AI Act (tekoälyasetus): mitä todella pätee 2. elokuuta 2026 alkaen

2. elokuuta 2026 oli AI-asetuksen suuri määräaika. Se on juuri ohitettu, ja siitä lähtien liikkeellä on ollut kaksi ristiriitaista tarinaa, molemmat virheellisiä. Ensimmäinen väittää, että AI-asetusta on lykätty eikä mitään tarvitse tehdä. Toinen varoittaa velvoitteiden vyörystä kaikille tekoälyä käyttäville yrityksille. Todellisuus tiivistyy yhteen erotteluun: se mitä lykättiin koskee suuren riskin järjestelmiä; se mikä pätee nyt, pätee kaikille.

Tämä artikkeli käy läpi, mitä EU:n tekoälyasetus todella vaatii ammattilaiselta, joka käyttää tekoälytyökaluja päivittäin, käyttäen puhesanelua käytännön esimerkkinä. Ja ennen kaikkea, mitä se ei ratkaise lainkaan, vaikka moni luulee toisin.

Yksi ainoa asetus, sovellettavissa kaikissa 27 jäsenvaltiossa

Ensimmäinen väärinkäsitys selvitettäväksi: AI-asetus ei ole kansallinen laki. Se on asetus (EU) 2024/1689, voimassa 1. elokuuta 2024 alkaen. Siitä seuraa kaksi käytännön seurausta:

• Se on asetus, ei direktiivi. Se pätee suoraan kaikissa 27 jäsenvaltiossa, ilman täytäntöönpanolakia. AI-asetuksesta ei siis ole kansallista versiota: teksti on identtinen jäsenvaltiosta toiseen. Jokainen maa vain nimeää valvontaviranomaisensa ja määrittää seuraamusjärjestelmänsä asetuksen asettamissa puitteissa.
• Soveltamisala on ekstraterritoriaalinen. Artikla 2 kattaa tarjoajat, jotka saattavat tekoälyjärjestelmän unionin markkinoille riippumatta siitä, missä ne on sijoittautuneet, sekä tarjoajat ja käyttöönottajat, jotka ovat sijoittautuneet kolmanteen maahan, kun järjestelmän tuotosta käytetään unionissa. Unionin ulkopuolelle sijoittautunut tarjoaja, joka tarjoaa työkaluaan Euroopassa, kuuluu siis soveltamisalaan.

Huomionarvoista on myös, että saman artiklan kohta 10 vapauttaa velvoitteista käyttöönottajat, jotka ovat luonnollisia henkilöitä ja käyttävät tekoälyjärjestelmää puhtaasti henkilökohtaisessa, ei-ammattimaisessa toiminnassa. Ostoslistan saneleminen ei vaaranna mitään. Asiakirjan muistiinpanojen saneleminen tekee.

Todellinen aikataulu, digitaalisen omnibuksen jälkeen

8. heinäkuuta 2026 unioni hyväksyi asetuksen (EU) 2026/1744, tunnetaan tekoälyä koskevana digitaalisena omnibuksena, julkaistu Euroopan unionin virallisessa lehdessä 24. heinäkuuta 2026 ja voimassa 27. heinäkuuta alkaen. Juuri tämä teksti piirsi aikataulun uudelleen, ja siitä on peräisin huhu yleisestä lykkäyksestä. Näin asia on, ja näin se ei ole.

• 2. helmikuuta 2025: artiklan 5 kielletyt käytännöt ja artiklan 4 tekoälylukutaitovelvoite tulivat sovellettaviksi. Ei muutosta.
• 2. elokuuta 2025: yleiskäyttöisten tekoälymallien velvoitteet, hallinto ja, ennen kaikkea, seuraamusjärjestelmä tulee voimaan. Ei muutosta.
• 2. elokuuta 2026: asetuksen yleinen sovellettavuus ja artiklan 50 läpinäkyvyysvelvoitteet. Ei muutosta.
• 2. joulukuuta 2026: kaksi uutta kiellettyä käytäntöä lisätään artiklaan 5, kohdistuen järjestelmiin, jotka tuottavat realistista intiimiä sisältöä tunnistettavasta henkilöstä ilman tämän suostumusta, ja järjestelmiin, jotka tuottavat lasten seksuaalista hyväksikäyttöä kuvaavaa materiaalia. Samana päivänä päättyy neljän kuukauden siirtymäaika generatiivisten tekoälyjärjestelmien tarjoajille, jotka olivat jo markkinoilla 2. elokuuta 2026, merkintävaatimusten täyttämiseksi.
• 2. joulukuuta 2027: liitteen III suuren riskin järjestelmien velvoitteet (työllisyys, koulutus, yhteiskunnan kannalta tärkeät palvelut, oikeuslaitos, maahanmuutto, biometriikka). Lykätty 2. elokuuta 2026:sta.
• 2. elokuuta 2028: liitteen I suuren riskin järjestelmien velvoitteet, ne jotka sisältyvät jo säänneltyihin tuotteisiin. Lykätty 2. elokuuta 2027:stä.

Summat, asian mittasuhteiden hahmottamiseksi: jopa 35 miljoonaa euroa tai 7 % maailmanlaajuisesta vuosiliikevaihdosta kielletystä käytännöstä, ja jopa 15 miljoonaa tai 3 % tarjoajien, käyttöönottajien tai artiklan 50 läpinäkyvyysvelvoitteiden rikkomisesta, korkeampaa summaa sovelletaan. Yksi vivahde, joka on merkityksellinen pienelle yritykselle tai startupille: artikla 99.6 säätää tässä tapauksessa, että sovelletaan alempaa kahdesta summasta, ei korkeampaa.

Neljä riskitasoa, ja mihin sanelutyökalu sijoittuu

AI-asetus ei säätele tekoälyä yhtenä kokonaisuutena: se luokittelee järjestelmät riskitason mukaan ja antaa velvoitteiden riippua tästä luokittelusta. Neljä tasoa, ankarimmasta lievimpään: hyväksyttävän riskin ylittävä (kielletty), suuri riski (voimakkaasti säännelty), erityinen läpinäkyvyysriski (tiedotusvelvollisuus), minimaalinen riski (ei erityisvelvoitteita).

Seikka, jonka lähes kaikki jättävät huomiotta: järjestelmän käyttötarkoitus ratkaisee sen luokan, ei tekniikka jolle se perustuu. Sama puheentunnistuksen rakennuspalikka voi olla minimaalisen tai suuren riskin mukainen sen käyttötarkoituksesta riippuen.

• Työkalu, joka on tarkoitettu puheen muuntamiseen tekstiksi, ei kuulu mihinkään liitteen III kahdeksasta alueesta. Sen riski on minimaalinen.
• Sama äänimoottori, tarkoitettu ehdokkaiden arviointiin työhaastattelussa, kuuluisi liitteen III kohtaan 4 (työllisyys ja henkilöstöhallinto): suuri riski.
• Sama äänimoottori, tarkoitettu tunteiden tunnistamiseen, kuuluisi liitteen III kohtaan 1 (biometriikka): suuri riski, ellei se ole yksinkertaisesti kielletty.

Toisin sanoen, kysymys joka tarjoajalle pitäisi esittää, ei ole "käyttääkö työkalunne tekoälyä?", vaan "mihin järjestelmänne on tarkoitettu, ja mille riskitasolle se sijoittaa teidät?". Vastauksen tulee olla perusteltu, ei koristeellinen.

Todellinen ansa äänityökaluille: tunteiden päättely

Työkalulle, joka kuuntelee ihmisten puhetta, eniten huomiota ansaitseva säännös ei ole suuren riskin säännös, vaan artikla 5. Kohta 1 f kieltää tekoälyjärjestelmät, jotka päättelevät luonnollisen henkilön tunteita työpaikoilla ja koulutuslaitoksissa, paitsi kun käyttö on tarkoitettu lääketieteellisistä syistä tai turvallisuussyistä.

Kyse ei ole tulevasta velvoitteesta: se on kielto, joka on ollut voimassa 2. helmikuuta 2025 alkaen, asetuksen ankarimmin sanktioidussa luokassa. Eikä se kohdistu vain tarjoajaan: yritys, joka käyttää tällaista työkalua henkilöstönsä keskuudessa, on suoraan asianosainen.

Pidettävä raja on selkeä: litterointi ei ole päättelyä. Sanelutyökalu muuttaa sanomasi tekstiksi, se ei analysoi tunnetilaasi. Ole sen sijaan tarkkaavainen ominaisuuksien suhteen, joita jotkin kokoustyökalut markkinoivat: osallistujien tunneanalyysi, sitoutumispisteet, stressin tai äänensävyn tunnistus. Työpaikalla tällaiset markkinointilupaukset voivat liukua kielletylle alueelle.

Täytyykö tekoälyllä tuotettu teksti "merkitä"?

Tämä on yleisin väärinkäsitys 2. elokuuta 2026 jälkeen. Artikla 50.2 vaatii, että synteettistä ääntä, kuvaa, videota tai tekstiä tuottavien tekoälyjärjestelmien tarjoajat merkitsevät nämä tuotokset koneellisesti luettavassa muodossa. Moni päättelee tästä, että kaikkeen tekoälyn avulla kirjoitettuun tekstiin pitäisi jo lisätä merkintä.

Tämä on epätarkkaa, ja asetus itse sanoo niin. Sama kohta täsmentää: "Tätä velvoitetta ei sovelleta siltä osin kuin tekoälyjärjestelmät täyttävät avustavan toiminnon vakiomuokkaukselle tai eivät olennaisesti muuta käyttöönottajan toimittamaa syöttödataa tai sen merkitystä."

Puhesanelutyökalu sijoittuu juuri tähän poikkeukseen. Se litteroi omat sanasi ja korjaa sitten välimerkit, kieliopin ja epäröinnit. Se ei luo sinulle sisältöä eikä muuta sanomasi merkitystä: se antaa muodon syötteelle, jonka olet itse toimittanut. Teksti pysyy sinun omanasi. Ero työkaluun, joka kirjoittaa artikkelin kolmen rivin ohjeen perusteella, on laadullinen, ei vain asteen ero.

Kaksi varausta on silti hyvä tuntea:

• Artikla 50.1. Järjestelmien, jotka on tarkoitettu olemaan suoraan vuorovaikutuksessa luonnollisten henkilöiden kanssa, on ilmoitettava heille, että he ovat tekemisissä tekoälyn kanssa. Tämä kohdistuu keskustelurobotteihin, ei sanelutyökaluun, joka ei keskustele kenenkään kanssa.
• Artikla 50.4. Tekoälyn tuottama tai muokkaama teksti, joka julkaistaan yleistä etua koskevista asioista tiedottamiseksi yleisölle, on merkittävä. Tärkeä poikkeus: kun sisältö on käynyt läpi ihmisen toimituksellisen tarkastuksen ja luonnollinen tai oikeushenkilö ottaa toimituksellisen vastuun. Toimittaja, joka sanelee artikkelinsa ja tarkistaa sen sitten, kuuluu poikkeuksen piiriin.

Mitä AI-asetus vaatii ammattikäyttäjältä

Asetus erottaa kaksi pääroolia. Tarjoaja kehittää järjestelmän ja saattaa sen markkinoille. Käyttöönottaja käyttää sitä omalla vastuullaan, ammatillisessa yhteydessä. Jos varustat tiimisi tekoälytyökalulla tai käytät sitä itse ammatissasi, olet käyttöönottaja. Käytännössä sinua koskee kolme asiaa.

1. Tekoälylukutaito (artikla 4), jota omnibus lievensi. Alkuperäinen teksti vaati "riittävän tason" tekoälyosaamisen varmistamista henkilöstölle. Asetus (EU) 2026/1744 korvasi tämän huomattavasti lievemmällä muotoilulla: tarjoajien ja käyttöönottajien "on toteutettava toimenpiteitä tukeakseen tekoälylukutaidon edistämistä henkilöstönsä ja muiden puolestaan tekoälyjärjestelmien toimintaa ja käyttöä käsittelevien henkilöiden keskuudessa", ja muutettu artikla lisää, ettei tämä velvoite edellytä tietyn osaamistason varmistamista yksittäiselle henkilölle. Siirrytään tulosvelvoitteesta keinovelvoitteeseen. Huomionarvoista on, ettei artikla 4 sisälly artiklan 99 luetteloon rikkomuksista, joista voidaan määrätä sakko. Velvoite on olemassa, mutta sitä ei sanktioida suoraan unionin tasolla.

2. Kielletyt käytännöt (artikla 5). Et saa käyttää työkaluja, jotka ovat artiklan 5 mustalla listalla, mukaan lukien edellä mainittu tunteiden päättely työpaikalla. Tämä on ainoa todella painava rajoitus, joka lepää tavallisen käyttäjän harteilla, ja se pätee jo.

3. Käyttöönottajan velvoitteet suuren riskin järjestelmälle (artikla 26). Ne ovat laajat: inhimillinen valvonta, lokitus, tiedottaminen asianomaisille työntekijöille. Mutta ne aktivoituvat vain, jos todella käytät suuren riskin luokan järjestelmää, eivätkä ennen 2. joulukuuta 2027 liitteen III osalta.

Ratkaiseva seikka: AI-asetus ei sano mitään suvereniteetista

Tämä on kallein väärinkäsitys, sillä se luo väärän turvallisuuden tunteen. AI-asetus säätelee tekoälyjärjestelmien markkinoille saattamista ja käyttöä: mitä ne saavat tehdä, miten ne on dokumentoitava, mitä niiden on ilmoitettava. Se ei sisällä vaatimusta siitä, minne tiedot tallennetaan.

Missään asetus ei vaadi, että äänesi, tekstisi tai asiakirjasi käsitellään Euroopassa. Missään se ei mitätöi Yhdysvaltain Cloud Actia. Työkalu voi olla AI-asetuksen suhteen moitteeton ja silti lähettää jokaisen sanelun palvelimille, joita ylläpitää yhtiö, joka kuuluu Yhdysvaltain lainkäyttövallan piiriin, ja jota voidaan siten pakottaa yhdysvaltalaisella määräyksellä.

Nämä kysymykset säätelee GDPR, ja vain GDPR: käsittelyn oikeusperuste, säilytysaika, henkilötietojen käsittelijät ja EU:n ulkopuolelle tapahtuvien siirtojen sääntely V luvun mukaisesti. AI-asetus itse toteaa tämän artiklassa 2.7: unionin henkilötietosuojalainsäädäntöä sovelletaan edelleen tietoihin, joita käsitellään asetuksen puitteissa. Nämä kaksi säädöskehystä toimivat yhdessä, toinen ei korvaa toista.

Käymme läpi toisen kysymyksen, käytännössä selvästi ratkaisevimman, omistetussa oppaassamme: puhesanelu ja GDPR, minne tietosi oikeasti päätyvät. Siinä selitämme, miksi palvelimen sijainti ei riitä, mitä Data Privacy Framework todella on arvoltaan, ja miksi tarjoajan lainkäyttövalta painaa enemmän kuin sen konesalin osoite. Salassapitovelvollisuuden alaisille ammateille sovellettava säädöskehys kuvataan sivullamme asianajosalaisuudesta.

6 kysymystä kenelle tahansa tekoälytarjoajalle

Yksinkertainen tapa tehdä päätös, yhdistämällä molemmat säädöskehykset. Ensimmäiset kysymykset tulevat AI-asetuksesta, viimeiset GDPR:stä, ja usein juuri jälkimmäiset tekevät eron.

1. Mikä on järjestelmänne ilmoitettu käyttötarkoitus, ja mille riskitasolle se sijoittaa teidät? Odota perusteltua vastausta liitteeseen III verraten, ei pelkkää "noudatamme sääntöjä".
2. Päätteleekö työkalunne tunteita tai luokitteleeko se ihmisiä äänen perusteella? Työpaikalla oikea vastaus on ei, yksiselitteisesti.
3. Kuuluvatko tuotoksenne artiklan 50.2 merkintävelvoitteen piiriin, vai avustavan vakiomuokkauksen poikkeuksen piiriin? Vakavasti otettava tarjoaja tietää kantansa ja miksi.
4. Mitä tekoälymalleja käytätte, missä ne toimivat, ja miltä tarjoajilta ne tulevat? Se on ainoa tapa tietää, kuka lopulta oikeasti käsittelee tietojasi ketjun päässä. Se, joka kutsuu kolmannen osapuolen rajapintaa, altistaa sinut kyseiselle kolmannelle osapuolelle, riippumatta muusta puheesta.
5. Käytetäänkö tietojani mallienne kouluttamiseen, ja kuinka kauan niitä säilytetään? Oikeat vastaukset: ei, ja ei lainkaan säilytystä.
6. Missä tietojani käsitellään, minkä yhtiön toimesta, ja minkä lainkäyttövallan alaisena? Etsi käsittelyä unionin sisällä eurooppalaisen yhtiön toimesta, ei pelkkää "konesali Euroopassa" -väitettä.

Fast Dictaten vastaukset

Fast Dictate on eurooppalainen puhesanelutyökalu. Tässä vastauksemme kuuteen kysymykseen, järjestyksessä:

• Tarkoitus ja luokittelu: puheen muuntaminen tekstiksi ja sen lisääminen valitsemaasi sovellukseen. Mikään liitteen III kahdeksasta alueesta ei sovellu: minimaalinen riski.
• Tunteet: ei. Fast Dictate litteroi sanomasi ja muotoilee tekstin. Se ei tee puhujantunnistusta, tunneanalyysiä eikä biometristä luokittelua.
• Sisällön merkintä: työkalu litteroi omat sanasi ja korjaa välimerkit ja kieliopin, olennaisesti muuttamatta syötettäsi tai sen merkitystä. Tämä on juuri artiklassa 50.2 mainittu poikkeus.
• Mallit ja missä ne toimivat: Pro-paketissa litterointi (Whisper Large V3) ja kielellinen jälkikäsittely (GPT-OSS-120B) toimivat palvelimilla Ranskassa. Mitään kutsua ei tehdä Ranskan ulkopuoliseen tekoälyrajapintaan sanelujesi sisällön käsittelemiseksi, ei OpenAI:hin, Anthropiciin, Googleen, AWS:ään eikä Azureen.
• Ei tietojen säilytystä missään paketissa. Äänesi käsitellään muistissa litteroinnin ajan, poistetaan sitten välittömästi, eikä sitä koskaan käytetä uudelleen mallin kouluttamiseen.
• Pro-paketti: käsittely yksinomaan Ranskassa, infrastruktuurilla joka on sertifioitu standardin ISO/IEC 27001:2022 mukaisesti, Yhdysvaltain Cloud Actin ulottumattomissa, GDPR-henkilötietojenkäsittelysopimus saatavilla pyynnöstä. Ilmainen- ja Standard-paketit toimivat nopealla kansainvälisellä infrastruktuurilla, aina ilman tietojen säilytystä.

Muutoin Fast Dictate toimii kaikkialla: Word, Gmail, Notion, selaimesi, mikä tahansa tekstikenttä, yhdellä ainoalla pikanäppäimellä Windowsissa ja Macissa. Ilmainen paketti tarjoaa 2 000 sanaa viikossa, ilman pankkikorttia.

Tämä artikkeli on tarkoitettu tiedoksi eikä se ole oikeudellista neuvontaa. Tekoälyjärjestelmän luokittelu riippuu sen käyttötarkoituksesta ja tosiasiallisesta käytöstä: jos olet epävarma omasta tilanteestasi, käänny asiantuntijan puoleen. Viralliset lähteet löytyvät osoitteesta EUR-Lex ja Euroopan komission AI Act -sivulla. Artikkeli ajantasainen 15. elokuuta 2026.

Usein kysytyt kysymykset