ISO/IEC 27090, EN 18286 ja IEEE 2863: vuoden 2026 kolme uutta tekoälyn hallinnan standardia lyhyesti

Kolme standardia kolmessa päivässä: miksi lokakuu 2026 on tärkeä tekoälyn hallinnalle

Lokakuun 14. ja 16. päivän välillä vuonna 2026 voimaan tuli kerralla kolme tekoälyn hallinnan standardia: ISO/IEC 27090:2026 julkaistiin 14. lokakuuta, EN 18286:2026 julkaistiin samana päivänä Euroopan unionin virallisessa lehdessä ensimmäisenä EU:n tekoälysäädöksen mukaisena yhdenmukaistettuna standardina, ja IEEE 2863-2026 seurasi 16. lokakuuta. Kolme tahoa, kolme näkökulmaa, yksi aihe: miten organisaatiot rakentavat ja ylläpitävät tekoälyä turvallisesti, säännösten mukaisesti ja vastuullisesti?

Tekoälyä kehittäville tai käyttäville organisaatioille kaikki kolme ovat tutustumisen arvoisia. Ne kattavat eri tasoja – teknologian, sääntelyn ja organisaation – ja täydentävät toisiaan sen sijaan, että kilpailisivat keskenään. Tässä artikkelissa kerrotaan, mitä standardit sisältävät, keitä ne koskevat ja mitä nyt kannattaa tehdä.

Kolme standardia lyhyesti

ISO/IEC 27090:2026 – Tekoälyjärjestelmien kyberturvallisuus

ISO/IEC 27090:2026 on ensimmäinen kansainvälinen standardi, joka keskittyy kokonaan tekoälyjärjestelmiin kohdistuviin tietoturvauhkiin. Sen koko nimi on Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Standardin on laatinut ISO/IEC JTC 1/SC 27, sama komitea, joka on ISO/IEC 27001:n takana. ISO:n standarditietue

Painopiste on tekoälyjärjestelmien suojaamisessa, ei tekoälyn käyttämisessä muiden hyökkäysten torjuntaan. Standardi kuvaa, mitkä hyökkäykset ovat ominaisia malleille, opetusdatalle ja tekoälyn työnkuluille, miten ne havaitaan ja miten niitä torjutaan koko elinkaaren ajan. Niitä ovat esimerkiksi:

• Datamyrkytys: manipuloitu opetusdata, joka muuttaa mallin käyttäytymistä
• Mallin vuotaminen (model exfiltration): mallin kopioiminen näennäisesti oikeutettujen kyselyjen avulla
• Väistöhyökkäykset (evasion), membership inference, model inversion sekä suora mallimyrkytys
• Kehoteinjektio sekä arkaluonteiset tai haitalliset mallin tuotokset

ISO/IEC 27090 käsittelee myös läpileikkaavia aiheita, kuten uhkamallinnusta, red teamingiä, zero trustia, toimitusketjun tietoturvaa, lokitusta ja valvontaa sekä sitä, miten mallit ja suojaukset vanhenevat ajan myötä. Ohjaava periaate on syvyyspuolustus: useita suojauskerroksia, koska osa tekoälyyn kohdistuvista hyökkäyksistä on vaikea havaita. ISO:n selitys ISO 27090:stä

Tärkeä ero: ISO/IEC 27090 on ohjeistus, ei sertifioitava vaatimusstandardi. Se lisää tekoälyyn liittyviä tietoturvanäkökohtia olemassa olevaan ISO/IEC 27001 -standardin mukaiseen tietoturvan hallintajärjestelmään ja ISO/IEC 42001 -standardin mukaiseen tekoälyn hallintajärjestelmään. Tietoturvatiimeille se on luonteva lähtökohta tekoälyriskien tuomiseksi olemassa oleviin prosesseihin. Lue lisää artikkeleista ISO 27090 selitettynä tekoälyn tietoturvatiimeille ja ISO 27090 ja ISO 42001 selitettynä.

EN 18286:2026 – Laadunhallintajärjestelmä EU:n tekoälysäädöstä varten

EN 18286:2026 on ensimmäinen EU:n tekoälysäädöksen mukainen yhdenmukaistettu standardi – ja siksi kolmesta standardista oikeudellisesti painavin. CEN ja CENELEC julkaisivat standardin Artificial intelligence – Quality management system for EU AI Act regulatory purposes heinäkuussa 2026. Euroopan komissio julkaisi viittauksen siihen Euroopan unionin virallisessa lehdessä 14. lokakuuta 2026 täytäntöönpanopäätöksellä (EU) 2026/2274.

Juuri tämä julkaiseminen on ratkaiseva askel. Tekoälysäädöksen 40 artiklan mukaan tarjoajiin, jotka soveltavat virallisessa lehdessä julkaistua yhdenmukaistettua standardia, sovelletaan vaatimustenmukaisuusolettamaa niiden vaatimusten osalta, jotka standardi kattaa. Käytännössä kyse on 17 artiklasta: suuririskisten tekoälyjärjestelmien tarjoajilla on oltava dokumentoitu laadunhallintajärjestelmä. Päivitetyn aikataulun mukaan velvoitetta sovelletaan 2. joulukuuta 2027 alkaen liitteessä III lueteltuihin suuririskisiin järjestelmiin ja 2. elokuuta 2028 alkaen liitteen I mukaisiin säänneltyihin tuotteisiin sisältyviin suuririskisiin järjestelmiin. Euroopan komission tekoälysäädöksen aikataulu EN 18286 muuttaa tämän velvoitteen auditoitaviksi vaatimuksiksi, joita ovat muun muassa:

• Suunnittelun ja kehityksen ohjaus
• Riskienhallinta ja datanhallinta
• Dokumentaatio ja tallenteet
• Markkinoille saattamisen jälkeinen seuranta ja poikkeamien käsittely

Organisaatioiden kannattaa pitää mielessä kolme asiaa. Ensinnäkin: standardin soveltaminen on edelleen vapaaehtoista; vaatimustenmukaisuuden voi osoittaa muillakin tavoin – vain ilman olettamaa. Toiseksi: olettama kattaa vain ne vaatimukset, joita standardi todella käsittelee, ei koko tekoälysäädöstä. Kolmanneksi: ISO/IEC 42001 ei korvaa sitä. Tekoälyn hallintajärjestelmien kansainvälinen standardi on sertifioitavissa, mutta se ei ole yhdenmukaistettu standardi eikä synnytä vaatimustenmukaisuusolettamaa. Organisaatioilla, joilla on jo 42001-järjestelmä, on hyvä perusta, mutta niiden on verrattava prosessejaan EN 18286:een. Nemko Digital EN 18286:sta

Lisää yhdenmukaistettuja standardeja riskienhallinnasta, datan laadusta, läpinäkyvyydestä, ihmisen suorittamasta valvonnasta ja kyberturvallisuudesta on valmisteilla, mutta niitä ei ole vielä julkaistu virallisessa lehdessä. EN 18286 on tällä hetkellä virallisen lehden ainoa tekoälysäädökseen liittyvä viittaus. Miten tekoälyn käyttötapaukset luokitellaan tekoälysäädöksen mukaan, kerrotaan artikkelissa EU:n tekoälysäädös: luokittele käyttötapaukset ja suunnittele näyttö.

IEEE 2863-2026 – Tekoälyn hallinta organisaatiossa

IEEE 2863-2026 lähtee liikkeelle tasoa ylempää: kysymyksestä, miten organisaatio kokonaisuutena hallitsee tekoälyä vastuullisesti. IEEE Standards Association julkaisi IEEE Recommended Practice for Organizational Governance of Artificial Intelligence -standardin 16. lokakuuta 2026 – yli kuuden vuoden kehitystyön jälkeen (hanke alkoi helmikuussa 2020, hallitus hyväksyi standardin kesäkuussa 2026). IEEE SA:n standardisivu

Standardi on suunnattu organisaation ylimmälle hallintoelimelle – toimivalle johdolle, hallitukselle tai hallintoneuvostolle – ja siinä on kolme rakennuspalikkaa:

1. Hallinnan periaatteet, jotka elimen tulisi asettaa etusijalle
2. Prosessit, jotka vievät periaatteet käytäntöön
3. Tapaustutkimukset konkreettisista tekoälysovelluksista, jotka näyttävät, miten prosessit toteuttavat periaatteita – myös sen, miten periaatteiden väliset ristiriidat ratkaistaan

IEEE:n nimeämät keskeiset aiheet ulottuvat vastuuvelvollisuudesta, läpinäkyvyydestä, selitettävyydestä ja ihmisen suorittamasta valvonnasta yksityisyyden suojaan, turvallisuuteen ja syrjimättömyyteen sekä kestävyyteen ja hyvinvointiin. Prosessipuolella niihin kuuluvat muun muassa auditointi, red teaming, häiriötilanteisiin reagointi, elinkaaren aikainen valvonta, arvoketjun hallinta, osaamisen kehittäminen ja sidosryhmien osallistaminen.

Recommended Practice -tyyppisenä standardina IEEE 2863 antaa suosituksia, ei sertifioitavia vaatimuksia. Sen arvo on siinä, että se yhdistää abstraktit eettiset periaatteet ja konkreettiset päätöksentekoprosessit johdon tasolla. Se kuvaa myös, miten organisaatiot suhtautuvat ulkoisiin hallinnan välineisiin: sääntelyyn, ammatillisiin standardeihin, toimintaohjeisiin ja yleisön odotuksiin vastuullisesta tekoälystä.

Miten kolme standardia sopivat yhteen

Kolme standardia käsittelevät kolmea tasoa, jotka menevät käytännössä päällekkäin:

ISO/IEC 42001 on luonteva yhteinen perusta. Tekoälyn hallintajärjestelmä tarjoaa rakenteen, johon hallinnan periaatteet (IEEE 2863), sääntelyn laadunhallintavaatimukset (EN 18286) ja tietoturvatoimet (ISO/IEC 27090) voidaan sijoittaa. EN 18286 on rakenteeltaan linjassa ISO/IEC 42001:n kanssa korvaamatta sitä; ISO/IEC 27090 viittaa 42001:een hallintakehyksenä; IEEE 2863 kuvaa näiden yläpuolella olevan hallinnan tason. Jos käsittelet kolmea standardia erikseen, rakennat samat prosessit kolmeen kertaan – jos käsittelet niitä yhden järjestelmän kerroksina, säästät vaivaa ja vältät ristiriidat.

Mitä organisaatioiden kannattaa tehdä nyt

Painopisteet riippuvat roolistasi tekoälyn arvoketjussa:

• Suuririskisen tekoälyn tarjoajat EU:ssa: hankkikaa EN 18286 ja tehkää puuteanalyysi nykyiseen laadunhallintajärjestelmäänne nähden. Jos toimitte jo ISO 9001:n, ISO 13485:n tai ISO/IEC 42001:n mukaisesti, voitte integroida tekoälysäädöksen osat, mutta vastaavuudet on dokumentoitava.
• Tietoturvatiimit: inventoikaa tekoälyjärjestelmät – myös kolmansilta osapuolilta hankitut. Selvittäkää, mistä data ja mallit ovat peräisin, laajentakaa uhkamallinnus tekoälylle ominaisiin hyökkäyksiin ja tarkistakaa, miten epäilyttävä mallin käyttäytyminen havaittaisiin ja käsiteltäisiin. ISO/IEC 27090 tarjoaa tarkistuslistan.
• Ylin johto ja hallintoneuvostot: käyttäkää IEEE 2863:a tekoälyn hallinnan toimeksiannon kehyksenä – asettakaa periaatteet, jakakaa vastuut, määritelkää raportointilinjat ja tehkää punninnat näkyviksi.
• Kaikki: seuratkaa uusia yhdenmukaistettuja standardeja. EN 18286 on vasta alku; riskienhallinnan, kyberturvallisuuden ja lokituksen standardit seuraavat.

ISO/IEC 27090 ja EN 18286 ovat maksullisia – ISO/IEC 27090 ISO Storen kautta, EN 18286 kansallisten standardointijärjestöjen kautta (Saksassa DIN Media). IEEE 2863 on saatavilla maksutta IEEE GET Program -ohjelman kautta, tai sen voi ostaa tai sitä voi käyttää tilauksella IEEE SA:n kautta.

Yhteenveto

Lokakuu 2026 merkitsee tekoälyn hallinnan siirtymää periaatteista auditoitaviin standardeihin. ISO/IEC 27090 tekee tekoälyn tietoturvasta konkreettista, EN 18286 antaa EU:n tekoälysäädökselle sen ensimmäisen yhdenmukaistetun standardin ja vaatimustenmukaisuusolettaman, ja IEEE 2863 ankkuroi tekoälyn hallinnan johdon tasolle. Kun tunnet kaikki kolme, voit käsitellä tietoturvaa, vaatimustenmukaisuutta ja vastuuvelvollisuutta yhtenä järjestelmänä – kolmen erillisen projektin sijaan.

Lähteet

• ISO/IEC 27090:2026 – luettelotietue ja ISO/IEC 27090 explained (ISO)
• Täytäntöönpanopäätös (EU) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16. lokakuuta 2026)
• IEEE 2863-2026 – standardisivu (IEEE SA)