Tekoälyn, ohjelmistojen ja EU:n digisääntelyn termit.

Tekoälyjärjestelmän järjestelmällinen testaus kysymysten tai asiakirjojen vertailuaineistoa vasten sovituin kriteerein, kuten oikeellisuus, lähteisiin perustuminen, kattavuus ja vastaamatta jättäminen, kun vastausta ei tiedetä. Arviointi tehdään ennen käyttöönottoa ja uudelleen jokaisen mallin, kehotteen tai datan muutoksen jälkeen.

Data-alusta, joka tallentaa datan avoimissa tiedosto- ja taulumuodoissa edulliseen objektitallennukseen kuten data lake ja lisää päälle tietovaraston ominaisuudet: transaktiot, skeemat, käyttöoikeuksien hallinnan ja SQL:n. Avoimet taulumuodot, kuten Apache Iceberg ja Delta Lake, tekevät tämän mahdolliseksi.

Tuotteen tavoin hallittu aineisto: sillä on nimetty omistaja, dokumentoitu rakenne, julkaistut laatumittarit, selkeät käyttösäännöt ja sovitut päivitysajat, joten muut tiimit voivat käyttää sitä kysymättä, miten se on tehty.

Malli, jossa järjestelmä hakee ensin olennaiset kohdat hyväksytyistä lähteistä, kuten menettelyohjeista, linjauksista tai asiakirjoista, ja antaa kielimallin vastata vain niiden perusteella. Vastaus voi viitata asiakirjaan ja kohtaan, ja käyttäjän käyttöoikeudet otetaan huomioon jo haussa.

Tekoälyn tuotos, joka kuulostaa varmalta mutta jota lähteet tai tosiasiat eivät tue. Sitä voidaan vähentää mutta ei poistaa: vastaukset perustetaan haettuihin lähteisiin, lähdeviitteitä vaaditaan, järjestelmän annetaan sanoa, ettei se tiedä, ja hallusinaatioiden osuus mitataan arvioinnissa.

Suunnitteluratkaisu, jossa ihminen tarkistaa, korjaa tai hyväksyy tekoälyn tuotoksen ennen kuin sillä on vaikutusta. Suuririskisiltä tekoälyjärjestelmiltä tekoälysäädös edellyttää tehokasta ihmisen valvontaa, jota tekevät ihmiset, joilla on puuttumiseen tarvittava osaaminen ja valtuudet.

Käytännöt, jotka pitävät koneoppimis- ja kielimallijärjestelmät luotettavina tuotannossa: mallien, kehotteiden ja datan versiointi, automaattinen arviointi, julkaisuputket sekä laadun, kustannusten ja viiveen seuranta.

Kielimallin ympärille rakennetut hallintakeinot, jotka pitävät sen käytön sovituissa rajoissa: syötteiden ja tuotosten tarkistukset, aiherajaukset, henkilötietojen peittäminen, käyttöoikeustarkistukset ennen työkalun kutsumista ja hyväksyntävaiheet merkittäville toimenpiteille.

Neuroverkko, joka on koulutettu hyvin suurilla tekstimäärillä ennustamaan seuraavaa sanaa. Se osaa luonnostella, tiivistää, luokitella ja poimia tekstiä monilla kielillä, mutta se ei ole tietokanta: ilman kytkentää omiin lähteisiisi se voi tuottaa sujuvia vastauksia, jotka ovat vääriä.

Ohjelmisto, joka käyttää kielimallia suunnitellakseen ja suorittaakseen vaiheita kohti tavoitetta, esimerkiksi hakee tietueen, täyttää lomakkeen tai kutsuu rajapintaa. Agentti toimii sille annettujen oikeuksien ja työkalujen rajoissa, ja jokainen vaihe voidaan kirjata lokiin.

Haku merkityksen eikä täsmällisten sanojen perusteella. Teksti muunnetaan numeerisiksi vektoreiksi (upotuksiksi), ja järjestelmä etsii kohdat, joiden vektorit ovat lähellä kysymystä. Käytännössä se yhdistetään yleensä sanahakuun, koska koodit, nimet ja pykälänumerot vaativat täsmällistä vastaavuutta.

Tietojen lukeminen, luokittelu ja poiminta asiakirjoista, kuten lomakkeista, laskuista, todistuksista ja skannatuista kirjeistä, yhdistämällä tekstintunnistus, asettelun analyysi ja kielimallit. Jokaisella poimitulla arvolla on luottamuspistemäärä, ja kynnyksen alle jäävät arvot menevät ihmisen tarkistettaviksi.

IEC-standardien perhe (IEC 61970, IEC 61968 ja IEC 62325), joka kuvaa sähköverkot, omaisuuserät ja markkinaviestinnän yhdessä yhteisessä tietomallissa. Verkkoyhtiöt käyttävät sitä, jotta suunnittelu-, käyttö- ja markkinajärjestelmät kuvaavat verkon samalla tavalla.

Fyysisen kohteen, prosessin tai verkon digitaalinen vastine, joka pidetään ajan tasalla todellisen kohteen datalla. Sitä käytetään kunnon seurantaan, muutosten testaamiseen ennen niiden tekemistä ja kunnossapidon suunnitteluun. 3D-malli ilman ajantasaista dataa ei ole kaksonen.

Tietomallinnuksen (BIM) avoin tietostandardi, jonka julkaisee buildingSMART ja joka on myös standardi ISO 16739-1. Versio IFC 4.3 lisää infrastruktuurin: rautatiet, tiet, satamat, vesiväylät ja sillat, joten omaisuustiedot voivat siirtyä suunnittelusta rakentamiseen ja ylläpitoon ilman uudelleen kirjoittamista.

Pilvessä toimiva alusta integraatioiden rakentamiseen ja ajamiseen. Valmiit liittimet, tietojen muunnokset, orkestrointi ja seuranta ovat samassa paikassa. Esimerkkejä ovat SAP Integration Suite ja MuleSoft.

Tietoturvamalli, jossa mihinkään käyttäjään, laitteeseen tai palveluun ei luoteta sen verkkosijainnin perusteella. Jokainen pyyntö todennetaan, valtuutetaan ja arvioidaan identiteetin, laitteen tilan ja asiayhteyden perusteella, ja pääsy rajataan siihen, mitä tehtävä vaatii.

Koneluettava luettelo ohjelmiston osista ja riippuvuuksista, yleensä SPDX- tai CycloneDX-muodossa. Sen avulla näet nopeasti, koskeeko juuri julkaistu haavoittuvuus sinua. Kyber­kestävyys­säädös velvoittaa valmistajat laatimaan sellaisen tuotteilleen.

Valmisteltu pilviympäristö, jossa tili- tai tilausrakenne, identiteetit, verkot, käytännöt, lokitus ja tietoturvan perustaso ovat paikallaan ennen ensimmäistä työkuormaa. Se nopeuttaa jokaista myöhempää projektia ja pitää hallintakeinot yhdenmukaisina.

Lähestymistapa, jossa järjestelmän rajapinta suunnitellaan ja sovitaan ensin, yleensä OpenAPI- tai AsyncAPI-määrittelynä, ja toteutetaan vasta sen jälkeen. Muut järjestelmät, kumppanit ja käyttöliittymät integroituvat dokumentoitujen ja versioitujen rajapintojen kautta suoran tietokantayhteyden sijaan.

Tapa korvata vanha järjestelmä vaihe vaiheelta. Vanhan järjestelmän eteen sijoitetaan julkisivu, toiminnot siirretään yksi kerrallaan sen takana oleviin uusiin palveluihin, ja vanha järjestelmä poistetaan käytöstä, kun mikään ei enää ohjaudu siihen. Näin vältetään yksi suuren riskin kertasiirtymä.

Digi- ja väestötietoviraston (DVV) tuottamat yhteiset palvelut organisaatioille: Suomi.fi-tunnistus, -viestit, -valtuudet ja -palveluväylä. Suomi.fi-tunnistuksessa käyttäjä tunnistautuu esimerkiksi pankkitunnuksilla, mobiilivarmenteella tai varmennekortilla. Kehittäjien ohjeet ovat kehittajille.suomi.fi-palvelussa.

Pilvipalvelut, joissa datan sijainti, palvelun ylläpito ja siihen sovellettava lainkäyttövalta pysyvät eurooppalaisessa tai kansallisessa hallinnassa. Määritelmät vaihtelevat: kansalliset järjestelmät, kuten Ranskan SecNumCloud, asettavat nimenomaisia vaatimuksia suojasta EU:n ulkopuolisen lainsäädännön ulottumista vastaan.

Arkkitehtuuri, jossa järjestelmät julkaisevat välittäjälle tapahtumia eli tosiasioita, kuten ”hakemus vastaanotettu” tai ”mittarilukema vahvistettu”, ja muut järjestelmät reagoivat niihin omassa tahdissaan. Järjestelmät irtikytketään toisistaan, joten yksi voi muuttua tai vikaantua pysäyttämättä muita.

Valmistavan teollisuuden arkkitehtuurimalli, jossa keskitetty tapahtumavälittäjä pitää tehtaan nykytilan järjestettynä toimipaikan, alueen, linjan ja koneen mukaan. Järjestelmät julkaisevat siihen ja tilaavat siltä tietoja sen sijaan, että ne kytkettäisiin toisiinsa yksi kerrallaan.

EU:n asetus datan oikeudenmukaisesta saatavuudesta ja käytöstä, jota on sovellettu 12. syyskuuta 2025 alkaen. Se antaa liitettyjen tuotteiden käyttäjille pääsyn tuotteiden tuottamaan dataan, helpottaa pilvi- ja datankäsittelypalvelujen vaihtamista ja rajoittaa kohtuuttomia datan jakamista koskevia sopimusehtoja.

EU:n direktiivi kriittisten toimijoiden fyysisestä ja organisatorisesta häiriönsietokyvystä yhdellätoista alalla, muun muassa energian, liikenteen, terveydenhuollon, juomaveden ja digitaalisen infrastruktuurin aloilla. Jäsenvaltiot nimeävät kriittiset toimijansa 17. heinäkuuta 2026 mennessä, minkä jälkeen toimijat arvioivat riskinsä ja toteuttavat häiriönsietokykyä parantavia toimia.

EU:n direktiivi, joka edellyttää tiettyjen tuotteiden ja palvelujen olevan esteettömiä vammaisille henkilöille, muun muassa verkkokaupan, kuluttajapankkipalvelujen, e-kirjojen sekä henkilöliikenteen verkkosivustojen, sovellusten ja sähköisten lippujen. Sitä on sovellettu kansallisten lakien kautta 28. kesäkuuta 2025 alkaen.

Esteettömyysdirektiivi on pantu Suomessa täytäntöön eräiden tuotteiden esteettömyysvaatimuksista annetulla lailla (102/2023) ja muuttamalla lakia digitaalisten palvelujen tarjoamisesta. Säädökset tulivat voimaan 1. helmikuuta 2023, ja vaatimuksia on sovellettu 28. kesäkuuta 2025 alkaen. Traficom on markkinavalvontaviranomainen.

Uudistetun eIDAS-asetuksen mukainen lompakkosovellus, jossa ihmiset voivat säilyttää henkilön tunnistetietojaan ja todistuksia, kuten tutkintotodistuksia tai lupia, jakaa vain sen, mitä palvelu tarvitsee, ja allekirjoittaa asiakirjoja. Jokaisen jäsenvaltion on tarjottava vähintään yksi lompakko, ja monien julkisten ja yksityisten palvelujen on hyväksyttävä se.

EU:n asetus finanssialan digitaalisesta häiriönsietokyvystä, jota on sovellettu 17. tammikuuta 2025 alkaen. Se kattaa ICT-riskienhallinnan, poikkeamista ilmoittamisen, häiriönsietokyvyn testauksen ja ICT-palveluntarjoajien hallinnan, mukaan lukien sopimusvaatimukset ja tietorekisterin.

Laki julkisista hankinnoista ja käyttöoikeussopimuksista (1397/2016), jonka mukaan julkiset hankintayksiköt kilpailuttavat hankintansa. Toimittajalle se tarkoittaa tarjouspyyntöjä, joihin vastataan kohta kohdalta.

Kansallinen ja maksuton julkisten hankintojen ilmoituskanava. Sen omistaa valtiovarainministeriö ja ylläpitää Hansel. Kansalliset ja EU-kynnysarvot ylittävät hankinnat on ilmoitettava Hilmassa.

Teollisuusautomaation ja ohjausjärjestelmien tietoturvaa koskeva kansainvälinen standardisarja. Se jakaa kohteen vyöhykkeisiin, joita yhdistävät kanavat, määrittelee turvallisuustasot ja jakaa vastuut laitosten omistajille, järjestelmäintegraattoreille ja tuotetoimittajille.

Tietoturvallisuuden hallintajärjestelmien kansainvälinen standardi. Sen mukaan sertifioidulla organisaatiolla on auditoitu järjestelmä tietoturvariskien tunnistamiseen, hallintakeinojen valintaan ja niiden jatkuvaan parantamiseen. FromNine on sertifioitu ISO/IEC 27001 -standardin mukaan.

EU:n asetus, joka asettaa kyberturvallisuusvaatimukset EU:n markkinoille saatettaville digitaalisia elementtejä sisältäville tuotteille, sekä laitteille että ohjelmistoille. Valmistajien on käsiteltävä haavoittuvuuksia tukijakson ajan ja ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista 11. syyskuuta 2026 alkaen; pääosa velvoitteista tulee sovellettavaksi 11. joulukuuta 2027.

Suomen laki, jolla NIS2-direktiivi on pantu täytäntöön (124/2025). Se on ollut voimassa 8. huhtikuuta 2025 alkaen, ja toimijoiden ilmoitusten määräaika päättyi 8. toukokuuta 2025. Valvonta kuuluu toimialakohtaisille viranomaisille, ja Traficomin Kyberturvallisuuskeskus toimii keskitettynä yhteyspisteenä ja kansallisena CSIRT-yksikkönä.

Suomen laki tekoälysäädöksen valvonnasta (1377/2025). Traficomin valvontavaltuudet alkoivat 1. tammikuuta 2026. Traficom toimii keskitettynä yhteyspisteenä ja valvoo avoimuusvelvoitteita, tietosuojavaltuutettu valvoo kiellettyjä käytäntöjä, ja toimialojen viranomaiset valvovat suuririskisiä järjestelmiä. Suurista seuraamusmaksuista päättää Traficomin yhteydessä toimiva seuraamuslautakunta.

EU:n kyberturvallisuusdirektiivi keskeisille ja tärkeille toimijoille esimerkiksi energian, liikenteen, terveydenhuollon, digitaalisen infrastruktuurin ja julkishallinnon aloilla. Se edellyttää riskienhallintatoimia, toimitusketjun turvallisuutta ja poikkeamista ilmoittamista: ennakkovaroitus 24 tunnin ja ilmoitus 72 tunnin kuluessa. Direktiiviä sovelletaan kansallisten lakien kautta, ja ne eroavat maittain. Suomessa kansallinen laki on kyberturvallisuuslaki.

Yhteistä digitaalista palveluväylää koskevan asetuksen nojalla perustettu EU:n järjestelmä, jonka kautta viranomaiset vaihtavat virallisia todisteita rajojen yli kansalaisen tai yrityksen nimenomaisesta pyynnöstä, jotta ihmisten ei tarvitse toimittaa asiakirjoja, jotka viranomaisella jo on. Sen velvoitteita on sovellettu 12. joulukuuta 2023 alkaen.

Kansainvälinen verkko ja määrittelykokonaisuus rakenteisten liiketoiminta-asiakirjojen, kuten laskujen ja tilausten, vaihtamiseen sertifioitujen yhteyspisteiden kautta. Suomessa hankintayksiköt voivat 1. huhtikuuta 2020 alkaen vaatia toimittajilta EN 16931 -muotoisia verkkolaskuja, ja ulkomaiset toimittajat voivat lähettää verkkolaskuja valtiolle Peppolin kautta. Suomen Peppol-viranomaisena toimii Valtiokonttori.

Seloste, jossa digitaalisen palvelun tarjoaja kertoo, miten palvelu täyttää saavutettavuusvaatimukset, mitkä sisällöt eivät vielä ole saavutettavia ja miten käyttäjä voi antaa palautetta. Laki digitaalisten palvelujen tarjoamisesta (306/2019) velvoittaa julkista sektoria ja osaa yksityisen sektorin palveluista, ja saavutettavuusvaatimuksia valvoo Traficom.

EU:n tekoälyä koskeva asetus. Se luokittelee tekoälyjärjestelmät riskin mukaan: osa käytännöistä on kiellettyjä, suuririskisten järjestelmien on täytettävä datan, dokumentaation, ihmisen valvonnan ja tarkkuuden vaatimukset, ja osalla järjestelmistä on avoimuusvelvoitteita. Kieltoja on sovellettu 2. helmikuuta 2025 alkaen ja avoimuusvelvoitteita 2. elokuuta 2026 alkaen, ja liitteen III suuririskisiä järjestelmiä koskevat velvoitteet tulevat sovellettaviksi 2. joulukuuta 2027 vuoden 2026 muutoksen mukaisesti.

Rakenteinen sähköinen lasku, jonka vastaanottajan järjestelmä voi käsitellä automaattisesti. Laki sähköisestä laskutuksesta (241/2019) on koskenut valtiota 1. huhtikuuta 2019 alkaen, ja 1. huhtikuuta 2020 alkaen hankintayksiköt ovat voineet vaatia toimittajilta EN 16931 -muotoisia verkkolaskuja. Sähköpostilla lähetetty PDF ei ole verkkolasku. Ulkomaiset toimittajat voivat lähettää verkkolaskuja valtiolle Peppolin kautta.

W3C:n ohjeet saavutettavalle verkkosisällölle, jaettuna onnistumiskriteereihin tasoilla A, AA ja AAA. Taso AA on tavallinen tavoite hankinnoissa ja lainsäädännössä; nykyinen versio on WCAG 2.2, ja eurooppalainen standardi EN 301 549 perustuu näihin ohjeisiin. Suomessa saavutettavuusvaatimuksia valvoo Traficom.

EU:n asetus julkisen sektorin palvelujen rajat ylittävästä yhteentoimivuudesta. Julkisten toimijoiden on arvioitava uusien tai muutettujen Euroopan laajuisten digitaalisten julkisten palvelujen vaikutukset yhteentoimivuuteen, ja ne voivat jakaa ja käyttää uudelleen yhteentoimivuusratkaisuja yhteisen portaalin kautta.

EU:n asetus henkilötietojen käsittelystä, jota on sovellettu 25. toukokuuta 2018 alkaen. Se asettaa periaatteet, kuten käyttötarkoitussidonnaisuuden ja tietojen minimoinnin, antaa oikeuksia rekisteröidyille ja velvoittaa rekisterinpitäjiä ja käsittelijöitä, myös vaikutustenarviointiin korkean riskin käsittelyssä. Suomessa asetusta täydentää tietosuojalaki, ja valvojana toimii tietosuojavaltuutettu.