Tekoäly sääntelyn keskellä: Compliance-haasteet ja viranomaisen rooli uudella AI-aikakaudella
Yhteisblogin kirjoittajat: Arttu Ruukki, Henna Tolvanen ja Peppiina Huhtala (EK:n lainsäädäntöasiantuntija)
EU:n tekoälysäädös (AI Act) merkitsee siirtymää kohti tarkemmin säänneltyä tekoälykehitystä. Samalla se haastaa yrityksiä eri puolilla Eurooppaa arvioimaan järjestelmiensä riskitasoja, varmistamaan läpinäkyvyyttä ja dokumentoimaan teknisiä ratkaisujaan aivan uudella tavalla. Vaikka säädöksen tarkoituksena on suojella yksilöitä ja yhteiskuntaa tekoälyn mahdollisilta haittavaikutuksilta, käytännön compliance-vaatimukset voidaan kokea pienissä ja keskisuurissa yrityksissä raskaina.
Compliance -haasteet eri toimijoille
Tietyillä toimialoilla on erityisiä vaatimuksia tekoälyn käytön suhteen. Terveysala ja koulutus ovat esimerkkejä sektoreista, joissa tekoälyn käyttö voi vaikuttaa suoraan yksilöiden oikeuksiin tai turvallisuuteen. Näillä aloilla käytettävät tekoälyjärjestelmät kuuluvat käyttötarkoitukseltaan ja toimintalogiikaltaan helposti tekoälysäädöksen määrittämään korkean riskin kategoriaan, mikä tarkoittaa sitä, että niihin kohdistuu mittaviakin vaatimuksia esimerkiksi turvallisuuteen, selitettävyyteen ja läpinäkyvyyteen liittyen. Sääntelyn noudattamatta jättäminen voi lisäksi johtaa merkittäviin ja monitahoisiin seuraamuksiin. Suorien sanktioiden lisäksi väärin toimiva tekoälyjärjestelmä voi johtaa merkittävään mainehaittaan ja myös vastuuseen taloudellisista vahingoista. Samalla juuri näillä toimialoilla tekoälyllä olisi valtava potentiaali tehostaa palveluita, säästää resursseja ja parantaa lopputuloksia.
Sääntelyn ymmärtäminen on itsessään haaste. Yksi yleinen väärinkäsitys on, että tekoälysäädös pyrkisi rajoittamaan tekoälyn kehitystä tai jopa estämään sen kokonaan. Todellisuudessa suurin osa tekoälyjärjestelmistä kuuluu niin sanottuun matalan riskin luokkaan, joissa vaatimukset ovat kevyempiä. Myös generatiivinen tekoäly – kuten kielimallit tai kuvageneraattorit – on suurelta osin sallittua, kunhan sitä ei käytetä harhaanjohtavasti tai haitallisesti. Moni yritys on siis huolissaan turhaan, mutta toisaalta epätietoisuus itsessään hidastaa kehitystä.
Onko pienillä organisaatioilla realistisia mahdollisuuksia noudattaa sääntelyä? Harvalla pk-yrityksellä on käytössään omaa lakitiimiä tai erityistä tekoälyn turvallisuudesta vastaavaa henkilöä. Vaikka sääntelyn tavoitteet ovat ymmärrettäviä, niiden toimeenpano vaatii teknistä, juridista ja hallinnollista osaamista, jota ei välttämättä ole saatavilla. Ilman selkeitä ohjeita, valmiita mallipohjia tai viranomaisen tarjoamaa tukea vaatimustenmukaisuuden saavuttaminen jää helposti resurssikysymykseksi – eikä se ole hyvä lähtökohta tasa-arvoiselle innovoinnille.
Viranomaisten rooli ratkaisujen löytämisessä
Tässä kohtaa viranomaisten rooli nousee keskiöön. Onko odotettavissa tiukkaa valvontaa ja ankaria seuraamuksia? Varsinkin alkuvaiheessa viranomaisilta odotetaan ennemmin opastavaa ja yhteistyöhön kannustavaa otetta kuin sakottavaa linjaa. Erityisesti korkean riskin sovellusten kohdalla viranomaisten on toki puututtava vakaviin laiminlyönteihin, mutta kokonaisuudessaan valvonnan painopiste tulee todennäköisesti alussa olemaan neuvojen ja ohjeiden antamisessa. Tämä ei kuitenkaan tarkoita, että sääntely olisi hampaatonta. Seuraamukset voivat pahimmillaan olla kymmenien miljoonien eurojen suuruisia, ja erityisesti suurempien tekoälyä kehittävien toimijoiden odotetaan kantavan vastuunsa alusta alkaen.
Tekoälyn testiympäristöt eli sandboxit
Eräs tekoälysäädöksen lupaamista ratkaisuista on niin kutsuttu sandbox-ympäristö, eli valvottu testialusta, jossa uusia tekoälyratkaisuja voi kehittää ja kokeilla viranomaisten kanssa yhteistyössä. Näiden sandboxien toivotaan tarjoavan pk-yrityksille ja startupeille matalan kynnyksen keinon testata järjestelmiään ilman pelkoa välittömistä seuraamuksista. Suomessa sandboxien kehitys on vielä käynnissä, mutta niiden onnistuminen voi osoittautua ratkaisevaksi tekijäksi sääntelyn ja innovoinnin yhteensovittamisessa. Ne eivät ole vain kehittäjien hyöty, vaan myös viranomaisten mahdollisuus ymmärtää paremmin käytännön haasteita ja muotoilla ohjeistusta sen mukaisesti.
Tulevan testiympäristön toteutusmalli on vielä toistaiseksi avoin. Minimissään testiympäristö on tekoälyjärjestelmän dokumentaarinen tarkastelu, jossa käydään vuoropuhelua yrityksen ja viranomaisen kanssa. Vaihtoehtona on myös teknisen alustan rakentaminen. Suomessa viranomainen tekee päätöksiä testiympäristön toteuttamistavasta syksyllä 2025.
Lopuksi
Lopulta kysymys kuuluu: miten lainsäätäjät ja viranomaiset voivat parhaiten tukea yrityksiä tässä muutoksessa? Yrityskenttä kaipaa selkeitä ja käytännönläheisiä ohjeita, yksinkertaistettuja menettelytapoja sekä helposti saavutettavaa tukea. Epäselvä viestintä tai ristiriitainen tulkinta eri EU-maissa voi luoda tilanteen, jossa innovaatio jää odottamaan ohjeistusta, jota ei koskaan tule. Tekoälyn sääntely voi parhaimmillaan lisätä tekoälyn käytön ja kehityksen luottamusta ja varmuutta – mutta vain, jos sitä rakennetaan yhteistyössä, käytäntöjä ymmärtäen.
Kuuntele lisää aiheesta Tekoälycast podcastin jaksosta Tekoäly Suomen yrityskentässä >>
