Tekoälyasetus muuttaa yritysjohdon vastuuta – tekoälyn hallintamalli on osa modernia riskienhallintaa
Tekoälyn käyttö on vakiintunut osaksi organisaatioiden arkea. Samalla EU:n tekoälyasetus ja osakeyhtiölain huolellisuusvelvoite edellyttävät, että tekoälyn käyttö on suunniteltua, valvottua ja dokumentoitua. Artikkeli kokoaa keskeiset asiat siitä, miten tekoälyn käyttö kannattaa järjestää ja mitä yrityksen johdon tulee huomioida riskienhallinnan näkökulmasta. Artikkeli perustuu kirjoittajan opinnäytetyöhön (Niemi Sara, Laurea 2026).
Varjotekoäly on yksi suurimmista riskeistä
Varjotekoälyllä tarkoitetaan työntekijöiden käyttämiä tekoälyratkaisuja, joita organisaatio ei ole hyväksynyt tai joiden käyttöä ei valvota. Tällaiset tilanteet voivat lisätä tietosuoja-, tietoturva- ja luottamuksellisuusriskejä sekä vaikeuttaa johdon mahdollisuuksia seurata tekoälyn käyttöä kokonaisuutena. Tällöin johdolla ei välttämättä ole riittävää näkyvyyttä siihen, miten tekoälyä käytetään ja millaisia vaikutuksia sillä on organisaation liiketoimintaan.
Dokumentointi suojaa organisaatiota
Organisaation tulee pystyä osoittamaan, millaisia ratkaisuja tekoälyn käyttöön liittyen on tehty, miten riskejä on arvioitu ja millaisia ohjeita henkilöstölle on annettu. Dokumentoinnin merkitys korostuu erityisesti silloin, kun tekoälyä käytetään liiketoiminnan kannalta merkittävissä prosesseissa tai henkilötietojen käsittelyssä. Usein jo selkeät vastuut, kirjalliset ohjeet ja säännöllinen seuranta luovat hyvän perustan tekoälyn vastuulliselle käytölle.
Tekoäly ei tee päätöksiä – ihminen tekee
Tekoäly voi tukea päätöksentekoa, tuottaa laadukasta sisältöä ja säästää aikaa, mutta se voi myös tehdä virheitä. Organisaation tulee varmistaa, että tekoälyn tuottamat tulokset tarkistetaan. Tämä on erittäin tärkeää aloilla, joissa käsitellään sensitiivisiä tietoja. Lopullinen vastuu työn laadusta säilyy aina ihmisellä. Organisaatio ei voi tuudittautua siihen, että tekoälyyn liittyvät velvoitteet koskisivat vain tekoälyasetuksen mukaisia korkean riskin järjestelmiä. Myös arkipäiväisessä käytössä oleviin tekoälytyökaluihin voi liittyä tietosuojaan, luottamukselliseen tietoon, virheellisiin lopputuloksiin tai päätöksenteon laatuun liittyviä riskejä. Siksi huomio kannattaa kiinnittää järjestelmän riskiluokituksen lisäksi siihen, miten ja mihin tarkoitukseen tekoälyä käytetään.
Tavoitteena ei ole rajoittaa tekoälyn käyttöä
Tekoälyasetuksen tarkoituksena ei ole estää uusien teknologioiden hyödyntämistä. Tavoitteena on mahdollistaa tekoälyn käyttö vastuullisella, eettisesti kestävällä ja perusoikeudet huomioivalla tavalla, jossa mahdolliset riskit tunnistetaan. Organisaatio, joka ymmärtää sekä tekoälyn mahdollisuudet että siihen liittyvät riskit ja velvoitteet, on huomattavasti paremmassa asemassa hyödyntäessään uutta teknologiaa.
Hyödynnä hallintamallia
Tekoälyn hallintamalli koostuu viidestä osa-alueesta:
- Vastuut ja roolit – kuka tekee mitä ja milloin?
Johto määrittää, kuka vastaa tekoälyn käytöstä ja seurannasta. Johdon tulee nimetä vastuuhenkilö tai työryhmä, joka on vastuussa tekoälyn käytön linjauksista, seurannasta ja raportoinnista. Vastuuhenkilö/työryhmä raportoi johdolle säännöllisesti (esimerkiksi neljännesvuosittain), miten tekoälyä organisaatiossa käytetään ja millaisia riskejä on havaittu. Raportointi kannattaa toteuttaa kirjallisesti, sillä tämä voi auttaa jälkikäteen mahdollisten vastuukysymysten arvioinnissa. - Riskien arviointi
Ennen tekoälyjärjestelmän käyttöönottoa arvioidaan, mitä tietoja järjestelmä käsittelee ja millaisia virheitä se voi tuottaa. Jos tekoälyä käytetään raportointiin, tulee arvioida esimerkiksi sitä, mitä tapahtuu, jos data on vääristynyttä tai virheellistä? Jos tekoäly taas käsittelee henkilötietoja, tulee arvioida, onko käsittely GDPR:n mukaista ja turvallista? - Käyttöpolitiikka – yhteiset pelisäännöt ehkäisevät varjotekoälyä
Organisaatiolle laaditaan selkeät pelisäännöt siitä, mitä tekoälytyökaluja saa käyttää ja mihin tarkoituksiin. Työntekijöiden saatavilla tulee olla hyväksyttyjen tekoälytyökalujen lista. Ilman ohjeistusta työntekijät ottavat käyttöön omia tekoälytyökalujaan, mikä lisää tietosuoja- ja tietoturvariskejä. Muiden kuin hyväksyttyjen tekoälytyökalujen käyttö edellyttää aina kirjallista lupaa etukäteen nimetyltä vastuuhenkilöltä. Lupamenettely ja sen perusteet kirjataan osaksi käyttöpolitiikkaa ja dokumentoidaan johdon nähtäväksi.
Tekoälyn tuottamat tekstit ja analyysit tulee tarkistaa ennen käyttöä. - Jatkuva seuranta
Tekoälyjärjestelmän toimivuutta ja vaikutuksia arvioidaan säännöllisesti. Vastuuhenkilö tarkistaa säännöllisin väliajoin, toimiiko järjestelmä edelleen odotetusti. Jos virheitä tai poikkeamia ilmenee, järjestelmän käyttöä pitää rajoittaa tai ohjeita päivittää. - Dokumentointi
Tekoälyasetuksen keskeinen vaatimus on, että organisaatio pystyy osoittamaan, mitä on tehty ja miksi. Tekoälyn käytöstä jää jälki: miten tekoälyä käytettiin ja kuka tarkisti lopputuloksen. Organisaation tulee kirjata tehdyt päätökset, riskienarvioinnit, ohjeet ja tehdyt tarkistukset. Dokumentoinnin voi toteuttaa esimerkiksi muistioilla tai tarkistuslistoilla, jotka tallennetaan keskitetysti esimerkiksi Sharepointiin tai vastaavaan paikkaan. Jos viranomainen pyytää selvitystä, kaikki tiedot löytyvät tällöin yhdestä paikasta.
Ajankohtaista
Euroopan komissio julkaisi 19.5.2026 ohjeluonnoksen suuririskisten tekoälyjärjestelmien luokittelusta. Ohjeet sisältävät käytännön esimerkkejä muun muassa rekrytoinnin tekoälyratkaisuista. Ohjeet eivät ole sitovia, mutta ne helpottavat tekoälyasetuksen tulkintaa. Suuririskisen tekoälyjärjestelmän soveltamiselle myönnetty lisäaika ei ole hengähdystauko. Vaikka lopullinen asetusteksti puuttuu vielä, nyt on viimeinen hetki varmistaa, että organisaation käytännöt, vastuut ja dokumentointi ovat valmiina ennen sääntelyn seuraavaa vaihetta.
Artikkeli on tiivistelmä Sara Niemen opinnäytetyöstä Laurea-ammattikorkeakoulusta. Julkaisemme taloushallintoalaa ja alan kehitystä koskevia opinnäytetöitä Kanavalla säännöllisin väliajoin. Voit lukea koko opinnäytetyön täältä.