Julkaistu 2026-10-08 · 12 min · Tekoäly
Kielletyt käytännöt ja henkilöstön osaamisvelvoite ovat olleet voimassa helmikuusta 2025, avoimuusvelvoitteet elokuusta 2026. Mitä EU:n tekoälyasetus vaatii tavalliselta pk-yritykseltä, mitä se kieltää työpaikalla ja miten yhden sivun tekoälyohje kirjoitetaan.
EU:n tekoälyasetus koskee myös pientä yritystä: osaamisvelvoite, kielletyt käytännöt, chatbotin ilmoitus ja syväväärennösten merkintä. Näin kirjoitat ohjeen.
Tekoäly tuli pieniin yrityksiin ilman päätöstä. Joku kirjoitti tarjouksen luonnoksen kielimallilla, joku toinen teki kuvan verkkosivulle ja kolmas kytki chatbotin vastaamaan asiakkaiden kysymyksiin viikonloppuna. Mitään näistä ei kirjattu mihinkään, eikä kenelläkään ollut syytä kirjatakaan. Nyt syy on olemassa: EU:n tekoälyasetus koskee myös yrityksiä, jotka eivät kehitä tekoälyä vaan pelkästään käyttävät sitä.
Asetusta on alettu soveltaa vaiheittain. Kielletyt käytännöt ja henkilöstön osaamista koskeva velvoite ovat olleet voimassa helmikuusta 2025, Suomen kansalliset toimeenpanolait vuoden 2026 alusta ja avoimuusvelvoitteet elokuusta 2026. Heinäkuussa 2026 voimaan tullut EU:n muutosasetus kevensi osaamisvelvoitetta ja siirsi rekrytoinnin kaltaisten suuririskisten käyttötapojen säännöt joulukuuhun 2027. Mikään tästä ei vaadi pieneltä yritykseltä raskasta hallintokoneistoa, mutta kaikki edellyttää, että yrityksessä tiedetään, mitä tekoälyä siellä käytetään ja kuka vastaa mistä.
Tässä oppaassa käydään läpi, mitkä velvoitteet osuvat tavalliseen pk-yritykseen, mitä on ehdottomasti kielletty, mitä osaamisvelvoite käytännössä tarkoittaa ja miten yhden sivun tekoälyohje kirjoitetaan niin, että siitä on myös arjessa hyötyä. Viranomaislähteet on luettu Traficomin, tietosuojavaltuutetun toimiston, työ- ja elinkeinoministeriön, kilpailu- ja kuluttajaviraston sekä Euroopan komission sivuilta, ja linkit ovat lopussa.
Asetuksen velvoitteet eivät riipu ensisijaisesti yrityksen koosta vaan sen roolista ja käytetyn järjestelmän riskitasosta. Traficomin sivulla toimijoita ovat tarjoaja, tuotteen valmistaja, käyttöönottaja, valtuutettu edustaja, maahantuoja ja jakelija. Lähes jokainen pk-yritys on käyttöönottaja, eli taho, joka käyttää valvonnassaan olevaa tekoälyjärjestelmää muuhun kuin yksityiseen käyttöön. Kun kirjanpitäjä ajaa kuitit tekoälyä käyttävän ohjelman läpi tai myyjä teettää tarjousluonnoksen kielimallilla, yritys on käyttöönottaja.
Tarjoaja on se, joka kehittää tai kehityttää tekoälyjärjestelmän ja saattaa sen markkinoille tai ottaa sen käyttöön omalla nimellään tai tavaramerkillään. Tämä on tärkeä raja, koska siihen voi astua vahingossa. Jos yritys rakentaa oman chatbotin tai teettää sen alihankkijalla ja ottaa sen käyttöön omalla nimellään, se ei ole enää pelkkä käyttäjä. Valmiin palvelun käyttäminen sellaisenaan omalla sivustolla tekee yrityksestä käyttöönottajan, mutta oman järjestelmän julkaiseminen omalla nimellä tekee siitä tarjoajan. Traficomin mukaan sama toimija voi olla myös molempia yhtä aikaa.
Käyttöönottajan velvoitteet riippuvat siitä, mihin tekoälyä käytetään. Raskaimmat koskevat suuririskisiä järjestelmiä: Traficomin mukaan niiden käyttöönottajan on käytettävä järjestelmää sen käyttöohjeiden ja käyttötarkoituksen mukaisesti, valvottava sen toimintaa ja raportoitava poikkeavuudet. Kun järjestelmä ei ole suuririskinen, sen on Traficomin mukaan silti täytettävä asetuksen muut vaatimukset, kuten avoimuusvelvoitteet. Tavalliselle pk-yritykselle tämä tarkoittaa käytännössä kolmea asiaa, jotka käydään läpi alempana: kiellot, osaamisvelvoite ja avoimuus. Neljäs, suuririskinen käyttö, tulee vastaan useimmin rekrytoinnissa. Työkalun käyttöehdot ja ohjeet kannattaa silti lukea ennen kuin se otetaan asiakastyöhön, koska niistä selviää, mihin se on tarkoitettu ja mihin ei.
Valvonta on Suomessa hajautettu. Tietosuojavaltuutetun toimiston mukaan tekoälyasetuksen kansallista toimeenpanoa koskevat lait astuivat voimaan 1.1.2026, ja valvonta on jaettu viidelletoista viranomaiselle. Tietosuojavaltuutettu valvoo asetuksessa kiellettyjä käytäntöjä ja on yksi suuririskisten järjestelmien markkinavalvontaviranomaisista. Traficom toimii kansallisena yhteyspisteenä ja on se taho, joka Suomessa pääasiassa valvoo velvoitteiden noudattamista.
Aikataulu kannattaa katsoa kertaalleen läpi, koska se on muuttunut matkan varrella. Suurin osa pk-yritystä koskevista kohdista on jo voimassa:
Pk-yrityksen kannalta olennaista on, että tavallista käyttöä koskevat päivät ovat jo takana. Edessä olevat kaksi päivää koskevat työkalujen toimittajia ja suuririskisiä käyttötapoja, kuten hakijoiden pisteyttämistä. Jos yrityksessä käytetään tekoälyä eikä siitä ole mitään kirjattua, puute on jo olemassa, ei vasta tulossa. Hyvä uutinen on, että korjaus on pienelle yritykselle yhden työpäivän kokoinen urakka.
Kiellettyjen käytäntöjen lista näyttää ensi silmäyksellä kaukaiselta. Siinä on sosiaalista pisteytystä, kasvojentunnistustietokantojen kokoamista kaapimalla kuvia verkosta tai turvakameroiden tallenteista ja rikollisuuden ennustamista profiloinnin perusteella. Kaksi kohtaa kuitenkin osuu tavalliseen työpaikkaan.
Ensimmäinen on tunteiden tunnistaminen työpaikoilla ja oppilaitoksissa. Työ- ja elinkeinoministeriön ja Traficomin mukaan asetus kieltää tekoälyn käytön tunteiden tunnistamiseen tai päättelyyn työpaikoilla ja kouluissa. Tämä kannattaa pitää mielessä, kun markkinoille tulee työkaluja, jotka lupaavat analysoida myyntipuheluista myyjän mielialaa, arvioida tiimin tunneilmastoa palaveritallenteista tai mitata asiakaspalvelijan "energiaa" äänestä. Jos työkalu päättelee työntekijän tunnetilaa, se ei kuulu työpaikalle. Siellä, missä tunteentunnistus on sallittua, siitä on Traficomin mukaan kerrottava ihmisille, joihin sitä käytetään.
Toinen on manipulointi ja haavoittuvuuksien hyödyntäminen. Traficomin listalla kiellettyjä ovat manipuloivat tai harhaanjohtavat tekniikat sekä tekniikat, jotka hyödyntävät ihmisten haavoittuvuuksia, olennaisesti vääristävät käyttäytymistä ja aiheuttavat merkittävää vahinkoa. Kielto koskee siis tekoälyä, joka itse ohjaa ihmistä hänen vahingokseen, eikä sitä, että mainosteksti on kirjoitettu koneella. Markkinoinnissa raja kannattaa silti vetää kauas: työkalu, joka kohdentaa viestejä ostajan ahdinkoon tai heikkouteen, ei kuulu pienen yrityksen markkinointiin. Traficom muistuttaa myös, että tekoälyn käyttöön voivat liittyä samanaikaisesti esimerkiksi kuluttajansuojan vaatimukset, joten harhaanjohtava markkinointi on ongelma, teki sen ihminen tai kone.
Loput kielletyt käytännöt eivät käytännössä synny pk-yrityksen arjessa. Ne kannattaa silti lukea kertaalleen Traficomin sivulta, jotta tietää, missä raja kulkee, jos joku tarjoaa valmista ratkaisua, jolla raja ylittyisi.
Tekoälyasetuksen 4 artikla on pienelle yritykselle käytännössä tärkein kohta, koska se koskee jokaista yritystä, joka käyttää tekoälyä työssään. Euroopan komission oman kysymys-vastauspaperin mukaan artikla velvoittaa tarjoajia ja käyttöönottajia toteuttamaan toimenpiteitä, joilla tuetaan henkilöstön ja muiden yrityksen puolesta tekoälyjärjestelmiä käyttävien henkilöiden tekoälylukutaitoa. Velvoitetta on sovellettu 2.2.2025 alkaen, ja kansalliset markkinavalvojat aloittivat sen valvonnan elokuussa 2026.
Heinäkuussa 2026 voimaan tullut muutosasetus muotoili artiklan uudelleen. Komission mukaan velvoite säilyi tarjoajilla ja käyttöönottajilla, mutta tiettyä tai "riittävää" osaamistasoa ei enää vaadita, eikä yrityksen tarvitse taata kenenkään yksittäisen henkilön osaamistasoa. Komissio ja jäsenvaltiot puolestaan velvoitettiin tukemaan erityisesti pk-yritysten työtä, ja komissio julkaisee esimerkkejä siitä, miten velvoitteen voi täyttää.
Huomaa muotoilu "ja muiden yrityksen puolesta käyttävien". Komissio tarkentaa, että nämä muut henkilöt eivät ole työntekijöitä vaan yrityksen piirissä toimivia, esimerkiksi alihankkijoita, palveluntarjoajia tai asiakkaita. Jos yritys ostaa sisällöntuotannon alihankkijalta, joka käyttää kielimallia yrityksen puolesta, velvoite ulottuu sinne: komission mukaan palveluntarjoajan väellä pitää olla tehtävään tarvittavat tekoälytaidot samalla tavalla kuin omalla henkilöstöllä.
Moni pelästyy sanaa velvoite ja odottaa sertifikaattia. Sitä ei ole. Komissio toteaa suoraan, ettei tekoälylukutaitoon ole yhtä mallia eikä tiukkoja vaatimuksia tai pakollisia koulutuksia ole asetettu, eikä todistusta tarvita: organisaatio voi pitää omaa sisäistä kirjanpitoa koulutuksista ja muista toimista. Velvoite on siis tehdä jotain ja merkitä se muistiin, ei ostaa tiettyä kurssia.
Pienessä yrityksessä toimenpide voi olla esimerkiksi tällainen: puolen päivän perehdytys, jossa käydään läpi käytössä olevat työkalut, mihin ne sopivat, mihin eivät, mitä tietoa niihin ei syötetä ja kuka tarkistaa lopputuloksen. Perehdytyksestä jää päivämäärä, osallistujat ja käsitellyt asiat. Kun uusi työntekijä aloittaa, sama käydään läpi perehdytyksen yhteydessä. Yrityspaketit.fi:n tekoälykoulutuksessa käydään läpi myös se, mitä tietoa työkaluihin saa syöttää ja mitä ei, mutta oma kirjattu perehdytys tarvitaan silti: vain se kertoo, miten juuri teidän yrityksessänne työkaluja käytetään.
Avoimuusvelvoitteet ovat se osa asetusta, joka näkyy suoraan yrityksen verkkosivulla. Traficom jakaa ne kahteen ryhmään. Tarjoajan on huolehdittava siitä, että ihmisen kanssa suoraan vuorovaikuttava järjestelmä kertoo olevansa tekoäly ja että tekoälyn tuottama teksti, kuva, ääni ja video voidaan tunnistaa koneellisesti. Käyttöönottajan, eli useimmiten pk-yrityksen itsensä, on kerrottava tunteentunnistuksesta ja biometrisestä kategorisoinnista, merkittävä syväväärennökset ja kerrottava tekoälyn käytöstä tietyissä yleistä etua koskevissa teksteissä.
Jos sivustolla on chatbot, käyttäjälle on kerrottava viimeistään ensimmäisen vuorovaikutuksen yhteydessä, että hän asioi tekoälyn kanssa. Traficom tarkentaa, ettei pelkkä tieto käyttöehdoissa tai dokumentaatiossa yleensä riitä. Velvoite on kirjoitettu järjestelmän tarjoajalle, joten valmiissa chatbot-palvelussa ilmoituksen pitäisi olla valmiina. Jos yritys on rakentanut tai teettänyt chatbotin omalla nimellään, tarjoaja on se itse. Kummassakin tapauksessa sivuston omistaja näkee ensimmäisenä, puuttuuko ilmoitus, ja yksi lause keskusteluikkunan yläreunassa hoitaa asian. Chatbotin pystytyksestä ja kuluista on oma juttunsa: tekoäly-asiakaspalvelu pienyritykselle.
Kun tekoälyllä tuotettu tai muokattu kuva, ääni tai video muistuttaa todellista tai todellisuudessa mahdollista henkilöä, esinettä, paikkaa, eläintä tai tapahtumaa niin paljon, että se voi vaikuttaa aidolta, kyse on Traficomin mukaan syväväärennöksestä. Kun yritys käyttää tekoälyä sellaisen tuottamiseen, sen on ilmoitettava selkeästi, että sisältö on tekoälyllä tuotettua tai muokattua. Ratkaisevaa ei ole, onko tarkoitus johtaa harhaan, vaan se, voiko sisältö vaikuttaa aidolta. Ilmoituksen on oltava helposti havaittavissa ja ymmärrettävissä ilman erityisiä teknisiä välineitä.
Pieni yritys törmää tähän mainoskuvissa. Tekoälyllä tehty valokuvamainen kuva, jossa tuote on paikassa, jossa se ei ole koskaan ollut, tai jossa esiintyy ihminen, jota ei ole olemassa, vaatii merkinnän. Selvästi piirretty tai tyylitelty kuvitus, jota kukaan ei luule todeksi, on eri asia. Merkintä ei kuitenkaan tee keksitystä asiakkaasta sallittua: jos kuvan henkilö esitetään tyytyväisenä asiakkaana, kyse on tekaistusta suosittelusta, jonka esittämisen myynnin edistämiseksi kilpailu- ja kuluttajavirasto mainitsee kielletyksi.
Tekoälyllä tuotetusta tai muokatusta tekstistä on kerrottava, kun se julkaistaan yleisön tiedottamiseksi yleistä etua koskevista asioista, kuten kansanterveydestä tai kuluttajaturvallisuudesta. Traficomin mukaan velvoite ei yleensä koske tavanomaista mainossisältöä, eikä merkintää tarvita, jos ihminen on tarkastanut tekstin sisällön ja joku vastaa sen julkaisemisesta. Pelkkä oikoluku tai kieliasun tarkistaminen ei Traficomin mukaan riitä tarkastukseksi. Jos yrityksen blogi käsittelee tällaisia aiheita, tekoälyn luonnostelema juttu kannattaa käydä läpi asiasisällön ja lähteiden osalta eikä vain kielen osalta.
Tekoälyn tuottama sisältö on merkittävä myös koneellisesti luettavassa muodossa, jotta se voidaan tunnistaa tekoälyn tuottamaksi. Tämä velvoite on järjestelmän tarjoajalla, ei sisällön tilanneella pk-yrityksellä. Traficomin mukaan ennen 2.8.2026 markkinoille saatettujen järjestelmien tarjoajien on täytettävä vaatimus viimeistään 2.12.2026. Pk-yritykselle tämä on hankintakysymys: kannattaa kysyä kuvia tai tekstejä tuottavan työkalun toimittajalta, miten se täyttää merkintävaatimuksen.
Avoimuus kannattaa nähdä myös markkinoinnin työkaluna: kun sivulla kerrotaan suoraan, mikä on koneen tekemää ja kuka sisällöstä vastaa, lukijan ei tarvitse arvailla. Siitä, miten tekoälyhakukoneet lukevat sivustoa, on omat juttunsa: tekoälyoptimointi eli GEO ja näin tekoäly lukee sivusi.
Suuririskisten järjestelmien velvoitteet ovat asetuksen raskain osa, ja Traficomin mukaan sääntely koskee pääosin juuri niitä. Pk-yritystä suuririskisyys koskettaa useimmin yhdessä kohdassa: Traficomin mukaan rekrytointiin käytettävät tekoälyjärjestelmät ovat lähtökohtaisesti suuririskisiä. Heinäkuussa 2026 voimaan tullut muutosasetus siirsi niiden sääntöjen soveltamista, ja komission mukaan rekrytoinnin kaltaisia suuririskisiä käyttötapoja koskevia sääntöjä sovelletaan 2.12.2027 alkaen. Lisäaika ei muuta luokittelua, vaan antaa aikaa valita linja ennen kuin velvoitteet alkavat.
Ratkaiseva ero on siinä, mitä työkalu tekee. Kielimalli, jolla kirjoitetaan työpaikkailmoituksen luonnos, tuottaa tekstiä, jonka ihminen tarkistaa ja julkaisee. Työkalu, joka pisteyttää hakemukset, karsii hakijoita tai asettaa heidät paremmuusjärjestykseen, on toista maata: silloin tarjoajaa koskevat suuririskisten järjestelmien vaatimukset riskienhallinnasta, dokumentaatiosta, tietojen laadusta ja ihmisvalvonnasta, ja käyttöönottajan on käytettävä järjestelmää käyttöohjeiden mukaisesti, valvottava sen toimintaa ja raportoitava poikkeavuudet.
Pienelle työnantajalle yksinkertaisin linja on pitää ihminen päätöksentekijänä ja käyttää tekoälyä vain työn valmisteluun, kuten ilmoituksen muotoiluun ja haastattelukysymysten laatimiseen. Tästä on erillinen opas: tekoäly rekrytoinnissa. Samoin kannattaa muistaa, että hakemukset ovat henkilötietoa, eli niiden syöttäminen työkaluun on tietosuojakysymys ennen kuin se on tekoälykysymys: tekoäly ja tietosuoja pk-yrityksessä.
Tekoälyohje ei ole juridinen asiakirja vaan työohje. Se mahtuu yhdelle sivulle, ja sen tarkoitus on, että kukaan ei joudu arvaamaan. Kirjoita nämä kohdat omin sanoin ja yrityksen omalla kielellä:
Ohje kannattaa päivittää samalla kertaa kuin työkalut vaihtuvat. Jos listalla on kolme työkalua, joista yhtä ei ole käytetty vuoteen, poista se: ohje, joka ei vastaa todellisuutta, opettaa lukijansa olemaan lukematta sitä.
Automaatioiden kanssa sama logiikka jatkuu. Kun tekoäly alkaa käynnistää toimintoja itse, kuten lähettää viestejä tai kirjata tietoja järjestelmiin, ohjeeseen tulee kohta siitä, mitä se saa tehdä ilman hyväksyntää. Aiheesta on omat juttunsa: mikä on tekoälyagentti ja yrityksen automaatiot — mistä aloittaa.
Tekoälyohje, joka tulee ylhäältä ilman keskustelua, synnyttää kaksi käyttötapaa: virallisen ja sen oikean. Työntekijä, joka pelkää kieltoa, käyttää omaa tiliään omalla puhelimellaan, ja silloin yritys menettää näkyvyyden siihen, mitä tietoa missä liikkuu.
Vähintään 20 henkilöä työllistävissä yrityksissä asialla on myös muodollinen puoli. Yhteistoimintalakia sovelletaan 1.7.2025 alkaen pääsääntöisesti yrityksiin, joissa on säännöllisesti vähintään 50 työntekijää. Työ- ja elinkeinoministeriön mukaan myös 20–49 työntekijän työnantajan on kuitenkin luotava työpaikkakohtaiset käytännöt säännönmukaiselle jatkuvalle vuoropuhelulle, joka käydään henkilöstön edustajan kanssa tai, jos edustajaa ei ole, koko henkilöstön kanssa. Vähintään 50 hengen yrityksissä vuoropuhelun aiheita ovat muun muassa työpaikan säännöt ja käytännöt sekä henkilöstön osaamistarpeet, ja sen osana laaditaan työyhteisön kehittämissuunnitelma. Tekoälytyökalujen käyttöönotto ja niihin liittyvä osaaminen istuvat tähän suoraan, joten ohjetta ei kannata laatia vuoropuhelun ulkopuolella.
Alle 20 hengen yrityksessä lakisääteistä velvoitetta ei ole, mutta sama keskustelu kannattaa käydä. Helpoin tapa on pyytää jokaiselta yksi esimerkki siitä, mihin tekoäly on jo auttanut, ja yksi kohta, joka mietityttää. Lista kertoo usein enemmän kuin kartoitus.
Käy nämä läpi kertaalleen. Lista ei korvaa juridista tarkistusta, mutta se kattaa tässä oppaassa käsitellyt kohdat:
Jos lista tuntuu pitkältä, aloita kahdesta ensimmäisestä kohdasta. Luettelo käytössä olevista työkaluista on se, mistä kaikki muu seuraa, ja pienessä yrityksessä sen saa kokoon yhdessä palaverissa, kun kysyy jokaiselta, mitä hän oikeasti käyttää.
Tekoälyasetus on kirjoitettu suurten järjestelmien varalta, mutta sen pk-yritystä koskeva ydin on pieni ja käytännöllinen: tiedä, mitä käytät, kerro, kun kone on vastassa, älä mittaa työntekijöiden tunteita, pidä ihminen päätöksissä ja merkitse muistiin, mitä olet henkilöstölle opettanut. Yksikään näistä ei hidasta työtä. Ne tekevät päinvastaista: kun pelisäännöt ovat selvät, tekoälyä uskalletaan käyttää enemmän eikä vähemmän.
Tekoälyn käyttökohteista on koottu kymmenen esimerkkiä juttuun mihin pk-yritys käyttää tekoälyä. Yrityspaketit.fi:n palvelut kattavat sivustot, automaatiot ja markkinoinnin, lähtöhinnat ovat hinnastossa ja henkilöstön perehdytykseen on koulutus. Maksuttomassa 20 minuutin puhelussa käydään läpi, mitkä velvoitteet osuvat juuri sinun yritykseesi ja mikä niistä hoituu samalla kertaa.
Viranomaisohjeet ja komission aineisto on luettu näistä lähteistä 8.10.2026, ja teksti on tarkastettu niitä vasten ennen julkaisua. Ohjeita päivitetään ja asetuksen soveltaminen jatkuu vaiheittain, joten tarkista voimassa oleva versio ennen kuin teet päätöksiä. Tämä artikkeli ei ole oikeudellista neuvontaa.