Tekoälyasetus ja tekoälylukutaito Suomessa
Tilanne lokakuussa 2026
EU:n tekoälyasetus (EU) 2024/1689 on Suomessa suoraan sovellettavaa oikeutta, ja kansallinen valvontalaki on ollut voimassa 1.1.2026 alkaen. Organisaatiota, joka käyttää generatiivista tekoälyä arkityössä, koskevat jo nyt 5 artiklan kiellot, 4 artiklan tekoälylukutaito ja osa 50 artiklan avoimuusvelvoitteista. Suuririskisiä järjestelmiä koskevat säännöt tulevat useimmilta osin sovellettaviksi vasta 2.12.2027. Viranomaisille ja hyvinvointialueille Suomen laki ei salli seuraamusmaksuja, mutta velvoitteet koskevat niitäkin.
Kansallinen laki 1377/2025
Laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025) perustuu hallituksen esitykseen HE 46/2025 vp. Suomi valitsi hajautetun mallin, jossa valvonta on jaettu 15 viranomaiselle. Tärkeimmät roolit näkyvät taulukosta.
| Tehtävä | Viranomainen |
|---|---|
| Kansallinen keskitetty yhteyspiste (70 artiklan 2 kohta) ja toimeenpanon koordinointi | Liikenne- ja viestintävirasto Traficom |
| Avoimuusvelvoitteiden valvonta (50 artikla) | Traficom |
| Kiellettyjen käytäntöjen valvonta (5 artikla) | Tietosuojavaltuutettu |
| Suuririskiset järjestelmät liitteen III kohdissa 1 (biometriikka), 3 (koulutus), 4 (työelämä) sekä 6–8 | Tietosuojavaltuutettu |
| Liitteen III kohdat 5 a ja 5 d | Lupa- ja valvontavirasto |
| Luottokelpoisuus valvottavissa yrityksissä sekä henki- ja sairausvakuutusten hinnoittelu | Finanssivalvonta |
| Seuraamusmaksujen määrääminen | Traficomin yhteydessä toimiva seuraamusmaksulautakunta |
Tietosuojavaltuutetun tiedotteessa tammikuulta 2026 suuririskisten järjestelmien säännöille mainitaan vielä päivämäärä 2.8.2026. Se oli voimassa ennen EU:n heinäkuista muutosasetusta, ja nyt aikataulu on toinen. Tiedotteen mukaan hallitus antaa myöhemmin toisen esityksen, joka koskee muun muassa tekoälyn sääntelyn testiympäristöjä.
Viranomaisille ei määrätä seuraamusmaksuja
Lain 24 § on julkiselle sektorille keskeinen: "Seuraamusmaksua ei voida määrätä valtion viranomaiselle, valtion liikelaitokselle, kunnalliselle viranomaiselle, kuntayhtymälle, hyvinvointialueelle, hyvinvointiyhtymälle", eikä myöskään esimerkiksi itsenäiselle julkisoikeudelliselle laitokselle. Velvoitteet eivät silti katoa. Kunta, joka käyttää tekoälyä työssään, on asetuksen tarkoittama käyttöönottaja samalla tavalla kuin yritys.
Julkisella sektorilla tekoälyn käyttöä ohjaavat käytännössä muut säännöt: tietosuoja, julkisuuslain salassapito ja tiedonhallintalaki. Valtiovarainministeriön ohjeen mukaan salassa pidettävää, ei-julkista tai henkilötietoja sisältävää aineistoa saa syöttää vain palveluun, joka on hyväksytty tähän tarkoitukseen. Hallitus myös haluaa vauhtia. Pääministeri asetti huhtikuussa 2026 selvityshenkilön etsimään nopeasti toteutettavia keinoja hyödyntää tekoälyä julkisessa hallinnossa, ja selvitystyön on määrä päättyä 31.10.2026.
Aikataulu EU:n muutosasetuksen jälkeen
Asetus (EU) 2026/1744 julkaistiin 24.7.2026 ja tuli voimaan 27.7.2026. Se lykkäsi suuririskisten järjestelmien sääntöjä. Avoimuusvelvoitteisiin se ei koskenut, vaikka monessa verkkotekstissä väitetään toisin.
| Sääntö | Sovelletaan EU:ssa |
|---|---|
| Kielletyt käytännöt (5 artikla), esimerkiksi tunteiden tunnistaminen työpaikalla | 2.2.2025 alkaen |
| Tekoälylukutaito (4 artikla) | 2.2.2025 alkaen, uusi sanamuoto 27.7.2026 alkaen |
| Avoimuus (50 artikla): syväväärennökset ja yleistä etua koskevat tekoälytekstit | 2.8.2026 alkaen |
| Uudet kiellot: intiimit syväväärennökset ilman suostumusta ja tekoälyllä tuotettu hyväksikäyttömateriaali | 2.12.2026 alkaen |
| Suuririskiset järjestelmät, liite III (esimerkiksi rekrytointi ja luottokelpoisuus) | 2.12.2027 alkaen |
| Suuririskiset järjestelmät, liite I (tekoäly tuotteissa) | 2.8.2028 alkaen |
| Viranomaiskäyttöön tarkoitetut, jo käytössä olevat suuririskiset järjestelmät | mukautettava viimeistään 2.8.2030 |
50 artikla velvoittaa käyttöönottajan kertomaan, jos se julkaisee tekoälyn tuottamaa tekstiä yleisen edun mukaisista asioista tiedottamiseksi. Poikkeus on teksti, jonka ihminen on tarkastanut ja jonka toimituksellisesta vastuusta joku vastaa. Komissio julkaisi 50 artiklaa koskevat suuntaviivat 20.7.2026.
Tekoälylukutaito käytännössä
Asetuksen 4 artikla muuttui 27.7.2026. Tarjoajien ja käyttöönottajien on nyt toteutettava toimenpiteitä, joilla tuetaan henkilöstön ja muiden niiden puolesta tekoälyjärjestelmiä käyttävien henkilöiden tekoälylukutaidon kehittymistä. Huomioon otetaan henkilöiden tekninen osaaminen ja kokemus, koulutus sekä käyttöyhteys. Tiettyä osaamistasoa ei vaadita keneltäkään.
Vaatimus on aiempaa kevyempi, sillä alkuperäinen teksti puhui riittävästä tasosta. Velvoite on kuitenkin edelleen olemassa. Komission kysymys ja vastaus -sivulla on kolme tarkennusta, joista on hyötyä suunnittelussa. Sertifikaattia ei tarvita. Muihin henkilöihin kuuluvat esimerkiksi konsultit ja palveluntarjoajat sekä asiakkaat, jotka toimivat organisaation vastuupiirissä. Lisäksi 4 artikla puuttuu 99 artiklan seuraamusluettelosta, mutta komission mukaan jäsenvaltioilla voi olla omia seuraamuksia.
Komissio ehdottaa neljää vaihetta. Varmista ensin, että organisaatiossa on yleinen käsitys tekoälystä. Selvitä sitten, oletteko tarjoaja vai käyttöönottaja. Arvioi käytössä olevien järjestelmien riskit. Mitoita sen jälkeen toimenpiteet sen mukaan, mitä ihmiset jo osaavat ja mihin he tekoälyä käyttävät.
Asetus ei anna mallia dokumentointiin. Alla oleva taulukko on lähtökohta, jonka täyttää yhdessä iltapäivässä ja joka riittää pitkälle organisaatiolle, jossa on käytössä yksi hyväksytty tekoälyavustaja.
| Ryhmä | Toimenpide | Mitä tallennat |
|---|---|---|
| Kaikki, jotka saavat tunnukset tekoälypalveluun | Lyhyt perehdytys ennen ensimmäistä kirjautumista: mihin palvelua saa käyttää, mitä tietoja siihen ei saa syöttää ja miten vastaukset tarkastetaan | Päivämäärä, osallistujat, ohjeen versio |
| Julkaistavia tekstejä kirjoittavat | Ihmisen tekemän tarkastuksen rutiini ja toimituksellinen vastuuhenkilö (50 artikla) | Rutiini ja vastuuhenkilö |
| Ylläpitäjät | Asetukset ja käyttöoikeudet sekä se, mitä lokiin tallentuu ja kuinka kauan | Kuvaus asetuksista, muutoshistoria |
| Konsultit ja vuokratyöntekijät | Sama perehdytys kuin omalla henkilöstöllä, vaatimus sopimuksessa | Sopimusehto, osallistujaluettelo |
| Johto | Riskit ja vastuut sekä päätös siitä, mihin tehtäviin tekoälyä saa käyttää | Pöytäkirja tai päätös |
Toista perehdytys, kun palveluun tulee uusia malleja tai toimintoja. Keskusteluavustajalle tehty päätös ei välttämättä kata agentteja, jotka hakevat ja lähettävät tietoja itsenäisesti.
Mitä kannattaa tehdä nyt
- Laadi luettelo työssä käytettävistä tekoälyjärjestelmistä. Ota mukaan myös tavallisiin ohjelmiin sisäänrakennetut tekoälytoiminnot.
- Selvitä jokaisen järjestelmän kohdalla, oletteko tarjoaja vai käyttöönottaja. Jos rakennatte oman chatbotin asiakkaille tai kansalaisille ja tarjoatte sitä omalla nimellänne, voitte olla tarjoaja.
- Tarkista, ettei mitään järjestelmää käytetä 5 artiklassa kiellettyyn tarkoitukseen.
- Toteuta ja dokumentoi tekoälylukutaidon toimenpiteet.
- Sovi rutiini julkaistaville teksteille, joiden kirjoittamisessa tekoäly on ollut mukana.
- Arvioi jo nyt, kuuluuko jokin käyttötapaus liitteeseen III, jotta aikaa jää joulukuuhun 2027.
Jos käytät Myra AI Workspacea
Myra AI Workspace sisältää hallintamalleja, jotka muuntavat tekoälyasetuksen ja tietosuoja-asetuksen velvoitteita konkreettisiksi asetuksiksi. Vastaukset on merkitty tekoälyn tuottamiksi, joten on helppo nähdä, mikä teksti on tarkastettava ennen julkaisua. Itse tarkastusrutiini ja tekoälylukutaidon dokumentointi jäävät organisaatiolle, eikä mikään työkalu tee niitä sen puolesta.
Usein kysytyt kysymykset
Mikä viranomainen valvoo tekoälyasetusta Suomessa?
Valvonta on hajautettu 15 viranomaiselle. Traficom on kansallinen keskitetty yhteyspiste ja valvoo 50 artiklan avoimuusvelvoitteita. Tietosuojavaltuutettu valvoo 5 artiklan kieltoja. Toimialakohtaisia valvojia ovat esimerkiksi Finanssivalvonta ja Lupa- ja valvontavirasto.
Tarvitaanko tekoälylukutaidosta todistus?
Ei tarvita. EU-komission kysymys ja vastaus -sivun mukaan sertifikaattia ei tarvita. Organisaation on kuitenkin toteutettava toimenpiteitä ja pystyttävä kertomaan, mitä se on tehnyt.
Voiko kunnalle tai hyvinvointialueelle määrätä seuraamusmaksun?
Lain 1377/2025 24 §:n mukaan seuraamusmaksua ei voida määrätä esimerkiksi valtion viranomaiselle, kunnalliselle viranomaiselle tai hyvinvointialueelle. Tekoälyasetuksen velvoitteet koskevat niitä silti.
Siirtyivätkö avoimuusvelvoitteet joulukuuhun 2026?
Käyttöönottajien osalta eivät. 50 artiklaa on sovellettu 2.8.2026 alkaen. Lisäaikaa 2.12.2026 asti sai vain tarjoajien velvollisuus merkitä koneluettavasti sellaisten generatiivisten järjestelmien tuotokset, jotka on saatettu markkinoille ennen 2.8.2026.
Lähteet
- Laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025), haettu 11.10.2026
- Tietosuojavaltuutetun toimisto: Uudet säännöt vahvistavat luottamusta tekoälyyn (07.01.2026), haettu 11.10.2026
- Asetus (EU) 2024/1689 (tekoälyasetus), haettu 11.10.2026
- Asetus (EU) 2026/1744 (Digital Omnibus on AI), EUVL L 2026/1744, 24.07.2026, haettu 11.10.2026
- EU-komissio: AI Literacy, Questions & Answers, haettu 11.10.2026
- EU-komissio: Guidelines on transparency obligations (20.07.2026), haettu 11.10.2026
- Valtiovarainministeriö: Julkiselle hallinnolle ohjeet generatiivisen tekoälyn hyödyntämiseen (27.02.2025), haettu 11.10.2026
- Valtioneuvosto: Hallitus vauhdittaa tekoälyn hyödyntämistä julkisessa hallinnossa (10.04.2026), haettu 11.10.2026