EU:n tekoälylain vaatimustenmukaisuus pk-yrityksille: velvoitteet, määräajat ja mitä tehdä nyt.

Kyllä. Yrityksillä, jotka ottavat käyttöön muiden rakentamia tekoälyjärjestelmiä — niin sanottuja "käyttäjäorganisaatioita" — on velvoitteita EU:n tekoälylain nojalla. Näihin kuuluu toimenpiteet henkilöstön tekoälyosaamisen tukemiseksi (Article 4, voimassa 2. elokuuta 2026 alkaen), käyttäjien informointi tekoälyn kanssa vuorovaikutuksesta (Article 50, voimassa 2. elokuuta 2026 alkaen) sekä valmistautuminen liitteen III korkean riskin käyttäjäorganisaation velvoitteisiin Article 26:n nojalla, jotka soveltuvat 2. joulukuuta 2027 alkaen. Velvoitteiden laajuus riippuu siitä, mitä tekoälytyökaluja käytät ja mihin tarkoitukseen.

Korkean riskin tekoälyjärjestelmät ovat lain liitteessä III lueteltuja järjestelmiä. Niihin kuuluu tekoäly, jota käytetään rekrytoinnissa ja HR-päätöksissä (esim. ansioluetteloiden seulonta), kriittisen infrastruktuurin hallinnassa, koulutus- ja ammatillisessa arvioinissa, välttämättömien palveluiden saatavuudessa (luotto, vakuutus), lainvalvonnassa ja biometrisessä tunnistuksessa. Liitteen III järjestelmien täydet vaatimustenmukaisuusvelvoitteet — mukaan lukien vaatimustenmukaisuusarviointi, EU-tietokantarekisteröinti ja Article 26:n käyttäjäorganisaation velvoitteet — soveltuvat 2. joulukuuta 2027 alkaen. Tätä päivämäärää muutettiin alkuperäisestä 2. elokuuta 2026 asetuksella (EU) 2026/1744.

Laki (Regulation (EU) 2024/1689) tuli voimaan 1. elokuuta 2024. Tärkeimmät päivämäärät: Article 5:n kielletyt käytännöt sovellettiin 2. helmikuuta 2025 (ja ovat edelleen voimassa). Yleiskäyttöisten tekoälymallien tarjoajien velvoitteet sovellettiin 2. elokuuta 2025. Article 4 (tekoälyosaamisvelvoitteet) ja Article 50 (läpinäkyvyys) soveltuvat 2. elokuuta 2026 alkaen. Kaksi uutta Article 5 -kieltoa, jotka asetuksella (EU) 2026/1744 lisättiin, soveltuvat 2. joulukuuta 2026 alkaen. Liitteen III korkean riskin järjestelmävelvoitteet (Luku III) soveltuvat 2. joulukuuta 2027 alkaen — muutettu asetuksella (EU) 2026/1744 alkuperäisestä elokuun 2026 päivämäärästä. Liitteen I säänneltyjen tuotteiden korkean riskin järjestelmät soveltuvat 2. elokuuta 2028 alkaen.

Article 4 (muutettuna asetuksella (EU) 2026/1744) velvoittaa tarjoajat ja käyttäjäorganisaatiot toteuttamaan toimenpiteitä riittävän tekoälyosaamisen kehittämiseksi henkilöstönsä ja muiden heidän puolestaan tekoälyn kanssa työskentelevien keskuudessa. Velvoite on oikeasuhteinen — vaadittu osaamistason tuki kasvaa roolin ja tekoälyjärjestelmien riskitason mukaan. Mitään erityistä koulutussertifiointia, kurssin kestoa tai vähimmäispätevyystasoa ei vaadita. Dokumentoitu ohjeistus, koulutustiedot ja henkilöstölle pidettävät tiedotustilaisuudet ovat käytännöllisiä tapoja osoittaa vaatimustenmukaisuus. Tämä velvoite soveltuu 2. elokuuta 2026 alkaen.

Article 5 kieltää tietyt tekoälykäytöt kokonaan. Alkuperäiset kiellot (voimassa 2. helmikuuta 2025 alkaen) sisältävät: tekoäly, joka manipuloi käyttäytymistä subliminaalisilla tai harhaanjohtavilla tekniikoilla; tiettyjen ryhmien haavoittuvuuksien hyväksikäyttö; reaaliaikainen etäbiometrinen tunnistus julkisissa tiloissa (kapeilla lainvalvontapoikkeuksilla); sosiaalinen pisteytys julkisten viranomaisten toimesta; tunteiden tunnistaminen työpaikoilla tai oppilaitoksissa (rajoitetuilla poikkeuksilla); ja tekoäly, joka johtaa suojattuja ominaisuuksia biometrisistä tiedoista. Asetus (EU) 2026/1744 lisäsi kaksi uutta kieltoa, jotka soveltuvat 2. joulukuuta 2026 alkaen: Article 5(1)(ba) kieltää tekoälyn, joka tuottaa suostumuksettomia intiimejä synteettisiä kuvia todellisista henkilöistä, ja Article 5(1)(bb) kieltää tekoälyn, joka tuottaa lasten seksuaalista hyväksikäyttöä kuvaavaa materiaalia. Tämä arvio seuloo tiettyjä Article 5:n riskejä, mutta ei muodosta kattavaa oikeudellista hyväksyntää kaikille kielloille.

Article 50 edellyttää käyttäjäorganisaatioita ilmoittamaan käyttäjille, kun he ovat vuorovaikutuksessa tekoälyjärjestelmän kanssa (Article 50(1)) — esimerkiksi chatbottien tai virtuaaliassistenttien kautta — ellei tämä ole kontekstista ilmeistä. Tekoälyn tuottamat tai merkittävästi muokkaamat kuvat, ääni ja video on merkittävä sellaisiksi koneluettavassa muodossa (Article 50(4)). Nämä velvoitteet soveltuvat 2. elokuuta 2026 alkaen. Ennen tätä päivämäärää käytössä olevien järjestelmien olisi tullut saavuttaa vaatimustenmukaisuus viipymättä. Muutetun asetuksen nojalla on olemassa rajattu siirtymäajanjakso tietyille olemassa oleville synteettisen sisällön järjestelmille.