EU:n lipun, jossa on keltaisia tähtiä, päällä oleva läpinäkyvä valintamerkki, jonka päällä on kuvan peittävä verkosto hehkuvia, toisiinsa liittyviä viivoja, jotka symboloivat tietoturvaa tai digitaalista hyväksyntää sekä tekoälyn roolia Euroopan unionissa.

EU AI Act astui voimaan 2.8.2026 — näin tekoälyn läpinäkyvyysvelvoitteet ja hallintamalli koskevat sinunkin yritystäsi

Sunnuntaina, 2. elokuuta 2026, tekoälyn käyttö muuttui juridisesti läpinäkyväksi koko EU:ssa. EU AI Act ‑asetuksen Artikla 50:n läpinäkyvyysvelvoitteet ovat nyt voimassa — eivätkä ne koske vain teknologiajättejä. Ne koskevat jokaista yritystä, joka käyttää tekoälyä asiakasrajapinnassa: chatbotti verkkosivulla, AI-generoitu mainoskuva, uutiskirjeen konetuotettu teksti, ääniassistentti puhelinvaihteessa. Jos asiakas voi kohdata koneen luulematta sitä ihmiseksi tai konesisältöä luulematta sitä ihmistyöksi, olet velvoitteen piirissä.

Tämä artikkeli avaa, mitä 2.8.2026 tarkalleen muutti, kuka on vastuussa ja — tärkeimpänä — miten rakennat tekoälyn hallintamallin, joka tekee vaatimustenmukaisuudesta toistettavan prosessin eikä kertaluontoisen paniikkiprojektin.

Mitä 2.8.2026 muutti

EU AI Act hyväksyttiin lopullisessa muodossaan jo kesäkuussa 2024, mutta läpinäkyvyysosio tuli sovellettavaksi vasta nyt. Kyse on asetuksen laajimmin sovellettavasta osasta: velvoitteet eivät kohdistu pelkästään tekoälyjärjestelmien tarjoajiin (provider), vaan myös käyttöönottajiin (deployer) — eli yrityksiin, jotka pelkästään käyttävät valmiita järjestelmiä omassa toiminnassaan.

Käytännön tulkinnan selkärangaksi Euroopan komissio hyväksyi 20.7.2026 AI-toimiston laatimat suuntaviivat (guidelines), jotka täyttävät Artikla 50:n väljän sanamuodon aukot. Suuntaviivat eivät ole oikeudellisesti sitovia, mutta kansallisten valvontaviranomaisten odotetaan seuraavan niitä tarkasti — käytännössä ne ovat ensisijainen tulkintalähde, kunnes tuomioistuimet antavat lopullisen tulkintansa. Suuntaviivojen rinnalle on rakennettu vapaaehtoinen Code of Practice ‑käytännesäännöstö AI-generoidun sisällön merkitsemisestä. Sen allekirjoittaminen antaa asteittaisen olettaman vaatimustenmukaisuudesta ja keventää todistustaakkaa viranomaisen suuntaan.


Olennaista: velvoitteet ovat välittömästi sovellettavia riippumatta siitä, milloin järjestelmä on tuotu markkinoille. Poikkeuksena on sisällön merkintä (50(2)): ennen 2.8.2026 markkinoilla olleille generatiivisille järjestelmille on annettu siirtymäaika 2.12.2026 asti. Ennen 2.8.2026 sekä tuotettu että julkaistu sisältö ei vaadi takautuvaa merkintää — mutta jos sisältö on tuotettu ennen määräpäivää ja julkaistaan sen jälkeen, merkintävelvoite koskee sitä.

Artikla 50:n neljä läpinäkyvyysvelvoitetta

Kaikkien neljän velvoitteen läpi kulkee sama horisontaalinen vaatimus: tieto on annettava selkeästi ja erottuvasti viimeistään ensimmäisen kohtaamisen hetkellä, ja saavutettavuusvaatimuksia noudattaen. Tieto ei täytä standardia, jos se on haudattu käyttöehtoihin tai piilotettu valikkojen alle. Piiloviite ei riitä.

1. Suora vuorovaikutus koneen kanssa (Artikla 50(1) — tarjoaja)

Kun järjestelmä on suorassa, kaksisuuntaisessa vuorovaikutuksessa ihmisen kanssa — chatbotit, ääniassistentit, AI-kumppanit, sosiaalisen median botit, itsenäisesti yhteydenottoja tekevät agentit — ihmisen on tiedettävä heti keskustelevansa koneen kanssa. Ainoa poikkeus on tilanne, jossa tekoälyn läsnäolo on ”ilmeinen”. Komissio tulkitsee tätä hyvin ahtaasti: testinä on, olisiko asia ilmeinen ”kohtuullisen valistuneelle, tarkkaavaiselle ja huolelliselle” henkilölle kohdeyleisö huomioiden. Verkkosivun asiakaspalvelubotti, jonka vastauksia voi luulla ihmisen kirjoittamiksi, ei ole ilmeinen tapaus — ilmoitus vaaditaan. Lapsille, ikääntyneille tai herkillä toimialoilla (terveys, oikeus, talous, vakuutus) toistuvat muistutukset voivat olla tarpeen.

2. AI-generoidun sisällön merkintä (Artikla 50(2) — tarjoaja)

Synteettinen ääni, kuva, video ja teksti on merkittävä koneluettavaan muotoon ja tarjottava vastaava tunnistuskeino — pelkkä merkintä ilman tunnistusratkaisua ei riitä. Merkintä upotetaan metatietona, vesileimana tai muulla yhteentoimivalla tekniikalla, riittävän kestävästi selviytyäkseen tavanomaisesta muokkauksesta. Standardimuokkaus — kieliopin korjaus, oikoluku, käännös, pieni rajaus, kohinanpoisto — on vapautettu. Sen sijaan AI-tiivistelmät, kasvojen muokkaus, esineiden lisääminen tai poistaminen kuvista ja mustavalkoisen värittäminen vaativat merkinnän.

3. Tunteentunnistus ja biometrinen luokittelu (Artikla 50(3) — käyttöönottaja)

Tämä on velvoite, joka jää usein huomiotta. Jos otat käyttöön järjestelmän, joka tunnistaa ihmisten tunnetiloja tai luokittelee heitä biometrisesti, kohteena olevalle henkilölle on ilmoitettava järjestelmän toiminnasta. Esimerkiksi peli, joka tallentaa pelaajan ilmeitä tunnetilojen mittaamiseksi, tarvitsee näkyvän ilmoituksen ennen pelin alkua; kasvojentunnistuksella kävijöitä ikäryhmiin luokitteleva myymälä tarvitsee näkyvän ilmoituksen jokaisella sisäänkäynnillä.

4. Deepfaket ja yhteiskunnallinen AI-teksti (Artikla 50(4) — käyttöönottaja)

Deepfake on AI-tuotettu tai ‑manipuloitu kuva, ääni tai video, joka muistuttaa olemassa olevia ihmisiä, paikkoja tai tapahtumia ja vaikuttaisi henkilöstä aidolta. Suuntaviivat tulkitsevat ”olemassa olevaa” laajasti: myös valokuvamaisen realistiset keksityt ihmiset kuuluvat soveltamisalaan. Deepfake on aina merkittävä manipuloiduksi, riippumatta siitä julkaistaanko se. Taiteellisissa, satiirisissa tai fiktiivisissä teoksissa merkintä on silti tehtävä, mutta se voidaan sijoittaa esimerkiksi krediitteihin niin ettei se häiritse teoksen esittämistä.


Toinen haara koskee yhteiskunnallisista aiheista yleisölle julkaistua AI-tekstiä: se on merkittävä keinotekoisesti tuotetuksi, ellei sitä ole käynyt läpi ihmisen toimituksellinen tarkastus, josta joku kantaa toimituksellisen vastuun. Jos tekoäly puuttuu tekstiin olennaisesti toimituksellisen hyväksynnän jälkeen, poikkeus menetetään.

Kuka on vastuussa — ja miksi mainostoimisto-erottelu on kriittinen

Vastuunjako ratkaisee, mikä velvoite kohdistuu sinuun. Tarjoaja kehittää järjestelmän ja tuo sen markkinoille omalla nimellään. Käyttöönottaja käyttää järjestelmää omassa ammattitoiminnassaan. Suuntaviivojen mukaan ”auktoriteetti” tarkoittaa vastuun ottamista käyttöönottopäätöksestä ja käytön tavasta, mukaan lukien tuotokset — tekninen kontrolli järjestelmästä ei ole edellytys. Valtaosa suomalaisista pk-yrityksistä on käyttöönottajia, ei tarjoajia.

Yksi erottelu ansaitsee erityishuomion, koska se muuttaa vastuun sijainnin: kun luova toimisto tai mainostoimisto päättää itse, käytetäänkö tekoälyä ja miten, merkintävelvoite on toimistolla, ei toimeksiantajalla. Jos siis ostat AI-avusteista mainossisältöä kumppanilta, varmista sopimuksella kumpi kantaa vastuun — muuten oletukset eivät pidä, kun valvontaviranomainen kysyy.

Kaksi harhaa, jotka kannattaa purkaa heti

”Ilmeisyys” ei ole vapaakortti. Poikkeus tulkitaan ahtaasti. Jos et ole varma, ilmoita. Dokumentoi peruste, jos nojaat poikkeukseen.


”B2B on vapautettu” ei pidä paikkaansa. Artikla 50(2):n B2B-poikkeus edellyttää kolmea yhtäaikaista ehtoa: tuotoksen on oltava tiukasti tekninen (esim. tuotantoprosessit), vain rajatun ennalta määritellyn ammattilaisjoukon havaittavaksi tarkoitettu, eikä sitä saa levittää organisaation ulkopuolelle. Käytännössä lähes kaikki markkinointi- ja asiakasrajapintakäyttö jää poikkeuksen ulkopuolelle.

Alustat hoitavat osan — mutta vastuu jää sinulle

Osa merkinnöistä syntyy automaattisesti. Meta merkitsee AI-kuvat (AI Label), Google vesileimaa Geminin ja Imagenin sisällöt SynthID- ja C2PA-tekniikoilla, YouTube ja TikTok lisäävät merkinnän jos tekijä ei sitä tee, ja OpenAI upottaa C2PA- ja SynthID-merkinnät ChatGPT-kuviin. Tämä ei kuitenkaan siirrä vastuutasi. Kolme sokeaa pistettä:

  • Chatbot-ilmoitus ei hoidu automaattisesti. Se on aina sinun.
  • CMS tai CDN voi riisua metatiedot julkaisussa — tarkista, että merkinnät säilyvät.
  • Puuttuva vesileima ei ole todiste ihmistyöstä — se ei vapauta sinua velvoitteesta.

Tekoälyn hallintamalli: näin viet velvoitteet käytäntöön

Vaatimustenmukaisuus ei ole yksittäinen tarkistuslista vaan jatkuva prosessi. Toimiva tekoälyn hallintamalli rakennetaan seitsemästä askeleesta, jotka kannattaa dokumentoida ja toistaa säännöllisesti:

  1. Kartoita tekoälyjärjestelmät. Listaa kaikki käyttämäsi ja tarjoamasi järjestelmät — myös rajapintojen kautta upotetut ja tuotteisiin sisäänrakennetut kolmannen osapuolen työkalut.
  2. Luokittele roolisi. Määritä jokaisen järjestelmän kohdalla, oletko tarjoaja, käyttöönottaja vai molempia.
  3. Auditoi kohtaamispisteet. Käy läpi jokainen kohta, jossa järjestelmä on vuorovaikutuksessa ihmisen kanssa, ja arvioi täyttyykö ”ilmeisyys”-poikkeus aidosti. Epävarmassa tapauksessa ilmoita.
  4. Arvioi sisältöputket. Tunnista kaikki pisteet, joissa AI-sisältöä luodaan tai julkaistaan. Merkintä voidaan toteuttaa arvoketjun eri vaiheissa, mutta vastuu säilyy tarjoajalla.
  5. Tarkista toimittajasopimukset. Varmista, että toimittajasi ovat sopimuksella sitoutuneet upottamaan merkinnät ja tarjoamaan tunnistustyökalut; jakelusopimusten on velvoitettava säilyttämään metatiedot ja merkinnät.
  6. Harkitse Code of Practice ‑allekirjoitusta. Erityisesti jos tuotat tai jaat AI-sisältöä laajassa mittakaavassa. Allekirjoittajien on toteutettava vesileiman tunnistuksen yhteentoimivuusratkaisu viimeistään 2.2.2027.
  7. Päivitä hallinto ja dokumentoi poikkeukset. Jos nojaat mihinkään poikkeukseen (ilmeisyys, toimituksellinen vastuu, taiteellinen käyttö), kirjaa peruste ylös. Tunteentunnistusta tai biometristä luokittelua käyttävien on tarkistettava tietosuojaselosteet ja vaikutustenarvioinnit.


Muista, että EU AI Act ei toimi tyhjiössä. Velvoitteet ovat voimassa rinnakkain GDPR:n (erityisesti tunteentunnistuksen kohdalla), digipalvelusäädöksen (DSA) ja sopimattomia kaupallisia menettelyjä koskevan direktiivin kanssa — AI-vuorovaikutuksen paljastamatta jättäminen voi olla myös harhaanjohtava menettely kuluttajasuojassa.

Aikataulut ja sanktiot

2.8.2026 — Artikla 50:n läpinäkyvyysvelvoitteet sovellettavia (pl. 50(2) ennen tätä markkinoille tuoduille järjestelmille).
2.12.2026 — 50(2):n merkintävelvoite koskee myös ennen 2.8.2026 markkinoilla olleita generatiivisia järjestelmiä.
2.2.2027 — vesileiman tunnistuksen yhteentoimivuus Code of Practice ‑allekirjoittajille.


Laiminlyönnistä voi seurata sakko enintään 15 000 000 € tai 3 % maailmanlaajuisesta liikevaihdosta, sen mukaan kumpi on suurempi.

Yhteenveto

EU AI Act ei rankaise tekoälyn käytöstä — se vaatii rehellisyyttä sen käytöstä. Se yritys, joka rakentaa läpinäkyvyyden osaksi hallintamalliaan nyt, muuttaa velvoitteen kilpailueduksi: luottamus asiakkaaseen kasvaa samalla kun juridinen riski laskee. Se, joka odottaa ensimmäistä valvontakirjettä, maksaa saman läksyn kalliimmalla.

Epävarma, koskeeko tämä sinun bottiasi tai kampanjaasi? Älä arvaa — varmista.

Uhma auditoi tekoälyjärjestelmäsi, tunnistaa vastuuroolisi ja rakentaa hallintamallin, joka pitää botit ja kampanjat linjassa. Ota askel eteenpäin tänään.

👉 Varaa maksuton läpinäkyvyys-check: uhma.ai

#LetsGrow

Lähteet

Oletko valmis nopeaan kasvuun?

Hae asiakkaaksi!
Ota yhteyttä