Euroopan komissio julkaisi vuoden 2025 lopulla digitaalisen omnibus-paketin , joka sisälsi ehdotuksia EU:n digitaalisen lainsäädäntökehyksen yksinkertaistamiseksi ja yhdenmukaistamiseksi sekä muutosten tekemiseksi GDPR:ään , NIS 2:een ja muihin vastaaviin säädöksiin.
Vaikka laajemmasta digitaalisesta omnibus-paketista neuvotellaan edelleen, erillinen tekoälyä koskeva digitaalinen omnibus-paketti (AI Omnibus) käsiteltiin nopeutetusti, koska siinä ehdotettiin muutettuja määräaikoja EU:n tekoälylain mukaisille korkean riskin tekoälyjärjestelmiä koskeville velvoitteille. Näiden ehdotettujen muutosten oli tultava voimaan ennen kuin ensimmäiset EU:n tekoälylain mukaiset korkean riskin tekoälyvelvoitteet oli määrä soveltaa 2. elokuuta 2026.
Euroopan parlamentin ja neuvoston neuvottelijat pääsivät 7. toukokuuta 2026 alustavaan sopimukseen tekoälyasetusta koskevasta laajennuksesta, joka lykkäsi korkean riskin tekoälyjärjestelmien vaatimustenmukaisuuden määräaikoja vuosiin 2027 ja 2028. Lopullinen asetus tuli voimaan 27. heinäkuuta 2026.
Mitä on siis muuttunut? Tässä blogissa tarkastelemme joitakin keskeisiä muutoksia, joita tekoälylain myötä tehdään EU:n tekoälylakiin, ja mitä ne tarkoittavat organisaatioille.
Tarkistetut vaatimustenmukaisuuden määräajat korkean riskin tekoälyjärjestelmille
AI Omnibus -säädöksen nojalla korkean riskin tekoälyjärjestelmien tarjoajilla ja käyttöönottajilla on pidennetty aikaraja vaatimustenmukaisuuden varmistamiseksi.
2. joulukuuta 2027 alkaen tekoälyjärjestelmien, jotka luokitellaan artiklan 6(2) ja liitteen III nojalla suuririskisiksi , on pystyttävä osoittamaan vaatimustenmukaisuus, siltä osin kuin niiden käyttö on sallittua asiaa koskevassa EU:n tai kansallisessa lainsäädännössä.
Tämä kattaa tekoälyjärjestelmät, joita käytetään muun muassa seuraavilla aloilla:
- Biometriikka
- Kriittinen infrastruktuuri
- Koulutus ja ammatillinen koulutus
- Työllisyys, työntekijöiden johtaminen ja itsenäisen ammatinharjoittamisen mahdollisuus
- Pääsy ja nauttiminen välttämättömistä yksityisistä palveluista ja välttämättömistä julkisista palveluista ja eduista
- Lainvalvonta
- Maahanmuutto-, turvapaikka- ja rajavalvonnan hallinta
- Oikeudenkäyttö ja demokraattiset prosessit.
Liitteessä III luetteleminen ei automaattisesti tarkoita, että jokainen näillä aloilla käytettävä tekoälyjärjestelmä luokitellaan korkean riskin järjestelmäksi. Myös 6 artiklan luokittelusäännöt ja poikkeukset on otettava huomioon.
Ja 2. elokuuta 2028 alkaen korkean riskin velvoitteita sovelletaan artiklan 6(1) ja liitteen I mukaisiin tekoälyjärjestelmiin. Tämä sisältää korkean riskin tekoälyjärjestelmät, joita käytetään tiettyjen säänneltyjen tuotteiden turvakomponentteina tai jotka itse ovat tällaisia tuotteita, jos kyseiseen tuotteeseen sovelletaan kolmannen osapuolen vaatimustenmukaisuuden arviointivaatimusta. Tämä sisältää:
- Lelut
- Hissit
- Lääketieteelliset laitteet
- Ajoneuvot.
AI Omnibus -direktiivi myös kaventaa turvallisuuskomponenttien määritelmää. Tuotteisiin, joissa on tekoälytoimintoja, jotka ainoastaan avustavat käyttäjiä tai optimoivat suorituskykyä, ei automaattisesti sovelleta korkean riskin velvoitteita. Sen sijaan keskitytään siihen, aiheuttaako niiden vikaantuminen tai toimintahäiriö turvallisuus- tai terveysriskejä.
Laajennettu oikeusperusta erityisten henkilötietoryhmien käsittelylle
Tekoälyasetus laajentaa arkaluonteisten tietojen käsittelyn oikeusperustaa ennakkoluulojen havaitsemiseksi ja lieventämiseksi koskemaan korkean riskin tekoälyjärjestelmien käyttöönottajia sekä muiden tekoälyjärjestelmien ja -mallien tarjoajia ja käyttöönottajia. Aiemmin tämä oikeusperusta koski vain korkean riskin tekoälyn tarjoajia.
Tämä ei ole yleinen lupa käsitellä arkaluonteisia tietoja. Käsittelyn on täytettävä tekoälylaissa asetetut ehdot ja olosuhteista riippuen oltava välttämätöntä. Organisaatioiden on myös toteutettava suojatoimia, kuten pääsynhallinta, turvallisuus- ja yksityisyyden suojaamiseen liittyvät toimenpiteet sekä tietojen uudelleenkäytön ja asianmukaisen poistamisen rajoitukset.
Rajoitettu lisäaika tekoälyn luoman sisällön merkitsemiselle
Tekoälylain avoimuusasetus ei ole yleisesti ottaen lykännyt tekoälylain avoimuusvaatimuksia tekoälyn tuottaman sisällön osalta.
Artiklan 50 mukaiset avoimuusvelvoitteet ovat yleisesti voimassa 2. elokuuta 2026 alkaen. Tähän sisältyy vaatimus, jonka mukaan tiettyjen tekoälyjärjestelmien, jotka tuottavat synteettistä ääni-, kuva-, video- tai tekstisisältöä, tarjoajien on varmistettava, että tulosteet merkitään koneellisesti luettavassa muodossa ja että ne voidaan havaita keinotekoisesti tuotetuiksi tai manipuloiduiksi.
Tekoälyasetus kuitenkin ottaa käyttöön rajoitetun siirtymäajan markkinoilla jo oleville järjestelmille. Ennen 2. elokuuta 2026 markkinoille saatettujen asiaankuuluvien järjestelmien toimittajilla on 2. joulukuuta 2026 asti aikaa noudattaa 50(2) artiklan mukaisia koneellisesti luettavia merkintöjä koskevia velvoitteita.
Organisaatioiden kannalta tärkeä ero on se, että 2. joulukuuta 2026 on rajoitettu lisäaika tietyille olemassa oleville järjestelmille, eikä tekoälylain läpinäkyvyysvaatimusten yleinen alkamispäivä.
FRIA-arvioinnit voivat hyödyntää tietosuojavaikutusten arviointeja
Tekoäly Omnibus -asetuksen nojalla perusoikeusvaikutusten arvioinnit voivat nyt sisältää ristiviittauksia yleisen tietosuoja-asetuksen tai lainvalvontadirektiivin nojalla tehtyihin tietosuojavaikutusten arviointeihin tai sisällyttää niihin kyseisten arvioiden asiaankuuluvat osiot.
Nämä kaksi arviointia ovat edelleen erillisiä, mutta organisaatiot, jotka jo tekevät tietosuojavaikutusten arviointeja, saattavat pystyä käyttämään asiaankuuluvaa analyysiä uudelleen sen sijaan, että ne toistettaisiin tarpeettomasti.
Haitallisten tekoälyjärjestelmien kiellot
Omnibus-asetus tuo mukanaan kiellon tekoälyjärjestelmille, jotka tuottavat suostumuksetta intiimiä materiaalia tai lasten seksuaaliseen hyväksikäyttöön liittyvää materiaalia (CSAM), 2. joulukuuta 2026 alkaen.
Kielto koskee tekoälyjärjestelmien saattamista EU:n markkinoille tällaisen materiaalin luomista tai manipulointia varten. Sitä voidaan soveltaa myös silloin, kun kyseessä on kohtuudella ennakoitavissa oleva ja toistettavissa oleva järjestelmän tulos eikä järjestelmässä ole kohtuullisia ja riittäviä teknisiä turvatoimenpiteitä tällaisen käytön estämiseksi.
Käyttöönottajiin kielto koskee tilanteita, joissa he käyttävät tekoälyjärjestelmää kielletyn materiaalin tuottamiseen tai manipulointiin.
Pk-yritysten joustomahdollisuudet laajennettu koskemaan myös pieniä keskisuuria yrityksiä
AI Omnibus esittelee uuden pienten keskisuurten yritysten (SMC) luokan ja laajentaa useita aiemmin pk-yrityksille saatavilla olleita sääntelyjoustoja koskemaan näitä yrityksiä.
Näitä ovat muun muassa:
- Mahdollisuus käyttää yksinkertaistettua teknistä dokumentaatiota korkean riskin tekoälyjärjestelmille
- Tiettyjen laatujärjestelmän vaatimusten oikeasuhteinen täytäntöönpano
- Alennettu enimmäissakon taso, ja pienten alempien ...
Nämä muutokset eivät tarkoita, että jokainen pk-yrityksiä koskeva poikkeus koskee automaattisesti myös pk-yrityksiä. Pikemminkin tekoälyä koskevassa kokonaisasetelmassa laajennetaan tiettyjä yksinkertaistamis- ja suhteellisuustoimenpiteitä tähän uuteen yritysluokkaan.
Muita näkökohtia
Muutoksia sääntelyviranomaisille: Tekoälyasetus laajentaa ja selventää EU:n tekoälyviraston yksinomaista valvonta- ja täytäntöönpanoroolia. Sillä on yksinomainen toimivalta tiettyjen yleiskäyttöisten tekoälymallien pohjalta rakennettujen tekoälyjärjestelmien osalta, joissa mallin ja järjestelmän on kehittänyt sama palveluntarjoaja tai sama yritys, lukuun ottamatta tiettyjä poikkeuksia.
Sen yksinomainen toimivalta kattaa myös tekoälyjärjestelmät, jotka muodostavat tai integroivat erittäin suuria verkkoalustoja tai hakukoneita, joita säännellään digitaalisten palveluiden lailla (DSA). Tämä on suppeampaa kuin mihinkään DSA:n soveltamisalaan kuuluvaan tekoälyjärjestelmään.
Tekoälylukutaito: Tekoälylain yleislaki tarkistaa myös tekoälylain tekoälylukutaitovaatimusta. Palveluntarjoajien ja käyttöönottajien on toteutettava toimenpiteitä tukeakseen tekoälylukutaidon kehittämistä henkilöstön ja muiden tekoälyjärjestelmiä heidän puolestaan käyttävien keskuudessa. Tarkistettu säännös tekee selväksi, että organisaatioiden ei tarvitse taata tiettyä tekoälylukutaitotasoa jokaiselle yksilölle.
Pidennetty määräaika sääntelytestausympäristöille: Määräaikaa, jonka kuluessa jäsenvaltioiden on varmistettava, että niiden toimivaltaisilla viranomaisilla on käytössä vähintään yksi kansallinen tekoälyn sääntelytestausympäristö, on pidennetty 2. elokuuta 2026 ja 2. elokuuta 2027 välisenä aikana. Tekoälyvirasto voi myös perustaa EU-tason sääntelytestausympäristön tekoälyjärjestelmille, jotka eivät toimi sen toimivallan puitteissa.
Mitä tämä tarkoittaa organisaatioille
AI Omnibus -muutokset EU:n tekoälylakiin pitkälti virtaviivaistavat tai selventävät nykyisiä vaatimuksia. Ratkaisevaa on, ettei tekoälylakia kokonaisuudessaan lykätä.
Ensimmäisenä askeleena ehdotamme, että tarkistat nykyisen tekoälyn hallintaohjelmasi, yhdistät sen tekoälylain muutoksiin ja tunnistat mahdolliset tarkistettavat alueet. Varmista, että sinulla on kokonaiskuva siitä, mitä tekoälyjärjestelmiä yrityksesi käyttää ja missä niitä käytetään.
Läpinäkyvyysmerkintä on yksi alue, johon on nyt kiinnitettävä erityistä huomiota. Artiklan 50 mukaiset avoimuusvaatimukset ovat olleet yleisesti voimassa 2. elokuuta 2026 alkaen. Jos organisaatiosi tarjoaa tai ottaa käyttöön järjestelmiä, joilla tuotetaan tiedonantovaatimusten piiriin kuuluvaa sisältöä, määritä, mitä palveluntarjoajan tai käyttöönottajan velvoitteita sovelletaan. Ennen 2. elokuuta 2026 markkinoilla jo olleiden asiaankuuluvien järjestelmien tarjoajien tulisi myös selvittää, kuuluvatko ne 2. joulukuuta 2026 päättyvän rajoitetun siirtymäajan piiriin.
Tekoälyä käyttävien organisaatioiden tulisi myös tarkastella uudelleen tekoälylukutaitoaan muutetun 4 artiklan mukaisesti ja varmistaa, että tekoälyjärjestelmiä käyttävän henkilöstön tukemiseksi on käytössä asianmukaiset toimenpiteet.
Liitteen III mukaisista korkean riskin järjestelmistä vastaaville organisaatioille tarkistetut määräajat tarjoavat lisää täytäntöönpanoaikaa, mutta ne eivät poista taustalla olevia vaatimuksia. Organisaatiot ovat saattaneet jo työskennellä alkuperäisen 2. elokuuta 2026 asetetun määräajan saavuttamiseksi, kun taas liitteen I järjestelmistä vastaavat organisaatiot työskentelivät tekoälylain myöhemmän tuotekohtaisen aikataulun mukaisesti.
Ratkaisevasti tarkistetut määräajat eivät merkitse helpotusta vaatimustenmukaisuusvaatimuksiin, ja lisäaikaa tulisi käyttää vaatimustenmukaisuusohjelmien vahvistamiseen, tekoälyjärjestelmien luokitusten vahvistamiseen, hallinto- ja dokumentointiprosessien laatimiseen, kontrollien testaamiseen ja puutteiden korjaamiseen hyvissä ajoin ennen uusia määräaikoja, jotka ovat 2. joulukuuta 2027 ja 2. elokuuta 2028.
Laajenna tietosi
Blogi: Mitä uuden EU:n tekoälylain käytännesäännöt tekoälyn tuottaman sisällön läpinäkyvyydestä sisältävät?
Podcast: Tietojenkalastelu ongelmatilanteissa, kausi 2, jakso 10: Kestäväksi tehty: Miten vaatimustenmukaisuus mahdollistaa liiketoiminnan sietokyvyn
