Korkean riskin tekoälyjärjestelmät ovat eurooppalaisen tekoälyasetuksen ( asetus (EU) 2024/1689 ), jota yleisesti kutsutaan tekoälylaiksi, keskipisteessä. Asetus ottaa käyttöön riskiperusteisen kehyksen tekoälyjärjestelmien kehittämiselle, toimittamiselle ja käytölle. Mitä suurempi on riski terveydelle, turvallisuudelle ja perusoikeuksille, sitä raskaampia ovat velvoitteet.
Organisaatioiden osalta vaatimustenmukaisuus ei siis ala teknisen dokumentaation laatimisesta, vaan oikeasta luokittelusta. Ensin on selvitettävä, mitä tekoälyjärjestelmiä organisaatiossa kehitetään, hankitaan tai käytetään. Sen jälkeen on arvioitava, onko järjestelmä kielletty , korkean riskin, avoimuusvelvoitteiden alainen vai onko se jonkin erityisvelvoitteen ulkopuolella.
Tässä artikkelissa esitetään, milloin tekoälyjärjestelmä voidaan luokitella korkean riskin järjestelmäksi, mitkä velvoitteet koskevat palveluntarjoajia ja käyttöönottajia ja mitä toimenpiteitä organisaatiot voivat nyt tehdä. Se kattaa myös nykyisen aikataulun, mukaan lukien Digital Omnibus -prosessin muutokset. Artikkelin viitepäivämäärä on 25. heinäkuuta 2026.
Milloin tekoälyjärjestelmä on riskialtis?
Korkean riskin tekoälyjärjestelmien arviointi tehdään pääasiassa tekoälylain 6 artiklan ja liitteiden I ja III nojalla. On olemassa kaksi reittiä.
Ensimmäinen reitti koskee tekoälyjärjestelmiä, jotka ovat osa liitteessä I luetellun eurooppalaisen tuotelainsäädännön piiriin kuuluvia tuotteita ja jotka edellyttävät kolmannen osapuolen suorittamaa vaatimustenmukaisuuden arviointia. Ajatellaanpa esimerkiksi tiettyjä lääkinnällisiä laitteita, koneita, hissejä ja leluja. Näiden järjestelmien osalta tekoälylaki perustuu olemassa olevaan vaatimustenmukaisuuden arviointimenettelyyn.
Toinen reitti koskee tekoälyjärjestelmiä, joita käytetään liitteessä III luetelluilla aloilla: biometriikka, kriittinen infrastruktuuri, koulutus ja ammatillinen koulutus, työllisyys ja työvoiman hallinta, pääsy keskeisiin yksityisiin ja julkisiin palveluihin, lainvalvonta, maahanmuutto, turvapaikka-asiat ja rajavalvonta sekä oikeudenkäyttö ja demokraattiset prosessit. Kaikki käyttö tällaisella alalla ei automaattisesti johda luokitteluun korkean riskin tekoälyjärjestelmiksi: on myös arvioitava järjestelmän erityinen tehtävä ja 6 artiklan ehdot.
Artiklan 6(3) mukainen poikkeus
Liitteen III toimialueeseen kuuluvaa järjestelmää ei automaattisesti lasketa korkean riskin tekoälyjärjestelmiksi: tämä luokittelu suljetaan pois, jos se ei aiheuta merkittävää riskiä henkilöiden terveydelle, turvallisuudelle tai perusoikeuksille eikä vaikuta olennaisesti päätöksenteon lopputulokseen. Näin voi olla silloin, kun järjestelmä suorittaa vain suppean prosessuaalisen tehtävän, ainoastaan parantaa ihmisen jo suorittamaa toimintaa, ainoastaan merkitsee poikkeamia aiemmasta ihmisen päätöksenteosta korvaamatta kyseistä arviointia tai suorittaa pelkästään valmistelevan tehtävän.
Tämän poikkeuksen käyttö on perusteltava ja dokumentoitava huolellisesti. Organisaation on kirjattava paitsi johtopäätös myös tosiasiat ja arvio, johon johtopäätös perustuu. Palveluntarjoajan, joka katsoo, että liitteen III mukainen järjestelmä ei kuulu suuririskisiin tekoälyjärjestelmiin, on dokumentoitava kyseinen arviointi ennen järjestelmän markkinoille saattamista tai käyttöönottoa, ja siihen sovelletaan lisäksi 49(2) artiklan mukaista rekisteröintivelvollisuutta.
Yhdessä kohdassa asetus on ehdoton. Artiklan 6(3) mukaan liitteessä III tarkoitettu tekoälyjärjestelmä lasketaan aina korkean riskin tekoälyjärjestelmiksi, jos se suorittaa luonnollisten henkilöiden profilointia. Poikkeukseen ei voida vedota tässä tapauksessa.
Mikä rooli organisaatiollasi on?
Tekoälylaki erottaa ketjussa useita rooleja. Kaksi niistä on tärkeitä useimmille organisaatioille. Osapuoli, joka kehittää tekoälyjärjestelmän tai saattaa sen markkinoille omalla nimellään tai tavaramerkillään, luokitellaan palveluntarjoajaksi. Osapuoli, joka käyttää tekoälyjärjestelmää omassa liiketoiminnassaan kehittämättä sitä itse, luokitellaan yleensä käyttöönottajaksi.
Roolien jako ei ole staattinen. Organisaatiota, joka olennaisesti muokkaa ostettua järjestelmää, toimittaa sen eteenpäin omalla nimellään tai tavaramerkillään tai muuttaa sen käyttötarkoitusta, voidaan silti pitää palveluntarjoajana ja siten siihen sovelletaan raskaampia velvoitteita. Määritä kunkin järjestelmän osalta, mitä roolia täytät, ja kirjaa tämä arvio.
Pääasialliset velvoitteet
Korkean riskin tekoälyjärjestelmien tarjoajiin sovelletaan muun muassa 8–17, 43 ja 47–49 artiklassa säädettyjä velvoitteita:
- koko elinkaaren kattava riskienhallintajärjestelmä
- tiedonhallinta, mukaan lukien käytettyjen tietojen, kuten koulutus-, validointi- ja testaustietojen, virheiden havaitseminen ja korjaaminen
- liitteen IV mukainen tekninen dokumentaatio ja tapahtumalokitiedot
- selkeät käyttöohjeet käyttöönottajille
- suunnittelu, joka mahdollistaa tehokkaan ihmisen valvonnan
- tarkkuutta, kestävyyttä ja kyberturvallisuutta koskevat vaatimukset
- laatujärjestelmä, vaatimustenmukaisuuden arviointi, EU-vaatimustenmukaisuusvakuutus, CE-merkintä ja rekisteröinti EU:n tietokantaan
Liitteessä III olevan 1 kohdan a alakohdassa tarkoitettujen biometriseen etätunnistukseen käytettävien korkean riskin tekoälyjärjestelmien osalta artiklan 14(5) mukaan ihmisen suorittama valvonta on lisävaatimus: tunnistuksen perusteella ei saa tehdä mitään toimia tai tehdä päätöksiä, ellei vähintään kaksi luonnollista henkilöä, joilla on tarvittava pätevyys, koulutus ja valtuudet, ole erikseen todentanut ja vahvistanut sitä. Tätä kutsutaan neljän silmän periaatteeksi.
Käyttöönottajiin sovelletaan 26 ja 27 artiklan kevyempiä mutta ei vähemmän tärkeitä velvoitteita: käyttöohjeiden mukaisesti, pätevä ihmisen suorittama valvonta, järjestelmän toiminnan seuranta, riskien ja vakavien vaaratilanteiden raportointi sekä lokien säilyttäminen vähintään kuuden kuukauden ajan. Järjestelmän kanssa työskenteleville työntekijöille ja henkilöille, joihin sitä sovelletaan, on ilmoitettava asiasta etukäteen.
Tiettyjen käyttöönottajien on myös tehtävä perusoikeusvaikutusten arviointi, 27 artiklan mukainen perusoikeusvaikutusten arviointi. Tämä koskee joka tapauksessa julkisoikeudellisia elimiä, yksityisiä julkisten palvelujen tarjoajia ja käyttöönottajia, jotka käyttävät luottoluokitusjärjestelmiä tai henki- ja sairausvakuutusriskien arviointijärjestelmiä.
Aikajana ja nykytila
Tekoälylaki tuli voimaan 1. elokuuta 2024, ja sitä sovelletaan vaiheittain. Käytännössä on tärkeää erottaa toisistaan jo voimassa olevat velvoitteet, velvoitteet, joiden soveltamispäivä on tulevaisuudessa, ja ilmoitetut muutokset, joiden virallista voimaantuloa ei ole vielä saatettu päätökseen.
Kielletyt käytännöt (5 artikla): Sovelletaan 2. helmikuuta 2025 alkaen
Tekoälylukutaito (artikla 4): Sovelletaan 2. helmikuuta 2025 alkaen
Yleiskäyttöiset tekoälymallit: Voimassa 2. elokuuta 2025 alkaen
Läpinäkyvyysvelvoitteet (50 artikla): Sovelletaan 2. elokuuta 2026 alkaen; ei lykätä
Suuririskinen liitteen III kautta: Muodollisesti edelleen 2. elokuuta 2026; koontiasetuksen tultua voimaan viimeistään 2. joulukuuta 2027
Suuririskinen liitteen I kautta: Muodollisesti edelleen 2. elokuuta 2027; Omnibus-asetuksen tultua voimaan viimeistään 2. elokuuta 2028
Euroopan komissio julkaisi 19. marraskuuta 2025 Digital Omnibus -paketin, jossa ehdotettiin korkean riskin tekoälyjärjestelmiä koskevien velvoitteiden soveltamisen lykkäämistä. Alustava poliittinen yhteisymmärrys saavutettiin 7. toukokuuta 2026. Euroopan parlamentti antoi hyväksyntänsä 16. kesäkuuta 2026 ja neuvosto lopullisen hyväksyntänsä 29. kesäkuuta 2026.
Tämän artikkelin viitepäivänä julkaisua Euroopan unionin virallisessa lehdessä ei kuitenkaan ole vielä saatettu päätökseen. Muutos tulee voimaan kolmantena päivänä kyseisen julkaisemisen jälkeen. Siihen asti sovelletaan edelleen tekoälylain alkuperäistä aikataulua, ja liitteen III mukaisten korkean riskin velvoitteiden soveltamispäivä on 2. elokuuta 2026. Julkaisua ennen kyseistä päivämäärää odotetaan laajalti, mutta sitä ei ole vielä vahvistettu.
Lykkäys on lisäksi ehdollinen. Korkean riskin tekoälyjärjestelmiä koskevien velvoitteiden soveltaminen on sidottu komission päätökseen, jolla vahvistetaan tarvittavien yhdenmukaistettujen standardien ja tukevien välineiden saatavuus, minkä jälkeen seuraa siirtymäkausi. Päivämäärät 2. joulukuuta 2027 ja 2. elokuuta 2028 toimivat pikemminkin varautumispäivinä kuin pelkkänä lykkäyksenä.
Kaksi kohtaa ansaitsee erillisen huomion. Ensinnäkin artiklan 50 mukaisia avoimuusvelvoitteita ja artiklan 4 mukaista tekoälylukutaitovelvoitetta ei ole lykätty: ne pysyvät alkuperäisessä aikataulussaan. Toiseksi paketti lisää artiklaan 5 uuden kiellon, joka koskee tekoälysovelluksia, jotka tuottavat ilman suostumusta intiimiä kuvamateriaalia, ja tekoälyn tuottamaa lasten seksuaalista hyväksikäyttöä koskevaa materiaalia.
Organisaatioille tämä tarkoittaa, että suunnittelu joulukuuta 2027 edeltävään aikaan on järkevää, mutta kirjanpito tulisi toistaiseksi järjestää ikään kuin elokuu 2026 olisi edelleen sitova, kunnes virallinen lehti toisin määrää.
Valvonta ja seuraamukset
Alankomaissa tekoälylain täytäntöönpanolainsäädäntö puuttuu edelleen tämän artikkelin viitepäivänä. Alankomaiden digitaalisen infrastruktuurin viranomaisen ja Alankomaiden tietosuojaviranomaisen odotetaan ottavan keskeisen koordinoivan roolin, ja alakohtaiset valvojat ovat edelleen vastuussa omilla toimialoillaan. Tarkka toimivallan jako ja sen lakisääteinen perusta on kuitenkin määritettävä Alankomaiden lopullisen täytäntöönpanolainsäädännön perusteella.
Tekoälylain 99 §:ssä säädetään useista enimmäisrangaistusluokista. Taso riippuu rikkomuksen luonteesta ja tarvittaessa yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta. Korkein enimmäismäärä koskee 5 §:ssä kiellettyjen käytäntöjen rikkomista; alempi enimmäismäärä koskee muiden velvoitteiden rikkomista, mukaan lukien korkean riskin tekoälyjärjestelmien tarjoajien ja käyttöönottajien velvoitteet; ja alhaisin enimmäismäärä koskee virheellisten, puutteellisten tai harhaanjohtavien tietojen toimittamista viranomaisille. Pieniin ja keskisuuriin yrityksiin (pk-yrityksiin), mukaan lukien startup-yritykset, sovelletaan suotuisampaa järjestelmää. Varsinainen seuraamus määräytyy ottaen huomioon sovellettavat seuraamussäännöt ja tapauksen olosuhteet.
Käytännön tiekartta
- Inventaari kaikki organisaatiosi kehittämät, hankkimat tai käyttämät tekoälyjärjestelmät.
- Määritä kullekin järjestelmälle, mitä roolia täytät: toimittajan vai käyttöönottajan.
- Määritä kunkin järjestelmän riskiluokka ja dokumentoi kyseinen arviointi, mukaan lukien mahdollinen vetoaminen 6(3) artiklan poikkeukseen.
- Perusta tekoälyn hallinto ja nimitä vastuuhenkilö.
- Varmista näiden järjestelmien kanssa työskentelevän henkilöstön tekoälyosaaminen; tämä velvoite on jo voimassa.
- Valmistellaan 50 artiklan mukaiset avoimuustoimenpiteet 2. elokuuta 2026 mennessä.
- Aloita tekninen dokumentaatio ja tarvittaessa perusoikeusvaikutusten arviointi hyvissä ajoin.
- Tarkista toimittajasopimukset roolien jaon, tiedonsaannin ja tarkastusoikeuksien osalta.
- Seuraa Omnibus-paketin julkaisemista virallisessa lehdessä ja mukauta suunnitteluasi sen mukaisesti.
Yhteenveto
Tekoälylaki vaikuttaa perustavanlaatuisesti siihen, miten organisaatiot kehittävät, hankkivat ja käyttävät tekoälyä. Ilmoitettu riskialttiiden velvoitteiden lykkääminen antaa lisäaikaa, mutta se ei ole vielä sovellettavaa lakia, eikä se vaikuta jo voimassa oleviin tai 2. elokuuta 2026 voimaan tuleviin velvoitteisiin. Siksi on järkevää suunnitella toimintaa uusien päivämäärien varalle ja samalla valmistautua vanhoihin päivämääriin. Laajemman yleiskatsauksen asetuksesta saat EU:n tekoälylain täydellisestä oppaastamme , joka täydentää tämän artikkelin keskittymistä riskialttiisiin tekoälyjärjestelmiin.
Law & More auttaa organisaatioita kartoittamaan ja luokittelemaan tekoälyjärjestelmiään, määrittämään roolinsa palveluntarjoajana tai käyttöönottajana, tarkistamaan ja laatimaan sopimuksia tekoälytoimittajien kanssa sekä määrittämään tekoälyn hallinnon. Haluatko tietää, mitkä velvoitteet koskevat organisaatiotasi tällä hetkellä ja mitkä vaiheet tulisi asettaa etusijalle? Ota rohkeasti yhteyttä saadaksesi sitoumuksettoman keskustelun.
Usein kysyttyjä kysymyksiä
Alla vastaamme useimmin kysyttyihin kysymyksiin tästä aiheesta.
Mikä on tekoälylaki?
Euroopan tekoälyasetus (asetus (EU) 2024/1689). Se tuli voimaan 1. elokuuta 2024 ja sitä sovelletaan vaiheittain, ja velvoitteet kasvavat tekoälyjärjestelmän aiheuttaman riskin kasvaessa.
Milloin tekoälyjärjestelmä on riskialtis?
Kahdella tavalla: osana liitteessä I luetellun tuotelainsäädännön piiriin kuuluvaa tuotetta tai käyttämällä sitä jollakin liitteessä III luetelluista aloista. Jälkimmäisessä tapauksessa pelkkä ala ei ole ratkaiseva; myös erityinen toiminto ja 6 artiklan ehdot ratkaisevat.
Voiko liitteen III mukainen järjestelmä kuitenkin jäädä korkean riskin luokan ulkopuolelle?
Kyllä, jos se ei aiheuta merkittävää riskiä eikä vaikuta olennaisesti päätöksentekoon, esimerkiksi jos se suorittaa suppean prosessuaalisen tai puhtaasti valmistelevan tehtävän. Tämä arviointi on dokumentoitava. Jos järjestelmä suorittaa luonnollisten henkilöiden profilointia, poikkeusta ei koskaan sovelleta.
Olenko palveluntarjoaja vai käyttöönottaja?
Olet palveluntarjoaja, jos kehität järjestelmän tai saatat sen markkinoille omalla nimelläsi tai tavaramerkilläsi, ja yleensä käyttöönottaja, jos käytät ostamaasi järjestelmää. Jos muokkaat ostamaasi järjestelmää merkittävästi tai toimitat sen eteenpäin omalla nimelläsi, sinusta voi silti tulla palveluntarjoaja.
Mitä velvoitteita palveluntarjoajilla on?
Muun muassa riskienhallinta, tiedonhallinta, tekninen dokumentaatio, lokikirjaus, käyttöohjeet, ihmisen suorittama valvonta, tarkkuutta ja kyberturvallisuutta koskevat vaatimukset, laadunhallintajärjestelmä, vaatimustenmukaisuuden arviointi, CE-merkintä ja rekisteröinti EU:n tietokantaan.
Mitä velvoitteita käyttöönottajiin sovelletaan?
Käyttö ohjeiden mukaisesti, pätevä ihmisen valvonta, seuranta, riskien ja vakavien vaaratilanteiden raportointi sekä lokien säilytys vähintään kuuden kuukauden ajan. Asianomaisille työntekijöille ja henkilöille, joihin järjestelmää sovelletaan, on ilmoitettava asiasta etukäteen.
Milloin perusoikeusvaikutusten arviointi on tehtävä?
Artiklassa 27 edellytetään tätä muun muassa julkisoikeudellisilta laitoksilta, yksityisiltä julkisten palvelujen tarjoajilta ja luottoluokitusjärjestelmiä tai henki- ja sairausvakuutusriskien arviointijärjestelmiä käyttäviltä tahojen.
Onko korkean riskin velvoitteita lykätty?
Hyväksytyllä muutoksella lykätään liitteen III soveltamista viimeistään 2. joulukuuta 2027 ja liitteen I soveltamista viimeistään 2. elokuuta 2028. Tämän artiklan viitepäivänä muutosta ei ole vielä julkaistu virallisessa lehdessä, joten alkuperäinen päivämäärä 2. elokuuta 2026 on muodollisesti edelleen voimassa.
Mikä pätee jo tänä päivänä?
Artiklan 5 kielletyt käytännöt ja tekoälylukutaitovelvoite 2. helmikuuta 2025 alkaen sekä yleiskäyttöisiä tekoälymalleja koskevat säännöt 2. elokuuta 2025 alkaen. Artiklan 50 avoimuusvelvoitteet tulevat voimaan 2. elokuuta 2026, eikä niitä ole lykätty.
Kuka valvoo tekoälylakia Alankomaissa?
Täytäntöönpanolainsäädäntöä puuttuu edelleen. Alankomaiden digitaalisen infrastruktuurin viranomaisen ja Alankomaiden tietosuojaviranomaisen odotetaan ottavan keskeisen koordinoivan roolin alakohtaisten valvojien rinnalla. Lopullinen toimivallan jako määräytyy Alankomaiden täytäntöönpanolainsäädännön perusteella.
Mitä organisaationi pitäisi nyt tehdä?
Aloita luetteloimalla kaikki kehittämäsi, ostamasi tai käyttämäsi tekoälyjärjestelmät. Kirjaa jokaisen järjestelmän osalta ylös, mikä rooli sinulla on, mikä riskiluokka siihen kuuluu ja mitkä velvoitteet seuraavat. Määritä myös tekoälyn hallinta, varmista tekoälyosaaminen ja tarkista toimittajien sopimukset roolien jaosta, tiedon tarjoamisesta ja tarkastusoikeuksista.
