EU:n tekoälysäädös: luokittele käyttötapaukset ja suunnittele näyttö

Tekoälyn hallinta alkaa siitä, että tiedetään, mitä järjestelmiä organisaatio tarjoaa, ottaa käyttöön tai muuten asettaa saataville. Luettelo mallien nimistä ei riitä: käyttötarkoitus, käyttöympäristö ja oma roolinne ratkaisevat, mitä velvoitteita on tarkasteltava.

Johdolle luokittelu on resurssien kohdentamista koskeva päätös siinä missä oikeudellinen arviointikin. Se ratkaisee, mitkä hankkeet tarvitsevat asiantuntijakatselmoinnin, mitä toimittajien on osoitettava ja mitä näyttöä on oltava olemassa ennen julkaisua. Rekrytointityökalu ja sisäinen kirjoitusavustaja voivat käyttää samaa mallia mutta edellyttää hyvin erilaisia arviointeja.

Hyödyllinen tuotos on katselmoitu käyttötapausrekisteri, joka on kytketty omistajiin, vaatimuksiin, näyttöön ja muutospäätöksiin, ei koko yritystä koskeva merkintä ”matalan riskin tekoäly”.

Määritä soveltamisala ja vastuut ennen riskin määrittämistä

EU:n tekoälysäädös on asetus, jonka velvoitteet riippuvat toiminnasta, järjestelmästä ja toimijasta. Sen alueelliseen soveltamisalaan kuuluvat tarjoajat, jotka saattavat järjestelmiä EU:n markkinoille tai ottavat niitä käyttöön, EU:ssa sijoittautuneet tai sijaitsevat käyttöönottajat sekä tietyt EU:n ulkopuoliset tarjoajat ja käyttöönottajat, kun järjestelmän tuotoksia käytetään EU:ssa. Kansalaisuus ei yksinään ole ratkaiseva peruste.

Pyydä oikeudellisia ja teknisiä katselmoijia selvittämään, täyttääkö sovellus säädöksen tekoälyjärjestelmän määritelmän ja soveltuvatko jotkin soveltamisalan poikkeukset. Älä oleta, että jokainen automaatioskripti on tekoälyä tai että ulkoisesti ylläpidetty palvelu jää vastuidesi ulkopuolelle.

Kirjaa sen jälkeen roolinne:

• Tarjoaja: kehittää järjestelmän tai teettää sen kehittämisen ja saattaa sen markkinoille tai ottaa sen käyttöön omalla nimellään tai tavaramerkillään.
• Käyttöönottaja: käyttää järjestelmää valvonnassaan ammatillisessa yhteydessä.
• Maahantuoja tai jakelija: tuo asiaankuuluvia järjestelmiä EU:n markkinoille tai asettaa niitä saataville toimitusketjun kautta, mihin liittyy tarkistusvelvollisuuksia.
• Tuotteen valmistaja tai valtuutettu edustaja: vastuut johtuvat kyseisestä tuotejärjestelystä tai kirjallisesta toimeksiannosta.

Organisaatiolla voi olla eri rooleja eri osissa portfoliotaan. Rajapinnan ostaminen ei ratkaise valmiin sovelluksen roolia. Tuotemerkin vaihtaminen, merkittävä muutos tai käyttötarkoituksen muuttaminen voi sovellettavin edellytyksin käynnistää tarjoajan vastuut. Hienosäätö on siksi katselmoinnin käynnistävä tekijä, ei automaattinen oikeudellinen johtopäätös.

Erota yleiskäyttöinen tekoälymalli sen ympärille rakennetusta järjestelmästä. Mallin tarjoajan velvoitteet ja jatkokäytön järjestelmävelvoitteet liittyvät toisiinsa, mutta eivät ole keskenään vaihdettavissa.

Rakenna päätöksentekoa tukeva käyttötapausinventaario

Inventoi liiketoimintatoimintoja, älä pelkkiä toimittajia. Haastattele hankintaa, HR:ää, tuotekehitystä, operaatioita ja IT:tä: tekoäly voi tulla mukaan olemassa olevan toimittajan uuden ominaisuuden kautta eikä erillisen hankinnan myötä.

Kirjaa kustakin käyttötapauksesta:

Kirjaa todelliset työnkulut käyttötarkoituksen rinnalle. Työkalu, jota kuvataan ”rekrytoijan apuvälineeksi”, voi käytännössä sulkea hakijoita pois, jos henkilöstö tarkastelee vain sen laatimaa lyhyttä listaa. Kirjallinen politiikka, joka edellyttää ihmisen tekemää katselmointia, ei todista katselmoinnin tapahtuvan.

Tuotos on versioitu kirjaus kustakin käyttötapauksesta. Ratkaisemattomien luokitusten tulee pysyä näkyvästi ratkaisemattomina omistajineen ja päätöksen määräaikoineen sen sijaan, että ne sijoitettaisiin oletuksena vähiten vaativaan luokkaan.

Arvioi kiellot, suuririskisyyden reitit ja läpinäkyvyys erikseen

Tuttu nelitasoinen kuvaus (kielletty, suuririskinen, läpinäkyvyyteen liittyvä ja matalampiriskinen) on hyödyllinen johdanto. Se ei ole täydellinen päätöspuu. Läpinäkyvyysvelvoitteet voivat olla päällekkäisiä suuririskisiä järjestelmiä koskevien velvoitteiden kanssa, eivätkä tekoälylukutaitoa koskevat velvoitteet rajoitu suuririskisiin järjestelmiin.

Seulo kielletyt käytännöt ensin

5 artikla kieltää tietyt käytännöt säännöksen yksityiskohtaisten edellytysten ja poikkeusten mukaisesti. Olennaisia seulontakysymyksiä ovat, käyttääkö järjestelmä haitallista manipulointia tai hyödyntääkö se haavoittuvuuksia, tekeekö se kiellettyä sosiaalista pisteytystä, luoko se kasvojentunnistustietokantoja kohdentamattoman haravoinnin avulla tai suorittaako se kiellettyä biometristä luokittelua.

Tekoälyyn perustuva tunteiden päätteleminen biometrisistä tiedoista työpaikoilla ja oppilaitoksissa on myös kielletty, lukuun ottamatta tiettyjä lääketieteellisiä tai turvallisuuteen liittyviä syitä. Pelkkään tekstiin perustuva sävyanalyysi ei kuulu tämän kiellon piiriin pelkästään siksi, että se arvioi tunnesävyä. Tietyille lainvalvonnan biometrisille käytöille on tiukasti rajatut säännöt; ”kaikki kasvojentunnistus on kielletty” ei ole täsmällinen korvike arvioinnille.

Eskaloi mahdollinen kielletty käytäntö ennen hankintaa tai käyttöönottoa. Näytön tulee kuvata toiminnallisuus ja oikeudellinen päättely, ei pelkästään toistaa toimittajan ”eettinen tekoäly” -lausumaa.

Testaa molemmat reitit suuririskiseksi luokitteluun

Säänneltyjen tuotteiden reitti, 6 artiklan 1 kohta: tarkastele, onko tekoäly itse tuote tai sellaisen tuotteen turvakomponentti, joka kuuluu liitteessä I tarkoitetun lainsäädännön piiriin, ja edellyttääkö tuote kolmannen osapuolen suorittamaa vaatimustenmukaisuuden arviointia. Molemmilla edellytyksillä on merkitystä. Käytä kyseisen tuotesääntelyn muutettua lakitekstiä; tekoälyn sisällyttäminen ei yksinään tee tuotteesta suuririskistä.

Liitteen III reitti, 6 artiklan 2 kohta: tarkastele, vastaako aiottu toiminto lueteltua käyttötapausta. Kahdeksan aluetta ovat laajoja otsikoita, eivät sääntöjä, jotka tekisivät toimialan jokaisesta sovelluksesta suuririskisen.

Lue yksityiskohtaiset kohdat ja poikkeukset. Esimerkiksi talouspetosten havaitseminen erotetaan luetellusta luottokelpoisuuden käyttötapauksesta, ja matkustusasiakirjojen todentaminen on suljettu pois asiaankuuluvasta muuttoliikkeeseen liittyvästä tunnistamiskohdasta. Kampanjoiden hallinnollinen järjestäminen ei ole sama asia kuin äänestäjiin vaikuttaminen.

Arvioi läpinäkyvyys silloinkin, kun suuririskisyyden säännöt eivät sovellu

50 artikla koskee tiettyjä vuorovaikutustilanteita ja tuotoksia. Roolista ja olosuhteista riippuen velvoitteet koskevat ihmisille ilmoittamista siitä, että he ovat vuorovaikutuksessa tekoälyn kanssa, synteettisten tuotosten koneluettavaa merkitsemistä, syväväärennöksiä koskevia ilmoituksia ja tiettyjä yleisen edun kannalta merkityksellisiä tekoälyn tuottamia tekstejä. Myös tunteiden tunnistamiseen ja biometriseen luokitteluun liittyville käytöille on ilmoitussäännöksiä silloin, kun ne ovat sallittuja.

Älä pelkistä tätä muotoon ”merkitse jokainen tekoälyavusteinen asiakirja”. Selvitä, mikä säännös soveltuu, kenen on toimittava ja onko jokin poikkeus merkityksellinen. Säilytä näyttönä ilmoitusten sanamuoto, sijoittelu, tuotosten merkitsemisjärjestelyt ja testitulokset.

Käsittele 6 artiklan 3 kohdan poikkeusta dokumentoituna arviointina

Jotkin liitteen III järjestelmät voivat jäädä suuririskiseksi luokittelun ulkopuolelle 6 artiklan 3 kohdan nojalla. Se ei ole yleinen vapautus työkaluille, joiden prosessissa on jossain kohtaa ihminen.

Arvioinnissa on käsiteltävä, aiheuttaako järjestelmä merkittävän riskin terveydelle, turvallisuudelle tai perusoikeuksille, mukaan lukien se, vaikuttaako se olennaisesti päätösten lopputuloksiin. Säännöksessä yksilöidään tilanteet, joissa on kyse suppeista menettelyllisistä tehtävistä, aiemmin suoritetun ihmisen toiminnan tuloksen parantamisesta, päätöksentekomallien tai niistä poikkeamien havaitsemisesta tietyin katselmointiedellytyksin sekä valmistelevista tehtävistä. Poikkeukseen vetoaminen edellyttää vähintään yhden näistä edellytyksistä täyttymistä ja sen osoittamista, ettei järjestelmä aiheuta mainittua merkittävää riskiä.

Tähän poikkeukseen vetoavan tarjoajan on dokumentoitava arviointi ennen järjestelmän markkinoille saattamista tai käyttöönottoa ja huolehdittava sovellettavasta rekisteröintivelvollisuudesta. Ratkaisevaa on, että liitteen III järjestelmä, joka suorittaa luonnollisten henkilöiden profilointia, on aina suuririskinen; tämä ei tarkoita, että jokainen profilointijärjestelmä missä tahansa yhteydessä olisi automaattisesti suuririskinen.

Näytön tulee selittää, mitä tietoja järjestelmä käyttää, miten tuotokset vaikuttavat katselmoijiin ja ratkaiseeko oletettavasti valmisteleva tehtävä sen, ketkä saavat asiasisällöllistä harkintaa. Ota mukaan työnkulkua koskevia havaintoja ja edustavia tuotoksia. Lause ”ihminen tekee lopullisen päätöksen” on riittämätön, jos järjestäminen, suodattaminen tai suositukset käytännössä ratkaisevat päätöksen.

Suunnittele ajantasaisten soveltamispäivien mukaan

7. lokakuuta 2026 tarkistettuna Euroopan komission ajantasainen katsaus tekoälysäädökseen ja sen aikatauluun yksilöi seuraavat virstanpylväät:

Tarkista muutettu lakiteksti ja omaa tilannettanne koskevat siirtymäsäännökset. Olemassa olevat järjestelmät, mallien markkinoille saattamisen ajankohdat, muutokset ja erityiset toimijajärjestelyt voivat edellyttää lisäanalyysia. Vanhemmissa oppaissa voi yhä näkyä aiemmat suuririskisyyden soveltamispäivät.

Älä tulkitse päivitettyä suuririskisyyden aikataulua koko säädöksen lykkäämiseksi. Budjetoi erikseen jo sovellettavat velvoitteet ja valmistautuminen asiaankuuluvaan suuririskisyyden sääntelyyn. Rekisterinne tulee yksilöidä sovellettava virstanpylväs ja lähde, jonka perusteella se on määritetty.

Muuta luokittelu näyttösuunnitelmaksi

Tarjoajan ja käyttöönottajan vastuut ovat erilaiset. Johdon tulee edellyttää roolikohtaista suunnitelmaa sen sijaan, että jokainen velvoite osoitettaisiin jokaiselle tiimille.

Jos tarjoatte suuririskistä järjestelmää

Suuririskisiä järjestelmiä koskevat vaatimukset ja tarjoajan velvollisuudet kattavat riskienhallinnan, datanhallinnan, teknisen dokumentaation, tallenteiden säilyttämisen, käyttöönottajille annettavat tiedot, ihmisen suorittaman valvonnan, tarkkuuden, vakauden, kyberturvallisuuden ja laadunhallinnan. Myös sovellettavaa vaatimustenmukaisuuden arviointia, vaatimustenmukaisuusvakuutusta, merkintää, rekisteröintiä, markkinoille saattamisen jälkeistä seurantaa ja vaaratilanneprosesseja on suunniteltava.

Muunna nämä tuotoksiksi:

• Elinkaaren kattava riskiarvio lieventämistoimineen, jäännösriskeineen ja hyväksyntäpäätöksineen.
• Datan alkuperää, soveltuvuutta ja laatua koskevat kirjaukset järjestelmän kannalta olennaisilta osin.
• Tekninen dokumentaatio, joka yksilöi tarkoituksen, suunnittelun, riippuvuudet, rajoitukset ja arviointimenetelmät.
• Testitulokset, jotka on sidottu hyväksymiskriteereihin ja käyttöympäristöön.
• Valvontaohjeet, jotka selittävät puuttumisen, ohittamisen ja eskaloinnin.
• Lokitusmäärittelyt, seurantajärjestelyt ja vaaratilannemenettelyt.
• Vaatimustenmukaisuuden työsuunnitelma, joka yksilöi sovellettavan reitin ja vaaditut kirjaukset.

Kaikki suuririskiset järjestelmät eivät noudata samaa arviointireittiä. Älä budjetoi yleistä kolmannen osapuolen auditointia äläkä pidä tietoturvasertifiointia todisteena tekoälysäädöksen vaatimustenmukaisuudesta.

Jos otatte käyttöön suuririskisen järjestelmän

Keskity järjestelmän käyttämiseen ohjeiden mukaisesti, pätevän valvonnan osoittamiseen, käytön seurantaan ja vaadittujen tallenteiden ylläpitämiseen. Huolehdi syöttötietojen soveltuvuudesta silloin, kun hallitset näitä syötteitä, sekä sovellettavista työntekijöille tiedottamista tai asianomaisia henkilöitä koskevista vaatimuksista.

Pyydä toimittajilta asiaankuuluvat ohjeet, rajoitukset, valvontavaatimukset ja vaatimustenmukaisuustiedot. Tunnista, mitä he eivät pysty toimittamaan ja kuka ratkaisee puutteen. Toimittajan varmennuslausuma ei osoita, että paikallinen konfiguraationne on asianmukainen.

Arvioi, edellytetäänkö käyttöönottajaryhmänne ja käyttötapauksenne osalta perusoikeuksia koskevaa vaikutustenarviointia. Se ei ole yleinen vaatimus kaikille käyttöönotoille. Jos henkilötietoja käsitellään, arvioi GDPR:n vaatimukset erikseen; tietosuojaa koskevalla vaikutustenarvioinnilla ja tekoälysäädöksen mukaisella arvioinnilla on eri oikeudelliset tarkoitukset, vaikka näyttö olisi osin päällekkäistä.

Määritä jokaiselle tuotokselle omistaja, katselmoija, määräpäivä, lähteen sijainti ja hyväksymiskriteeri. ”Politiikka ladattu” ei ole sama asia kuin ”hallintakeino osoitettu”.

Esimerkki: yksi malli, kaksi liiketoimintapäätöstä

Havainnollistavat oletukset: EU:ssa toimiva työnantaja käyttää kolmannen osapuolen kielimallia sisäisessä kirjoitusavustajassa ja erillisessä rekrytointisovelluksessa. Rekrytointisovellus pisteyttää hakijat tehtävän kriteerejä vasten ja esittää järjestetyn lyhyen listan. Työnantaja käyttää molempia sisäisesti; sen tarkat toimijaroolit edellyttävät katselmointia.

Kirjaa kirjoitusavustajan osalta sallitut luonnostelutehtävät, tietoja koskevat rajoitukset, tuotosten katselmointi ja mahdolliset sovellettavat läpinäkyvyysvaatimukset. Tavanomainen sisäinen luonnostelu ei muutu suuririskiseksi pelkästään siksi, että siinä käytetään tekoälyä. Laajentaminen työsuhteeseen liittyvään arviointiin käynnistäisi uudelleenarvioinnin.

Rekrytoinnin osalta liitteen III työllistämistä koskeva kohta on suoraan merkityksellinen. Katselmoi hakijoiden pisteytys ja profilointi, älä pelkkää käyttöliittymän kuvausta. Jos rekrytoijat harkitsevat vain lyhyelle listalle päässeitä hakijoita, järjestelmä muokkaa olennaisesti pääsyä työhön. Ihmisen hyväksyntä lopulliselle palkkaukselle ei poista tätä vaikutusta.

Johdon päätös on siksi kummankin sovelluksen osalta erilainen. Kirjoitusavustaja voi edetä oikeasuhteisin hallintakeinoin katselmoinnin jälkeen. Rekrytointihanke tarvitsee suuririskisyyteen valmistautumisen suunnitelman, toimittajan näytön, koulutetun valvonnan, paikallisen käytön arvioinnin ja dokumentoidun julkaisupäätöksen.

Jos tiimi ehdottaa rekrytointitoiminnon muuttamista haastattelukalenterin aikataulutukseksi, arvioi tämä uusi tarkoitus ja työnkulku alusta. Aikataulutus voi olla suppea menettelyllinen tehtävä, mutta hakijoiden pisteytyksen säilyttäminen taustalla heikentäisi tarkistettua perustelua. Versioi päätös sen sijaan, että korvaisit alkuperäisen kirjauksen.

Tee vastuu näkyväksi operatiivisissa päätöksissä

Nimeä liiketoiminnan omistaja, joka pystyy selittämään tarkoituksen ja hyväksymään resurssit, tekninen omistaja, joka pystyy perustelemaan järjestelmän toiminnan, ja oikeudellinen tai vaatimustenmukaisuuskatselmoija, joka pystyy haastamaan luokituksen. Johdon hyväksynnän tulee ratkaista rahoitus, julkaisurajoitukset ja ratkaisematon riski, ei korvata asiantuntija-analyysia.

Käytännöllisenä suosituksena katselmoi luokitus, kun tarkoitus, käyttäjät, tiedot, integraatiot, autonomia tai vaikutus merkittäviin päätöksiin muuttuu. Kytke tämä katselmointi hankintojen uusimisiin ja tuotejulkaisuihin. Pelkkä mallin päivitys ei välttämättä muuta luokitusta, mutta se voi mitätöidä arviointinäytön tai toimintaoletukset.

Yleisiä virheitä ovat toimittajan koko tuotetta koskevien luokitusten hyväksyminen, oletus siitä, että ihmisen tekemä katselmointi automaattisesti luo poikkeuksen, jo sovellettavien lukutaito- ja läpinäkyvyysvelvoitteiden huomiotta jättäminen sekä asiakirjojen kerääminen testaamatta paikallista toimintaa. ISO/IEC 42001 -hallintajärjestelmä voi tukea hallintoa, mutta sertifiointi ei automaattisesti osoita tekoälysäädöksen noudattamista.

Secani voi tukea näyttötyönkulkua yhdistämällä vaatimukset, hallintakeinot, lähdeaineiston, omistajat, tehtävät ja katselmoidut päätökset. Aloita yhdestä prosessista, liitä näyttö siihen, mitä se todistaa, ja pidä kommentit, hyväksynnät ja aikaleimat olennaisten johtopäätösten yhteydessä. Käsittele tekoälyavusteisia ehdotuksia ihmisen katselmoitavina luonnoksina, ei oikeudellisina ratkaisuina. Tekoälyagenttien hallintaa käsittelevä oppaamme tarjoaa käytännöllisiä hallintakeinoja oikeuksien ja katselmoinnin osalta.

Seuraava hyödyllinen askel on kohdennettu luokittelutyöpaja: valitse merkittävimmät käytössä olevat käyttötapaukset, kutsu paikalle niiden liiketoiminnalliset ja tekniset omistajat ja tuota katselmoidut kirjaukset avoimine kysymyksineen ja näyttötehtävineen. Se antaa johdolle perustellun pohjan päättää, mikä voi edetä, mikä edellyttää ehtoja ja mikä vaatii lisäarviointia.