinun on oltava erityisen huolellinen ja työskenneltävä viranomaisten kanssa, jotta riskit pysyvät hallinnassa europarl.europa.eu artificialintelligenceact.eu. Yhteistyön edistämiseksi asetus mahdollistaa sen, että toimintaohjeiden (Codes of Conduct) tai tulevien yhdenmukaistettujen standardien noudattaminen voi olla tapa, jolla GPAI-tarjoajat täyttävät velvoitteensa artificialintelligenceact.eu. Itse asiassa EU edistää tekoälyn toimintaohjetta, jota ala voisi noudattaa siirtymävaiheessa digital-strategy.ec.europa.eu. Tekoälytoimisto johtaa tätä työtä, jotta foundation-mallien kehittäjät voivat käytännössä noudattaa asetusta digital-strategy.ec.europa.eu. Koodi on vapaaehtoinen, mutta voi toimia “turvasatamana” – jos yritys noudattaa sitä, sääntelijät voivat olettaa lainmukaisuuden. Kaikkiaan AI-asetuksen velvollisuudet kattavat koko tekoälyn elinkaaren: suunnittelusta (riskinarviointi, datatarkistukset) kehitykseen (dokumentointi, testaus), käyttöönottoon (käyttäjien läpinäkyvyys, valvonta) ja jälkimarkkinaseurantaan (valvonta, tapahtumaraportointi). Noudattamisessa vaaditaan monitieteistä osaamista – tekoälyn kehittäjillä on oltava datatieteilijöiden ja insinöörien lisäksi lakimiehiä, riskienhallinnan asiantuntijoita ja eettisiä arvioijia huolehtimassa siitä, että kaikki vaatimukset täyttyvät. Seuraavaksi käsittelemme, miten velvoitteiden noudattamista valvotaan ja mitä tapahtuu, jos yritys laiminlyö vaatimukset.

Valvontamekanismit, ohjaavat elimet ja seuraamukset

Jotta näiden laajojen sääntöjen noudattamista voidaan valvoa, EU:n tekoälyasetus luo moniportaisen hallinto- ja valvontarakenteen. Tähän kuuluu jokaisen jäsenvaltion kansalliset viranomaiset, uusi keskitetty Euroopan tekoälytoimisto sekä koordinointi tekoälylautakunnan kanssa. Valvontamalli on osittain rakennettu EU:n aiemmasta kokemuksesta tuote- ja tietosuojalainsäädännössä (kuten GDPR:ssa, jossa yhdistetään kansalliset valvojat ja eurooppalainen lautakunta).

Kansalliset toimivaltaiset viranomaiset: Jokaisen EU-jäsenvaltion on nimettävä yksi tai useampi kansallinen viranomainen, joka vastaa tekoälytoiminnan valvonnasta (usein kutsuttu markkinavalvontaviranomaisiksi tekoälyn osalta) orrick.com. Nämä viranomaiset vastaavat arjen vaatimustenmukaisuuden valvonnasta – esimerkiksi tarkistavat, täyttääkö tarjoajan korkean riskin tekoälytuote vaatimukset markkinoilla, tai tutkivat yleisön tekemiä valituksia. Heillä on samankaltaiset toimivaltuudet kuin nykyisessä tuoteturvallisuuslainsäädännössä (asetus (EU) 2019/1020): he voivat vaatia tietoja tarjoajilta, tehdä tarkastuksia ja jopa määrätä vaatimustenvastaiset tekoälyjärjestelmät poistettavaksi markkinoilta orrick.com. Lisäksi he seuraavat markkinoita mahdollisten sääntöjen kiertämisen tai ennalta arvaamattomien riskien varalta. Jos tekoälyjärjestelmä todetaan vaatimustenvastaiseksi tai vaaralliseksi, kansalliset viranomaiset voivat määrätä sakkoja tai vaatia järjestelmän takaisinkutsua/poistoa markkinoilta.

Kukin maa todennäköisesti antaa tämän roolin olemassa olevalle viranomaiselle tai perustaa uuden (on ehdotettu esimerkiksi, että tietosuojaviranomaiset voisivat ottaa tekoälyn vastuulleen, tai sektorikohtaiset viranomaiset, kuten lääkinnällisten laitteiden virastot, lääketieteellisten tekoälysovellusten osalta – osaamisen hyödyntämiseksi). Elokuuhun 2025 mennessä jäsenvaltioiden on nimettävä ja asetettava toimintaan omat tekoälyviranomaisensa artificialintelligenceact.eu, ja vuoteen 2026 mennessä jokaisen maan on oltava perustanut vähintään yhden sääntelyhiekkalaatikon tekoälylle (valvottu ympäristö, jossa innovatiivista tekoälyä voidaan testata turvallisesti) artificialintelligenceact.eu.

Euroopan tekoälytoimisto: EU:n tasolla on perustettu uusi yksikkö nimeltään tekoälytoimisto Euroopan komissioon (erityisesti DG CNECT:n alaisuuteen) artificialintelligenceact.eu. Tekoälytoimisto toimii keskitettynä valvojana erityisesti yleiskäyttöisen tekoälyn ja rajat ylittävien kysymysten osalta. Asetuksen mukaan tekoälytoimistolla on yksinomainen toimeenpanovalta GPAI-mallien tarjoajien sääntöjen osalta orrick.com. Tämä tarkoittaa, että jos OpenAI, Google tai muu yritys tarjoaa suuren tekoälymallin, jota käytetään laajalti Euroopassa, tekoälytoimisto on pääasiallinen valvoja sen varmistamisessa, että tarjoajat täyttävät velvoitteensa (tekninen dokumentointi, riskienhallinta jne.). Tekoälytoimisto voi pyytää tietoja ja dokumentaatiota suoraan perustavan mallin tarjoajilta sekä vaatia korjaavia toimia, jos sääntöjä ei noudateta orrick.com. Se valvoo myös tapauksia, joissa sama yritys on sekä perustavan mallin tarjoaja että korkean riskin järjestelmän käyttäjä, varmistaen, ettei toiminta jää kansallisen ja EU-valvonnan väliin orrick.com.

Tavanomaisen valvonnan lisäksi tekoälytoimistolla on laaja tehtävä tekoälyn trendien ja systeemisten riskien seurannassa. Sille kuuluu nousevien korkean riskin tai ennalta arvaamattomien tekoälyongelmien analysointi (erityisesti GPAI-malleihin liittyen), ja se voi tehdä tehokkaimpien mallien arviointeja artificialintelligenceact.eu. Toimistossa työskentelee asiantuntijahenkilöstöä (Komissio on rekrytoinut tekoälyasiantuntijoita toimistolleen artificialintelligenceact.eu) ja se tekee yhteistyötä riippumattoman tieteellisen paneelin kanssa teknisissä asioissa artificialintelligenceact.eu. Huomionarvoista on, että tekoälytoimisto laatii vapaaehtoisia toimintaohjeita ja ohjeistusta alalle – tukien kehittäjiä sääntöjen noudattamisessa (erityisen hyödyllistä startupeille ja pk-yrityksille) artificialintelligenceact.eu. Se koordinoi jäsenvaltioiden kanssa sääntöjen yhdenmukaisen soveltamisen varmistamiseksi ja voi avustaa yhteistutkinnoissa, jos tekoälykysymys koskee useampaa maata artificialintelligenceact.eu artificialintelligenceact.eu. Käytännössä tekoälytoimisto on EU:n yritys keskitettyyn valvontaan kansallisten viranomaisten rinnalle – vähän kuten Euroopan tietosuojaneuvosto GDPR:n yhteydessä, mutta joillakin osa-alueilla suoremmin toimivaltuuksin.

Tekoälylautakunta: Asetuksella perustetaan uusi Euroopan tekoälylautakunta, jossa ovat edustettuina kaikkien jäsenmaiden tekoälyviranomaiset (sekä Euroopan tietosuojavaltuutettu ja tekoälytoimisto tarkkailijoina) artificialintelligenceact.eu. Lautakunnan tehtävänä on varmistaa yhdenmukainen täytäntöönpano koko Euroopassa – he jakavat parhaita käytäntöjä, voivat antaa lausuntoja tai suosituksia ja koordinoivat rajat ylittävää valvontaa artificialintelligenceact.eu. Tekoälytoimisto toimii lautakunnan sihteeristönä, järjestää kokouksia ja auttaa asiakirjojen valmistelussa artificialintelligenceact.eu. Lautakunta voi esimerkiksi edesauttaa standardien kehittämistä tai keskustella asetuksen liitteiden päivitystarpeista ajan myötä. Kyseessä on hallitustenvälinen foorumi, jonka tarkoituksena on estää sääntöjen hajanaista toimeenpanoa, mikä voisi rikkoa tekoälyn EU:n sisämarkkinan yhtenäisyyttä.

Sanktiot vaatimustenvastaisuudesta: Tekoälyasetus tuo mukanaan tuntuvaa sakotusta rikkomuksista, jatkaen GDPR:n esimerkkiä pelotevaikutuksen luomisesta. Hallinnollisia sakkoja on kolmea porrasta:

Karkeimmista rikkomuksista – eli kiellettyjen tekoälykäytäntöjen käyttöönotosta (kielletyt, sietämättömän riskin käytöt) – voidaan määrätä sakkoja jopa 35 miljoonaa euroa tai 7 % maailmanlaajuisesta vuotuisesta liikevaihdosta, sen mukaan kumpi on suurempi orrick.com. Tämä on erittäin korkea sakkomaksimi (selvästi korkeampi kuin GDPR:n 4 % liikevaihdosta). Se kertoo, kuinka vakavasti EU suhtautuu esimerkiksi salaisen sosiaalisen pisteytysjärjestelmän rakentamiseen tai laittomaan biometriseen valvontaan – nämä rinnastetaan vakavimpiin yritysten rikkomuksiin.
Muiden asetuksen vaatimusten rikkomisista (esim. korkean riskin tekoälyvelvoitteiden noudattamatta jättäminen, järjestelmän rekisteröinnin laiminlyönti, avoimuusvaatimusten sivuuttaminen) maksimisakko on 15 miljoonaa euroa tai 3 % maailmanlaajuisesta liikevaihdosta orrick.com. Tämä kattaa useimmat vaatimustenvastaisuudet: jos yritys laiminlyö vaatimustenmukaisuusarvioinnin tai salaa tietoa viranomaisilta, kuuluvat ne tähän kategoriaan.
Jos viranomaisille toimitetaan vääriä, harhaanjohtavia tai puutteellisia tietoja (esimerkiksi tutkinnan aikana tai vaatimustiedusteluun vastattaessa), sakko voi olla enintään 7,5 miljoonaa euroa tai 1 % liikevaihdosta orrick.com. Tämä alempi porras koskee lähinnä asioiden vaikeuttamista tai yhteistyöhaluttomuutta viranomaisiin nähden.

Tärkeää on, että lainsäädäntö ohjeistaa, että pk-yrityksille (pienet ja keskisuuret yritykset) tulisi määrätä sakkoasteikon alapäätä lähenteleviä sakkoja, kun taas suuryrityksille voidaan määrätä sakkoasteikon yläpään summia orrick.com. Toisin sanoen 35 M€/7 % tai 15 M€/3 % ovat enimmäisiä; viranomaisilla on harkintavalta ja niiden odotetaan huomioivan rikkomuksentekijän koon ja taloudellisen kantokyvyn. Pk-yritys voisi siis saada miljoonaluokan kiinteän sakon prosentuaalisen sijaan, jotta vaikutus ei olisi suhteettoman suuri, suuryritys taas voidaan sakottaa prosenttimääräisesti tehokkaan pelotevaikutuksen saavuttamiseksi orrick.com.

Nämä sanktiosäännökset tulevat voimaan 2. elokuuta 2025 suurimman osan sääntöjä osalta orrick.com. (Tämä on se päivämäärä, jolloin hallintorakenne ja sakkoartiklat alkavat soveltua). Kuitenkin uudet velvoitteet yleiskäyttöisille tekoälymalleille tulevat sakkojen osalta voimaan vuotta myöhemmin, 2. elokuuta 2026, samaan aikaan kun perustavien mallien vaatimukset muuttuvat pakollisiksi orrick.com. Tämä porrastus antaa perustavan mallin tarjoajille aikaa valmistautua.

Menettelyjen ja turvatoimien osalta: yrityksille annetaan oikeudet, kuten oikeus tulla kuulluksi ennen sanktion määräämistä, ja sääntelyviranomaisille annettujen arkaluonteisten tietojen luottamuksellisuutta edellytetään orrick.com. Asetuksessa todetaan myös, että toisin kuin joissakin muissa EU-lainsäädännöissä, komissiolla (AI-toimiston kautta) ei ole laajoja valtuuksia suorittaa ennalta arvaamattomia kotietsintöjä tai pakottaa todistamaan itsenäisesti – paitsi jos se tilapäisesti ottaa kansallisen viranomaisen roolin orrick.com. Tämä heijastaa tiettyjä rajoja, joilla todennäköisesti pyritään hillitsemään ylilyöntipelkoja.

AI-toimiston valvontarooli: Euroopan komissio voi AI-toimiston kautta käynnistää itsekin täytäntöönpanotoimia tietyissä tapauksissa, erityisesti yleiskäyttöisen tekoälyn osalta. Tämä on uusi valvontamekanismi – aiemmin komissio ei ole suoraan valvonut tuotemääräyksiä (sen rooli oli enemmän valvova ja koordinoiva), kilpailulainsäädäntöä lukuun ottamatta. Tekoälyasetuksen myötä komissio saa käyttöönsä käytännönläheisemmän valvontatyökalupakin. AI-toimisto voi tutkia perustavan mallin tarjoajaa, pyytää laajaa dokumenttiaineistoa (samanlaista kuin kilpailuoikeustutkinnoissa) orrick.com ja jopa suorittaa simuloituja kyberhyökkäyksiä tai arviointeja tekoälymalliin sen turvallisuuden testaamiseksi artificialintelligenceact.eu. Tällaisen tutkinnan kohteena olevat yritykset voivat kokea tutkinnan samankaltaisena kuin kilpailuviranomaistutkinta, mikä voi analyytikko Orrickin mukaan olla kuormittavaa, sillä vaatimuksena voi olla tuhansia asiakirjoja sisäisistä luonnoksista lähtien orrick.com. Komission kokemus suurissa tutkinnallisissa prosesseissa viittaa siihen, että se tuo merkittäviä resursseja suuriin tekoälytapauksiin. Vaikka tämä nostaa tekoälykehittäjien sääntelyn noudattamisen tärkeyttä, se alleviivaa myös, että EU aikoo keskitetysti valvoa rajat ylittävää perustavanlaatuista tekoälyä.

Korkean riskin tekoälyn valvonta: Perinteisessä korkean riskin tekoälyssä (kuten pankin luottoluokitusjärjestelmässä tai kaupungin poliisitekoälyn käytössä) ensisijaiset täytäntöönpanijat ovat edelleen kansalliset viranomaiset. AI-toimisto ja AI Board kuitenkin avustavat heitä, etenkin jos esiintyy moniin maihin vaikuttavia ongelmia. Asetus mahdollistaa yhteistutkinnat, joissa useat kansalliset sääntelyelimet tekevät yhteistyötä (AI-toimiston tuella), jos tekoälyjärjestelmän riskit ylittävät maarajat artificialintelligenceact.eu. Tämä ehkäisee sen, että koko EU:ssa käytettyä tekoälyä käsittelisi vain yksi maa muiden pysyessä tietämättöminä.

Lopuksi asetukseen sisältyy valitus- ja tarkastusmenettely: yritykset voivat valittaa täytäntöönpanopäätöksistä kansallisissa tuomioistuimissa (tai lopulta EU-tuomioistuimessa, jos kyseessä on komission päätös), ja asetusta tarkistetaan säännöllisesti. Vuoteen 2028 mennessä komission on arvioitava, kuinka hyvin AI-toimisto ja uusi järjestelmä toimivat artificialintelligenceact.eu, ja joka muutaman vuoden välein tarkasteltava, tarvitsevatko riskiluokat tai -luettelot (liite III jne.) päivitystä artificialintelligenceact.eu. Tämä mukautuva hallintamalli on oleellinen, sillä tekoälyn kehitys on nopeaa – EU aikoo sääntöjä kehittämällä pysyä mukana muutoksessa.

Yhteenvetona: EU:n tekoälyasetus pannaan täytäntöön sääntelyviranomaisten verkoston kautta, jossa Euroopan AI-toimisto toimii keskuksena ohjauksen, johdonmukaisuuden ja perustavanlaatuisten mallien suoravalvonnan osalta. Sakot ovat huomattavia – paperilla jopa suurimmat teknologiaregulaatiosta löytyvät – mikä viestii, ettei sääntöjen rikkominen ole vaihtoehto. Organisaatioiden tulee rakentaa sääntelynmukaisuus tekoälyhankkeisiinsa alusta alkaen sen sijaan, että ottaisivat riskin sakosta tai tekoälyjärjestelmän pakotetusta sulkemisesta.

Toimialakohtaiset vaikutukset ja esimerkkikäytöt

Tekoälyasetuksen vaikutukset vaihtelevat toimialoittain, koska laki kohdistuu erityisiin korkean riskin sektoreihin. Tässä tiivistämme, miten keskeiset alat – terveydenhuolto, rahoitus, lainvalvonta ja koulutus – ovat vaikutuksen piirissä:

Terveydenhuolto ja lääkintälaitteet: Tekoälyllä on suuri potentiaali lääketieteessä (tautien diagnostiikasta robottiavusteiseen kirurgiaan), mutta asetuksen mukaan näitä käyttötapoja pidetään usein korkean riskin sovelluksina. Itse asiassa minkä tahansa lääkintälaitteen tekoälykomponentti katsotaan automaattisesti korkean riskin järjestelmäksi emergobyul.com. Esimerkiksi tekoälyyn perustuvan radiologisen työkalun, joka analysoi röntgenkuvia, tai hoitosuosituksia tuottavan algoritmin, on noudatettava asetuksen vaatimuksia terveyssääntelyn lisäksi. Näiden tekoälyjen toimittajien on läpäistävä tiukat vaatimustenmukaisuuden arvioinnit (toteutettaneen pitkälti lääkintälaitteiden CE-merkinnän tapaan). Heidän on varmistettava kliininen laatu ja turvallisuus, mikä vastaa asetuksen vaatimuksia tarkkuudesta ja riskien hallinnasta. Potilaiden ja hoitohenkilöstön pitäisi hyötyä näistä turvatoimista – tekoäly on todennäköisemmin luotettava ja sen rajoitukset läpinäkyviä. Tekoälykehittäjät tosin kohtaavat T&K-kulujen ja dokumentaatiovaatimusten nousun, kun heidän täytyy osoittaa vaatimustenmukaisuus. Pitkällä aikavälillä tämä voi hidastaa tekoälyinnovaatioiden käyttöönottoa EU:n terveydenhuollossa, kunnes ne pääsevät sääntelytarkastusten läpi goodwinlaw.com. Toisaalta asetus mahdollistaa kokeilun hiekkalaatikoiden kautta: sairaalat, startupit ja sääntelyviranomaiset voivat yhdessä testata tekoälyjärjestelmiä (esim. diagnostiikkatyökaluja) hallitusti ja kerätä näyttöä turvallisuudesta ja vaikuttavuudesta ennen laajempaa käyttöönottoa. Vuoteen 2026 mennessä jokaisessa jäsenvaltiossa on oltava ainakin yksi tällainen tekoälyn sääntelyhiekkalaatikko toiminnassa muun muassa terveyssektorilla artificialintelligenceact.eu. Yhteenvetona Euroopan terveydenhuollon tekoäly muuttunee turvallisemmaksi ja standardoidummaksi, mutta valmistajien on huolehdittava vaatimustenmukaisuudesta tarkasti välttääkseen viiveet markkinoille pääsyssä.
Rahoitus ja vakuutukset: Asetus sijoittaa monen rahoitusalan tekoälyn suoraan korkean riskin luokkaan. Erityisesti luottokelpoisuuden arviointiin käytetyt tekoälyjärjestelmät – esimerkiksi algoritmit, jotka päättävät lainan saamisesta tai korkotasosta – katsotaan korkean riskin sovelluksiksi, koska ne vaikuttavat olennaisten palveluiden saatavuuteen digital-strategy.ec.europa.eu. Tämä merkitsee sitä, että pankit ja fintech-yritykset, jotka käyttävät tekoälyä lainapäätöksiin, luottopisteytykseen tai vakuutusriskiin, joutuvat varmistamaan järjestelmiensä tasapuolisuuden, selitettävyyden ja auditoinnin. Heidän täytyy dokumentoida, miten tekoälyä on koulutettu (esimerkiksi osoittaakseen, ettei se tahattomasti syrji tiettyjä etnisiä ryhmiä tai asuinalueita – ongelma, jota on havaittu joissakin luottoalgoritmeissa). Asiakkaat hyötyvät myös läpinäkyvyydestä: vaikka asetus ei suoraan anna yksilöille selitysvelvollisuusoikeutta GDPR:n tapaan, selkeän tiedon vaatimus tarkoittaa, että lainanantajien tulee kertoa hakijoille tekoälyn osallistumisesta päätöksentekoon ja ehkä sen perusperiaatteista digital-strategy.ec.europa.eu. Toinen rahoitukseen liittyvä käyttötapa on tekoälyn käyttö petosten tunnistuksessa ja rahanpesun estossa, mikä voi kuulua joko korkean riskin (jos perusoikeuksia arvioidaan) tai rajoitetun riskin avoimuusvelvoitteisiin. Rahoitusyhtiöt tarvitsevat vahvoja hallintaprosesseja tekoälylleen – esimerkiksi laajennettuja malliriskinhallintakehyksiä tekoälyasetuksen kriteerien täyttämiseksi. Alussa voi syntyä reilun sääntelytaakan kustannuksia, kuten puolueettomuuden testauskonsulttien palkkaamista tai mallien lisädokumentointia, mutta lopputuloksena pitäisi olla oikeudenmukaisempi ja luotettavampi tekoäly rahoituksessa. Asiakkaat voivat ajan myötä nähdä esimerkiksi aiempaa vähemmän syrjiviä lainapäätöksiä ja tietää, että niiden tekoälyratkaisuja valvotaan. Myös vakuutusyhtiöt, jotka käyttävät tekoälyä terveys- tai henkivakuutusten hinnoitteluun, kuuluvat korkean riskin sovellusalaan artificialintelligenceact.eu ja niiden on estettävä perusteeton syrjintä (esimerkiksi varmistettava, ettei tekoäly perusteettomasti korota maksuja suojattujen terveyspiirteiden perusteella). Kaiken kaikkiaan asetus ohjaa rahoitusalan tekoälyä kohti suurempaa läpinäkyvyyttä ja vastuullisuutta, mikä todennäköisesti lisää kuluttajien luottamusta tekoälyyn perustuvissa finanssituotteissa ajan kuluessa.
Lainvalvonta ja yleinen turvallisuus: Tällä alalla asetus on erityisen varovainen kansalaisoikeusriskien vuoksi. Useat tekoälyjen käyttötavat lainvalvonnassa ovat suoraan kiellettyjä sopimattomina: esimerkiksi sosiaalinen pisteytys tai rikollisuusprofiilointiin perustuva ennakoiva poliisitoiminta on kielletty artificialintelligenceact.eu artificialintelligenceact.eu. Samoin laajasti keskusteltu reaaliaikainen kasvojentunnistus julkisissa tiloissa on poliisilta pääosin kielletty, paitsi äärimmäisissä hätätilanteissa (ja silloinkin tiukan ennakkoluvan vaatimuksin) europarl.europa.eu. Tämä tarkoittaa, ettei eurooppalainen poliisi voi ottaa käyttöön laajan live-näöntunnistus-CCTV-verkon – toisin kuin ehkä muualla – kuin tarkasti määritellyissä tilanteissa ja oikeuden luvalla. Muut poliisitarkoituksessa käytettävät tekoälytyökalut kuuluvat korkean riskin luokkaan, joten niitä voidaan käyttää valvotusti. Esimerkiksi järjestelmä, joka analysoi rikoshistoriatietoja resurssien kohdentamiseen, tai arvioi todistusaineiston luotettavuutta tai epäiltyjen profiilia, on korkean riskin digital-strategy.ec.europa.eu digital-strategy.ec.europa.eu. Poliisin tai rajaviranomaisten on tehtävä perusoikeusvaikutusten arviointi ja varmistettava, että ratkaisevat päätökset tekee viime kädessä ihminen eikä tekoäly. Kaikki korkean riskin lainvalvontatekoälyt on rekisteröitävä EU-tietokantaan, mikä lisää läpinäkyvyyttä ja mahdollistaa (osittaisen) julkisen tarkastelun – vaikkakin osa tiedoista voi olla arkaluonteisia. Viranomaiset voivat kokea asetuksen lisäävän byrokratiaa (dokumentoinnin, tarkastuslaitoksen hyväksynnän jne. muodossa), mikä voi hidastaa tekoälyn käyttöönottoa. Nämä vaatimukset tähtäävät kuitenkin väärinkäytösten estämiseen – esimerkiksi estämään tilanteen, jossa musta laatikko -algoritmi päättää rangaistuksia tai rajatarkastuksia ilman muutoksenhakupolkua. Toinen erityisvaikutus kohdistuu tunnetilan analyysiteknologiaan työelämässä ja poliisitoiminnassa: asetus kieltää tekoälyn, joka väittää tunnistavansa tunteet poliisikuulusteluissa, työhaastatteluissa, kokeissa jne., koska se on sekä tunkeilevaa että epäluotettavaa digital-strategy.ec.europa.eu digital-strategy.ec.europa.eu. EU:ssa lainvalvonnan tekoäly siis keskittyy datan käsittelyn ja rutiinitehtävien tukemiseen ihmisvalvonnassa, ja dystooppisemmista käyttötavoista luovutaan, vaikka muualla niihin ehkä turvaudutaan. Pohjimmiltaan asetus tavoittelee tasapainoa: tekoäly saa auttaa rikosten ratkaisussa ja turvallisuuden parantamisessa, mutta ei perusoikeuksien ja -vapauksien kustannuksella.
Koulutus ja työllisyys: Koulutuksessa käytettävät tekoälyjärjestelmät – kuten ohjelmistot, jotka pisteyttävät kokeet tai suosittelevat opiskelijoiden sijoittumista – luokitellaan korkean riskin sovelluksiksi, koska ne voivat vaikuttaa oppilaiden tulevaisuuteen digital-strategy.ec.europa.eu. Koulut ja edtech-palveluntarjoajat, jotka ottavat käyttöön tekoälyä tutkielmien arviointiin tai vilpin tunnistamiseen, joutuvat varmistamaan työkalujen tarkkuuden ja puolueettomuuden. Virheellinen tekoäly, joka arvioi väärin tiettyjä opiskelijaryhmiä tai toimii väärin kokeessa, voi johtaa elämää määrittäviin seurauksiin – siksi luokitus on korkea riski. Käytännössä opetusministeriöiden ja korkeakoulujen voi olla arvioitava tekoälytoimittajiaan tarkemmin ja ylläpidettävä dokumentaatiota kaikista opiskelijavalintaan tai arvosanoihin vaikuttavista algoritmeista. Opiskelijoille on kerrottava tekoälyn käytöstä (läpinäkyvyys) ja tarjottava muutoksenhakureitit – asetuksen avoimuus- ja ihmisen valvontavaatimukset tukevat tätä. Työllisyyden osalta rekrytoinnissa tai HR-hallinnassa käytettävä tekoäly (CV-seulonta, työnhakijoiden vertailu, henkilöstön seuranta) on niin ikään korkean riskin digital-strategy.ec.europa.eu. Yritysten, jotka hyödyntävät tekoälyrekrytointityökaluja, on varmistettava, että väline on suunniteltu ja testattu tasa-arvoiseksi (esim. ettei se toista sukupuolivinoumia palkkauksessa). Asetus voikin uudistaa rekryteknologiamarkkinaa: jotkut automatisoidut rekrytointipalvelut joutuvat parantamaan järjestelmiään merkittävästi tai laatimaan uusia dokumentaatioita päästäkseen laillisesti EU-markkinoille, ja yritykset voivat palata osittain perinteisiin, ihmislähtöisempiin prosesseihin, jos tekoäly ei täytä vaatimuksia. Vähintäänkin työnhakijat EU:ssa alkavat todennäköisesti nähdä ilmoituksia kuten ”Hakemustasi käsiteltäessä voidaan käyttää tekoälyä” ja voivat odottaa selityksiä päätöksistä, avoimuuden hengessä. Positiivista on lisääntynyt oikeudenmukaisuus ja vastuullisuus rekrytoinnissa – tekoäly ei ole salaperäinen portinvartija, vaan valvottu työkalu. HR-osastojen haasteena on tuoda määräysten mukaiset tarkastukset osaksi rekrytointiprosessia viivyttämättä tai monimutkaistamatta liikaa. Säännöstelyhiekkalaatikot voivat auttaa myös tässä: HR-teknologiastartup voi testauttaa tekoälyperusteista arviointityökaluaan viranomaisen valvomassa hiekkalaatikossa ja saada palautetta vaatimusten täyttämisestä ennen laajempaa markkinoille vientiä.

Muille toimialoille, joita ei mainita suoraan asetuksessa, vaikutus on käyttötapakohtainen. Esimerkiksi kriittisen infrastruktuurin (sähköverkot, liikenteen ohjaus) tekoälysovellukset ovat korkean riskin piirissä, jos järjestelmän vikaantuminen uhkaa turvallisuutta artificialintelligenceact.eu. Siksi energia- ja liikenneoperaattoreiden on varmistettava ohjausjärjestelmiensä vaatimustenmukaisuus. Markkinointi- ja sosiaalisen median tekoäly (esim. mainosten kohdennusalgoritmit tai suositusmoottorit) kuuluu pääosin vähäisen tai rajoitetun riskin luokkiin – ne eivät itsessään ole AI-asetuksen tiukimmin valvottuja, vaikka muut säädökset (esim. DSA) voivat koskea niitä.

Yksi merkittävä ala on kuluttajatuotteet ja robotiikka – jos tekoäly integroidaan kuluttajatuotteisiin (lelut, kodinkoneet, ajoneuvot), tuotevastuulait astuvat voimaan. Esimerkiksi tekoälyllä varustettu lelu, joka vuorovaikuttaa lasten kanssa, voi olla korkean riskin tuote, erityisesti jos se voi vaarallisesti vaikuttaa lasten käyttäytymiseen europarl.europa.eu. Laki kieltää erityisesti lelut, jotka käyttävät puheeseen perustuvaa tekoälyä edistääkseen vahingollista käyttäytymistä lapsissa europarl.europa.eu. Siksi tekoälyä hyödyntävien lelu- ja peliyritysten täytyy olla tarkkoja sisällön ja toiminnallisuuden suhteen.

Kokonaisuudessaan alat, jotka ovat tekemisissä ihmisten elämän, mahdollisuuksien tai oikeuksien kanssa, kohtaavat merkittävimmät uudet säännöt. Näillä aloilla nähdään todennäköisesti kulttuurinen muutos kohti “tekoälyn etiikkaa ja sääntely-yhteensopivuutta” – roolit, kuten tekoäly-yhteensopivuusvastaava ja eettinen tarkastaja, yleistyvät. Vaikka aluksi prosessit voivat hidastua järjestelmien auditointien ja parannusten myötä, pitkällä aikavälillä kansalaisten korkeampi luottamus tekoälyyn näillä aloilla voi lisääntyä. Esimerkiksi jos vanhemmat luottavat siihen, että heidän lapsensa tekoälyarviointi on hyvin valvottu ja oikeudenmukainen, he voivat suhtautua avoimemmin tekoälyn käyttöön opetuksessa.

Vaikutus yrityksiin: pk-yritykset, start-upit ja globaalit yritykset

EU:n tekoälyasetus vaikuttaa kaiken kokoisiin organisaatioihin, ketteristä start-upeista monikansallisiin teknologiayrityksiin – erityisesti kaikkiin, jotka tarjoavat tekoälytuotteita tai -palveluja Euroopassa. Sääntöjen noudattamisen kustannukset ja velvoitteet eivät ole merkityksettömiä, mutta asetus sisältää toimenpiteitä, joilla autetaan pienempiä yrityksiä, ja sen ekstraterritoriaalinen ulottuvuus tarkoittaa, että myös EU:n ulkopuoliset yritykset joutuvat kiinnittämään huomiota sääntöihin.

Pienet ja keskisuuret yritykset (pk-yritykset): Pk-yritykset ja start-upit ovat usein tekoälyinnovaation suuri moottori – itse asiassa arviolta 75% tekoälyinnovaatiosta tulee start-upeista seniorexecutive.com. EU halusi välttää näiden toimijoiden murskaamisen sääntelyllä, joten asetus sisältää pk-yritysystävällisiä kohtia. Kuten mainittua, pk-yrityksiä koskevat rikkomussakot ovat euroissa pienempiä orrick.com, mikä ehkäisee pienen yrityksen taloudellista tuhoutumista. Asetus velvoittaa myös, että sääntelyhiekkalaatikoita tarjotaan ilmaiseksi ja etusijalla pk-yrityksille thebarristergroup.co.uk. Nämä hiekkalaatikot (käytössä vuoteen 2026 mennessä jokaisessa jäsenvaltiossa) mahdollistavat start-upeille tekoälyjärjestelmien testaamisen valvotuissa olosuhteissa sekä palautteen saamisen sääntöjen noudattamisesta ilman pelkoa sanktioista testausvaiheessa. Se on mahdollisuus kehittää tuotetta yhteistyössä viranomaisten kanssa – jolloin sääntöjen noudattaminen voi olla ennemmin osa yhteiskehittelyä kuin este.

Lisäksi Euroopan komissio käynnisti asetuksen rinnalla “AI Pact” -aloitteen sekä muita tukiohjelmia digital-strategy.ec.europa.eu digital-strategy.ec.europa.eu. AI Pact on vapaaehtoinen ohjelma, joka kutsuu yrityksiä sitoutumaan varhaiseen sääntöjen noudattamiseen ja jakamaan parhaita käytäntöjä – erityisesti tukemaan muita kuin suuria teknologiajättejä valmistautumaan. Laki velvoittaa myös AI-toimistoa tarjoamaan opastusta, malleja ja resursseja pk-yrityksille artificialintelligenceact.eu. Voimme nähdä esimerkiksi mallisuunnitelmia riskienhallinnasta tai dokumentaatiolistauksia, joita 10 hengen start-up voi käyttää ilman tarvetta palkata kokonaista lakitiimiä.

Tukitoimista huolimatta monet start-upit kuitenkin ovat huolissaan sääntöjen tuomasta taakkaa. Vaatimukset (kuten aiemmin kuvattiin) – esimerkiksi laatujärjestelmät ja yhdenmukaisuuden arviointi – voivat tuntua ylitsepääsemättömiltä pienelle yritykselle. Pelkona on, että innovaatio voi hidastua tai siirtyä muualle: jos tekoälytuotteen tuominen Euroopan markkinoille on liian hankalaa, start-up voi ensin lanseerata muualla (esim. Yhdysvalloissa), tai sijoittajat suosivat alueita, joissa on kevyempi sääntely seniorexecutive.com seniorexecutive.com. Kuten eräs teknologiajohtaja totesi, selkeät säännöt tuovat varmuutta, mutta liian tiukat säännöt “voivat ajaa hienon ja arvokkaan tutkimuksen muualle.” seniorexecutive.com. Osa start-upien perustajista pitää asetusta liian laajana ja raskaana, ja pelkää, että varhaisen vaiheen yritykset kamppailevat kustannusten kanssa ja päättävät siirtää toimintansa EU:n ulkopuolelle seniorexecutive.com.

Jotta tilannetta helpotettaisiin, EU-päättäjät ovat ilmaisseet, että standardit ja noudattamismenettelyt tehdään mahdollisimman suoraviivaisiksi. Esimerkiksi voi tulla vakioituja yhdenmukaisuuden arviointimoduuleja, joita pienyritys voi seurata, tai sertifiointipalveluita, joissa kustannukset jaetaan useiden pk-yritysten kesken. Myös “sääntöjen noudattamisen tukirahastoista” tai tukiaisista on keskusteltu – eli rahoitusta, jolla autetaan start-upeja kattamaan sääntöjen noudattamisen kustannukset seniorexecutive.com. Jos tällaisia kannustimia toteutetaan (esim. EU- tai kansallisella tasolla), ne helpottaisivat taakkaa.

Joka tapauksessa pk-yritysten kannattaa aloittaa kartoituksella omista tekoälyjärjestelmistään riskiluokkien mukaan ja keskittyä erityisesti korkeaan riskiin kuuluviin. Moni tekoälystart-up saattaa huomata, että heidän tuotteensa onkin vähäisen tai rajoitetun riskin piirissä, jolloin sääntöjen noudattaminen voi tarkoittaa lähinnä lisävastuuvapauslausuman tai tiedon lisäämistä eikä täyttä sääntelyohjelmaa. Korkean riskin alueilla (esim. medtech-start-up tai HR-työkaluun keskittyvä yritys) varhainen yhteydenpito viranomaisiin (hiekkalaatikoiden tai konsultaatioiden kautta) on tärkeää. Laki kannustaa eksplisiittisesti “innovaatiomyönteiseen soveltamiseen” – eli viranomaiset on velvoitettu huomioimaan pienempien toimijoiden tarpeet eikä soveltamaan kaikille samaa rangaistusmallia, ainakaan alkuvaiheessa seniorexecutive.com. Käytännössä on todennäköistä, että alkuun on jonkinlainen siirtymävaihe, jolloin aidosti säännösten noudattamiseen pyrkiviä ohjataan eikä heti rangaista.

Globaalit ja EU:n ulkopuoliset yritykset: Samoin kuin GDPR:n kohdalla, tekoälyasetus on ekstraterritoriaalinen. Jos tekoälyjärjestelmä tuodaan EU:n markkinoille tai sen tuotos käytetään EU:ssa, säännöt voivat päteä riippumatta tarjontapuolen sijainnista artificialintelligenceact.eu. Tämä tarkoittaa, että yhdysvaltalaiset, aasialaiset tai muut kansainväliset yritykset eivät voi jättää tekoälyasetusta huomiotta, jos heillä on asiakkaita tai käyttäjiä Euroopassa. Esimerkiksi amerikkalainen teknologiayritys, joka myy rekrytointityökalua eurooppalaisille asiakkaille, joutuu varmistamaan, että kyseinen työkalu täyttää EU-vaatimukset (muutoin eurooppalaiset asiakkaat eivät voi käyttää sitä laillisesti).

Suurille globaaleille teknologiayrityksille (Google, Microsoft, OpenAI, ym.) tekoälyasetus vaikuttaa jo nyt käyttäytymiseen. Jopa ennen lain hyväksymistä jotkin yritykset alkoivat tarjota enemmän läpinäkyvyyttä tai hallintaa tekoälytuotteissaan ennakoiden sääntelyä. Esimerkiksi generatiivisten tekoälyjen tarjoajat kehittävät työkaluja tekoälytuotosten merkitsemiseen ja useat yritykset ovat julkaisseet tietoa koulutusaineistostaan ja mallien rajoituksista EU:n painostuksen vuoksi. On esitetty myös, että EU:n tekoälyasetuksen noudattaminen voisi olla kilpailuetu tai laadun merkki – samaan tapaan kuin “GDPR-yhteensopivia” tuotteita pidetään yksityisyyttä kunnioittavina, tekoälysovellukset, jotka ovat “EU AI Act -yhteensopivia”, voidaan nähdä maailmanlaajuisesti luotettavampina.

Kansainväliset yritykset joutuvat kuitenkin tasapainottelemaan eri sääntelyalueiden välillä. EU:n säännöt eivät välttämättä ole täysin yhteneväiset esimerkiksi Yhdysvaltain vaatimusten kanssa. Jotkin Yhdysvaltain osavaltiot tai federal-ohjeistukset voivat olla ristiriidassa tai vaatia erilaisia raportointikäytäntöjä. Siksi kansainväliset yhtiöt voivat standardisoida toimintansa kaikkein tiukimman sääntelyn mukaan (usein siis EU:n), jotta globaali toimintamalli säilyy yhdenmukaisena – näin kävi myös GDPR:n kohdalla, jolloin monet yritykset laajensivat GDPR-oikeudet maailmanlaajuisiksi. Voimme nähdä tekoälypalveluntarjoajien omaksuvan EU:n läpinäkyvyysvaatimuksia (esim. tekoälytuotoksen merkitseminen) maailmanlaajuisesti johdonmukaisuuden saavuttamiseksi. Asetus voi siis käytännössä viedä EU:n “luotettavan tekoälyn” normeja myös muihin markkinoihin, jos suuret yritykset muuttavat tuotteitaan kaikille asiakkailleen samanlaisiksi.

Silti hajanaisuuden riski on olemassa: jos muut alueet valitsevat erilaisen tien, globaalit yritykset saattavat joutua ylläpitämään eri tekoälyversioita tai ominaisuuksia aluekohtaisesti. Esimerkiksi tekoälysovelluksessa voi olla erityinen “EU-tila”, jossa on enemmän turvatoimia. Pidemmän päälle tämä on tehotonta, joten kansainväliseen yhdenmukaistamiseen kohdistuu painetta (tästä lisää seuraavassa osiossa).

Yritysstrategian näkökulmasta suuret firmat perustavat todennäköisesti omia tekoälyn compliance-tiimejä (jos niitä ei jo ole), jotka auditoivat tekoälyratkaisujaan asetuksen mukaisesti. Näemme mahdollisesti myös kolmannen osapuolen tekoälyauditointifirmojen syntyvän tarjoamaan sertifiointipalveluita – syntyy uusi ekosysteemi kyberturvallisuusauditointien tapaan – ja molemmat, suuret ja keskisuuret yritykset, käyttävät niitä todennäköisesti varmistaakseen sääntöjen noudattamisen ennen varsinaisen viranomaisen yhteydenottoa.

Toinen vaikutus kohdistuu investointeihin: sekä pääomasijoittajat että yritysostajat tulevat tekemään huolellista selvitystä tekoälyasetuksen noudattamisesta. Sijoittajat voivat kysyä startupeilta: ”Onko AI Act -riskinarviointinne tehty? Osallistutteko hiekkalaatikkokokeiluun vai onko teillä suunnitelma CE-merkinnän saamiseksi, mikäli tarpeen?” – aivan kuten tietosuoja-asetuksen (GDPR) jälkeen tietosuojan noudattamisesta tuli tarkistuslista rahoituskierroksilla. Yritykset, jotka pystyvät osoittamaan vaatimustenmukaisuutensa, saattavat helpommin solmia kumppanuuksia ja saada myyntiä Euroopassa, kun taas vaatimusten noudattamiseen kykenemättömiä voidaan pitää riskialttiimpina valintoina.

Yhteenvetona voidaan todeta, että pk-yrityksille ja startupeille asetus on kaksiteräinen miekka – se tuo selkeyttä ja mahdollisesti kilpailuetua ”vastuullisen tekoälyn” ratkaisuille, mutta nostaa myös kynnystä päästä mukaan korkean panostason markkinoille. Globaaleille yrityksille asetus voi käytännössä asettaa de facto -globaalin standardin tekoälyn hallinnalle (samoin kuin GDPR teki tietosuojalle), ja yritysten on integroitava nämä vaatimukset tekoälyn kehitysprosesseihinsa. EU toivoo, että sääntelyn avulla luotava luottamus kiihdyttää tekoälyn käyttöönottoa – yritykset ja kuluttajat saattavat tuntea olonsa turvallisemmaksi käyttää tekoälyä tietäen sen olevan säänneltyä. Mutta tämä onnistuu vain, jos vaatimusten täyttäminen on realistista; muuten innovaatio voi siirtyä vähemmän säänneltyihin ympäristöihin.

Vaikutukset innovaatioihin, tekoälyinvestointeihin ja kansainväliseen yhteensovitukseen

EU:n tekoälyasetus on herättänyt laajaa keskustelua sen laajemmista vaikutuksista tekoälykenttään – tukahduttaako se innovaatiota vai kannustaako sitä? Miten se ohjaa globaalia tekoälysääntelyä? Tässä joitakin keskeisiä odotettuja vaikutuksia:

Innovaatio: Jarru vai kiihdytin? Kritiikkiä on esitetty siitä, että asetuksen tiukat säännöt, erityisesti korkean riskin tekoälyn osalta, voivat hidastaa kokeellista innovaatiota, erityisesti sellaisten startupien kohdalla, jotka kehittävät alan terävintä kärkeä seniorexecutive.com. Vaatimustenmukaisuus (dokumentaatio, arvioinnit jne.) voi pidentää kehityssyklejä ja ohjata resursseja pois varsinaisesta tutkimus- ja tuotekehityksestä. Esimerkiksi tekoälytutkimustiimi voi joutua käyttämään lisäkuukausia datan validointiin ja vaatimustenmukaisuusraporttien kirjoittamiseen ennen tuotteen julkaisua. On huoli mahdollisesta ”innovaatio-ulossyötöstä”, jossa johtavat tekoälyyritykset tai -osaajat sijoittuvat mieluummin alueille, joilla sääntelyesteitä on vähemmän seniorexecutive.com. Jos Eurooppaa pidetään vaikeasti navigoitavana, seuraava suuri tekoälyläpimurto voi syntyä Yhdysvalloissa tai Aasiassa, ja tuoda se Eurooppaan mahdollisesti myöhemmin (tai ei lainkaan).

Joitakin tekoälypalveluita (erityisesti generatiivisia tekoälysovelluksia) on jo nähty rajoittamassa käyttäjiä EU:n alueelta tai lykkäämässä EU-julkaisuaan vedoten sääntelyn epävarmuuteen. Jos asetusta ajan mittaan pidetään liian raskaana, Eurooppa voi jäädä jälkeen tekoälyn käyttöönotossa verrattuna vapaammin säädeltyihin ympäristöihin.

Monet alan toimijat kuitenkin uskovat, että selkeät pelisäännöt voivat edistää innovaatiota vähentämällä epävarmuutta seniorexecutive.com. Asetus luo ennustettavan ympäristön – yritykset tietävät ”liikennesäännöt” ja voivat innovoida varmuudella siitä, ettei niiden tekoälyä myöhemmin kielletä tai aseteta julkisen kritiikin kohteeksi. Usein mainittu hyöty on, että asetus lisää yleisön luottamusta tekoälyyn, joka on kriittistä laajalle käyttöönotolle. Jos kansalaiset luottavat siihen, että Euroopassa käytettävää tekoälyä on arvioitu turvallisuuden ja oikeudenmukaisuuden kannalta, he voivat ottaa tekoälyratkaisuja helpommin käyttöön ja siten kasvattaa tekoälytuotteiden markkinaa. Myös yritykset saattavat investoida mielellään tekoälyhankkeisiin tietäen, että niille on valmiina vaatimustenmukaisuuskehys opastamassa, eikä pelkona ole villin lännen tyyppisiä skandaaleja tai oikeusjuttuja.

Ytimeltään asetus yrittää löytää tasapainon: se luo kitkaa (valvonta, vastuu) sillä ajatuksella, että siitä seuraa pitkän tähtäimen kestävä innovaatio lyhyen tähtäimen markkinamyllerryksen sijaan. Hiekkalaatikoiden käyttöönotto sekä pk-yrityksiä koskevat erityishuomiot osoittavat, että EU tiedostaa, että liian suuri kitka = menetettyä innovaatiota ja pyrkii ehkäisemään tätä aktiivisesti.

On myös esitetty, että eettinen tekoälyinnovaatio voi muodostua kilpailueduksi. Eurooppalaiset yritykset voivat erikoistua tekoälyyn, joka on läpinäkyvää ja ihmiskeskeistä jo suunnittelussa, mikä antaa niille etumatkaa globaalien vastuullista tekoälyä hakevien markkinoiden kasvaessa. Tekoälyn etiikkaan ja vaatimustenmukaisuuteen liittyvät työkalut ovatkin jo kasvava sektori – aina harhaepäilyjen tunnistusohjelmista mallien dokumentaatioalustoihin – ja tätä kehitystä vauhdittavat odotukset sääntelystä.

Tekoälyinvestoinnit: Lyhyellä aikavälillä vaatimustenmukaisuus tuo uuden ”veron” tekoälyn kehitykselle, mikä voi tehdä sijoittajista varovaisempia tai ohjata pääomaa enemmän vaatimustenmukaisuuden varmistamiseen. Jotkut VC- ja pääomasijoittajat saattavat vältellä startupeja tiukasti säännellyillä tekoälyalueilla, ellei niillä ole selvää vaatimustenmukaisuussuunnitelmaa (tai ellei markkinapotentiaali riitä kattamaan vaatimustenmukaisuuden kustannukset). Toisaalta, saatamme nähdä kasvavia investointeja tietyille osa-alueille:

RegTech tekoälylle: Yritykset, jotka tarjoavat ratkaisuja tekoälyasetuksen noudattamiseksi (esim. tekoälyauditoinnit, dokumentaation automatisointi, mallien valvontatyökalut), voivat saada sijoitusbuumin, kun näiden tuotteiden kysyntä kasvaa.
Tekoälyvarmentaminen ja -standardit: Investointeja saattavat saada tekoälyprojektit, jotka täyttävät tai ylittävät sääntelyvaatimukset ja erottuvat näin edukseen. Esimerkiksi tekoälymalli, joka on osoitettavasti selitettävä ja reilu, voi houkutella asiakkaita ja sijoittajia, jotka arvostavat ”vaatimustenmukaisuutta suunnittelusta lähtien”.

EU itse ohjaa investointeja luottamukseen perustuvan tekoälytutkimuksen ja -innovaation suuntaan. Horizon Europe -ohjelman ja Digitaalinen Eurooppa -ohjelman kaltaisten hankkeiden kautta rahoitusta ohjataan tekoälyhankkeisiin, jotka painottavat läpinäkyvyyttä, kestävyyttä ja EU:n arvoihin linjautumista. Julkisen rahoituksen avulla pyritään varmistamaan innovaation jatkuminen ohjatuilla raiteilla.

Mahdollinen lopputulos on, että jotkin tekoälyn erikoisalat kukoistavat Euroopassa (niissä, joissa sääntelyn noudattaminen onnistuu helposti, kuten tekoäly terveydenhuollossa, jonka turvallisuushyödyt voidaan osoittaa), kun taas toiset voivat jäädä jälkeen (esim. sosiaalisen median sisällön moderointi, jos sitä pidetään liian riskialttiina tai monimutkaisena vaatimusten täyttämiseksi – tämä vain hypoteettisesti). Lisäksi voidaan nähdä siirtymää kuluttajille suunnatusta tekoälystä yritysten väliseen tekoälyyn Euroopassa – kuluttajille suunnattu tekoäly voisi herättää enemmän sääntelyhuomiota (erityisesti, jos se voi vaikuttaa käyttäytymiseen), kun taas yrityksen sisäinen tekoäly voi olla helpompi hallita vaatimustenmukaisuuden kannalta.

Kansainvälinen yhteensovitus vai hajautuminen? Kansainvälisesti EU:n tekoälyasetusta tarkkaillaan tarkkaan. Siitä voi todellakin tulla malli, jota muut demokratiat soveltavat omiin järjestelmiinsä. Jo nyt Brasilia on hyväksynyt EU-tyylisen riskipohjaisen malli-lain cimplifi.com, ja esimerkiksi Kanada on laatinut tekoälylakeja (AIDA-lakialoite), jotka keskittyvät korkean vaikutuksen tekoälyyn ja riskien hallintaan cimplifi.com. Nämä aloitteet ovat saaneet vaikutteita EU:n lähestymistavasta. Jos useat oikeudenkäyttöalueet ottavat käyttöön samanlaisia kehyksiä, siirrytään yhteensovitukseen – tästä hyötyvät tekoälyyritykset, kun noudatettavia sääntöjä on vähemmän ja ne ovat yhtenäisempiä.

Kaikki eivät kuitenkaan seuraa perässä tarkalleen samalla tavalla. Yhdistynyt kuningaskunta on toistaiseksi ottanut tarkoituksella kevyemmän, periaatepohjaisen lähestymistavan ja antaa ohjeistusta sektorikohtaisten viranomaisten kautta yhden lain sijaan cimplifi.com. Iso-Britannia painottaa innovaatiota ja on ilmoittanut, ettei halua säännellä liikaa uutta teknologiaa. He voivat myöhemmin ottaa oman AI Actin käyttöön, mutta todennäköisesti siitä tulee vähemmän yksityiskohtainen kuin EU:n asetuksesta. Japani ja muut ovat myös viestineet pehmeämmästä linjasta, jossa korostetaan vapaaehtoista ohjeistusta ja eettisiä periaatteita pakottavien sääntöjen sijaan.

Yhdysvalloissa ei tällä hetkellä ole EU:n asetuksen veroista kansallista tekoälylakia. Sen sijaan Yhdysvallat on julkaissut ei-sitovan Blueprint for an AI Bill of Rights -asiakirjan, jossa linjataan laajoja periaatteita, kuten turvallisuus, syrjimättömyys, tietosuoja, läpinäkyvyys ja inhimilliset vaihtoehdot weforum.org, mutta tämä toimii enemmän politiikkaoppaana kuin varsinaisena lainsäädäntönä. Yhdysvalloissa on todennäköisempää nähdä alakohtaisia tekoälysäädöksiä (esim. FDA ohjeistaa tekoälyä lääkinnällisissä laitteissa, finanssivalvojat pankkialalla jne.) ja nojataan olemassa oleviin lakeihin, kuten syrjintäkieltoon tai vastuulainsäädäntöön. Vuoden 2023 lopulla ja 2024 alussa Yhdysvalloissa aktivoiduttiin – Bidenin hallinto julkaisi tekoälyn toimeenpanomääräyksen (Executive Order on AI, lokakuu 2023), jossa muun muassa vaaditaan kehittyneiden mallien kehittäjiä jakamaan turvallisuustestaustuloksia hallitukselle ja käsitellään tekoälyä mm. bio- ja kansalaisoikeuksiin liittyen. Tämäkin tosin perustuu toimeenpanoon eikä lainsäädäntöön. Samaan aikaan kongressi on järjestänyt kuulemisia ja laatinut lakiesityksiä, mutta yksikään ei ole mennyt läpi kesään 2025 mennessä. Todennäköinen skenaario Yhdysvalloissa on sektorikohtainen tilkkutäkki: joissain osavaltioissa on omia tekoälylakeja (esim. AI-syväväärennösten läpinäkyvyysvaatimukset tai tekoälypohjaisten rekrytointityökalujen säännöt) ja liittovaltiotason viranomaiset soveltavat olemassa olevia lakeja (esim. FTC valvoo harhaanjohtavaa tekoälykäyttöä, EEOC puolueellista AI-rekrytointia jne.) yhden kattavan lain sijaan.

Tämä tarkoittaa, että lyhyellä aikavälillä yritykset kohtaavat hajanaisen sääntelymaiseman: tiukkaa sääntelyä EU:ssa, löysempää (mutta kehittyvää) sääntelyä Yhdysvalloissa ja eri maiden tapoja muualla. Senior Executive -median analyysi ennustaa, että Yhdysvallat pitäytyy sektorikohtaisessa strategiassa säilyttääkseen kilpailuetunsa, kun taas Kiina jatkaa ankarampaa kontrollia ja muut maat, kuten Iso-Britannia, Kanada ja Australia, saattavat valita joustavampia suuntaviivoja seniorexecutive.com. Tämä hajanaisuus voi tuoda haasteita – yritysten on räätälöitävä tekoälyjärjestelmiään eri alueiden odotuksiin, mikä on tehotonta ja kallista, sekä saattaa hidastaa tekoälyn globaalia käyttöönottoa, koska vaatimustenmukaisuus on tarkistettava jokaisessa kehyksessä erikseen.

Positiivisella puolella aktiivisia kansainvälisiä koordinointipyrkimyksiä on käynnissä: EU ja Yhdysvallat ovat perustaneet kauppa- ja teknologianeuvostonsa (Trade and Technology Council) puitteissa tekoälytyöryhmän etsimään yhteistä pohjaa (he ovat käsitelleet esimerkiksi tekoälyn terminologiaa ja standardeja). G7-maat käynnistivät Hiroshiman tekoälyprosessin vuoden 2023 puolivälissä keskustellakseen tekoälyn globaalista hallinnasta, ja esiin nousi muun muassa ajatus kansainvälisestä toimintaohjeistuksesta tekoälyyrityksille. Organisaatiot kuten OECD ja UNESCO ovat jo luoneet tekoälyn periaatteita, joihin useat maat (mukaan lukien Yhdysvallat, EU ja jopa Kiina OECD:n tapauksessa) ovat sitoutuneet – nämä periaatteet kattavat tutut teemat (oikeudenmukaisuus, läpinäkyvyys, vastuullisuus). Toiveena on, että nämä voisivat muodostaa säännösten yhteisen lähtötason.

Pidemmällä aikavälillä jotkut uskovat, että voimme päätyä periaatteiden lähentymiseen, vaikka oikeudelliset mekanismit eroavatkin seniorexecutive.com. Esimerkiksi lähes kaikki ovat yhtä mieltä siitä, ettei tekoälyn tulisi olla vaarallista tai ilmiselvästi syrjivää – vaatimusten täytäntöönpano voi poiketa alueittain, mutta tavoite (turvallisempi ja oikeudenmukaisempi tekoäly) on yhteinen. Keskustelujen ja mahdollisten kansainvälisten sopimusten kautta voidaan nähdä osittaista harmonisointia. Hajautettu alku saattaa lopulta johtaa yhtenäisempään normistoon seniorexecutive.com, etenkin kun tekoälyteknologia itsessään globalisoituu (tekoälyn kyvykkyyksien rajaaminen geopolitiikan keinoin on vaikeaa yhteenliitetyssä maailmassa).

Tekoälyjohtajuus ja kilpailu: Mukana on myös geopoliittinen ulottuvuus. EU asemoituu johtajaksi eettisessä tekoälyhallinnassa. Jos sen malli saa maailmanlaajuista jalansijaa, EU voisi käyttää vipuvoimaa standardien määrityksessä (kuten GDPR:llä vaikutettiin tietosuojakäytäntöihin maailmanlaajuisesti). Toisaalta, jos sääntelyä pidetään Euroopan tekoälyteollisuutta heikentävänä samalla kun muut alueet kehittyvät nopeasti, EU:ta voidaan syyttää itse aiheutetuista kilpailuhaitoista. Yhdysvaltalaiset teknologiayritykset johtavat monilla tekoälyn osa-alueilla, ja Kiina investoi valtavasti tekoälyyn. Euroopan panoksena on, että luotettava tekoäly voittaa pitkällä tähtäimellä sääntelemättömän tekoälyn, mutta se jää nähtäväksi.

Ensimmäiset merkit vuodelta 2025 viittaavat molempiin suuntiin: Jotkin tekoälyyritykset ovat todenneet, että Euroopan sääntely saa ne kehittämään parempia sisäisiä valvontamekanismeja (positiivista), kun taas toiset ovat keskeyttäneet tiettyjä palveluita Euroopassa (negatiivista). Lisäksi nähdään, että kansainväliset yritykset tekevät yhteistyötä EU:n sääntelijöiden kanssa – esimerkiksi suuret tekoälylaboratoriot ovat keskustelleet EU:n kanssa tekoälytuotosten vesileimaamisesta, mikä osoittaa, että sääntely vaikuttaa jo heidän tuotteidensa maailmanlaajuiseen suunnitteluun.

Investointi- ja tutkimusnäkökulmasta voidaan ennakoida, että tekoälytutkimus keskittyy entistä enemmän aiheisiin kuten selitettävyyteen, harhan vähentämiseen ja verifiointiin – koska nämä tulevat pakollisiksi säädösten vuoksi. EU rahoittaa laajasti tutkimusta näillä alueilla, mikä voi johtaa läpimurtoihin, jotka tekevät tekoälystä rakenteellisesti turvallisempaa ja helpommin säädeltävää (esim. uudet neuroverkkojen tulkintamenetelmät). Jos tällaisia edistysaskeleita saavutetaan, niistä voivat hyötyä kaikki, eivät vain eurooppalaiset.

Yhteenvetona EU:n tekoälyasetus on rohkea sääntelykokeilu, joka voi joko asettaa maailmanlaajuisen mittapuun tekoälyn hallinnalle tai – jos mitoitus menee pieleen – eristää EU:n tekoälyekosysteemin. Todennäköisintä on, että sääntely saa merkittävän muovaavan vaikutuksen: tekoälyinnovaatio ei pysähdy, mutta se mukautuu uuteen sääntelykehikkoon. Yritykset ja sijoittajat säätävät strategioitaan – sisällyttävät vaatimustenmukaisuuden tuotekehitykseensä, huomioivat tekoälyn toteutuskustannukset EU:ssa ja osa voi siirtää painopistettä matalamman riskin sovelluksiin tai muille markkinoille. Kansainvälisesti olemme tienhaarassa: seuraako maailma EU:n mallia (jolloin tekoälylle muotoutuu yhtenäisemmät globaalit standardit) vai kehittyykö tekoäly eri suuntiin erilaisten sääntelyfilosofioiden pohjalta? Seuraavat vuodet, kun asetuksen pykälät astuvat voimaan ja muut maat reagoivat, näyttävät suunnan.

Globaalit tekoälysääntelyt: EU:n asetus vs. Yhdysvallat, Kiina (ja muut)

EU:n tekoälyasetus ei ole irrallinen – se on osa laajempaa globaalia liikettä, jolla pyritään kohtaamaan tekoälyn tuomat haasteet. Verrataan sitä Yhdysvaltojen ja Kiinan lähestymistapoihin, jotka ovat tekoälysupervaltoja hyvin erilaisilla sääntelyfilosofioilla, sekä huomioidaan muutama muu malli:

Yhdysvallat (AI Bill of Rights -luonnos & nouseva sääntely): Yhdysvallat on toistaiseksi valinnut hajautetumman, periaatepohjaisemman lähestymistavan. Lokakuussa 2022 Valkoisen talon tiede- ja teknologiapolitiikan toimisto julkaisi tekoälyn oikeuksien julistuksen luonnoksen, joka sisältää viisi ohjaavaa periaatetta automaattisten järjestelmien suunnitteluun ja käyttöön weforum.org:

Turvalliset ja tehokkaat järjestelmät – amerikkalaisten tulee olla suojassa vaaralliselta tai virheelliseltä tekoälyltä (esim. tekoälyä tulee testata ja seurata, että se täyttää käyttötarkoituksensa) weforum.org.
Algoritminen syrjinnän suoja – tekoälyjärjestelmät eivät saa syrjiä perusteettomasti ja niitä tulee käyttää tasapuolisesti weforum.org. Tämä sitoo tekoälyn nykyisiin kansalaisoikeuslakeihin; käytännössä tekoäly ei saa olla porsaanreikä syrjintään, joka olisi ihmispäätöksenä laiton.
Tietosuojan takaaminen – ihmisillä tulee olla kontrolli siihen, miten heidän tietojaan käytetään tekoälyssä, ja heidät on suojattava haitallisilta tietokäytännöiltä weforum.org. Tämä ei ole uusi tietosuojalaki, mutta korostaa, ettei tekoäly saa rikkoa yksityisyyttä ja tietoja käytetään mahdollisimman vähän.
Ilmoitus ja selitys – ihmisille tulee kertoa, kun tekoälyä käytetään ja heidän tulee ymmärtää, miksi tekoäly on tehnyt heidän elämäänsä vaikuttavan päätöksen weforum.org. Tämä vaatii läpinäkyvyyttä ja selitettävyyttä, kuten EU:n vastaavat vaatimukset.
Ihmisen vaihtoehto, harkinta ja palautemekanismi – tulisi olla mahdollisuus kieltäytyä tai saada ihmisen käsittelyä, kun se on aiheellista weforum.org. Esimerkkinä, jos tekoäly evää jotakin tärkeää (kuten asuntolainan), tulisi olla mahdollisuus valittaa ihmiselle tai saada päätös uudelleentarkasteluun.

Nämä periaatteet heijastavat monia EU:n asetuksen tavoitteita (turvallisuus, oikeudenmukaisuus, läpinäkyvyys, ihmisen valvonta), mutta tekoälyn oikeuksien julistus ei ole laki – se on politiikkakehys ilman sitovaa vaikutusta weforum.org. Se koskee toistaiseksi pääasiallisesti liittovaltion virastoja ja ohjaa hallituksen tekoälyhankintoja ja -käyttöä. Tavoitteena on näyttää suuntaa myös yrityksille, ja osa yrityksistä onkin ilmaissut tukensa näille periaatteille. Mutta noudattaminen on vapaaehtoista; rangaistuksia ei ole kytketty julistukseen.

Tämän lisäksi Yhdysvallat on nojannut nykyisiin lakeihin puuttuakseen räikeisiin tekoälyhaittoihin. Esimerkiksi Federal Trade Commission (FTC) on varoittanut yrityksiä, että se voi rangaista epäreiluista tai harhaanjohtavista tekoälykäytännöistä (kuten tehdä vääriä väitteitä tekoälyn kyvyistä tai käyttää tekoälyä kuluttajille haitallisella tavalla). Yhdenvertaisen työllistymisen komissio (EEOC) tarkastelee, miten työlainsäädäntö koskee tekoälyä – esimerkiksi jos tekoäly hylkää systemaattisesti iäkkäitä hakijoita, se voisi rikkoa syrjinnän vastaista lakia. Tekoälyn valvontaa Yhdysvalloissa tehdään siis yleislakeja soveltaen, ei erillisen tekoälylain nojalla.

Kuitenkin tilanne on Yhdysvalloissa muuttumassa. Vuosina 2023–2024 tekoälysääntelystä on keskusteltu vakavasti kongressissa generatiivisen tekoälyn nopean kasvun vuoksi. Useita tekoälylakeja on esitetty (koskien mm. syväväärennösten merkitsemistä, läpinäkyvyyttä ja vastuuvelvollisuuden kehikoita), mutta yksikään ei ole vielä mennyt läpi. Keskustella on myös liittovaltiotasoisen tekoälyn turvallisuusinstituutin perustamisesta tai toimivallan laajentamisesta viranomaisille. On todennäköistä, että Yhdysvallat luo konkreettisempaa sääntelyä lähivuosina, mutta todennäköisesti kohdennetusti, ei EU:n tyyppisenä kattolakina. Yhdysvallat säätelee usein alakohtaisesti – esimerkiksi terveydenhuollon tekoälyllä tulee täyttää FDA:n säännöt, ja FDA on jo antanut ohjeistuksen ”Software as a Medical Device” -määrittelyssä, johon tietyt tekoälymallit kuuluvat. Toinen esimerkki: Rahoitusalan viranomaiset (kuten CFPB tai OCC) seuraavat tekoälyyn perustuvia luottomalleja ja voivat käyttää nykyisiä rahoituslakeja tasa-arvon varmistamiseen.

Yksi alue, jolla Yhdysvallat on liikkunut ripeästi, on kansallisen turvallisuuden tekoäly: Viimeaikainen presidentin toimeenpanomääräys velvoittaa kehittyneiden tekoälymallien kehittäjät jakamaan turvallisuustestinsä tulokset hallitukselle, mikäli mallit voivat aiheuttaa kansallisen turvallisuuden uhkan (esim. vaarallisten biologisten aineiden mallintaminen). Tämä on tarkempi lähestymistapa kuin EU:ssa, jossa ei ole erillistä kansallisen turvallisuuden poikkeusta lainvalvontatarkoituksen lisäksi.

Yhteenvetona Yhdysvaltojen lähestymistapa on nyt kevyesti sääntelevä ja periaatevetoinen, painottaen innovaatiota ja olemassa olevia lakeja. Yrityksiä rohkaistaan (mutta ei vielä velvoiteta) noudattamaan eettisiä ohjeita. Ero EU:hun on siinä, että EU pakottaa nämä periaatteet lakiin tarkastuksin ja sanktioin, kun taas Yhdysvallat käyttää niitä suosituksina ja luottaa markkinaohjaukseen sekä yleislakeihin. Mahdollinen lähentyminen EU:n kanssa (esim. oman tekoälylain tai sääntelykehikon kautta) jää nähtäväksi. Yhdysvalloissa kuuluu sekä ääniä, jotka vaativat sääntelyä kilpailukyvyn ja luottamuksen turvaamiseksi, että varoittavat ylisääntelystä teknologiateollisuudelle. Todennäköinen kompromissi voisi olla: läpinäkyvyysvaatimukset kriittisiin tekoälyjärjestelmiin tai sertifiointi tekoälylle arkaluonteisissa käytöissä ilman täyttä riskiluokittelua.

Kiinan tekoälysääntely ja standardit: Kiinalla on hyvin erilainen poliittinen järjestelmä, ja sen tekoälyn hallinta heijastelee sen painopisteitä: yhteiskunnallinen vakaus, tiedonhallinta ja strateginen johtoasema tekoälyssä. Kiina on laajentanut nopeasti sääntelykehystään, ja sen lähestymistapa on tiukka erityisesti sisällön ja käytön osalta, ja se toteutetaan usein hallinnollisten määräysten kautta.

Kiinan lähestymistavan keskeisiin elementteihin kuuluu:

Tekoälyllä tuotetun sisällön pakollinen tarkastus ja sensuuri: Elokuussa 2023 Kiina otti käyttöön Generatiivisten tekoälypalveluiden väliaikaiset säännökset cimplifi.com. Sääntöjen mukaan kaikki julkisesti tarjottavat generatiivisen tekoälyn palvelut (kuten chatbotit ja kuvageneraattorit) on varmistettava, että sisältö on linjassa ydinsosialististen arvojen kanssa sekä laillista ja totuudenmukaista. Palveluntarjoajien on aktiivisesti suodatettava kielletty sisältö (kaikki, mikä voidaan katsoa kumoukselliseksi, sopimattomaksi tai muutoin Kiinan sensuurijärjestelmän vastaiseksi). Tämä tarkoittaa, että kiinalaiset tekoälyyritykset rakentavat järjestelmiinsä kattavaa sisällönmoderointia. Säännöt vaativat myös tekoälyn luoman sisällön merkitsemistä silloin, kun sisältö voisi hämmentää ihmisiä todellisuuden suhteen cimplifi.com. Tämä on hyvin samankaltaista kuin EU:n deepfake-merkintävaatimus, mutta Kiinassa se kehystetään keinoksi estää harhaanjohtavaa tietoa ja ehkäistä yhteiskunnallista häiriötä.
Algoritmien rekisteröinti: Jo ennen generatiivista tekoälysääntelyä Kiinassa oli säännöt suositusalgoritmeille (voimassa vuodesta 2022 alkaen). Yritysten oli rekisteröitävä algoritminsa Kiinan kyberavaruuden hallintovirastolle (CAC) ja toimitettava tietoa niiden toiminnasta. Keskusrekisterin tarkoituksena on valvoa käytössä olevia algoritmeja, erityisesti sellaisia, jotka vaikuttavat julkiseen mielipiteeseen (esim. uutisvirta-algoritmit).
Oikea nimellä rekisteröinti ja tietokontrollit: Kiinalaiset säännökset edellyttävät usein, että tekoälypalveluiden käyttäjät rekisteröityvät oikealla henkilöllisyydellään (väärinkäytösten estämiseksi ja sisällön jäljitettävyyden takaamiseksi). Tekoälyn koulutuksessa käytetty data, erityisesti henkilötietoja sisältävä data, on Kiinan tietoturvalain ja henkilötietosuojalain säätelemää. Kiinalaisten yritysten on huomioitava myös viranomaisten tietopyynnöt (hallitus voi vaatia pääsyä dataan ja algoritmeihin turvallisuussyistä).
Turvallisuusarvioinnit: Vuonna 2024–2025 Kiinan standardielin (NISSTC) julkaisi luonnoksen generatiivisen tekoälyn turvallisuusohjeista cimplifi.com. Ohjeissa käsitellään teknisiä toimenpiteitä koulutusdatan käsittelyyn, mallien turvallisuuteen jne., ja ne heijastavat hallituksen tavoitetta, ettei tekoälyä voi helposti käyttää väärin tai että se ei tuottaisi kiellettyä sisältöä. Maaliskuussa 2025 CAC viimeisteli AI-luodun sisällön merkintää koskevat säännökset (kuten viitattu), jotka tekevät syyskuusta 2025 alkaen pakolliseksi, että kaikki tekoälyn tuottama sisältö on selkeästi merkitty cimplifi.com. Tämä risteää EU:n vastaavan säännön kanssa, joskin Kiinassa perusteluna on myös huhujen torjunta ja tiedonhallinnan säilyttäminen.
Laajat eettiset viitekehykset: Kiina on julkaissut myös korkean tason periaatteita. Esimerkiksi vuonna 2021 Kiinan tiede- ja teknologiaministeriö julkaisi tekoälyn eettiset ohjeet, joissa puhutaan ihmiskeskeisyydestä ja kontrolloitavuudesta. Vuonna 2022 kansallinen tekoälyhallintakomitea (moniammatillinen ryhmä) antoi tekoälyn hallinnon periaatteet -asiakirjan, jossa korostetaan harmoniaa, oikeudenmukaisuutta ja läpinäkyvyyttä. Vuonna 2023 Kiina julkaisi tekoälyturvallisuuden hallintakehyksen, joka on linjassa globaalin tekoälyaloitteen kanssa ja korostaa mm. ihmiskeskeisyyttä ja riskiluokittelua cimplifi.com. Nämä ovat samankaltaisia kuin OECD:n tai EU:n periaatteet ja osoittavat, että Kiina haluaa esittäytyä “vastuullisen tekoälyn” edistäjänä, kuitenkin omassa kontekstissaan (Kiinalainen oikeudenmukaisuus voi tarkoittaa mm. vähemmistöjen syrjinnän torjuntaa, mutta myös kansallisen yhtenäisyyden varmistamista tekoälyn avulla).
Tiukka lainvalvontakäyttö (tai väärinkäyttö): Kun taas EU kieltää monia reaaliaikaisia biometrisiä sovelluksia, Kiina on johtava tekoälyvalvonnan käyttöönotossa (kuten kasvojentunnistus julkisissa tiloissa, “älykaupunkien” seuranta jne.). On olemassa joitain sääntöjä poliisin käyttöä varten turvallisuuden takaamiseksi, mutta valtiolla on yleensä hyvin laajat valtuudet. Sosiaalinen luottojärjestelmä on olemassa alkuasteellaan (lähinnä talousluoton ja oikeusrekisterin muodossa), joskin se ei ole niin tieteiskuvituksellinen kuin usein luullaan, ja EU on nimenomaisesti kieltänyt “sosiaalisen pisteytyksen” kaltaiset ratkaisut.

Käytännössä Kiinan sääntely on tiukkaa sisällönhallinnan ja eettisten ohjeiden suhteen, mutta se toteutetaan ylhäältä alas. Siinä missä EU:n laki valtaistaa yksilöitä ja luo prosessivastuuta, Kiinan malli kontrolloi palveluntarjoajia ja varmistaa, ettei tekoäly uhkaa valtion tavoitteita. Yrityksillä Kiinassa sääntelyn noudattaminen tarkoittaa tiivistä yhteistyötä viranomaisten kanssa, sensuuri- ja raportointimekanismien rakentamista ja kansallisiin tavoitteisiin sopeutumista (esim. tekoälyn käyttö taloudelliseen kehitykseen, ei toisinajatteluun).

Voidaan sanoa, että Kiinan järjestelmä on “tiukka mutta erilainen”: se ei korosta julkista läpinäkyvyyttä (tavallinen kiinalainen käyttäjä ei välttämättä saa selitystä tekoälypäätökselle), vaan jäljitettävyyttä ja viranomaisten kattavaa näkyvyyttä tekoälyjärjestelmiin. Se kieltää suoraan käytöt, jotka lännessä voisivat olla tietyin rajauksin sallittuja (esim. tietynlainen poliittinen puhe tekoälyn avulla).

Kiinalaiset tekoälyyritykset, kuten Baidu tai Alibaba, ovat joutuneet vetäytymään tai kouluttamaan mallejaan uudelleen, jos ne ovat tuottaneet poliittisesti herkkiä tuloksia. Laajojen mallien kehitystä Kiinassa ohjaa voimakkaasti nämä säännöt – koulutusdata esisuodatetaan tabujen poistamiseksi ja malleja viimeistellään tietyistä aiheista poikkeamista välttäen.

On kiinnostavaa, että osa Kiinan vaatimuksista (kuten deepfake-merkinnät) menevät yksiin EU:n määräysten kanssa, joskin hieman eri perustein. Tämä osoittaa potentiaalista teknisten standardien lähentymistä – tekoälyn tuottaman median merkitsemisestä voi tulla globaali normi, vaikka motiivit eroavatkin (EU: suojelu harhaanjohtamiselta; Kiina: tämä sekä tiedonhallinta).

Muut maat: Näiden kolmen ulkopuolella mainittakoon:

Kanada: Kuten aiemmin mainittu, Kanada ehdotti Teköäly- ja datalakia (AIDA) osana lakiesitystä C-27 cimplifi.com. Tavoitteena oli “korkean vaikutuksen” tekoälyjärjestelmien sääntely vaikutusarviointivaatimuksilla ja eräillä kielloilla. Lakiesitys kuitenkin pysähtyi (vuoden 2025 alussa sitä ei ole hyväksytty, vaan se on “kuollut” parlamentissa cimplifi.com). Kanada voi palata asiaan myöhemmin. Tällä välin Kanada noudattaa OECD:n kaltaisten järjestöjen periaatteita.
Yhdistynyt kuningaskunta: Britannia, poiketen EU:sta, julkaisi valkoisen kirjan tekoälysääntelystä (maaliskuu 2023), joka korostaa innovaatiomyönteistä ja kevyttä sääntelyä. Britannian suunnitelmana on, että nykyiset regulaattorit (esim. Health and Safety Executive, Financial Conduct Authority jne.) antavat AI-ohjeistuksia toimialoilleen yhteisten periaatteiden pohjalta (turvallisuus, läpinäkyvyys, oikeudenmukaisuus, vastuu, mahdollisuus kyseenalaistaa) cimplifi.com. Britannia on tietoisesti päättänyt olla säätämättä uutta AI-lakia heti. Se seuraa, miten EU:n laki toimii, ja voi mukautua, mutta tavoitteena on säilyttää joustavuus erityisesti tekoälyliiketoimintojen houkuttelemiseksi. Britannia järjestää myös Tekoälytutkimuksen huippukokouksia (ensimmäinen marraskuussa 2023) sijoittuakseen kansainvälisen tekoälykeskustelun kärkeen. Britannian ratkaisu on lyhyellä aikavälillä vapaampi, mutta se voi muuttua riskien kasvaessa.
Muut EU:n vaikutuspiirissä: Euroopan neuvosto (joka on laajempi kuin EU) valmistelee tekoälysopimusta, josta voisi tulla oikeudellisesti sitova eettinen ja ihmisoikeuksia koskeva AI-sopimus. Se on vielä valmistelussa, mutta jos se hyväksytään, se voisi velvoittaa allekirjoittajavaltiot (sisältäen joitakin ei-EU:n eurooppalaisia valtioita) noudattamaan EU-lain kaltaisia periaatteita, tosin korkeammalla tasolla.
Intia, Australia, ym.: Monet maat ovat julkaisseet AI:n eettisiä ohjeita. Intia on painottanut viitekehystä ja innovaatiomyönteisyyttä, eikä suunnittele tällä hetkellä varsinaista AI-lakia, vaan keskittyy kapasiteetin rakentamiseen ja joihinkin sektorikohtaisiin ohjeisiin. Australia kehittää riskiperusteisia viitekehyksiä, mutta varsinaista tiukkaa lakia ei toistaiseksi ole näköpiirissä. Yleinen suuntaus on, että kaikki tunnistavat AI-hallinnan tarpeen, mutta tiukan sääntelyn ja pehmeiden ohjeiden tasapaino vaihtelee.
Globaali areena: UNESCO:n tekoälyn eettinen suositus (2021) hyväksyttiin lähes 200 maassa, ja siinä käsitellään suhteellisuutta, turvallisuutta, oikeudenmukaisuutta jne. Se ei ole sitova, mutta osoittaa globaalia yksimielisyyttä arvoista. Myös OECD:n AI-periaatteet (2019) hyväksyttiin laajasti ja ne vaikuttivat myös G20-keskusteluihin. Nämä globaalit periaatteet ovat hyvin linjassa EU:n lähestymistapaan paperilla. Haasteena on niiden saattaminen käytäntöön samalla tavalla eri maissa.

Maailman talousfoorumi ja muut järjestöt edistävät myös näitä keskusteluja. Kuten WEF:n artikkelissa mainitaan, on avoin kysymys, ollaanko siirtymässä “eri teiden” tilanteeseen (Yhdysvallat, Kiina ja EU omilla sääntelypoluillaan) vai tuleeko “dominoefekti”, jossa EU:n ratkaisu saa muut seuraamaan perässä weforum.org seniorexecutive.com. Molemmista on viitteitä: EU on selvästi vaikuttanut esimerkiksi Brasiliaan ja Kanadaan; Yhdysvallat saattaa olla muuttamassa kantaansa EU:n paineen johdosta (esim. Yhdysvaltojen lisäämä avoimuuden korostus voi olla EU-vaikutteinen); Kiinan lähentyminen on osittaista (teknisten standardien osalta yhtäläisyyksiä, mutta demokratisointia ei tunnisteta tavoitteeksi).

Yhteenvetona yksinkertaistettu vertailu voisi olla:

EU: Kattava, laillisesti sitova sääntely, joka koskee useita sektoreita ja perustuu riskiperustaisuuteen; korostaa perusoikeuksia, tiukka valvonta (sakot, viranomaiset).
USA: Ei yhtä kattavaa lakia (vuonna 2025); nojautuu laajoihin periaatteisiin (AI Bill of Rights) ja sektoreittain tapahtuvaan valvontaan; painottaa innovaatioita ja olemassa olevia oikeuskehyksiä; toistaiseksi enemmän alan itsesääntelyä.
Kiina: Yksityiskohtaiset valtion säännöt AI:n tulosten ja käytön kontrollointiin; keskittyy turvallisuuteen, sensuuriin ja valtion valvontaan; pakollinen noudattaminen valtion määrittelemiin eettisiin normeihin; valvonta valtiollisten viranomaisten kautta ankarin seuraamuksin (mukaan lukien rikosoikeudelliset rangaistukset, jos valtion sääntöjä rikotaan).

Erotuksesta huolimatta kaikki kolme tunnustavat ongelmia, kuten puolueellisuus, turvallisuus ja läpinäkyvyys – ne vain priorisoivat ja valvovat niitä eri tavoin. Globaalille yritykselle tämä tarkoittaa kolmen eri sääntelyjärjestelmän noudattamista: pysyttävä EU:n prosessuaalisen täsmällisyyden mukana, noudatettava USA:n ohjeita ja mahdollisia osavaltioiden sääntöjä ja toteutettava Kiinan sisältösäännöt sekä rekisteröintivaatimukset toimittaessa siellä. Tämä on haastavaa, ja kansainvälisillä foorumeilla tulee painetta helpottaa taakkaa harmonisoimalla tiettyjä osa-alueita (esimerkiksi kehittämällä yhteiset tekniset standardit AI-riskien hallintaan, jotka tyydyttävät eri maiden sääntelijöiden vaatimukset).

Yksi toiveikas merkki: yhteistyö AI-standardeissa (tekniset standardit ISO/IEC:n tai muiden tahojen kautta) voisi mahdollistaa, että yritys kehittää tekoälynsä yhden standardin mukaan, joka hyväksyttäisiin laajasti. EU:n AI-asetus mainitsee jopa, että yhteisten eurooppalaisten standardien noudattamista (kun ne tekoälyyn saadaan) pidetään näyttönä vaatimustenmukaisuudesta artificialintelligenceact.eu. Jos nämä standardit yhtenevät globaalien kanssa, yritys voisi “rakentaa kerran, noudattaa maailmanlaajuisesti”.

Lopuksi tulevaisuuteen katsoen, tekoälyn kehittyessä (esim. GPT-5:n tai autonomisempien järjestelmien myötä), myös sääntely muuttuu. EU:lla on sisäänrakennetut tarkistusmekanismit asetuksensa päivittämiseksi. USA tai muut saattavat laatia uusia lakeja, jos jokin suuri tekoälytapahtuma laukaisee sääntelytarpeen (kuten jotkut tietomurrot johtivat tiukempiin tietosuojalakihin). Kansainvälinen yhdenmukaistaminen voi myös syntyä pakon edessä – jos tekoäly alkaa vaikuttaa vakavasti valtioiden rajoja ylittävästi (esim. tekoälyn aiheuttama finanssikriisi), maat joutuvat hallitsemaan asiaa yhdessä.

Toistaiseksi jokaisen organisaation, joka tavoittelee “edellä pysymistä” tekoälyssä, on seurattava näitä kaikkia kehityksiä: EU-vaatimusten täyttäminen on edellytys EU-markkinoille pääsylle, USA:n parhaat käytännöt avain USA:n laajoille markkinoille ja Kiinan vaatimusten tunteminen oleellista siellä toimiville. Proaktiivinen asenne – eettisten ja turvallisten tekoälyperiaatteiden sisällyttäminen yrityksen omaan toimintaan – antaa hyvän valmiuden kohdata vaihtelut sääntelyssä. Tämä tarkoittaa usein sisäisen tekoälyohjauksen kehittämistä, joka vastaa tiukimpia standardeja (yleensä EU), ja hienosäätöä alueittain tarpeen mukaan.

Yhteenvetona, EU:n AI-asetus vuonna 2025 on asettamassa tahdin tekoälyn sääntelylle, ja vaikka se asettaa haasteita, se tarjoaa myös rakenteellisen polun luotettavaan tekoälyyn. Yritykset ja hallitukset ympäri maailmaa seuraavat ja reagoivat – osa tiukentamalla omia sääntöjään, osa korostamalla innovaatiota. Tulevat vuodet näyttävät, miten nämä lähestymistavat kohtaavat, ja pääsemmekö kohti yhdenmukaistettua kansainvälistä hallintaa, vai kohtaavatko tekoälykehittäjät tilkkutäkin, jossa pitää jatkuvasti navigoida. Kummassakin tapauksessa ne, jotka pysyvät valppaana ja valmistautuvat etukäteen – ymmärtävät EU:n asetuksen vivahteet, investoivat vaatimustenmukaisuuden hallintaan ja osallistuvat aktiivisesti politiikkakeskusteluihin – ovat parhaan aseman saavuttavia tässä uudessa tekoälyn valvonnan aikakaudessa.

Lähteet:

Euroopan parlamentti, “EU AI Act: first regulation on artificial intelligence,” kesäkuu 2024 europarl.europa.eu europarl.europa.eu.
Euroopan komissio, “Shaping Europe’s Digital Future – AI Act,” päivitetty 2025 digital-strategy.ec.europa.eu digital-strategy.ec.europa.eu.
Future of Life Institute, “High-Level Summary of the AI Act,” toukokuu 2024 artificialintelligenceact.eu artificialintelligenceact.eu.
Orrick Law, “The EU AI Act: Oversight and Enforcement,” 13. syyskuuta 2024 orrick.com orrick.com.
Senior Executive Media, “How the EU AI Act Will Reshape Global Innovation,” 2023 seniorexecutive.com seniorexecutive.com.
World Economic Forum, “What’s in the US ‘AI Bill of Rights’,” lokakuu 2022 weforum.org weforum.org.
Cimplifi, “The Updated State of AI Regulations for 2025,” elokuu 2024 cimplifi.com cimplifi.com.
BSR, “The EU AI Act: Where Do We Stand in 2025?” 6. toukokuuta 2025 bsr.org bsr.org.

EU:n tekoälyasetus 2025: Kaikki, mitä sinun tarvitsee tietää pysyäksesi ajan tasalla

Johdanto ja lainsäädännöllinen yleiskatsaus

Riskiperusteinen luokittelu: Kielletty, Korkea, Rajoitettu ja Vähäinen riski

Velvollisuudet tekoälyn kehittäjille (toimittajat) ja käyttäjille (käyttöönoton suorittajat)

Valvontamekanismit, ohjaavat elimet ja seuraamukset

Toimialakohtaiset vaikutukset ja esimerkkikäytöt

Vaikutus yrityksiin: pk-yritykset, start-upit ja globaalit yritykset

Vaikutukset innovaatioihin, tekoälyinvestointeihin ja kansainväliseen yhteensovitukseen

Globaalit tekoälysääntelyt: EU:n asetus vs. Yhdysvallat, Kiina (ja muut)

Marcin Frąckiewicz

Vastaa Peruuta vastaus

Search

Latest Posts

Kuinka satelliitit mullistavat maataloutta: Kaikki, mitä sinun tarvitsee tietää kaukokartoituksesta maataloudessa

GPT-5:n tuolla puolen: Perusmallien seuraava rajapyykki

Rakettien kultaryntäys: Mikroaaltorakettien markkinoiden mullistus 2024–2031