Tekoäly­säädös julkiselle sektorille: mitä valmistella joulukuuhun 2027 mennessä

01Missä ollaan syksyllä 2026

Tekoälysäädös (avautuu ulkoiselle sivustolle), asetus (EU) 2024/1689, tuli voimaan 1. elokuuta 2024, ja sitä sovelletaan vaiheittain. Heinäkuussa 2026 EU hyväksyi tekoälyä koskevan digitaalialan koontiasetuksen, asetuksen (EU) 2026/1744 (avautuu ulkoiselle sivustolle), joka siirsi suuririskisiä järjestelmiä koskevia sääntöjä myöhemmäksi ja muutti useita muita säännöksiä. Se tuli voimaan 27. heinäkuuta 2026, muutamaa päivää ennen alkuperäistä suuririskisten järjestelmien määräpäivää.

Tuloksena on aikataulu, jossa osa velvoitteista on jo voimassa, osa tulee tämän vuoden lopussa ja julkisen sektorin käyttöönottajille raskaimmat seuraavat joulukuussa 2027.

Koontiasetus kirjoitti myös tekoälylukutaitoa koskevan 4 artiklan uudelleen. Tarjoajien ja käyttöönottajien on nyt toteutettava toimenpiteitä henkilöstönsä tekoälylukutaidon tukemiseksi sen sijaan, että niiden olisi varmistettava riittävä taso. Velvoite säilyy; se, mitä on pystyttävä osoittamaan, muuttui. Kuhunkin rooliin sopiva koulutus ja siitä tehty kirjaus on edelleen järkevä vastaus.

02Oletko tarjoaja vai käyttöönottaja?

Useimmat julkisen sektorin organisaatiot ovat käyttöönottajia: ne käyttävät tekoälyjärjestelmää omalla vastuullaan. Olet tarjoaja, kun kehität tekoälyjärjestelmän tai kehitytät sen ja otat sen käyttöön omalla nimelläsi. Tähän kuuluvat myös järjestelmät, jotka on rakennettu itse tai jotka toimittaja on rakentanut omien määrittelyjesi mukaan.

Roolit voivat myös vaihtua. Tekoälysäädöksen 25 artiklan mukaan käyttöönottaja, joka muuttaa suuririskistä järjestelmää merkittävästi tai muuttaa sen käyttötarkoitusta niin, että siitä tulee suuririskinen, ottaa tarjoajan velvoitteet. Kirjaa tarkoitetut roolit hankinta-asiakirjoihin ja sopimuksiin, jotta kukaan ei huomaa niitä vasta auditoinnissa.

03Mitkä käyttötapauksistasi ovat suuririskisiä?

Liite III luettelee alueet, joilla tekoälyjärjestelmiä pidetään suuririskisinä. Julkisen sektorin kannalta olennaisimpia ovat:

• Välttämättömien julkisten palvelujen ja etuuksien saatavuus: kelpoisuuden arviointi sekä etuuksien ja palvelujen myöntäminen, vähentäminen, peruuttaminen tai takaisinperintä.
• Muuttoliike, turvapaikka-asiat ja rajavalvonta, lainvalvonta ja oikeudenkäyttö.
• Koulutus ja ammatillinen koulutus: opiskelijavalinta, oppimistulosten arviointi ja kokeiden aikainen valvonta.
• Työllistäminen: rekrytointi, ylennykset, tehtävien jakaminen ja henkilöstön seuranta. Julkiset organisaatiot ovat myös työnantajia.
• Kriittinen infrastruktuuri: turvakomponentit digitaalisen infrastruktuurin, tieliikenteen ja yleishyödyllisten palvelujen hallinnassa.

Liitteen III alueeseen kuuluminen ei päätä analyysia. Tekoälysäädöksen 6 artiklan 3 kohdan mukaan tällaisen alueen järjestelmä ei ole suuririskinen, jos se ei aiheuta merkittävää haitan riskiä, esimerkiksi koska se suorittaa suppean menettelyllisen tehtävän, parantaa ihmisen jo tekemän työn tulosta, havaitsee kaavoja korvaamatta ihmisen arviota tai suorittaa valmistelevan tehtävän. Ihmisiä profiloiva järjestelmä on aina suuririskinen. Jos vetoat tähän poikkeukseen, dokumentoi perustelut.

Monet hyödylliset työkalut eivät ole lainkaan suuririskisiä: luonnostelun tuki, organisaation sisäinen tiedonhaku, kääntäminen ja tiivistäminen. Avoimuusvelvoitteet ja tietosuoja-asetus koskevat niitäkin, mutta suuririskisten järjestelmien sääntely ei.

04Mitä suuririskisten järjestelmien käyttöönottajien on tehtävä

Joulukuun 2. päivästä 2027 julkisen sektorin organisaatiolla, joka ottaa käyttöön liitteen III suuririskisen järjestelmän, on velvoitteita 26 artiklan (avautuu ulkoiselle sivustolle) nojalla. Tärkeimmät:

• Käytä järjestelmää tarjoajan käyttöohjeiden mukaisesti ja asianmukaisin teknisin ja organisatorisin toimenpitein.
• Anna ihmisen suorittama valvonta henkilöille, joilla on tarvittava osaaminen, koulutus ja valtuudet, ja tue heitä.
• Varmista, että hallinnassasi oleva syöttödata on käyttötarkoituksen kannalta relevanttia ja riittävän edustavaa.
• Seuraa toimintaa ja ilmoita tarjoajalle ja viranomaisille ilman aiheetonta viivytystä riskeistä ja vakavista vaaratilanteista.
• Säilytä automaattisesti syntyvät lokit vähintään kuusi kuukautta, ellei muussa unionin tai kansallisessa laissa toisin säädetä.
• Tiedota työntekijöiden edustajille ja asianomaiselle henkilöstölle ennen suuririskisen järjestelmän käyttöönottoa työpaikalla.
• Viranomaisena rekisteröi järjestelmän käyttö EU-tietokantaan ennen käyttöönottoa (26 artiklan 8 kohta ja 49 artikla). Rekisteröimätöntä järjestelmää ei saa käyttää.
• Kerro ihmisille, kun suuririskistä järjestelmää käytetään heitä koskevien päätösten tekemiseen tai niiden avustamiseen (26 artiklan 11 kohta). Ihmisillä on myös oikeus saada selitys yksittäisistä päätöksistä (86 artikla).

Perusoikeus­vaikutusten arviointi

Tekoälysäädöksen 27 artiklan (avautuu ulkoiselle sivustolle) mukaan julkisoikeudelliset laitokset ja julkisia palveluja tarjoavat yksityiset organisaatiot tekevät perusoikeusvaikutusten arvioinnin, ennen kuin ne ottavat ensimmäistä kertaa käyttöön useimmat liitteen III järjestelmät. Kriittisen infrastruktuurin järjestelmät on suljettu pois. Arviointi kuvaa:

1. 01prosessit, joissa järjestelmää käytetään sen käyttötarkoituksen mukaisesti;
2. 02käytön ajanjakson ja tiheyden;
3. 03henkilö- ja ryhmäkategoriat, joihin järjestelmä todennäköisesti vaikuttaa;
4. 04näihin henkilöihin kohdistuvat erityiset haitan riskit;
5. 05miten ihmisen suorittama valvonta toteutetaan;
6. 06mitä tapahtuu, jos riskit toteutuvat, mukaan lukien sisäinen hallinto ja kantelumenettelyt.

Tulokset ilmoitetaan markkinavalvontaviranomaiselle. Arviointi täydentää tietosuoja-asetuksen 35 artiklan mukaista tietosuojaa koskevaa vaikutustenarviointia ja voi perustua siihen, joten tee molemmat yhdessä. Tekoälysäädöksen 27 artiklan 5 kohdassa tekoälytoimistoa pyydetään laatimaan kyselylomakemalli; tarkista sen tilanne, ennen kuin suunnittelet omasi. Joissakin maissa on jo menetelmiä, kuten Alankomaiden hallinnon Impact Assessment Mensenrechten en Algoritmes (IAMA).

05Jo voimassa olevat avoimuus­velvoitteet

Tekoälysäädöksen 50 artiklaa on sovellettu 2. elokuuta 2026 alkaen. Tarjoajien on suunniteltava ihmisten kanssa vuorovaikutuksessa olevat järjestelmät niin, että ihmisille kerrotaan heidän asioivan tekoälyjärjestelmän kanssa, ellei se ole ilmeistä, ja merkittävä synteettinen sisältö koneluettavasti. Käyttöönottajien on kerrottava syväväärennöksistä sekä tekoälyn tuottamasta tai muokkaamasta tekstistä, joka julkaistaan yleisön tiedoksi yleistä etua koskevista asioista, ellei ihminen ole tarkastanut sitä ja joku kanna toimituksellista vastuuta.

Julkisen sektorin organisaatiolle yleisin tapaus on keskusteleva avustaja verkkosivulla tai asiointikanavassa. Kerro selvästi, että kyse on tekoälyjärjestelmästä, kerro, missä se voi auttaa ja missä ei, ja tarjoa reitti ihmisen luo.

06Valmistelusuunnitelma vuosille 2026 ja 2027

1. 01Luettelo nyt. Listaa jokainen käytössä tai hankinnassa oleva tekoälyjärjestelmä, myös jo lisensoimiesi alustojen tekoälyominaisuudet. Kirjaa omistaja, käyttötarkoitus, tarjoaja, käytetty data ja ihmiset, joihin järjestelmä vaikuttaa.
2. 02Luokittelu vuoden 2027 alkuun mennessä. Kielletty, suuririskinen (6 artiklan 3 kohdan perustelut dokumentoituina), pelkät avoimuusvelvoitteet tai vähäinen riski. Kirjaa jokaisen kohdalla roolisi tarjoajana tai käyttöönottajana.
3. 03Sopimukset kuntoon vuoden 2027 aikana. Pyydä tarjoajilta käyttöohjeet, vaatimusten­mukaisuusasiakirjat ja pääsy lokeihin. Tee tuesta perusoikeusvaikutusten arvioinnille ja vaaratilanteista ilmoittamiselle sopimusehto.
4. 04Suunnittele valvonta. Nimeä roolit, kouluta ne ja anna niille valtuudet ohittaa järjestelmä sekä eskalointipolku. Suunnittele automaatiovinoumaa vastaan; artikkelimme siitä, missä tekoälyagentit tarvitsevat ihmisen hyväksynnän, näyttää miten.
5. 05Järjestä lokitus ja seuranta. Säilytä lokit vähintään kuusi kuukautta, määrittele, mikä on vakava vaaratilanne ja kuka siitä ilmoittaa.
6. 06Ennen ensimmäistä käyttöä. Tee perusoikeusvaikutusten arviointi yhdessä tietosuojaa koskevan vaikutustenarvioinnin kanssa, rekisteröi järjestelmä EU-tietokantaan ja tiedota henkilöstölle ja niille, joihin järjestelmä vaikuttaa.
7. 07Pidä lukutaito yllä. Roolikohtainen koulutus käyttäjille, tarkastajille ja päätöksentekijöille, päivitettynä järjestelmien muuttuessa, ja kirjaus siitä, kuka on koulutettu.

07Valvonta Suomessa ja seuraamukset

Suomessa tekoälysäädöksen valvonnasta säädetään eräiden tekoälyjärjestelmien valvonnasta annetussa laissa (avautuu ulkoiselle sivustolle) (1377/2025). Valvonta on jaettu usealle viranomaiselle. Traficom (avautuu ulkoiselle sivustolle) on keskitetty yhteyspiste ja valvoo 50 artiklan avoimuusvelvoitteita, ja sen valvontavaltuudet alkoivat 1. tammikuuta 2026. Tietosuojavaltuutettu valvoo kiellettyjä käytäntöjä. Suuririskisiä järjestelmiä valvovat toimialaviranomaiset, esimerkiksi Tukes ja Energiavirasto. Suurista seuraamusmaksuista päättää Traficomin yhteydessä toimiva tekoälyjärjestelmien valvonnan seuraamusmaksulautakunta.

Jäsenvaltiot säätävät seuraamuksista. Tekoälysäädöksen 99 artiklan 8 kohdan mukaan kukin jäsenvaltio päättää, voidaanko ja missä määrin sen alueelle sijoittautuneille viranomaisille ja julkisille elimille määrätä hallinnollisia sakkoja. Se ei ole syy odottaa. Markkinavalvontaviranomaiset voivat silti vaatia korjaavia toimia, ja julkisen päätöksen oikeutus riippuu siitä, voidaanko se perustella ja riitauttaa.

08Mitä seurata tulevina kuukausina

• Komission ohjeet suuririskisten järjestelmien luokittelusta (6 artiklan 5 kohta) ja sen jo antamat ohjeet kielletyistä käytännöistä (avautuu ulkoiselle sivustolle).
• Suuririskisten järjestelmien vaatimuksia koskevat yhdenmukaistetut standardit, joilla tarjoajat osoittavat vaatimustenmukaisuuden.
• Traficomin, tietosuojavaltuutetun ja toimialaviranomaisten ohjeet julkisen sektorin käyttöönottajille.
• Tekoälytoimiston malli perusoikeusvaikutusten arviointia varten.

Euroopan komission AI Act Service Desk (avautuu ulkoiselle sivustolle) pitää virallisen aikataulun ja artiklakohtaiset selitykset ajan tasalla. Tallenna se kirjanmerkkeihin ja päivää jokainen säädöksestä kirjoittamasi sisäinen muistio: teksti muuttuu yhä.