Kuka valvoo tekoälyasetusta Suomessa ja mihin voit valittaa

Kun tekoälyjärjestelmä toimii tavalla, joka tuntuu väärältä, käytännön kysymys ei ole ensin oikeudellinen vaan hallinnollinen: kenelle tästä ilmoitetaan. Moni olettaa, että EU:n tekoälyasetuksen mukana syntyi jonkinlainen tekoälyvirasto, jolle voi lähettää valituksen niin kuin poliisille tekee rikosilmoituksen. Sellaista virastoa ei Suomessa ole eikä ole tulossa.

Valvonta on jaettu, ja jako noudattaa logiikkaa, joka on ymmärrettävä ennen kuin oikean luukun löytää. Tämä artikkeli käy läpi rakenteen, kertoo mitä ilmoituksen tekeminen edellyttää ja missä tilanteissa asia kuuluukin kokonaan toiselle viranomaiselle. Asetuksen sisällön ja riskiluokkien osalta kannattaa lukea ensin, mitä EU:n tekoälyasetus vaatii sinulta. Tämä teksti on yleistä tietoa hallintorakenteesta, ei oikeudellista neuvontaa.

Miksi tekoälyvalvontaa ei keskitetty yhdelle virastolle

Tekoälyasetus on rakennettu tuoteturvallisuussääntelyn muotille. Se kysyy, millaista vahinkoa järjestelmä voi käyttötarkoituksessaan aiheuttaa, ja asettaa vaatimukset sen mukaan. Tämä riskiperusteinen sääntely on samaa perhettä kuin koneiden, lelujen ja lääkinnällisten laitteiden turvallisuusvaatimukset.

Tuoteturvallisuutta valvotaan EU:ssa markkinavalvonnan järjestelmällä, joka oli olemassa jo ennen tekoälyasetusta. Kun asetus lisättiin tähän rakenteeseen, sen pääsääntö oli looginen: jos tekoäly on osa tuotetta, jota jo valvotaan, sitä valvoo sama viranomainen kuin ennenkin. Hissiin sisäänrakennettua tekoälytoimintoa ei kannata siirtää tekoälyasiantuntijalle, joka ei tunne hissejä.

Ratkaisulla on selvä etu ja selvä haitta. Etu on, että valvojalla on toimialan asiantuntemus ja valmiit toimivaltuudet. Haitta on, että tavallinen ihminen ei tiedä, kenelle kirjoittaa. Juuri tämän vuoksi asetus velvoittaa jokaisen jäsenvaltion nimeämään keskitetyn yhteyspisteen, jonka tehtävä on ohjata kysyjä eteenpäin. Suomessa tämä rooli on Traficomilla.

Kolme eri tehtävää, jotka menevät helposti sekaisin

Kansallisessa rakenteessa on kolme eri asiaa, joita julkisuudessa käytetään usein toistensa synonyymeinä.

Markkinavalvontaviranomainen valvoo markkinoilla olevia tekoälyjärjestelmiä. Sillä on oikeus pyytää dokumentaatiota, tehdä testejä, määrätä toiminnanharjoittaja korjaamaan puutteet ja viime kädessä vaatia järjestelmän vetämistä markkinoilta. Tämä on se taho, jolle ilmoitus tehdään.

Ilmoittamisesta vastaava viranomainen ei valvo tekoälyjärjestelmiä lainkaan. Se nimeää ja valvoo niitä arviointilaitoksia, jotka tekevät vaatimustenmukaisuuden arviointeja. Se on siis valvojien valvoja, ei asiakaspalvelupiste.

Keskitetty yhteyspiste on nimensä mukaisesti yhteyspiste. Se ei ratkaise asioita itse, vaan vastaa siitä, että kysyjä ja ilmoitus löytävät oikean viranomaisen. Suomessa tehtävä on Traficomilla, ja kansalliset toimivaltasäännökset tulivat voimaan vuoden 2026 alussa.

Tämän lisäksi asetus antaa perusoikeuksia suojaaville viranomaisille oikeuden pyytää korkean riskin järjestelmien dokumentaatiota, kun ne epäilevät perusoikeusloukkausta. Suomessa tähän joukkoon kuuluvat esimerkiksi tietosuojavaltuutettu, yhdenvertaisuusvaltuutettu ja tasa-arvovaltuutettu. Ne eivät ole tekoälyasetuksen markkinavalvojia, mutta ne pääsevät käsiksi samaan aineistoon.

Mihin ilmoitus kannattaa suunnata

Käytännön nyrkkisääntö on yksinkertainen: kysy ensin, mihin toimintaan järjestelmää käytetään, ja vasta sitten mitä tekniikkaa siinä on. Tekniikka ei kerro valvojaa, käyttötarkoitus kertoo. Toinen apukysymys on, kuuluuko itse palvelu jo jonkin viranomaisen valvontaan muutenkin. Jos pankki käyttää tekoälyä luottopäätöksissä, valvoja ei vaihdu sen takia, että päätöksen tekee malli.

Alla oleva taulukko on suuntaa antava. Toimivaltajako on kansallisesti säädetty asia, joka voi tarkentua, joten epäselvässä tilanteessa oikea ensimmäinen askel on yhteyspiste. Taulukko ei myöskään ole tyhjentävä, koska sama tapaus voi kuulua kahdelle viranomaiselle eri perustein.

Ilmoitetut laitokset arvioivat, eivät valvo

Korkean riskin järjestelmiin liittyy usein käsite ilmoitettu laitos. Se sekoitetaan helposti viranomaiseen, mutta kyse on eri asiasta. Ilmoitettu laitos on riippumaton arviointilaitos, jonka jäsenvaltion ilmoittamisesta vastaava viranomainen on nimennyt tekemään vaatimustenmukaisuuden arviointeja. Nimeäminen perustuu osaamisen ja riippumattomuuden arviointiin.

Kaikki korkean riskin järjestelmät eivät kulje ilmoitetun laitoksen kautta. Pääosassa liitteen III käyttötapauksista tarjoaja tekee arvioinnin itse sisäisenä valvontana ja laatii siitä vaatimustenmukaisuusvakuutuksen. Ulkopuolinen arviointi tulee kuvaan kapeammassa joukossa tapauksia, kuten osassa biometrisiä järjestelmiä ja niissä tuotteissa, joissa alan oma lainsäädäntö jo edellyttää kolmannen osapuolen arviointia.

Ilmoitettu laitos voi myöntää todistuksen, rajoittaa sitä tai peruuttaa sen. Se ei kuitenkaan ota vastaan kansalaisten ilmoituksia eikä määrää seuraamuksia. Jos epäilet, että korkean riskin järjestelmä ei täytä vaatimuksia, ilmoitus menee markkinavalvontaan, ei arviointilaitokselle.

Mitä EU:n tekoälytoimisto tekee ja mitä se ei tee

Yleiskäyttöiset mallit ovat ainoa osa asetusta, jossa valvonta on nostettu kokonaan EU-tasolle. Komission yhteyteen perustettu tekoälytoimisto vastaa yksin näiden mallien tarjoajien valvonnasta: se voi pyytää tietoja, teettää mallin arviointeja, vaatia riskien pienentämistä ja esittää seuraamuksia. Jäsenvaltion viranomainen ei voi tehdä samaa, koska toimivaltaa ei ole jaettu.

Käytännössä tämä tarkoittaa, että jos ongelmasi liittyy siihen, miten suuri kielimalli on koulutettu tai mitä sen dokumentaatiossa lukee, kansallinen viranomainen ei ole oikea osoite. Sen sijaan mallin varaan rakennettu palvelu, jota käytetään Suomessa jossain konkreettisessa tarkoituksessa, kuuluu kansalliselle valvojalle. Mallin ja sen päälle rakennetun järjestelmän ero on tässä ratkaiseva, ja se selitetään tarkemmin artikkelissa mitä asetus vaatii yleiskäyttöisiltä malleilta.

Tekoälytoimiston rinnalla toimii jäsenvaltioiden edustajista koostuva neuvosto, joka koordinoi kansallista valvontaa, sekä riippumattomista asiantuntijoista koostuva tieteellinen paneeli. Nämä eivät ota vastaan yksittäisiä valituksia.

Kun asia ei olekaan tekoälyasetuksen asia

Suuri osa tekoälyyn liittyvistä valituksista ratkeaa muulla lainsäädännöllä, ja usein nopeammin.

Henkilötiedot. Jos kyse on siitä, mitä sinusta on tallennettu, mihin tietojasi käytetään tai onko sinusta tehty automaattinen päätös, kyse on tietosuoja-asetuksesta. Tietosuojavaltuutetun toimisto on toimivaltainen viranomainen, ja sinulla on käytettävissä konkreettisia oikeuksia, jotka on selitetty artikkelissa mitä voit oikeasti vaatia GDPR:n nojalla.

Kuluttajansuoja. Harhaanjohtava markkinointi, kohtuuttomat sopimusehdot ja tilanteet, joissa asiakaspalvelubotti estää yhteyden ihmiseen, ovat kuluttajansuojakysymyksiä. Kuluttaja-asiamies puuttuu menettelyihin yleisellä tasolla. Yksittäisessä riidassa apu löytyy kuluttajaneuvonnasta.

Rikos. Jos syväväärennöstä tai kloonattua ääntä on käytetty petokseen, kiristykseen tai kunnianloukkaukseen, kyse on rikoksesta ja ilmoitus tehdään poliisille. Markkinavalvonta ei tutki yksittäistä tekoa vaan järjestelmää.

Julkinen hallinto on sekä valvoja että valvottava

Viranomainen voi itsekin olla korkean riskin järjestelmän käyttöönottaja. Kun julkista valtaa käyttävä organisaatio ottaa käyttöön liitteen III mukaisen järjestelmän, sitä koskevat käyttöönottajan velvoitteet siinä missä yritystäkin. Kaksi niistä on tavallisen ihmisen kannalta hyödyllisiä.

Ensimmäinen on rekisteröinti. Korkean riskin järjestelmät viedään EU:n ylläpitämään tietokantaan, ja julkisen sektorin käyttöönottajien osalta tieto käytöstä on julkista. Käytännössä tämä tarkoittaa, että voit tarkistaa, onko jokin järjestelmä ilmoitettu, sen sijaan että joutuisit luottamaan huhupuheeseen.

Toinen on perusoikeusvaikutusten arviointi. Julkisia palveluja tarjoavien käyttöönottajien on ennen korkean riskin järjestelmän käyttöönottoa arvioitava, mitä vaikutuksia sillä on ihmisten perusoikeuksiin, ja kuvattava, miten haitallisia vaikutuksia hallitaan. Arviointi ei ole julkisuudessa kiinnostava dokumentti, mutta se on konkreettinen todiste siitä, onko asiaa mietitty etukäteen.

Jos ongelmasi koskee viranomaisen menettelyä eikä itse järjestelmää, käytössä on myös vanha ja toimiva reitti: hallintokantelu ylimmille laillisuusvalvojille eli eduskunnan oikeusasiamiehelle tai valtioneuvoston oikeuskanslerille. Tekoälyasetus ei korvaa tätä väylää vaan tulee sen rinnalle. Kanteluun ei myöskään tarvitse osata nimetä oikeaa lainkohtaa.

Näin teet ilmoituksen niin, että siitä on hyötyä

Asetus antaa oikeuden tehdä ilmoituksen markkinavalvontaviranomaiselle kenelle tahansa, jolla on siihen perusteltu syy. Ilmoituksen laatu ratkaisee, päätyykö se selvitettäväksi vai kaatuuko se tunnistamattomuuteen.

1. Kirjaa tapahtuma heti. Päivämäärä, kellonaika, palvelun nimi ja se, mitä täsmälleen tapahtui. Ruutukaappaus on parempi kuin muistikuva.
2. Selvitä kuka on tarjoaja ja kuka käyttöönottaja. Tarjoaja on se, joka on saattanut järjestelmän markkinoille, käyttöönottaja se organisaatio, joka käyttää sitä sinuun. Roolien merkitys vastuunjaossa käydään läpi artikkelissa kuka joutuu vastuuseen ja mistä.
3. Ota ensin yhteyttä organisaatioon itseensä. Kirjallinen yhteydenotto ja siihen saatu vastaus tai vastaamattomuus ovat oleellista aineistoa ilmoituksessa.
4. Valitse viranomainen toimialan perusteella. Jos toimiala on selvä, mene suoraan sen valvojalle. Jos ei, käytä yhteyspistettä.
5. Kirjoita ilmoitus lyhyesti ja täsmällisesti. Mikä järjestelmä, kuka sitä käyttää, mitä tapahtui, milloin, mihin velvoitteeseen epäilet rikkomuksen kohdistuvan ja mitä liitteitä on mukana.
6. Kerro, jos asia on kiireellinen. Terveyteen tai turvallisuuteen kohdistuva vaara käsitellään eri tahdissa kuin dokumentaatiopuute.

Mitä valvonnalta kannattaa odottaa ja mitä ei

Markkinavalvonta on hidasta ja järjestelmätasoista. Se ei ole riidanratkaisua eikä korvausmenettelyä. Realistinen lopputulos on, että viranomainen pyytää selvitystä, edellyttää korjausta tai rajoittaa järjestelmän käyttöä. Yksittäinen ilmoitus ei yleensä johda nopeaan päätökseen, mutta samaan järjestelmään kohdistuvat ilmoitukset kasautuvat signaaliksi.

Kaksi oikeutta kannattaa silti tuntea. Ensimmäinen on oikeus tehdä ilmoitus, joka koskee myös yrityksiä ja järjestöjä, ei vain yksityishenkilöitä. Toinen on oikeus saada selitys silloin, kun korkean riskin järjestelmää on käytetty tekemään sinua koskeva päätös, jolla on oikeusvaikutuksia tai muuten merkittäviä seurauksia. Selityspyyntö menee suoraan käyttöönottajalle, ei viranomaiselle, ja se on usein nopein tapa saada tietää, mihin päätös perustui.

Jos et tiedä mistä aloittaa, aloita kirjaamalla tapahtumat ja lähettämällä kysymys yhteyspisteeseen. Väärään paikkaan lähetetty ilmoitus siirretään, mutta lähettämättä jäänyt ilmoitus ei siirry mihinkään.