Tekoälyasetuksen 4 artikla: mitä henkilöstön tekoälyosaamisesta vaaditaan

Lyhyesti

EU:n tekoälyasetuksen 4 artikla velvoittaa jokaisen tekoälyjärjestelmän tarjoajan ja käyttöönottajan toteuttamaan toimenpiteitä, joilla se tukee henkilöstönsä ja lukuunsa toimivien henkilöiden tekoälylukutaidon kehittämistä. Velvoite on ollut voimassa 2. helmikuuta 2025 alkaen, ja koontiasetus (EU) 2026/1744 kirjoitti sen sanamuodon uudelleen 27. heinäkuuta 2026: vaatimus riittävän tason varmistamisesta vaihtui kehittämisen tukemiseen. Velvoite koskee yhtä lailla kuntaa, jonka työntekijät käyttävät Copilotia, kuin yritystä, joka ottaa käyttöön oman tekoälyjärjestelmän. Asetus ei määrää koulutuksen muotoa, mutta edellyttää, että toimenpiteet on suhteutettu tehtävään ja käyttöön, ja käytännössä ne osoitetaan dokumentoidulla koulutuksella.

Kenelle velvoite kuuluu

Tekoälyasetus (EU) 2024/1689 jakaa toimijat kahteen pääluokkaan. Tarjoaja kehittää tekoälyjärjestelmän tai tuo sen markkinoille omalla nimellään. Käyttöönottaja on organisaatio, joka käyttää tekoälyjärjestelmää omassa toiminnassaan, muuten kuin henkilökohtaisessa ja ei-ammatillisessa tarkoituksessa.

Jälkimmäinen luokka on laaja. Kunta, joka käyttää kielimallia asiakirjojen luonnosteluun, on käyttöönottaja. Sosiaali- ja terveydenhuollon organisaatio, jonka järjestelmässä on tekoälyyn perustuva luokittelu, on käyttöönottaja. Yritys, jonka myyjät kirjoittavat tarjouksia Copilotilla, on käyttöönottaja. Asetus ei edellytä, että tekoäly olisi hankittu erikseen tai että se olisi suuririskinen järjestelmä. 4 artikla koskee jokaista käyttöönottajaa, koosta ja toimialasta riippumatta.

Velvoite ulottuu henkilöstön lisäksi muihin henkilöihin, jotka vastaavat tekoälyjärjestelmien toiminnasta ja käytöstä organisaation puolesta. Alihankkija tai vuokratyöntekijä, joka käyttää organisaation tekoälyjärjestelmää, kuuluu siis velvoitteen piiriin.

Mitä 27.7.2026 muuttui

Alkuperäinen, vuoden 2024 sanamuoto vaati tarjoajia ja käyttöönottajia varmistamaan parhaansa mukaan henkilöstönsä riittävän tekoälylukutaidon. Tekoälyä koskeva digitaalialan koontiasetus (EU) 2026/1744 korvasi artiklan kokonaan. Uusi 1 kohta kuuluu:

Tekoälyjärjestelmien tarjoajien ja käyttöönottajien on toteutettava toimenpiteitä, joilla ne tukevat henkilöstönsä ja muiden niiden puolesta tekoälyjärjestelmien toiminnasta ja käytöstä vastaavien henkilöiden tekoälylukutaidon kehittämistä, minkä yhteydessä otetaan huomioon heidän tekninen tietämyksensä, kokemuksensa, koulutuksensa ja tekoälyjärjestelmien käyttöyhteys sekä henkilöt tai henkilöryhmät, joihin tekoälyjärjestelmiä on määrä käyttää. Tämä velvoite ei edellytä tarjoajien tai käyttöönottajien takaavan kenenkään yksittäisen henkilön tiettyä tekoälylukutaidon tasoa.

Kolme asiaa muuttui. Mittari vaihtui lopputuloksesta toimintaan: organisaation ei tarvitse osoittaa, että jokainen on saavuttanut tietyn tason, vaan että se on toteuttanut toimenpiteitä, jotka tukevat osaamisen kehittymistä. Yksittäisen henkilön tasoa ei tarvitse taata. Ja komissio ja jäsenvaltiot saivat oman velvoitteensa: tukea erityisesti pk-yrityksiä, julkaista käytännön esimerkkejä velvoitteen noudattamisesta ja antaa tekoälyneuvoston kautta suosituksia yhteisistä tavoitteista.

Koontiasetuksen johdanto perustelee muutoksen sillä, että tiukka velvoite riittävän tason varmistamisesta rasitti erityisesti pieniä yrityksiä, ja toteaa samalla, että tekoälylukutaidon olisi oltava strateginen painopiste sääntelyvelvoitteista ja seuraamuksista riippumatta. Velvoite siis keveni, mutta se ei kadonnut: organisaation on edelleen tehtävä jotain, ja sen on pystyttävä näyttämään, mitä.

Mitä tekoälylukutaito tarkoittaa

Asetus määrittelee tekoälylukutaidon taidoiksi, tiedoiksi ja ymmärrykseksi, joiden avulla tekoälyjärjestelmiä voidaan ottaa käyttöön tietoon perustuen ja joiden avulla ymmärretään tekoälyn mahdollisuudet, riskit ja sen mahdollisesti aiheuttama vahinko. Määritelmä on tarkoituksella yleinen: se ei vaadi ohjelmointitaitoa eikä tilastotieteen opintoja, vaan ymmärrystä siitä, mitä käytetty järjestelmä tekee, missä se erehtyy ja mitä käyttäjän vastuulle jää.

Toimenpiteet suhteutetaan neljään asiaan, jotka artikla nimeää: henkilön tekniseen tietämykseen, kokemukseen ja koulutukseen, tekoälyjärjestelmien käyttöyhteyteen sekä niihin ihmisiin, joihin järjestelmiä käytetään. Sama koulutus ei siis riitä kaikille. Komission kysymys- ja vastausohje toteaa saman: yhtä ennalta määrättyä muotoa ei ole, ja organisaatio päättää itse, miten osaamista tuetaan, mutta sen on pystyttävä perustelemaan valintansa.

Käytännössä osaaminen asettuu kolmeen tasoon:

• Koko henkilöstö: mitä tekoäly on ja mitä se ei ole, miten kielimalli erehtyy, mitä tietoja järjestelmään saa syöttää ja mitä ei, ja milloin tulos on tarkistettava ihmisen toimesta.
• Tekoälyä työssään käyttävät: edellisten lisäksi oman työkalun rajat, hyvän kehotteen periaatteet, tulosten arviointi ja virheen tunnistaminen omassa työssä.
• Päättäjät, hankkijat ja valvojat: asetuksen riskiluokat, suuririskisen järjestelmän käyttöönottajan velvoitteet, ihmisen valvonnan järjestäminen ja dokumentointi.

Suuririskisen järjestelmän käyttöönottajalle asetuksen 26 artikla lisää oman vaatimuksensa: ihmisen suorittama valvonta on annettava henkilöille, joilla on siihen tarvittava pätevyys, koulutus ja valtuudet. Siellä koulutus ei ole enää vain 4 artiklan yleisvelvoite vaan edellytys sille, että järjestelmää saa ylipäätään käyttää.

Aikataulu

Tekoälyasetus tuli voimaan 1. elokuuta 2024, ja sen soveltaminen on porrastettu. Koontiasetus siirsi suuririskisten järjestelmien päivämääriä.

Päivä	Mitä alkaa
2.2.2025	Yleiset säännökset, kielletyt käytännöt ja 4 artiklan osaamisvelvoite alkuperäisessä muodossaan
2.8.2025	Yleiskäyttöisten tekoälymallien velvoitteet ja hallintorakenne
27.7.2026	Koontiasetus (EU) 2026/1744 voimaan: uusi 4 artikla
2.8.2026	Asetuksen pääosa, kansallinen valvonta ja seuraamukset
2.12.2027	Liitteen III suuririskiset järjestelmät (siirretty koontiasetuksella)
2.8.2028	Tuotelainsäädäntöön sidotut suuririskiset järjestelmät, liite I (siirretty koontiasetuksella)

Osaamisvelvoite on siis ollut voimassa helmikuusta 2025. Se, että valvonta ja seuraamukset käynnistyivät vasta elokuussa 2026, ei lykännyt velvoitetta: viranomainen voi kysyä, mitä organisaatio on tehnyt helmikuusta 2025 alkaen.

Mitä tapahtuu, jos velvoitetta ei täytetä

Asetuksen 99 artiklan seuraamuksissa ei ole omaa riviä 4 artiklalle, ja komissio on vahvistanut, ettei osaamisvelvoitteen laiminlyönnistä seuraa suoraan sakkoa asetuksen nojalla. Uusi sanamuoto, joka ei edellytä takaamaan kenenkään tasoa, vahvistaa saman. Siitä ei kuitenkaan seuraa, että velvoite olisi merkityksetön.

Ensinnäkin kansalliset viranomaiset valvovat velvoitteen noudattamista elokuusta 2026 alkaen, ja jäsenvaltio voi säätää seuraamuksista kansallisesti. Toiseksi, kun tekoälyn käytöstä syntyy vahinko, esimerkiksi virheellinen päätös tai henkilötietojen vuoto kielimalliin, ensimmäinen kysymys on, mitä organisaatio oli tehnyt käyttäjiensä osaamisen eteen. Kolmanneksi julkiset hankinnat ja isot asiakkaat kysyvät yhä useammin osoitusta siitä, että toimittajan henkilöstö osaa käyttää tekoälyä vastuullisesti. Kaikissa kolmessa vastaus on sama: dokumentoidut toimenpiteet, joiden sisältö, osallistujat ja ajankohta voidaan näyttää.

Julkisella sektorilla tulee lisäksi oma kerros: hallintolain ja tietosuoja-asetuksen vaatimukset eivät väisty sen takia, että päätöksen luonnoksen kirjoitti kielimalli. Virkailija vastaa tuloksesta, ja hänen on osattava arvioida sitä.

Miten velvoite täytetään käytännössä

1. Kartoita käyttö. Mitä tekoälyjärjestelmiä organisaatiossa käytetään, kuka käyttää ja mihin. Mukaan lasketaan myös se, mitä henkilöstö käyttää ilman erillistä päätöstä.
2. Jaa henkilöstö tasoihin. Koko henkilöstö, tekoälyä työssään käyttävät, sekä päättäjät ja valvojat. Jokaiselle tasolle oma sisältö.
3. Valitse sisältö, joka vastaa omaa käyttöä. Yleinen tekoälyn esittely ei riitä, jos ongelma on se, mitä tietoja Copilotiin saa syöttää. Esimerkkien on tultava omasta työstä.
4. Toista ja päivitä. Artikla puhuu kehittämisen tukemisesta, ei kertaluonteisesta koulutuksesta. Kun työkalut, käyttötavat tai säännöt muuttuvat, osaaminen päivitetään. Tähän mikro-oppiminen sopii paremmin kuin vuosittainen koulutuspäivä.
5. Dokumentoi. Kuka on käynyt minkä koulutuksen, milloin, ja miten osaaminen on todennettu. Pelkkä osallistujalista kertoo, että toimenpide tehtiin; koe kertoo, että se vaikutti.

Komissio ylläpitää esimerkkikokoelmaa (living repository) siitä, miten eri organisaatiot ovat toteuttaneet 4 artiklan vaatimukset, ja uusi artikla velvoittaa sen julkaisemaan käytännön esimerkkejä yhtenäisellä tietoalustalla. Ne eivät ole sitovia ohjeita, mutta ne näyttävät, mitä viranomainen pitää uskottavana: roolikohtaista, toistuvaa ja dokumentoitua koulutusta.

Suomessa

Tekoälyasetus on suoraan sovellettavaa oikeutta, joten velvoite on Suomessa voimassa ilman kansallista lakia. Valvonnan järjestämisestä säädetään kansallisesti: hallituksen esityksessä keskeiseksi markkinavalvontaviranomaiseksi on esitetty Liikenne- ja viestintävirasto Traficomia, ja sektoriviranomaiset valvovat omilla aloillaan. Tietosuojavaltuutettu valvoo edelleen henkilötietojen käsittelyä myös silloin, kun käsittelijä on tekoälyjärjestelmä.

Organisaation kannalta valvojan nimi on toissijainen. Olennaista on, että kysymys "mitä olette tehneet henkilöstönne tekoälylukutaidon eteen?" voidaan esittää, ja että siihen vastataan sillä, mitä on tehty helmikuusta 2025 lähtien.