Tekoälysäädös 2026 — Yrittäjän opas velvoitteisiin, sakkoihin ja käytännön toimiin

📅 Päivitetty 21.8.2026

Elokuun alussa 2026 EU:n tekoälysäädös (AI Act) siirtyi puheista toimeenpanoon. Helposti sivuutettu aihe on itse asiassa ensimmäinen laki, joka pakottaa myös tavalliset yritykset miettimään, miten ne käyttävät tekoälyä — ja mikä tärkeintä, kertomaan siitä asiakkailleen. Moni suomalainen yrittäjä luulee, että säädös koskee vain isoja teknologiayrityksiä. Todellisuudessa avoimuusvelvoitteet osuvat myös siihen, joka käyttää chatbottia verkkokaupassaan, teettää markkinointikuvat tekoälyllä tai kirjoituttaa blogitekstejä ChatGPT:llä.

Tässä oppaassa käyn läpi, mitkä velvoitteet ovat jo voimassa, mitkä tulevat seuraavaksi, mitkä sakot oikeasti uhkaavat ja — tärkeimpänä — mitä sinun kannattaa tehdä tänään. Tieto perustuu Euroopan komission, Traficomin ja lakitoimistojen julkisiin linjauksiin, ja se on tarkistettu 17.8.2026.

Tiivistelmä — mitä yrittäjän pitää tietää

Kysymys	Vastaus
Mikä on voimassa nyt?	Avoimuusvelvoitteet (artikla 50) 2.8.2026 alkaen, tekoälyosaamisvaatimus (artikla 4) jo 2.8.2025 alkaen
Ketä se koskee?	Kaikkia EU:n markkinoilla toimivia yrityksiä — myös pieniä
Mitä pitää tehdä?	Kerro asiakkaille, kun he keskustelevat tekoälyn kanssa, ja merkitse tekoälyn tuottama sisältö
Mikä on siirtymäaika?	2.12.2026 asti jo markkinoilla olleille generatiivisen tekoälyn järjestelmille (vain koneluettava merkintä)
Mitä sakkoja?	Avoimuusrikkeistä enintään 15 M€ tai 3 % liikevaihdosta, kielletyistä käytännöistä 35 M€ tai 7 %
Kuka valvoo Suomessa?	Traficom koordinoi, valvonta jaettu 15 viranomaiselle

Mikä tekoälysäädös on ja miksi se koskee sinua

Tekoälysäädös (asetus (EU) 2024/1689) on maailman ensimmäinen kattava tekoälyn sääntelykehys. Se astui voimaan elokuussa 2024, mutta varsinainen toimeenpano on rullannut käyntiin vaiheittain. Säädös ei ole direktiivi vaan asetus: se pätee suoraan sellaisenaan Suomessa ilman kansallista toimeenpanolakia.

Säädöksen ydinajatus on riskiperusteisuus. Sääntöjen määrä riippuu siitä, kuinka vaarallista tekoälyn käyttö on. Suurin osa arjen tekoälystä — roskapostisuodattimet, suositukset, kuvageneraattorit — on vähäriskistä, eikä se edellytä erityisiä lupia. Mutta tietyt käyttötavat on kielletty kokonaan, ja osa vaatii läpinäkyvyyttä.

Yrittäjälle tärkein viesti on tämä: jos yrityksesi käyttää tekoälyä asiakasrajapinnassa tai tuottaa sillä sisältöä, sinulla on jo nyt velvollisuuksia. Kysymys ei ole siitä, koskeeko laki sinua, vaan siitä, mikä riskiluokka ja mitkä velvoitteet juuri sinun käyttötapaukseesi kuuluvat.

Aikataulu — mikä on jo voimassa ja mikä tulee seuraavaksi

Päivämäärä	Mitä tapahtui / tapahtuu
1.8.2024	Asetus tuli voimaan koko EU:ssa
2.2.2025	Kiellettyjen käytäntöjen kielto (artikla 5) alkoi
2.8.2025	Yleiskäyttöisten tekoälymallien (GPAI) velvoitteet + tekoälyosaamisvaatimus (artikla 4) alkoivat
1.1.2026	Suomalaisten valvontaviranomaisten toimivaltuudet tulivat voimaan
2.8.2026	Avoimuusvelvoitteet (artikla 50) + täysi sakkoasteikko + EU:n tekoälytoimiston valvontavalta
2.12.2026	Koneluettavan merkinnän siirtymäaika päättyy jo markkinoilla olleille generatiivisen tekoälyn järjestelmille
2.12.2027	Suuririskisten järjestelmien (liite III) velvoitteet — lykätty Digital Omnibus -asetuksella
2.8.2028	Säänneltyihin tuotteisiin integroitujen suuririskisten järjestelmien (liite I) velvoitteet

Huomionarvoista on, että EU hyväksyi kesällä 2026 Digital Omnibus -asetuksen (EU) 2026/1744, joka siirsi suuririskisten järjestelmien velvoitteita eteenpäin. Avoimuusvelvoitteita se ei lykännyt — ne alkoivat ajallaan 2.8.2026. Ainoa siirtymäaika koskee jo markkinoilla olleiden järjestelmien koneluettavaa merkintää, joka pitää olla kunnossa 2.12.2026 mennessä.

Riskiluokat — mihin luokkaan yrityksesi tekoäly kuuluu

Riskiluokka	Esimerkkejä	Velvoitteet
Kielletty	Manipuloiva tekoäly, sosiaalinen pisteytys, työpaikan tunnetilojen tunnistus, biometrinen tunnistus julkisissa tiloissa	Käyttö kielletty kokonaan
Suuririskinen	Rekrytointia tai luottopäätöksiä tekevä tekoäly, kriittinen infrastruktuuri, koulutuksen pääsyarvioinnit	Tiukat velvoitteet 12/2027 alkaen: riskienhallinta, tekninen dokumentaatio, lokit, ihmisvalvonta
Avoimuusvelvollinen	Chattibotit, tekoälyn tuottama sisältö, syväväärennökset, tunnetilojen tunnistus	Ilmoita tekoälyvuorovaikutuksesta ja merkitse synteettinen sisältö
Vähäinen / ei riskiä	Roskapostisuodattimet, suositukset, pelien tekoäly	Ei erityisiä velvoitteita

Käytännössä valtaosa suomalaisista pk-yrityksistä on viimeisessä luokassa — mutta avoimuusvelvoitteet osuvat silti, jos tekoäly on asiakasrajapinnassa. Riskiä ei kannata arvioida mutulla: Traficom on julkaissut suomenkieliset ohjeet luokittelusta, ja EU:n tekoälysäädöksen palvelupiste (AI Act Service Desk) vastaa ilmaiseksi yksittäisiin kysymyksiin.

Avoimuusvelvoitteet 2.8.2026 — tämä koskee käytännössä jokaista

Artikla 50 asettaa velvoitteita neljässä tilanteessa. Käyn ne läpi yrittäjän näkökulmasta, koska juuri nämä osuvat lähimmäksi arkea.

1. Chattibotit ja tekoälyavustajat

Jos yrityksesi käyttää chattibottia (esimerkiksi verkkokaupan asiakaspalvelubottia tai somevastausautomaattia), käyttäjälle on kerrottava, että hän keskustelee koneen kanssa. Poikkeus: jos tekoälyvuorovaikutus on muuten ilmeistä, erillistä ilmoitusta ei tarvita.

Käytännössä: ”Olen tekoälyassistentti ja autan sinua parhaani mukaan. Voit myös pyytää yhteyttä ihmiseen.” — tällainen lause riittää hyvin pitkälle. Se on myös hyvä asiakaskokemus: kukaan ei pidä siitä, että luulee juttelevansa ihmiselle ja paljastuu myöhemmin botti.

2. Tekoälyn tuottama sisältö

Tekoälyn tuottama tai muokkaama kuva, ääni, video tai teksti on voitava tunnistaa. Käytännössä tämä tarkoittaa:

• Koneluettava merkintä — esimerkiksi C2PA-tyyppinen metatieto, joka kertoo sisällön alkuperän (tähän on siirtymäaika 2.12.2026 asti jo markkinoilla olleille järjestelmille)
• Havaittava merkintä — selkeä, näkyvä merkintä, kuten vesileima tai ”AI” -tunniste

Tämä koskee esimerkiksi sitä, että teetät tuotekuvat tekoälyllä tai tuotat markkinointivideoita. Merkintä ei tee sisällöstä kiellettyä — se tekee siitä läpinäkyvää.

3. Syväväärennökset

Synteettiset tai manipuloidut kuvat, äänet ja videot, jotka esittävät oikeita ihmisiä tapahtumissa, joita ei tapahtunut, on merkittävä selkeästi ja näkyvästi. Tämä on avoimuusvelvoitteiden tiukin kohta. Jos yrityksesi esimerkiksi teettää ”vaikuttajavideon” oikealla henkilöllä ilman tämän suostumusta, ongelma ei ole vain merkinnässä vaan myös henkilötietosääntelyssä.

4. Tunnetilojen tunnistus ja biometrinen luokittelu

Tunnetilojen tunnistusta käyttävän järjestelmän käyttöönoton yhteydessä henkilöille on kerrottava asiasta. Tämä koskee harvoja pk-yrityksiä, mutta esimerkiksi asiakaskokemuksen analysointityökalut voivat lipsahtaa tähän luokkaan yllättäen.

Kielletyt käytännöt — nämä ovat olleet kiellettyjä jo helmikuusta 2025

Säädös kieltää yhdeksän käytäntöä, joista kahdeksan on ollut kiellettyjä 2.2.2025 alkaen. Yrittäjän kannalta relevantteja kieltoja:

• Manipuloivat tekniikat, jotka merkittävästi vääristävät käyttäytymistä ja aiheuttavat vahinkoa
• Haavoittuvien ryhmien hyväksikäyttö (esimerkiksi lasten tai vammaisten manipulointi)
• Sosiaalinen pisteytys (social scoring)
• Työpaikan tai koulun tunnetilojen tunnistus (poikkeuksin)
• Kasvojen ”internetistä kaapiminen” kasvojentunnistustietokantoihin
• Biometrinen tunnistus julkisissa tiloissa lainvalvontatarkoituksiin (tiukoin poikkeuksin)

Yhdeksäs kielto tulee voimaan joulukuussa 2026 osana tekoälyn koontiasetusta. Käytännössä kielletyt käytännöt eivät ole pk-yrittäjälle suuri riski — ne ovat luonteeltaan sellaisia, ettei kukaan järkevä toimija niitä käytä. Mutta esimerkiksi ”myynnin manipulointiin” viritetty tekoälykopia voi olla lähempänä rajaa kuin luuletkaan.

Sakot ja valvonta Suomessa — mitä oikeasti uhkaa

Valvonta alkoi EU-tasolla 2.8.2026. Euroopan komission tekoälytoimisto (AI Office) valvoo yleiskäyttöisiä malleja, ja kansalliset viranomaiset valvovat järjestelmiä. Suomessa Traficom toimii kansallisena yhteyspisteenä ja koordinoijana, ja valvonta on jaettu 15 viranomaiselle — mukana ovat muun muassa tietosuojavaltuutettu (henkilötiedot), kuluttaja-asiamies (kuluttajiin kohdistuvat tiedonantovelvoitteet), Fimea, Finanssivalvonta, Tulli ja työsuojeluviranomaiset.

Sakkoasteikko:

Rikkomus	Enimmäissakko
Kielletyt käytännöt (artikla 5)	35 M€ tai 7 % maailmanlaajuisesta liikevaihdosta
Avoimuus- ja muut yleiset velvoitteet (artikla 50 ym.)	15 M€ tai 3 % liikevaihdosta
Virheelliset tiedot viranomaisille	7,5 M€

Pienille ja keskisuurille yrityksille sovelletaan kummankin vaihtoehdon alemman summan mukaan. Kannattaa kuitenkin muistaa, että sakkoasteikko on katto, ei automaatti: valvontaviranomaiset aloittavat tyypillisesti ohjauksella ja kehotuksella, eivät sakkolappu kourassa. Traficom on linjannut, että tavoite on tukea yrityksiä vaatimustenmukaisuudessa, ei rangaista ensi töikseen.

Käytännön tarkistuslista yrittäjälle

Näillä kuudella toimella pääset hyvin pitkälle. Tee ne vaikka tällä viikolla:

1. Kartoita tekoälyn käyttö. Listaa, missä yrityksesi käyttää tekoälyä: chatbotit, kuvageneraattorit, tekstityökalut, asiakasdata-analytiikka. Kirjaa ylös järjestelmä, käyttötarkoitus ja onko se asiakasrajapinnassa.
2. Merkitse sisällöt. Lisää tekoälyllä tuotettuihin kuviin, videoihin ja teksteihin selkeä ”AI” -merkintä tai vesileima. Koneluettava merkintä (esim. C2PA-metatieto) hoida 2.12.2026 mennessä, jos käytät jo markkinoilla ollutta generatiivista työkalua.
3. Päivitä chatbotisi. Varmista, että botti kertoo olevansa tekoäly ja että käyttäjä voi pyytää ihmiskontaktia. Tallenna myös keskustelulokit — GDPR-velvoitteet pätevät rinnalla.
4. Varmista tekoälyosaaminen. Artikla 4 on velvoittanut kaikkia organisaatioita varmistamaan henkilöstön tekoälyosaamisen jo 2.8.2025 lähtien. Käytännössä: kouluta porukkaa, dokumentoi osaamisen varmistus (esim. lyhyt ohjeistus tekoälyn käytöstä).
5. Tarkista sopimukset. Jos ostat tekoälypalveluita, varmista, että toimittaja hoitaa omat velvoitteensa (dokumentaatio, merkinnät). EU:n malli on, että tarjoaja vastaa teknisistä vaatimuksista ja käyttöönottaja käytöstä.
6. Kirjaa ylös. Tee yksinkertainen vaatimustenmukaisuustiedosto: mitä käytät, miten olet merkinnyt, miten osaaminen on varmistettu. Tämä on ensimmäinen asia, jonka valvontaviranomainen pyytää — ja jo olemassa oleva dokumentti osoittaa hyvää tahtoa.

Tekoälyosaaminen (artikla 4) — velvoite, jonka monet unohtavat

Helposti huomaamatta jäänyt kohta on artikla 4, joka on ollut voimassa jo 2.8.2025 lähtien. Se velvoittaa kaikkia tekoälyä käyttäviä organisaatioita varmistamaan, että henkilöstöllä on riittävä tekoälyosaaminen suhteessa siihen, miten ja mihin tekoälyä käytetään. Tämä koskee myös pieniä yrityksiä — tarkoituksella, sillä EU halusi osaamisvaatimuksen olevan kevyt tapa saada kaikki mukaan.

Mitä tämä tarkoittaa käytännössä?

• Työntekijöiden on ymmärrettävä, mitä tekoäly voi ja ei voi tehdä, ja mitkä ovat sen riskit
• Yrityksen on dokumentoitava, että osaaminen on varmistettu — esimerkiksi sisäinen ohjeistus, koulutusmuistio tai käytäntökuvaus riittää
• Uusille työntekijöille pitää olla sama ohjeistus

Ei tarvita kursseja eikä sertifikaatteja. Riittää, että asia on mietitty ja kirjattu. Monet yritykset ovat ratkaisseet tämän yhden sivun tekoälykäytäntö-ohjeistuksella: mitä työkaluja saa käyttää, mitä tietoja niihin saa syöttää ja miten sisällöt merkitään. Se toimii samalla ensimmäisenä dokumenttina, jonka valvontaviranomainen voi pyytää.

Mitä säädös tarkoittaa tekoälytyökalujen valinnalle

Säädös vaikuttaa myös siihen, miten valitset tekoälytyökalut. Kun vertailet esimerkiksi ChatGPT:tä, Claudea ja Geminiä, kannattaa katsoa myös vaatimustenmukaisuutta: tarjoaako toimittaja EU:ssa isännöityä dataa, miten se hoitaa sisällön merkinnät ja mitä se kertoo tietojen käytöstä koulutukseen? Nämä ovat nyt sääntelyn piirissä, joten vastaukset löytyvät helpommin kuin ennen.

Yrittäjän kannalta hyvä uutinen on, että suuret toimittajat — OpenAI, Google, Anthropic, Microsoft — ovat jo rakentaneet vaatimustenmukaisuuden tuotteisiinsa. Sinun ei tarvitse itse selvittää, miten C2PA-merkintä teknisesti lisätään: uusimmat työkalut tekevät sen automaattisesti. Sinun vastuullesi jää se, miten käytät työkaluja ja mitä julkaiset niiden tuotoksista.

Mistä apua ja lisätietoa

Jos jokin kohta jää epäselväksi, apua on tarjolla — ja suuri osa siitä on ilmaista:

• Traficom (traficom.fi) — suomenkieliset ohjeet riskiluokista, toimijoiden velvollisuuksista ja testiympäristöistä
• EU:n tekoälysäädöksen palvelupiste (ai-act-service-desk.ec.europa.eu) — vastaa ilmaiseksi yksittäisiin soveltamiskysymyksiin
• Tekoälysopimus (AI Pact) — vapaaehtoinen aloite, johon liittymällä yritys sitoutuu toteuttamaan säädöksen keskeisiä velvoitteita jo nyt
• Tietosuojavaltuutetun toimisto — jos tekoälysi käsittelee henkilötietoja
• Euroopan komission ohjeet — avoimuusvelvoitteiden soveltamisohjeet julkaistiin 20.7.2026, ja ne sisältävät käytännön esimerkkejä

Mikään näistä ei korvaa juristia, mutta pk-yrittäjän arkikysymyksiin ne riittävät hyvin pitkälle. Lakitoimistojen analyysit (esimerkiksi Cooley ja Morgan Lewis) ovat myös julkisia ja maksuttomia — ne on kirjoitettu juristeille, mutta tiivistelmät ovat luettavissa.

Esimerkkejä arjesta — miten tämä näkyy käytännössä

Verkkokauppa + chatbot. Asiakas kysyy botilta toimitusaikaa. Vaatimus: botin on kerrottava olevansa tekoäly. Helppo toteutus: esitäyttöinen viesti keskustelun alussa.

Some-markkinointi + AI-kuvat. Teetät Instagramiin tuotekuvia tekoälyllä. Vaatimus: kuva merkittävä tunnistettavasti. Merkintä voi olla osa kuvatekstiä (#AI) tai näkyvä vesileima.

Blogin tuotanto. Kirjoitutat ChatGPT:llä luonnoksia. Jos lopputuloksen ihminen muokkaa ja julkaisee, se on ihmisen tuottamaa sisältöä — mutta jos julkaiset tekoälyn tekstin sellaisenaan, merkintävelvoite aktivoituu. Tässä pätee myös Googlen linjaus: laatu ratkaisee, ei tuotantotapa.

Asiakaspalvelun tunneanalyysi. Analysoit asiakaspalautteita tunnetilojen tunnistuksella. Vaatimus: ilmoita asiasta. Jos työkalu luokittelee asiakkaita biometrisesti, siirry varovaisesti — tämä on suuririskisen luokan rajamaata.

UKK

Koskeeko tekoälysäädös yksinyrittäjää?
Kyllä, jos yritys käyttää tekoälyä. Yksityishenkilön omaan käyttöön tehty sisältö ei kuulu säädöksen piiriin, mutta yritystoiminnassa tehty sisältö ja asiakasrajapinnan tekoäly kuuluvat. Velvoitteet ovat kuitenkin kevyet: merkinnät ja avoimuus, ei lupia tai sertifikaatteja.

Tarvitsenko luvan tekoälyn käyttöön?
Ei. Vähäriskiselle tekoälylle ei tarvita lupaa eikä rekisteröintiä. Rekisteröinti EU:n tietokantaan koskee suuririskisiä järjestelmiä, joiden velvoitteet alkavat vasta 12/2027.

Mitä jos käytän ChatGPT:tä tai muita yleistyökaluja?
Yleiskäyttöisten mallien tarjoajat (OpenAI, Google, Anthropic, DeepSeek ym.) vastaavat omista velvoitteistaan — dokumentaatiosta, tekijänoikeussäännöistä ja sisällön merkitsemisestä. Sinun velvollisuutesi käyttöönottajana on avoimuus omassa sisällössäsi ja asiakasrajapinnassasi.

Miten merkitsen tekoälyllä tuotetun kuvan?
Riittävä tapa on näkyvä merkintä (vesileima, ”AI” -tunniste kuvatekstissä). Koneluettava merkintä, kuten C2PA-metatieto, tulee pakolliseksi 2.12.2026 alkaen uusille järjestelmille — suosituimmat kuvageneraattorit lisäävät sen jo automaattisesti.

Mitä sakkoja oikeasti voi tulla pk-yritykselle?
Avoimuusrikkeistä enintään 15 M€ tai 3 % liikevaihdosta (näistä alempi). Kielletyistä käytännöistä enintään 35 M€ tai 7 %. Ensivaiheen toiminta on kuitenkin ohjaavaa: viranomaiset antavat tyypillisesti määräajan korjata puutteet ennen sakkoihin siirtymistä.

Onko tämä sama asia kuin GDPR?
Ei, mutta ne kulkevat rinnakkain. GDPR suojaa henkilötietoja, tekoälysäädös sääntelee tekoälyn käyttöä. Jos tekoälysi käsittelee henkilötietoja, molemmat pätevät. Tietosuojavaltuutettu valvoo Suomessa molempia — ja voi jo nyt pyytää dokumentaatiota tekoälyosaamisesta osana GDPR-valvontaa.

Yhteenveto

Tekoälysäädös ei ole syy lopettaa tekoälyn käyttöä — päinvastoin. Se luo selkeät pelisäännöt, joiden puitteissa tekoälyä voi käyttää luottamuksella. Suomalaisen yrittäjän käytännön työlista on lyhyt: merkitse tekoälysisältö, päivitä chatbot, varmista porukan osaaminen ja dokumentoi. Nämä toimet vievät päivän, eivät kuukautta.

Säädös myös vakauttaa markkinaa: kun kaikki pelaavat samoilla säännöillä, laadukkaat ja läpinäkyvät toimijat erottuvat. Se on kilpailuetu, ei rasite.

Lähteet: Euroopan komissio (digital-strategy.ec.europa.eu, tarkistettu 3.8.2026), Traficom (traficom.fi), tietosuojavaltuutetun toimisto, Yle, EU:n tekoälysäädös (EU) 2024/1689, Digital Omnibus -asetus (EU) 2026/1744, Cooley LLP ja Morgan Lewis -lakitoimistojen analyysit 8/2026. Tiedot tarkistettu 17.8.2026.

Lue myös: Tekoäly aloittelijalle 2026 · Paras AI-työkalu yrittäjälle 2026 · ChatGPT 2026 — hinnat ja ominaisuudet · Viikon AI-uutiset: EU:n tekoälysäädös voimaan · Työkalutietokanta · Miten arvostelemme työkalut

Julkaistu luonnoksena 17.08.2026 — tarkistettavaksi.