Korkean riskin tekoäly: mitä käyttöönottajan pitää tehdä ennen joulukuuta 2027
Tekoälyasetuksen 26 ja 27 artikla: ihmisvalvonta, lokit, työntekijöille kertominen ja julkishallinnon perusoikeusarviointi. Velvoitteet alkavat 2.12.2027 ja 2.8.2028.
· 5 min lukuaika
Lyhyesti
Tekoälyasetus luokittelee osan tekoälyjärjestelmistä korkean riskin järjestelmiksi käyttötarkoituksen perusteella, ja asettaa niiden käyttöönottajille omat velvoitteensa 26 artiklassa: käyttö ohjeiden mukaan, ihmisvalvonta, syöttötietojen laatu, seuranta ja ilmoitukset, lokien säilytys, työntekijöille ja päätösten kohteille kertominen sekä viranomaisilla rekisteröinti. Julkishallinnon ja julkisia palveluja tarjoavien on lisäksi tehtävä 27 artiklan perusoikeusvaikutusten arviointi ennen ensimmäistä käyttöä, kriittisen infrastruktuurin järjestelmiä lukuun ottamatta. Koontiasetus (EU) 2026/1744 siirsi näiden velvoitteiden soveltamisen alun 2.12.2027 ja 2.8.2028 päiviin. Aika on tarkoitettu valmistautumiseen, ei odottamiseen.
Mikä tekee järjestelmästä korkean riskin
Riskiluokka tulee käyttötarkoituksesta. Asetuksen 6 artikla osoittaa korkean riskin järjestelmiksi kaksi joukkoa. Ensimmäinen on järjestelmät, jotka ovat liitteen I tuotelainsäädännön alaisen tuotteen turvakomponentti tai itse sellainen tuote, esimerkiksi koneissa ja lääkinnällisissä laitteissa, ja joille tuo lainsäädäntö vaatii kolmannen osapuolen vaatimustenmukaisuuden arvioinnin; molempien ehtojen on täytyttävä. Toinen on liitteen III käyttöalat, joista kunnan, hyvinvointialueen ja tavallisen työnantajan kannalta merkittävimmät ovat koulutukseen pääsy ja oppimisen arviointi, rekrytointi, työnjohto ja työsuhteen päätökset, välttämättömien julkisten palvelujen ja etuuksien saannin arviointi sekä lainvalvonta ja oikeudenkäyttö.
Liitteen III luettelo ei ole ehdoton. Asetuksen 6 artiklan 3 kohdan mukaan liitteessä tarkoitettu järjestelmä ei ole korkean riskin järjestelmä, jos se ei aiheuta merkittävää riskiä terveydelle, turvallisuudelle tai perusoikeuksille eikä vaikuta olennaisesti päätöksenteon tulokseen: esimerkiksi kun se suorittaa vain suppean menettelyllisen tehtävän, parantaa ihmisen aiemmin tekemän työn tulosta, havaitsee päätöksentekomalleja tai poikkeamia ihmisen arvioinnin tueksi tai tekee valmistelevan tehtävän. Luonnollisten henkilöiden profilointi on kuitenkin aina korkean riskin käyttöä, ja tarjoajan, joka vetoaa poikkeukseen, on dokumentoitava arviointinsa ennen markkinoille saattamista.
Sama tekniikka on siis eri asia eri käytössä. Kielimalli, joka tiivistää kokousmuistioita, ei ole korkean riskin järjestelmä. Sama malli, joka pisteyttää työhakemuksia tai ehdottaa, kenen toimeentulotukihakemus tarkistetaan ensin, on. Tämän erottaminen on taitokatalogimme tason 1 vaatimus jokaiselle: tietää, että osa järjestelmistä vaatii erityisiä toimenpiteitä ennen käyttöä.
Käyttöönottajan velvoitteet 26 artiklassa
Artikla 26 on kirjoitettu käyttöönottajalle, siis organisaatiolle, joka käyttää järjestelmää omassa toiminnassaan. Sen kohdat ovat käytännössä tarkistuslista.
| Kohta | Velvoite | Mitä se tarkoittaa käytännössä |
|---|---|---|
| 26(1) | Tekniset ja organisatoriset toimenpiteet, jotta järjestelmää käytetään käyttöohjeiden mukaisesti | Tarjoajan ohjeet luetaan ja niiden noudattaminen järjestetään; ohjeiden vastainen käyttö siirtää vastuuta käyttöönottajalle |
| 26(2) | Ihmisvalvonta annetaan henkilöille, joilla on pätevyys, koulutus ja valtuudet, ja heille annetaan tuki | Nimetyt ihmiset, joilla on oikeus ohittaa järjestelmän tulos, ja heidän koulutuksensa |
| 26(4) | Syöttötiedot ovat merkityksellisiä ja riittävän edustavia siltä osin kuin käyttöönottaja niitä hallitsee | Mitä järjestelmälle syötetään ja mistä se tulee |
| 26(5) | Toimintaa seurataan; riskistä ilmoitetaan tarjoajalle ja markkinavalvontaviranomaiselle ja käyttö keskeytetään; vakava vaaratilanne ilmoitetaan välittömästi | Seurannan omistaja ja ilmoitusreitti |
| 26(6) | Automaattisesti tuotetut lokit säilytetään käyttötarkoitukseen nähden asianmukaisen ajan, vähintään kuusi kuukautta, jollei unionin tai kansallinen laki, erityisesti tietosuojalainsäädäntö, toisin säädä | Lokien säilytys ja siitä sopiminen tarjoajan kanssa |
| 26(7) | Työnantaja kertoo työntekijöiden edustajille ja asianomaisille työntekijöille ennen käyttöönottoa, että heihin sovelletaan korkean riskin järjestelmää | Yhteistoiminta ennen käyttöä, ei sen jälkeen |
| 26(8) | Viranomainen rekisteröi käytön EU:n tietokantaan, eikä saa käyttää järjestelmää, jota ei ole rekisteröity | Tarkistus hankinnassa |
| 26(9) | Tarjoajan 13 artiklan mukaisia tietoja käytetään tietosuojan vaikutustenarvioinnissa | Tekoäly osaksi vaikutustenarviointia, ei erilliseksi |
| 26(11) | Ihmisille kerrotaan, että heihin sovelletaan korkean riskin järjestelmää, kun se tekee tai auttaa tekemään heitä koskevia päätöksiä | Ilmoitus asiakkaalle, hakijalle, oppilaalle |
| 26(12) | Yhteistyö toimivaltaisten viranomaisten kanssa |
Luettelosta näkyy, että suurin osa velvoitteista on organisointia, ei tekniikkaa: kuka valvoo, kuka seuraa, kenelle kerrotaan, missä lokit ovat. Taitokatalogimme tasolla 3 vastuualueen vetäjä toteuttaa nämä omalla alueellaan, ihmisvalvonnan, lokituksen ja käyttäjille tiedottamisen, ja tasolla 4 tekoälyvastaava vastaa vaatimustenmukaisuudesta kokonaisuutena.
Perusoikeusvaikutusten arviointi julkishallinnossa
Artikla 27 lisää julkiselle sektorille yhden velvoitteen. Käyttöönottajien, jotka ovat julkisoikeudellisia laitoksia tai julkisia palveluja tarjoavia yksityisiä yhteisöjä, sekä luottokelpoisuutta ja henki- ja sairausvakuutuksen riskiä arvioivien järjestelmien käyttöönottajien on tehtävä arviointi järjestelmän käytön mahdollisista perusoikeusvaikutuksista ennen liitteen III mukaisen korkean riskin järjestelmän käyttöönottoa, lukuun ottamatta liitteen III 2 kohdan kriittisen infrastruktuurin järjestelmiä, esimerkiksi vesi- tai energiahuollon turvakomponentteja.
Arviointi sisältää kuvauksen prosesseista, joissa järjestelmää käytetään, käyttöajasta ja -tiheydestä, niiden ihmisten ja ryhmien luokista, joihin käyttö todennäköisesti vaikuttaa, näihin kohdistuvista haitan riskeistä tarjoajan antamien tietojen valossa, ihmisvalvonnan toteuttamisesta sekä toimenpiteistä riskien toteutuessa, sisäinen hallinto ja valitusmekanismit mukaan lukien. Velvoite koskee ensimmäistä käyttökertaa; samanlaisissa tapauksissa voi tukeutua aiempaan arviointiin, ja arviointi päivitetään, kun jokin sen osa muuttuu. Tulokset ilmoitetaan markkinavalvontaviranomaiselle tekoälytoimiston laatimalla lomakkeella.
Artiklan 4 kohta kytkee arvioinnin tietosuojaan: jos jokin velvoite on jo täytetty tietosuojan vaikutustenarvioinnissa, perusoikeusarviointi täydentää sitä. Käytännössä kunnan tekoälyhankinta kulkee siis yhden arviointiprosessin läpi, jossa tietosuojavastaava ja tekoälyvastaava tekevät kumpikin osuutensa.
Mitä koontiasetus siirsi
Alkuperäinen tekoälyasetus olisi soveltanut korkean riskin velvoitteita liitteen III järjestelmiin 2.8.2026 ja liitteen I järjestelmiin 2.8.2027 alkaen. Koontiasetus (EU) 2026/1744 perustelee siirtoa standardien, yhteisten eritelmien ja kansallisten viranomaisten viivästymisellä ja vahvistaa uudet päivät: liitteen III mukaisiin järjestelmiin III luvun 1, 2 ja 3 jaksoa sovelletaan 2.12.2027 alkaen ja liitteen I mukaisiin 2.8.2028 alkaen.
Siirtymäsäännös 111 artiklassa sanoo lisäksi, että ennen soveltamispäivää markkinoille saatettuihin tai käyttöön otettuihin korkean riskin järjestelmiin asetusta sovelletaan vain, jos niiden rakenteessa tapahtuu merkittäviä muutoksia. Viranomaisten käyttöön tarkoitettujen järjestelmien tarjoajien ja käyttöönottajien on kuitenkin täytettävä vaatimukset viimeistään 2.8.2030. Julkishallinnolle vanha järjestelmä ei siis ole pysyvä poikkeus, vaan määräaika.
Mitä siirto ei muuttanut: 4 artiklan tekoälylukutaito, 5 artiklan kielletyt käytännöt ja 50 artiklan avoimuusvelvoitteet ovat voimassa. Niistä kerrotaan artikkeleissa Tekoälyasetuksen 4 artikla ja Tekoälyasetuksen 50 artikla.
Mitä kannattaa tehdä nyt
Siirtymäaika on käyttöönottajalle aikaa kolmeen asiaan. Ensin inventaario: mitkä käytössä tai hankinnassa olevat järjestelmät osuvat liitteen III aloille. Rekrytoinnin seulontatyökalu, oppimisanalytiikka ja etuuskäsittelyn priorisointi ovat tavallisimmat löydöt. Sitten vastuut: kuka on ihmisvalvoja, kuka seuraa, missä lokit säilyvät, ja miten työntekijöille ja asiakkaille kerrotaan. Lopuksi arviointi: julkishallinnossa perusoikeusvaikutusten arviointi tietosuojan vaikutustenarvioinnin rinnalle.
Näistä mikään ei vaadi, että joulukuuta 2027 odotetaan. Sen sijaan ne vaativat, että organisaatiossa on henkilö, joka osaa ne, ja se on taitokatalogimme tason 4 kuvaus: vastaa vaatimustenmukaisuudesta, tekee perusoikeusvaikutusten arvioinnin ja dokumentoi sen. Tekoälyvastaavan roolista kokonaisuutena kerrotaan artikkelissa Kuka organisaatiossa vastaa tekoälyn käytöstä?.
Usein kysyttyä
Mikä on korkean riskin tekoälyjärjestelmä?
Järjestelmä, joka kuuluu tekoälyasetuksen liitteen III käyttöaloihin, kuten koulutukseen pääsy ja arviointi, rekrytointi ja työnjohto, välttämättömien julkisten palvelujen ja etuuksien saanti sekä lainvalvonta, tai joka on liitteen I tuotelainsäädännön alaisen tuotteen turvakomponentti tai itse sellainen tuote ja jolle sama lainsäädäntö vaatii kolmannen osapuolen vaatimustenmukaisuuden arvioinnin. Ratkaiseva on käyttötarkoitus, ei tekniikka: sama kielimalli on korkean riskin järjestelmä, kun sillä seulotaan työhakemuksia, ja ei ole, kun sillä tiivistetään kokousmuistioita. Liitteen III järjestelmä ei kuitenkaan ole korkean riskin järjestelmä, jos se ei aiheuta merkittävää vahingon riskiä, esimerkiksi kun se hoitaa vain suppean menettelyllisen tai valmistelevan tehtävän; luonnollisten henkilöiden profilointi on aina korkean riskin käyttöä, ja poikkeukseen vetoavan tarjoajan on dokumentoitava arvionsa.
Mitä käyttöönottajan on tehtävä?
Käyttää järjestelmää käyttöohjeiden mukaan, antaa ihmisvalvonta päteville ja koulutetuille henkilöille, varmistaa syöttötietojen merkityksellisyys siltä osin kuin se niitä hallitsee, seurata toimintaa ja ilmoittaa riskeistä ja vakavista vaaratilanteista tarjoajalle ja viranomaiselle, säilyttää lokit vähintään kuusi kuukautta, jollei laki toisin säädä, kertoa työntekijöille ja heidän edustajilleen ennen käyttöä työpaikalla, kertoa ihmisille, joita koskevia päätöksiä järjestelmä tekee tai auttaa tekemään, ja viranomaisena rekisteröidä käyttö EU:n tietokantaan.
Mikä on perusoikeusvaikutusten arviointi ja ketä se koskee?
Tekoälyasetuksen 27 artiklan mukainen arviointi, jonka julkisoikeudelliset laitokset, julkisia palveluja tarjoavat yksityiset yhteisöt sekä luottokelpoisuutta ja vakuutusriskiä arvioivien järjestelmien käyttöönottajat tekevät ennen liitteen III mukaisen korkean riskin järjestelmän ensimmäistä käyttöä, liitteen III 2 kohdan kriittisen infrastruktuurin järjestelmiä lukuun ottamatta. Se kuvaa käyttöprosessit, käyttöajan ja -tiheyden, vaikutuksen kohteena olevat ihmisryhmät, haitan riskit, ihmisvalvonnan toteutuksen ja toimenpiteet riskien toteutuessa, ja sen tulokset ilmoitetaan markkinavalvontaviranomaiselle.
Milloin velvoitteita aletaan soveltaa?
Koontiasetus (EU) 2026/1744 siirsi soveltamisen alkua. Liitteen III mukaisiin korkean riskin järjestelmiin velvoitteita sovelletaan 2.12.2027 alkaen ja liitteen I mukaisiin 2.8.2028 alkaen. Ennen soveltamispäivää käyttöön otettuihin järjestelmiin asetusta sovelletaan vain, jos niiden rakenne muuttuu merkittävästi, mutta viranomaisten käyttöön tarkoitettujen järjestelmien on täytettävä vaatimukset viimeistään 2.8.2030.