Tekoäly on löytänyt tiensä lähes jokaisen yrityksen arkeen. Elokuussa 2026 sovellettaviksi tulleet läpinäkyvyysvelvoitteet koskevat myös rajoitetun riskin arkikäyttöä: chatbotteja, tekoälyllä tuotettua sisältöä ja syväväärennöksiä. Tavallisen yrityksen suurin riski on se, ettei käytössä olevia tekoälyjärjestelmiä tunnisteta.
Euroopan unionin tekoälyasetus (Artificial Intelligence Act) pyrkii säätelemään tekoälyn käyttöä riskiperusteisesti. Sen tavoitteena on varmistaa, että tekoäly on turvallista, läpinäkyvää ja eettistä sekä ihmisen perusoikeuksia kunnioittavaa. Yritykselle AI Actin velvoitteet määräytyvät sen mukaan, kuinka suuria riskejä sen kehittämiin tai käyttämiin tekoälyjärjestelmiin liittyy.
Tuoreet läpinäkyvyysvelvoitteet tuovat yrityksille uusia vaatimuksia
Vaiheittain etenevä AI Act ohitti elokuussa 2026 uuden virstanpylvään, kun tuoreet läpinäkyvyysvelvoitteet tulivat sovellettaviksi. Jos yrityksenne käyttää esimerkiksi asiakaspalvelussa chatbotia, on pidettävä huoli siitä, että käyttäjä varmasti ymmärtää olevansa vuorovaikutuksessa tekoälyn kanssa. Jos tekoäly analysoi asiakkaan tunteita esimerkiksi myyntipuhelussa, myös siitä on kerrottava. Työpaikoilla ja kouluissa tapahtuva tunteentunnistus kiellettiin jo alkuvuodesta 2025.
Myös tekoälyn tuottama sisältö täytyy merkitä silloin, kun kuva-, ääni- tai videosisällöt muistuttavat olemassa olevaa henkilöä, esinettä, paikkaa tai tapahtumaa ja katsoja voisi tulkita ne virheellisesti aidoiksi. Tällöin puhutaan syväväärennöksistä eli deepfakeista. Jos esimerkiksi muokkaatte yrityksenne someen tekoälyllä kuvan, jossa myyntitiimi istuukin oman neukkarin sijaan SuomiAreenan päälavalla, tekoälyn käytöstä on kerrottava avoimesti.
Merkintävelvoite koskee myös tekoälyllä tuotettua tai muokattua tekstiä yleistä etua koskevasta aiheesta, jos se julkaistaan ilman ihmisen tarkastusta tai selkeää toimituksellista vastuuta. Käytännössä tämä voisi tarkoittaa vaikkapa tekoälyllä koottua julkista tilannekatsausta kyberuhista.
Osaaminen on edellytys tekoälyn vastuulliselle käytölle
Tekoälylukutaitoa koskevaa velvoitetta alettiin soveltaa jo alkuvuodesta 2025, ja se koskee tekoälyn käyttöä kaikilla riskitasoilla. Heinäkuussa voimaan tullut tekoälyasetuksen omnibus-muutos siirsi korkean riskin järjestelmien määräaikoja ja kevensi samalla tekoälylukutaitoa koskevaa velvoitetta.
AI Act velvoittaa edelleen tekoälyä kehittäviä tai käyttäviä yrityksiä tukemaan työntekijöidensä tekoälylukutaitoa eli ymmärrystä siitä, miten tekoälyjärjestelmät toimivat ja millaisia mahdollisuuksia ja riskejä niihin liittyy. Jokaisen yrityksen vastuulla on siis huolehtia siitä, että tekoälyä työssään käyttävät työntekijät saavat asianmukaiset eväät osaamisensa kehittämiseen. Tiettyä osaamistasoa asetus ei kuitenkaan määrittele.
Siksi yhtä kaikille sopivaa tapaa vaatimusten täyttämiseen ei ole. Tekoälyosaamista kannattaa kehittää työntekijän roolin ja hänen käyttämiensä työkalujen mukaan: kirjanpitäjä kohtaa työssään erilaisia riskejä kuin myyjä tai ohjelmistokehittäjä. Myös riskitasolla on merkitystä. Korkean riskin järjestelmät, kuten rekrytoinnin päätöksentekoa tukevat tekoälyt, edellyttävät enemmän osaamista niiden valvomiseksi.
Kevytkin hallintamalli turvaa selustan
AI Act ei edellytä erillistä hallintamallia matalan riskin tekoälyjärjestelmiä käyttävälle yritykselle, mutta käytännössä yrityksen on kuitenkin pystyttävä dokumentoimaan tekoälyn käyttöä ja riskejä, nimeämään vastuuhenkilöt sekä jäljittämään tehtyjä päätöksiä. Siksi jonkinlainen hallintamalli kannattaa rakentaa.
Valvontaviranomaiset voivat tarvittaessa pyytää näyttöä yrityksenne sisäisistä menettelyistä. Tällöin teidän on pystyttävä osoittamaan, mitä tekoälytyökaluja käytätte, mihin tarkoituksiin ja kuka niistä vastaa.
Jos yritys ei pysty osoittamaan noudattavansa tekoälyasetuksen velvoitteita, voi sille ropsahtaa tuntuvat sanktiot. Hallintamalli auttaa varmistamaan, että tekoälyä käytetään yrityksen arjessa vastuullisesti – ja että pystytte tarvittaessa myös osoittamaan sen.
On helppo tuudittautua ajatukseen, että suurimmat sudenkuopat liittyvät vain korkean riskiluokan järjestelmiin. Monelle tavalliselle yritykselle suurimmat riskit liittyvät siihen, ettei kukaan lopulta tiedä, mitä tekoälyjärjestelmiä organisaatiossa käytetään ja mihin.
Näin pääset alkuun
- Kartoita kaikki tekoälyä hyödyntävät työkalut. Älä unohda niin sanottuja varjotyökaluja, joita työntekijät käyttävät omin päin.
- Luokittele tekoälyn käyttötapaukset riskin mukaan: matala, rajoitettu, korkea vai kielletty? Lopeta kielletyt käyttötapaukset ja valmistaudu korkean riskin järjestelmien ensimmäiseen määräaikaan joulukuussa 2027.
- Huolehdi henkilöstön tekoälyosaamisesta. Varmista perustason tekoälylukutaito kaikille ja riittävä roolikohtainen osaaminen sitä vaativiin tehtäviin. Muista, että vaatimus koskee myös yrityksen järjestelmiä käyttäviä alihankkijoita.
- Määritä läpinäkyvyyskäytännöt. Milloin ja miten kerrotte käyttäjälle tekoälyn käytöstä? Entä miten merkitsette tekoälyllä tuotetun sisällön ulkoisessa viestinnässä? Tarkista myös, että palveluntarjoajat huolehtivat omista velvoitteistaan.
- Nimeä vastuuhenkilöt. Kuka vastaa tekoälyn hallinnasta ja vaatimusten noudattamisesta? Entä koulutuksesta, dokumentoinnista ja uusien työkalujen hyväksymisestä?
- Dokumentoi käytännöt, riskiarviot ja päätökset. Ilman dokumentaatiota ette pysty osoittamaan, että toimitte vastuullisesti.
Tekoälyn hallinta on osa yrityksen laajempaa digitaalisten riskien hallintaa. Lue, kuinka tekoälyavusteinen DNA SOC valvoo yritysten tietoturvaa herkeämättä ja auttaa torjumaan muuttuvan kyberympäristön uhkia!
