EU:n tekoälysäädös kuntakentällä
Tälle sivustolle on koottu tietoa Euroopan unionin tekoälysäädöksestä, joka asettaa reunaehtoja tekoälyn käytölle myös julkisella sektorilla. Asetus perustuu tekoälyjärjestelmien riskiperusteiseen luokitteluun. Asetuksella kielletään haitallisimmat tekoälyn käyttötavat sekä määritellään suuririskisiä tekoälyjärjestelmiä koskevat erityisvaatimukset. Lisäksi asetuksessa säädetään esimerkiksi tiettyihin tekoälyjärjestelmiin liittyvistä avoimuusvelvoitteista sekä yleiskäyttöisten tekoälymallien markkinoille asettamista koskevista säännöistä.
Tekoälysäädös tuli voimaan 1.8.2024, ja sen soveltaminen etenee vaiheittain. Tekoälylukutaitoa ja kiellettyjä tekoälyjärjestelmiä koskevia säännöksiä on sovellettu 2.2.2025 alkaen, ja avoimuusvelvoitteita 2.8.2026 alkaen. Sen sijaan esimerkiksi tiettyjen suuririskisiä tekoälyjärjestelmiä (liite III) koskevien velvoitteiden soveltamisen alkamista on lykätty loppuvuoteen 2.12.2027 saakka osana EU:n sääntelyn yksinkertaistamistoimia (ns. AI Omnibus -paketti). Tarkempi aikataulu on kuvattu alempana kohdassa Portaittainen toimeenpanon aikataulu.
Tekoälysäädöksen tavoitteena on varmistaa, että tekoälyjärjestelmät eivät vaaranna ihmisten terveyttä, turvallisuutta tai perusoikeuksia. Asetus rakentuu olemassa olevalle markkinavalvonta- ja tuoteturvallisuussääntelylle. Suurin osa sääntelystä koskee suuririskisten tekoälyjärjestelmien tarjoajia. Rajoitetun riskin tekoälyjärjestelmiä ja tekoälyjärjestelmien käyttöönottajia koskevat huomattavasti suppeammat velvoitteet.
Tekoälysäädös velvoittaa erilaisiin toimenpiteisiin riippuen toimijan roolista sekä tekoälyjärjestelmän käyttötarkoituksesta ja siihen liittyvästä riskiluokituksesta. Säädöstä varten ei kuitenkaan välttämättä tarvitse luoda täysin uusia hallintamalleja ja käytäntöjä. Jo olemassa olevia ratkaisuja, jotka perustuvat muihin säädöksiin, voidaan päivittää tarvittavilta osin. Koska tekosäädöksessä tekoälyjärjestelmiä säännellään riskiperusteisesti, se ei yksin kata kaikkia julkisessa hallinnossa tekoälyn käyttöön liittyviä vaatimuksia. Tekoälyasetuksen lisäksi on huomioitava muun muassa perustuslain, tietosuoja-asetuksen, julkisuuslain, hallintolain, digipalvelulain ja tiedonhallintalain vaatimukset. Velvoitteiden täyttämisessä voidaan kuitenkin usein hyödyntää eri säädösten välisiä synergioita. Lisätietoa tekoälyn käyttöä koskevista oikeudellisista reunaehdoista löytyy sivulta Tekoäly kunnan hallinnossa – oikeudelliset reunaehdot.
Mistä kunnan kannattaa lähteä liikkeelle säädöksen soveltamista pohtiessa?
Tekoälysäädöksen velvoitteet riippuvat sekä toimijan roolista että tekoälyjärjestelmän käyttötarkoituksesta ja sen määrittämästä riskitasosta. Kunnat toimivat useimmiten tekoälyjärjestelmien käyttöönottajina. Moni työn tukena käytetty tekoälyjärjestelmä on vähäisen riskin luokituksessa, jolloin tekoälysäädöksen sääntely ei kohdistu niihin. Tekoälysäädöksen velvoitteet ovat huomattavasti laajemmat silloin, kun kunta itse kehittää tai on mukana kehittämässä tekoälyjärjestelmiä tai käyttää tekoälyä suuririskiseksi luokitellussa käyttötarkoituksessa, kuten rekrytoinnissa.
Kunnan tuleekin
- tunnistaa ne kunnan palvelut ja tehtävät, joissa kunnalla on käytössä tai tarvetta käyttää tekoälyjärjestelmiä
Näiden osalta tulee
- tunnistaa kunnan rooli ja tekoälyjärjestelmän käyttötarkoitus ja riskitaso kussakin tapauksessa.
Jotta asetuksen velvoitteita voidaan noudattaa, olisi
- jo tekoälyn käyttöä suunnitellessa ymmärrettävä, millaista tekoälyjärjestelmää ollaan hankkimassa ja mihin käyttötarkoitukseen.
Kun kunnan rooli ja tekoälyjärjestelmän käyttötarkoitus sekä riskitaso on tunnistettu, tulee kunnassa arvioida, mitä käytännön toimenpiteitä asetuksen noudattaminen edellyttää. Selvitettävänä kannattaa olla esimerkiksi:
- Miten olemassa olevat hallintamallit ja käytännöt mahdollisesti jo vastaavat asetuksen vaatimuksia.
- Mitä uusia toimenpiteitä tekoälysäädöksen noudattaminen edellyttää kunnassa.
- Miten tekoälysäädöksen velvoitteet tulee huomioida hankinnoissa ja sopimuksissa.
- Kenellä kunnassa tulee olla ymmärrystä tekoälystä ja tekoälysäädöksestä, minkä tasoista osaamista eri työroolit edellyttävät ja miten rooliperusteinen osaaminen varmistetaan käytännössä.
- Muu lainsäädäntö ja sen asettamat vaatimukset.
- Esimerkki Osaamispolku-palvelun sääntely-ympäristön arvioinnista hallituksen esityksessä laiksi valtakunnallisesta osaamistietovarannosta ja siihen liittyviksi laeiksilinkki toiseen palveluun sivuilla 10–32.
Kuntien tulee huomioida myös se, että tekoälysäädöksen mukaisesti yksilöillä on oikeus tehdä valitus viranomaiselle, jos he epäilevät, että tekoälysäädöksen säännöksiä on rikottu. Näiltäkin osin oma dokumentaatio ja tiedonhallinta on oleellista, jotta tilanteen selvitys on tarvittaessa mahdollista toteuttaa.
Olemme koostaneet Kuntaliiton sivuille EU-säädöksiin liittyen materiaalia, josta on muun tiedon lisäksi löydettävissä myös tarkempaa tietoa tarjoajia ja käyttöönottajia koskevista velvoitteista.
Mikä on tekoälyjärjestelmä?
Tekosäädöksen mukaan tekoälyjärjestelmällä tarkoitetaan konepohjaista järjestelmää, joka on suunniteltu toimimaan käyttöönoton jälkeen vaihtelevilla autonomian tasoilla ja jossa voi ilmetä mukautuvuutta käyttöönoton jälkeen ja joka päättelee vastaanottamastaan syötteestä eksplisiittisiä tai implisiittisiä tavoitteita varten, miten tuottaa tuotoksia, kuten ennusteita, sisältöä, suosituksia tai päätöksiä, jotka voivat vaikuttaa fyysisiin tai virtuaalisiin ympäristöihin. Komissio on julkaissut ohjeet tekoälyjärjestelmän määrittelyyn.
Tekoälyjärjestelmiä eivät sen sijaan ole sääntöpohjaiset järjestelmät, jossa ihminen on määrittänyt säännöt (jos-niin) ja jossa järjestelmä toimii puhtaasti sääntöjen pohjalta automaattisesti. Tällaiset järjestelmät eivät siis kuulu tekoälysäädöksen piiriin. Esimerkiksi jos asukaspysäköintiluvan saamisen edellytyksenä on ajokortti, ajoneuvo sekä asuminen lupa-alueella, niin sääntöpohjainen järjestelmä voisi sisältää säännöt:
1) JOS hakijalla on voimassa oleva ajokortti NIIN hakemus hyväksyttävissä
2) JOS hakijalla on ajoneuvo, NIIN hakemus hyväksyttävissä
3) JOS hakija asuu lupa-alueella NIIN hakemus hyväksyttävissä
4) JOS kaikki kolme edellistä osoittavat, että hakemus hyväksyttävissä, NIIN hyväksy lupahakemus.
Jos järjestelmä esimerkiksi tekee arviointia, ennusteita tai suosituksia perustuen sille syötettyyn dataan ja mukauttaa vastauksia uuden datan myötä (oppien hyväksymiskriteerejä esimerkiksi aiemmista luparatkaisujen päätöksistä), on järjestelmä luettavissa tekoälyjärjestelmäksi.
Tekoälysäädöksen velvoitteita
Velvoitteet riippuvat tekoälyjärjestelmän käyttökohteesta ja -tavasta sekä kunnan roolista.
Suuririskiset järjestelmät
Tarjoaja:
- Varmistettava, että tekoälyjärjestelmä on asetuksen suuririskisiä tekoälyjärjestelmiä koskevien vaatimusten mukainen. Vaatimukset koskevat
- Vaatimustenmukaisuutta
- Riskinhallintajärjestelmää
- Dataa ja datanhallintaa
- Teknistä dokumentaatiota
- Tietojen säilyttämistä
- Avoimuutta ja tietojen antamista käyttöönottajille
- Ihmisen suorittamaa valvontaa
- Tarkkuutta, vakautta ja kyberturvallisuutta
- Otettava käyttöön laadunhallintajärjestelmä
- Säilytettävä tietty tekninen dokumentaatio ja automaattisesti tuotetut lokitiedot
- Valittava vaatimuksenmukaisuuden arviointimenettely ennen tekoälyjärjestelmän markkinoille saattamista tai käyttöönottoa
- Laadittava EU-vaatimustenmukaisuusvakuutus
- Kiinnitettävä suuririskiseen järjestelmään CE-merkintä ja varmistettava, että suuririskinen järjestelmä täyttää saavutettavuusdirektiivin ja esteettömyysdirektiivin mukaiset esteettömyysvaatimukset
- Rekisteröitävä itsensä ja järjestelmänsä EU:n tietokantaan
- Perustettava ja dokumentoitava seurantajärjestelmä
- Tehtävä yhteistyötä kansallisen toimivaltaisen viranomaisen kanssa.
Käyttöönottaja:
- Käytettävä järjestelmiä tarjoajan toimittamien käyttöohjeiden ja tarjoajan määrittämän käyttötarkoituksen mukaisesti sekä seurattava tekoälyjärjestelmän toimintaa käyttöohjeiden perusteella.
- Huolehdittava järjestelmän ihmisvalvonnasta ja annettava ihmisen suorittama valvonta tehtäväksi henkilöille, joilla on tarvittava pätevyys, koulutus, valtuudet ja tuki saatavilla.
- Siltä osin kuin käyttöönottaja valvoo syöttötietoja, varmistettava, että ne ovat merkityksellisiä ja riittävän edustavia järjestelmän käyttötarkoituksen kannalta.
- Ilmoitettava riskeistä ja vaaratilanteista tarjoajalle, jakelijalle ja asianomaiselle markkinavalvontaviranomaiselle.
- Säilytettävä vähintään kuuden kuukauden ajan järjestelmän automaattisesti tuottamat lokitiedot.
- Rekisteröidyttävä, valittava järjestelmä ja rekisteröitävä sen käyttö EU:n tietokantaan. Käyttöön ei voida ottaa järjestelmää, jota ei ole rekisteröity EU:n tietokantaan.
- Ennen tekoälyjärjestelmän käyttöönottoa ilmoitettava työnantajana työntekijöille, että aiotaan soveltaa heihin suuririskistä tekoälyjärjestelmää.
- Ilmoitettava luonnollisille henkilöille, kun heihin sovelletaan suuririskistä tekoälyjärjestelmää, jos käyttöönottaja tekee tai auttaa tekemään luonnollisiin henkilöihin liittyviä päätöksiä. (Viranomaistoiminnassa ei toistaiseksi ole sallittua tehdä päätöksiä tekoälyavusteisesti. Kansallisessa lainsäädännössä on mahdollistettu toistaiseksi vain sääntöpohjainen päätösautomaatio.)
- Tehtävä yhteistyötä asiaankuuluvien toimivaltaisten viranomaisten kanssa.
Laadittava perusoikeusvaikutusten arviointi (Fundamental Rights Impact Assessment, FRIA) sekä muut tarvittavat arvioinnit ennen tekoälyjärjestelmän käyttöönottoa, ks. lisätietoa sivulta Tekoäly kunnan hallinnossa – oikeudelliset reunaehdot.
Rajoitetun riskin järjestelmien avoimuusvelvoitteet
Tekoälysäädöksen 50 artiklassa säädetään tiettyjen tekoälyjärjestelmien tarjoajia ja käyttöönottajia koskevista avoimuusvelvoitteista, jotka koskevat niitä tekoälyjärjestelmiä, jotka kommunikoivat ihmisten kanssa. Toisin sanoen tekoälysäädös velvoittaa tietyissä tilanteissa kertomaan tekoälyn käytöstä. Avoimuusvelvoitteet tulivat voimaan 2.8.2026. Ennen tätä tuotettua tai julkaistua tekoälysisältöä ei tarvitse merkitä takautuvasti.
Avoimuusvelvoitteessa oleellista on, että tekoälyjärjestelmiä kehitetään ja käytetään tavalla, joka mahdollistaa asianmukaisen jäljitettävyyden ja selitettävyyden, ja saa ihmiset tietoiseksi siitä, että he asioivat tekoälyn kanssa tai että tekoäly on luonut esimerkiksi kunnan tiedotteiden sisällön. Velvoite ei yleensä koske järjestelmiä, joiden kanssa henkilö ei asioi suoraan, kuten roskapostisuodatin, suosittelujärjestelmät tai taustalla toimivat päätöksenteon tukijärjestelmät. Avoimuusvelvoitteiden noudattamista valvova Traficom on tuottanut ohjeita tekoälyn käytöstä kertomiseen. Tekoälyllä tuotetun sisällön merkitsemiseen on myös EU:n tuottamia kuvakkeita.
Avoimuusvelvoitteet kohdistuvat sekä tekoälyjärjestelmän tarjoajiin että käyttöönottajiin.
Tarjoaja
- Ilmoitettava luonnolliselle henkilölle, että tämä on vuorovaikutuksessa tekoälyjärjestelmän kanssa, ellei tämä ole ilmeistä.
- Merkittävä synteettistä ääni-, kuva-, video- tai tekstisisältöä tuottavien tekoälyjärjestelmien tuotokset koneellisesti luettavassa muodossa ja varmistettava, että ne voidaan tunnistaa keinotekoisesti tuotetuiksi tai manipuloiduiksi.
Käyttöönottaja
- Ilmoitettava, että sellaisen tekoälyjärjestelmän, joka tuottaa tai manipuloi syväväärennöksen muodostavaa kuva-, ääniä- tai videosisältöä (deepfake), että sisältö on keinotekoisesti tuotettu tai sitä on manipuloitu.
- Ilmoitettava, että tekoälyjärjestelmän, joka tuottaa tai manipuloi tekstiä, jonka tarkoituksena on tiedottaa yleisölle yleistä etua koskevista asioista, että teksti on keinotekoisesti tuotettu tai sitä on manipuloitu
- Tiedot on annettava asiaankuuluville luonnollisille henkilöille selkeällä ja selvästi erottuvalla tavalla viimeistään ensimmäisen vuorovaikutuksen tai altistumisen yhteydessä.
- Tietojen on oltava sovellettavien esteettömyysvaatimusten mukaisia.
Avoimuusvelvoitteet koskevat myös muun muassa kuntien ja kaupunkien chatbotteja, jos ne ovat tekoälysäädöksen mukaisia tekoälyjärjestelmiä. Suomessa chatbottien sääntelyyn liittyy digipalvelulain 6 a §, jossa säädetään palveluautomaation käytöstä neuvonnassa. Digipalvelulain 6 a § rajaa automaattisesti annettavan neuvonnan tällä hetkellä toteuttamistapoihin, joilla viranomainen voi ennalta varmistaa neuvonnan tietosisällön ja kielenkäytön asianmukaisuuden. Digipalvelulain säännös ei siten salli monia tekoälyyn perustuvia toteuttamistapoja viranomaisten automaattisessa neuvonnassa. Digipalvelulain 6 a §:ään on kuitenkin ehdotettu (HE 106/2026 vp) muutoksia, jotka poistaisivat esteen autonomisten teknologioiden hyödyntämiselle. Hallituksen esityksen käsittely on kesken eduskunnassa. Lakiesityksen käsittelytietoa löytyy eduskunnan sivuilta.
Lisäksi suuririskisten järjestelmien tarjoajia koskevat erilliset tekoälysäädöksen 13 artiklan mukaiset avoimuusvelvoitteet.
Yleiskäyttöiset tekoälymallit
Myös yleiskäyttöisille tekoälymalleille, eli malleille, joita voidaan integroida erilaisiin järjestelmiin ja suorittaa monenlaisia tehtäviä, on asetettu velvoitteita. Velvoitteet koskevat muun muassa teknistä dokumentaatiota ja mallin koulutukseen käytetyn datan avoimuutta. Jos tekoälymallin suorituskyky katsotaan merkittäväksi, tulee tekoälysäädöksestä silloin vielä lisävelvoitteita. Systeemisen riskin sisältäviin tekoälymalleihin sovelletaan tarjoajia koskevia velvoitteita, joista säädetään tekoälysäädöksen 52–55 artikloissa. Tekoälymalli voi sisältää systeemisen riskin, jos sen vaikutus on hyvin suuri ja se on koulutettu hyvin suurella laskentateholla. Kunnissa tulee arvioida yleiskäyttöisten tekoälymallien käytön vaikutukset kuntien kriittisiin palveluihin, kuten energia- tai vesihuoltoon sekä riski siitä, että niiden käyttö johtaa laajamittaisiin yksityisyyden loukkauksiin tai yhteiskunnallisiin ongelmiin.
Vähäisen riskin järjestelmät
Jos käyttötapa ei ole kielletty, sitä ei lasketa suuririskiseksi tai avoimuusvaatimuksen alaiseksi, eikä ole systeemistä riskiä, niin silloin kyseessä on vähäisen riskin tekoälyjärjestelmä, jota asetus ei sääntele. Tällaisia ovat esimerkiksi roskapostisuodattimet, tekstinmuokkausohjelmat ja käännöstyökalut sekä kuljetusreitin optimointi.
Oman roolin ja suuririskisyyden määrittely
Roolit
Säädös määrittelee erilaisia rooleja tekoälyjärjestelmien kanssa toimiville tahoille. Rooleja ovat tarjoaja, käyttöönottaja, maahantuoja ja jakelija. Kunnat ovat useissa tapauksissa käyttöönottajia (käyttävät valvonnassaan olevaa tekoälyjärjestelmää), elleivät itse kehitä tai kehitytä tekoälyjärjestelmää markkinoille, muokkaa sitä merkittävästi tai ota omalla nimellään järjestelmää käyttöön (tarjoaja), saata EU:n markkinoille (maahantuoja) tai muutoin aseta saatavaksi (jakelija) tekoälyjärjestelmää esimerkiksi Yhdysvalloista.
Roolien osalta on huomioitava, että kunta voi tietyissä tilanteissa päätyä tarjoajan velvollisuuksien piiriin, vaikka se ei itse kehittäisi tai myisi tekoälyjärjestelmää. Näin voi olla esimerkiksi silloin, kun kunta ottaa suuririskisen tekoälyjärjestelmän käyttöön omalla nimellään tai tavaramerkillään tai tekee tekoälyjärjestelmään tai sen käyttötarkoitukseen merkittäviä muutoksia. Myös tekoälyjärjestelmän yhteiskehittäminen voi johtaa tilanteeseen, jossa molempia pidetään tarjoajina. Kun kunta tekee yhteistyötä yksityisen toimijan kanssa, osapuolten roolit ja vastuut on syytä määritellä ja dokumentoida huolellisesti. Näin voidaan muun muassa varmistaa, että on selvää, kenen vastuulla eri tarjoajalle kuuluvien velvoitteiden täyttäminen on.
Suuririskisyys
Tekoälysäädöksen liite III määrittää suuririskiseksi tietyillä aloilla toimivat tekoälyjärjestelmät. Näihin lukeutuvat kriittinen infrastruktuuri, koulutus ja ammatillinen koulutus, työllisyys, keskeiset yksityiset ja julkiset palvelut (esim. terveydenhuolto ja pankkitoiminta), tietyt lainvalvonta-, maahanmuutto- ja rajavalvontajärjestelmät sekä oikeudelliset ja demokraattiset prosessit (esim. vaaleihin vaikuttaminen). Suuririskisenä pidetään siten esimerkiksi arviointiprosessia, jossa määritellään henkilön oikeus julkisiin etuihin tai palveluihin.
Käyttökohteen lisäksi merkitystä on tekoälyn käyttötavalla, eli kuinka merkittävästi tekoälyjärjestelmän käyttö vaikuttaa päätöksiin. Tekoälyjärjestelmää ei pidetä suuririskisenä, jos se ei aiheuta merkittävää vahingon riskiä luonnollisten henkilöiden terveydelle, turvallisuudelle tai perusoikeuksille.
Tästä niin sanotusta "tukiälystä" on kyse, jos tekoälyjärjestelmän tarkoituksena on
- suorittaa suppea menettelyllinen tehtävä;
- parantaa aiemmin suoritetun ihmisen toiminnan tulosta;
- havaita päätöksentekotapoja tai poikkeamia aiemmista päätöksentekotavoista, eikä sen tarkoituksena ole korvata aiemmin tehtyä ihmisen tekemää arviota tai vaikuttaa siihen ilman asianmukaista ihmisen suorittamaa arviota; tai
- valmistelutehtävä, joka koskee liitteessä III lueteltujen käyttötapausten kannalta merkityksellistä arviointia.
Tekoälyjärjestelmää on aina pidettävä suuririskisenä, jos tekoälyjärjestelmä suorittaa luonnollisten henkilöiden profilointia.Profilointi on määritelty yleisessä tietosuoja-asetuksessa. Profilointi on määritelty yleisessä tietosuoja-asetuksessa.
Komissio antaa määrittelyyn tulkintaohjeet, joiden luonnos on ollut kommentoitavana kesällä 2026. Komissio julkaisee ohjeet vuoden 2026 loppuun mennessä.
Kielletyt käyttötavat
Kuntien tulee olla tietoisia myös tekoälyn kielletyistä käyttötavoista, jotka on lueteltu tekoälyasetuksen II luvun 5 artiklassa. Ei hyväksyttävissä oleviin tarkoituksiin sisältyvät muun muassa tekoälyn käyttö
- haitallisiin manipuloiviin ja harhaanjohtaviin tarkoituksiin
- tunteiden tunnistamiseen oppilaitoksissa tai työpaikoilla
- henkilöiden tai henkilöryhmien haavoittuvuuksien hyväksikäyttöön tavalla, joka voi aiheuttaa merkittävää haittaa
Tekoälylukutaito
Asetustekstissä tekoälylukutaidolla tarkoitetaan osaamista, tietämystä ja ymmärrystä, joiden avulla tarjoajat, käyttöönottajat ja henkilöt, joihin vaikutukset kohdistuvat, voivat ottaen huomioon oikeutensa ja velvollisuutensa tämän asetuksen puitteissa ottaa tietoon perustuen käyttöön tekoälyjärjestelmiä sekä saada tietoa tekoälyn mahdollisuuksista ja riskeistä ja mahdollisista vahingoista, joita se voi aiheuttaa.
Komissiolle ja jäsenvaltioille on asetuksessa määritelty rooli tekoälylukutaidon edistämiseen ja tukemiseen. Tekoälylukutaito on myös keskeinen edellytys tekoälyn vastuulliselle käytölle kunnissa, ja tarjoajien ja käyttöönottajien tulee toteuttaa henkilöstönsä tekoälylukutaitoa edistäviä toimenpiteitä. Kuntien onkin syytä huolehtia siitä, että henkilöstöllä on riittävä ymmärrys käytössä olevista tekoälyjärjestelmistä, niiden mahdollisuuksista, rajoituksista ja vaikutuksista. Henkilöstön tekoälylukutaidon varmistaminen on erityisen tärkeää julkisella sektorilla, jossa tekoälyn käytöllä voi olla vaikutus yksilön oikeuksiin ja velvollisuuksiin. Komissio on tehnyt listan usein kysytyistä kysymyksistä ja vastauksista tekoälylukutaitoon ja velvoitteisiin liittyen.
Kunnissa esimerkkinä tekoälylukutaidon edistämisestä on Opetushallituksen sekä Opetus- ja kulttuuriministeriön vuoden 2025 aikana julkaistut suositukset tekoälyn käytölle varhaiskasvatuksessa, perusopetuksessa, vapaassa sivistystyössä ja toisella asteella.
Lisäksi esimerkiksi Hyvinvointialueyhtiö Hyvil Oy on julkaissut Tekoälyn lukutaito-oppaan, jota myös kunnat voivat hyödyntää EU:n tekoälysäädöksen toimeenpanossa. Mikäli opasta muokataan omaan käyttöön, on suositeltavaa mainita alkuperäinen lähde sekä oppaan laatimiseen osallistuneet tahot.
Käytännesäännöt
Tekoälysäädöksen yhteydessä Euroopan komissio on perustanut tekoälytoimiston, joka luotsaa yhteisten käytännesääntöjen luomista tekoälyn kehittämiseen ja käyttöön EU:n alueella. Käytännesäännöissä luodaan ohjeistuksia muun muassa siihen, miten pitää tekoäly ajan tasalla, miten kuvailla tekoälyn koulutukseen käytettyä dataa, miten tunnistaa riskejä sekä miten toimia riskien suhteen. Käytännesääntöjen tarkoitus on siis yhtenäistää toimintatapoja ja toimia ohjeena tekoälymallien kehittäjille. Yleiskäyttöistä tekoälyä koskevat käytännesäännöt tulivat voimaan elokuussa 2025.
Käytännesääntöjen noudattaminen ei ole pakollista, vaan ne on tarkoitettu lähinnä tekoälyjärjestelmien kehittäjien itsesääntelyyn. Ajatus on, että käytännesääntöjä noudattamalla tulee täyttäneeksi myös asetuksen velvoitteet. Vaikka kunta ei itse kehittäisi tekoälymalleja tai ottaisi käytännesääntöjä käyttöön, kuntien kannattaa pitää niiden valmistelua silmällä ja antaa näiden järjestelmien hyödyntäjien näkökulmaa tarpeista ja huomioista esimerkiksi henkilötietojen käsittelyyn liittyen. Käytännesääntöjen muotoilulla voi olla vaikutusta tekoälyasetuksen tulkintoihin ja soveltamiseen.
Tekoälyn sääntelyn testiympäristöt
Jäsenvaltioiden tulee varmistaa, että kansallisella tasolla tarjotaan tosielämää mukaileva tekoälyn sääntelyn testiympäristö elokuuhun 2027 mennessä tekoälysäädöksen 57 artiklan mukaisesti. Testiympäristöt koskevat käytännesääntöjen tapaan lähinnä tekoälymallien kehittäjiä, mutta kunnilla voi olla oleellinen rooli esimerkiksi datan, kuten kuntalaisten henkilötietojen, tarjoajana. Testauksista toimitetaan loppuraportti komissiolle ja tekoälyneuvostolle, joiden kautta kunnat voivat neuvoston tietoalustan kautta saada tietoja testiympäristöjen opeista ja haasteista myös sellaisten testausten osalta, joissa eivät itse ole olleet osallisina.
Testiympäristöjen suunnittelu on alkanut Työ- ja elinkeinoministeriössä vuoden 2024 lopulla. EUSAir: tekoälyn sääntelyn hiekkalaatikot -hanke on EU-rahoitteinen projekti, jossa pilotoidaan testiympäristöjä ja muodostetaan koko EU:ta koskeva ohjeistus testiympäristöjen toteutuksesta.
Seuraamukset
Tekoälysäädöksessä määritellään yrityksille hallinnollisia seuraamusmaksuja asetuksen velvoitteiden laiminlyönnistä yrityksen koosta ja liikevaihdosta riippuen. Seuraamuksista julkishallinnon tahoille ei ole säädetty ja säädöksen osalta tähän on jätetty kansallista liikkumavaraa. Eräiden tekoälyjärjestelmien valvonnasta annetun lain (1377/2025) mukaan seuraamusmaksua ei voida määrätä viranomaisille, kuten kunnille.
Tekoälyn käyttö ei poista esimerkiksi virkavastuisiin liittyviä seuraamuksia ja huomioitavia seikkoja hyvään hallintoon liittyen. Lisää tietoa on koottu Kuntaliiton sivuille tekoälystä kunnan hallinnossa ja oikeudellisista reunaehdoista.
Kansalliset valvontaviranomaiset, neuvovat tahot ja yhteiset ohjeet
Tekoälysäädös on lähtökohtaisesti markkinavalvontaa ja tuotevastuusääntelyä, joten kansalliset valvontaviranomaiset koostuvat pitkälti markkinavalvontaviranomaisista. Kansallisten viranomaisten tehtävänä on paitsi valvoa, niin myös neuvoa lain tulkinnassa ja toteutuksessa.
Traficom toimii keskitettynä yhteyspisteenä, jolle kuuluu yhteydenpito EU:n toimielimiin ja muiden jäsenvaltioiden toimivaltaisiin viranomaisiin sekä tarjoaa tekoälyjärjestelmiä koskevaa asiantuntijatukea toimivaltaisille kansallisille viranomaisille. Suomen osalta keskeisiä markkinavalvontaviranomaisia ovat:
- Liikenne- ja viestintävirasto Traficom (avoimuusvelvoitteet, keskitetty yhteyspiste)
- Tietosuojavaltuutettu (kiellettyjen tekoälykäytäntöjen valvonta)
- Turvallisuus- ja kemikaalivirasto Tukes
- Tulli
- Lupa- ja valvontavirasto
- Lääkealan turvallisuus- ja kehittämiskeskus
- Energiavirasto
- Finanssivalvonta (Euroopan keskuspankille ilmoittava viranomainen)
Säädöksen mukaiset ilmoitetut laitokset tarkastavat suuririskisten tekoälyjärjestelmien vaatimustenmukaisuuksia. Ilmoittamisesta vastaavina viranomaisina toimivat:
- Työ- ja elinkeinoministeriö TEM
- Liikenne- ja viestintävirasto Traficom
- Lääkealan turvallisuus- ja kehittämiskeskus
- Sosiaali- ja terveysministeriö
Säädöksessä tarkoitettuja perusoikeuksia suojelevia viranomaisia Suomessa ovat:
- Tietosuojavaltuutettu
- Yhdenvertaisuusvaltuutettu
- Tasa-arvovaltuutettu
- Yhdenvertaisuus- ja tasa-arvolautakunta
- Valtioneuvoston oikeuskansleri
- Eduskunnan oikeusasiamies
- Työsuojeluviranomainen (LVV)
- Kuluttaja-asiamies
Euroopan komissio on perustanut tekoälyneuvoston, jonka neuvonta kohdistuu unionin tasolle. Tekoälyneuvostolla on kuitenkin olemassa erilaisiin kokonaisuuksiin keskittyviä alaryhmiä, joiden Suomen edustajat ovat listattuna Työ- ja elinkeinoministeriön sivuilla. Euroopan komissiolta on odotettavissa suuntaviivoja muun muassa tekoälyjärjestelmän määrittelyyn sekä kieltojen soveltamiseen.
Julkisen hallinnon yhteistä tekoälyvisiota- ja strategiaa valmistellaan Tekoälymuutos 2036 -työssä. Tekoälyyn liittyen on myös olemassa monenlaisia yleisohjeistuksia ja eettisiä periaatteita, mutta erityisesti kuntanäkökulmaa tekoälyasetuksen tulkintaan on toistaiseksi vähänlaisesti. Eettisiä ohjeistuksia on saatavilla esimerkiksi DVV:n, Euroopan komission sekä valtiovarainministeriön koostamina. Osa kunnista, kuten Tampere ja Helsinki ovat itsekin luoneet tekoälyn käytölle eettiset periaatteet.
Kuten aiemmin mainittu, tiedonhallintaan liittyvät vaatimukset, tietosuoja-asetus ja hyvän hallinnon periaatteet luovat myös tekoälyasetuksen vaatimusten noudattamiseen vahvan pohjan. Tekoälytoimisto tulee laatimaan muun muassa mallipohjat perusoikeusvaikutustenarviointiin ja tekniseen dokumentaatioon, joista löytyy tietoa komission sivuilta. Myös DVV:llä on erilaisia hankintoihin ja vaikutustenarviointeihin liittyviä mallipohjia.
Portaittainen toimeenpanon aikataulu
Säädös tuli voimaan 1.8.2024 (20 päivää EU:n virallisen lehtijulkaisun jälkeen 12.7.2024).
2/2025
- kielletyt tekoälyyn liittyvät käytännöt (luvut I ja II)
- tekoälylukutaito (4 artikla)
5/2025
- komission käytännesäännöt valmiit (56 artikla)
8/2025
- vapaaehtoiset komission käytännesäännöt voimaan (56 artikla)
- yleiskäyttöisiä tekoälymalleja koskevia hallintosääntöjä ja velvoitteita (luku V)
- hallinnointi (luku VII)
- seuraamukset ja luottamuksellisuus (luku XII)
- kansallisten toimivaltaisten viranomaisten raportointi viimeistään (70 artikla)
2/2026
- komission suuntaviivat suuririskisyyden määrittelyyn (6 artikla) (myöhässä, olleet kommentoitavina kesällä 2026)
8/2026
- avoimuusvelvollisuudet (art. 50)
- testiympäristön oltava valmiina (57 artikla)
8/2026 asetusta sovellettava kokonaisuudessaan, paitsi:
8/2027
- säänneltyihin tuotteisiin sisällytettyjä tekoälyjärjestelmiä koskevat säännöt (6 artikla (1))
- ennen 8/2025 markkinoilla tai käytössä olleet yleiskäyttöiset tekoälymallit (111 artikla (3))
12/2027
- suuririskisten tekoälyjärjestelmien tarjoajien ja käyttöönottajien velvoitteet (liite III käyttöalat)
8/2028
- Komissio arvioi tekoälytoimiston toimintaa, käytännesääntöjen tehokkuutta ja muutoksentarpeita valvontajärjestelmiin, avoimuusvelvoitteisiin ja suuririskisyyden aihealueita
- liitteen I soveltamisalaan kuuluvien järjestelmiin liittyvät velvoitteet
8/2030
- markkinoilla tai käytössä ennen elokuuta 2026 olleet suuririskiset tekoälyjärjestelmät (paitsi suuren mittakaavan IT-järjestelmät) (111 artikla (2))
12/2030
-
markkinoilla tai käytössä ennen elokuuta 2027 olleet liitteessä X listatut suuren mittakaavan IT-järjestelmät (111 artikla (1))
Aikataulusta löytyy kattava englanninkielinen aikajana tekoälysäädöstä käsittelevällä koontisivustolla.
Hyödyllisiä linkkejä tekoälysäädökseen liittyen
Tietoturva
Digi- ja väestötietoviraston VAHTI-verkostoon kuuluu digitaalisen turvallisuuden kehittämisestä ja ohjauksesta vastaavien organisaatioiden johtoa sekä digiturvasta vastaavia asiantuntijoita.
Tekoälylukutaito ja -osaaminen
- KT:n koonti ”Generatiivisen tekoälyn hyödyntäminen kunta- ja hyvinvointialalla - yli 50 vinkkiä hyvään tekoälytartuntaan”.
- Tampereen kaupunki linjasi eettiset periaatteet tekoälyn käytölle (Tampereen kaupunki)
- Helsinki laati periaatteet datan ja tekoälyn eettiselle käytölle (Helsingin kaupunki)
- Tekoälyn vastuullinen hyödyntäminen (Digi- ja väestötietovirasto)
- Ethics-guidelines-AI_FI.pdf (europa.eu). Euroopan komission eettiset ohjeet.
- Tekoälyn eettinen ohjeistus - Valtiovarainministeriö (vm.fi). Valtiovarainministeriön eettinen ohjeistus.
- Hyvil - Tekoälyn lukutaito-opas hyvinvointialueiden käyttöön julkaistu (päivitetty opas Hyvilin julkaisuissa 10.2.2026, sovellettavissa)
Tekoälyasetuksesta
- https://artificialintelligenceact.eu/ Kattavaa koontia ja tiivistelmiä asetuksesta englanniksi.
- Asetus - EU - 2024/1689 - EN - EUR-Lex (europa.eu). Suora linkki lakitekstiin.
- Tekoälyn kansallisen toimeenpanon työryhmän tiedot
- Euroopan tekoälytoimisto | Shaping Europe’s digital future (europa.eu). Tekoälytoimiston verkkosivusto
- Euroopan tietosuojaneuvostolta lausunto tekoälymalleista: tietosuojaperiaatteet tukevat tekoälyn vastuullista kehittämistä | Tietosuojavaltuutetun toimisto Lausunnossa mm. keinoja henkilötietojen käyttötapojen ja niiden vaikutusten arviointiin viranomaisille.
- Euroopan laki-instituutin ohjeita tekoälyjärjestelmän määrityksen tulkitsemiseen.
- Sitran ja eOppivan verkkokurssi tekoälysäädöksen tulkitsemisesta ja riskiarvioinneista
- Milloin tekoälyn käytöstä pitää kertoa? | Traficom
Muita linkkejä
- Julkaisimme ohjeistusta tietosuojan huomioinnista tekoälyjärjestelmien kehittämisessä ja käytössä | Tietosuojavaltuutetun toimisto Tietosuojavaltuutetun ohjeistus.
- ICT-hankintojen pelikirja (vm.fi). Valtiovarainministeriön vuonna 2023 julkaisemia ohjeita ICT-hankintoihin.
- SOTE-alalle tehty selvitys (hyvin kunnille sovellettavaa tietoa): Sosiaali- ja terveydenhuollon tekoälyn käyttötapaukset ja lainsäädäntö
- Traficomin uutiskirje digi- ja datasääntelystä sekä datataloudesta: Datamatkalla-uutiskirje | Traficom
- Euroopan neuvoston luoma vapaaehtoinen viitekehys tekoälyjärjestelmien riskien- ja vaikutustenarviointiin: HUDERIA - risk and impact assessment of AI systems - Artificial Intelligence
- Ohjeistus generatiivisen tekoälyn hyödyntämisestä julkisessa hallinnossa - Valtiovarainministeriö
Määritelmiä
Toimijoiden rooleja
3 artikla
3) Tarjoaja
luonnollinen tai oikeushenkilö, viranomainen, virasto tai muut elin, joka kehittää tai kehityttää tekoälyjärjestelmän tai yleiskäyttöisen tekoälymallin ja saattaa sen markkinoille tai ottaa tekoälyjärjestelmän käyttöön omalla nimellään tai tavaramerkillään joko maksua vastaan tai maksutta
4) Käyttöönottaja
luonnollista tai oikeushenkilöä, viranomaista, virastoa tai muuta tahoa, joka käyttää valvonnassaan olevaa tekoälyjärjestelmää, paitsi jos tekoälyjärjestelmää käytetään henkilökohtaisessa muussa kuin ammattitoiminnassa
6) Maahantuoja
unionissa sijaitsevaa tai unioniin sijoittautunutta luonnollista tai oikeushenkilöä, joka saattaa markkinoille tekoälyjärjestelmän, jolla on kolmanteen maahan sijoittautuneen luonnollisen tai oikeushenkilön nimi tai tavaramerkki
7) Jakelija
muuta toimitusketjuun kuuluvaa luonnollista tai oikeushenkilöä kuin tarjoajaa tai maahantuojaa, joka asettaa tekoälyjärjestelmän saataville unionin markkinoilla
Muita määritelmiä:
3 artikla
1) Tekoälyjärjestelmä
Konepohjainen järjestelmä, joka on suunniteltu toimimaan käyttöönoton jälkeen vaihtelevilla autonomian tasoilla ja jossa voi ilmetä mukautuvuutta käyttöönoton jälkeen ja joka päättelee vastaanottamastaan syötteestä eksplisiittisiä tai implisiittisiä tavoitteita varten, miten tuottaa tuotoksia, kuten ennusteita, sisältöä, suosituksia tai päätöksiä, jotka voivat vaikuttaa fyysisiin tai virtuaalisiin ympäristöihin
12) Käyttötarkoitus
Käyttöä, johon tarjoaja on tarkoittanut tekoälyjärjestelmän, mukaan lukien erityinen käyttöyhteys ja erityiset käyttöolosuhteet, siten kuin ne on määritelty tiedoissa, jotka tarjoaja on antanut käyttöohjeissa, markkinointi- tai myyntimateriaaleissa ja -ilmoituksissa sekä teknisessä dokumentaatiossa
20) Vaatimustenmukaisuuden arviointi
Prosessi, jolla osoitetaan, täyttyvätkö III luvun 2 jaksossa vahvistetut suuririskistä tekoälyjärjestelmää koskevat vaatimukset
55) Tekoälyn sääntelyn testiympäristö
toimivaltaisen viranomaisen perustamaa hallinnoitua kehystä, joka tarjoaa tekoälyjärjestelmien tarjoajille tai mahdollisille tarjoajille mahdollisuuden kehittää, kouluttaa, validoida ja testata tarvittaessa todellisissa olosuhteissa innovatiivista tekoälyjärjestelmää testisuunnitelman mukaisesti rajoitetun ajan viranomaisvalvonnassa
56) Tekoälylukutaito
Osaamista, tietämystä ja ymmärrystä, joiden avulla tarjoajat, käyttöönottajat ja henkilöt, joihin vaikutukset kohdistuvat, voivat ottaen huomioon oikeutensa ja velvollisuutensa tämän asetuksen puitteissa ottaa tietoon perustuen käyttöön tekoälyjärjestelmiä sekä saada tietoa tekoälyn mahdollisuuksista ja riskeistä ja mahdollisista vahingoista, joita se voi aiheuttaa
63) Yleiskäyttöinen tekoälymalli
Tekoälymalli, myös silloin, kun tällainen tekoälymalli on koulutettu suurella määrällä dataa käyttäen laajamittaista itsevalvontaa, joka on hyvin yleisluonteinen ja pystyy suorittamaan pätevästi monenlaisia erillisiä tehtäviä riippumatta siitä, miten malli saatetaan markkinoille, ja joka voidaan integroida erilaisiin ketjun loppupään järjestelmiin tai sovelluksiin, lukuun ottamatta tekoälymalleja, joita käytetään tutkimus-, kehitys- tai prototyyppitoimintaan ennen niiden saattamista markkinoille
65) Systeeminen riski
Systeemisellä riskillä viitataan yleiskäyttöisten tekoälymallien vaikutuksiltaan merkittävälle suorituskyvylle ominaiseen riskiin ja jolla on merkittävä vaikutus unionin markkinoihin niiden kattavuuden tai kansanterveyteen, turvallisuuteen, yleiseen turvallisuuteen, perusoikeuksiin tai koko yhteiskuntaan kohdistuvien tosiasiallisten tai kohtuudella ennakoitavissa olevien kielteisten vaikutusten vuoksi ja jota voidaan levittää laajamittaisesti koko arvoketjussa
66) Yleiskäyttöinen tekoälyjärjestelmä
Tekoälyjärjestelmä, joka perustuu yleiskäyttöiseen tekoälymalliin ja joka kykenee palvelemaan erilaisia tarkoituksia sekä suorassa käytössä että muihin tekoälyjärjestelmiin integroituna
Kysymyksiä ja vastauksia tekoälysäädökseen liittyen
Tässä osiossa kysymyksiä ja vastauksia tekoälysäädöksestä.
Muualla verkkopalvelussamme tekoälyyn liittyen
Tekoäly muuttaa työskentelytapoja
Muutos julkisen sektorin tuottavuusajatteluun? Tieto katosi juuri kun sitä tarvitaan eniten
Digipalvelulain 6 §:n muuttaminen (tekoäly neuvonnassa)
Lausunto Euroopan komissiolle tekoälyasetusta koskevasta digitaalialan koontiasetuksesta
Dystopia vai utopia - digitaalinen Suomi?
Kuntaliiton asiantuntijat, jotka voivat kertoa lisää
Jaana Jormanainen
- EU-edunvalvonta digitalisaation ja dataan liittyvissä asioissa.
- EU:n digi- ja datalainsäädäntö kuntasektorille -projekti ja verkosto.
- EU digidata edunvalvonnan vaikuttajaryhmän koordinointi.
- Asiantuntija-, edunvalvonta- sekä kehittämistehtävät erityisesti kuntien digitalisaatio ja data -asioissa.
- kuntalaki ja yleinen kunnallisoikeus
- julkisuus ja tietosuoja
- EU:n digi- ja datasääntely
- älykäs kuntatuotavuus -ohjelman projektikoordinaatio
- EU:n digi- ja datasääntely kuntasektorin näkökulmasta -projektissa avustaminen: EU-edunvalvonta, erityisesti EUDI- ja yrityslompakko sekä tekoälyasetus.
- Digitiimin asiantuntija- ja asiakastehtävissä avustaminen: mm. selvitystehtäviä sekä digiviikon ja digisumppien järjestelyn tuki