EU:n tekoälyasetus (AI Act) selitettynä.

Mitä tekoälyasetus on (ja mitä se ei ole)

Tekoälyasetus on tuoteturvallisuustyyppinen sääntely tekoälyjärjestelmille, jotka saatetaan EU-markkinoille tai joiden tuotosta käytetään EU:ssa. Se ei sääntele ”tekoälyä” teknologiana — se sääntelee tiettyjä käyttötapoja riskin mukaan. Mitä suurempi riski terveydelle, turvallisuudelle tai perusoikeuksille, sitä raskaammat velvoitteet. Suurin osa arkisesta tekoälystä (roskapostisuodattimet, suositteluvimpaimet, oikolukijat, tuottavuustyökalujen tekoälyominaisuudet) on minimaalisen riskin luokkaa eikä saa lainkaan uusia velvoitteita.

Neljä riskitasoa

Kaikki asetuksessa rakentuu tämän luokittelun varaan:

• Kohtuuton riski — kielletty kokonaan 2. helmikuuta 2025 alkaen: sosiaalinen pisteytys, hyväksikäyttävät tai manipuloivat tekniikat, kasvokuvien kohdentamaton haravointi, tunteiden tunnistaminen työpaikoilla ja kouluissa (kapeat turvallisuuspoikkeukset), biometrinen luokittelu arkaluonteisten ominaisuuksien päättelemiseksi sekä reaaliaikainen biometrinen etätunnistus julkisissa tiloissa lainvalvontaa varten (rajatut poikkeukset). 2. joulukuuta 2026 alkaen vuoden 2026 muutos kieltää nimenomaisesti myös tekoälyjärjestelmät, jotka tuottavat ilman suostumusta intiimikuvastoa tai CSAM-materiaalia.
• Korkea riski — sallittu mutta tiukasti säännelty: tekoäly säänneltyjen tuotteiden turvakomponenttina (liite I — koneet, lääkinnälliset laitteet, hissit…) tai arkaluonteisissa käyttötapauksissa (liite III — rekrytointi ja työntekijöiden hallinta, koulutuksen arviointi, luottopisteytys, välttämättömät palvelut, lainvalvonta, maahanmuutto, oikeuslaitos). Velvoitteisiin kuuluvat riskienhallinta, datanhallinta, tekninen dokumentaatio, lokitus, ihmisvalvonta, tarkkuus- ja kestävyystestaus sekä rekisteröinti EU-tietokantaan.
• Rajoitettu riski — läpinäkyvyysvelvoitteet (50 artikla): kerro ihmisille, kun he ovat vuorovaikutuksessa tekoälyjärjestelmän kanssa (chatbotit), merkitse tekoälyn tuottama tai manipuloitu kuva-, ääni- ja videosisältö (deepfaket), merkitse synteettinen sisältö koneluettavasti ja ilmoita tekoälyn kirjoittama teksti, joka julkaistaan yleisölle yleistä etua koskevissa asioissa.
• Minimaalinen riski — kaikki muu: ei uusia velvoitteita; vapaaehtoisia käytännesääntöjä suositellaan.

Aikataulu vuonna 2026 — päivitetty Digital Omnibuksen jälkeen

Asetus tuli voimaan 1. elokuuta 2024, ja sen piti tulla lähes täysimääräisesti sovellettavaksi 2. elokuuta 2026. Marraskuussa 2025 komissio ehdotti ”Digital Omnibus on AI” -pakettia yksinkertaistamaan ja porrastamaan tätä; parlamentti hyväksyi sen 16. kesäkuuta 2026 ja neuvosto antoi lopullisen hyväksynnän 29. kesäkuuta 2026. Keskeiset päivämäärät nyt:

• 2. helmikuuta 2025 — kohtuuttoman riskin käytäntöjen kiellot ja tekoälylukutaitovelvoitteet tulivat sovellettaviksi.
• 2. elokuuta 2025 — yleiskäyttöisten tekoälymallien (GPAI) tarjoajien velvoitteet (tekninen dokumentaatio, tekijänoikeuspolitiikka, koulutusdatan tiivistelmät; lisävelvoitteet systeemiriskin malleille) sekä EU:n tekoälytoimisto ja hallintorakenteet.
• 2. elokuuta 2026 — asetusta aletaan soveltaa yleisesti: läpinäkyvyysvelvoitteet (50 artikla), seuraamukset ja useimmat jäljellä olevat säännökset. Synteettisen sisällön koneluettava merkintä saa siirtymäajan 2. joulukuuta 2026 asti järjestelmille, jotka olivat markkinoilla jo ennen 2. elokuuta 2026.
• 2. joulukuuta 2026 — uudet kiellot tekoälylle, joka tuottaa ilman suostumusta intiimikuvastoa tai CSAM-materiaalia, tulevat sovellettaviksi.
• 2. joulukuuta 2027 — korkean riskin velvoitteet liitteen III käyttötapauksille (rekrytointi, luottopisteytys, koulutus…) — lykätty 16 kuukaudella alkuperäisestä elokuun 2026 päivämäärästä.
• 2. elokuuta 2028 — korkean riskin velvoitteet liitteen I tuotteisiin sulautetulle tekoälylle (lääkinnälliset laitteet, koneet…) — lykätty vuodella elokuusta 2027. Kansalliset sääntelyhiekkalaatikot on määrä perustaa 2. elokuuta 2027 mennessä.

Ketä velvoitteet koskevat

Velvoitteet kohdistuvat arvoketjun rooleihin: tarjoajiin (jotka kehittävät tekoälyjärjestelmän tai saattavat sen EU-markkinoille omalla nimellään), käyttöönottajiin (jotka käyttävät tekoälyjärjestelmää ammattimaisesti) sekä maahantuojiin ja jakelijoihin. Ulottuvuus on ekstraterritoriaalinen — yhdysvaltalainen tai brittiläinen SaaS, jonka tekoälytuotosta käytetään EU:ssa, kuuluu soveltamisalaan. Pk-yritykset saavat helpotuksia: yksinkertaistettu dokumentaatio, etusija hiekkalaatikoihin ja sakot rajattu kahdesta summasta alempaan korkeamman sijaan.

Mitä tekoälyasetus merkitsee verkkosivustollesi

Useimmille yrityksille ensimmäiset todelliset kosketuspisteet ovat elokuusta 2026 sovellettavat läpinäkyvyyssäännöt — ne koskevat sitä, mitä kävijät näkevät sivustollasi:

• Sivustosi tekoälychatbottien ja -avustajien on tehtävä selväksi, että kävijä keskustelee koneen kanssa (ellei se ole kontekstista ilmeistä).
• Julkaisemasi tekoälyn tuottamat tai manipuloimat kuvat, äänet ja videot (deepfaket) on merkittävä näkyvästi keinotekoisesti tuotetuiksi tai manipuloiduiksi.
• Synteettisessä mediassa tulisi olla koneluettava merkintä (esim. metadata/vesileima) — merkintävelvoite ennen elokuuta 2026 markkinoilla olleille järjestelmille alkaa 2. joulukuuta 2026.
• Tekoälyn kirjoittama teksti, joka julkaistaan yleisölle yleistä etua koskevissa asioissa, on ilmoitettava tekoälyn tuottamaksi, ellei se ole käynyt läpi ihmisen toimituksellista tarkastusta vastuineen.
• Jos käytät tekoälyä rekrytoinnissa, luotonannossa tai muissa liitteen III käyttötapauksissa, varaudu korkean riskin sääntelyyn, joka alkaa 2. joulukuuta 2027.
• Tekoälylukutaito: tekoälyä ammattimaisesti käyttävien organisaatioiden tulisi varmistaa, että henkilöstö ymmärtää käyttämänsä järjestelmät.

Seuraamukset

Sakkorakenne on tarkoituksella GDPR:n kaltainen: enintään 35 miljoonaa euroa tai 7 % maailmanlaajuisesta vuosiliikevaihdosta (kumpi on suurempi) kielletyistä käytännöistä; enintään 15 miljoonaa euroa tai 3 % useimmista muista rikkomuksista, mukaan lukien korkean riskin ja GPAI-velvoitteet; enintään 7,5 miljoonaa euroa tai 1 % virheellisten tai harhaanjohtavien tietojen toimittamisesta viranomaisille. Pk-yrityksille kukin katto on kahdesta summasta alempi. Valvonta jakautuu kansallisten markkinavalvontaviranomaisten ja GPAI-mallien osalta EU:n tekoälytoimiston kesken.

Miten Beacon liittyy tähän

Beacon skannaa jo nyt, mitä hakukoneet ja tekoälyrobotit todella näkevät verkkosivustollasi — robots.txt-käytännöt, renderöidyn sisällön, strukturoidun datan ja ilmoitukset. Rakennamme tämän perustan päälle tekoälyasetuksen valmiusskannausta: automaattisen tarkistuksen sivustosi kävijöille näkyvistä läpinäkyvyyssignaaleista (chatbot-ilmoitus, tekoälysisällön merkinnät, koneluettava merkintä ja niihin liittyvä metadata) priorisoidulla korjauslistalla. Se ei ole oikeudellista neuvontaa — mutta se näyttää konkreettisesti, mitä sivustosi paljastaa tänään ja mitä korjata ensin.