EU:n tekoälyasetuksen riskiluokitin

Tekoälyasetuksen hankalin kohta ei ole velvoitteiden määrä. Se on se, että ennen kuin tietää mitkä velvoitteet koskevat itseä, pitää tehdä kaksi luokittelua: missä roolissa yritys järjestelmää käyttää ja mihin riskiluokkaan käyttötarkoitus osuu. Kummallekaan ei ole olemassa suomenkielistä lomaketta, joten kysymys päätyy joko konsultin laskutettavaksi tunniksi tai arvaukseksi.

Tämä luokitin tekee molemmat. Se kysyy kuusi tai seitsemän kysymystä siitä, mitä järjestelmä tekee ja miten sitä käytetään, ja antaa tulokseksi riskiluokan, teitä koskevat velvoitteet ja päivämäärän, johon mennessä kukin niistä on hoidettava. Vastauksia ei lähetetä mihinkään — päättely tapahtuu kokonaan selaimessanne, eikä mitään tallenneta.

Miten luokitin päättelee tuloksen

Luokitin kulkee saman polun, jonka juristi kävisi läpi kynällä ja paperilla, ja siinä on kolme vaihetta.

Ensin selvitetään rooli. Asetus asettaa raskaimmat velvoitteet tarjoajalle, joka kehittää järjestelmän ja saattaa sen markkinoille. Käyttöönottaja, joka käyttää jonkun toisen tekemää järjestelmää, saa murto-osan niistä. Tämä yksi rajanveto poistaa suurimman osan asetuksen 113 artiklasta ennen kuin muuhun on edes koskettu. Rooli voi kuitenkin vaihtua kesken kaiken, ja siitä kysytään erikseen.

Sitten selvitetään käyttötarkoitus. Asetus ei säätele tekoälyä teknologiana. Sama kielimalli voi olla säätelemätön yhdessä käytössä ja korkean riskin järjestelmä toisessa, joten kysymys ei koskaan ole "käytättekö tekoälyä" vaan "mihin".

Lopuksi selvitetään kohtaaminen ihmisen kanssa: keskusteleeko järjestelmä ihmisten kanssa ja julkaistaanko sen tuotoksia. Nämä laukaisevat 50 artiklan läpinäkyvyysvelvoitteet, jotka ovat riskiluokasta riippumattomia ja koskevat myös aivan tavallisia järjestelmiä.

Näiden kolmen perusteella tulos putoaa yhteen neljästä luokasta, ja velvoitteet kertyvät sen mukaan. Kun jokin kysymys jää auki, luokitin ei arvaa alaspäin: se ottaa varovaisemman tulkinnan ja merkitsee kohdan tulokseen erikseen, jotta tiedätte mistä kysyä toimittajalta tarkennus.

Neljä riskiluokkaa

Kielletty käyttö (5 artikla). Ehdoton kielto, joka ei jousta dokumentoinnilla tai suostumuksella. Suurin osa kielloista koskee viranomaisia ja laajamittaista biometriikkaa, mutta kaksi osuu myös tavalliseen yritykseen: tunnetilojen päättely työpaikalla tai oppilaitoksessa, ja ihmisten luokittelu biometrisen datan perusteella arkaluontoisten ominaisuuksien mukaan. Kiellot ovat olleet voimassa 2. helmikuuta 2025 alkaen.

Korkea riski (liite III ja liite I). Käyttötarkoitus, jolla on merkittävä vaikutus ihmisen oikeuksiin tai turvallisuuteen. Tarjoajalle tämä tarkoittaa dokumentaatiota, riskienhallintajärjestelmää ja vaatimustenmukaisuuden arviointia. Käyttöönottajalle se tarkoittaa 26 artiklan velvoitteita, jotka ovat raskaammat kuin muualla mutta silti hoidettavissa ilman sertifiointiprojektia.

Rajattu riski (50 artikla). Järjestelmä ei ole vaarallinen, mutta ihmisen on tiedettävä olevansa tekemisissä tekoälyn kanssa. Käytännössä kyse on yhdestä lauseesta chatin alussa ja yhdestä merkintätavasta julkaistavassa sisällössä.

Vähäinen riski. Kaikki muu. Ei ilmoituksia, ei dokumentaatiota, ei arviointeja. Tähän luokkaan päätyy valtaosa siitä, mitä suomalaisyrityksissä tekoälyllä oikeasti tehdään.

Käyttöönottaja vai tarjoaja

Roolikysymys ratkaisee enemmän kuin riskiluokka, ja se menee väärin useammin. Nyrkkisääntö on yksinkertainen: jos ostitte järjestelmän ja käytätte sitä siihen, mihin myyjä sen tarkoitti, olette käyttöönottaja.

Rooli vaihtuu kolmessa tilanteessa, ja ne kannattaa tarkistaa erikseen. Ensinnäkin jos laitatte oman nimenne tai tavaramerkkinne korkean riskin järjestelmään ja tarjoatte sitä eteenpäin, teistä tulee 25 artiklan mukaan tarjoaja — vaikka koodirivikään ei olisi teidän. Toiseksi jos muutatte järjestelmää olennaisesti. Kolmanneksi jos muutatte sen käyttötarkoitusta: valmiin työkalun valjastaminen johonkin, mihin toimittaja ei sitä tarkoittanut, siirtää vastuun teille.

Omaan sisäiseen käyttöön tai omien asiakkaiden palvelemiseen hankittu ratkaisu ei tätä rajaa ylitä, vaikka se olisi teitä varten räätälöity. Ratkaisevaa on se, kenen nimellä ja mihin tarkoitukseen järjestelmä päätyy markkinoille.

Liitteen III kahdeksan korkean riskin luokkaa

Korkean riskin käyttötarkoitukset on lueteltu liitteessä III tyhjentävästi. Jos käyttötapaus ei ole tällä listalla eikä järjestelmä ole turvallisuuskomponentti liitteen I tuotteessa, se ei ole korkean riskin järjestelmä — riippumatta siitä, kuinka kehittynyt se on.

1. Biometriikka — etätunnistus, biometrinen luokittelu arkaluontoisten ominaisuuksien mukaan, tunteentunnistus.
2. Kriittinen infrastruktuuri — liikenteen, veden, kaasun, lämmön, sähkön tai digitaalisen infrastruktuurin turvallisuuskomponentit.
3. Koulutus — pääsy ja opiskelijavalinta, oppimistulosten arviointi, osaamistason määrittäminen, kokeiden valvonta.
4. Työelämä — hakijoiden seulonta ja arviointi, ylennykset ja irtisanomiset, tehtävänjako, suoriutumisen seuranta.
5. Olennaiset palvelut — julkiset etuudet, luonnollisen henkilön luottokelpoisuuden arviointi, henki- ja sairausvakuutuksen riskiarvio ja hinnoittelu, hätäpuheluiden priorisointi.
6. Lainvalvonta — rikosriskin arviointi, todisteiden luotettavuuden arviointi, profilointi.
7. Maahanmuutto ja rajavalvonta — viisumihakemusten käsittely, riskiarviot, henkilöiden tunnistaminen.
8. Oikeudenkäyttö ja demokraattiset prosessit — tuomioistuinten päätöksenteon tuki, vaalitulokseen vaikuttaminen.

Näistä neljäs on ainoa, jonka kymmenhenkinen suomalaisyritys voi realistisesti ostaa hyllystä. Viides tulee vastaan rahoitus- ja vakuutusalalla. Loput kuusi koskevat viranomaisia, laitevalmistajia ja oppilaitoksia.

Milloin mikin velvoite alkaa

Kaksi riviä ansaitsee huomion. Läpinäkyvyysvelvoite on jo voimassa — se on ainoa asetuksen kohta, jolla on tavallisella yrityksellä umpeutunut määräaika takanaan. Korkean riskin velvoitteet sen sijaan siirtyivät kauas eteenpäin.

Mitä omnibus-muutos muutti

Komissio antoi marraskuussa 2025 digitaalisen omnibus-paketin, ja siitä tuli lopulta asetus (EU) 2026/1744, joka tuli voimaan 27. heinäkuuta 2026. Se muutti kolme asiaa, ja luokittimen logiikka noudattaa muutettua tekstiä.

Liitteen III korkean riskin velvoitteet siirtyivät 2. elokuuta 2026:sta 2. joulukuuta 2027:ään, ja liitteen I osalta määräaika siirtyi elokuuhun 2028. Syy oli käytännöllinen: yhdenmukaistetut standardit, joilla vaatimustenmukaisuus osoitetaan, olivat kesken eivätkä kansalliset valvontarakenteet olleet valmiina. Kyse on lykkäyksestä, ei peruutuksesta.

Neljännen artiklan osaamisvelvoite kevennettiin. Aiemmin osaaminen oli varmistettava, nyt sitä on tuettava. Velvoite muuttui tulosvelvoitteesta huolellisuusvelvoitteeksi, eikä kenenkään yksittäisen työntekijän osaamistasoa tarvitse taata. Korkean riskin järjestelmän käyttöönottajaa koskevat silti edelleen 26 artiklan 2 kohdan tiukemmat osaamisvaatimukset.

Läpinäkyvyysvelvoitteita ei lykätty. Tämä jää säännöllisesti huomaamatta uutisoinnissa, jossa puhutaan "AI Actin lykkäyksestä" yhtenä asiana. Ainoa lievennys koski 50 artiklan 2 kohdan merkintävelvoitetta: ennen 2.8.2026 markkinoille saatetuille järjestelmille annettiin siirtymäaika 2. joulukuuta 2026 asti. Komissio julkaisi lisäksi läpinäkyvyysvelvoitteita koskevat suuntaviivat 20. heinäkuuta 2026, ja niiden rinnalle vapaaehtoisen käytännesäännöstön tekoälyllä tuotetun sisällön merkinnästä.

Kolme kohtaa, joissa luokitus menee tavallisimmin väärin

Chatbot luullaan korkean riskin järjestelmäksi. Ei ole. Asiakaspalvelun chatbot on rajatun riskin järjestelmä, jonka koko velvoite on kertoa käyttäjälle olevansa tekoäly. Yksi lause keskustelun alussa riittää, eikä erillistä suostumusta, ponnahdusikkunaa tai juridista tekstiä tarvita.

Tekoälyllä tuotettu markkinointikuva luullaan merkintävelvoitteen alaiseksi. Useimmiten ei ole. 50 artiklan 4 kohdan ilmoitusvelvoite koskee syväväärennöksiä — realistista aineistoa todellisista ihmisistä, paikoista tai tapahtumista — sekä yleisölle julkaistavaa tekstiä yhteiskunnallisesti merkittävistä asioista. Geneerinen kuvituskuva tai tekoälyavusteinen tuotekuvaus ei ole kumpaakaan. Koneluettava merkintä 50 artiklan 2 kohdan nojalla puolestaan on järjestelmän tarjoajan, ei käyttäjän, velvoite.

Rekrytointityökalu luullaan tavalliseksi ohjelmistoksi. Tässä virhe menee toiseen suuntaan ja on kalliimpi. Hakemusten seulonta ja hakijoiden pisteytys ovat liitteen III neljäs kohta. Rekrytointityökaluja myydään aktiivisesti myös pienille yrityksille, eikä myyjä yleensä avaa sitä, mihin luokkaan tuote asetuksessa kuuluu. Jos harkitsette tekoälyavusteista seulontaa, kysykää toimittajalta kirjallisesti kolme asiaa: luokitteleeko hän tuotteensa liitteen III mukaiseksi korkean riskin järjestelmäksi, mihin poikkeusperusteeseen hän mahdollisesti vetoaa, ja miten hän täyttää tarjoajan velvoitteet 2.12.2027 mennessä.

Kuka valvoo Suomessa

Kansallinen toimeenpano on Suomessa pystyssä. Tekoälyasetusta valvovien viranomaisten toimivaltuudet tulivat voimaan 1. tammikuuta 2026.

Valvonta on hajautettu viidelletoista viranomaiselle toimialoittain, mikä poikkeaa tietosuoja-asetuksen mallista, jossa on yksi valvoja. Liikenne- ja viestintävirasto Traficom toimii kansallisena yhteyspisteenä ja koordinoi kokonaisuutta. Tietosuojavaltuutetun toimisto valvoo henkilötietojen käsittelyyn kytkeytyvää puolta, Tukes tuoteturvallisuutta, Lupa- ja valvontavirasto sosiaali- ja terveydenhuollon käyttöä ja Finanssivalvonta rahoitusalaa.

Pk-yrityksen kannalta tämä tarkoittaa käytännössä sitä, että jos jotain kysytään, kysyjä on todennäköisimmin tietosuojavaltuutettu ja kysymys koskee henkilötietoja — ei asetuksen teknisiä vaatimuksia. Riski ei ole sakko vaan se, että asia tulee esiin väärään aikaan: kilpailutuksessa, due diligencessä tai asiakkaan tietosuojakyselyssä.

Työkalun lähteet ja ylläpito

Luokitin perustuu asetukseen (EU) 2024/1689 sellaisena kuin se on muutettuna asetuksella (EU) 2026/1744, sekä komission julkaisemiin 50 artiklan suuntaviivoihin. Päättelysäännöt, päivämäärät ja velvoitetekstit on koottu yhteen tiedostoon, jotta ne voidaan päivittää yhdestä paikasta kun sääntely muuttuu — ja sääntely muuttuu vielä.

Työkalu antaa suuntaa, ei oikeudellista neuvoa. Se ei tunne toimialanne sektorikohtaista sääntelyä, ei näe sopimuksianne eikä tiedä, mitä järjestelmänne datalle tosiasiassa tekee. Kääntykää asiantuntijan puoleen, jos rakennatte tekoälyä tuotteeseen jota myytte eteenpäin, jos käyttötapaus osuu liitteeseen III, jos käsittelette terveys- tai muita erityisiä henkilötietoryhmiä, tai jos toimitte säännellyllä alalla.

Jos huomaatte luokittimessa virheen tai sääntely ehtii tämän sivun edelle, kertokaa siitä. Korjaamme sen.

Usein kysyttyä

Lue lisää

Velvoitteiden tausta ja perustelut käydään läpi sivulla EU:n tekoälyasetus pk-yritykselle, joka on tämän työkalun emosivu. Henkilötietojen käsittely tekoälypalveluissa on oma kokonaisuutensa, ja se käsitellään sivulla tekoäly ja GDPR.

Chatbotin läpinäkyvyysvaatimusta käsitellään käytännön tasolla sivulla kotisivut ja AI-chatbot, ja tekoälyn käyttöönoton vaiheet sivulla tekoälyn käyttöönotto. Koko aihepiirin yleiskatsaus on oppaassa tekoäly yritykselle. Jos haluatte käydä oman tilanteenne läpi, ottakaa yhteyttä.