Yleisesti oletetaan edelleen, että EU:n tekoälylaki koskee vain tekoälyn kehittämiseen osallistuvia organisaatioita tai suuria teknologiayrityksiä. Todellisuudessa asetus koskee paljon laajempaa joukkoa.

Koskeeko EU:n tekoälylaki organisaatiotani? Kyllä. Jos organisaatiosi kehittää, tarjoaa, ottaa käyttöön, tuo tai jakelee tekoälyjärjestelmiä EU:ssa, tekoälylaki todennäköisesti koskee sitä. Tarkat vaatimukset riippuvat roolistasi tekoälyn arvoketjussa ja käyttämäsi tekoälyn riskitasosta. Useimmille organisaatioille merkityksellinen rooli on tekoälyn käyttöönottaja: organisaatio, joka käyttää tekoälyä toiminnassaan.

Keitä EU:n tekoälylaki koskee?

AI-laki tunnistaa muutamia rooleja tekoälyn toimintaketjussa. Roolisi määrää, mitkä velvoitteet sinulle kuuluvat. On mahdollista (ja yleistä) toimia useammassa kuin yhdessä roolissa samanaikaisesti.

Tekoälyn tarjoajat

Tarjoajat kehittävät tekoälyjärjestelmiä tai yleiskäyttöisiä tekoälymalleja (GPAI) ja saattavat ne EU:n markkinoille omalla nimellään tai tavaramerkillään. Esimerkiksi AI-ohjelmistojen toimittajat, SaaS-yritykset joiden palveluissa on tekoälyominaisuuksia ja organisaatiot jotka kehittävät sisäisiä tekoälytuotteita ulkoiseen käyttöön kuuluvat tekoälyn piiriin.

Näillä tarjoajilla on laajimmat vaatimustenmukaisuusvelvoitteet. Korkean riskin tekoälyjärjestelmien osalta tähän sisältyy esim.:

• riskienhallintajärjestelmän luominen järjestelmän koko elinkaaren ajaksi
• tietojen laadun ja hallinnan varmistaminen, teknisen dokumentaation laatiminen
• lokitietojen keräämisen sisällyttäminen järjestelmään
• ihmisen suorittama valvonta ja kyberturvallisuustoimenpiteet
• vaatimustenmukaisuuden arviointien suorittaminen
• selkeiden käyttöohjeiden toimittaminen järjestelmän käyttöönottajille.

Maahantuojat ja jakelijat

Myös organisaatioilla, jotka tuovat tai jakelevat muiden kehittämiä tekoälyjärjestelmiä, on tekoälylain mukaisia velvollisuuksia. Tämä liittyy pääasiassa sen varmistamiseen, että järjestelmät, jotka ne saattavat markkinoille tai asettavat saataville, ovat jo lain mukaisia.

Tekoälyn käyttäjät

Käyttäjät hyödyntävät tekoälyjärjestelmiä osana organisaation liiketoimintaa. Jos käytössä on esimerkiksi erilaiset AI- järjestelmät (Copilot, Claude, ChatGPT jne.) tai AI-tuetut chättibotit, käännöstyökalut, kokousavustajat, voi EU AI Act koskea yritystänne. Suurin osa organisaatioista kuuluu tähän ryhmään.

Sovelletaanko EU:n tekoälylakia pk-yrityksiin? Kyllä. EU:n tekoälylaki ei vapauta pieniä ja keskisuuria yrityksiä velvoitteista. Velvoitteet riippuvat tekoälyn käyttötavasta, eivät organisaation koosta. Pk-yritykset voivat hyötyä yksinkertaistetuista dokumentointimalleista, ohjeistuksesta ja tukitoimenpiteistä, mutta niiden odotetaan silti noudattavan niihin sovellettavia vaatimuksia.

Kuka on vastuussa mistäkin? Palveluntarjoajat ja käyttöönottajat tekoälyn arvoketjussa

Hyödyllinen lähestymistapa käyttäjän ja tarjoajan rooleihin: tarjoaja on vastuussa tekoälyjärjestelmän rakentamisesta; käyttöönottaja on vastuussa sen käytöstä.

Tarjoaja suunnittelee järjestelmän vaatimustenmukaiseksi. Tähän sisältyvät

• riskinhallintajärjestelmä,
• tekniset suojatoimenpiteet,
• ihmisen suorittamat valvontamekanismit
• sekä käyttöohjeet, joissa kerrotaan käyttöönottajille, miten järjestelmää voidaan käyttää turvallisesti ja mihin tarkoitukseen se on tarkoitettu.

Käyttäjän velvollisuudet alkavat siitä, mihin palveluntarjoajan päätöksenteko päättyy. Korkean riskin tekoälyjärjestelmän käyttäjän on muun muassa:

• Käytettävä järjestelmää palveluntarjoajan käyttöohjeiden mukaisesti
• Määritettävä pätevät ja koulutetut henkilöt suorittamaan valvontaa
• Varmistettava, että sen hallinnassa olevat tiedot ovat tarkoituksen kannalta merkityksellisiä ja edustavia
• Seurattava järjestelmän toimintaa ja ilmoitettava palveluntarjoajalle riskeistä, toimintahäiriöistä ja vakavista häiriöistä
• säilyttää itse hallinnoimiaan lokitietoja

Tämän vuoksi riskinhallinta tekoälylain nojalla on jaettu vastuu. Palveluntarjoaja ei voi hallita jokaista tilannetta, jossa järjestelmää käytetään, eikä käyttöönottaja näe järjestelmän suunnittelun yksityiskohtia. Tekoälylaki tunnistaa tämän jännitteen ja pyrkii ratkaisemaan sen: Tarjoaja hallinnoi riskejä, jotka se voi ennakoida suunnitteluvaiheessa, ja viestii jäännösriskeistä käyttöohjeiden kautta; Käyttäjä hallinnoi riskejä, jotka ilmenevät vasta todellisessa käytössä, ja välittää havainnot takaisin toimintaketjuun.

Kumpikaan osapuoli ei voi hoitaa riskienhallintavelvollisuuksiaan ilman toista osapuolta.

Mitä jokaisen organisaation tulisi tehdä?

Aloita yleisistä vaatimuksista

Tekoälyosaaminen. Kaikkien organisaatioiden odotetaan varmistavan, että tekoälyä käyttävällä henkilöstöllä on riittävä koulutus tekoälyn käytöstä ja yleinen tekoälyosaaminen. Tämä tarkoittaa, että työntekijöiden tulisi ymmärtää, mitä tekoälytyökaluja he käyttävät, mihin nämä työkalut kykenevät (ja mihin eivät), sekä mitä riskejä niihin liittyy suhteessa heidän rooliinsa ja käyttötilanteeseen.

Vapaaehtoiset käytännöt. Organisaatiot voivat myös sitoutua tekoälyn vastuulliseen käyttöön ottamalla käyttöön vapaaehtoisia käytäntöjä. Näiden avulla organisaatiot, mukaan lukien ne, joiden tekoälyn käyttö ei kuulu tiukempien velvoitteiden piiriin voivat osoittaa sitoutumisensa vastuulliseen tekoälyyn usein soveltamalla vapaaehtoisesti korkean riskin vaatimusten osia matalamman riskin järjestelmiin.

Henkilöstön tekoälyosaaminen ja sitoutuminen vastuulliseen käyttöön muodostavat tekoälypolitiikanne perustan. Kaikki muu voidaan rakentaa tälle perustalle.

Riskien ymmärtäminen AI-lain näkökulmasta

AI-laki kääntää riskien perinteisen suuntauksen päälaelleen. Perinteisessä tietoturvassa ja riskienhallinnassa (esimerkiksi ISO 27001) organisaatiot hallitsevat ensisijaisesti riskejä, joita ulkomaailma heijastaa niihin: näihin kuuluvat tyypillisesti uhat, tietoturvaloukkaukset, häiriöt ja taloudelliset menetykset. AI-laki ei juurikaan kiinnitä huomiota tähän suuntaan. Se keskittyy ensisijaisesti riskeihin, joita organisaationne tekoälyn käyttö heijastaa ulospäin. Toisin sanoen sen tavoitteena on säännellä sitä, miten organisaationne tekoälyn käyttö vaikuttaa yksilöihin, ryhmiin ja yhteiskuntaan. Kun tekoälyjärjestelmä vaarantaa organisaatiotenne liiketoiminnan, se on pääosin teidän ongelmanne. AI-lain suurin sääntelytaakka kohdistuu alueisiin, joilla tekoäly voi vaarantaa ihmisten terveyttä, turvallisuutta tai perusoikeuksia. Organisaationa velvollisuutenne on siis hallita niitä tekoälyriskejä, joita aiheutatte yhteiskunnalle, riippumatta siitä, otatteko käyttöön vai tarjoatteko tekoälyjärjestelmän, joka aiheuttaa nämä riskit.

Tarjoaja- ja käyttöönottajaluokat voidaan parhaiten ymmärtää riskiluokkien alaryhminä. Järjestelmän riskitaso määrittää sääntelytaakan ylärajan, ja roolisi määrittää osuutesi siitä. Rajoitetun riskin tekoälyjärjestelmän tarjoajalle koituu huomattavasti kevyempi taakka kuin korkean riskin tekoälyjärjestelmän tarjoajalle. Vähäisen riskin chatbotin käyttöönottajalla on hyvin vähän tehtäviä; korkean riskin rekrytointijärjestelmän käyttöönottajalla on puolestaan huomattavia toiminnallisia velvoitteita. Rooli sinänsä ei kerro paljoakaan. Sääntelytaakkasi määräytyy roolisi ja riskiprofiilisi perusteella.

Voiko tekoälyn käyttötapasi muuttaa rooliasi?

Useimmille organisaatioille tärkein ymmärrettävä asia on tämä: se, miten käytät tekoälyä, voi muuttaa luokitteluasi tekoälylain nojalla.

Käyttöönottajan ja tarjoajan välinen raja ei ole kiinteä – tietyt käyttöönottajan toimet voivat johtaa roolin uudelleenluokitteluun. Tämä tarkoittaa, että organisaation on otettava tarjoajan asema. Monille organisaatioille tämä olisi erittäin epätoivottava tulos, koska tarjoajat joutuvat kantamaan AI-lain mukaisen sääntelytaakan koko painon.

Yleisesti ottaen käyttöönottajaa (tai maahantuojaa, jakelijaa tai muuta kolmatta osapuolta) kohdellaan korkean riskin tekoälyjärjestelmän tarjoajana, jos se:

• lisää oman nimensä tai tavaramerkkinsä jo markkinoilla olevaan korkean riskin tekoälyjärjestelmään
• muokkaa merkittävästi korkean riskin tekoälyjärjestelmää tavalla, jota alkuperäinen palveluntarjoaja ei ole ennakoinut
• muuttaa tekoälyjärjestelmän käyttötarkoitusta – mukaan lukien yleiskäyttöisen järjestelmän – niin, että siitä tulee korkean riskin järjestelmä

Nämä eivät ole harvinaisia tai epätodennäköisiä tilanteita. Toimittajan työkalun myyminen omana tuotteena (white-labeling), ostetun järjestelmän hienosäätö tai merkittävä uudelleensuunnittelu tai yleiskäyttöisen työkalun muuttaminen johonkin muuhun käyttötarkoitukseen ovat erittäin yleisiä käytäntöjä. Ne kaikki voivat ylittää rajan, kun kyseessä on tekoälyjärjestelmä. Ja juuri silloin korkean riskin järjestelmän tarjoajan velvollisuudet siirtyvät organisaatiollesi. Tähän sisältyy lisäriskien hallinta, teknisen dokumentaation ylläpito, vaatimustenmukaisuuden arviointi sekä markkinoille saattamisen jälkeinen seuranta. Useimmille organisaatioille tämä olisi erityisen epätoivottava käänne.

Organisaatioiden kriittisin tehtävä onkin siksi pystyä vastaamaan kysymykseen: Mitkä tekoälytoimintamme voisivat uskottavasti johtaa luokituksen muutokseen, ja kuka arvioi uusia tekoälyn käyttötapauksia tämän riskin valossa? Tämä kysymys on se raja, joka erottaa hallittavan käyttöönottajan vaatimustenmukaisuusohjelman suunnittelemattomasta palveluntarjoajatasoisesta ohjelmasta.

Miten AI-järjestelmiä tulisi hallinnoida?

Jokaista AI-järjestelmää ei tarvitse arvioida yksityiskohtaisesti heti alusta alkaen. Useimmissa tapauksissa vaatimustenmukaisuus alkaa siitä, että ymmärretään, miten tekoälyä käytetään, ja laaditaan tämän käytön ympärille perusohjeet.

1. Laadi lista AI-järjestelmistä. Kirjaa ylös, mitä AI-työkaluja organisaatiossasi käytetään ja mihin niitä käytetään.

2. Määritä vastuuhenkilö. Jonkun tulisi olla vastuussa tekoälyn hallinnosta, käytänteistä ja vaatimustenmukaisuudesta.

3. Ymmärrä roolisi. Oletko palveluntarjoaja, käyttöönottaja vai molempia? Eri rooleilla on erilaiset velvollisuudet.

4. Tunnista korkean riskin tekoäly. Useimmat organisaatiot eivät käytä korkean riskin tekoälyä, mutta on tärkeää tietää, kuuluuko mikään järjestelmä kyseiseen luokkaan.

5. Tarkista läpinäkyvyysvaatimukset. Jos ihmiset ovat vuorovaikutuksessa tekoälyn kanssa tai saavat tekoälyn tuottamaa sisältöä, läpinäkyvyysvelvoitteet voivat tulla sovellettaviksi.

6. Kouluta työntekijöitä. Työntekijöiden tulisi ymmärtää, miten tekoälyä voidaan käyttää vastuullisesti ja turvallisesti.

EU:n tekoälylain täytäntöönpano: Missä mennään?

EU:n tekoälylain vaiheittainen täytäntöönpano on jo pitkällä. Useat tärkeät velvoitteet ovat jo voimassa.

Seuraavat merkittävät virstanpylväät koskevat ensisijaisesti organisaatioita, jotka kehittävät tai ottavat käyttöön korkean riskin tekoälyjärjestelmiä.

• Joulukuu 2027 – Useimpien itsenäisten korkean riskin tekoälyjärjestelmien velvoitteiden odotetaan tulevan voimaan tarkistetun täytäntöönpanoaikataulun mukaisesti.
• Elokuu 2028 – Tietynlaisiin säänneltyihin tuotteisiin integroitujen tekoälyjärjestelmien jäljellä olevat velvoitteet tulevat voimaan.

Vaikka nämä määräajat saattavat tuntua kaukaisilta, tekoälyprosessien kehittäminen ja tekoälyluettelon laatiminen, vastuun määrittäminen sekä tekoälyn käytön dokumentointi mahdollisimman pian helpottavat huomattavasti tulevaisuuden vaatimustenmukaisuutta.

Usein kysyttyjä kysymyksiä

Tarvitseeko jokainen yritys tekoälypolitiikan?

Ei nimenomaisesti. Tekoälyn käyttötapojen dokumentointi on kuitenkin käytännöllinen tapa osoittaa hallinnointia ja vastuullista tekoälyn käyttöä.

Mikä on tekoälyluettelo?

Tekoälyluettelo on luettelo organisaatiossasi käytettävistä tekoälyjärjestelmistä, mukaan lukien niiden käyttötarkoitus, vastuuhenkilö ja mahdolliset riskit.

Käytämme vain ChatGPT:tä tai Microsoft Copilotia. Sovelletaanko tekoälylakia silti?

Yleensä kyllä. Yleiskäyttöisten tekoälytyökalujen käyttö ei tee organisaatiostasi tekoälypalveluntarjoajaa, mutta se tekee sinusta tekoälyn käyttöönottajan.

Tämä tarkoittaa, että sinun tulisi:

• Tietää, missä tekoälyä käytetään
• Kouluttaa työntekijöitä vastuulliseen tekoälyn käyttöön
• Täyttää sovellettavat läpinäkyvyysvaatimukset
• Luoda tekoälyn hallinnon perusrakenteet

Huom: Yleiskäyttöisen työkalun käyttötarkoituksen muuttaminen korkean riskin käyttötapaukseksi tai sen sisällyttäminen omaan nimeen rekisteröityyn tuotteeseen voi muuttaa luokitustasi. Katso yllä oleva kohta roolien uudelleenluokittelusta.

Mikä on korkean riskin tekoälyjärjestelmä?

Korkean riskin tekoälyjärjestelmiä käytetään esimerkiksi työllisyyden, koulutuksen, terveydenhuollon, lainvalvonnan ja kriittisen infrastruktuurin aloilla. Niihin sovelletaan yleiskäyttöisiä tekoälytyökaluja tiukempia vaatimuksia, koska ne voivat vaikuttaa yksilöihin, ryhmiin ja yhteiskuntaan. Näin tekoälylaki määrittelee riskin.

Voinko sivuuttaa tekoälyasetuksen, jos yritykseni sijaitsee EU:n ulkopuolella?

Et välttämättä. Tekoälyasetusta voidaan soveltaa EU:n ulkopuolella sijaitseviin organisaatioihin, jos niiden tekoälyjärjestelmät saatetaan EU:n markkinoille tai niiden tuotoksia käytetään EU:n alueella.

Mistä siis aloittaa?

‍Cyberday auttaa organisaatioita rakentamaan tekoälyn hallintaa käyttämällä samaa käytännönläheistä lähestymistapaa, joka on jo tuttu standardeista kuten ISO 27001, NIS2 ja GDPR. Sen sijaan, että tekoälyn vaatimustenmukaisuutta käsiteltäisiin erillisenä projektina, organisaatiot voivat integroida sen olemassa oleviin tietoturvan hallintaprosesseihinsa.

Hyvä lähtökohta on vastata kolmeen yksinkertaiseen kysymykseen:

• Mitä tekoälyjärjestelmiä käytämme?
• Kuka on vastuussa niiden hallinnasta?
• Täytämmekö meitä koskevat läpinäkyvyysvaatimukset?

Tästä lähtien organisaatiot voivat vähitellen laatia tekoälyluettelon, määritellä vastuut, dokumentoida toimintaperiaatteet ja arvioida tekoälyriskejä tekoälyn käytön kehittyessä.

Tekoälylain tarkoituksena on varmistaa, että tekoälyä käytetään vastuullisesti, läpinäkyvästi ja johdonmukaisesti koko organisaatiossa. Organisaatiot, jotka ottavat nämä hallintakäytännöt käyttöön jo nyt, ovat hyvin valmistautuneita, kun tekoälylain uudet vaatimukset tulevat voimaan tulevina vuosina. Ne edistävät myös tekoälyn turvallisempaa ja vastuullisempaa käyttöä koko Organisaatiossa.