Tekoälyasetus: mitä organisaation pitää tehdä vuonna 2026

01

Mikä tekoälyasetus on ja ketä se koskee?

Tekoälyasetus on EU:n asetus, joka on sellaisenaan voimassa kaikissa jäsenmaissa. Se tuli voimaan 1.8.2024, ja sen velvoitteita otetaan käyttöön vaiheittain. Asetus jakaa tekoälyjärjestelmät riskin mukaan: kielletyt käytännöt, korkean riskin järjestelmät, avoimuusvelvoitteiden alaiset järjestelmät ja muut, joille ei aseteta erityisvelvoitteita.

Asetus erottaa tarjoajan, joka kehittää järjestelmän ja saattaa sen markkinoille, ja käyttöönottajan, joka käyttää järjestelmää omassa toiminnassaan. Yritys, kunta tai yhdistys, joka ottaa käyttöön esimerkiksi kokousavustajan, kielimallin tai rekrytointityökalun, on käyttöönottaja. Käyttöönottajan velvoitteet ovat kevyemmät kuin tarjoajan, mutta ne koskevat lähes jokaista organisaatiota.

02

Tekoälyasetuksen aikataulu Omnibus-muutoksen jälkeen

EU hyväksyi heinäkuussa 2026 niin sanotun digitaalisen Omnibus-paketin tekoälyosan, asetuksen (EU) 2026/1744. Se tuli voimaan 27.7.2026 ja siirsi korkean riskin velvoitteiden alkua. Ajantasaiset päivämäärät:

• 2.2.2025: kielletyt käytännöt (5 artikla) ja tekoälylukutaito (4 artikla)
• 2.8.2025: yleiskäyttöiset tekoälymallit, hallinto ja seuraamukset
• 1.1.2026: Suomen kansallinen valvontalaki 1377/2025 voimaan
• 2.8.2026: asetusta sovelletaan yleisesti, myös 50 artiklan avoimuusvelvoitteet
• 2.12.2026: uudet kiellot (luvattomat intiimit syväväärennökset) ja merkintävelvoite ennen 2.8.2026 markkinoille tulleille generatiivisille järjestelmille
• 2.12.2027: korkean riskin järjestelmät liitteen III käyttötarkoituksissa, kuten rekrytointi ja henkilöstöhallinto
• 2.8.2028: korkean riskin järjestelmät, jotka ovat liitteen I tuotteiden turvakomponentteja

03

Tekoälylukutaito: mitä 4 artikla vaatii nyt?

Tekoälylukutaito tarkoittaa taitoja, tietoja ja ymmärrystä, joiden avulla työntekijät osaavat käyttää tekoälyjärjestelmiä harkiten ja tunnistaa niiden mahdollisuudet, riskit ja haitat. Alkuperäisessä 4 artiklassa tarjoajien ja käyttöönottajien piti varmistaa riittävä lukutaito. Omnibus-muutos lievensi velvoitetta 27.7.2026 alkaen: organisaatioiden on toteutettava toimenpiteitä, jotka tukevat henkilöstön tekoälylukutaidon kehittymistä, eikä velvoite edellytä tietyn osaamistason takaamista kenellekään.

Käytännössä riittää usein kevyt mutta dokumentoitu kokonaisuus: luettelo käytössä olevista tekoälytyökaluista, lyhyt käyttöohje kullekin, koulutus siitä, mitä tietoja työkaluihin saa syöttää, ja ohje tekoälyn tuottaman tekstin tarkistamisesta. Kirjaa, kuka on koulutettu ja milloin, ja päivitä ohje, kun uusi työkalu otetaan käyttöön.

04

Mitkä tekoälykäytännöt ovat kiellettyjä työpaikalla?

Kiellot ovat olleet voimassa 2.2.2025 alkaen. Työpaikkojen kannalta tärkein on 5 artiklan 1 kohdan f alakohta: tekoälyjärjestelmää ei saa käyttää päättelemään ihmisen tunteita työpaikalla tai oppilaitoksessa, paitsi lääketieteellisistä tai turvallisuussyistä. Kiellettyjä ovat myös esimerkiksi manipuloivat tekniikat, ihmisten sosiaalinen pisteytys ja biometrinen luokittelu arkaluonteisten ominaisuuksien, kuten poliittisen mielipiteen tai uskonnon, päättelemiseksi.

Tunteiden tunnistamisen kielto kannattaa tarkistaa erityisesti kokous- ja puhelutyökaluista. Jos työkalu lupaa mitata osallistujien tunnetiloja, sitoutumista äänensävyn perusteella tai työntekijän mielialaa, selvitä toimittajalta, mitä se tarkalleen päättelee ja mistä datasta. Pelkkä puheen litterointi ja sisällön tiivistäminen eivät ole tunteiden tunnistamista.

05

Onko HR:n tekoäly korkean riskin järjestelmä?

Asetuksen liite III luettelee korkean riskin käyttötarkoitukset. Työelämässä niitä ovat rekrytointi ja valinta, kuten työpaikkailmoitusten kohdentaminen, hakemusten seulonta ja hakijoiden arviointi, sekä päätökset, jotka vaikuttavat työsuhteen ehtoihin, ylennyksiin tai päättämiseen, tehtävien jakaminen käyttäytymisen tai ominaisuuksien perusteella ja suoriutumisen seuranta ja arviointi. Näiden järjestelmien velvoitteita sovelletaan Omnibus-muutoksen jälkeen 2.12.2027 alkaen.

Käyttöönottajan velvoitteet ovat 26 artiklassa: järjestelmää käytetään ohjeiden mukaan, ihmisen suorittamasta valvonnasta vastaa pätevä henkilö, syöttötietojen on oltava käyttötarkoitukseen sopivia, toimintaa seurataan ja lokit säilytetään vähintään kuusi kuukautta. Ennen kuin korkean riskin järjestelmä otetaan käyttöön työpaikalla, siitä on kerrottava työntekijöiden edustajille ja niille työntekijöille, joita se koskee. Kokousmuistiinpanot ja litterointi eivät sellaisenaan kuulu liitteen III käyttötarkoituksiin, mutta käyttötarkoitus ratkaisee: jos samaa työkalua käytetään työntekijöiden suoriutumisen arviointiin, arvio muuttuu.

06

Avoimuus: milloin tekoälyn käytöstä pitää kertoa?

50 artiklan avoimuusvelvoitteita sovelletaan 2.8.2026 alkaen. Tarjoajan on kerrottava ihmiselle, että hän on tekemisissä tekoälyn kanssa, esimerkiksi chatbotissa, ja merkittävä tekoälyn tuottama kuva-, ääni- ja videosisältö koneellisesti tunnistettavaksi. Käyttöönottajan on kerrottava, jos se käyttää tunteiden tunnistamista tai biometristä luokittelua, ja ilmoitettava syväväärennöksistä.

Jos organisaatio julkaisee tekoälyllä tuotettua tekstiä yleisölle yleistä etua koskevista asioista, siitä on kerrottava, ellei teksti ole käynyt läpi ihmisen tarkistusta ja joku vastaa siitä toimituksellisesti. Kokousmuistion tai pöytäkirjan luonnos, jonka ihminen tarkistaa ja hyväksyy ennen jakamista, on tavallinen tapa täyttää tämä: tekoäly luonnostelee, ihminen vastaa.

07

Kuka valvoo tekoälyasetusta Suomessa?

Laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025) tuli voimaan 1.1.2026. Traficom toimii kansallisena yhteyspisteenä ja koordinoi asetuksen toimeenpanoa. Markkinavalvonta on jaettu toimialoittain yhdeksälle viranomaiselle, joita ovat muun muassa Traficom, Finanssivalvonta, Fimea, Lupa- ja valvontavirasto myös työsuojeluviranomaisena ja tietosuojavaltuutettu.

Tietosuojavaltuutettu valvoo kiellettyjä tekoälykäytäntöjä ja toimii markkinavalvontaviranomaisena useille korkean riskin järjestelmille. Seuraamusmaksut voivat olla kiellettyjen käytäntöjen rikkomisesta enintään 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta liikevaihdosta, ja useimpien muiden velvoitteiden rikkomisesta enintään 15 miljoonaa euroa tai 3 prosenttia. Pk-yrityksille sovelletaan näistä pienempää.

08

Tarkistuslista tekoälytyökalun hankintaan

Tekoälyasetus ei korvaa tietosuoja-asetusta, vaan molempia sovelletaan rinnakkain. Kysy toimittajalta ainakin nämä asiat ennen kuin otat kokousavustajan, litterointipalvelun tai kielimallin käyttöön:

• Missä tiedot käsitellään ja säilytetään, ja ketkä ovat alihankkijat
• Käytetäänkö asiakkaan dataa tekoälymallien kouluttamiseen
• Päätteleekö työkalu tunteita, sitoutumista tai mielialaa äänestä, kasvoista tai tekstistä
• Tunnistaako työkalu puhujat äänen perusteella ja miten äänitiedot säilytetään
• Voiko säilytysajat, käyttöoikeudet ja poistamisen määrittää itse
• Onko toimittajalla ISO 27001 tai vastaava sertifiointi ja tietojenkäsittelysopimus
• Mihin käyttötarkoituksiin työkalu on tarkoitettu ja mihin sitä ei saa käyttää