EU:n tekoälyasetus pienelle yritykselle: mitä pitää tehdä

Kartoituksissa kysytään usein, mitä EU:n tekoälyasetus vaatii. Useimmiten kysyjä pelkää, että asetus koskee häntä samalla tavalla kuin isoa teknologiayhtiötä. Ei koske.

Asetuksen velvoitteet riippuvat kahdesta asiasta: mikä rooli yrityksellä on ja mihin tekoälyä käytetään. Pieni yritys, joka käyttää valmiita työkaluja tavalliseen toimistotyöhön, pääsee vähällä. Muutama asia on silti hoidettava.

Tämä kirjoitus on yleiskatsaus, ei oikeudellista neuvontaa. Tilanne syyskuussa 2026.

Oletteko tarjoaja vai käyttöönottaja

Asetus erottaa tarjoajan, joka kehittää tekoälyjärjestelmän ja tuo sen markkinoille, ja käyttöönottajan, joka käyttää järjestelmää omassa toiminnassaan. Raskaimmat velvoitteet koskevat tarjoajia.

Useimmat pienet yritykset ovat käyttöönottajia. Kun käytätte ChatGPT:tä, Copilotia tai teille rakennettua agenttia omassa työssänne, olette käyttöönottaja. Tarjoajaksi voitte muuttua, jos myytte tekoälyratkaisua omalla nimellänne muille.

Neljä riskitasoa

Asetus jakaa käyttötavat neljään ryhmään. Ratkaisevaa on käyttötarkoitus, ei työkalu: sama kielimalli voi olla vähäriskinen yhdessä käytössä ja suuririskinen toisessa.

1. Kielletyt. Esimerkiksi ihmisten manipulointi heidän haitakseen, sosiaalinen pisteytys ja tunteiden tunnistaminen työpaikalla tai oppilaitoksessa. Kiellot ovat olleet voimassa helmikuusta 2025.
2. Suuririskiset. Käyttötarkoitukset, joilla on iso vaikutus ihmisen elämään. Pienelle yritykselle tärkein on rekrytointi ja henkilöstön arviointi: hakemusten seulonta, haastattelujen pisteytys tai suoritusten arviointi tekoälyllä. Muita ovat esimerkiksi luottokelpoisuuden arviointi ja opiskelijoiden arviointi.
3. Avoimuusvelvoitteen piirissä. Tekoäly, joka keskustelee ihmisen kanssa tai tuottaa sisältöä, josta voi erehtyä luulemaan aidoksi. Asiakaspalvelun chatbot ja ääniagentti kuuluvat tähän.
4. Vähäinen riski. Kaikki muu: tekstin luonnostelu, yhteenvedot, käännökset, roskapostisuodatus, sisäinen raportointi. Suurin osa pienen yrityksen käytöstä on tässä ryhmässä, eikä sille ole erityisiä velvoitteita.

Mitä pitää tehdä

Henkilöstön tekoälyosaaminen. Tekoälyä käyttävän organisaation on huolehdittava, että sen käyttäjillä on riittävä osaaminen. Vaatimus on ollut voimassa helmikuusta 2025, ja se koskee kaikkia riskitasoja. Käytännössä riittää, että ihmiset tietävät, mitä työkalu osaa ja mitä ei, miten tulos tarkistetaan ja mitä tietoa työkaluun saa syöttää. Asetus ei määrää todistusta, mutta koulutuksen ja ohjeiden kirjaaminen kannattaa.

Avoimuus asiakkaille. Kun asiakas keskustelee tekoälyn kanssa chatissa tai puhelimessa, hänen on tiedettävä se, ellei se ole ilmeistä. Tekoälyllä tuotetut kuvat, äänet ja videot, jotka näyttävät aidoilta, on merkittävä. Velvoitteet alkavat elokuussa 2026. Ääniagentin kohdalla se tarkoittaa yhtä lausetta puhelun alussa.

Tarkkuus rekrytoinnissa. Jos käytätte tekoälyä hakijoiden seulontaan tai henkilöstön arviointiin, kyse on suuririskisestä käytöstä. Käyttöönottajana teidän on muun muassa käytettävä järjestelmää ohjeiden mukaan, järjestettävä ihmisen valvonta, säilytettävä lokit ja kerrottava henkilöstölle etukäteen. Jos tätä ei ole mietitty, helpoin ratkaisu on pitää tekoäly poissa päätöksistä, jotka koskevat yksittäisiä ihmisiä.

Aikataulu

Milloin	Mitä
Helmikuu 2025	Kiellot ja henkilöstön osaamisvaatimus
Elokuu 2025	Yleiskäyttöisten tekoälymallien, kuten kielimallien, tarjoajien velvoitteet
Elokuu 2026	Avoimuusvelvoitteet ja suurin osa muista säännöistä
Elokuu 2027	Tuoteturvallisuuslainsäädäntöön kytkeytyvät suuririskiset järjestelmät

Komissio ehdotti marraskuussa 2025 muutoksia asetuksen soveltamiseen, muun muassa suuririskisiä järjestelmiä koskevien vaatimusten lykkäämistä. Tarkistakaa ehdotuksen tilanne ennen kuin teette päätöksiä sen varaan.

Sakot

Asetuksen sakot ovat suuria, enimmillään 35 miljoonaa euroa tai 7 prosenttia liikevaihdosta kiellettyjen käyttötapojen rikkomisesta. Pk-yrityksille sovelletaan kahdesta vaihtoehdosta pienempää. Pienen yrityksen todellinen riski ei kuitenkaan ole sakko vaan se, että tekoäly tekee päätöksen, jota kukaan ei tarkistanut.

Tarkistuslista

• Listatkaa tekoälytyökalut, joita käytätte, ja mihin niitä käytetään.
• Varmistakaa, ettei mikään käyttö kuulu kiellettyihin.
• Tarkistakaa, käytetäänkö tekoälyä rekrytointiin tai henkilöstön arviointiin. Jos käytetään, selvittäkää suuririskisen käytön vaatimukset.
• Kertokaa asiakkaille, kun he keskustelevat tekoälyn kanssa.
• Kouluttakaa tekoälyä käyttävä henkilöstö ja kirjatkaa se.
• Kirjoittakaa lyhyt ohje: mitä työkaluja käytetään, mihin ja mitä tietoa niihin saa viedä.

Tietosuoja-asetus pätee edelleen kaiken tämän rinnalla. Jos tekoäly käsittelee henkilötietoja, samat säännöt kuin ennenkin koskevat myös sitä.

Asiakkaiden kanssa puhuvat ääniagentit rakennamme niin, että ne kertovat heti olevansa tekoälyä, ja jokaiseen toimittamaamme ratkaisuun kuuluu käyttäjien perehdytys.