EU:n tekoälyasetus eli AI Act (asetus (EU) 2024/1689) tuli voimaan 1.8.2024, ja suurinta osaa sen säännöistä on sovellettu 2.8.2026 alkaen, myös chatbotteja ja tekoälysisällön merkitsemistä koskevia läpinäkyvyysvelvoitteita. Heinäkuussa 2026 hyväksytty tekoälyn koontiasetus (EU) 2026/1744 siirsi suuririskisen tekoälyn säännöt vuosille 2027 ja 2028 ja lisäsi kaksi uutta kieltoa, joita sovelletaan 2.12.2026 alkaen. Suomessa valvonnasta säätää laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025), joka tuli voimaan 1.1.2026. Luimme 3.11.2026 koontiasetuksen tekstin EU:n virallisesta lehdestä, Suomen lain Finlexistä ja eduskunnan käsittelyssä olevan hallituksen esityksen HE 270/2026 sekä komission ja Traficomin ohjeet. Tästä kokosimme suomalaiselle yritykselle tarkistuslistan ja taulukon siitä, kuka valvoo mitäkin.
- Suurinta osaa säännöistä sovelletaan jo. Kiellot ovat olleet voimassa 2.2.2025 alkaen, suurten mallien säännöt 2.8.2025 alkaen ja läpinäkyvyysvelvoitteet 2.8.2026 alkaen.
- 2.12.2026 tulee kaksi uutta kieltoa. Ne koskevat tekoälyä, joka tuottaa luvattomia intiimejä syväväärennöksiä tai lasten seksuaalista hyväksikäyttöä esittävää materiaalia. Samana päivänä päättyy vanhojen generatiivisten järjestelmien merkintöjen siirtymäaika.
- Suuririskisen tekoälyn säännöt siirtyivät. Liitteen III järjestelmiin niitä sovelletaan 2.12.2027 ja liitteen I tuotteisiin 2.8.2028 alkaen.
- Suomessa valvonta on jaettu. Traficom valvoo läpinäkyvyyttä ja koordinoi, tietosuojavaltuutettu valvoo kieltoja, ja suuririskistä tekoälyä valvoo toimialan viranomainen.
- Tekoälylukutaito muuttui tukemisvelvoitteeksi. Yrityksen on tuettava henkilöstön osaamista, mutta tiettyä tasoa sen ei tarvitse taata.
Näin tekoälyasetus toimii: neljä riskitasoa
Euroopan komissio kutsuu tekoälyasetusta maailman ensimmäiseksi kattavaksi tekoälyä koskevaksi oikeudelliseksi kehykseksi. Asetus jakaa tekoälyjärjestelmät riskin mukaan. Jos haluat ensin perusasiat siitä, miten tekoäly toimii, lue oppaamme tekoälyn toiminnasta.
- Ei-hyväksyttävä riski: kokonaan kielletyt käytännöt, kuten sosiaalinen pisteytys.
- Suuri riski: esimerkiksi tekoäly rekrytoinnissa, koulutuksessa, luotonannossa tai kriittisessä infrastruktuurissa. Näihin tulee tiukkoja vaatimuksia ennen markkinoille saattamista.
- Läpinäkyvyysriski: esimerkiksi chatbotit ja syväväärennökset. Ihmisten on saatava tietää, että he keskustelevat koneen kanssa tai katsovat keinotekoisesti tuotettua sisältöä.
- Vähäinen riski: suurin osa tavallisista sovelluksista, kuten roskapostisuodattimet. Niille ei tule uusia velvoitteita.
Lisäksi omat sääntönsä koskevat yleiskäyttöisiä tekoälymalleja (GPAI). Ne ovat suuria malleja, joiden varaan rakentuvat esimerkiksi ChatGPT, Gemini ja Claude.
Aikataulu: mitä sovelletaan nyt ja mitä on tulossa
| Päivämäärä | Mitä tapahtuu | Tila 3.11.2026 |
|---|---|---|
| 1.8.2024 | Tekoälyasetus tulee voimaan | Voimassa |
| 2.2.2025 | Yleiset säännökset, tekoälylukutaito ja kielletyt käytännöt | Sovelletaan |
| 2.8.2025 | Yleiskäyttöisten mallien säännöt, hallinto ja seuraamussäännöt | Sovelletaan |
| 1.1.2026 | Suomen laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025) | Voimassa |
| 27.7.2026 | Koontiasetus (EU) 2026/1744 tulee voimaan | Voimassa |
| 2.8.2026 | Suurin osa muista säännöistä, myös 50 artiklan läpinäkyvyys ja komission sakot suurten mallien tarjoajille | Sovelletaan |
| 2.12.2026 | Kaksi uutta kieltoa; ennen 2.8.2026 markkinoille tulleiden generatiivisten järjestelmien merkintöjen siirtymäaika päättyy | Tulossa |
| 1.2.2027 | Suomen lain muutokset seuraamusmaksuihin (ehdotus HE 270/2026) | Eduskunnassa |
| 2.8.2027 | Jokaisessa jäsenvaltiossa oltava vähintään yksi sääntelyn testiympäristö | Tulossa |
| 2.12.2027 | Liitteen III suuririskiset järjestelmät | Tulossa |
| 2.8.2028 | Liitteen I tuotteisiin sisältyvät suuririskiset järjestelmät | Tulossa |
Koontiasetuksen eli niin sanotun digitaalisen omnibusin komissio ehdotti 19.11.2025. Euroopan parlamentti ja neuvosto antoivat sen Strasbourgissa 8.7.2026, se julkaistiin EU:n virallisessa lehdessä 24.7.2026 ja tuli voimaan kolmantena päivänä julkaisusta eli 27.7.2026. Alun perin suuririskisten järjestelmien sääntöjä oli määrä soveltaa jo 2.8.2026 alkaen. Asetuksen johdanto-osan mukaan siirron syynä olivat standardien viivästyminen ja se, että kansallisia viranomaisia ei ollut ehditty nimetä ajoissa.
Mikä on kiellettyä?
Helmikuusta 2025 lähtien EU:ssa on ollut kiellettyä käyttää tekoälyä muun muassa:
- tiedostamattomaan tai harhaanjohtavaan manipulointiin ja ihmisten haavoittuvuuksien, kuten iän tai vamman, hyödyntämiseen
- sosiaaliseen pisteytykseen
- rikoksen riskin ennustamiseen pelkän profiloinnin tai persoonallisuuspiirteiden perusteella
- kasvokuvien kohdentamattomaan haravointiin internetistä tai valvontakameroista tunnistustietokantoja varten
- tunteiden tunnistamiseen työpaikoilla ja oppilaitoksissa, paitsi lääketieteellisistä tai turvallisuussyistä
- biometriseen luokitteluun esimerkiksi rodun, uskonnon tai seksuaalisen suuntautumisen perusteella
- reaaliaikaiseen biometriseen etätunnistukseen julkisilla paikoilla lainvalvonnassa, kapein poikkeuksin.
Koontiasetus lisäsi 5 artiklaan kaksi kieltoa, joita sovelletaan 2.12.2026 alkaen. Kiellettyä on saattaa markkinoille, ottaa käyttöön tai käyttää tekoälyjärjestelmää, joka tuottaa tai muokkaa:
- realistisia kuvia, videoita tai ääntä tunnistettavan ihmisen intiimialueista tai seksuaalisesta toiminnasta ilman tämän nimenomaista suostumusta
- lasten seksuaalista hyväksikäyttöä esittävää materiaalia.
Asetus rajaa kiellon tarkasti. Tarjoajan kannalta järjestelmä on kielletty, jos tällainen sisältö on sen käyttötarkoitus tai jos se on ennakoitava ja toistettava lopputulos ilman, että järjestelmässä on riittäviä teknisiä suojauksia sen estämiseksi. Käyttäjän kannalta kielto koskee tilannetta, jossa järjestelmää käytetään juuri tällaisen sisällön tuottamiseen. Muokkaus, joka ei paljasta enempää eikä muuta kuvatun toiminnan luonnetta, ei kuulu kieltoon. Jos yrityksesi tarjoaa kuvien tai videoiden generointia, suojausten pitää siis olla kunnossa joulukuuhun mennessä. Tekoälykuvien tekemisestä ja muokkaamisesta kerromme lisää tekoälykuvia käsittelevässä oppaassamme.
Läpinäkyvyys: chatbotit, syväväärennökset ja merkinnät
Tekoälyasetuksen 50 artiklaa on sovellettu 2.8.2026 alkaen. Traficomin 20.8.2026 julkaiseman ohjeen mukaan velvoitteet jakautuvat tarjoajille ja käyttöönottajille:
- Chatbotin tarjoajan on kerrottava, että käyttäjä keskustelee tekoälyn kanssa, ellei se ole asiayhteydestä ilmeistä.
- Generatiivisen järjestelmän tarjoajan on merkittävä tuotettu ääni, kuva, video ja teksti koneluettavasti tekoälyn tuottamaksi.
- Syväväärennöksen julkaisijan on kerrottava, että sisältö on keinotekoisesti tuotettu tai muokattu.
- Yleisen edun asioista tiedottavan tekstin julkaisijan on kerrottava tekoälyn käytöstä, paitsi jos teksti on käynyt läpi ihmisen tarkistuksen ja jollakin on siitä toimituksellinen vastuu.
- Tunteiden tunnistusta tai biometristä luokittelua käyttävän on kerrottava siitä ihmisille, joihin sitä käytetään.
Tieto on annettava selkeästi viimeistään ensimmäisellä kohtaamiskerralla. Traficomin mukaan sisältöä, joka ei ole niin realistista, että sitä voisi luulla aidoksi, ei tarvitse merkitä. Koneluettavan merkinnän osalta koontiasetus antoi siirtymäajan: ennen 2.8.2026 markkinoille saatettujen järjestelmien tarjoajien on noudatettava 50 artiklan 2 kohtaa viimeistään 2.12.2026. Muihin läpinäkyvyysvelvoitteisiin siirtymäaikaa ei ole. Tekoälytekstin tunnistamisen rajoista kerromme jutussa, jossa testasimme ZeroGPT:n 40 tekstillä.
Tekoälylukutaito: velvoite muuttui
Alkuperäinen 4 artikla velvoitti tarjoajat ja käyttöönottajat varmistamaan henkilöstönsä riittävän tekoälylukutaidon. Koontiasetus korvasi artiklan uudella: yritysten on toteutettava toimia, jotka tukevat henkilöstön ja muiden niiden puolesta tekoälyä käyttävien osaamista, ottaen huomioon heidän taustansa ja käyttöyhteyden. Uusi teksti sanoo suoraan, ettei velvoite edellytä minkään tietyn osaamistason takaamista. Komissio julkaisee käytännön esimerkkejä, ja jäsenvaltioiden on tuettava erityisesti pk-yrityksiä. Henkilöstön perehdyttäminen kannattaa silti tehdä ja kirjata, koska velvoite on edelleen olemassa.
Suuret mallit: OpenAI:n, Googlen ja Anthropicin velvoitteet
Yleiskäyttöisten tekoälymallien tarjoajien on elokuusta 2025 lähtien muun muassa laadittava tekninen dokumentaatio, noudatettava tekijänoikeuksia koskevaa toimintaperiaatetta ja julkaistava yhteenveto koulutukseen käytetystä sisällöstä. Tehokkaimpien, systeemistä riskiä aiheuttavien mallien on lisäksi arvioitava ja lievennettävä riskejä, ilmoitettava vakavista vaaratilanteista ja huolehdittava kyberturvallisuudesta. Niitä valvoo komission tekoälytoimisto (AI Office), jonka oikeus määrätä sakkoja on ollut käytössä 2.8.2026 alkaen.
MLexin 9.10.2026 julkaiseman jutun mukaan komission varapuheenjohtaja Henna Virkkunen kertoi haastattelussa, että komissio on kysynyt OpenAI:lta, Anthropicilta, Metalta ja yli 30 muulta yritykseltä niiden tavasta noudattaa asetuksen turvallisuus- ja tekijänoikeussääntöjä. Euronews kertoi 14.10.2026 tekoälytoimiston kohdistetuista tietopyynnöistä OpenAI:lle ja Anthropicille mallien testauksessa sattuneiden tapausten vuoksi. Euronewsin haastattelemat oikeusasiantuntijat kiistävät, ulottuuko asetus testausvaiheeseen.
Sakot
| Rikkomus | Enimmäissakko | Pk-yritys |
|---|---|---|
| Kielletty käytäntö (5 artikla) | 35 milj. € tai 7 % maailmanlaajuisesta vuosiliikevaihdosta, suurempi | Pienempi näistä |
| Useimmat muut velvoitteet, myös läpinäkyvyys | 15 milj. € tai 3 %, suurempi | Pienempi näistä |
| Virheelliset tai harhaanjohtavat tiedot viranomaiselle | 7,5 milj. € tai 1 %, suurempi | Pienempi näistä |
| Yleiskäyttöisen mallin tarjoaja (101 artikla, komissio) | 15 milj. € tai 3 %, suurempi | Ei erillistä sääntöä |
Koontiasetus ulotti pienemmän enimmäismäärän säännön myös pieniin keskisuuriin yrityksiin (small mid-caps) muissa kuin kieltoja koskevissa rikkomuksissa ja lisäsi, että jäsenvaltioiden on otettava seuraamuksissa huomioon pk-yritysten taloudellinen kantokyky. Koontiasetuksen uusi 75 c artikla antaa tekoälytoimistolle oikeuden todeta rikkomus päätöksellä ja määrätä uhkasakkoja. Toimivalta vanhenee viidessä vuodessa. Komission luonnoksesta, joka koskee näiden menettelyjen käytännön järjestelyjä, oli Agence Europen mukaan julkinen kuuleminen auki 9.11.2026 asti.
Suomessa seuraamusmaksun määrää Traficomin yhteydessä toimiva tekoälyjärjestelmien valvonnan seuraamusmaksulautakunta markkinavalvontaviranomaisen esityksestä. Lain mukaan maksua ei määrätä, jos rikkomus on vähäinen tai maksu olisi ilmeisen kohtuuton, eikä sitä voi määrätä esimerkiksi valtion tai kunnan viranomaiselle tai hyvinvointialueelle. Maksua ei saa määrätä, jos rikkomuksesta on kulunut yli viisi vuotta.
Kuka valvoo mitä Suomessa
Tekoälyasetus on EU-asetus, joten sitä sovelletaan Suomessa suoraan. Kansallisesta valvonnasta säätää laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025). Kokosimme taulukon lain 3–6 ja 13 §:stä. Traficomin mukaan valvontaan osallistuu kaikkiaan 15 viranomaista, kun mukaan lasketaan perusoikeuksia suojelevat viranomaiset, kuten yhdenvertaisuusvaltuutettu ja kuluttaja-asiamies.
| Asia | Valvoja | Peruste |
|---|---|---|
| Kielletyt käytännöt (5 artikla) | Tietosuojavaltuutettu | 4 § |
| Läpinäkyvyysvelvoitteet (50 artikla): chatbotit, merkinnät, syväväärennökset | Traficom | 5 § |
| Keskitetty yhteyspiste ja viranomaisyhteistyön koordinointi | Traficom | 6 § |
| Seuraamusmaksujen määrääminen | Seuraamusmaksulautakunta Traficomin yhteydessä | 13 § |
| Suuri riski: biometriikka, koulutus, työelämä, lainvalvonta, maahanmuutto, oikeudenkäyttö, luottokelpoisuus | Tietosuojavaltuutettu | 3 § 2 mom. |
| Suuri riski: julkiset etuudet ja palvelut, hätäpuhelujen arviointi | Lupa- ja valvontavirasto | 3 § 2 mom. |
| Suuri riski: henki- ja sairausvakuutusten hinnoittelu sekä finanssialan valvottavat | Finanssivalvonta | 3 § 2 mom. |
| Suuri riski: kriittinen infrastruktuuri | Energiavirasto (sähkö, lämpö, kaasuverkot), Tukes (muu kaasuala, vesihuolto), Traficom (tieliikenne, digitaalinen infrastruktuuri) | 3 § 2 mom. |
| Suuririskinen tekoäly tuotteissa (liite I), esimerkiksi lelut, hissit, radiolaitteet, lääkinnälliset laitteet | Tukes, Tulli, Traficom, Lupa- ja valvontavirasto tai Fimea tuoteryhmän mukaan | 3 § 1 mom. |
| Yleiskäyttöiset tekoälymallit | Euroopan komission tekoälytoimisto | Tekoälyasetus |
Jos suuririskisen järjestelmän tarjoaja tai käyttöönottaja rikkoo läpinäkyvyysvelvoitteita, asiaa valvoo saman toimialan viranomainen eikä Traficom. Toinen hallituksen esitys, HE 270/2026, perustaisi Traficomiin tekoälyn sääntelyn testiympäristön ja säätäisi kriittisen infrastruktuurin suuririskisten järjestelmien ilmoitusvelvollisuudesta. Muutokset on tarkoitettu tulemaan voimaan pääosin 1.2.2027, ja testiympäristöä koskevia säännöksiä sovellettaisiin 3.5.2027 alkaen.
Mitä suomalaisen yrityksen kannattaa tehdä nyt
Teimme tarkistuslistan pk-yritykselle, joka käyttää tekoälyä tai rakentaa sen varaan omia palveluja. Se perustuu asetuksen tekstiin, Suomen lakiin ja Traficomin ohjeeseen. Esimerkkejä tavallisista käyttötavoista löydät tekoäly työssä -oppaastamme.
- Listaa tekoälytyökalut ja käyttötarkoitukset. Kirjaa jokaisesta, oletko tarjoaja (teet tai myyt järjestelmää omalla nimelläsi) vai käyttöönottaja (käytät toisen tekemää). Velvoitteet riippuvat roolista.
- Tarkista kiellot. Varmista, ettei mikään käyttötapa osu kiellettyihin, kuten tunteiden tunnistamiseen työpaikalla. Jos palvelusi tuottaa kuvia tai videoita, tarkista suojaukset ennen 2.12.2026.
- Kerro chatbotista. Jos asiakaspalvelussasi on oma tekoälybotti, käyttäjän on saatava tietää, ettei hän puhu ihmisen kanssa. Tämä on sovellettu 2.8.2026 alkaen.
- Merkitse aidolta näyttävä tekoälysisältö. Jos julkaiset tekoälyllä tehtyjä realistisia kuvia, ääntä tai videoita oikeista ihmisistä, paikoista tai tapahtumista, kerro se. Uutismaisissa teksteissä merkintää ei tarvita, jos ihminen on tarkistanut tekstin ja joku vastaa siitä toimituksellisesti.
- Jos tarjoat generatiivista palvelua, joka oli markkinoilla ennen 2.8.2026, koneluettavan merkinnän on oltava kunnossa viimeistään 2.12.2026.
- Tunnista suuririskiset käyttötavat. Rekrytointi, henkilöstön arviointi, luotonanto ja oppilaiden arviointi ovat liitteen III aloja. Niiden vaatimuksia sovelletaan 2.12.2027 alkaen, joten aikatauluta selvitys jo nyt, jos käytät tekoälyä näissä.
- Tue henkilöstön osaamista ja kirjaa se. Lyhyt ohje sallituista työkaluista, luottamuksellisista tiedoista ja tulosten tarkistamisesta riittää monelle pienelle yritykselle alkuun.
- Seuraa muutoksia. HE 270/2026 on eduskunnassa, ja komissio ja Traficom julkaisevat lisäohjeita. Traficom neuvoo yrityksiä läpinäkyvyyttä koskevissa kysymyksissä.
Mitä tavalliselle käyttäjälle muuttuu?
Käyttäjän ei tarvitse tehdä mitään. Velvoitteet koskevat tarjoajia ja tekoälyä käyttöön ottavia organisaatioita. Käyttäjänä sinulla on oikeus tietää, kun keskustelet tekoälyn kanssa tai katsot syväväärennöstä, ja voit ilmoittaa puutteista Traficomille.
Useimmille suomalaisille pk-yrityksille tekoälyasetus tarkoittaa nyt kolmea asiaa: chatbotista on kerrottava, aidolta näyttävä tekoälysisältö on merkittävä ja henkilöstön osaamista on tuettava. Suuririskisen tekoälyn raskaat vaatimukset siirtyivät joulukuuhun 2027, mutta rekrytoinnissa tai luotonannossa tekoälyä käyttävän kannattaa aloittaa selvitys jo nyt. Joulukuun uudet kiellot koskevat lähinnä kuva- ja videogeneroinnin tarjoajia. Päivitämme sivun, kun eduskunta käsittelee HE 270/2026:n.
Usein kysytyt kysymykset
Koskeeko tekoälyasetus Suomea?
Kyllä. Se on EU-asetus, jota sovelletaan suoraan kaikissa jäsenvaltioissa. Suomen laki 1377/2025 säätää lisäksi valvovista viranomaisista ja seuraamusmaksuista.
Onko suuririskistä tekoälyä koskevia sääntöjä lykätty?
Kyllä. Koontiasetuksen (EU) 2026/1744 jälkeen niitä sovelletaan liitteen III järjestelmiin 2.12.2027 ja liitteen I tuotteisiin 2.8.2028 alkaen.
Mitä tapahtuu 2.12.2026?
Silloin aletaan soveltaa kieltoa tekoälyjärjestelmiin, jotka tuottavat luvattomia intiimejä syväväärennöksiä tai lasten seksuaalista hyväksikäyttöä esittävää materiaalia. Samalla päättyy ennen 2.8.2026 markkinoille tulleiden generatiivisten järjestelmien koneluettavan merkinnän siirtymäaika.
Kuka valvoo tekoälyasetusta Suomessa?
Traficom valvoo läpinäkyvyysvelvoitteita ja toimii keskitettynä yhteyspisteenä. Kieltoja valvoo tietosuojavaltuutettu, ja suuririskistä tekoälyä valvoo kunkin toimialan viranomainen. Suuria malleja valvoo komission tekoälytoimisto.
Kuinka suuria sakot voivat olla?
Kieltojen rikkomisesta enintään 35 miljoonaa euroa tai 7 % maailmanlaajuisesta liikevaihdosta. Pk-yrityksille enimmäismäärä on näistä pienempi.
Pitääkö pienen yrityksen kouluttaa henkilöstö tekoälyyn?
Yrityksen on toteutettava toimia, jotka tukevat henkilöstön tekoälyosaamista. Koontiasetuksen jälkeen tiettyä osaamistasoa ei tarvitse taata.
Lähteet ja menetelmä
Päivämäärät, kiellot, siirtymäajat, tekoälylukutaito ja sakot tarkistettiin koontiasetuksen (EU) 2026/1744 tekstistä EU:n virallisessa lehdessä sekä AI Act Service Deskin artikloista. Suomen valvontaviranomaiset ja seuraamusmaksut ovat lain 1377/2025 tekstistä Finlexistä, ja tulevat muutokset hallituksen esityksestä HE 270/2026. Taulukko valvojista ja tarkistuslista ovat oma koosteemme näistä lähteistä. Tiedot tarkistettiin 3.11.2026. Artikkeli ei ole oikeudellista neuvontaa.
- EUR-Lex, asetus (EU) 2026/1744 tekoälyä koskevasta digitaalialan koontiasetuksesta (EUVL 24.7.2026)
- EUR-Lex, asetus (EU) 2024/1689 (tekoälysäädös) (EUVL 12.7.2024)
- AI Act Service Desk, Timeline for the implementation of the EU AI Act
- AI Act Service Desk, Article 5: Prohibited AI practices
- AI Act Service Desk, Article 99: Penalties ja Article 101: Fines for providers of general-purpose AI models
- Euroopan komissio, Tekoälyn sääntelykehys
- Finlex, Laki eräiden tekoälyjärjestelmien valvonnasta 1377/2025 (voimaan 1.1.2026)
- Eduskunta, HE 270/2026 vp eräiden tekoälyjärjestelmien valvonnasta annetun lain muuttamisesta (22.10.2026)
- Traficom, Tekoälyn käytöstä nyt kerrottava aiempaa avoimemmin (20.8.2026)
- Traficom, Uudet säännöt vahvistavat luottamusta tekoälyyn Euroopassa (7.1.2026)
- MLex, OpenAI, Anthropic, Meta asked by EU about AI law compliance, tech chief says (9.10.2026)
- Euronews, EU’s AI rules face first enforcement test over lab incidents (14.10.2026)
- Agence Europe, Commission launches public consultation on draft implementing act under AI Act (12.10.2026)
