EU:n tekoälyasetus pk-yritykselle — mitä se oikeasti vaatii

Mitä EU:n tekoälyasetus vaatii pieneltä suomalaisyritykseltä? Käyttöönottajan velvoitteet, voimaantulon aikataulu omnibus-muutoksen jälkeen ja se osa asetuksesta, joka ei koske sinua lainkaan.

Tekoälyasetuksesta liikkuu pk-yrittäjien keskuudessa kaksi käsitystä, ja molemmat ovat vääriä. Ensimmäisen mukaan kyseessä on GDPR:n kokoluokan urakka, joka vaatii konsultin ja puoli vuotta. Toisen mukaan se koskee vain teknologiajättejä eikä kuusihenkistä tilitoimistoa millään tavalla.

Todellisuudessa tavallisen suomalaisen pk-yrityksen velvoitteet mahtuvat kolmeen kohtaan, ja niiden hoitamiseen menee yksi iltapäivä. Vaikeus ei ole vaatimusten määrässä vaan siinä, että asetus on kirjoitettu ensisijaisesti tekoälyjärjestelmien kehittäjille — ja pk-yritys ei ole kehittäjä. Kun tämän erottelun tekee ensin, valtaosa tekstistä putoaa pois.

Tämä sivu käy läpi sen, mikä osa asetuksesta osuu tavalliseen suomalaisyritykseen, mikä ei, mitkä velvoitteet ovat jo voimassa ja mikä muuttui kesällä 2026. Sivu ei ole oikeudellinen neuvo — siitä lisää lopussa.

Jos haluatte suoran vastauksen omasta järjestelmästänne, riskiluokitin kysyy kuusi kysymystä ja kertoo riskiluokan, velvoitteet ja niiden määräajat. Se toimii selaimessa eikä tallenna vastauksia.

Käyttöönottaja vai tarjoaja — tästä kaikki lähtee

Asetus jakaa toimijat rooleihin, ja kaksi niistä on pk-yrityksen kannalta olennaisia.

Tarjoaja (provider) kehittää tekoälyjärjestelmän ja saattaa sen markkinoille omalla nimellään. Tarjoajalla on raskaat velvoitteet: tekninen dokumentaatio, riskienhallintajärjestelmä, vaatimustenmukaisuuden arviointi, laatujärjestelmä.

Käyttöönottaja (deployer) käyttää jonkun toisen tekemää järjestelmää omassa toiminnassaan. Kun yritys käyttää ChatGPT:tä tarjousten kirjoittamiseen tai ostaa verkkosivuilleen chatbotin, se on käyttöönottaja. Velvoitteet ovat murto-osa tarjoajan velvoitteista.

Käytännössä lähes jokainen alle sadan hengen suomalaisyritys on käyttöönottaja. Tämä yksi rajanveto poistaa suurimman osan asetuksen 113 artiklasta.

Poikkeus, joka kannattaa tietää Rooli voi vaihtua. Jos teetät räätälöidyn tekoälyratkaisun ja markkinoit sitä omalla brändilläsi eteenpäin asiakkaillesi, olet siltä osin tarjoaja. Sama pätee, jos muutat ostamasi järjestelmän käyttötarkoitusta olennaisesti. Omaan sisäiseen käyttöön tai omien asiakkaiden palvelemiseen hankittu ratkaisu ei tätä rajaa ylitä.

Neljä riskitasoa

Asetus ei säätele tekoälyä teknologiana vaan käyttötarkoituksen riskin mukaan. Sama kielimalli voi olla säätelemätön yhdessä käytössä ja korkean riskin toisessa.

Tavanomaiset pk-yrityksen ratkaisut — asiakaspalvelun chatbot, tarjouspohjien kirjoittaminen, sisällöntuotanto, myynnin ennusteet — asettuvat kahdelle alimmalle tasolle. Ylin taso on kielletty kaikilta, ja siihen palataan alempana. Korkean riskin taso on se, jota kannattaa katsoa tarkemmin vain yhdessä tilanteessa, ja se on rekrytointi.

Mikä on voimassa ja milloin

Asetus (EU) 2024/1689 tuli voimaan 1. elokuuta 2024, mutta velvoitteet ovat astuneet voimaan vaiheittain. Kesällä 2026 aikatauluun tuli merkittävä muutos.

Velvoite	Voimassa	Koskeeko pk-yritystä
Kielletyt käytännöt (5 art.)	2.2.2025	Kyllä
Henkilöstön osaaminen (4 art.)	2.2.2025	Kyllä, kevennettynä
Yleiskäyttöiset mallit (GPAI)	2.8.2025	Ei — koskee mallin tarjoajaa
Läpinäkyvyys (50 art.)	2.8.2026	Kyllä, jos käytössä chatbot
Korkea riski, liite III	2.12.2027	Vain rekrytointityökaluissa
Korkea riski, liite I	2.8.2028	Käytännössä ei

Kaksi riviä ansaitsee huomion. Läpinäkyvyysvelvoite tuli voimaan 2. elokuuta 2026 — se on jo voimassa, ja se on ainoa velvoite, jonka kanssa tavallisella yrityksellä voi olla tekemistä juuri nyt. Korkean riskin velvoitteet sen sijaan siirtyivät kauas eteenpäin.

Mikä muuttui kesällä 2026

Komissio antoi marraskuussa 2025 niin kutsutun digitaalisen omnibus-paketin, ja siitä tuli lopulta asetus (EU) 2026/1744, joka tuli voimaan 27. heinäkuuta 2026. Se muutti kolme asiaa.

Liitteen III korkean riskin järjestelmien velvoitteet siirtyivät 2. elokuuta 2026:sta 2. joulukuuta 2027:ään. Tuotteisiin sulautettujen järjestelmien osalta liitteen I määräaika siirtyi vuoteen 2028. Kyse on lykkäyksestä, ei peruutuksesta.

Neljännen artiklan osaamisvelvoite kevennettiin. Aiemmin tarjoajien ja käyttöönottajien oli varmistettava henkilöstön riittävä tekoälyosaaminen. Nyt niiden on tuettava osaamisen kehittymistä, ja pääpaino osaamisen edistämisessä siirtyi komissiolle ja jäsenvaltioille. Käytännön vaatimustaso laski selvästi.

Läpinäkyvyysvelvoitteita ei lykätty. Tämä jää usein huomaamatta uutisoinnissa, jossa puhutaan "AI Actin lykkäyksestä" yleisenä asiana. Ainoa lievennys koski 50 artiklan 2 kohdan merkintävelvoitetta: ennen 2.8.2026 markkinoilla olleille järjestelmille annettiin siirtymäaika 2. joulukuuta 2026 asti.

Muutos ja sen seuraukset käydään yksityiskohtaisesti läpi artikkelissa tekoälyasetus lykättiin — pk-yrityksen ainoa velvoite on jo voimassa, jossa on myös aikajana siitä, mikä siirtyi ja mikä ei.

Velvoite 1: läpinäkyvyys

Tämä on ainoa kohta, jossa tavallisella pk-yrityksellä on tällä hetkellä aktiivinen määräaika takanaan.

Kun asiakas keskustelee tekoälyn kanssa, hänelle on kerrottava se. Vaatimus täyttyy yhdellä lauseella keskustelun alussa: "Tässä chatissa vastaa tekoälyavustaja. Voit pyytää yhteyttä ihmiseen milloin tahansa." Erillistä hyväksyntää tai ponnahdusikkunaa ei tarvita, eikä tekstin tarvitse olla juridista.

Toinen puoli koskee tekoälyn tuottamaa sisältöä, ja siinä on kaksi eri velvoitetta, jotka menevät helposti sekaisin. Koneluettava merkintä (50 art. 2 kohta) on järjestelmän tarjoajan velvoite: sisältöä tuottavan työkalun on merkittävä tuotoksensa. Näkyvä ilmoitus (50 art. 4 kohta) on julkaisijan velvoite, ja se koskee syväväärennöksiä — realistista kuvaa, ääntä tai videota todellisista ihmisistä, paikoista tai tapahtumista — sekä yleisölle julkaistavaa tekstiä yhteiskunnallisesti merkittävistä asioista. Geneerinen tekoälykuvitus mainoksessa tai tekoälyavusteinen tuotekuvaus ei kuulu kummankaan piiriin.

Käytännössä: jos sivustollasi on chatbot, tarkista tänään että se kertoo olevansa botti. Jos julkaiset tekoälyllä tehtyä materiaalia, jossa esiintyy tunnistettava ihminen tai todellinen tapahtuma, kerro se julkaisun yhteydessä.

Velvoite 2: henkilöstön osaaminen

Neljäs artikla velvoittaa tukemaan henkilöstön tekoälyosaamista siinä laajuudessa kuin se on tarpeen suhteessa siihen, mihin tekoälyä yrityksessä käytetään. Kevennyksen jälkeen kyse on tuen tarjoamisesta, ei osaamistason takaamisesta.

Pienessä yrityksessä tämä tarkoittaa yhtä sivua sisäistä ohjetta ja lyhyttä perehdytystä. Ohjeeseen kuuluu, mitä työkaluja saa käyttää, mitä niihin ei syötetä, ja kenelle ilmoitetaan jos jokin menee pieleen. Sertifikaatteja, koulutusohjelmia tai dokumentoituja osaamismatriiseja ei tarvita, eikä asetus niitä pyydä.

Sama ohje hoitaa samalla käytännön ongelman, joka on tietosuojan kannalta olennaisempi kuin mikään asetuksen kohta: varjokäytön, jossa jokainen työntekijä käyttää omaa ilmaisversiotaan ilman sääntöjä.

Velvoite 3: kielletyt käytöt

Viidennen artiklan kiellot ovat olleet voimassa helmikuusta 2025. Suurin osa niistä koskee viranomaisia tai laajamittaista biometriikkaa eikä liity pk-yritykseen mitenkään. Kaksi on sellaisia, joihin tavallinen yritys voi vahingossa törmätä.

Tunteiden tunnistaminen työpaikalla on kielletty. Jos harkitset työkalua, joka analysoi työntekijöiden äänensävyä, ilmeitä tai viestien sävyä mielialan tai sitoutumisen mittaamiseksi, vastaus on ei. Poikkeukset koskevat turvallisuutta ja lääketieteellisiä syitä. Sama kielto koskee oppilaitoksia.

Sosiaalinen pisteytys on kielletty. Ihmisten luokittelu käyttäytymisen tai henkilökohtaisten ominaisuuksien perusteella tavalla, joka johtaa epäedulliseen kohteluun asiayhteydessä, johon tiedot eivät liity. Tavallinen asiakassegmentointi ostohistorian perusteella ei ole tätä.

Asiakaspalvelun chatbot, sisällöntuotanto, laskujen käsittely tai myynnin ennustaminen eivät osu kumpaankaan.

Rekrytointi on se yksi poikkeus

Jos yksi kohta tältä sivulta kannattaa muistaa, se on tämä. Liitteessä III luetellaan korkean riskin käyttötarkoitukset, ja listan neljäs kohta koskee työntekijöiden hankintaa: hakemusten seulonta, hakijoiden arviointi ja pisteytys, ylennyksiä tai irtisanomisia koskevat päätökset, työtehtävien jakaminen.

Tämä on käytännössä ainoa korkean riskin käyttö, jonka kymmenhenkinen yritys voi realistisesti ostaa hyllystä. Rekrytointityökaluja, jotka lupaavat seuloa sata hakemusta ja nostaa parhaat kymmenen, myydään aktiivisesti myös pienille yrityksille — eikä myyjä yleensä avaa sitä, mihin luokkaan tuote asetuksessa kuuluu.

Käyttöönottajan velvoitteet korkean riskin järjestelmässä ovat selvästi raskaammat kuin muualla: järjestelmää on käytettävä käyttöohjeen mukaisesti, käyttöä on valvottava ihmisen toimesta, lokitiedot on säilytettävä ja työntekijöille on kerrottava, että tällaista järjestelmää käytetään heitä koskevassa päätöksenteossa.

Määräaika on 2. joulukuuta 2027. Se ei ole kaukana, jos työkalu on tarkoitus ottaa käyttöön ensi vuonna. Jos harkitset tekoälyavusteista rekrytointiseulontaa, kysy toimittajalta kirjallisesti, luokitteleeko se tuotteensa liitteen III mukaiseksi korkean riskin järjestelmäksi ja miten se aikoo täyttää tarjoajan velvoitteet määräaikaan mennessä.

Rekrytoinnin osuus on käyty läpi kokonaisuudessaan artikkelissa tekoäly rekrytoinnissa — missä menee korkean riskin raja, jossa käsitellään myös yhteistoimintalain ja yhdenvertaisuuslain tuomat kotimaiset vaatimukset.

Kuka valvoo Suomessa

Kansallinen toimeenpano on Suomessa jo pystyssä. Tekoälyasetusta valvovien viranomaisten toimivaltuudet tulivat voimaan 1. tammikuuta 2026.

Valvonta on hajautettu viidelletoista viranomaiselle toimialoittain, mikä poikkeaa GDPR:n mallista, jossa on yksi valvoja. Liikenne- ja viestintävirasto Traficom toimii kansallisena yhteyspisteenä ja koordinoi kokonaisuutta. Tietosuojavaltuutetun toimisto valvoo henkilötietojen käsittelyyn liittyvää puolta, Tukes tuoteturvallisuuteen kytkeytyviä järjestelmiä ja Lupa- ja valvontavirasto sosiaali- ja terveydenhuollon käyttöä.

Pk-yrityksen kannalta tämä tarkoittaa käytännössä sitä, että jos jotain kysytään, kysyjä on todennäköisimmin tietosuojavaltuutettu ja kysymys koskee henkilötietoja — ei asetuksen teknisiä vaatimuksia.

Sakot ja se, kenelle ne on tarkoitettu

Sanktiot ovat kirjoitettu näkyviksi. Kiellettyjen käytäntöjen rikkomisesta enintään 35 miljoonaa euroa tai 7 % maailmanlaajuisesta liikevaihdosta, muiden velvoitteiden rikkomisesta enintään 15 miljoonaa tai 3 %, ja harhaanjohtavien tietojen antamisesta viranomaiselle 7,5 miljoonaa tai 1 %. Pk-yrityksille sovelletaan näistä alempaa vaihtoehtoa.

Näiden lukujen kanssa kannattaa säilyttää mittasuhteet. Sakkokehys on suunniteltu suuriin, tahallisiin ja laajavaikutteisiin rikkomuksiin. Kuusihenkinen yritys, jonka chatbot ei kerro olevansa botti, ei ole valvonnan kohde — se saa kehotuksen korjata asia. Riski ei ole sakko vaan se, että asia tulee esiin väärään aikaan: kilpailutuksessa, due diligencessä tai asiakkaan tietosuojakyselyssä.

Tarkistuslista

Yksi iltapäivä riittää

Kirjaa ylös, mitä tekoälytyökaluja yrityksessä käytetään ja mihin.
Aja jokainen niistä riskiluokittimen läpi ja tulosta tulos talteen.
Jos sivustolla on chatbot, varmista että se kertoo olevansa tekoäly.
Kirjoita yhden sivun sisäinen ohje: sallitut työkalut, kielletty syöte, kenelle ilmoitetaan.
Varmista, ettei käytössä ole mitään, mikä analysoi henkilöstön tunnetiloja.
Jos harkitset tekoälyavusteista rekrytointiseulontaa, käsittele se erikseen ja kysy toimittajalta liitteen III luokittelusta.

Milloin tarvitset juristia

Tämä sivu on kirjoitettu tavallisen pk-yrityksen tavanomaisiin käyttötapauksiin eikä ole oikeudellinen neuvo. Käänny asiantuntijan puoleen, jos rakennat tekoälyä tuotteeseen jota myyt eteenpäin, jos käyttötapaus osuu liitteeseen III, jos käsittelet terveys- tai muita erityisiä henkilötietoryhmiä, tai jos toimit säännellyllä alalla, jossa on omat sektorikohtaiset vaatimuksensa.

Kaikessa muussa asetus on kevyempi kuin sen maine.

Usein kysyttyä

Koskeeko EU:n tekoälyasetus pientä yritystä?

Koskee, mutta kevyesti. Lähes jokainen pk-yritys on asetuksessa käyttöönottaja eikä tarjoaja, jolloin velvoitteita on käytännössä kolme: läpinäkyvyys chatbotin käytössä, henkilöstön osaamisen tukeminen ja kiellettyjen käyttöjen välttäminen. Raskaat dokumentaatio- ja arviointivelvoitteet koskevat järjestelmien kehittäjiä.

Mitä tekoälyasetus vaatii chatbotin käytössä?

Käyttäjälle on kerrottava, että hän keskustelee tekoälyn kanssa. Yksi lause keskustelun alussa riittää, eikä erillistä suostumusta tarvita. Velvoite tuli voimaan 2. elokuuta 2026 ja se on ainoa asetuksen kohta, jolla on tavalliselle yritykselle jo umpeutunut määräaika.

Lykkäsikö omnibus-muutos kaikkia tekoälyasetuksen velvoitteita?

Ei. Heinäkuussa 2026 voimaan tullut asetus (EU) 2026/1744 siirsi liitteen III korkean riskin velvoitteet joulukuuhun 2027 ja liitteen I velvoitteet vuoteen 2028. Läpinäkyvyysvelvoitteet, kielletyt käytännöt ja osaamisvelvoite jäivät voimaan — osaamisvelvoitetta kevennettiin sisällöllisesti.

Vaatiiko tekoälyasetus henkilöstön kouluttamista?

Ei muodollista koulutusta. Neljäs artikla velvoittaa tukemaan henkilöstön tekoälyosaamista suhteessa siihen, mihin tekoälyä käytetään. Omnibus-muutoksen jälkeen kyse on tuen tarjoamisesta, ei osaamistason takaamisesta. Yhden sivun sisäinen ohje ja lyhyt perehdytys riittävät pienessä yrityksessä.

Onko tekoälyn käyttö rekrytoinnissa sallittua?

On, mutta hakijoiden seulonta ja arviointi luokitellaan liitteen III mukaiseksi korkean riskin käytöksi, jota koskevat tiukemmat vaatimukset 2. joulukuuta 2027 alkaen. Käyttöönottajan on muun muassa varmistettava ihmisen tekemä valvonta ja kerrottava hakijoille järjestelmän käytöstä. Tämä on käytännössä ainoa korkean riskin käyttö, jonka pieni yritys voi ostaa valmiina.

Mitkä tekoälyn käytöt ovat kokonaan kiellettyjä?

Pk-yrityksen kannalta olennaisia ovat kaksi: tunteiden tunnistaminen työpaikalla ja ihmisten sosiaalinen pisteytys. Loput kiellot koskevat viranomaistoimintaa ja laajamittaista biometristä tunnistamista. Kiellot ovat olleet voimassa helmikuusta 2025.

Kuka valvoo tekoälyasetusta Suomessa?

Valvonta on jaettu viidelletoista viranomaiselle toimialoittain, ja niiden toimivaltuudet tulivat voimaan 1. tammikuuta 2026. Traficom toimii kansallisena yhteyspisteenä, tietosuojavaltuutetun toimisto valvoo henkilötietoihin liittyvää puolta.

Kuinka suuria sakot voivat olla?

Kiellettyjen käytäntöjen osalta enintään 35 miljoonaa euroa tai 7 % liikevaihdosta, muiden velvoitteiden osalta 15 miljoonaa tai 3 %. Pk-yrityksiin sovelletaan alempaa vaihtoehtoa. Sakkokehys on mitoitettu suuriin ja tahallisiin rikkomuksiin, ei siihen että pienen yrityksen chatbotista puuttuu ilmoituslause.

Lue lisää

Tämä sivu on osa opastamme tekoälystä yritykselle. Henkilötietojen käsittely tekoälypalveluissa on oma kokonaisuutensa, ja se käydään läpi sivulla tekoäly ja GDPR. Käytännön eteneminen kuvataan sivulla tekoälyn käyttöönotto ja kustannukset sivulla mitä AI-agentti maksaa.

Chatbotin läpinäkyvyysvaatimusta käsitellään käytännön tasolla sivulla kotisivut ja AI-chatbot. Sääntelyn ulkopuolisia eettisiä kysymyksiä pohditaan artikkelissa tekoäly ja etiikka, ja tekoälyn roolia asiakaspalvelussa artikkelissa tekoäly asiakaspalvelussa. Jos haluat käydä läpi oman tilanteenne, ota yhteyttä.

Pyydä tarjous →