Generatiivinen tekoäly on yleistynyt huimaa vauhtia suomalaisten yritysten tietotyössä – olipa kyse markkinointisisältöjen tuotannosta, data-analytiikasta tai asiakaspalvelun chatbot-ratkaisuista. Samalla kun AI Act -tekoälyasetus astuu voimaan, yritysten on tärkeää ymmärtää, mitä uusia vaatimuksia tämä EU-sääntely tuo mukanaan ja miten varmistaa oma toiminta sen mukaiseksi.

AI Act on maailman ensimmäinen kattava tekoälyn sääntelykehikko, jonka tavoitteena on varmistaa turvalliset ja luotettavat tekoälyjärjestelmät sekä suojata perusoikeuksia EU:ssa. Se lähestyy tekoälyn käyttöä riskiperusteisesti: mitä suurempi riski ihmisten oikeuksille tai turvallisuudelle, sitä tiukemmin käyttöä säännellään.

Tämä opas tarjoaa käytännönläheisen katsauksen siihen, miten EU:n AI Act -tekoälyasetusta sovelletaan suomalaisissa yrityksissä. Kohderyhmänä ovat kaiken kokoiset yritykset – niin pk-yritykset kuin suuryritykset – jotka hyödyntävät generatiivista tekoälyä osana liiketoimintaansa.

Oppaan lopusta löytyy seitsemänvaiheinen käyttöönotto-polku AI Act -vaatimusten jalkauttamiseksi organisaatioon (taulukkona aikajanoineen ja vastuuhenkilöineen) sekä korkeintaan 10 kohdan nopea tarkistuslista, jonka avulla voit arvioida yrityksesi AI Act -valmiutta. Näiden avulla pyritään antamaan yrityksille selkeä polku sääntelyn noudattamiseen. Tavoitteena on välttää raskasta lakijargonia ja tarjota ymmärrettävä, itsenäinen käyttöopas, jonka avulla yritykset voivat vastuullisesti hyödyntää tekoälyä menettämättä vauhtia innovaatiossa.

Haluatko oikaista?

Alla olevalla työkalulla saat tiivistelmän oman yrityksesi näkökulmasta 👇

Oppaan sisältö

• 2. Mikä on EU:n AI Act -tekoälyasetus?

• 3. Soveltamisala – Ketä ja mitä AI Act koskee?

• 4. Keskeiset käsitteet ja roolit AI Act -konteksti …

• 5. Riskiperusteinen lähestymistapa ja tekoälyn ris …

• 6. Generatiivisen tekoälyn erityisvaatimukset

• 7. Henkilöstön osaaminen ja tekoälylukutaito

• 8. Vaikutukset pk- ja suuryrityksille

• 9. Käyttöönotto-polku – 7 vaihetta AI Act -vaatimu …

• 10. Yhteenveto ja suositukset

• Nopea tarkistuslista AI Act -valmiuden arviointiin

• Haluatko sparrailla AI:sta etäkahvitellen?

2. Mikä on EU:n AI Act -tekoälyasetus?

AI Act on Euroopan unionin uusi säädös (asetus 2024/1689) tekoälyjärjestelmien yhdenmukaistetusta sääntelystä. Se julkaistiin EU:n virallisessa lehdessä heinäkuussa 2024 ja tuli voimaan 1. elokuuta 2024. Kyseessä on suoraan sovellettava EU-asetus (eli se ei vaadi erillistä kansallista lakia, vaan velvoittaa sellaisenaan kaikissa jäsenmaissa). AI Act luo yhteiset pelisäännöt tekoälyn kehittämiselle, käyttöönotolle ja käytölle koko EU:ssa, mikä osaltaan myös yhtenäistää sisämarkkinoita ja vähentää hajanaista kansallista sääntelyä.

Keskeistä asetuksessa on riskiperusteinen lähestymistapa: asetuksessa määritellään neljä riskiluokkaa tekoälyn käyttötarkoituksille (käsitellään tarkemmin luvussa 5). Korkeamman riskin käyttötapauksiin kohdistuu tiukempia vaatimuksia ja valvontaa, kun taas vähäisen riskin tekoälysovellukset sallitaan vapaammin ilman erityisiä velvoitteita. AI Act pyrkii toisin sanoen varmistamaan, että tekoälyä kehitetään ja käytetään turvallisesti: se kieltää tietyt erityisen vaarallisiksi luokitellut sovellukset kokonaan ja asettaa laatu-, läpinäkyvyys- ja valvontavaatimuksia korkean riskin järjestelmille. Samalla se jättää minimaalisia riskejä sisältävät sovellukset innovaatioystävällisesti kevyen sääntelyn piiriin.

Asetuksen taustalla on huoli mm. tekoälyn mahdollisista väärinkäytöksistä ja haitallisista seurauksista. Erityisesti generatiivisen tekoälyn nopea kehitys – kuten ChatGPT ja vastaavat mallit – on tuonut esiin uusia eettisiä ja oikeudellisia kysymyksiä. AI Act ulottuukin koskemaan kaikkea tekoälyä, myös generatiivisia malleja ja yleiskäyttöisiä tekoälymalleja (general purpose AI), joskin näille on säädetty omat erityisvelvoitteensa (ks. luku 10).

Asetuksen tavoitteena on sekä hillitä tekoälyyn liittyviä riskejä että edistää luottamusta tekoälyjärjestelmiin, jotta yritykset ja kansalaiset uskaltaisivat hyödyntää tekoälyä laajemmin.

Kaipaatko apua AI ACT:n käyttöönotossa ja henkilöstön koulutuksessa?

Bottiverstas on erikoistunut auttamaan suomalaisia organisaatioita hyödyntämään tekoälyä EU:n AI ACT:n vaatimuksien mukaisesti kouluttamalla ja valmentamalla sekä yritysjohtoa että henkilökuntaa.

Varaa ilmainen etäkahvittelu AI ACT:stä ja varmistat, että yrityksesi toimii varmasti lainsäädännön mukaisesti ja saat kaiken irti tekoälystä 👇

3. Soveltamisala – Ketä ja mitä AI Act koskee?

Kaikki tekoälyn kanssa toimivat yritykset periaatteessa kuuluvat asetuksen piiriin. AI Act kattaa sekä tekoälyjärjestelmien kehittäjät, markkinoille saattajat että käyttäjät (käyttöönottajat) Euroopan unionissa.

Asetus soveltuu myös EU:n ulkopuolisiin toimijoihin siltä osin kuin ne tarjoavat tekoälyjärjestelmiä EU-markkinoille tai niiden käyttö vaikuttaa EU:n kansalaisiin.

Soveltamisala on hyvin laaja toimialojen suhteen: asetus koskee kaikkia toimialoja (teollisuudesta terveydenhuoltoon, opetukseen, finanssialaan jne.), kunhan kyse on tekoälyjärjestelmän käytöstä.

Kaiken kokoiset yritykset kuuluvat sääntelyn piiriin. Asetus ei tee suoraa eroa pienten ja suurten yritysten välillä velvoitteiden soveltamisessa – vaatimukset riippuvat ensisijaisesti tekoälyjärjestelmän käyttötarkoituksen riskiluokituksesta, ei yrityksen koosta.

Kuitenkin lainsäätäjä on tunnistanut pk-yritysten rajalliset resurssit: asetuksen täytäntöönpanossa on pyritty huomioimaan pk-sektorin tarpeita niin, ettei uusi sääntely muodostu kohtuuttoman raskaaksi pienille toimijoille.

Esimerkiksi pk-yrityksille on luvassa etusijaa regulatory sandbox -testiympäristöihin pääsyssä ja erityisiä tiedotus- ja tukitoimia kanavoidaan pk-yrityksille asetuksen jalkauttamiseksi.

Suomalaisyrityksistä valtaosan nykyiset tekoälyn käyttötavat kuulunevat matalan riskin luokkiin, joten monille pienille yrityksille asetuksen vaikutukset konkretisoituvat lähinnä kevyisiin läpinäkyvyysvaatimuksiin ja henkilöstön osaamisen varmistamiseen (ei esimerkiksi raskasta sertifiointiprosessia).

On myös huomioitava, että tietyt alat ja käyttötapaukset – esimerkiksi lääkinnälliset laitteet, ajoneuvojen turvallisuusjärjestelmät tai lelujen turvallisuus – kuuluvat sekä AI Act että muun sektori-/tuotelainsäädännön piiriin. AI Act on suunniteltu toimimaan yhdessä olemassa olevan lainsäädännön kanssa: se täydentää mm. tuotteiden turvallisuussääntelyä tekoälyn osalta.

4. Keskeiset käsitteet ja roolit AI Act -kontekstissa

Jotta AI Act -velvoitteita voi ymmärtää, on hyvä tuntea muutamia tärkeitä käsitteitä ja rooleja, jotka asetus määrittelee. Seuraavassa avaamme keskeisiä termejä selkokielellä:

• Tekoälyjärjestelmä – Koneoppiva tai sääntöpohjainen ohjelmisto, joka tuottaa älykkään näköisiä toimintoja (kuten ennusteita, päätöksiä, suosituksia) jonkin tavoitteen saavuttamiseksi. AI Act kattaa hyvin laajasti erilaiset tekoälyteknologiat; olennaista on, että järjestelmä voi autonomisesti muuttaa toimintaansa datan perusteella (eli oppia tai mukautua). Määritelmä sulkee pois täysin kiinteälogiikkaiset ohjelmat, mutta kattaa mm. koneoppimismallit, syväoppivat verkot sekä myös generatiiviset mallit.

• Tarjoaja (provider) – Organisaatio tai henkilö, joka kehittää tai kehityttää tekoälyjärjestelmän ja saattaa sen markkinoille omalla nimellään. Tarjoaja voi siis olla esimerkiksi yritys, joka rakentaa oman tekoälypohjaisen palvelun ja tarjoaa sitä asiakkaille, tai joka integroi olemassa olevia malleja uuteen tuotteeseen ja julkaisee sen. Tarjoaja kantaa pääasiallisen vastuun siitä, että tekoälyjärjestelmä täyttää AI Act -asetuksen vaatimukset, ennen kuin se tulee käyttäjien ulottuville.

• Käyttöönottaja (user, asetuksessa käytetään termiä käyttöönottaja) – Organisaatio tai henkilö, joka ottaa tekoälyjärjestelmän käyttöön toiminnassaan tai palvelussaan. Toisin sanoen, jos yritys hyödyntää jonkun toisen kehittämää tekoälytyökalua omassa työssään, se toimii käyttöönottajana. Esimerkki: markkinointitoimisto käyttää valmista generatiivista AI-sisällöntuotantoalustaa tekstien luomiseen – toimisto on käyttöönottaja, AI-alustan kehittäjä on tarjoaja. Käyttöönottajilla on myös velvoitteita (esim. huolehtia, että järjestelmää käytetään ohjeiden mukaisesti ja valvoa sen toimintaa), mutta ne ovat kevyempiä kuin tarjoajien velvoitteet.

• Jakelija (distributor) – Osapuoli, joka asettaa markkinoille tekoälyjärjestelmän kolmannen osapuolen nimissä ilman, että muokkaa sitä. Esim. jälleenmyyjä tai sovelluskauppa, joka välittää toisen valmistamaa tekoälyohjelmistoa eteenpäin. Jakelijoiden pitää varmistaa, että tuotteessa on vaaditut merkinnät ja ohjeet, eikä heillä ole syytä epäillä sääntöjen vastaista toimintaa.

• Maahantuoja (importer) – Jos yritys tuo ETA-alueen ulkopuolelta tekoälyjärjestelmän tai -laitteen EU-markkinoille, se toimii maahantuojana ja vastaa osaltaan siitä, että tuote täyttää AI Act -vaatimukset. Monelle palveluna käytettävälle generatiiviselle AI-työkalulle tämä pykälä ei suoraan osu (palveluntarjoaja usein itse huolehtii vaatimustenmukaisuudesta), mutta fyysisten tuotteiden tai laiteasennusten kohdalla relevantti.

• Yleiskäyttöinen tekoälymalli – Tällä tarkoitetaan laajasti sovellettavia tekoälymalleja, joita ei ole tehty yksinomaan yhteen rajattuun tarkoitukseen, vaan joita voidaan hyödyntää monenlaisissa tehtävissä ja järjestelmien osin. Käytännössä suurten teknologiayritysten kehittämät isot mallit – kuten isot kielimallit (GPT-tyyppiset), kuva- ja äänigeneraattorit – ovat yleiskäyttöisiä malleja. AI Act asettaa näiden tarjoajille omat velvoitteet, jotta koko tekoälyn arvoketju saadaan vastuulliseksi (mm. vaatimuksia teknisestä dokumentaatiosta ja riskienhallinnasta, ks. luku 10)

• Korkean riskin tekoälyjärjestelmä – Tekoälysovellus, joka kuuluu johonkin AI Act -asetuksen liitteessä III luetelluista korkeaa riskiä sisältävistä käyttötarkoituksista. Näitä käydään tarkemmin läpi luvussa 7, mutta esimerkkejä ovat mm. työntekijöiden rekrytoinnissa käytettävät algoritmit, terveydenhuollon diagnostiikkaa tekevät tekoälyt, lainvalvonnan tai oikeuslaitoksen päätöksentekoa avustavat järjestelmät jne. Korkean riskin järjestelmiin liittyy merkittäviä vaatimuksia ennen käyttöönottoa (sertifiointeja, testauksia, dokumentaatioita).

• Läpinäkyvyysvelvoitteen alainen tekoälyjärjestelmä – Erityinen kategoria tekoälysovelluksia, jotka eivät ole “korkean riskin” mutta joihin kohdistuu nimenomaan läpinäkyvyysvaatimuksia. Näitä kutsutaan myös avoimuusriskin järjestelmiksi. Tyypillisesti kyse on tekoälystä, joka vuorovaikuttaa ihmisen kanssa tai luo sisältöä, joka voisi näyttää aidolta. Esimerkkinä chat-robotit (chatbotit) ja generatiiviset sisällöntuotantojärjestelmät:

Yllä mainittujen termien ymmärtäminen auttaa navigoimaan AI Act -vaatimuksissa. Moni yritysrooli on käytännössä samaan aikaan sekä tarjoaja että käyttöönottaja eri tilanteissa – esimerkiksi jos kehitätte sisäisen tekoälyratkaisun omaan käyttöönne, olette sen tarjoaja ja toisaalta omaan liiketoimintaanne soveltaessanne myös käyttöönottaja. Tällöin on syytä huomioida molempiin rooleihin liittyvät velvoitteet. Seuraavaksi siirrymme käsittelemään AI Act -asetuksen ydinperiaatetta: riskiperusteista luokittelua ja siihen kytkeytyviä vaatimustasoja.

5. Riskiperusteinen lähestymistapa ja tekoälyn riskiluokat

AI Act jakaa tekoälysovellukset neljään riskiluokkaan sen mukaan, kuinka merkittäviä vaikutuksia niillä voi olla yksilön oikeuksiin tai turvallisuuteen. Sääntely tiukkenee riskitason noustessa.

Kielletty riski

Tekoälyn käyttötavat, jotka ovat EU:ssa yksiselitteisesti kiellettyjä:

• Alitajuinen manipulointi, esim. käyttäjän haavoittuvuuksien hyödyntäminen markkinoinnissa.

• Sosiaalinen pisteytys, eli kansalaisten luokittelu heidän käyttäytymisensä tai tietojensa perusteella.

• Reaaliaikainen kasvojentunnistus julkisilla paikoilla lainvalvonnassa (muutamin poikkeuksin).

• Johtopäätösten teko henkilön luonteesta biologisten tunnisteiden perusteella.

Yritysten on varmistettava, että niiden tekoälyn käyttö ei liity näihin. Rangaistuksena voi olla jopa 35 miljoonan euron sakko tai 7 % vuotuisesta liikevaihdosta.

Korkea riski

Sovellukset, joilla voi olla merkittävä vaikutus yksilön elämään:

• Koulutus: esim. pääsykoetulosten automaattinen arviointi.

• Rekrytointi ja työelämä: esim. CV:n seulonta tai työntekijäseuranta.

• Terveys: diagnoosiin tai hoitopäätöksiin vaikuttava tekoäly.

• Ajoneuvot ja koneet: tekoäly, joka ohjaa turvallisuuskriittisiä toimintoja.

• Finanssiala: luoton myöntämiseen vaikuttava tekoäly.

• Lainvalvonta ja oikeus: esim. rikosennusteet tai todisteiden analyysi.

Nämä vaativat mm. riskienhallintaa, laadukasta dataa, teknistä dokumentaatiota, CE-merkintää, käyttäjän informointia, ihmiskontrollia ja rekisteröinnin EU-tietokantaan.

Käyttäjien (ei vain tarjoajien) tulee myös:

• varmistaa CE-merkintä,

• käyttää järjestelmää ohjeiden mukaan,

• kouluttaa henkilöstönsä.

Kohtalainen riski (läpinäkyvyysriski)

Tekoäly, joka voi johtaa harhaan, ellei sen käytöstä ilmoiteta:

• Chatbotit ja virtuaaliassistentit, jotka vaikuttavat inhimillisiltä.

• Generatiivinen sisältö, jota voi erehtyä luulemaan ihmisen tekemäksi.

• Deepfake-sisällöt, joissa tekoäly jäljittelee todellisia henkilöitä.

Ainoa vaatimus: käyttäjälle on selvästi ilmoitettava, että kyseessä on tekoäly.

Vähäinen riski

Sovellukset, jotka eivät juurikaan vaikuta ihmisten oikeuksiin tai turvallisuuteen:

• Roskapostisuodattimet.

• Tuotesuositusalgoritmit.

• Sisäinen ideointi (esim. luonnostelut generatiivisella AI:lla).

• Pelit ja viihdesovellukset.

Näille ei aseteta pakollisia vaatimuksia, mutta vapaaehtoiset eettiset käytännöt (esim. läpinäkyvyys ja tietosuoja) ovat suositeltavia.

6. Generatiivisen tekoälyn erityisvaatimukset

Generatiivinen tekoäly, kuten tekstin, kuvan tai äänen tuottamiseen tarkoitetut mallit, herättää erityisiä sääntelytarpeita. AI Act sisältää useita vaatimuksia näiden mallien vastuulliselle hyödyntämiselle.

a) Sisällön tunnistettavuus

Jos tekoälyn luoma sisältö voi erehdyttää ihmistä luulemaan sitä aidoksi, se on merkittävä selkeästi.

Esimerkiksi chatbotin, kuvageneraattorin tai deepfake-videon käyttö edellyttää ilmoitusta siitä, että kyseessä on tekoälytuotantoa. Ilmoitus voi olla käyttöliittymässä tai julkaisutekstissä, eikä sen tarvitse olla korostettu, kunhan se on selkeä.

b) Koulutusdatan avoimuus

AI Act ei vaadi yrityksiä julkaisemaan koulutusdataansa, mutta yleiskäyttöisten mallien (esim. GPT-tyyppiset mallit) tarjoajilta edellytetään dokumentaatiota datan laadusta, monimuotoisuudesta ja mahdollisista vinoumista. Tämä antaa käyttäjille luottamuksen siihen, ettei malli perustu eettisesti arveluttavaan aineistoon.

c) Tekijänoikeudet ja aineiston käyttö

Yritysten tulee varmistaa, että AI-työkalut eivät riko tekijänoikeuksia – esimerkiksi generoidessaan musiikkia tai kuvia. Kannattaa:

• tarkistaa työkalun käyttöehdot,

• laatia henkilöstölle ohjeet siitä, ettei suojattua aineistoa syötetä palveluun ilman lupaa,

• tiedostaa, että generatiivinen AI voi oppia syötetystä sisällöstä.

d) Virhevastuu ja laadunvarmistus

Tekoäly voi tuottaa virheellistä tietoa. Vaikka AI Act ei suoraan rankaise virheistä, vastuu voi kohdistua yritykseen, jos väärä tieto aiheuttaa vahinkoa. Siksi on tärkeää, että ihmiset tarkistavat generoidun sisällön ennen sen julkaisua tai käyttöä päätöksenteossa.

e) Yleiskäyttöisten mallien tarjoajien vastuut

Suurten mallien kehittäjiltä edellytetään:

• teknistä dokumentaatiota viranomaisille ja asiakkaille,

• riskinarviointeja mahdollisista laajavaikutteisista haittavaikutuksista,

• vastuullista julkaisuprosessia ja käytännesääntöjä.

Vaikka nämä velvoitteet koskevat suoraan mallitarjoajia, yritysten tulee tunnistaa niiden vaikutukset omaan käyttöönsä. Palveluntarjoajat saattavat automaattisesti lisätä sisältöön esimerkiksi vesileimoja – mutta asiakastiedottaminen jää edelleen käyttäjäorganisaation vastuulle.

Yhteenveto

Generatiivisen tekoälyn sääntely AI Actissa keskittyy avoimuuteen, turvallisuuteen ja vastuullisuuteen. Yritysten tulee varmistaa, että sisältöä ei esitetä ihmisen luomana, etteivät tekijänoikeuksia rikota ja että kriittinen materiaali tarkistetaan ennen käyttöä. Vastineeksi AI Act tukee luottamuksen rakentamista ja ennakoitavaa toimintaa tekoälyn käytössä.

7. Henkilöstön osaaminen ja tekoälylukutaito

Yksi AI Act -asetuksen yllättävimmistä ja merkittävimmistä käytännön vaikutuksista kaikille organisaatioille on vaatimus henkilöstön riittävästä tekoälyosaamisesta.

Asetus velvoittaa organisaatioita huolehtimaan, että niiden henkilöstö – erityisesti ne työntekijät, jotka kehittävät tai hyödyntävät tekoälyjärjestelmiä – ymmärtävät tekoälyn hyödyt ja riskit sekä osaavat käyttää järjestelmiä vastuullisesti. Jos osaamisessa on puutteita, organisaation on järjestettävä tarvittavaa koulutusta. Tätä vaatimusta kutsutaan epävirallisesti tekoälylukutaidon vaatimukseksi (vrt. "AI literacy").

Mitä tämä tarkoittaa käytännössä suomalaisyritykselle? Käytännön askeleet:

• Osaamiskartoitus: Ensin kannattaa selvittää, mikä on henkilöstön nykyinen tekoälyosaamisen taso. Tämä voi tarkoittaa yksinkertaisia kyselyitä, itsearviointeja tai kokeita. Mitä ihmiset tietävät tekoälystä yleisesti? Tunnettiinko jo, että chatbotti on tekoäly eikä ihminen? Tunnetaanko organisaatiossa AI Act -velvoitteet? Erityisen tärkeää on kartoittaa niiden osaaminen, jotka suoraan käyttävät tai ylläpitävät AI-järjestelmiä työssään (esim. data-analyytikot, kehittäjät, asiakaspalvelijat chatbotin rinnalla, päätöksentekijät jotka luottavat AI:n analyyseihin).

• Koulutussuunnitelma: Mikäli puutteita ilmenee – ja todennäköisesti jollain osa-alueella ilmenee, sillä moni työntekijä on voinut omaksua AI-työkalun arkeensa ilman muodollista koulutusta – on tehtävä suunnitelma koulutuksen järjestämiseksi. Tämä voi sisältää:

  • Sisäiset työpajat tai koulutustilaisuudet, joissa käydään läpi perusasioita: "Mikä on tekoäly, mitä se osaa ja ei osaa, miten meidän yrityksessä käytössä olevat AI-järjestelmät toimivat ja mihin tarkoitukseen niitä käytetään".

  • Painotukset eettisiin ja juridisiin näkökohtiin: AI Act -koulutus, tietosuojan ja tietoturvan kertaus (erityisesti, ettei syötetä henkilötietoja sellaisiin AI-palveluihin ilman lupaa, ellei palvelu ole siihen tarkoitettu), vastuullisen käytön ohjeet.

  • Käytännön harjoitukset: esim. markkinointitiimi harjoittelee generatiivisen tekstimallin käyttöä ja oppii erottamaan hyvät ja huonot sisällöt; HR-tiimi harjoittelee tekoälytyökalun käyttöä CV-seulonnassa niin, että he tunnistavat milloin työkalu saattaa antaa vinoutuneita tuloksia.

  • Dokumentoidut toimintamallit: On suositeltavaa laatia AI-ohjeistus henkilöstölle. Se voi olla erillinen asiakirja tai osa yrityksen eettistä ohjeistusta, jossa kuvataan miten tekoälyä saa ja pitäisi käyttää työtehtävissä. Esimerkiksi ohje: "Tarkista aina generatiivisen AI:n tuottama sisältö ennen kuin toimitat sen asiakkaalle", tai "Älä koskaan syötä luottamuksellisia tietoja ulkoiseen tekoälysovellukseen ilman lupaa".

• Jatkuva oppiminen: Tekoäly kehittyy nopeasti, ja niin kehittyy myös sääntely. Yrityksen on hyvä varautua siihen, että tekoälyosaamisen kehittäminen on jatkuva prosessi eikä kertaluontoinen ponnistus. Voi olla hyödyllistä nimetä organisaatiosta "tekoälylähettiläitä" tai vastuuhenkilöitä, jotka pitävät osaamista yllä ja päivittävät kollegoita uusista kehityksistä. Samoin kannattaa seurata esimerkiksi kotimaisia koulutustarjontoja: Suomessa on jo useita verkkokursseja (kuten Elements of AI ja yrityksille suunnattuja AI-koulutuksia) sekä syksyllä 2025 on luvassa datavastuullisuuden verkkovalmennuksia juuri AI Act -vaatimusten tueksi.

• Johdon tuki ja esimerkki: On tärkeää, että yrityksen johto on sitoutunut tekoälyosaamisen kehittämiseen. Johto itsekin hyötyy perusymmärryksestä: se auttaa tekemään strategisia päätöksiä tekoälyn käytöstä. Kun johto viestii, että tekoäly on tärkeä mutta sen käyttö edellyttää ymmärrystä, työntekijätkin ottavat asian vakavasti.

AI Act -asetuksen ensimmäisten joukossa sovellettavia velvoitteita helmikuusta 2025 alkaen oli nimenomaan tekoälylukutaito: kaikissa organisaatioissa, riskiluokasta riippumatta, henkilöstön osaamisen varmistaminen tuli ajankohtaiseksi. Tämä alleviivaa sitä, että EU näkee ihmisten kouluttamisen tehokkaana keinona hallita tekoälyn riskejä – teknisten kontrollien ohella. Yritykselle tämä voi tuntua lisätyöltä, mutta ajattele sitä investointina: hyvin koulutettu henkilöstö käyttää tekoälyä tehokkaammin ja välttää kalliit virheet tai mainehaitat. Pitämällä ihmiset osaavina varmistetaan, että tekoäly on renki, ei isäntä, organisaatiossa.

Kaipaatko apua AI ACT:n käyttöönotossa ja henkilöstön koulutuksessa?

Bottiverstas on erikoistunut auttamaan suomalaisia organisaatioita hyödyntämään tekoälyä EU:n AI ACT:n vaatimuksien mukaisesti kouluttamalla ja valmentamalla sekä yritysjohtoa että henkilökuntaa.

Varaa ilmainen etäkahvittelu AI ACT:stä ja varmistat, että yrityksesi toimii varmasti lainsäädännön mukaisesti ja saat kaiken irti tekoälystä 👇

8. Vaikutukset pk- ja suuryrityksille

AI Act koskee kaikkia yrityksiä, mutta käytännön vaikutukset ja toteutustavat vaihtelevat yrityksen koon ja resurssien mukaan.

Pk-yritykset

Pk-yrityksillä on usein rajalliset resurssit lakisääteisten vaatimusten täyttämiseen, ja tämä on huomioitu asetuksen toimeenpanossa mm. seuraavasti:

• Regulatory sandbox -etuus: Pk-yritykset voivat hakea mukaan valvottuihin testialustoihin, joissa AI-ratkaisuja voidaan kehittää ja kokeilla valvojien tuella ennen julkaisua.

• Tuki ja koulutus: Saatavilla on kohdennettua ohjausta, webinaareja, oppaita ja työkaluja, jotka auttavat erityisesti pienyrityksiä sääntelyn ymmärtämisessä ja jalkauttamisessa.

• Suhteutettu velvoitetaso: Pk-yritysten käyttämät tekoälysovellukset sijoittuvat useimmiten matalan riskin luokkiin, joten vaatimukset liittyvät lähinnä läpinäkyvyyteen ja henkilöstön osaamiseen.

• Hallinnollisen taakan minimointi: Pk-yritykset voivat hyödyntää valmiita dokumenttipohjia ja tukeutua AI-moduulin toimittajan dokumentaatioon. Monissa maissa on suunnitteilla myös maksuttomia neuvontapalveluita.

Jos pk-yritys käyttää tekoälyä korkean riskin käyttötarkoituksiin, kuten rekrytointiin tai terveystietojen käsittelyyn, yhteistyö asiantuntijoiden tai kumppanien kanssa on suositeltavaa.

Suuryritykset

Suuryrityksillä haasteet liittyvät laajuuteen, skaalautuvuuteen ja hallittavuuteen:

• Keskitetty hallinta: On tärkeää nimetä vastuuhenkilö tai tiimi, joka kartoittaa tekoälyn käytön ja varmistaa velvoitteiden täyttymisen konsernitasolla.

• Prosessien integrointi: AI Act -vaatimukset tulee upottaa olemassa oleviin laadun- ja riskienhallintajärjestelmiin, kuten tuotekehityksen portteihin tai sisäisiin ohjeistuksiin.

• Resurssit ja asiantuntijuus: Suurilla yrityksillä on usein mahdollisuus nimetä sisäisiä asiantuntijoita AI Act -asioihin. Tarvittaessa voidaan käyttää ulkopuolisia asiantuntijoita, esimerkiksi CE-merkintään tai gap-analyysiin.

• Vastuullisuuden esimerkki: AI Act -vaatimusten noudattaminen voi toimia kilpailuetuna ja rakentaa luottamusta niin asiakkaissa kuin liikekumppaneissa.

Yhteenveto

Pk-yritysten kannalta AI Act edellyttää ennen kaikkea tiedostamista ja kevyitä toimenpiteitä, kun taas suuryritykset kohtaavat laajempia hallinnointitarpeita ja vastuita. Molemmille on tarjolla tukea ja työkaluja asetuksen jalkautukseen.

9. Käyttöönotto-polku – 7 vaihetta AI Act -vaatimusten jalkauttamiseen

Seuraavassa on esitetty seitsemän askelen polku, joka auttaa yritystä suunnitelmallisesti saavuttamaan AI Act -vaatimusten noudattamisen. Polku etenee loogisesti nykytilan kartoituksesta aina jatkuvaan parantamiseen. Mukana on arvioitu aikajana sekä kussakin vaiheessa suoritettavat päätehtävät ja nimetty tyypilliset vastuuhenkilöt. Taulukkomuotoisena esitys auttaa hahmottamaan projektin kokonaiskuvaa:

Taulukon aikataulu on viitteellinen ja olettaa, että organisaatio aloittaa valmistelut pian. Vaiheet 1–4 luovat perustan muutamassa kuukaudessa, vaihe 5 (toteutus) vie todennäköisesti eniten aikaa, riippuen muutosten laajuudesta. Viimeiset vaiheet 6–7 korostavat, että AI Act -noudattaminen ei ole kertaluontoinen projekti vaan jatkuva osa yrityksen hallintaa – vähän kuin tietosuojakin nykyään on jatkuvasti huomioitava.

Kaipaatko apua AI ACT:n käyttöönotossa ja henkilöstön koulutuksessa?

Bottiverstas on erikoistunut auttamaan suomalaisia organisaatioita hyödyntämään tekoälyä EU:n AI ACT:n vaatimuksien mukaisesti kouluttamalla ja valmentamalla sekä yritysjohtoa että henkilökuntaa.

Varaa ilmainen etäkahvittelu AI ACT:stä ja varmistat, että yrityksesi toimii varmasti lainsäädännön mukaisesti ja saat kaiken irti tekoälystä 👇

10. Yhteenveto ja suositukset

EU:n AI Act -tekoälyasetus asettaa puitteet tekoälyn vastuulliselle hyödyntämiselle, ja sen vaatimukset tulevat koskettamaan käytännössä kaikkia tekoälyä käyttäviä yrityksiä Suomessa. Tämän oppaan läpi kulkeneena toivottavasti hahmotat, että vaikka asetuksessa on paljon uusia käsitteitä ja kohtia, ne tiivistyvät muutamaan ydinteemaan: riskien tunnistaminen, läpinäkyvyys, laadunvarmistus ja ihmisen vastuu.

Keskeiset opit pähkinänkuoressa:

• Tunnista ja kategorisoi tekoälyjärjestelmäsi. Tiedä, mitä AI:ta yrityksessä käytetään ja mihin tarkoituksiin, ja mikä niiden riskiluokka on. Tämä on perusta kaikelle muulle – et voi noudattaa sääntöjä, ellet tiedä mihin niitä soveltaa.

• Huolehdi kielletyistä rajoista. Varmista, ettet tietämättäsi tee mitään sellaista, mikä on AI Act mukaan kiellettyä (todennäköisyys pieni, mutta esim. työntekijöiden profilointi tai tunteiden tunnistaminen ilman lupaa voisi mennä rajan yli).

• Jos liikut korkealla riskitasolla, panosta vahvasti compliance-ohjelmaan. Tarvitset suunnitelmallisuutta, dokumentaatiota, mahdollisesti sertifiointeja. Käytä asiantuntijoita, standardeja ja testaa huolella. Lopputuloksena voi olla vaikkapa CE-merkitty tuote, joka on myös myyntivaltti. Jos tämä tuntuu ylivoimaiselta, harkitse, voiko konseptia muokata vähemmän riskilliseksi (esim. pitää ihminen tiukemmin loopissa, tai rajoittaa AI:n päätösvaltaa).

• Läpinäkyvyys on halpa ja tehokas keino noudattaa lakia. Laita ne ilmoitukset ja bannerit kuntoon: ihmiset arvostavat rehellisyyttä, ja AI Act edellyttää sitä monessa kohtaa. "Asiakaspalvelijamme on virtuaaliassistentti" tai "Tämä kuva on tekoälyn luoma" – tällaiset lauseet eivät maksa paljoa, mutta täyttävät lakia ja rakentavat luottamus.

• Panosta henkilöstöön. Kouluta, viesti, toista. Tee selväksi, että tekoäly on kaikille uusi työkalu, jonka kanssa opetellaan. Luo ilmapiiri, jossa virheistä raportoidaan avoimesti eikä ketään syyllistetä, sillä se on ainoa tapa oppia ja parantaa. Muista, että laki velvoittaa varmistamaan osaamisen, eli koulutus on investointi mutta myös pakko. Onneksi tarjolla on paljon ilmaisresursseja (Elements of AI, TEKO, Tieke jne.), joita voi hyödyntää.

• Dokumentoi ja kysele. Pidä kirjaa siitä, mitä teet compliance-puolella. Jos ostat tekoälyratkaisun, kysy toimittajalta: "Miten tuote täyttää AI Act -vaatimukset? Onko teillä tekninen dokumentaatio saatavilla? Miten testasitte mallin ennen julkaisua?" Jo se, että osoitat välittäväsi näistä, pakottaa kumppanitkin ottamaan asian vakavasti.

• Valvo ja reagoi. Tekoälyn käyttöönotto ei ole "aseta ja unohda". Aivan kuten IT-järjestelmissä pidetään yllä valvontaa (monitoroidaan käyttöä, lokeja, tietoturvaa), pidä myös AI-järjestelmissä. Tee varasuunnitelmat: mitä jos AI epäonnistuu? Esim. jos automaattichatbot ei ymmärrä kysymystä, ohjaa ihminen jatkamaan. Tämä on sekä asiakaspalvelua että compliancea.

• Hyödynnä tukiverkostoa. Suomessa niin julkishallinto (Traficom, TEM) kuin yritysjärjestöt (Teknologiateollisuus, Yrittäjät ry) ja tutkimuslaitokset tarjoavat apua AI Act -matkalle. Regulatory sandboxit antavat mahdollisuuden kokeilla uutta AI-ideaa suojatussa ympäristössä ilman riskiä sanktioista heti kättelyssä. EDIH-verkostot (kuten FAIR) tarjoavat konsultaatioita ja työkaluja (muista mainittu AI Act e-työkalu riskiluokkaan arviointi). Ota rohkeasti selvää näistä – ne on tehty käytettäväksi.

Sanktiot pelotteena: On totta, että laiminlyönneistä voidaan langettaa tuntuviakin sakkoja (jopa 7 % liikevaihdosta pahimmillaan). Tämä kannustaa ottamaan aiheen tosissaan.

Toisaalta, viranomaisen ensisijainen tavoite on ennaltaehkäistä haittoja, ei rangaista hyvässä uskossa toimivia yrityksiä. Jos osoitat, että yrityksesi yrittää parhaansa noudattaa lakia, ja korjaat heti mahdolliset havaitut puutteet, suhtautuvat valvojatkin ymmärtäväisemmin. Älä siis halvaannu sanktioista, vaan käytä niitä sisäisenä myyntipuheena: "Meidän kannattaa hoitaa homma kuntoon, niin emme joudu maksamaan isoja sakkoja tai kärsimään mainehaittaa."

Lopuksi: AI Act -matka voi ensi alkuun tuntua monimutkaiselta, mutta se on myös mahdollisuus kehittää organisaation kyvykkyyttä hallita uutta teknologiaa. Ne yritykset, jotka panostavat ajoissa, saavat etulyöntiaseman. He voivat ylpeästi kertoa asiakkaille ja kumppaneille: "Hyödynnämme tekoälyä tehokkaasti ja vastuullisesti. Olemme valmiita tulevaisuuden sääntelyyn." Tämä lisää luottamusta ja voi avata ovia uusiin markkinoihin, joilla vaatimustenmukaisuus on edellytys kaupalle. Kyse on pohjimmiltaan laadusta – AI Act vaatii "tekoälytuotteilta" ja -prosesseilta laatua ja luotettavuutta, aivan kuten muut laatusäädökset vaativat muiltakin tuotteilta. Suomalaisten yritysten vahvuus on perinteisesti ollut laadussa ja luottamuksessa. Tehdään siis tekoälystäkin meille vahvuusalue noudattamalla parhaita käytäntöjä ja sääntöjä ensimmäisten joukossa.

Seuraavaksi löydät vielä tiiviin tarkistuslistan, jonka avulla voit nopeasti arvioida, missä kunnossa organisaatiosi on AI Act -valmiuden suhteen.

Nopea tarkistuslista AI Act -valmiuden arviointiin

1. Tekoälyn käytön kartoitus tehty: Olemme listanneet kaikki organisaation käyttämät tai kehittämät tekoälyjärjestelmät ja tunnistaneet niiden käyttötarkoitukset ja riskiluokat (kielletty/korkea/avoimuus/minimaalinen).

2. Kielletyt käyttötapaukset poissuljettu: Varmistimme, ettemme käytä tekoälyä AI Act -asetuksen kieltämissä tarkoituksissa (esim. alitajuinen manipulointi tai laiton profilointi).

3. Korkean riskin AI hallinnassa: Korkean riskin luokkaan kuuluville tekoälyjärjestelmille on tehty riskienhallinta, laadittu vaaditut tekniset dokumentaatiot ja varmistettu vaatimustenmukaisuus (tarvittaessa CE-merkintä). Jos olemme käyttöönottaja, olemme varmistaneet toimittajalta vaatimusten täyttymisen.

4. Läpinäkyvyys toteutettu: Kaikissa asiaankuuluvissa kohdissa huolehdimme avoimuudesta – asiakkaille, käyttäjille ja työntekijöille kerrotaan selkeästi, kun he ovat vuorovaikutuksessa tekoälyn kanssa tai saavat tekoälyn tuottamaa sisältöä. Generoitu sisältö on merkitty tunnistettavasti.

5. Henkilöstön koulutus kunnossa: Työntekijöille on viestitty AI Act -vaatimuksista. Heidät on koulutettu käyttämään tekoälytyökaluja vastuullisesti ja ymmärtämään niiden rajoitteet. Osaamistasoa seurataan ja uusia koulutustarpeita päivitetään.

6. Sisäiset ohjeet ja prosessit luotu: Organisaatiolla on selkeät ohjeistukset tekoälyn käyttöön (esim. eettiset säännöt, tietoturvaohjeet AI:n kanssa). Lisäksi vaatimustenmukaisuuden varmistamiseksi on nimetty vastuuhenkilöt ja otettu osaksi normaalia riskienhallintaa.

7. Tekniset ja organisatoriset toimet tehty: Tarvittavat muutokset järjestelmiin (ilmoitusbannerit, lokitus, valvontamekanismit) on toteutettu. Sopimuksiin kumppanien kanssa on lisätty AI Act -vastuukysymykset. Dokumentaatiot on tallessa ja ajan tasalla.

8. Seuranta ja valvonta käynnissä: Meillä on käytössä mekanismit tekoälyjärjestelmien toiminnan jatkuvaan seurantaan. Keräämme palautetta ja lokitietoja, ja meillä on prosessi mahdollisten AI Act -incidenttien (rikkomusten tai poikkeamien) käsittelyyn ja ilmoittamiseen eteenpäin.

9. Päivitykset ja jatkuva parantaminen huomioitu: Seuraamme AI Act -sääntelyn kehittymistä ja päivitämme käytäntöjämme tarpeen mukaan. Olemme valmiita reagoimaan uusiin ohjeisiin, standardeihin tai parhaisiin käytäntöihin tekoälyn saralla.

10. Tuki ja auditointi valmiina: Tiedämme, mihin kääntyä tarvittaessa neuvojen saamiseksi (viranomaisyhteyshenkilö, alan oppaat, konsultit). Olemme valmistautuneet mahdolliseen viranomaiskyselyyn tai auditointiin siten, että pystymme esittämään vaaditut tiedot nopeasti (esim. tekniset asiakirjat, vaatimustenmukaisuusvakuutukset).

Mikäli voit rastittaa suurimman osan yllä olevista kohdista, organisaatiosi on hyvällä mallilla AI Act -valmiuden suhteen. Jos listasta paljastuu puutteita, suosittelemme palaamaan tämän oppaan kyseiseen lukuuun ja käynnistämään tarvittavat toimet viipymättä – siirtymäaikaa on vielä, mutta parhaat tulokset saavutetaan ennakoiden. Muista: vastuullinen tekoälyn käyttö on matka, ei päätepiste. Yllä oleva tarkistuslista kannattaa käydä läpi säännöllisesti, esimerkiksi kerran vuodessa, jotta pysytään ajan tasalla ja voidaan ylpeästi sanoa, että organisaatiossamme tekoäly toimii luotettavasti, lainmukaisesti ja eettisesti.

Haluatko sparrailla AI:sta etäkahvitellen?

Tekoäly voi olla voimakas työkalu, ja näiden aloittelijaystävällisten vaihtoehtojen avulla voit hyödyntää sitä omissa projekteissasi – olipa kyseessä sisällöntuotanto, ohjelmointi, markkinointi tai oppiminen.

Jos kaipaat koulutusta tekoäly-työkalujen käyttöön, nappaa tästä sitoumukseton etäkahvitteluaika ja jutellaan tarpeistasi 👇