EU:n tekoälylaki: mitä sovelletaan nyt ja mitä lykätään

EU:n tekoälylakia, asetus (EU) 2024/1689, on sovellettu vaiheittain sen voimaantulosta 1. elokuuta 2024 lähtien: kiellot, yleiskäyttöisiä tekoälymalleja koskevat säännöt sekä chatbotteja ja tekoälyn tuottamaa sisältöä koskevat avoimuusvelvoitteet ovat jo voimassa. Tiukin säännös, joka koskee korkean riskin tekoälyä, on lykätty tekoälyasetusta koskevalla asetuksella 2. joulukuuta 2027 asti liitteessä III lueteltujen järjestelmien osalta ja 2. elokuuta 2028 asti säänneltyjen tuotteiden tekoälyn osalta.

Tekoälyä koskeva omnibus-asetus (EU) 2026/1744 julkaistiin virallisessa lehdessä heinäkuussa 2026, ja se on nyt voimassa. Lykätyt päivämäärät ovat siis vakiintunutta lainsäädäntöä, eivät suunnitteluoletuksia. Seuraavaksi selitämme, mitä tekoälylaki edellyttää, keitä se sitoo, mitä sovelletaan tänään ja miten voit valmistautua.

Mikä on EU:n tekoälylaki?

Tekoälylaki on riskiperusteinen EU-asetus: mitä suurempi riski tekoälyjärjestelmä aiheuttaa, sitä raskaampia velvoitteet ovat. Se on suoraan sovellettavissa Alankomaissa ilman, että Alankomaiden ydinsäännöt edellyttäisivät täytäntöönpanolainsäädäntöä.

Tavoite on kaksitahoinen. Laki suojelee terveyttä, turvallisuutta ja perusoikeuksia ja antaa yrityksille oikeusvarmuutta, jotta luotettavaa tekoälyä voidaan kehittää ja käyttää kaikkialla sisämarkkinoilla.

Laki määrittelee tekoälyjärjestelmän laajasti OECD:n lähestymistavan mukaisesti. Se on konepohjainen järjestelmä, joka toimii jossain määrin itsenäisesti, voi mukautua käyttöönoton jälkeen ja saamiensa tietojen perusteella päättelee, miten tuottaa fyysisiin tai virtuaalisiin ympäristöihin vaikuttavia tuotoksia, kuten ennusteita, sisältöä, suosituksia tai päätöksiä. Tämä laaja määritelmä kattaa nykyaikaiset koneoppimismallit, mukaan lukien generatiivisen ja yleiskäyttöisen tekoälyn. Yksinkertainen sääntöpohjainen ohjelmisto, joka noudattaa vain ihmisten kirjoittamia ohjeita, jää yleensä sen ulkopuolelle.

Koskeeko tekoälylakia organisaatiotasi?

Todennäköisesti, jos kehität, myyt tai käytät tekoälyjärjestelmiä ammatillisessa yhteydessä EU:ssa. Laki koskee myös EU:n ulkopuolisia yrityksiä, kun niiden järjestelmä saatetaan EU:n markkinoille tai sen tuotosta käytetään EU:ssa.

Yhdysvaltalainen tai brittiläinen yritys, joka palvelee eurooppalaisia ​​asiakkaita, voi siksi kuulua lain soveltamisalaan. Laissa erotetaan toisistaan ​​useita rooleja, joilla kullakin on omat velvollisuutensa:

• Palveluntarjoajat kehittävät tekoälyjärjestelmän tai yleiskäyttöisen tekoälymallin ja saattavat sen markkinoille tai ottavat käyttöön omalla nimellään tai tavaramerkillään. Heillä on raskaimmat velvoitteet.
• Käyttöönottajat käyttävät tekoälyjärjestelmää vastuullaan ammatillisessa yhteydessä, esimerkiksi työnantaja käyttää tekoälytyökalua työnhakijoiden seulontaan. Puhtaasti henkilökohtainen, ei-ammattimainen käyttö ei kuulu näiden velvoitteiden piiriin.
• Maahantuojat ja jakelijat tuovat kolmannen osapuolen järjestelmän EU:n markkinoille tai asettavat sen saataville toimitusketjussa alempana, ja heidän on tarkistettava, että toimittaja on täyttänyt velvoitteensa.
• Tuotevalmistajat ja joissakin tapauksissa EU:n ulkopuolisten palveluntarjoajien valtuutetut edustajat voivat ottaa hoitaakseen palveluntarjoajien velvoitteita.

Roolisi voi muuttua. Käyttöönottajasta, joka muokkaa merkittävästi riskialtista järjestelmää tai markkinoi sitä omalla nimellään, tulee palveluntarjoaja ja ottaa vastuulleen tiukemmat tehtävät. Tarkista tämä ennen kuin mukautat toimittajalta ostettua järjestelmää.

Miten tekoälylaki luokittelee riskin?

Laki käsittelee neljää riskitasoa: kielletyt käytännöt, korkea riski, rajoitettu riski läpinäkyvyysvelvoitteineen ja minimaalinen riski. Taso riippuu järjestelmän käyttötarkoituksesta, ei sen taustalla olevasta teknologiasta.

Kielletyt käytännöt

Jotkin käyttötavat on kokonaan kielletty 5 artiklan nojalla, ja nämä kiellot ovat olleet voimassa 2. helmikuuta 2025 alkaen. Näihin kuuluvat manipuloivat tai harhaanjohtavat tekniikat, jotka vääristävät olennaisesti käyttäytymistä ja aiheuttavat merkittävää haittaa, sekä ikään, vammaisuuteen tai sosioekonomiseen tilanteeseen liittyvien haavoittuvuuksien hyödyntäminen. Kiellettyjä ovat myös sosiaalinen pisteytys, kasvokuvien kohdentamaton kaapiminen tunnistustietokantojen rakentamiseksi, tunteiden tunnistaminen työpaikalla ja koulutuksessa (paitsi lääketieteellisistä tai turvallisuussyistä) sekä biometrinen luokittelu, joka päättelee arkaluonteisia ominaisuuksia, kuten uskontoa tai seksuaalista suuntautumista.

Reaaliaikainen biometrinen etätunnistus julkisissa tiloissa lainvalvontatarkoituksiin on kielletty, lukuun ottamatta rajoitettuja poikkeuksia ja suojatoimia. Tekoälyasetus lisää uuden kiellon tekoälyjärjestelmille, jotka tuottavat lasten seksuaaliseen hyväksikäyttöön liittyvää materiaalia tai tunnistettavissa olevien henkilöiden intiimejä kuvia ilman suostumusta.

Suuri riski

Korkean riskin järjestelmät ovat sallittuja, mutta niitä säännellään tiukasti. On olemassa kaksi ryhmää. Liite I kattaa tekoälyn, joka on EU:n tuotelainsäädännön jo sääntelemän tuotteen turvallisuuskomponentti tai itsessään sellainen tuote, kuten lääkinnälliset laitteet, koneet, hissit ja lelut. Liitteessä III luetellaan itsenäisiä käyttötarkoituksia herkillä aloilla: biometriikka, kriittinen infrastruktuuri, koulutus, työllisyys ja henkilöstöhallinto, pääsy keskeisiin julkisiin ja yksityisiin palveluihin, kuten luotto- ja vakuutuspalveluihin, lainvalvonta, maahanmuutto ja rajavalvonta sekä oikeudenkäyttö ja demokraattiset prosessit.

Liitteessä III lueteltu järjestelmä ei ole suuririskinen, jos se suorittaa vain suppean prosessuaalisen tai valmistelutehtävän eikä vaikuta olennaisesti päätöksen lopputulokseen. Tämä poikkeus on rajattu tiukasti, ja siihen turvautuvan palveluntarjoajan on dokumentoitava arviointinsa.

Rajoitettu riski: läpinäkyvyys

Jotkin järjestelmät eivät ole riskialttiita, mutta ne voivat johtaa ihmisiä harhaan. Niillä on avoimuusvelvollisuus artiklan 50 nojalla. Ihmisille on kerrottava, kun he ovat vuorovaikutuksessa chatbotin kanssa, tekoälyn tuottama tai manipuloitu sisältö on paljastettava ja merkittävä, ja ihmisille on ilmoitettava, kun he altistuvat sallitulle tunnetunnistukselle tai biometriselle luokittelulle.

Pieni riski

Suurin osa tekoälystä, kuten roskapostisuodattimet, suosittelukoneet ja videopelien tekoäly, kuuluu tähän kategoriaan. Laki ei aseta tässä erityisiä velvoitteita, vaikka vapaaehtoisia käytännesääntöjä kannustetaankin, ja 4 artiklan yleinen tekoälylukutaitovelvoite on edelleen voimassa.

Milloin velvoitteet tulevat voimaan?

Lakia sovelletaan vaiheittain. Kiellot, tekoälylukutaitovelvoite, yleiskäyttöistä tekoälyä koskevat säännöt ja avoimuusvelvoitteet ovat jo voimassa; korkean riskin säännöt tulevat voimaan joulukuussa 2027 ja elokuussa 2028.

Seuraavassa on kaksi käytännön seikkaa. Ensinnäkin läpinäkyvyysvelvoitteet eivät ole tulevaisuuden ongelma: ne ovat olleet voimassa 2. elokuuta 2026 alkaen. Vain niillä generatiivisten tekoälyjärjestelmien tarjoajilla, jotka olivat jo markkinoilla ennen kyseistä päivämäärää, on 2. joulukuuta 2026 asti aikaa täyttää koneellisesti luettavien merkintöjen vaatimus. 2. elokuuta 2026 jälkeen markkinoille saatetuilla järjestelmillä ei ole lisäaikaa.

Toiseksi, lisäaika korkean riskin tekoälylle on lykkäystä, ei poikkeusta. Aineelliset velvoitteet eivät ole muuttuneet, ja teknisen tiedoston, riskienhallintajärjestelmän ja ihmisen suorittaman valvonnan rakentaminen vie kuukausia. On järkevää aloittaa nyt.

Mitä palveluntarjoajien, käyttöönottajien ja tuojien on tehtävä?

Suuririskisten järjestelmien toimittajat kantavat päävastuun ja heidän on osoitettava vaatimustenmukaisuus ennen järjestelmän pääsyä markkinoille. Käyttöönottajien on käytettävä järjestelmää asianmukaisesti, valvottava sitä ja tiedotettava siitä asianosaisille.

Korkean riskin järjestelmien toimittajien on perustettava koko elinkaaren kattava riskienhallintajärjestelmä, sovellettava tiedonhallintaa koulutus-, validointi- ja testidataan sekä laadittava ja ylläpidettävä teknistä dokumentaatiota. Heidän on suunniteltava järjestelmä automaattista lokinnusta varten, annettava selkeät käyttöohjeet, mahdollistettava tehokas ihmisen suorittama valvonta ja saavutettava asianmukainen tarkkuus, kestävyys ja kyberturvallisuus. Ennen järjestelmän markkinoille saattamista he suorittavat vaatimustenmukaisuuden arvioinnin, laativat EU-vaatimustenmukaisuusvakuutuksen, kiinnittävät CE-merkinnän ja rekisteröivät järjestelmän EU:n tietokantaan. Tämän jälkeen he seuraavat järjestelmää markkinoilla ja raportoivat vakavista vaaratilanteista.

Korkean riskin järjestelmien käyttöönottajien on käytettävä järjestelmää palveluntarjoajan ohjeiden mukaisesti, annettava pätevälle henkilöstölle inhimittymävalvonta, varmistettava, että syöttötiedot ovat relevantteja, valvottava toimintaa ja pidettävä lokeja. Tarvittaessa heidän on ilmoitettava asiasta asianomaisille henkilöille. Julkisten elinten ja tiettyjen yksityisten käyttöönottajien, esimerkiksi luottoluokituksen ja vakuutusten hinnoittelun parissa, on tehtävä perusoikeusvaikutusten arviointi. Työnantajien on ilmoitettava työntekijöille ja heidän edustajilleen ennen kuin he ottavat korkean riskin järjestelmän käyttöön työpaikalla.

Maahantuojien ja jakelijoiden on tarkistettava, että toimittaja on suorittanut vaatimustenmukaisuuden arvioinnin, toimittanut dokumentaation ja kiinnittänyt CE-merkinnän ennen järjestelmän saataville asettamista. Jos he katsovat, että järjestelmä ei ole vaatimusten mukainen, he eivät saa toimittaa sitä ja heidän on ilmoitettava asiasta toimittajalle ja tarvittaessa viranomaisille.

Artiklan 4 mukainen tekoälylukutaitovelvoite koskee kaikkia palveluntarjoajia ja käyttöönottajia. Tekoälyasetus on pehmentänyt sanamuotoa: organisaatioiden on nyt ryhdyttävä toimenpiteisiin tukeakseen riittävää tekoälylukutaitoa henkilöstönsä keskuudessa. Odotus siitä, että tekoälyn kanssa työskentelevät ihmiset ymmärtävät, mitä se tekee ja missä se voi mennä pieleen, on edelleen voimassa.

Mitkä tekniset vaatimukset koskevat korkean riskin tekoälyä?

Palveluntarjoajan on kyettävä osoittamaan seitsemän asiaa: riskienhallinta, tiedon laatu, tekninen dokumentaatio, lokinkäsittely, läpinäkyvyys, ihmisen suorittama valvonta sekä tarkkuus, luotettavuus ja kyberturvallisuus. Yhdessä ne muodostavat todisteet vaatimustenmukaisuuden arvioinnille.

Riskienhallinnan on oltava dokumentoitu ja toistuva prosessi, ei kertaluonteinen toimenpide. Käytettävien tietojen on oltava aiottuun tarkoitukseen sopivia, ja niissä on otettava huomioon puolueellisuus ja edustavuus. Teknisen dokumentaation on oltava riittävän yksityiskohtaista, jotta viranomainen voi arvioida vaatimustenmukaisuutta. Tapahtumat on kirjattava automaattisesti, jotta järjestelmän toiminta voidaan jäljittää.

Käyttöohjeiden on oltava sellaisia, että käyttöönottaja ymmärtää ja käyttää järjestelmää oikein. Järjestelmään on suunniteltava ihmisen valvontaa, jotta henkilö voi ymmärtää tulosteen, puuttua siihen ja pysäyttää järjestelmän. Lopuksi palveluntarjoajan on osoitettava asianmukainen tarkkuus, kestävyys ja kyberturvallisuus. Käytännössä tämä on materiaali, jota sääntelyviranomainen pyytää nähdä ensin.

Mitä pätee yleiskäyttöisiin tekoälymalleihin?

Yleiskäyttöisten tekoälymallien (GPAI) tarjoajilla on ollut omat velvoitteensa 2. elokuuta 2025 alkaen. Systeemisen riskin malleilla on lisävelvollisuuksia.

Artiklojen 53–55 nojalla kaikkien GPAI-palveluntarjoajien on ylläpidettävä teknistä dokumentaatiota, julkaistava riittävän yksityiskohtainen yhteenveto koulutuksessa käytetystä sisällöstä, laadittava käytäntö EU:n tekijänoikeuslainsäädännön noudattamiseksi ja annettava tietoja mallia käyttäville yrityksille. Systeemisen riskin mallien tarjoajien on myös arvioitava mallinsa, mukaan lukien kontradiktorinen testaus, arvioitava ja lievennettävä systeemisiä riskejä, seurattava ja raportoitava vakavista vaaratilanteista sekä varmistettava vahva kyberturvallisuus. Virallisen yleiskäyttöisen tekoälyn käytännesääntöjen noudattaminen on tunnustettu tapa osoittaa vaatimustenmukaisuus. Euroopan komission tekoälytoimisto valvoo näitä palveluntarjoajia suoraan.

Mitkä avoimuusvelvoitteet ovat nyt voimassa?

2. elokuuta 2026 alkaen artikla 50 edellyttää, että ihmiset tietävät, milloin he ovat tekemisissä tekoälyn kanssa. Tämä koskee chatbotteja, tekoälyn luomaa sisältöä ja deepfakeja sekä tunteiden tunnistusta ja biometristä luokittelua.

Chatbottien ja keskusteluagenttien tarjoajien on tehtävä selväksi, että käyttäjä on vuorovaikutuksessa koneen kanssa, ellei se ole ilmeistä. Synteettistä ääntä, kuvia, videota tai tekstiä tuottavien järjestelmien tarjoajien on merkittävä tuloste koneellisesti luettavaan muotoon, jotta se voidaan havaita keinotekoiseksi. Syväväärennöksiä julkaisevien käyttäjien on ilmoitettava, että sisältö on keinotekoisesti luotu tai manipuloitu, ja tekoälyn luomaa tekstiä yleisen edun mukaisista asioista julkaisevien käyttäjien on ilmoitettava tästä, ellei joku henkilö ole tarkistanut sitä ja kanta toimituksellista vastuuta. Sallitun tunnetunnistuksen tai biometrisen luokittelun käyttöönottajien on ilmoitettava asiasta niille altistuville henkilöille.

Jos tarjoat jo generatiivisia tekoälyominaisuuksia, pidä 2. joulukuuta 2026 sitovana määräaikana sellaisten järjestelmien tulosten merkitsemiselle, jotka olivat markkinoilla ennen 2. elokuuta 2026.

Mitä sakkoja tekoälylain nojalla määrätään?

Artiklan 99 nojalla kiellettyjen käytäntöjen sakot ovat jopa 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta. Pienten ja keskisuurten yritysten osalta sovelletaan näistä kahdesta pienempää määrää.

• Kielletyt käytännöt (5 artikla): enintään 35 miljoonaa euroa tai 7 % vuotuisesta maailmanlaajuisesta liikevaihdosta sen mukaan, kumpi on suurempi.
• Useimpien muiden velvoitteiden rikkominen, mukaan lukien korkean riskin vaatimukset ja avoimuusvelvoitteet: jopa 15 miljoonaa euroa tai 3 % maailmanlaajuisesta vuotuisesta liikevaihdosta.
• Virheellisten, puutteellisten tai harhaanjohtavien tietojen toimittaminen ilmoitetuille laitoksille tai viranomaisille: enintään 7.5 miljoonaa euroa tai 1 % vuotuisesta maailmanlaajuisesta liikevaihdosta.

Pk-yritysten ja startup-yritysten osalta sakko on rajattu kiinteään määrään tai prosenttiosuuteen sen mukaan, kumpi niistä on pienempi. AI Omnibus -asetus laajentaa useita näistä helpotuksista koskemaan myös pieniä keskisuuria yrityksiä. Sakot eivät ole ainoa väline: markkinavalvontaviranomaiset voivat vaatia korjaavia toimia, rajoittaa tai kieltää järjestelmän saataville asettamisen ja määrätä sen poistamisen markkinoilta tai takaisinkutsun.

Miten tekoälylaki liittyy GDPR:ään ja Cyberbeveiligingswetiin?

Tekoälylaki täydentää olemassa olevaa lainsäädäntöä. Jos tekoälyjärjestelmäsi käsittelee henkilötietoja, GDPR:ää sovelletaan täysimääräisesti, ja jos tarjoat olennaisia ​​tai tärkeitä palveluita, myös Alankomaiden kyberturvallisuuslakia sovelletaan.

GDPR:n nojalla tarvitset laillisen perusteen, sinun on kunnioitettava käyttötarkoitusrajoitusta ja rekisteröidyn oikeuksia, ja sinun on usein tehtävä tietosuojaa koskeva vaikutustenarviointi (DPIA). Tekoälylain mukainen perusoikeusvaikutustenarviointi ja DPIA ovat päällekkäisiä, joten on tehokasta suorittaa ne yhdessä.

Kyberturvallisuuslaki (Cyberbeveiligingswet), jolla pannaan täytäntöön EU:n NIS2-direktiivi, on ollut voimassa Alankomaissa 15. elokuuta 2026 alkaen. Se lisää riskienhallinta- ja tapausten raportointivelvoitteita olennaisille ja tärkeille toimijoille, mikä vahvistaa tekoälylain vaatimuksia luotettavuudesta ja turvallisuudesta. Näitä järjestelmiä tulisi käsitellä yhtenä vaatimustenmukaisuusohjelmana kolmen erillisen projektin sijaan: se säästää vaivaa ja välttää ristiriitaisia ​​​​valvontatoimia.

Kuka valvoo tekoälylakia Alankomaissa?

Yleiskäyttöisiä tekoälymalleja valvoo Brysselin tekoälytoimisto; kaikkea muuta valvovat kansalliset markkinavalvontaviranomaiset. Alankomaissa näiden viranomaisten nimeämistä koskeva laki on vielä lainsäädäntöprosessissa.

EU-tasolla Euroopan komission tekoälytoimisto valvoo yleiskäyttöisiä tekoälymalleja suoraan ja kehittää ohjeita ja käytännesääntöjä. Se tekee yhteistyötä Euroopan tekoälylautakunnan, jossa jäsenvaltiot ovat edustettuina, ja riippumattoman tieteellisen paneelin kanssa. AI Omnibus -säädös on laajentanut tekoälytoimiston valtuuksia koskemaan tekoälyjärjestelmiä, jotka perustuvat palveluntarjoajan omaan GPAI-malliin, ja tekoälyä, joka on integroitu erittäin suuriin verkkoalustoihin ja hakukoneisiin. Ilmoitetut laitokset suorittavat kolmannen osapuolen vaatimustenmukaisuuden arviointeja lain niin edellyttäessä.

Tekoälylakia sovelletaan suoraan, joten yrityksiä sitovat jo sovellettavat osat. Alankomaiden laki, joka nimeää valvojat ja heidän toimivaltansa, ei kuitenkaan ole vielä tullut voimaan, ja lopullinen jako voi vielä muuttua. Tähän mennessä ehdotettu malli on hybridimalli. Olemassa olevista toimialakohtaisista sääntelyviranomaisista tulee markkinavalvontaviranomaisia ​​omilla aloillaan, joten terveydenhuollon tekoäly kuuluu terveydenhuollon tarkastusviranomaisen vastuulle ja työpaikan tekoäly työsuojeluviranomaisen vastuulle. Alankomaiden tietosuojaviranomaisella (Autoriteit Persoonsgegevens, AP) ja Alankomaiden digitaalisen infrastruktuurin viranomaisella (Rijksinspectie Digitale Infrastructuur, RDI) on koordinoiva rooli, ja AP toimii jäännösvalvojana korkean riskin järjestelmille, joilla ei ole selvää toimialakohtaista sääntelyviranomaista.

Yritysten kannalta käytännön kysymys ei siis ole ainoastaan ​​se, onko järjestelmä riskialtis, vaan myös se, mikä sääntelyviranomainen sitä tarkastelee.

Mitä väärinkäsityksiä sinun tulisi välttää?

Lähes jokaisessa ensimmäisessä tekoälylakia koskevassa keskustelussa nousee esiin viisi väärinkäsitystä. Jokainen niistä johtaa siihen, että organisaatiot panostavat väärään paikkaan.

Ensimmäinen on se, että laki kieltää tai lisensoi tekoälyn yleisesti. Se ei tee kumpaakaan. Tiukan säännöstön laukaisee järjestelmän tarkoitus, ei sen taustalla oleva teknologia.

Toinen on se, että ihmisen allekirjoitus poistaa korkean riskin merkinnän. Se ei poista sitä. Kapeita menettely- tai valmistelutehtäviä koskeva poikkeus on tiukasti rajattu. Työkalu, joka luokittelee työnhakijat tai valitsee tiedostot tarkempaan tarkasteluun, vaikuttaa päätökseen, vaikka henkilö allekirjoittaisi sen. Kumileimasin ei ole ihmisen valvontaa eikä poista järjestelmää liitteen III ulkopuolelle.

Kolmas on se, että vain kehittäjiä säännellään. Käyttöönottajan velvoitteet ovat todellisia ja täytäntöönpanokelpoisia järjestelmää käyttävää organisaatiota vastaan. Useita niistä, kuten työntekijöiden ja heidän edustajiensa tiedottamista, pätevän valvonnan osoittamista ja lokien pitämistä, ei voida siirtää toimittajalle.

Neljäs on se, että kaikki jo käytössä oleva on vapautettu säännöksestä. Artiklan 111 nojalla ennen korkean riskin sääntöjen voimaantuloa markkinoille saatetut korkean riskin järjestelmät kuuluvat periaatteessa sääntöjen piiriin vain, jos niiden suunnittelu muuttuu merkittävästi jälkikäteen. Tämä poikkeus on suppeampi kuin miltä se kuulostaa: päivitykset, uudelleenkoulutus ja uudet käyttötarkoitukset ovat juuri sellaisia ​​muutoksia, jotka palauttavat järjestelmän soveltamisalaan. Viranomaisten käyttämien järjestelmien on oltava vaatimusten mukaisia ​​2. elokuuta 2030 mennessä joka tapauksessa. Jos aiot luottaa siirtymäsääntöön, dokumentoi nykyinen kokoonpano nyt.

Viides on se, että tekoälylaki korvaa olemassa olevan lain. Se on sen päällä. Tietosuojaa, yhdenvertaista kohtelua, kuluttajansuojaa, toimialakohtaista sääntelyä, työlainsäädäntöä ja yritysneuvoston (ondernemingsraad) oikeuksia sovelletaan edelleen täysimääräisesti. Alankomaissa yleensä jokin näistä, ei itse tekoälylaki, tuottaa ensimmäisen konkreettisen valituksen. Esimerkiksi yritysneuvostolain (Wet op de ondernemingsraden) 27 §:n 1 momentin l kohdan nojalla henkilöstön valvontajärjestelmän käyttöönotto edellyttää yritysneuvoston suostumusta.

Miten tekoälylakiin valmistaudutaan?

Aloita tekemällä luettelo tarjoamastasi tai käyttämästäsi tekoälystä ja määritä järjestelmäkohtainen riskitaso ja roolisi. Käsittele sitten ensin kiellettyjä käyttötarkoituksia ja läpinäkyvyyttä, koska kyseiset säännöt ovat jo voimassa.

• Listaa kaikki tarjoamasi tai käyttämäsi tekoälyjärjestelmät, mukaan lukien kolmannen osapuolen ohjelmistoihin sisäänrakennettu tekoäly.
• Luokittele kukin järjestelmä: kielletty, korkean riskin, avoimuusvelvollisuuden mukainen tai minimaalisen riskin omaava.
• Määritä roolisi kullekin järjestelmälle: toimittaja, käyttöönottaja, maahantuoja vai jakelija.
• Lopeta kaikki käyttö, joka kuuluu artiklan 5 kieltojen piiriin.
• Sovella chatbottien, deepfakejen ja tekoälyn luoman sisällön läpinäkyvyystoimenpiteitä ja suunnittele tulosteen merkitseminen ennen 2. joulukuuta 2026.
• Korkean riskin järjestelmien osalta laadi tekninen tiedosto, riskienhallinta ja ihmisen valvonta ennen joulukuuta 2027.
• Tarkista GPAI-velvoitteet, jos kehität tai muokkaat olennaisesti yleiskäyttöisiä malleja.
• Ryhdy toimenpiteisiin tekoälylukutaidon tukemiseksi asianomaisen henkilöstön keskuudessa.
• Yhdenmukaista tietosuoja-arviointisi, perusoikeusvaikutustenarviointisi ja turvatoimenpiteesi GDPR:n ja Cyberbeveiligingswet-lain kanssa.
• Määritä omistajuus, dokumentointi ja valvonta ja pidä asiakirjasi valmiina tarkastusta varten.

Ota työpaikkaneuvosto mukaan varhaisessa vaiheessa, jos tekoäly vaikuttaa työntekijöihin. Sen suostumus saatetaan vaatia, ja myöhäinen suostumuspyyntö voi viivästyttää järjestelmän käyttöönottoa kuukausilla.

Yhteenvetona

• EU:n tekoälylaki (asetus (EU) 2024/1689) on ollut voimassa 1. elokuuta 2024 alkaen, ja sitä sovelletaan vaiheittain.
• Kiellot, tekoälyosaaminen, GPAI-säännöt ja avoimuusvelvoitteet ovat jo voimassa; vanhempien generatiivisten järjestelmien tuotosten merkitseminen on määrä tehdä 2. joulukuuta 2026 mennessä.
• Tekoälyä koskevassa Omnibus-asetuksessa (asetus (EU) 2026/1744) on lykätty korkean riskin sääntöjä 2. joulukuuta 2027 (liite III) ja 2. elokuuta 2028 (liite I).
• Sakot ovat jopa 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta liikevaihdosta; pk-yritysten osalta sovelletaan alhaisempaa määrää.
• Tekoälylaki täydentää GDPR:ää, kyberturvallisuuslakia ja työlainsäädäntöä; suunnittele vaatimustenmukaisuus yhdeksi ohjelmaksi.

Usein kysyttyjä kysymyksiä

Teknologia- ja yksityisyysjuristit Law & More auttaa palveluntarjoajia ja käyttöönottajia luokittelemaan järjestelmänsä, mukauttamaan kiellettyjä tai vaatimustenvastaisia ​​käyttötarkoituksia, täyttämään avoimuusvelvoitteet ja valmistautumaan korkean riskin sääntöihin GDPR:n mukaisesti. Voit lukea koko tekstin Tekoälylaki EUR-Lexissä, Ja meidän Alankomaiden IT- ja yksityisyyslainsäädännön oppaiden hakemisto listaa kaiken, mitä olemme tästä aiheesta kirjoittaneet. Etkö ole varma, missä mennään? Kerro meille tilanteestasi. Kerromme sinulle vaihtoehdoistasi yhden arkipäivän kuluessa.

Miten Law & More voi auttaa sinua tässä, selitetään meidän IT-lakimies sivu.