EU:n tekoälylaki (asetus (EU) 2024/1689): Käytännön opas vuodelle 2026

Viimeksi päivitetty: 9. elokuuta 2026.

EU:n tekoälylain avoimuussäännöt tulivat voimaan 2. elokuuta 2026. Chatboteilla, deepfakeilla, tunteiden tunnistusjärjestelmillä ja tekoälyn tuottamalla sisällöllä on nyt konkreettisia tiedonantovelvollisuuksia kaikkialla Euroopan unionissa. Samaan aikaan vaativimpia velvoitteita – korkean riskin tekoälyä – ei enää odoteta elokuussa 2026. AI Digital Omnibus -säädöksen myötä niiden on määrä tulla voimaan joulukuussa 2027. Tässä oppaassa selitetään selkeästi, mitä EU:n tekoälylaki edellyttää, keitä se sitoo, mitä sovelletaan tänään ja miten organisaatioiden tulisi valmistautua.

EU:n tekoälylaki on asetus (EU) 2024/1689. Se tuli voimaan 1. elokuuta 2024 ja sitä sovelletaan vaiheittain. Se on maailman ensimmäinen kattava, horisontaalinen tekoälylaki, ja – kuten GDPR – se ulottuu paljon EU:n rajojen ulkopuolelle. Jos tekoälyjärjestelmäsi koskettavat Euroopan markkinoita, tämä asetus koskee lähes varmasti sinua.

Mikä on EU:n tekoälylaki?

EU:n tekoälylaki on riskiperusteinen asetus. Sen sijaan, että kaikkea tekoälyä kohdeltaisiin samalla tavalla, se luokittelee järjestelmät tasoihin niiden mahdollisesti aiheuttaman haitan mukaan ja asettaa suuremmalle riskille raskaampia velvoitteita. Tavoitteena on kaksi: suojella terveyttä, turvallisuutta ja perusoikeuksia sekä antaa yrityksille oikeusvarmuus, jotta luotettavaa tekoälyä voidaan kehittää ja ottaa käyttöön kaikkialla sisämarkkinoilla.

Laki määrittelee tekoälyjärjestelmän laajasti OECD:n lähestymistavan mukaisesti: konepohjainen järjestelmä, joka toimii jossain määrin itsenäisesti, voi mukautua käyttöönoton jälkeen ja – saamiensa syötteiden perusteella – päättelee, miten tuottaa fyysisiin tai virtuaalisiin ympäristöihin vaikuttavia tuotoksia, kuten ennusteita, sisältöä, suosituksia tai päätöksiä. Tämä tarkoituksella laaja määritelmä kattaa nykyaikaiset koneoppimismallit, mukaan lukien generatiivisen ja yleiskäyttöisen tekoälyn.

Keitä tekoälylaki koskee?

Tekoälylailla on ekstraterritoriaalinen ulottuvuus. Sitä sovelletaan, kun palveluntarjoaja saattaa tekoälyjärjestelmän EU:n markkinoille tai ottaa sen käyttöön EU:ssa, ja – mikä ratkaisevaa – kun palveluntarjoaja tai käyttöönottaja on sijoittautunut EU:n ulkopuolelle, mutta järjestelmän tuotos käytetään EU:ssa. Yhdysvaltalainen tai Yhdistyneen kuningaskunnan yritys, joka palvelee eurooppalaisia ​​käyttäjiä, voi siksi kuulua täysin sen soveltamisalaan.

Laissa erotetaan toisistaan ​​useita toimijoita, joilla jokaisella on omat tehtävänsä:

• Hankkija — ne, jotka kehittävät tekoälyjärjestelmän (tai yleiskäyttöisen tekoälymallin) ja saattavat sen markkinoille tai ottavat käyttöön omalla nimellään tai tavaramerkillään. Palveluntarjoajilla on suurin vaatimustenmukaisuustaakka.
• Käyttöönottajat — ne, jotka käyttävät tekoälyjärjestelmää vastuullaan ammatillisessa yhteydessä (esimerkiksi työnantaja, joka ylläpitää tekoälypohjaista rekrytointityökalua). Puhtaasti henkilökohtainen, ei-ammattimainen käyttö ei kuulu näiden velvollisuuksien piiriin.
• Maahantuojat ja jakelijat — ne, jotka tuovat kolmannen osapuolen järjestelmän EU:n markkinoille tai asettavat sen saataville toimitusketjussa, ja joilla on tarkastus- ja kirjanpitovastuu.
• Tuotevalmistajatja joissakin tapauksissa valtuutetut edustajat, jotka voivat periä palveluntarjoajatason velvoitteet.

Käyttöönottaja voidaan myös luokitella uudelleen palveluntarjoajaksi – jolloin se perii tiukemmat velvollisuudet – jos se muuttaa merkittävästi korkean riskin järjestelmää tai lisää siihen oman nimensä.

Neljä riskitasoa

Tekoälylaki perustuu neljään riskitasoon.

1. Hyväksymätön riski (kielletty)

Joitakin käyttötarkoituksia pidetään EU:n arvojen vastaisina ja ne kielletään kokonaan 5 artiklan nojalla. Näitä ovat manipuloivat tai harhaanjohtavat tekniikat, jotka vääristävät olennaisesti käyttäytymistä ja aiheuttavat vahinkoa; haavoittuvuuksien (ikä, vammaisuus, sosioekonominen tilanne) hyväksikäyttö; viranomaisten suorittama sosiaalinen pisteytys; kasvokuvien kohdentamaton kaavinta tunnistustietokantojen rakentamiseksi; tunteiden tunnistaminen työpaikalla ja koulutuksessa (lukuun ottamatta lääketieteellisiä tai turvallisuussyitä); tietyt biometriset luokittelut, jotka paljastavat arkaluonteisia piirteitä; ja – rajoitetusti, suojattuja poikkeuksia lukuun ottamatta – reaaliaikainen biometrinen etätunnistus julkisissa tiloissa lainvalvontatarkoituksiin. Digitaalisen omnibus-lain nojalla kielto kohdistuu myös tekoälyn käyttöön, jota käytetään intiimien kuvien ja lasten seksuaaliseen hyväksikäyttöön liittyvän materiaalin tuottamiseen ilman suostumusta.

2. Korkea riski

Korkean riskin järjestelmät ovat sallittuja, mutta tiukasti säänneltyjä. Ne jakautuvat kahteen ryhmään. Ensimmäinen ryhmään (liite I) kuuluu tekoäly, joka on EU:n yhdenmukaistamislainsäädännön jo säännellyn tuotteen turvallisuuskomponentti tai itsessään sellainen tuote – lääkinnälliset laitteet, koneet, hissit, lelut ja vastaavat. Toinen ryhmään (liite III) kuuluu itsenäisiä käyttötapauksia arkaluontoisilla aloilla: biometriikka, kriittinen infrastruktuuri, koulutus, työllisyys ja henkilöstöhallinto, pääsy keskeisiin julkisiin ja yksityisiin palveluihin, lainvalvonta, maahanmuutto ja rajavalvonta sekä oikeudenkäyttö ja demokraattiset prosessit. Näiden järjestelmien on täytettävä jäljempänä kuvatut tekniset ja hallinnolliset vaatimukset.

3. Rajallinen riski (läpinäkyvyys)

Tietyt järjestelmät eivät ole riskialttiita, mutta ne voivat johtaa ihmisiä harhaan, joten niillä on 50 artiklan mukainen avoimuusvelvoite. Käyttäjille on kerrottava, kun he ovat vuorovaikutuksessa chatbotin kanssa; tekoälyn tuottama tai manipuloitu ääni, kuva, video ja teksti (mukaan lukien deepfake-tiedostot) on julkistettava ja merkittävä; ja ihmisille on ilmoitettava, milloin heihin sovelletaan sallittuja tunteiden tunnistus- tai biometrisiä luokittelujärjestelmiä. Nämä velvoitteet ovat nyt voimassa (katso alla oleva aikajana).

4. Minimaalinen riski

Valtaosa tekoälystä – roskapostisuodattimet, suosittelukoneet, tekoäly videopeleissä – kuuluu tähän ryhmään. Laissa ei ole sille pakollisia velvoitteita, vaikka vapaaehtoisia käytännesääntöjä kannustetaankin.

Mitä sovelletaan, kun: tekoälylain päivitetty aikajana (Digital Omnibus -säädöksen jälkeen)

Useimmilla organisaatioilla on tapana tulkita tekoälylakia väärin ajoituksen vuoksi, ja juuri siksi lakia on viime aikoina muutettu. Lakia sovelletaan vaiheittain sen voimaantulosta 1. elokuuta 2024 lähtien. Toukokuun alussa 2026 tekoälyn digitaalinen omnibus-paketti saavutti alustavan poliittisen sopimuksen, jonka jäsenvaltioiden edustajat vahvistivat 13. toukokuuta 2026. Virallinen hyväksyminen ja julkaiseminen virallisessa lehdessä ovat vielä odottamassa, mutta paketti on nyt realistinen suunnittelun lähtökohta – ja se lykkäsi riskialttiita määräaikoja.

Yllä mainitut lykätyt päivämäärät riippuvat Omnibus-asetuksen lopullisesta hyväksymisestä. Jo hyväksytyt päivämäärät ovat vakiintunutta lainsäädäntöä.

Kaksi käytännön seikkaa. Ensinnäkin läpinäkyvyysvelvoitteet eivät ole tulevaisuuden huolenaihe – ne tulivat voimaan 2. elokuuta 2026, noin viikko sitten. Markkinoilla jo olevien generatiivisten tekoälyjärjestelmien tarjoajilla on 2. joulukuuta 2026 asti aikaa saattaa nykyinen tuotanto koneellisesti luettavien merkintöjen ja vesileimausten vaatimusten mukaiseksi. Toiseksi, lisähengähdystauko korkean riskin tekoälylle on tervetullut, mutta se on lykkäys, ei armahdus: sisällölliset velvoitteet pysyvät muuttumattomina, ja valmiustyöt on parasta aloittaa nyt.

Velvollisuudet roolin mukaan

Suuririskisten järjestelmien toimittajat kantavat päävastuun. Heidän on luotava riskienhallintajärjestelmä koko järjestelmän elinkaaren ajaksi; sovellettava tiedonhallintatoimenpiteitä koulutus-, validointi- ja testausdataan; laadittava yksityiskohtainen tekninen dokumentaatio ja pidettävä se ajan tasalla; suunniteltava järjestelmät automaattista lokinnusta ja jäljitettävyyttä varten; varmistettava läpinäkyvyys ja selkeät käyttöohjeet; mahdollistettava tehokas ihmisen suorittama valvonta; ja saavutettava asianmukainen tarkkuus, luotettavuus ja kyberturvallisuus. Ennen markkinoille tuloa heidän on suoritettava asiaankuuluva vaatimustenmukaisuuden arviointi, laadittava EU-vaatimustenmukaisuusvakuutus, kiinnitettävä CE-merkintä ja rekisteröitävä järjestelmä EU:n tietokantaan. Markkinoille saattamisen jälkeinen seuranta ja vakavien vaaratilanteiden raportointi jatkuvat tämän jälkeen.

Korkean riskin järjestelmien käyttöönottajien on käytettävä järjestelmää palveluntarjoajan ohjeiden mukaisesti, nimettävä pätevä ihmisen valvonta, varmistettava syöttötietojen relevanttius, valvottava toimintaa ja pidettävä lokeja sekä ilmoitettava tarvittaessa asianosaisille henkilöille. Useissa arkaluonteisissa tilanteissa käyttöönottajien on myös suoritettava perusoikeusvaikutusten arviointi. Työnantajilla, jotka ottavat käyttöön työntekijöihin vaikuttavaa tekoälyä, on lisätiedottamisvelvollisuuksia.

Maahantuojien ja jakelijoiden on varmistettava, että toimittaja on täyttänyt velvoitteensa – vaatimustenmukaisuuden arviointi, dokumentointi, CE-merkintä – ennen järjestelmän saataville asettamista, ja niiden on toimittava (ja ilmoitettava viranomaisille), jos ne uskovat järjestelmän olevan vaatimusten vastainen.

Lain tekoälylukutaitoa koskeva velvoite (artikla 4) edellyttää organisaatioilta kaikilla tasoilla, että ne varmistavat tekoälyn kanssa työskentelevällä henkilöstöllä on riittävä ymmärrys. Omnibus-asetuksella tämän velvoitteen sanamuotoa lievennettiin, mutta taustalla oleva odotus pätevästä ja tietoon perustuvasta käytöstä säilyy.

Korkean riskin tekoälyn tekniset ja hallintovaatimukset

Korkean riskin vaatimukset muuttavat abstraktit periaatteet suunnittelu- ja hallintokäytännöiksi. Yhteenvetona voidaan todeta, että palveluntarjoajien on kyettävä osoittamaan: dokumentoitu, iteratiivinen riskienhallintaprosessi; aiottuun tarkoitukseen sopiva tiedon laatu ja hallinta, jossa otetaan huomioon puolueellisuus ja edustavuus; kattava tekninen dokumentaatio, joka on riittävä, jotta viranomaiset voivat arvioida vaatimustenmukaisuutta; tietojen tallennus automaattisen tapahtumalokin avulla; läpinäkyvyys ja käyttökelpoiset ohjeet; järjestelmään sisäänrakennettu mielekäs ihmisen valvonta; sekä osoitettavissa oleva tarkkuus, luotettavuus ja kyberturvallisuus. Yhdessä nämä muodostavat vaatimustenmukaisuuden arvioinnin näyttöpohjan – ja käytännössä materiaalin, jota sääntelyviranomainen pyytää nähtäväksi ensin.

Yleiskäyttöisen tekoälyn (GPAI) velvoitteet

Yleiskäyttöisillä tekoälymalleilla – suurilla ja monipuolisilla malleilla, jotka ovat monien loppupään sovellusten perustana – on oma järjestelmänsä artiklojen 51–55 nojalla, jota on sovellettu 2. elokuuta 2025 alkaen. Kaikkien GPAI-palveluntarjoajien on ylläpidettävä teknistä dokumentaatiota, julkaistava riittävän yksityiskohtainen yhteenveto koulutussisällöstä, otettava käyttöön tekijänoikeuskäytäntö ja tehtävä yhteistyötä arvoketjussa mallia rakentavien kanssa. Systeemistä riskiä edustaviin malleihin liittyy lisääntyneitä velvoitteita: mallien arviointi ja kilpailutestaus, systeemisen riskin arviointi ja lieventäminen, vakavien tapahtumien seuranta ja raportointi sekä vankka kyberturvallisuus. Virallisen käytännesäännöstön noudattaminen on tunnustettu tapa osoittaa vaatimustenmukaisuus.

Voimassa olevat avoimuusvelvoitteet (artikla 50)

Koska artikla 50 tuli voimaan 2. elokuuta 2026, kolme velvollisuutta vaatii nyt välitöntä huomiota. Chatbottien ja keskusteluagenttien on tehtävä selväksi, että käyttäjä on tekemisissä koneen kanssa. Tekoälyn tuottama tai manipuloitu sisältö – yleistä etua koskeva teksti sekä synteettinen ääni, kuva ja video, mukaan lukien deepfake-tiedostot – on julkistettava ja merkittävä koneellisesti luettavassa muodossa, jotta se voidaan havaita keinotekoiseksi. Ja ihmisille, jotka altistuvat sallituille tunteiden tunnistus- tai biometrisille luokittelujärjestelmille, on ilmoitettava asiasta. Organisaatioiden, jotka jo käyttävät generatiivisia tekoälyominaisuuksia, tulisi pitää 2. joulukuuta 2026 päättyvää lisäaikaa olemassa olevan tuotoksen merkitsemiselle kiinteänä sisäisenä määräaikana.

Rangaistukset ja sakot

Valvonta aiheuttaa vakavia taloudellisia riskejä, ja seuraamukset porrastetaan rikkomuksen vakavuuden mukaan:

• Kielletyt käytännöt (5 artikla): enintään 35 miljoonaa euroa tai 7 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta, sen mukaan kumpi on suurempi.
• Korkean riskin ja useimpien muiden velvoitteiden rikkomukset: jopa 15 miljoonaa euroa tai 3 % maailmanlaajuisesta vuosittaisesta liikevaihdosta.
• Virheellisten, puutteellisten tai harhaanjohtavien tietojen antaminen viranomaisille: jopa 7.5 miljoonaa euroa tai 1 % maailmanlaajuisesta vuosittaisesta liikevaihdosta.

Pk-yrityksille ja startup-yrityksille sakko on kiinteästä summasta tai prosenttiosuudesta pienempi – tämä on suhteellisuusperiaate pienemmille organisaatioille. Kansalliset markkinavalvontaviranomaiset valvovat EU:n tasolla koordinoitua lakia, ja lisäkorjaustoimenpiteitä voidaan toteuttaa kansallisen lainsäädännön nojalla.

Miten tekoälylaki sopii yhteen GDPR:n ja NIS2:n kanssa

Tekoälylaki ei ole itsenäinen säädös. Kun tekoälyjärjestelmä käsittelee henkilötietoja, GDPR:ää sovelletaan täysimääräisesti – laillinen peruste, käyttötarkoituksen rajoittaminen, rekisteröidyn oikeudet ja usein myös tietosuojaa koskeva vaikutustenarviointi. Tekoälylain perusoikeusvaikutustenarviointi ja GDPR:n tietosuojavaikutustenarviointi ovat usein päällekkäisiä, ja ne on parasta suorittaa yhdessä. Kun tekoäly tukee olennaisia ​​tai tärkeitä palveluja, NIS2-direktiivi lisää kyberturvallisuusriskien hallinta- ja tapausten raportointivelvoitteita, jotka vahvistavat tekoälylain luotettavuus- ja turvallisuusvaatimuksia. Näiden järjestelmien käsitteleminen yhtenä integroituna vaatimustenmukaisuusohjelmana – kolmen rinnakkaisen projektin sijaan – säästää vaivaa ja vähentää ristiriitaisten valvontatoimien riskiä.

Tekoälylain vaatimustenmukaisuuden tarkistuslista

• Inventoi jokainen tarjoamasi tai käyttöönottamasi tekoälyjärjestelmä, mukaan lukien sulautetut ja kolmannen osapuolen työkalut.
• Luokittele jokainen järjestelmä riskitasolle (hyväksymätön, korkea, rajoitettu, minimaalinen).
• Vahvista roolisi – toimittaja, käyttöönottaja, maahantuoja vai jakelija – kullekin järjestelmälle.
• Tarkista 5 artiklan mukaiset kiellot ja lopeta kaikki kielletty käyttö välittömästi.
• Ota nyt käyttöön chatbottien, deepfake-sisältöjen ja tekoälyn luoman sisällön läpinäkyvyystoimenpiteet ja suunnittele tulosteen merkitseminen ennen 2. joulukuuta 2026.
• Kartoita korkean riskin velvoitteet ja laadi tekninen tiedosto, riskienhallinta ja ihmisen suorittaman valvonnan mekanismit ennen joulukuun 2027 määräaikaa.
• Käsittele GPAI-tehtäviä, jos tarjoat tai hienosäädät yleiskäyttöisiä malleja.
• Tarjoa tekoälylukutaitokoulutusta asiaankuuluvalle henkilöstölle.
• Integroi GDPR:n ja NIS2:n kanssa — yhdenmukaista tietosuojavaikutusten arvioinnit, vaikutustenarvioinnit ja tietoturvakontrollit.
• Määritä hallinnointi – selkeä omistajuus, dokumentointi ja valvonta – ja pidä tiedot auditointivalmiina.

Usein kysyttyjä kysymyksiä

Onko EU:n tekoälylaki jo voimassa?

Kyllä. Asetus (EU) 2024/1689 tuli voimaan 1. elokuuta 2024 ja sitä sovelletaan vaiheittain. Kiellot ja tekoälylukutaitoa koskevat velvoitteet tulivat voimaan 2. helmikuuta 2025, GPAI ja hallintosäännöt 2. elokuuta 2025 ja avoimuusvelvoitteet 2. elokuuta 2026.

Milloin riskialttiita tuotteita koskevat säännöt tulevat voimaan?

Tekoälyä koskevan digitaalisen omnibus-asetuksen jälkeen liitteen III järjestelmien korkean riskin velvoitteiden odotetaan astuvan voimaan 2. joulukuuta 2027 ja liitteen I säänneltyihin tuotteisiin upotetun tekoälyn velvoitteiden 2. elokuuta 2028. Nämä lykätyt päivämäärät riippuvat omnibus-asetuksen lopullisesta hyväksymisestä.

Koskevatko läpinäkyvyyssäännöt chatbottiani tänään?

Kyllä. Käyttäjille on 2. elokuuta 2026 lähtien kerrottava, että he ovat vuorovaikutuksessa tekoälyn kanssa, ja tekoälyn tuottama tai manipuloima sisältö on paljastettava ja merkittävä. Olemassa olevan generatiivisen tekoälyn tuotoksen on täytettävä merkintävaatimukset 2. joulukuuta 2026 mennessä.

Mitkä ovat enimmäissakot?

Jopa 35 miljoonaa euroa tai 7 % maailmanlaajuisesta vuotuisesta liikevaihdosta kiellettyjen käytäntöjen osalta; jopa 15 miljoonaa euroa tai 3 % korkean riskin rikkomusten osalta; ja jopa 7.5 miljoonaa euroa tai 1 % virheellisten tai puutteellisten tietojen osalta. Pk-yritykset maksavat kiinteästä summasta tai prosenttiosuudesta sen, kumpi on pienempi.

Koskeeko tekoälylakia EU:n ulkopuolisia yrityksiä?

Kyllä, kun tekoälyjärjestelmä saatetaan EU:n markkinoille tai sen tuotosta käytetään EU:ssa – vaikka palveluntarjoaja tai käyttöönottaja olisi sijoittautunut muualle.

Avaimet

• EU:n tekoälylaki on asetus (EU) 2024/1689, joka tuli voimaan 1. elokuuta 2024 ja jota sovelletaan vaiheittain.
• Läpinäkyvyysvelvoitteet (artikla 50) astuvat voimaan 2. elokuuta 2026; olemassa oleva generatiivisen tekoälyn tuotos on merkittävä 2. joulukuuta 2026 mennessä.
• Digitaalinen omnibus-asetus lykkäsi riskialttiiden asioiden määräaikoja 2. joulukuuta 2027 (liite III) ja 2. elokuuta 2028 (liite I) – lopullisen hyväksynnän jälkeen.
• Sakot ovat 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta liikevaihdosta; pk-yritykset maksavat pienemmän summan.
• Laki toimii rinnakkain GDPR:n ja NIS2:n kanssa – vaatimustenmukaisuus suunnitellaan yhtenä integroituna ohjelmana.

Hanki tekoälylain valmiustarkistus

Tekoälylaki palkitsee organisaatioita, jotka toimivat aikaisin – ja sen läpinäkyvyyssäännöt ovat jo tehokkaita. Teknologia- ja yksityisyyslakimiehet Law & More auttaa palveluntarjoajia ja käyttöönottajia luokittelemaan järjestelmänsä, korjaamaan kiellettyjä tai vaatimustenvastaisia ​​käyttötarkoituksia, täyttämään reaaliaikaisen läpinäkyvyyden velvoitteet ja rakentamaan puolustuskelpoisen polun vuoden 2027 korkean riskin määräaikaan, täysin GDPR:n ja NIS2:n mukaisesti. Ota yhteyttä Law & More tekoälylain valmiustarkistusta varten ja muuttaa liikkuva sääntelytavoite selkeäksi, priorisoiduksi toimintasuunnitelmaksi.