EU:n tekoälysäädös.
Tekoälyasetus yrityksille: roolit, käyttötapaukset, sovellettavat velvoitteet ja sopiva todentamispolku.
- Asetus (EU) 2024/1689 · Muutostilanne 27.7.2026
- Kirjoittaja: Derya Altinay
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
EU:n tekoälysäädös sääntelee tekoälyä käyttötapauksen, riskin ja roolin mukaan. Tekoälyasetus erottaa muun muassa tarjoajat ja käyttöönottajat, kieltää tietyt käytännöt ja edellyttää suuririskiseltä tekoälyltä erityisiä suojatoimia ja näyttöä. Avoimuus, tekoälylukutaito ja mallien tarjoajien velvoitteet on arvioitava erikseen. Artikla 113 määrittää vaiheittaisen soveltamisen.
Tekoälyasetus ja sen nykyinen tila.
EU:n tekoälysäädös on suoraan sovellettava EU-asetus eikä vapaaehtoinen turvallisuusstandardi. Asetus (EU) 2024/1689 määrittää tekoälyjärjestelmien ja yleiskäyttöisten tekoälymallien velvoitteet. Tunnettu tekoälysäädöksen riskiluokkien yleiskuva auttaa alkuun. Konkreettinen päätös edellyttää lisäksi yrityksen roolin ja suunnitellun käytön tarkastelua.
Asetus (EU) 2026/1744 muutti tekoälyasetusta ja sitä sovelletaan 27.7.2026 lähtien. Sen 1 artiklan 40 kohta muuttaa tekoälyasetuksen 113 artiklan aikataulua: 6 artiklan 2 kohdan ja liitteen III suuririskisiin järjestelmiin sovelletaan III luvun 1–3 jaksoa pääsääntöisesti 2.12.2027 alkaen, ja 6 artiklan 1 kohdan ja liitteen I tuotepolkuun 2.8.2028 alkaen. Artiklan 6 kohta 5 on tästä poikkeus.
Yleinen soveltamispäivä on edelleen 2.8.2026. Kielloilla ja tekoälylukutaidolla sekä yleiskäyttöisten mallien säännöillä on omat aiemmat ajankohtansa. Yksittäisiä uusia kieltoja sovelletaan vasta 2.12.2026 alkaen. Tiettyjen suuririskisten järjestelmien määräaikojen pidentäminen ei siis siirrä koko tekoälyasetusta. Jo saataville asetettujen järjestelmien ja mallien osalta on arvioitava lisäksi 111 artiklan siirtymäsäännöt.
Keitä EU:n tekoälysäädös koskee.
EU:n tekoälysäädös koskee 2 artiklan mukaan erityisesti tarjoajia, jotka saattavat tekoälyjärjestelmiä EU:n markkinoille tai ottavat niitä käyttöön, sekä EU:hun sijoittautuneita tai siellä sijaitsevia käyttöönottajia. Myös tietyt EU:n ulkopuoliset toimijat kuuluvat piiriin, jos järjestelmien tuotoksia käytetään EU:ssa. Maahantuojilla, jakelijoilla ja tuotteiden valmistajilla on omat roolinsa. Pelkästään yksityinen, muu kuin ammatillinen käyttö käsitellään eri tavalla kuin yrityskäyttö.
Yrityksen on hyvä selvittää roolinsa jokaiselle käyttötapaukselle. Ulkopuolisen palvelun ostaminen ei vielä ratkaise lopullisesti roolia kaikissa sen päälle rakennetuissa sovelluksissa. Myös malli ja valmis järjestelmä ovat eri tarkastelukohteita. Tarkoitus, saataville asettaminen ja todellinen käyttö kuuluvat siksi arviointiin. Pelkkään mallinimeen perustuva yrityksenlaajuinen luokittelu on liian epätarkka.
Tekoälysäädöksen velvoitteet riippuvat roolista ja käytöstä.
Tekoälysäädöksen velvoitteet eivät muodosta yhtä samanlaista toimenpidepakettia kaikkeen tekoälyn käyttöön. Seuraavat alueet antavat yleiskuvan. Sovellettavat artiklat ja ajankohdat on määritettävä järjestelmä- ja roolikohtaisesti.
Arvioikaa kiellot ja suuririskisyys.
Artikla 5 kuvaa kielletyt käytännöt ja 6 artikla suuririskisyyden luokittelun. Tuotepolku yhdistää yhteyden liitteeseen I ja vaadittavan kolmannen osapuolen arvioinnin. Toinen polku koskee liitteen III lueteltuja käyttötapauksia. Jokainen mainitun toimialan sovellus ei ole automaattisesti suuririskinen. Poikkeukset edellyttävät konkreettisen toiminnon perusteltua arviointia.
Kehittäkää tekoälylukutaitoa.
Artikla 4 edellyttää muutetussa muodossaan tekoälylukutaidon kehittymistä tukevia toimenpiteitä. Aiempi osaaminen, kokemus, tehtävät ja käyttöympäristö on huomioitava. Tarjoajien ja käyttöönottajien ei tarvitse taata tiettyä yksilöllistä osaamistasoa. Yleinen kurssitodistus ei siksi korvaa sopivien toimenpiteiden valintaa eikä käytettäviin järjestelmiin perehtymistä.
Toteuttakaa suuririskinen tekoäly turvallisesti ja jäljitettävästi.
Artiklojen 9–15 suuririskisyysvaatimukset koskevat muun muassa riskienhallintaa, dataa, dokumentaatiota, tallenteita, tietoja, ihmisen valvontaa sekä tarkkuutta, vakautta ja kyberturvallisuutta. Tarjoajan velvoitteet ja 17 artiklan laadunhallinta järjestävät tätä työtä. Sovellettavat vaatimukset ja niiden ajankohdat määräytyvät konkreettisen sääntelykokonaisuuden ja soveltamisaikataulun mukaan.
Kantakaa vastuu käytön aikana.
Artiklan 26 käyttöönottajavelvoitteet eroavat tarjoajien tehtävistä. Kun suuririskisyyssääntöjä sovelletaan, niihin kuuluvat erityisesti ohjeiden mukainen käyttö, asianmukainen ihmisen valvonta ja käytön seuranta. Valvonta edellyttää osaavia henkilöitä, joilla on todellinen toimintamahdollisuus. Pelkkä vastuuyksikön nimeäminen ei vielä osoita tehokasta puuttumista työnkulkuun.
Toteuttakaa avoimuus kohdennetusti.
Artikla 50 sisältää tiettyjä järjestelmiä ja tuotoksia koskevia erityisiä tiedotus- ja merkitsemisvelvoitteita. Näitä ovat esimerkiksi tekoälyn kanssa asioimisen tunnistettavuus ja tiettyjen keinotekoisesti tuotettujen sisältöjen käsittely. Tiedottamisesta tai merkitsemisestä vastaava määräytyy säännöksen ja roolin mukaan. Tästä ei voida johtaa yleistä sääntöä jokaiselle sisäisesti tekoälyllä käsitellylle asiakirjalle.
Tarkastelkaa mallivelvoitteita erikseen.
Luku V sisältää yleiskäyttöisten tekoälymallien tarjoajien omat velvoitteet. Englanniksi näistä käytetään nimitystä General-Purpose AI eli GPAI. Lisävaatimukset koskevat systeemisen riskin malleja. Tällaisen mallin käyttö ei tee yrityksestä automaattisesti mallin tarjoajaa. Mallin dokumentaatio ei myöskään selvitä kaikkia sen päälle rakennetun järjestelmän velvoitteita.
Toteutus alkaa käyttötapauksesta.
Kartoittakaa tarkoitus ja käyttö.
Kuvatkaa käytännön aluksi, mitä tehtävää tekoälyjärjestelmä hoitaa, kuka sitä käyttää ja keihin henkilöihin tai päätöksiin sen tuotokset vaikuttavat.
Selvittäkää rooli ja soveltamisala.
Kirjatkaa organisaationne toimijarooli ja sitä tukeva arvio EU-yhteydestä sekä mahdollisista poikkeuksista.
Arvioikaa luokittelu asiantuntevasti.
Arvioikaa kiellot, suuririskisyyspolut ja avoimuuskysymykset toiminnasta, tekniikasta ja oikeudellisista asioista vastaavien kanssa ja dokumentoikaa perustelut.
Määrittäkää velvoitteet ja ajankohdat.
Kohdistakaa asianomaisiin vaatimuksiin konkreettiset vastuuhenkilöt ja sovellettavat aloitusajankohdat erilliset siirtymäsäännöt huomioiden.
Yhdistäkää näyttö ja toiminta.
Suunnitelkaa tarvittavat asiakirjat, arvioinnit ja valvonta siten, että ne kuvaavat järjestelmän todellista käyttöä ja sovellettavaa todentamispolkua.
Arvioikaa muutokset uudelleen.
Käytännön suosituksena arvioikaa päätökset uudelleen tarkoituksen, toimintojen, käyttöympäristön tai vastuiden muuttuessa ja kirjatkaa uusi tilanne.
Näyttö noudattaa asianomaista menettelyä.
Tekoälyasetus ei edellytä kaikilta yrityksiltä yhdenmukaisen sertifikaatin ostamista. Suuririskiselle tekoälylle sovellettavan vaatimustenmukaisuuden arviointimenettelyn määrittää 43 artikla. Järjestelmästä riippuen kyseeseen tulee sisäinen valvonta tai ilmoitetun laitoksen osallistuminen. Tuotesäännökset voivat osaltaan määrittää menettelypolun. Dokumentaatiota, mahdollista EU-vaatimustenmukaisuusvakuutusta, CE-merkintää ja rekisteröintiä on tarkasteltava asianmukaisessa lakisääteisessä yhteydessä.
Ilmoitetun laitoksen todistus on erotettava vapaaehtoisesta hallintajärjestelmäsertifikaatista. Artiklan 44 kohta 2 rajoittaa siinä säännellyn voimassaolon liitteen I järjestelmillä enintään viiteen ja liitteen III järjestelmillä neljään vuoteen. Ratkaiseva on ilmoitettu ajanjakso menettelyn ehtoineen. Nämä rajat eivät ole kaikkien tekoälysäädöksen todisteiden yleinen voimassaoloaika. Myös käytönaikaisia velvoitteita on noudatettava.
Muut viitekehykset tukevat eri tehtäviä.
Tekoälytuotteisiin voivat lisäksi soveltua kyberkestävyyssäädöksen tuotevelvoitteet, jotka on arvioitava itsenäisesti.
ISO 42001 jäsentää tekoälyn hallintajärjestelmää, kun taas NIST AI RMF tarjoaa vapaaehtoisen tekoälyriskien viitekehyksen. Molemmat voivat tukea työn järjestämistä, mutta eivät osoita automaattista EU:n tekoälysäädöksen vaatimustenmukaisuutta. GDPR:ää sovelletaan henkilötietojen käsittelyyn edelleen itsenäisesti. Tekoälysäädöksen luokittelu ei korvaa tietosuoja-arviointia.
Secanissa.
Secani sisältää yrityksille toimituksellisen EU:n tekoälysäädöksen luettelon rooli- ja profiilitietoineen, toteutusohjeineen ja näyttöesimerkkeineen. Tarjoajat, käyttöönottajat ja muut roolit kirjataan erikseen. Apuväline tukee jäsenneltyä käsittelyä eikä korvaa asiantuntevaa luokittelua tai lakisääteistä arviointimenettelyä. Luettelo ei ole viranomaisen antama vaatimustenmukaisuustodistus.
Seuraava vaihe.
Valitkaa konkreettinen käytössä oleva tai suunniteltu tekoälyn käyttötapaus ja yhdistäkää sen toiminnalliset ja tekniset vastuuhenkilöt oikeudelliseen arviointiin. Ensimmäisen tuloksen tulee olla perusteltu päätös roolista, käytöstä ja asianomaisista velvoitteista. Tästä syntyy toteuttamiskelpoinen näyttösuunnitelma. Kaikkien asetuksen artiklojen arvioimaton luettelo auttaa tässä vähemmän.
Lähteet.
- Euroopan komissio: kyberkestävyyssäädös
- Tekoälyasetus: konsolidoitu toisinto 27.7.2026
- Asetus (EU) 2026/1744: Digital Omnibus on AI, erityisesti 1 artiklan 5 ja 40 kohta
- Euroopan komissio: tekoälysäädös ja soveltamisaikataulu
- Virallinen AI Act Service Desk: 2 artikla, soveltamisala
- Virallinen AI Act Service Desk: 4 artikla, tekoälylukutaito
- Virallinen AI Act Service Desk: 6 artikla, suuririskisyyden luokittelu
- Virallinen AI Act Service Desk: 17 artikla, laadunhallinta
- Virallinen AI Act Service Desk: 26 artikla, käyttöönottajien velvoitteet
- Virallinen AI Act Service Desk: 43 artikla, vaatimustenmukaisuuden arviointi
- Virallinen AI Act Service Desk: 44 artikla, todistukset
- Virallinen AI Act Service Desk: 50 artikla, avoimuusvelvoitteet
- Virallinen AI Act Service Desk: 113 artikla, soveltaminen
Usein kysytyt kysymykset.
Ei. Artikla 6 sitoo luokittelun tiettyihin tuotetilanteisiin tai lueteltuihin käyttötapauksiin edellytyksineen ja poikkeuksineen. Pelkkä tehokkaan mallin käyttö ei ratkaise luokittelua.
Ette. Rooli riippuu saataville asettamisesta, omasta sovelluksesta ja mahdollisista muutoksista. Mallin tai palvelun tarjoajan kanssa tehty sopimus ei automaattisesti selvitä vastuuta valmiista järjestelmästä.
Ei. Tekoälyn hallintajärjestelmä voi järjestää vastuut ja menettelyt, mutta kulloisenkin käytön lakisääteiset velvoitteet on arvioitava erikseen. Hallintajärjestelmäsertifikaatti ei osoita yleisesti kaikkien EU:n tekoälysäädöksen vaatimusten täyttymistä.
Ei. Tarvittava näyttö määräytyy roolin, järjestelmän ja sovellettavien säännösten perusteella. Artikla 43 erottaa useita vaatimustenmukaisuuden arviointimenettelyjä. Kaikki menettelyt eivät edellytä ulkopuolisen elimen osallistumista.
Käsitelkää tekoälyvastuut konkreettisesti.
Yhdistäkää Secanissa vaatimukset, vastuut ja todisteet arvioiduista käyttötapauksistanne.
Tämä sivu antaa yleiskuvan tekoälyasetuksesta. Ratkaisevia ovat voimassa olevat säädökset ja konkreettisen käyttötapauksen arviointi.