EU:n tekoälyasetus käytännössä: Yleiskäyttöisten tekoälymallien tarjoajien velvollisuudet – Alustava ohjeistus
Euroopan komissio julkaisi heinäkuussa 2025 alustavia ohjeita EU:n tekoälyasetuksen (AI Act) käytännön toimeenpanoa varten. Uudet ohjeet avaavat erityisesti yleiskäyttöisten tekoälymallien tarjoajien velvollisuuksia. Vaikka julkaistu ohjeistus tarjoaa selventäviä esimerkkejä, vaatimusten soveltaminen edellyttää edelleen tapauskohtaista arviointia.
1. Perusmääritelmät ja kriteerit
Miten määritellään yleiskäyttöinen tekoälymalli?
Ohjeiden mukaan yleiskäyttöiseksi tekoälymalliksi katsotaan malli, joka osoittaa merkittävää yleisyyttä ja kykenee suoriutumaan pätevällä tavalla laajasta valikoimasta erilaisia tehtäviä riippumatta siitä, miten malli saatetaan markkinoille.
Keskeiset kriteerit:
- Laskentamäärä: suurempi kuin 10²³ FLOP
- Kyvykkyys: kykenee tuottamaan tekstiä, ääntä, kuvia tai videoita.
Mitä tarkoittaa ”10²³ FLOP”?
10²³ FLOP:in kynnysarvo on tekninen mittari, joka voi vastata suurin piirtein laskentamäärää, jota käytetään laajamittaisessa mallien kouluttamisessa. Huomio: FLOP-laskenta riippuu monista tekijöistä eikä ole suoraan verrannollinen parametrimäärään tai mallin suorituskykyyn.
Järjestelmäriskin raja: Jos malli ylittää vielä suuremman kynnyksen 10²⁵ FLOP:ia, siihen sovelletaan lähtökohtaisesti järjestelmäriskimallien säännöksiä. Kuitenkin lopullinen arviointi riippuu mallin todellisista kyvyistä ja riskeistä.
Tärkeä huomio: Raja ei kuitenkaan ole ehdoton. Jos yleiskäyttöinen tekoälymalli lähtökohtaisesti täyttää kriteerin, mutta ei kuitenkaan osoita merkittävää yleisyyttä tai ei kykene suoriutumaan pätevällä tavalla laajasta valikoimasta erilaisia tehtäviä, se ei ole yleiskäyttöinen tekoälymalli. Mallin todellinen suorituskyky ja käyttömahdollisuudet painavat yhtä paljon kuin tekniset mittarit.
2. Vastuukysymykset yhteistyöhankkeissa
Kuka on vastuussa, kun useat tahot kehittävät tekoälymallia yhdessä?
Suomalaiset terveysteknologiayritykset kehittävät usein tekoälyratkaisuja tutkimuskonsortioissa yhdessä yliopistojen ja sairaaloiden kanssa.
Yhteistyöverkoston tai konsortion koordinaattori saattaa olla tarjoaja, mutta tarjoajan määrittely riippuu todellisesta kontrollista ja vastuusta mallista. Pelkkä koordinaattoriasema ei automaattisesti tee tahosta tarjoajaa.
Käytännön toimenpide: Sopikaa aina hankkeen alussa kirjallisesti, kuka ottaa tarjoajavastuun.
Kun vastuukysymykset on selvitetty, seuraava keskeinen kysymys koskee mallin muokkausta ja sen vaikutuksia vastuuseen.
Milloin yleiskäyttöisen tekoälymallin muokkaaja muuttuu tarjoajaksi?
Kun yritys ottaa käyttöön jonkun toisen tekemän yleiskäyttöisen tekoälymallin ja muokkaa sitä omiin tarpeisiinsa, muokkaajasta saattaa tulla uusi ”tarjoaja” EU:n tekoälyasetuksen mukaan. Komissio katsoo, että ketjun loppupään muokkaaja tulee mallin tarjoajaksi vain, jos muokkaus johtaa merkittävään muutokseen mallin yleisyydessä, kyvyissä tai järjestelmäriskissä.
Yksi keskeinen kriteeri: muokkaukseen käytetty koulutuslasku on suurempi kuin kolmasosa alkuperäisen mallin koulutuslaskusta. Tämä on kuitenkin vain yksi arviointiperuste monien joukossa, ja lopullinen arviointi riippuu mallin todellisista muutoksista.
Vaihtoehtoiset kynnysarvot: Jos ketjun loppupään muokkaaja ei voi tietää alkuperäisen mallin arvoa, sovelletaan vaihtoehtoisia kynnysarvoja:
- Järjestelmäriskimalleille: kolmasosa 10²⁵ FLOP:ista
- Tavallisille malleille: kolmasosa 10²³ FLOP:ista.
Tämä on tärkeää, koska alkuperäinen mallin tekijä ei aina kerro tarkkoja teknisiä tietoja mallista.
Seuraukset: Jos muokkaajasta tulee tarjoaja, sillä on samat velvollisuudet kuin alkuperäisellä mallin tekijällä. Sen on noudatettava EU:n tekoälyasetusta, ilmoitettava viranomaisille mallista ja laadittava tarvittava dokumentaatio. Jos sääntöjä rikotaan, sakot tulevat muokkaajalle. Siksi ennen suurta mallin muokkausta kannattaa selvittää, tuleeko yrityksestä uusi tarjoaja. Vastuut voivat muuttua täysin.
3. Järjestelmäriskin sisältävät mallit
Järjestelmäriskien ymmärtämisen jälkeen on tärkeää tarkastella, miten näitä malleja säännellään käytännössä.
Pelkkä tehoraja ei ratkaise
Mallit, joiden kumulatiivinen koulutuslasku ylittää 10²⁵ FLOP:a, kuuluvat lähtökohtaisesti järjestelmäriskimallien kategoriaan. Kuitenkin lopullinen luokittelu riippuu mallin todellisista kyvyistä ja riskeistä. Komissio voi myös luokitella mallin järjestelmäriskin sisältäväksi muiden kriteerien perusteella.
Erityishuomio terveysteknologiassa: Järjestelmäriskien arviointi on erityisen tärkeää, koska tekoäly vaikuttaa suoraan potilasturvallisuuteen. Mallin käyttö potilastietojen käsittelyssä, kliinisissä päätöksenteon tukijärjestelmissä tai sairaaloiden kriittisissä tietojärjestelmissä voi aiheuttaa laaja-alaisia seurauksia, jos järjestelmässä ilmenee häiriöitä.
Tarjoajien velvollisuudet:
- Jatkuva järjestelmäriskien arviointi ja lieventäminen
- Riittävän kyberturvallisuuden tason varmistaminen mallille ja sen fyysiselle infrastruktuurille mallin koko elinkaaren ajan
- Ilmoitusvelvollisuus: Tarjoajien on ilmoitettava komissiolle viipymättä, viimeistään kahden viikon kuluessa, kun malli täyttää tai tulee täyttämään vaatimuksen
Käytännössä tämä tarkoittaa, että jos yritys huomaa koulutuksen aikana, että malli tulee ylittämään 10²⁵ FLOP:in rajan, sen on ilmoitettava asiasta viranomaisille jo ennen kuin malli on valmis. Vaikka yritykset pyrkivät arvioimaan etukäteen kynnysarvon ylittymisen, koulutusprosessi voi olla arvaamaton, ja tarkka FLOP-laskenta saattaa olla teknisesti haastavaa.
4. Avoimen lähdekoodin mallien erityissäännökset
Järjestelmäriskimallien sääntelyn lisäksi on tärkeää ymmärtää avoimen lähdekoodin mallien erityisasema.
Avoimen lähdekoodin tekoälymallit voivat vapautua joistakin velvollisuuksista, mutta vain tietyin ehdoin. Käytännössä tämä tarkoittaa, että jos yritys julkaisee tekoälymallinsa täysin avoimesti ja ilmaiseksi, sen ei tarvitse tehdä kaikkea samaa paperityötä kuin kaupallisten mallien tekijöiden.
Vapautukset koskevat:
- Teknistä dokumentaatiota
- Tietojen toimittamista muille yrityksille
- EU-edustajan nimittämistä
Rajoitukset vapautuksiin: Vapautus ei ole rajoittamaton. Vaikka malli perustuisi avoimeen lähdekoodiin, sen tekijän on silti laadittava ohjeet tekijänoikeuksien noudattamiseksi ja kerrottava julkisesti, mitä tietoja mallin kouluttamiseen on käytetty.
Järjestelmäriskimallien poikkeus: Jos avoimen lähdekoodin malli luokitellaan järjestelmäriskin sisältäväksi malliksi, useimmat vapautukset eivät päde. Kuitenkin jotkin velvollisuudet saattavat edelleen olla lievennettyinä verrattuna täysin kaupallisiin malleihin.
Terveysteknologia-alan erityispiirteet: Avoimen lähdekoodin vapautukset ovat käytännössä rajallisia, koska lääketieteelliset sovellukset vaativat yleensä kaupallista tukea, validointia ja sertifiointia. Jos malli vaatii maksullista tukea tai erikoislisenssejä kliiniseen käyttöön, se ei enää täytä avoimen lähdekoodin ehtoja. Siksi useimmat terveysteknologiayritykset joutuvat noudattamaan täysiä velvollisuuksia riippumatta siitä, julkaisevatko ne mallinsa avoimesti vai eivät.
5. Yhteenveto
EU:n tekoälyasetuksen säännöt ovat monimutkaisia ja vaativat huolellista tulkintaa. Asetuksen noudattaminen edellyttää usein juridista asiantuntemusta ja tapauskohtaista arviointia.
Tärkeä huomautus: Tämä ohjeistus perustuu komission alustaviin ohjeisiin, jotka voivat muuttua. EU:n tekoälyasetuksen tulkinta kehittyy jatkuvasti, ja kansalliset viranomaiset saattavat antaa eriäviä ohjeita.
Sandra Liede
Laissa Oy
Terveysteknologia ja Life Science -alojen juridiikka
sandra.liede@laissa.fi