Tekoälyasetuksen seuraamukset voivat olla 35 milj. euroa tai 7 % maailmanlaajuisesta liikevaihdosta. Sakkojen yksityiskohdat rikkomustyypin mukaan ja vertailu GDPR:iin.
Euroopan unionin tekoälyasetus (asetus 2024/1689) ottaa käyttöön yhden Euroopan digitaalioikeuden ankarimmista seuraamusjärjestelmistä. Jopa 35 miljoonan euron tai 7 prosentin maailmanlaajuisesta liikevaihdosta nousevien sakkojen myötä tekoälyasetus lähettää selvän viestin: vaatimustenvastaisuus tekoälyn alalla ei ole abstrakti riski, vaan merkittävä taloudellinen riski.
Artikla 99 — Règlement (UE) 2024/1689
Jäsenvaltiot säätävät seuraamusjärjestelmät ja muut täytäntöönpanotoimenpiteet, joihin voi sisältyä myös varoituksia ja muita kuin taloudellisia toimenpiteitä, joita sovelletaan operaattoreiden tekemiin tämän asetuksen rikkomuksiin, ja toteuttavat kaikki tarvittavat toimenpiteet varmistaakseen, että niitä sovelletaan asianmukaisesti ja tehokkaasti […].
Asetuksen artikla 99 määrittää kolme seuraamustasoa rikkomuksen vakavuuden mukaan.
Ankarin seuraamustaso koskee artiklan 5 rikkomuksia (kielletyt käytännöt):
Sakko voi olla 35 miljoonaa euroa tai 7 % yrityksen vuotuisesta maailmanlaajuisesta liikevaihdosta, suurempi summa määrätään.
500 miljoonan euron liikevaihdolla toimivalle yritykselle tämä tarkoittaa mahdollisesti 35 miljoonan euron sakkoa. Maailmanlaajuiselle konsernille, jonka liikevaihto on 10 miljardia euroa, teoreettinen sakko nousee 700 miljoonaan euroon.
Toinen taso koskee korkean riskin tekoälyjärjestelmiin ja yleiskäyttöisiin tekoälymalleihin liittyvien velvoitteiden rikkomuksia:
Viimeinen kohta on ratkaiseva: työntekijöiden koulutuksen laiminlyönti tekoälyn alalla kuuluu tähän tasoon. Yritys, joka ei ole ryhtynyt mihinkään toimenpiteisiin varmistaakseen henkilöstönsä riittävän tekoälyosaamistason, voi saada sakkoja enintään 15 miljoonaa euroa tai 3 % maailmanlaajuisesta liikevaihdosta.
Kolmas taso koskee tilanteita, joissa yritys antaa epätarkkoja, puutteellisia tai harhaanjohtavia tietoja toimivaltaisille viranomaisille tai ilmoitetuille laitoksille:
Sakko voi olla 7,5 miljoonaa euroa tai 1,5 % vuotuisesta maailmanlaajuisesta liikevaihdosta.
Suomen näkökulma: OP-ryhmän kaltaiselle toimijalle (noin 6 miljardin euron tuotot) ankarin seuraamustaso tarkoittaisi jopa 420 miljoonan euron sakkoja. Myös julkiset toimijat kuten Kela ja Verohallinto, jotka kehittävät tekoälypohjaista asiankäsittelyä, ovat seuraamusriskin piirissä.
Tekoälyasetuksen järjestelmän ankaruuden mittaamiseksi vertailu GDPR:iin on valaiseva:
| Kriteeri | GDPR | Tekoälyasetus |
|---|---|---|
| Enimmäissakko (kiinteä summa) | 20 milj. euroa | 35 milj. euroa |
| Enimmäissakko (% liikevaihdosta) | 4 % maailmanlaajuisesta liikevaihdosta | 7 % maailmanlaajuisesta liikevaihdosta |
| Tasojen lukumäärä | 2 | 3 |
| Voimassa | Toukokuu 2018 | Asteittain (2025–2027) |
| Valvontaviranomainen | Tietosuojaviranomaiset | Kansalliset viranomaiset + Euroopan tekoälytoimisto |
EU:n lainsäätäjä on tarkoituksella asettanut tekoälyasetuksen seuraamukset GDPR:n yläpuolelle. Viesti on selvä: hallitsemattoman tekoälyn riskit katsotaan vähintään yhtä vakaviksi kuin tietosuojariskit — ja yrityksiä rangaistaan sen mukaisesti.
Muistutukseksi: GDPR:n seuraamukset eivät ole jääneet teoreettisiksi. Vuonna 2023 Meta sai 1,2 miljardin euron sakon Irlannin viranomaiselta. Amazon oli saanut 746 miljoonan euron sakon vuonna 2021 Luxemburgissa. Eurooppalaiset viranomaiset ovat osoittaneet, ettei enimmäissakkojen soveltamista suuryrityksiin epäröidä.
Asetus määrittelee mukautetun kohtelun pienille yrityksille. Artikla 99(6) täsmentää, että sakkojen on oltava “tehokkaita, oikeasuhteisia ja varoittavia”. Pk-yritysten ja startup-yritysten osalta viranomaisten on otettava huomioon yrityksen taloudellinen elinkelpoisuus.
Käytännössä:
Kunkin jäsenvaltion on nimettävä yksi tai useampi kansallinen toimivaltainen viranomainen vastaamaan markkinavalvonnasta ja asetuksen täytäntöönpanosta. Suomessa tämä vastuu jakautunee useiden toimijoiden kesken:
Euroopan komission yhteyteen perustettu Euroopan tekoälytoimisto toimii koordinoijana ja sillä on suora toimivalta yleiskäyttöisissä tekoälymalleissa. Se voi:
Sakkojen lisäksi tekoälyasetuksen mekanismi perustuu perusperiaatteeseen: todistustaakka on yrityksellä. Viranomaisen tehtävä ei ole osoittaa, että ette noudata sääntöjä — teidän tehtävänne on osoittaa, että noudatatte.
Mitattava ja jäljitettävä osaamispistemäärä jokaiselle työntekijälle on erityisen vahva todiste artiklan 4 osalta. Samoin täydellinen koulutushistoria päivämäärineen, sisältöineen ja tuloksineen mahdollistaa vaatimustenmukaisuuden todistamisen objektiivisesti.
Tarkastustilanteessa huonoin tilanne ei ole epätäydellinen vaatimustenmukaisuusohjelma — vaan sen täydellinen puuttuminen. Viranomaiset ottavat huomioon yrityksen tekemän työn. Rakenteellisen lähestymistavan aloittaminen, vaikkakaan epätäydellinen, on aina parempi vaihtoehto kuin täydellinen toimimattomuus.
📄Tekoälyauditointi yrityksessä: käytännön vaiheittainen opas→Seuraamukset tulevat voimaan asteittain eri velvoitteiden voimaantulon mukaisesti:
| Päivämäärä | Voimassa olevat velvoitteet | Sovellettavat seuraamukset |
|---|---|---|
| 1. helmikuuta 2025 | Kielletyt käytännöt (artikla 5) | Enintään 35 milj. euroa / 7 % |
| 2. elokuuta 2025 | Tekoälyosaaminen (artikla 4) + Yleiskäyttöiset mallit | Enintään 15 milj. euroa / 3 % |
| 2. elokuuta 2026 | Korkean riskin tekoälyjärjestelmät | Enintään 15 milj. euroa / 3 % |
| 2. elokuuta 2027 | Korkean riskin järjestelmät säänneltyihin tuotteisiin integroituina | Enintään 15 milj. euroa / 3 % |
Kaksi ensimmäistä määräaikaa on jo ylitetty. Yritykset, jotka eivät ole vielä ryhtyneet toimenpiteisiin kiellettyjen käytäntöjen ja tekoälyosaamisen osalta, ovat jo riskivyöhykkeellä.
Taloudelliset seuraamukset ovat vain näkyvä osa. Tekoälyasetuksen vaatimustenvastaisuus altistaa myös muille yhtä merkittäville riskeille:
Ce que ça implique pour vous
Tekoälyasetus ottaa käyttöön Euroopan digitaalioikeuden ankarimmat seuraamukset: 35 miljoonaa euroa tai 7 % maailmanlaajuisesta liikevaihdosta kielletyistä käytännöistä, 15 miljoonaa korkean riskin järjestelmistä ja koulutuksen laiminlyönnistä. Avain riskin minimoimiseen: todistakaa vaatimustenmukaisuutenne huolellisella dokumentoinnilla, jäljitetyillä koulutuksilla ja mitattavilla arvioinneilla. Ensimmäiset määräajat ovat jo ylitetty — jokainen päivä ilman toimenpiteitä lisää altistumista.