Tekoälyasetus: mitä muuttuu elokuun alussa.

Vaikka eurooppalainen tekoälyasetus (AI) tuli voimaan 1. elokuuta 2024, olemme saavuttamassa käännekohdan sen täytäntöönpanossa.

Hyödyllinen muistutus asetuksen säännösten soveltamisaikataulusta, jossa otetaan huomioon "Digital Omnibus" -asetuksen viimeaikaiset muutokset, löytyy Euroopan komission verkkosivustolta.

• Asetuksen yleiset säännökset (tekoälyn määritelmät ja kulttuuri) sekä tekoälyjärjestelmien kielto, jotka aiheuttavat kohtuuttomia riskejä, ovat olleet voimassa 2. helmikuuta 2025 alkaen.
• Suurin osa säännöksistä on tullut voimaan 2. elokuuta lähtien: avoimuussäännöt ja innovaatioita tukevat toimenpiteet ovat nyt sovellettavissa, ja täytäntöönpanon seurantaa voidaan suorittaa yleiskäyttöisten tekoälymallien, kieltojen, avoimuussääntöjen ja tekoälykulttuurin osalta. Euroopan komission tekoälytoimisto vastaa tästä yhteistyössä kansallisten viranomaisten kanssa.
• Joulukuun 2. päivästä alkaen säännellään tekoälyjärjestelmiä, jotka tuottavat suostumukseen perustumatonta seksuaalista "syväväärennystä" ja lapsipornografiaa, ja vuoden 2027 lopusta ja vuoden 2028 puolivälistä alkaen korkean riskin tekoälyjärjestelmiä, jotka sisällytetään vastaavasti liitteeseen III (arkaluonteiset alat, kuten työllisyys ja poliisitoiminta) ja liitteeseen I (tuotteet, kuten lääkinnälliset laitteet).

Tarkemmin sanottuna tästä kesästä lähtien artiklan 50 uudet avoimuussäännöt edellyttävät, että tietyt tekoälyjärjestelmät, kuten chatbotit, ilmoittavat käyttäjille, kun he ovat vuorovaikutuksessa tekoälyn kanssa ja milloin se on luonut tai muokannut sisältöä.

Lisäksi tekoälyn avulla muokatun tai luodun sisällön tarjoajat on tunnistettava sellaisiksi.

Tämän sisällön on myös oltava koneellisesti luettavissa merkinnöissä, jotta se voidaan havaita helpommin.

Tiettyjä poikkeuksia on säädetty rikosoikeudellisessa yhteydessä sekä teksteille, joiden sisältöä ihminen hallitsee, ja taiteellisia luomuksia varten on olemassa mukaelmia.

Komissio ehdotti myös kolmea kuvaketta kokonaan tai osittain tekoälyn avulla tuotetun sisällön tunnistamiseksi.

Auttaakseen yrityksiä noudattamaan näitä velvoitteita Euroopan komissio julkaisi 20. heinäkuuta ohjeet, joissa selvennetään, keitä nämä säännöt koskevat ja mitä sisältöä on julkistettava.

Yli 180 organisaatiota, mukaan lukien OpenAI ja Google, on jo allekirjoittanut "tekoälyn tuottaman sisällön läpinäkyvyyttä koskevan hyvän käytännesäännöstön", jonka tarkoituksena on auttaa yrityksiä osoittamaan noudattavansa asetusta.

Kuka Ranskassa on vastuussa asetuksen täytäntöönpanosta ja noudattamisen valvonnasta?

Valvonta on hajautettu useiden tahojen kesken DGE:n ja DGCCRF:n johdolla, jotka valvovat yleisiä tiedonsaantiin ja jäljitettävyyteen liittyviä velvoitteita.

• CNIL:llä on keskeinen rooli tekoälyjärjestelmissä, joihin liittyy henkilötietojen, mukaan lukien arkaluonteisten tietojen ja biometristen tietojen, käsittelyä. Viranomainen tarjoaa käytännön oppaita ja itsearviointityökalun, jotka auttavat yrityksiä varmistamaan lakisääteisten vaatimusten noudattamisen, ja antaa neuvontaa pk-yrityksille ja erittäin pienille yrityksille.
• ARCOM puuttuu digitaaliseen ja audiovisuaaliseen sisältöön, mukaan lukien "deepfake"-tiedostot.
• ANSSI puuttuu kyberturvallisuusnäkökohtiin.
• HAS on pätevä lääketieteen alalla käytettävien tekoälyjärjestelmien suhteen.

Tämä vastuiden kokonaisuus, joka väistämättä johtaa päällekkäisyyksiin, edellyttää sidosryhmien välisen yhteistyön tehostamista. DGCCRF toimii operatiivisen tason yhteyspisteenä.

Rikoksen sattuessa riskit voivat olla merkittäviä.

Seuraamukset vaihtelevat riskitason mukaan: jopa 35 miljoonaa euroa tai 7% maailmanlaajuista liikevaihtoa kielletystä tekoälystä, 15 miljoonaa euroa tai 3% korkean riskin vaatimustenvastaisesta tekoälystä ja 7,5 miljoonaa euroa tai 1% läpinäkyvyyden puutteesta.

Pk-yritysten ja erittäin pienten yritysten osalta seuraamukset on rajattu absoluuttiseen kynnysarvoon tai liikevaihdon prosenttiosuuteen sen mukaan, kumpi niistä on alempi.

Asetusta sovelletaan moduloidusti kaikkiin organisaation käyttämiin tekoälyjärjestelmiin, ei organisaatioon kokonaisuutena.

Siksi on suositeltavaa kartoittaa kaikki käytetyt järjestelmät (mukaan lukien kolmannen osapuolen tekoäly ja alihankinta) ja arvioida niiden riskitaso vaatimustenmukaisuuden mukauttamiseksi.

Ranskassa

Ranska on ensimmäinen eurooppalainen maa, joka on säätänyt lain, joka kieltää alle 15-vuotiaiden alaikäisten pääsyn sosiaalisiin verkostoihin.

Parlamentin 21. heinäkuuta hyväksymä kompromissiteksti velvoittaa palveluntarjoajat ottamaan käyttöön luotettavan iänvarmistusjärjestelmän, mutta ei määrää erityistä mekanismia.

Alle viisitoistavuotiaat eivät voi enää luoda uusia tilejä näille alustoille 1. syyskuuta 2026 alkaen.

Olemassa olevien tilien osalta kielto tulee voimaan neljän kuukauden kuluttua eli 1. tammikuuta 2027. ARCOM on vastuussa tämän kiellon noudattamisesta.

On huomattava, että teksti herättää kysymyksiä suhteellisuudesta, koska se edellyttää kaikilta sosiaalisen median käyttäjiltä ikänsä todistamista, ja mekanismin tehokkuutta kyseenalaistavat sen arvostelijat, jotka mainitsevat Australian tällä alalla saavuttamat vaihtelevia tuloksia.

Kaksi parlamentin jäsenten ryhmää on pyytänyt perustuslakineuvostoa tarkastelemaan tekstiä uudelleen. Lisäksi Euroopan komissio aikoo esittää asiasta ehdotuksen tänä syksynä, priorisoiden samalla ikärajan tarkistusmekanismeja, jotka säilyttävät anonymiteetin.

Bloctel-järjestelmästä poiketen, joka edellyttää aktiivista kieltäytymistä, puhelinkaupat ovat periaatteessa kiellettyjä 11. elokuuta alkaen ja 23. heinäkuuta annetun asetuksen nojalla kaikilla toimialoilla toimiville yrityksille poikkeustilanteita lukuun ottamatta:

• Kun puhelu liittyy yrityksen kanssa tehtyyn sopimukseen esimerkiksi täydentävien tuotteiden tai palveluiden tarjoamiseksi tai tarjouksen tekemiseksi, jolla pyritään parantamaan tarjottua palvelua tai sen suorituskykyä.
• Kun kyseinen yritys on saanut etukäteen suostumuksen markkinointitarkoituksiin yhteydenottoihin, suostumuksen on täytynyt olla ilmaistu "vapaaehtoisesti" ja "tietoisesti" sekä "selkeästi myöntävällä toimella".

Säännösten noudattamatta jättäminen altistaa yritykset jopa 375 000 euron sakoille oikeushenkilöille sekä sääntöjenvastaisen tarjouskilpailun johdosta tehtyjen sopimusten mitätöinnille.

Viime huhtikuussa CNIL otti tiukan kannan sähköpostien seurantapikseleihin ja antoi yrityksille kolme kuukautta aikaa noudattaa sähköistä viestintää suojaavia lakisääteisiä määräyksiä.

Sittemmin kaikkien postilaatikoihin on saapunut lukuisia viestejä, joissa on pyydetty suostumusta postin avausajankohdan seuraamiseen. CNIL (Ranskan tietosuojaviranomainen) julkaisi 22. heinäkuuta sarjan kysymyksiä ja vastauksia selventääkseen suosituksensa täytäntöönpanon edellytyksiä.

CNIL ja CIANum (tekoäly- ja digitaalineuvosto) ovat tehneet yhteisen pohdinnan ja julkaisseet selvityksen agenttisen tekoälyn esiin nostamista kysymyksistä henkilötietojen suojaan liittyen.

Tämä työ heijastelee CNIL:n tästä aiheesta käymiä keskusteluja kansainvälisten kumppaniensa kanssa, erityisesti tietosuojaviranomaisten G7-ryhmän puitteissa.

Asiakirjassa todetaan tekoälyn käytön laajuuden muutos, joka on yleistymässä, ja herätetään kysymyksiä vastuusta ja henkilötietojen hallinnan menettämisestä. Vaikka nykyinen lainsäädäntökehys soveltuu näihin järjestelmiin, CNIL korostaa haastetta sen täytäntöönpanomenetelmien mukauttamisessa.

Doctolib ilmoitti heinäkuun alussa sähköpostitse 60 miljoonalle käyttäjälleen, että elokuusta lähtien se käyttäisi osaa heidän terveysdatastaan tekoälytyökalujensa kouluttamiseen ja parantamiseen osana tutkimusprojekteja yhteistyössä Inrian, Insermin ja Université Paris Citén kanssa, elleivät he vastusta sitä.

Yhtiö toteaa, että kyseiset tiedot on pseudonymisoitu ja että niiden käyttöön sovelletaan CNIL:n sääntöjä.

Tämä tutkimushanke on herättänyt useita reaktioita, mukaan lukien Ihmisoikeusliiton reaktion, joka kritisoi 16. heinäkuuta päivätyssä lehdistötiedotteessa käyttäjien oletusarvoista ilmoittautumista tutkimushankkeeseen ja sitä, että sen toteuttaa yksityinen yritys (jonka tietoja tallentaa Yhdysvaltain lain alainen yritys) eikä julkinen elin.

Euroopassa

Euroopan unionin toimielimet ja elimet

Euroopan parlamentti äänesti 9. heinäkuuta "Chat Control 1.0" -järjestelmän jatkamisesta, jonka avulla digitaaliset yritykset voivat analysoida yksityisviestejä vapaaehtoisesti ilman erillistä määräystä.

Tämä "väliaikainen poikkeus" yksityisyyttä ja sähköistä viestintää koskevista säännöistä, joiden tarkoituksena on havaita lasten seksuaalinen hyväksikäyttö verkossa, olisi voimassa 3. huhtikuuta 2028 asti.

Tämä parlamentin maaliskuussa hylkäämä teksti oli palautettu esityslistalle toisessa käsittelyssä, jossa ehdotuksen hylkääminen edellyttää kaikkien jäsenten ehdotonta enemmistöä.

Samaan aikaan lainsäätäjät neuvottelevat päivitetystä "Chat Control 2.0" -kehyksestä, joka voisi sallia pääsyn salatun viestinnän sisältöön. Yli 800 kyberturvallisuustutkijaa pitää hanketta uhkana viestinnän salaukselle ja luottamuksellisuudelle.

Euroopan komissio esitteli 7. heinäkuuta kyberturvallisuutta ja tekoälyä koskevan toimintasuunnitelman, jonka tavoitteena on "edistää tekoälyn turvallista ja vastuullista käyttöä ja samalla vahvistaa Euroopan kyberturvallisuutta".

Toimintasuunnitelma täydentää tekoälyä ja kyberturvallisuutta koskevaa EU:n nykyistä lainsäädäntökehystä, mukaan lukien tekoälyasetus, kyberturvallisuusasetus, NIS2-direktiivi, digitaalisen operatiivisen sietokyvyn (DORA) asetus ja kybersolidaarisuusasetus.

Euroopan komissio antoi 23. heinäkuuta kaksi päätöstä, joissa se totesi Googlen rikkoneen digitaalisten markkinoiden asetusta (DMA) suosimalla omia palveluitaan Google Haussa ja asettamalla yrityksille rajoituksia estääkseen niitä ohjaamasta Google Playn käyttäjiä muihin, usein halvempiin, ostokanaviin. Se määräsi Googlelle 460 miljoonan ja 430 miljoonan euron sakot.

Euroopan tietosuojaneuvosto (EDPB) julkaisi 8. heinäkuuta uudet ohjeet, joiden tarkoituksena on selventää GDPR:n soveltamista kahteen tärkeään kysymykseen:

• Datan anonymisointi
• Verkkotietojen kaavinta generatiivisen tekoälyn kontekstissa.

Anonymisoinnin osalta komitea täsmentää, että tietoja voidaan pitää aidosti anonyyminä vain, jos kohtuudella mahdollista uudelleentunnistusta ei ole, erityisesti kolmen kriteerin perusteella: eristämisen, yhdistämisen ja päättelyn puuttuminen.

Ohjeissa otetaan erityisesti huomioon Euroopan unionin tuomioistuimen 4. syyskuuta 2025 antama tuomio asiassa C-413/23 P, EDPB v. SRB.

Verkkotietojen kaappauksen osalta Euroopan tietosuojaneuvosto huomauttaa, että tekoälymallien kouluttamiseksi tapahtuvaan henkilötietojen automaattiseen keräämiseen sovelletaan edelleen yleistä tietosuoja-asetusta, erityisesti oikeusperustaa, läpinäkyvyyttä ja käyttötarkoituksen rajoittamista koskevien vaatimusten osalta.

Nämä kaksi ohjeluonnosta ovat avoinna julkiselle kuulemiselle 30. lokakuuta 2026 asti. Lisäksi lohkoketjua koskevat ohjeet on hyväksytty lopullisessa versiossaan.

Euroopan tietosuojaneuvosto lähetti 31. heinäkuuta 2026 myös kirjeen Euroopan komissiolle, jossa se pyysi sitä tutkimaan, vaikuttaako Yhdysvaltain korkeimman oikeuden päätös Trump v. Slaughter -tapauksessa todennäköisesti EU:n ja Yhdysvaltojen välisen tietosuojakehyksen pätevyyteen.

Euroopan unionin tuomioistuin totesi 16. heinäkuuta, että ammatilliset sähköpostit ovat Euroopan unionin perusoikeuskirjan 7 ja 8 artiklan suojaamaa viestintää, mutta kilpailuviranomainen voi takavarikoida ne tutkinnan yhteydessä ilman ennakkolupaa, edellyttäen, että käytössä on tiukka oikeudellinen kehys ja riittävät suojatoimet väärinkäyttöä ja mielivaltaa vastaan (yhdistetyt asiat C-258/23–C-260/23).

Heinäkuun 14. päivänä antamassaan tuomiossa (C 474/24 – NADA Austria ja muut) se katsoi, että antidopingsääntöjä rikkoneiden ammattiurheilijoiden nimien julkaiseminen voi olla laillista.

Julkaisemisesta vastaavan yksikön on kuitenkin kyettävä tasapainottamaan kilpailevia etuja suhteellisuusperiaatteen noudattamiseksi. Se myönsi myös, että valitus voidaan tehdä ennaltaehkäisevänä toimenpiteenä.

Euroopan unionin tuomioistuin totesi lopulta 9. heinäkuuta antamassaan tuomiossa (C-199/24 ND v Legal Newsdesk Sweden AB), että rikostuomioita koskevien tietojen julkaiseminen julkisesti saatavilla olevissa tietokannoissa ei ole journalistista toimintaa, eikä siihen voida soveltaa yleisen tietosuoja-asetuksen mukaista poikkeusta 85(2) artiklan kansallisen lainsäädännön täytäntöönpanoa koskevien lakien nojalla.

Uutisia Euroopan unionin jäsenmaista.

Itävallassa korkein hallinto-oikeus vahvisti seitsemän vuotta kestäneen oikeudenkäynnin jälkeen Itävallan postille määrätyn 13 miljoonan euron sakon.

Yritys oli kerännyt tietoja yli kahden miljoonan ihmisen poliittisista näkemyksistä ja myynyt nämä tiedot kolmansille osapuolille suoramarkkinointitarkoituksiin.

Vaikka yritys esitti perustelunsa vilpittömässä mielessä ja viittasi sen käytäntöjä validoineiden konsulttien lausuntoihin, korkein oikeus hylkäsi nämä väitteet todeten, että "oikeushenkilön seuraamusten määrääminen ei edellytä hallintoelinten toimia tai tietoa". Oikeus totesi lisäksi, että "puolustamattomia" oikeudellisia lausuntoja ei pitäisi pitää lieventävänä olosuhteena eikä edes syyttömyyttä puolustavana tekijänä.

Euroopan tietosuojavaltuutettu (EDPB) antoi 14. heinäkuuta päätöksen, jossa se määräsi Belgian tietosuojaviranomaisen (APD) käsittelemään kansalaisjärjestö Noybin tekemän valituksen, jonka APD oli katsonut tutkimattomaksi. Sitovassa päätöksessä komitea tutki, pitäisikö valitus hylätä oikeuksien väärinkäytön perusteella, ja vahvisti, että voittoa tavoittelemattoman yhteisön, organisaation tai yhdistyksen valtuuttaminen tekemään valitus valituksen tekijän puolesta oli GDPR:n mukaista.

Espanjan tietosuojaviranomainen (APD) on määrännyt genomi- ja bioteknologiayritykselle 2,4 miljoonan euron sakon geneettisten ja terveystietojen riittämättömästä suojaamisesta ja henkilötietojen tietoturvaloukkauksen ilmoittamisesta tietosuojaviranomaiselle 72 tunnin määräajan jälkeen.

APD määräsi Vodafonelle myös 1 050 000 euron sakon riittämättömistä tietosuojatoimenpiteistä.

Italian tietosuojaviranomainen (APD) on määrännyt energiayhtiölle 5,8 miljoonan euron sakot luottoluokitusten ja niiden laskentatavan selittämättä jättämisestä, velkatietojen laittomasta jakamisesta konsernin sisällä, luottotietojen säilyttämisestä kymmenen vuoden ajan ilman riittäviä perusteita ja niiden käyttämisestä uudelleen yhteensopimattomiin tarkoituksiin.

Italian tietosuojaviranomainen on määrännyt kahden miljoonan euron sakon yhdysvaltalaiselle tietojenvälityspalveluyritykselle Lusha Systems Inc:lle, joka tarjoaa alustansa kautta maksua vastaan "rikastettuja" tietoja yksilöistä, kuten heidän ammatillisesta tilanteestaan, sähköpostiosoitteistaan ja puhelinnumeroistaan.

Lusha kerää näitä tietoja useista lähteistä (tiedonkeruu sosiaalisista verkostoista, ostokset muilta tiedonvälittäjiltä jne.) ja asettaa ne asiakkaidensa saataville kaupallisiin tarkoituksiin tai petosten torjumiseksi.

Yritys suorittaa myös päivityksiä, joihin liittyy kyseisten henkilöiden käyttäytymisen seurantaa verkossa, mikä kuuluu GDPR:n piiriin. Italian tietosuojaviranomainen (APD) on kieltänyt Italiassa sijaitsevien henkilöiden tietojen käsittelyn ja määrännyt ne poistettavaksi.

APD määräsi myös teleoperaattori TIMille seuraamuksia useista yksityisyyttä ja telemarkkinointia koskevien määräysten rikkomuksista.

Useat sen puhelinkeskuksista soittivat alihankkijoina yrityksen puolesta mainospuheluita käyttäen numeroita, jotka eivät kuuluneet viralliseen myyntiverkostoon, kerätäkseen laittomasti käyttäjätietoja.

Viranomainen huomauttaa, että käytännesääntöjen noudattaminen ei vapauta rekisterinpitäjää velvollisuudesta valvoa alihankkijoidensa toimintaa ja varmistaa tietosuojatoimenpiteiden tehokasta soveltamista koko telemarkkinointiketjussa.

Kansainvälisesti

Kanadassa 15. kesäkuuta annettu lakiesitys ehdottaa tietosuojaviranomaisen (DPA) valtuuksien poistamista yksityisen sektorin valvonnasta ja yhden elimen perustamista, joka vastaa verkkohaitoista, sosiaalisista verkostoista, tekoälypohjaisista chatboteista ja yksityisyyden suojasta yksityisellä sektorilla.

Yhdysvalloissa ulkomaisen tiedustelun valvontaa koskevan lain (FISA) pykälän 702 voimassaolo päättyi kesäkuussa.

Vuodesta 2008 lähtien tämä säännös on sallinut Yhdysvaltain tiedustelupalveluiden kerätä Yhdysvaltojen ulkopuolella olevilta ulkomaalaisilta viestejä ilman etsintälupaa.

Yhä useammat parlamentin jäsenet olivat useiden vuosien ajan asettaneet 702 artiklan uusimisen ehdoksi pakollisen mandaatin. Lopulta he saivat tarvittavat äänet kantansa esiin saamiseksi.

Kansanedustaja Jamie Raskinin mukaan ulkomaisen tiedustelupalvelun tuomioistuimen (FISC) maaliskuussa uusimat valtuutukset pykälän 702 mukaiselle ohjelmalle ovat kuitenkin edelleen voimassa ja "soveltuvat edelleen muuttumattomina ainakin 17. maaliskuuta 2027 asti".

Jotkut operaattorit ovat yksityisesti varoittaneet lopettavansa yhteistyön heti lain vanhentuessa, peläten oikeudellista vastuuta, jos hallituksen vaatimuksia tukevaa lakia ei ole olemassa.

Tiedustelupalvelut ja televiestintäyritykset kohtaavat näin ollen epävarmuutta siitä, mitkä tiedonkeruutoiminnot voivat laillisesti jatkua.

Myös Yhdysvalloissa Yhdysvaltain tuomioistuin on lopullisesti hyväksynyt 23andMe-yhtiön kanssa vuonna 2023 tapahtuneen kyberhyökkäyksen jälkeen tehdyn sovintosopimuksen, joka vaikutti noin 6,4 miljoonaan asiakkaaseen.

Korvauksia ei kuitenkaan ole vielä maksettu amerikkalaisille uhreille, joiden geneettiset tiedot vaarantuivat, yhtiön konkurssimenettelyn vuoksi.

Korvausrahaston suuruus on 46,75 miljoonaa dollaria, mutta useimmat edunsaajat saavat vain rajoitetun korvauksen, ja suurimmat summat on varattu uhreille, jotka voivat osoittaa kärsineensä merkittävää vahinkoa.

"Rooman julistus rauhasta ilman aseita ja aseidenriisuntaan perustuvasta rauhasta tekoälyn, ydinaseiden ja autonomisten aseiden, uusien digitaalisten protokollien ja digitaalisen kehityksen kehittyvien mallien aikakaudella" allekirjoitettiin torstaina 16. heinäkuuta Rooman Capitoliumilla. Se merkitsi Nobel-palkittujen tekoälyn ja ydinsodankäynnin maailmankokouksen huipentumaa.