Korkean riskin tekoälyn EU-säännöt siirtyivät: mitä tarjoajien on tehtävä ennen vuotta 2027

Keskeinen asia on aikataulu: EU:n korkean riskin tekoälyjärjestelmiä koskevat täysimääräiset velvoitteet on siirretty myöhemmiksi, eivätkä ne ole vielä yleisesti voimassa. Liitteen III erillisiin korkean riskin järjestelmiin vaatimuksia on määrä soveltaa 2.12.2027 alkaen. Tiettyihin säänneltyihin tuotteisiin sisältyvien korkean riskin tekoälyjärjestelmien määräaika on 2.8.2028. 18

EU-markkinoille tällaisia järjestelmiä tarjoaville yrityksille käytännön tehtävä on rakentaa jo ennen markkinoille saattamista vaatimustenmukaisuusprosessi, jolla voidaan osoittaa järjestelmän turvallisuus, jäljitettävyys ja vastuullisuus.

Mitä pidetään korkean riskin tekoälynä?

Korkean riskin luokkaan kuuluu kaksi pääryhmää:

• tekoälyjärjestelmät, joita käytetään tiettyjen EU:n tuotelakien piiriin kuuluvien tuotteiden turvakomponentteina ja joiden tuotteille vaaditaan kolmannen osapuolen tekemä vaatimustenmukaisuuden arviointi;
• tietyillä liitteen III käyttöalueilla käytettävät tekoälyjärjestelmät, kuitenkin säädöksen rajaukset ja poikkeukset huomioon ottaen. 15

Luokittelu on olennainen, sillä korkean riskin asema käynnistää tavallisia tekoälytyökaluja huomattavasti laajemmat velvoitteet koko järjestelmän elinkaaren ajaksi.

Mihin tarjoajien on varauduttava?

Ennen kuin korkean riskin järjestelmä voidaan saattaa EU-markkinoille, tarjoajalla on oltava tuotteen elinkaareen sisäänrakennetut hallintakeinot. Niitä ei voi uskottavasti koota vasta siinä vaiheessa, kun viranomainen pyytää selvitystä.

Riskienhallinta ja datan hallinta

Tarjoajien on luotava riskien arviointi- ja lieventämistoimet. Niiden on käytettävä myös riittävän laadukkaita aineistoja, jotta syrjivien lopputulosten riskiä voidaan pienentää. Korkean riskin kehys painottaa käyttötarkoitukseen nähden relevanttia, edustavaa ja asianmukaisesti hallittua opetus-, validointi- ja testidataa. 115

Dokumentointi ja jäljitettävyys

Korkean riskin järjestelmistä on ylläpidettävä lokitietoja, jotka tukevat tulosten jäljitettävyyttä. Lisäksi tarvitaan yksityiskohtainen tekninen dokumentaatio järjestelmästä ja sen käyttötarkoituksesta. Näiden aineistojen avulla viranomaiset voivat arvioida, täyttääkö järjestelmä vaatimukset. 1

Ihmisvalvonta ja toimintavarmuus

EU edellyttää asianmukaisia ihmisvalvonnan järjestelyjä sekä korkeaa tarkkuuden, toimintavarmuuden ja kyberturvallisuuden tasoa. Tarjoajan on annettava käyttöönottajalle selkeät ja riittävät tiedot, jotta järjestelmää voidaan käyttää tarkoitetulla tavalla ja sen rajoitukset ymmärtäen. 1

Vaatimustenmukaisuuden arviointi, rekisteröinti ja seuranta

Tarjoajan on tehtävä soveltuva vaatimustenmukaisuuden arviointi ennen korkean riskin järjestelmän markkinoille saattamista. Tarvittaessa järjestelmä on rekisteröitävä, sen toimintaa on seurattava käyttöönoton jälkeen ja vakavista vaaratilanteista on ilmoitettava. Vaatimustenmukaisuus ei siis ole kertaluonteinen hyväksyntä, vaan jatkuva toimintamalli. 115

Käytännön tarkistuslista vuosien 2027 ja 2028 määräaikoihin

Organisaation kannattaa pystyä vastaamaan ainakin näihin kysymyksiin:

1. Onko järjestelmä todella korkean riskin järjestelmä? Vertaa käyttötapausta liitteiden I ja III luokkiin.
2. Kuka vastaa mistä? Määritä omistajuus tuoteturvallisuudelle, oikeudelliselle vaatimustenmukaisuudelle, dokumentaatiolle ja vaaratilanteisiin reagoinnille.
3. Voidaanko riskit osoittaa ja lieventää? Pidä yllä toistettavaa riskienhallintaprosessia, testituloksia ja päätöksistä syntyviä merkintöjä.
4. Kestävätkö datakäytännöt tarkastelun? Dokumentoi aineistojen relevanssi, edustavuus, laatutarkastukset ja tunnetut rajoitukset.
5. Onko järjestelmä auditoitavissa? Säilytä lokit, tekniset asiakirjat ja käyttöohjeet, joissa kuvataan käyttötarkoitus ja rajoitukset.
6. Toimiiko ihmisvalvonta käytännössä? Määritä, milloin ihminen voi puuttua järjestelmän toimintaan, ohittaa tuloksen tai keskeyttää käytön.
7. Onko markkinoille saattamisen jälkeinen seuranta valmiina? Valmistele menettelyt suorituskyvyn seurantaan, korjaaviin toimiin ja vaaratilanneilmoituksiin.

Millaisia sakkoja tekoälysäädös mahdollistaa?

Tekoälysäädöksen seuraamukset sidotaan sekä euromääräisiin enimmäismääriin että maailmanlaajuiseen vuotuiseen liikevaihtoon. Ankarimmassa kategoriassa eli kielletyissä tekoälykäytännöissä sakko voi nousta 35 miljoonaan euroon tai 7 prosenttiin maailmanlaajuisesta vuotuisesta liikevaihdosta. Muista rikkomuksista enimmäisseuraamus voi olla 15 miljoonaa euroa tai 3 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta. 3

Mahdollisten seuraamusten mittakaava tarkoittaa, ettei korkean riskin tekoälyn hallinta voi jäädä pelkäksi lakitiimin tarkistukseksi. Tuote-, tietoturva-, data-, hankinta-, compliance- ja operatiivisten tiimien on kyettävä osoittamaan, että suojatoimet myös toimivat käytännössä.

Miksi määräajan siirtyminen merkitsee jo nyt?

Uudet päivämäärät antavat yrityksille lisäaikaa, mutta eivät kevennä vaatimusten sisältöä. Myöhään vuonna 2027 liikkeelle lähtevä tarjoaja voi silti joutua kiireellä rakentamaan dokumentointijärjestelmät, muuttamaan mallikehityksen käytäntöjä, toteuttamaan lokituksen, testaamaan ihmisvalvontaa ja luomaan markkinoille saattamisen jälkeiset raportointiprosessit.

Hyödyllisin lähtökohta on käsitellä EU:n tekoälysäädöstä tuotehallinnan standardina: korkean riskin käyttötavat tunnistetaan varhain, näyttöaineisto kerätään jo kehitystyön aikana ja turvallisuus, jäljitettävyys sekä ihmisen kontrolli sisällytetään julkaisuprosessiin alusta asti. 115