Tekoälyasetus lykättiin — pk-yrityksen ainoa velvoite on jo voimassa

Heinäkuussa 2026 uutisoitiin, että EU:n tekoälyasetusta lykätään. Otsikot olivat lyhyitä ja viesti tuntui selvältä: aikaa tuli lisää, asia siirtyi eteenpäin, palataan tähän myöhemmin.

Moni pk-yrittäjä luki tämän niin, ettei asia enää koske häntä. Se on väärä johtopäätös, ja väärä tavalla joka maksaa. Lykkäys osui korkean riskin järjestelmiin — rekrytoinnin hakijaseulontaan, luottopisteytykseen, biometriseen tunnistamiseen — eli juuri siihen osaan asetusta, joka ei koskenut tavallista suomalaisyritystä alun perinkään. Se yksi velvoite, joka sitä koskee, tuli voimaan 2. elokuuta 2026 eikä siirtynyt minnekään.

Toisin sanoen: jos sivustollasi on chatbot, sinulla on umpeutunut määräaika takanasi juuri nyt. Ja kalenterissa on vielä yksi päivämäärä ennen vuodenvaihdetta.

Mikä oikeasti siirtyi

Komissio antoi marraskuussa 2025 digitaalisen omnibus-paketin, ja siitä tuli lopulta asetus (EU) 2026/1744, joka julkaistiin virallisessa lehdessä 24. heinäkuuta ja tuli voimaan 27. heinäkuuta 2026.

Siirtyneitä kohtia on kaksi, ja molemmat koskevat korkean riskin järjestelmiä.

Liite III on se lista, jolla ovat rekrytoinnin hakijaseulonta, luottokelpoisuuden arviointi, henki- ja sairausvakuutuksen hinnoittelu, biometrinen tunnistaminen ja opiskelijavalinta. Liite I koskee tekoälyä, joka on turvallisuuskomponentti tuotteessa, jota säädellään jo ennestään — koneita, hissejä, lääkinnällisiä laitteita, leluja.

Kummallakaan listalla ei ole asiakaspalvelun chatbotia, tarjousten kirjoittamista, sisällöntuotantoa, laskujen käsittelyä eikä myynnin ennustamista. Näistä koostuu käytännössä koko se joukko, johon suomalainen pk-yritys tekoälyä käyttää.

Mikä ei siirtynyt

Tämä on se osa, joka jäi uutisoinnissa kokonaan pimentoon.

Läpinäkyvyysvelvoitteita ei lykätty lainkaan. Viideskymmenes artikla tuli voimaan 2. elokuuta 2026 alkuperäisen aikataulun mukaisesti. Kun asiakas keskustelee tekoälyn kanssa, hänelle on kerrottava se. Velvoite ei riipu riskiluokasta: se laukeaa käyttötilanteesta, ei siitä, mihin luokkaan järjestelmä muuten kuuluu. Vähäisen riskin chatbot on yhtä lailla sen piirissä kuin mikä tahansa muu.

Kiellot ovat olleet voimassa helmikuusta 2025. Tunnetilojen päättely työpaikalla ja ihmisten luokittelu biometrisen datan perusteella arkaluontoisten ominaisuuksien mukaan ovat 5 artiklassa kiellettyjä. Kielto on ehdoton eikä siitä voi sopia, dokumentoida tai ilmoittaa itseään ulos.

Osaamisvelvoite jäi voimaan, joskin sisällöllisesti kevennettynä. Siihen palataan alempana.

Yleiskäyttöisten mallien velvoitteet eivät myöskään liikkuneet. Ne ovat olleet voimassa elokuusta 2025, ja niistä syntyy oma sekaannuksensa. Velvoitteet koskevat sitä, joka kouluttaa yleiskäyttöisen mallin — käytännössä siis muutamaa maailmanlaajuista toimijaa. Ne eivät koske yritystä, joka rakentaa sovelluksen valmiin mallin päälle rajapinnan kautta. Jos siis kehitätte tuotetta olemassa olevan kielimallin varaan, tämä osa asetuksesta on mallin tarjoajan vastuulla, ei teidän. Mallin tarjoajalta vaaditaan tekniset asiakirjat, tiivistelmä koulutusaineistosta ja tekijänoikeuskäytäntö; sovelluskehittäjältä ei mitään näistä.

Voimaan jääneissä velvoitteissa on yksi yhteinen piirre. Lykkäys koski niitä kohtia, joiden noudattaminen edellyttää raskasta teknistä koneistoa: standardeja, arviointilaitoksia, sertifiointeja. Voimaan jääneet ovat sellaisia, joiden hoitamiseen riittää yksi lause ja yksi sivu tekstiä.

Miksi lykkäys tehtiin

Syy ei ollut poliittinen mielenmuutos vaan se, ettei asetusta olisi voinut noudattaa vaikka olisi halunnut.

Korkean riskin järjestelmän vaatimustenmukaisuus osoitetaan yhdenmukaistettujen standardien avulla. Niitä laativat CEN ja CENELEC, ja työ on ollut myöhässä alusta asti: noin 35 standardin kokonaisuudesta ei ollut valmiina läheskään kaikkea, ja arviot valmistumisesta siirtyivät vuoden 2026 loppuun. Ilman standardeja yritys ei voi osoittaa täyttävänsä vaatimuksia, koska vaatimusten täsmällinen sisältö on vielä kirjoittamatta.

Toinen puoli on valvontarakenne. Ilmoitettuja laitoksia, jotka tekevät kolmannen osapuolen arviointeja, ei ollut nimetty juuri lainkaan, ja sertifiointiprosessit kestävät tyypillisesti yhdeksästä kahteenkymmeneenneljään kuukauteen. Elokuun 2026 määräaika olisi ollut käytännössä mahdoton valvoa.

Asetuksen 40. johdanto-osan kappale sanoo tämän suoraan: standardien, yhteisten eritelmien ja ohjeistuksen viivästynyt saatavuus sekä kansallisten toimivaltaisten viranomaisten viivästynyt perustaminen vaarantavat velvoitteiden tosiasiallisen soveltamisen.

Yksi yksityiskohta kannattaa panna merkille. Komissio ehdotti alun perin mekanismia, jossa määräaika olisi kytketty standardien valmistumiseen — velvoitteet olisivat astuneet voimaan vasta kun työkalut niiden noudattamiseen olisivat olleet olemassa. Lopullisessa tekstissä tästä luovuttiin ja tilalle tulivat kiinteät päivämäärät. Se tarkoittaa, että 2.12.2027 on lopullinen riippumatta siitä, ovatko standardit siihen mennessä valmiita.

Entä jos ehditte jo valmistautua

Osa yrityksistä ehti tehdä työn ennen kesää. Tämä on se joukko, jota lykkäys harmittaa eniten, ja perustellusti: aikataulu muuttui sen jälkeen kun rahat oli käytetty.

Mikään tehdystä työstä ei kuitenkaan mene hukkaan. Määräajat siirtyivät, vaatimukset eivät. Sama dokumentaatio, sama riskienhallinta ja samat menettelyt kelpaavat joulukuussa 2027 siinä missä ne olisivat kelvanneet elokuussa 2026. Lisäaika kannattaa käyttää siihen, että valmiit dokumentit tarkistetaan uudelleen sitten, kun yhdenmukaistetut standardit lopulta ilmestyvät — silloin nähdään, osuiko oma tulkinta vaatimusten sisällöstä oikeaan.

Käytännössä valmistautuneen yrityksen kannattaa nyt tehdä yksi asia: merkitä kalenteriin tarkistuspiste vuoden 2027 alkuun ja katsoa silloin, mitä standardeista on julkaistu.

Neljännen artiklan kevennys

Osaamisvelvoite muuttui sanamuodoltaan vähän ja sisällöltään paljon.

Aiemmin tarjoajien ja käyttöönottajien oli varmistettava, että henkilöstöllä on riittävä tekoälyosaaminen. Nyt niiden on tuettava osaamisen kehittymistä. Juridisesti kyse on siirtymästä tulosvelvoitteesta huolellisuusvelvoitteeseen: yrityksen ei tarvitse taata kenenkään yksittäisen työntekijän osaamistasoa, vaan osoittaa tarjonneensa tukea. Pääpaino osaamisen edistämisessä siirtyi samalla komissiolle ja jäsenvaltioille.

Käytännön taso laski selvästi. Sertifikaatteja, koulutusohjelmia tai dokumentoituja osaamismatriiseja ei tarvita, eikä asetus niitä pyydä. Pienessä yrityksessä velvoite täyttyy yhdellä sivulla sisäistä ohjetta ja lyhyellä perehdytyksellä: mitä työkaluja saa käyttää, mitä niihin ei syötetä, kuka tarkistaa tuotokset ja kenelle ilmoitetaan kun jokin menee pieleen.

Yksi poikkeus on syytä tietää. Korkean riskin järjestelmän käyttöönottajaa koskevat edelleen 26 artiklan 2 kohdan tiukemmat vaatimukset ihmisvalvontaa tekevän henkilön osaamisesta, koulutuksesta ja toimivallasta. Kevennys koski yleistä velvoitetta, ei tätä.

Se yksi päivämäärä, joka on vielä edessä

Kalenterissa on ennen vuodenvaihdetta yksi päivä, joka koskee tavallista yritystä: 2. joulukuuta 2026. Sinä päivänä tapahtuu kaksi asiaa.

Ensinnäkin 50 artiklan 2 kohdan merkintävelvoitteen siirtymäaika päättyy. Synteettistä sisältöä tuottavan järjestelmän on merkittävä tuotoksensa koneluettavasti keinotekoisesti tuotetuiksi. Ennen 2.8.2026 markkinoille saatetuille järjestelmille annettiin tähän neljä kuukautta lisäaikaa — tämä oli ainoa lievennys, joka läpinäkyvyysvelvoitteisiin tehtiin. Velvoite kohdistuu järjestelmän tarjoajaan, eli jos käytät valmista työkalua, tämä on toimittajan vastuulla. Kysyminen on silti halpaa.

Toiseksi kaksi uutta kieltoa astuu voimaan. Omnibus lisäsi 5 artiklaan kiellon tekoälyjärjestelmistä, joilla tuotetaan tai muokataan tunnistettavia henkilöitä esittävää ei-suostumuksellista intiimiä aineistoa, sekä kiellon lapsen seksuaalista hyväksikäyttöä esittävän materiaalin tuottamisesta. Tarjoajilta edellytetään kohtuullisia teknisiä suojatoimia väärinkäytön estämiseksi.

Tavallista yritystä jälkimmäinen ei kosketa. Se kannattaa silti tietää, koska se on konkreettinen esimerkki siitä, että omnibus ei ollut pelkkä lykkäyspaketti — samalla kertaa myös tiukennettiin.

Mitä lykkäys tarkoittaa hankintapäätöksissä

Tässä on se kohta, jossa väärä johtopäätös maksaa rahaa.

Lykkäys ei ole lupa. Jos yritys on ottamassa käyttöön rekrytoinnin seulontatyökalua ensi vuonna, 2. joulukuuta 2027 ei ole kaukana — se on noin vuoden päässä käyttöönotosta, ja siihen mennessä sekä toimittajan että käyttöönottajan velvoitteiden on oltava kunnossa. Työkalu, joka hankitaan nyt ilman kysymyksiä, on samassa taseessa myös silloin.

Rekrytointityökaluja myydään aktiivisesti myös pienille yrityksille, eikä myyjä yleensä avaa oma-aloitteisesti sitä, mihin luokkaan tuote asetuksessa kuuluu. Kysy kirjallisesti kolme asiaa:

1. Luokitteletteko tuotteenne liitteen III mukaiseksi korkean riskin järjestelmäksi?
2. Jos ette, mihin 6 artiklan 3 kohdan poikkeusperusteeseen vetoatte, ja onko arvio dokumentoitu ennen markkinoille saattamista?
3. Miten aiotte täyttää tarjoajan velvoitteet 2.12.2027 mennessä?

Sähköpostivastaus näihin on halvin dokumentti, jonka koko aiheesta voi saada. Jos toimittaja ei osaa vastata, sekin on tulos.

Yksi myyntipuheessa toistuva ilmaisu kannattaa osata lukea oikein. "AI Act -yhteensopiva" ei tarkoita asetuksessa yhtään mitään — sellaista statusta ei ole olemassa. Asetus tuntee vaatimustenmukaisuuden arvioinnin, EU-vaatimustenmukaisuusvakuutuksen ja CE-merkinnän, ja korkean riskin järjestelmässä nimenomaan nämä ovat se, mitä pitää kysyä. Kun tuote on vähäisen tai rajatun riskin luokassa, koko käsite on tarpeeton: siinä ei ole mitään, minkä kanssa olla yhteensopiva.

Käytännön nyrkkisääntö: jos toimittaja markkinoi yhteensopivuutta mutta ei osaa sanoa, mihin riskiluokkaan tuote kuuluu, kyse on markkinointitekstistä eikä arviosta. Luokka on se, joka ratkaisee velvoitteet — ei sertifikaatin näköinen merkki verkkosivulla.

Neljä virhettä, joita otsikoiden perusteella tekee

"Ei koske meitä ennen 2027." Koskee jo. Läpinäkyvyysvelvoite on ollut voimassa elokuusta 2026 ja kiellot helmikuusta 2025. Vuosi 2027 koskee korkean riskin järjestelmiä, joita tavallisella pk-yrityksellä ei ole.

"Chatbotin ilmoitus voi odottaa." Ei voi. Määräaika meni jo. Korjaus vie viisi minuuttia: yksi lause keskustelun alkuun, esimerkiksi "Tässä chatissa vastaa tekoälyavustaja. Voit pyytää yhteyttä ihmiseen milloin tahansa." Erillistä suostumusta, ponnahdusikkunaa tai juridista tekstiä ei tarvita.

"Osaamisvelvoite poistui." Ei poistunut, vaan keveni. Velvoite tukea henkilöstön tekoälyosaamista on edelleen voimassa, ja se koskee myös yritystä, joka käyttää pelkästään valmiita työkaluja.

"Toimittaja sanoi, että se on hoidettu." Voi olla, että on. Käyttöönottajan omat velvoitteet eivät silti siirry toimittajalle sopimuksella. Läpinäkyvyysilmoitus näkyy sinun sivullasi ja sinun nimissäsi, ja henkilöstön ohjeistus on lähtökohtaisesti aina oma asia. Toimittaja vastaa tuotteestaan, sinä siitä, miten sitä käytetään.

Näiden neljän taustalla on sama ajatusvirhe: asetusta luetaan yhtenä möhkäleenä, joka joko koskee tai ei koske. Se koostuu erillisistä velvoitteista, joilla on eri kohderyhmät ja eri päivämäärät, ja ne liikkuivat omnibus-muutoksessa eri suuntiin.

Mitä tehdä tällä viikolla

Tämä on koko urakka valtaosalle suomalaisia pk-yrityksiä. Jos jokin kohta osui liitteeseen III — käytännössä siis rekrytointi — kokonaisuus on toinen ja siihen kannattaa varata asiantuntija-apua.

Entä valvonta Suomessa

Kansallinen toimeenpano ehti valmiiksi ennen kesän muutoksia. Tekoälyasetusta valvovien viranomaisten toimivaltuudet tulivat voimaan 1. tammikuuta 2026, ja valvonta on hajautettu viidelletoista viranomaiselle toimialoittain. Traficom toimii kansallisena yhteyspisteenä, tietosuojavaltuutetun toimisto valvoo henkilötietoihin kytkeytyvää puolta.

Mittasuhteet kannattaa säilyttää. Sakkokehys on mitoitettu suuriin ja tahallisiin rikkomuksiin, ei siihen että kuusihenkisen yrityksen chatbotista puuttuu ilmoituslause. Todellinen riski ei ole sakko vaan se, että asia tulee esiin väärään aikaan: kilpailutuksessa, due diligencessä tai asiakkaan tietosuojakyselyssä.

Komissio julkaisi lisäksi 50 artiklan läpinäkyvyysvelvoitteita koskevat suuntaviivat 20. heinäkuuta 2026 sekä niiden rinnalle vapaaehtoisen käytännesäännöstön tekoälyllä tuotetun sisällön merkinnästä. Ne ovat hyödyllisiä, jos julkaiset tekoälyllä tuotettua aineistoa säännöllisesti.

Usein kysyttyä

Lue lisää

Asetuksen kokonaiskuva, roolijako ja velvoitteet käydään läpi sivulla EU:n tekoälyasetus pk-yritykselle. Oman järjestelmän riskiluokan ja velvoitteet määräaikoineen selvittää EU:n tekoälyasetuksen riskiluokitin. Rekrytointi on se yksi korkean riskin käyttö, jonka pk-yritys voi realistisesti ostaa valmiina, ja se käsitellään erikseen artikkelissa tekoäly rekrytoinnissa.

Henkilötietojen käsittely tekoälypalveluissa on oma kokonaisuutensa, ja se käsitellään sivulla tekoäly ja GDPR. Chatbotin ilmoitusvelvollisuutta käytännön tasolla käsitellään sivulla kotisivut ja AI-chatbot, ja koko aihepiirin yleiskatsaus on oppaassa tekoäly yritykselle. Asetuksen alkuperäinen teksti löytyy EUR-Lexistä. Asiakastietojen näkökulma — mihin keskustelut tallentuvat ja mitä toimittajalta pitää kysyä — on käyty läpi artikkelissa chatbotin tietoturva ja asiakastiedot.