EU AI Actista eli asetuksesta (EU) 2024/1689 puhutaan usein kuin se olisi yksi tuleva määräaika. Se ei ole. Sitä sovelletaan vaiheittain, ja kaksi vaihetta on jo alkanut. Eurooppalaiselle SaaS-yritykselle tänään merkitsevät osat ovat artikla 4 tekoälylukutaidosta ja artikla 50 läpinäkyvyydestä.
Molemmat ovat ennemmin käytännöllisiä kuin teknisiä. Molemmat tarvitsevat omistajan, ja molemmat on helppo ohittaa yksinkertaisesti siksi, ettei kukaan ole huomannut, kuinka paljon tekoälyä on jo käytössä eri puolilla yritystä.
Huomautus ennen yksityiskohtia: tämä artikkeli selittää, mitä säännöt sanovat ja miten yritykset tyypillisesti vastaavat niihin. Se ei ole oikeudellista neuvontaa. Yrityskohtaisissa päätöksissä käänny lakimiehen puoleen.
Mitä EU AI Actin artiklat 4 ja 50 edellyttävät SaaS-yritykseltä?
Artikla 4, jota on sovellettu 2. helmikuuta 2025 lähtien, edellyttää yrityksiltä toimia, jotta tekoälyä käyttävillä ihmisillä on riittävä tekoälylukutaito; sisäinen kirjaus koulutuksesta riittää. Artikla 50, jota on sovellettu elokuusta 2026 lähtien, edellyttää, että ihmisten kanssa vuorovaikutuksessa oleva tekoäly kertoo olevansa tekoälyä, ellei se ole ilmeistä, ja että syväväärennökset ilmoitetaan.
Kumpikaan ei vaadi sertifikaattia tai uutta osastoa. Käytännössä ne edellyttävät tietoisuutta, kirjausta ja rehellistä merkitsemistä.
Artikla 4: tekoälylukutaito käytännössä
Artiklaa 4 on sovellettu 2. helmikuuta 2025 lähtien, ja kansalliset viranomaiset ovat valvoneet AI Actia elokuusta 2026 lähtien. Se edellyttää yrityksiltä toimia, jotta niiden puolesta tekoälyn kanssa työskentelevät ihmiset ymmärtävät sen riittävän hyvin käyttääkseen sitä oikein: missä se on hyvä, missä se epäonnistuu ja mitä dataa siihen ei saa koskaan syöttää.
Kaksi asiaa ymmärretään usein väärin. Ensinnäkin sertifikaattia ei vaadita. Virallista kurssia ei tarvitse ostaa eikä koetta suorittaa. Toiseksi sisäinen kirjaus riittää: mitä koulutusta ja ohjeistusta annettiin, kenelle ja milloin.
SaaS-yritykselle vaikea osa ei ole koulutus. Se on sen tietäminen, missä tekoälyä todella käytetään. Microsoftin ja LinkedInin Work Trend Index 2024 -raportin mukaan 75% tietotyöntekijöistä käyttää generatiivista tekoälyä työssään ja 78% tekoälyn käyttäjistä tuo mukanaan omat työkalunsa. Tyypillisessä SaaS-yrityksessä tämä tarkoittaa tukihenkilöitä luonnostelemassa vastauksia, myyjiä kirjoittamassa yhteydenottoviestejä, kehittäjiä käyttämässä koodausavustajia ja taloushallintoa liittämässä lukuja chat-ikkunaan, usein ilman hyväksyttyä työkalua ja ilman ohjeistusta.
Toimiva lähestymistapa on kolmivaiheinen:
- Kartoitus. Listaa käytössä olevat tekoälytyökalut, hyväksytyt tai eivät, kuka niitä käyttää ja mitä yrityksen tai asiakkaiden dataa niihin menee.
- Roolikohtainen ohjeistus. Lyhyt, täsmällinen ohjeistus jokaiselle tiimille: mihin työkaluja saa käyttää, mikä data on pidettävä niiden ulkopuolella ja miten tuotos tarkistetaan. Tukitiimi ja taloustiimi tarvitsevat eri säännöt.
- Kirjaus. Päivätty kirjaus siitä, kuka sai mitäkin ohjeistusta tai koulutusta, päivitettynä, kun työkalut tai roolit muuttuvat.
Tämä on myös hyvää operatiivista toimintaa, oli laki tai ei. Yritys, joka tietää, minne sen data menee, pystyy vastaamaan asiakkaan tietoturvakyselyyn rehellisesti.
Artikla 50: kun ihmiset puhuvat tekoälyn kanssa, heille kerrotaan siitä
Artiklaa 50 on sovellettu elokuusta 2026 lähtien. Sen ydin on yksinkertainen: ihmisten kanssa vuorovaikutuksessa olevan tekoälyjärjestelmän on tehtävä selväksi, että se on tekoälyä, ellei se ole asiayhteydestä ilmeistä. Syväväärennökset eli tekoälyn tuottamat kuvat, äänet tai videot, jotka voisivat käydä aidosta, on ilmoitettava.
SaaS-yrityksessä tarkistettavat kohdat ovat yleensä:
- Tuotteen sisäinen avustaja. Sovelluksen sisäisen avustajan, joka vastaa käyttäjille, pitäisi kertoa olevansa tekoälyä.
- Verkkosivuston, myynnin ja tuen chat. Asiakkaille tai potentiaalisille asiakkaille vastaava chat tarvitsee selkeän ilmoituksen siitä, että vastaukset tulevat tekoälyltä.
- Ääni ja video. Tekoälyääni puhelussa tai tekoälyn tuottama esiintyjä tuotevideossa tai mainoksessa on ilmoitettava.
Ilmoittaminen on enemmän suunnittelutehtävä kuin juridinen tehtävä: rivi chat-ikkunassa, merkintä käyttöliittymässä, lause puhelun alussa. Se on edullisinta, kun se on osa suunnittelua alusta asti. Sama ajattelu pätee sisäisiin agentteihin: NordOps AI Agent on rakennettu eurooppalaisia sääntöjä varten, ja jokainen kysymys ja toimenpide kirjataan lokiin.
Mikä ei ole vielä voimassa
Suuri osa asetusta koskevasta huomiosta kohdistuu suuririskiseen tekoälyyn, ja useimmille SaaS-yrityksille se osa on vasta edessä:
- 2. joulukuuta 2027: liitteessä III lueteltuja suuririskisiä alueita, kuten rekrytoinnissa käytettävää tekoälyä, koskevia sääntöjä aletaan soveltaa.
- 2. elokuuta 2028: säänneltyihin tuotteisiin sisäänrakennettua tekoälyä koskevia sääntöjä aletaan soveltaa.
Nämä päivämäärät perustuvat asetukseen vuonna 2026 tehtyyn muutokseen, joka tuli voimaan 27. heinäkuuta 2026. SaaS-yrityksen, jonka tuotetta käytetään rekrytoinnissa tai muulla liitteen III alueella, kannattaa käyttää aika valmistautumiseen eikä odottaa. Kaikille muille etusijalla ovat kaksi jo voimassa olevaa artiklaa.
Käytännön tarkistuslista tälle vuosineljännekselle
- Nimeä yritykseen yksi tekoälyn omistaja, jolla on aikaa hoitaa tehtävä.
- Tee kartoitus käytössä olevasta tekoälystä, mukaan lukien työkalut, jotka ihmiset ovat ottaneet käyttöön itse.
- Kirjoita lyhyt ohjeistus jokaiselle tiimille ja kirjaa, kuka sen sai.
- Tarkista jokainen kohta, jossa tekoäly puhuu asiakkaille, potentiaalisille asiakkaille tai yleisölle, ja lisää selkeä ilmoitus sinne, mistä se puuttuu.
- Tarkista markkinointisisältö tekoälyn tuottamien ihmisten tai äänten varalta ja merkitse ne.
- Jos tuotettasi käytetään rekrytoinnissa tai muulla liitteen III alueella, aloita valmistautuminen joulukuuhun 2027.
Mikään tästä ei tee Chief AI Officerista lakisääteistä vaatimusta; se on rooli, ei velvoite. Mutta työ tarvitsee omistajan, ja useimmissa kasvavissa yrityksissä sillä ei vielä ole sellaista. Se on osa sitä, mitä fractional Chief AI Officer ottaa hoitaakseen, ja AI Snapshot -palvelumme alkaa juuri tästä kartoituksesta sekä tekoälylukutaidon ja läpinäkyvyyden tarkistuksesta.
Lähde: asetus (EU) 2024/1689, artiklat 4, 50 ja 113, sellaisina kuin ne ovat vuonna 2026 muutettuina. Tämä artikkeli on tiedottava; se ei ole oikeudellista neuvontaa.