Teknologiayrityksille 72 tunnin uhkavaatimus – EU:n uudet tekoälysäännökset astuivat voimaan elokuussa
Elokuussa voimaan astuvat EU-säännökset pakottavat ChatGPT:n ja Clauden kaltaisia tekoälymalleja käyttävät yritykset raportoimaan vakavat häiriöt 72 tunnin kuluessa.
Teksti Martti Asikainen, 6.8.2025 Kuva: Adobe Stock Photos
Tekoälyalan kultakuukaudet ovat päättymässä Euroopassa. Elokuun alussa astuu voimaan EU:n tekoälyasetuksen tiukin vaihe, joka pakottaa yritykset raportoimaan kaikki vakavat häiriöt viranomaisille 72 tunnin sisällä.
Uudet säännöt koskevat kaikkia ChatGPT:n, Googlen Bardin ja OpenAI:n Clauden kaltaisia suuria kielimalleja käyttäviä yrityksiä. Myös sairaaloiden, kuljetusyhtiöiden ja energiayhtiöiden on raportoitava tekoälyongelmat, jos ne vaikuttavat kriittiseen infrastruktuuriin.
Muutos on merkittävä, sillä aikaisemmin yritykset saattoivat hoitaa tekniset ongelmat sisäisesti ennen kuin päättivät niiden eskaloinnista. Enää ongelmia ei voi käsitellä hiljaa taustalla ja toivoa, että ne menevät ohi.
72 tuntia on lyhyt aika
Aikaisemmin tekoälyyritykset saattoivat selvittää teknisiä ongelmia sisäisesti viikkojen ajan. Elokuusta 2025 lähtien kello käy nopeampaa kuin aikaisemmin. Yritysten on tehtävä häiriön havaitsemisesta virallinen ilmoitus EU:n tekoälytoimistolle ja kansallisille viranomaisille 72 tunnin kuluessa.
Säännös koskee kaikkia EU-alueella toimivia yrityksiä riippumatta siitä, missä maassa ne ovat rekisteröity. Käytännössä tämä tarkoittaa, että myös amerikkalaiset ja kiinalaiset tekoälyjätit joutuvat noudattamaan EU:n sääntöjä, mikäli ne mielivät operoida EU:n talousalueella.
Vaikka sakkojen tarkkaa määrää ei ole vielä kerrottu, niin rangaistusten voidaan olettaa tulevan olemaan merkittäviä. EU:n aiemmat säännökset, kuten esimerkiksi tietosuoja-asetus GDPR, ovat tuoneet yrityksille pahimmillaan jopa miljoonien eurojen sakkoja.
Myös sairaalat ja lennätinyhtiöt tähtäimessä
Huomin arvoista elokuussa 2025 voimaan astuneissa säännöksissä on se, että ne eivät koske pelkästään OpenAI:n ja Googlen kaltaisia tekoälyä kehittäviä yrityksiä. Myös tekoälyä käyttävät tahot joutuvat raportointivelvollisuuden piiriin, jos häiriö vaikuttaa kriittiseen infrastruktuuriin.
Käytännössä tämä tarkoittaa sitä, että jos sairaalan tekoälydiagnostiikka antaa virheellisen tuloksen, lentoyhtiön tekoäly aiheuttaa lentoliikenteen häiriön tai energiayhtiön tekoäly johtaa sähkökatkoon, niin asiasta on ilmoitettava viranomaisille välittömästi ja viimeistään 72 tunnin kuluessa.
Toimialan asiantuntijat arvioivat, että moni yritys ei vielä ymmärrä, kuinka laajalle säännös ulottuu. Erityisesti pk-yrityksille saattaa tulla yllätyksenä, että sääntely voi koskea myös monia epäsuoria käyttötapauksia, kuten esimerkiksi asiakasvuorovaikutukseen tai työntekijäseurantaan liittyviä järjestelmiä.
Valmisteluaika loppuu
Tekoälyasetuksen ensimmäiset kiellot tulivat voimaan jo helmikuussa.
Silloin kiellettiin muun muassa julkisviranomaisten tekemä kansalaisten sosiaalinen pisteytys ja reaaliaikainen kasvontunnistus julkisilla paikoilla.
Elokuun tiukemmat säännökset ovat kuitenkin vasta alkua. Tekoälyasetuksen koko voima puskee päälle vuonna 2026, jolloin säännöt kattavat lähes kaikki tekoälyn käyttötavat.
Käytännössä yrityksillä on enää muutama kuukausi aikaa valmistautua.
Pahimassa tapauksessa niiden on rakennettava kokonaan uudenlaiset järjestelmät häiriöiden havaitsemiseksi, dokumentoimiseksi ja raportoimiseksi. Lisäksi tarvitaan tiimejä, jotka osaavat toimia juridisten, teknisten ja viestinnällisten paineiden ristitulessa.
Alan asiantuntijat vertaavat tilannetta tietosuoja-asetukseen (GDPR), mutta toteavat sen olevan vielä monimutkaisempaa teknisten yksityiskohtien vuoksi.
Tekoälybuumi on jatkunut lähes sääntelemättömänä vuosia. Nyt EU haluaa näyttää, että se aikoo ottaa alan tiukasti otteeseen. Yrityksille, joita uhka ei vielä huoleta, elokuu saattaa tulla ikävänä yllätyksenä.
Lue lisää
- AI Act | Shaping Europe’s digital future – https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Article 73: Reporting of Serious Incidents | EU Artificial Intelligence Act – https://artificialintelligenceact.eu/article/73/
- High-level summary of the AI Act | EU Artificial Intelligence Act – https://artificialintelligenceact.eu/high-level-summary/
- The EU AI Act and what it means for managing incidents | Blog | incident.io – https://incident.io/blog/the-eu-ai-act-and-what-it-means-for-managing-incidents
- AI incident notification in the EU AI Act: How does it work and is it Effective? – MIAI – https://ai-regulation.com/ai-act-incident-notification/
- EU AI Act, US NIST Target Cyberattacks on AI Systems—Guidance and Reporting Obligations – https://www.morganlewis.com/pubs/2024/07/eu-ai-act-us-nist-target-cyberattacks-on-ai-systems-guidance-and-reporting-obligations
- August 2, 2025 – A Critical Date in the EU AI Act Enforcement Timeline – Securiti – https://securiti.ai/infographics/august-2-2025-critical-date-in-eu-ai-act/
- Top 10 operational impacts of the EU AI Act – Post-market monitoring, information sharing and enforcement – https://iapp.org/resources/article/top-impacts-eu-ai-act-post-market-monitoring-sharing-enforcement/
- EU AI Act: what changes in August 2025 and how to prepare | ilert – https://www.ilert.com/blog/eu-ai-act-2025-incident-response
Finnish AI Region
2022-2025.
Media contacts