EU:n tekoälyasetus selkeästi pk-yritykselle: mitä pitää tehdä

EU:n tekoälyasetus eli AI Act koskee jokaista yritystä, joka ottaa tekoälyä osaksi toimintaansa – myös pientä verkkokauppaa tai palveluyritystä, joka käyttää valmiita työkaluja kuten ChatGPT:tä tai kuvageneraattoreita. Tämä opas selittää selkokielellä, mistä asetuksessa on kyse ja mitä pk-yrityksen kannattaa käytännössä tehdä, jotta tekoälyn käyttö on sekä laillista että luottamusta rakentavaa.

Mikä EU:n tekoälyasetus on

AI Act on maailman ensimmäinen laaja tekoälyä koskeva lainsäädäntö. Sen perusidea on yksinkertainen: mitä suurempi riski tekoälyn käytöllä on ihmisille, sitä tiukemmat velvoitteet siihen liittyy. Asetus jakaa tekoälyjärjestelmät karkeasti neljään luokkaan:

• Kielletty käyttö. Esimerkiksi manipuloiva tai ihmisiä pisteyttävä käyttö, joka on nähty perusoikeuksien vastaisena.
• Korkea riski. Esimerkiksi rekrytointi, luotonanto tai terveyteen liittyvät järjestelmät. Näihin liittyy tiukat dokumentaatio- ja valvontavaatimukset.
• Rajoitettu riski. Esimerkiksi chatbotit ja tekoälyllä tuotettu sisältö. Keskeistä on läpinäkyvyys: käyttäjän on tiedettävä olevansa tekemisissä tekoälyn kanssa.
• Vähäinen riski. Suurin osa arkisista työkaluista, kuten tekstin tiivistäminen tai ideointi.

Suurin osa pk-yrityksistä toimii kahdessa alimmassa luokassa. Se on hyvä uutinen: velvoitteet ovat kevyitä, mutta ne kannattaa hoitaa kunnolla.

Yleiskäyttöiset mallit ja läpinäkyvyys

Suuret kielimallit (kuten ChatGPT:n, Clauden ja Geminin taustalla olevat mallit) luokitellaan yleiskäyttöisiksi tekoälymalleiksi. Näihin liittyy omat velvoitteensa, mutta ne kohdistuvat ensisijaisesti mallien kehittäjiin, eivät niiden käyttäjiin. Pk-yrityksen näkökulmasta olennaisin osa on läpinäkyvyys: jos julkaiset tekoälyllä tuotettua tekstiä, kuvia tai keskusteluavustimen, kerro se avoimesti asiakkaalle.

Mitä pk-yrityksen kannattaa tehdä nyt

Asetukseen ei tarvitse reagoida pelolla vaan järjestelmällisesti. Tässä käytännön muistilista, jonka voi tehdä ilman erillistä lakiosastoa:

1. Kartoita, missä käytät tekoälyä. Listaa kaikki työkalut ja prosessit: asiakaspalvelun botti, markkinointitekstit, tuotekuvaukset, rekrytointi, analytiikka. Ilman listaa et voi arvioida riskiä.
2. Luokittele käyttö riskin mukaan. Onko kyse pelkästä ideoinnista vai vaikuttaako lopputulos suoraan ihmisen oikeuksiin, kuten työhönottoon tai luoton myöntämiseen? Korkean riskin käyttö vaatii selvästi enemmän huolellisuutta.
3. Kirjaa läpinäkyvyys käytännöiksi. Merkitse tekoälyllä tuotettu sisältö ja kerro chatbotin olevan automaattinen. Tämä on usein sekä lain että asiakasluottamuksen mukaista.
4. Pidä ihminen mukana päätöksissä. Älä anna tekoälyn tehdä lopullisia päätöksiä ihmisiä koskevissa asioissa. Ihmisen tarkistus (human-in-the-loop) on toistuva vaatimus koko asetuksessa.
5. Huolehdi tietosuojasta. GDPR on voimassa rinnalla. Älä syötä asiakkaiden henkilötietoja tai liikesalaisuuksia työkaluihin, joiden tietojenkäsittelyä et tunne.
6. Dokumentoi kevyesti. Riittää usein yksinkertainen taulukko: mikä työkalu, mihin tarkoitukseen, kuka vastaa, miten lopputulos tarkistetaan.

Läpinäkyvyys ja dokumentaatio kilpailuetuna

On helppo nähdä sääntely pelkkänä taakkana, mutta varhain valmistautuvalle se on mahdollisuus. Kun pystyt osoittamaan asiakkaalle tai kumppanille, että tekoälyn käyttösi on läpinäkyvää ja hallittua, rakennat luottamusta. Julkishallinnon tai suuryritysten hankinnoissa selkeä tekoälykäytäntö voi jo nyt olla kilpailuetu.

Mistä apua ja tietoa

Suomessa tekoälyvalvonta on järjestetty hajautetusti eri viranomaisten kesken, ja Traficomilla on koordinoiva rooli. Käytännössä tämä tarkoittaa, että ohjeistus tarkentuu vaiheittain – kannattaa seurata viranomaisten omia sivuja ajantasaisen tiedon vuoksi. Lisäksi Suomessa järjestetään säännöllisesti tekoälytapahtumia ja verkostoitumistilaisuuksia (kuten alan seminaarit ja matchmaking-tapahtumat), joissa saa vertaistukea ja käytännön näkemyksiä muilta yrityksiltä. Tällaiset tapahtumat ovat hyvä tapa oppia, miten muut ratkaisevat samat kysymykset.

Usein kysytyt kysymykset

Koskeeko asetus pientä yritystä, joka käyttää vain ChatGPT:tä? Kyllä, mutta kevyesti. Useimmiten olet vähäisen tai rajoitetun riskin luokassa, jolloin pääasia on läpinäkyvyys ja järkevä tietosuoja.

Pitääkö jokainen tekoälyllä tehty teksti merkitä? Läpinäkyvyys on periaate: mitä enemmän sisältö voi johtaa lukijaa harhaan tai vaikuttaa päätöksiin, sitä tärkeämpää merkintä on. Selkeästi automaattinen chatbot on syytä tunnistaa botiksi.

Mitä jos emme tee mitään? Riski kasvaa erityisesti korkean riskin käytössä. Useimmille pk-yrityksille suurin hyöty tulee kuitenkin siitä, että kevyt dokumentaatio ja ihmisen tarkistus estävät virheitä jo ennen kuin ne ehtivät asiakkaalle.

Yhteenveto

EU:n tekoälyasetus ei vaadi pk-yritykseltä suurta byrokratiaa vaan järjestelmällisyyttä: tiedä missä käytät tekoälyä, arvioi riski, ole läpinäkyvä ja pidä ihminen mukana. Kun teet nämä perusasiat kuntoon, olet valmiimpi kuin useimmat – ja rakennat samalla luottamusta, joka kantaa pidemmälle kuin yksittäinen työkalu.