EU AI Act - Mitä yritysten pitää tietää tekoälyasetuksesta nyt?
Euroopan Unionin tekoälyasetus eli AI Act tuo tekoälyn käytölle yhteiset pelisäännöt. AI Act tuli voimaan vuonna 2024, mutta sen vaatimuksia otetaan käyttöön vaiheittain. Osa velvoitteista on jo voimassa, ja lisää tulee sovellettavaksi lähivuosina.
Asetus koskee myös tavallisia yrityksiä, jotka käyttävät tekoälyä osana omaa toimintaansa. Yrityksen kannalta olennaista on nyt selvittää, missä ja miten tekoälyä käytetään sekä millaisia vastuita juuri näihin käyttötapoihin liittyy.
Mikä EU AI Act on ja mitä yrityksiä se koskee?
EU:n AI Actin tavoitteena on varmistaa, että tekoälyjärjestelmiä kehitetään ja käytetään turvallisesti, läpinäkyvästi ja ihmisten oikeudet huomioiden. Käytännössä tämä koskee kaikkia yrityksiä, jotka käyttävät tekoälyä jollain tavalla liiketoiminnassaan. Kaikki asetuksen velvoitteet eivät kuitenkaan koske jokaista yritystä.
Sääntely perustuu pitkälti tekoälyn käyttötavan riskeihin. Tavallinen tekoälyn käyttö esimerkiksi tekstin luonnosteluun tai tiedon tiivistämiseen eroaa olennaisesti järjestelmästä, joka arvioi työnhakijoita, työntekijöitä tai tekee muita ihmisiin merkittävästi vaikuttavia arvioita. Mitä suurempi käyttötapaan liittyvä riski on, sitä enemmän siihen liittyy myös vaatimuksia.
AI Act ei koske vain tekoälyä kehittäviä teknologiayrityksiä. Monet yritykset ovat asetuksen näkökulmasta tekoälyjärjestelmien käyttäjiä eli deployereita. Tällainen yritys voi käyttää esimerkiksi Microsoft 365 Copilotia, ChatGPT:tä, Claudea, tekoälyä sisältävää HR-järjestelmää tai omaan palveluun liitettyä AI-ratkaisua.
Yrityksen koko ei yksin ratkaise sitä, kuuluuko se sääntelyn piiriin. Myös pieni yritys voi olla AI Actin tarkoittama tekoälyjärjestelmän käyttäjä. Yrityksen velvoitteisiin vaikuttavat erityisesti sen rooli, käytettävä tekoälyjärjestelmä ja se, mihin järjestelmää käytetään.
Henkilöstön AI-osaaminen ja tietoturva osana tekoälyn hallintaa
Yksi yrityksille käytännössä tärkeimmistä kohdista liittyy henkilöstön tekoälyosaamiseen.
AI Actin artiklan 4 mukaan tekoälyjärjestelmiä tarjoavien ja käyttävien organisaatioiden pitää ryhtyä toimenpiteisiin niiden henkilöiden osaamisen tukemiseksi, jotka käyttävät tekoälyjärjestelmiä työssään tai organisaation puolesta. Velvoite tuli sovellettavaksi helmikuussa 2025.
Laki ei määrää yrityksiä suorittamaan tiettyä koulutusta tai hankkimaan "AI-sertifikaattia". Tarvittavat toimenpiteet riippuvat siitä, millaista tekoälyä organisaatiossa käytetään ja millaisissa tehtävissä sitä hyödynnetään.
Käyttäjien pitäisi ymmärtää ainakin käytössä olevien työkalujen toimintaa, niiden rajoitteita ja tekoälyn mahdollisia virheitä. Samalla pitää ymmärtää, millaista tietoa palveluissa voidaan käsitellä turvallisesti.
Henkilöstön osaamisen lisäksi on tärkeää huolehtia tekoälypalveluiden tietoturvasta ja tietosuojasta. Palveluihin voidaan helposti syöttää yrityksen sisäisiä dokumentteja, asiakastietoja, henkilötietoja tai muuta luottamuksellista aineistoa. Siksi AI Actia ei kannata tarkastella irrallaan yrityksen muusta IT-ympäristöstä.
Yrityksen pitää käytännössä tietää, mitä AI-palveluita henkilöstö käyttää, miten käyttäjät kirjautuvat niihin ja miten palveluntarjoaja käsittelee niihin syötettyä tietoa.
Samalla on hyvä arvioida, ovatko käytössä olevat palvelut yrityksen hyväksymiä vai onko henkilöstö ottanut niitä käyttöön oma-aloitteisesti.
AI:n käytöstä pitää joissain tilanteissa kertoa käyttäjälle
AI Act sisältää myös läpinäkyvyyteen liittyviä velvoitteita, joita alettiin soveltaa elokuussa 2026.
Niiden tarkoituksena on varmistaa, että ihmiset tietävät tietyissä tilanteissa asioivansa tekoälyn kanssa tai näkevänsä tekoälyllä tuotettua sisältöä. Esimerkiksi yrityksen verkkosivuilla toimivan AI-chatbotin käyttäjälle pitää lähtökohtaisesti olla selvää, että hän keskustelee tekoälyn eikä ihmisen kanssa. Vastaavasti tekoälyllä tuotettujen tai muokattujen deepfake-kuvien, videoiden ja äänisisältöjen yhteydessä on ilmoitettava niiden keinotekoisesta alkuperästä.
Kaikkea tekoälyn käyttöä tai sen avulla tuotettua sisältöä ei kuitenkaan tarvitse erikseen merkitä. Esimerkiksi tekoälyn hyödyntäminen tekstin luonnostelussa, kielenhuollossa tai yrityksen sisäisessä työskentelyssä ei yleensä synnytä vastaavaa ilmoitusvelvollisuutta.
Yrityksen vastuut riippuvat siitä, miten tekoälyä käytetään ja toimiiko yritys järjestelmän tarjoajana vai käyttäjänä. Siksi esimerkiksi asiakkaille suunnattujen AI-palveluiden ja tekoälyllä tuotetun julkisen sisällön kohdalla kannattaa selvittää, mitä läpinäkyvyysvaatimuksia niihin sovelletaan.
Korkean riskin tekoälyyn liittyy enemmän vaatimuksia
AI Act määrittelee myös korkean riskin tekoälyjärjestelmiä. Tällaisia käyttötapoja voi tulla vastaan esimerkiksi rekrytoinnissa, työntekijöiden hallinnassa, koulutuksessa, biometrisissä järjestelmissä ja kriittisessä infrastruktuurissa.
Näihin järjestelmiin liittyy tavallista laajempia vaatimuksia muun muassa riskienhallinnan, dokumentoinnin ja ihmisen tekemän valvonnan osalta. Yritykselle tärkeä kysymys on siksi käyttötarkoitus. Sama tekoälyteknologia voi olla yhdessä tilanteessa tavallinen työväline ja toisessa tilanteessa sääntelyn kannalta huomattavasti merkittävämpi järjestelmä.
Korkean riskin järjestelmiä koskevien vaatimusten soveltaminen tapahtuu vaiheittain vuosina 2027
Mitä yrityksen kannattaa tehdä nyt?
Ensimmäinen vaihe on saada näkyvyys nykyiseen tilanteeseen.
Monessa yrityksessä tekoälyä käytetään jo useissa palveluissa, vaikka kokonaiskuvaa ei ole muodostettu. AI-toimintoja löytyy esimerkiksi Microsoft 365:stä, CRM- ja HR-järjestelmistä, tietoturvatuotteista, markkinointityökaluista ja lukuisista pilvipalveluista.
Käytössä olevista AI-palveluista kannattaa selvittää niiden käyttötarkoitus, käyttäjät ja se, millaista tietoa niissä käsitellään. Tämän pohjalta voidaan määritellä yritykselle hyväksytyt työkalut ja niiden käyttötavat.
Henkilöstölle tarvitaan myös selkeät pelisäännöt. Käyttäjän pitäisi tietää, mitä palveluita saa käyttää, mitä tietoa niihin saa syöttää ja missä tilanteissa tekoälyn tuottama sisältö pitää tarkistaa ennen käyttöä.
AI Act ei edellytä kaikilta yrityksiltä tietynlaista AI-rekisteriä tai määrämuotoista AI-ohjetta. Käytössä olevien ratkaisujen ja tehtyjen päätösten dokumentointi helpottaa kuitenkin huomattavasti tekoälyn hallintaa.
Tekoälyn hallinta kannattaa rakentaa osaksi nykyistä IT-ympäristöä
Tekoälyn käyttö liittyy yhä useammin samoihin asioihin, joita yrityksissä hallitaan jo muutenkin: käyttäjätunnuksiin, käyttöoikeuksiin, tietoturvaan, tietosuojaan, pilvipalveluihin ja yrityksen tiedonhallintaan. Siksi AI:n hallintaa ei tarvitse rakentaa täysin erilliseksi kokonaisuudeksi.
Hyvä lähtökohta on selvittää nykyiset käyttötavat, arvioida käytössä olevat palvelut, sopia yhteiset toimintatavat ja huolehtia henkilöstön osaamisesta. Sen jälkeen voidaan tunnistaa ne tilanteet, joissa AI Act tuo yritykselle tarkempia velvoitteita.
Bitmore auttaa yrityksiä muodostamaan kokonaiskuvan käytössä olevista AI-ratkaisuista sekä niiden tietoturvasta, käyttöoikeuksista ja tiedon käsittelystä. Samalla voidaan rakentaa käytännön toimintamalli siihen, mitä tekoälypalveluita organisaatiossa käytetään ja miten niitä hallitaan turvallisesti osana nykyistä Microsoft- ja IT-ympäristöä.
