EU:n tekoälyä koskeva sääntely ja tarvittavat toimenpiteet japanilaisille yrityksille

12. heinäkuuta 2024 EU:ssa julkaistiin “AI-säädöslaki (EU AI Act)”, ja se tuli voimaan 1. elokuuta samana vuonna.
Tämä laki säätelee AI-järjestelmien käyttöä ja tarjoamista EU:n alueella, ja vuodesta 2025 lähtien se edellyttää myös tietyiltä vastauksilta japanilaisilta yrityksiltä.

Konkreettisesti tämä tarkoittaa, että samalla tavalla kuin Japanin sisäiset verkkokaupan ylläpitäjät tarvitsevat noudattaa EU:n “yleistä tietosuoja-asetusta (GDPR)”, myös japanilaiset yritykset, jotka tarjoavat AI-liittyviä tuotteita tai palveluita EU:n asiakkaille, voivat joutua EU:n AI-säädöslain soveltamisalan piiriin.

Tässä selitämme, mitä vaatimuksia kyseisen lain voimaantulo tuo mukanaan liittyen AI-järjestelmien riskiluokitteluun ja vaatimustenmukaisuuden arviointiin, sekä miten yritysten tulisi vastata näihin säädöksiin.

Lähtökohta: Ero EU:n “asetusten” ja “direktiivien” välillä

Ennen AI-sääntelyn itsensä selittämistä on ymmärrettävä EU-lainsäädännössä “asetusten” ja “direktiivien” väliset erot.

Ensinnäkin “asetus” on lainsäädäntö, joka sovelletaan suoraan EU:n jäsenvaltioihin, yrityksiin ja muihin toimijoihin. Tämä tarkoittaa, että asetus on etusijalla jäsenvaltioiden kansalliseen lainsäädäntöön nähden ja että EU:n alueella sovelletaan yhtenäisiä sääntöjä. Näin ollen, kun asetus tulee voimaan, sama sääntely sisältö sovelletaan kaikissa jäsenvaltioissa.

Toisaalta “direktiivi” on lainsäädäntö, jonka tarkoituksena on jäsenvaltioiden sääntelyn sisällön koordinointi ja yhdenmukaistaminen. Direktiivi ei kuitenkaan yleensä sovellu suoraan jäsenvaltioihin, vaan kukin valtio tarvitsee muuttaa direktiivin määräykset kansalliseksi lainsäädännöksi. Yleensä direktiivit on saatettava osaksi kansallista lainsäädäntöä tai muutettava sitä kolmen vuoden kuluessa niiden julkaisemisesta EU:n virallisessa lehdessä.

Direktiivien ominaisuutena on, että kun ne muutetaan kansallisiksi laeiksi, jäsenvaltioille annetaan tietty määrä harkintavaltaa, mikä tarkoittaa, että eri maiden lainsäädännössä voi olla eroja. Toisin sanoen direktiiveihin perustuvat lait eivät ole täysin yhdenmukaisia koko EU:n alueella, ja maiden välillä voi olla pieniä eroja, joihin on kiinnitettävä huomiota.

Tämän erottelun pohjalta AI-sääntely on laadittu “asetuksena”. Toisin sanoen AI-sääntely sovelletaan suoraan EU:n alueella toimiviin yrityksiin.

Liittyvä artikkeli: Yrityksille, jotka suunnittelevat liiketoimintaa Euroopassa: EU:n lainsäädännön ja oikeusjärjestelmän keskeiset kohdat selitettynä[ja]

Tekoälyn sääntely ja sen ulkoterritoriaalinen soveltaminen Japanissa

Mikä on ulkoterritoriaalinen soveltaminen?

Ulkoterritoriaalinen soveltaminen tarkoittaa sitä, että jonkin maan säätämä laki ulottuu koskemaan toimia, jotka tapahtuvat kyseisen maan suvereniteetin ulkopuolella. Ulkoterritoriaalisen soveltamisen taustalla on talouden globalisaatio ja yritystoiminnan kansainvälistyminen, ja sen tavoitteena on varmistaa maailmanlaajuisen taloustoiminnan reiluus ja asianmukaisuus.

Tämä käsite tuli laajalti tunnetuksi GDPR:n (EU:n yleinen tietosuoja-asetus) myötä. GDPR:ssä säädetään, että vaikka yrityksellä ei olisi toimipistettä EU:n alueella, se voi silti joutua asetuksen piiriin (ulkoterritoriaalinen soveltaminen), jos se täyttää seuraavat ehdot:

• Palvelujen tai tuotteiden tarjoaminen EU:n alueella oleville henkilöille
• Henkilötietojen käsittely EU:n alueella olevien henkilöiden toiminnan valvomiseksi

Esimerkiksi, kun EU:n ulkopuolinen yritys lähettää työntekijöitä komennukselle EU:hun ja käsittelee heidän henkilötietojaan siellä, vuoden 2020 ohjeistuksessa tämä määriteltiin “soveltamisalan ulkopuolelle”, mutta alun perin kyseessä oli tapaus, jossa ulkoterritoriaalista soveltamista pohdittiin.

Tekoälyn sääntelyn ulkoterritoriaalinen soveltaminen Japanissa

EU:n tekoälyn sääntelylaissa myös EU:n ulkopuolella sijaitseville yrityksille myönnetään ulkoterritoriaalinen soveltaminen. Seuraavat yritykset ja toiminnot ovat kohderyhmänä:

• Tarjoajat (Providers): Tekoälyjärjestelmiä tai GPAI-malleja kehittävät, markkinoille tuovat tai omalla nimellään tai tavaramerkillään käyttöön ottavat henkilöt
• Käyttäjät (Users): Tekoälyjärjestelmiä omalla vastuullaan käyttävät henkilöt (pois lukien henkilökohtaiseen ja ei-ammattimaiseen toimintaan käytettävät järjestelmät)
• Tuoja (Importers): EU:n ulkopuolella perustetut luonnolliset henkilöt tai oikeushenkilöt, jotka tuovat EU:n markkinoille omalla nimellään tai tavaramerkillään varustettuja tekoälyjärjestelmiä
• Jakelijat (Distributers): Tarjoajien tai tuojien lisäksi, tekoälyjärjestelmiä EU:n sisämarkkinoille toimittavat toimitusketjuun kuuluvat luonnolliset henkilöt tai oikeushenkilöt

Kuten yllä mainittiin, vaikka yritys sijaitsisi EU:n ulkopuolella, jos se tarjoaa, käyttää, tuo maahan tai käyttää tekoälyjärjestelmiä tai GPAI-malleja EU:n sisällä, EU:n tekoälyn sääntelylaki soveltuu suoraan.

EU:n tekoälylainsäädännön piirteet: Riskipohjainen lähestymistapa

Mikä on riskipohjainen lähestymistapa?

EU:n tekoälyä koskevan lainsäädännön suurin erityispiirre on “riskin sisällön ja asteen mukainen sääntely” (riskipohjainen lähestymistapa).

Riskipohjainen lähestymistapa tarkoittaa sääntelyn voimakkuuden säätämistä riskin sisällön ja asteen perusteella. Tässä lähestymistavassa tekoälyjärjestelmien mahdollisesti aiheuttamien riskien vakavuuden mukaan määritellään kyseisiin järjestelmiin kohdistuvan sääntelyn tiukkuus.

Käytännössä korkean riskin tekoälyjärjestelmiin sovelletaan tiukempaa sääntelyä, kun taas matalan riskin järjestelmiin sovelletaan suhteellisen lievempää sääntelyä. Tämän ansiosta voidaan välttää liiallista sääntelyä matalan riskin järjestelmissä ja toisaalta varmistaa asianmukainen valvonta ja hallinta korkean riskin järjestelmissä.

Hyväksyttävän riskin ylittävät tekoälyjärjestelmät Japanissa

Ensimmäiseksi, hyväksyttävän riskin ylittävät tekoälyjärjestelmät katsotaan uhaksi ihmisille ja ne on periaatteessa kielletty Japanissa.

Esimerkiksi ääniohjattavat lelut, jotka voivat rohkaista lapsia vaaralliseen käyttäytymiseen ja manipuloida tiettyjen haavoittuvien ryhmien käyttäjien kognitiota tai käyttäytymistä, kuuluvat tähän kategoriaan. Myös sosiaalinen pisteytys, joka luokittelee ihmisiä heidän käyttäytymisensä, sosioekonomisen asemansa tai henkilökohtaisten ominaisuuksiensa perusteella, on kielletty. Lisäksi kasvojentunnistusteknologiaa hyödyntävät järjestelmät, jotka vertaavat ihmisten biometrisiä tietoja etäältä referenssitietokantoihin henkilöiden tunnistamiseksi reaaliajassa, ovat myös periaatteessa kiellettyjä.

Kuitenkin poikkeuksena näiden järjestelmien käyttö voidaan sallia tietyissä tapauksissa. Esimerkiksi reaaliaikaiset etäbiometriset tunnistusjärjestelmät voidaan sallia vain rajoitetuissa vakavissa tapauksissa. Toisaalta, jälkikäteiset etäbiometriset tunnistusjärjestelmät voidaan sallia, jos niitä käytetään vakavien rikosten syytteeseen asettamiseen ja niille on saatu tuomioistuimen hyväksyntä.

Lisäksi poikkeuksellisesti sallittuja tilanteita ovat esimerkiksi kadonneiden lasten tai mahdollisten rikoksen uhrien etsiminen, konkreettisten ja välittömien uhkien tai terrori-iskujen estäminen ihmisten elämälle tai fyysiselle turvallisuudelle sekä vakavien rikosten tekijöiden tai epäiltyjen havaitseminen ja sijainnin määrittäminen. Näihin poikkeuksiin liittyy tiukkoja rajoituksia, kuten tuomioistuimen ennakkohyväksynnän periaate, ja tekoälyjärjestelmien käyttö vaatii varovaista toimintaa.

Korkean riskin AI-järjestelmät Japanissa

Seuraavaksi, korkean riskin AI-järjestelmiksi luokitellaan ne tekoälyjärjestelmät, joilla on potentiaalia vaikuttaa haitallisesti turvallisuuteen tai perustavanlaatuisiin ihmisoikeuksiin. Näiden käyttö on sallittua, kunhan ne täyttävät tietyt vaatimukset ja velvoitteet (yhteensopivuuden arviointi).

Korkean riskin AI-järjestelmät jaetaan pääasiassa kahteen kategoriaan. Ensimmäinen kategoria käsittää AI-järjestelmät, joita käytetään EU:n tuoteturvallisuuslainsäädännön alaisissa tuotteissa, kuten leluissa, ilmailussa, autoissa, lääkinnällisissä laitteissa ja hisseissä. Toinen kategoria koostuu AI-järjestelmistä, jotka on rekisteröitävä EU:n tietokantaan ja jotka kuuluvat tiettyihin erityisaloihin. Näihin aloihin lukeutuvat kriittisen infrastruktuurin hallinta ja toiminta, koulutus ja ammattikoulutus, työllisyys ja työntekijöiden hallinta, välttämättömät julkiset palvelut ja etuudet, lainvalvonta, maahanmuutto ja turvapaikanhaku, rajavalvonta sekä lain tulkinnan ja soveltamisen tuki.

Korkean riskin AI-järjestelmien on läpäistävä arviointi ennen markkinoille tuomista ja niiden elinkaaren aikana. Lisäksi, kansallisille viranomaisille on annettu oikeus esittää valituksia AI-järjestelmistä.

Yleisesti ottaen voidaan sanoa, että korkean riskin AI:n piiriin kuuluvat koneet ja ajoneuvot, joiden tulee taata ihmisen elämän ja fyysisen turvallisuuden suojeleminen. Esimerkiksi itseohjautuva tekoäly voi kuulua tähän kategoriaan, joten kun japanilaiset yritykset kehittävät itseohjautuvaa tekoälyä ja suuntaavat kansainvälisille markkinoille, niiden on huolellisesti harkittava, täyttävätkö ne korkean riskin AI:n vaatimukset ja vastattava niihin asianmukaisesti.

Rajoitetun riskin AI-järjestelmät Japanissa

Rajoitetun riskin AI-järjestelmät Japanissa voivat kohdata läpinäkyvyysriskejä sekä riskejä, jotka liittyvät identiteettivarkauksiin, manipulointiin ja petoksiin. Esimerkkeinä tällaisista järjestelmistä ovat chatbotit, deepfake-teknologiat ja generatiivinen tekoäly, ja EU-parlamentin näkemyksen mukaan suurin osa nykyisistä AI-järjestelmistä kuuluu tähän kategoriaan. Tähän ryhmään lukeutuvat esimerkiksi automaattiset käännösjärjestelmät, pelikonsolit, toistuvia valmistusprosesseja suorittavat robotit ja niin kutsutut “Eureka-koneet”.

Generatiivisen tekoälyn osalta, vaikka se ei luokitella korkean riskin AI:ksi, siltä vaaditaan läpinäkyvyyttä ja EU:n tekijänoikeuslakien noudattamista. Tämä edellyttää seuraavia toimenpiteitä:

• Sisällön AI-generoidun alkuperän selvästi ilmoittaminen
• Mallin suunnittelu siten, ettei se tuota laitonta sisältöä
• AI:n koulutuksessa käytettyjen tekijänoikeudella suojattujen tietojen yhteenvedon julkaiseminen

Lisäksi, “GPT-4” kaltaiset edistyneet ja vaikutusvaltaiset yleiskäyttöiset AI-mallit (GPAI-mallit) voivat aiheuttaa systeemisiä riskejä, minkä vuoksi ne vaativat perusteellista arviointia. Merkittävien tapahtumien sattuessa on myös velvollisuus raportoida Euroopan komissiolle. Lisäksi AI:n avulla luotua tai muokattua sisältöä (kuten kuvia, ääntä, videoita, deepfakeja) on selkeästi merkittävä AI-generoiduksi, jotta käyttäjät voivat tunnistaa sisällön luonteen.

Minimaalisen riskin AI-järjestelmät Japanissa

Lopuksi, minimaalisen riskin AI-järjestelmille, kuten esimerkiksi roskapostisuodattimille ja suositusjärjestelmille, ei ole asetettu erityisiä sääntelyjä Japanissa. Tässä kategoriassa suositaan sääntelyn sijaan käyttäytymissääntöjen laatimista ja niiden noudattamista.

Vaateet ja velvollisuudet korkean riskin AI-järjestelmiin liittyen Japanissa

Toimittajien, käyttäjien, maahantuojien ja jälleenmyyjien velvollisuudet

Edellä mainitun erottelun pohjalta erityisesti korkean riskin AI-järjestelmille on asetettu niiden riskien vakavuuden vuoksi erityisen tiukat säännökset, ja toimittajille sekä käyttäjille on asetettu konkreettisia velvollisuuksia.

Ensinnäkin toimittajilta, käyttäjiltä, maahantuojilta ja jälleenmyyjiltä vaaditaan riskienhallintajärjestelmän rakentamista (9. pykälä). Tämä tarkoittaa korkean riskin AI-järjestelmien sisäisten riskien tunnistamista, niiden asianmukaista hallintaa varten järjestelmän rakentamista ja käyttöönottoa sekä sen dokumentointia ja ylläpitoa. Lisäksi datanhallinnan osalta (10. pykälä) vaaditaan oppimiseen, validointiin ja testaukseen käytettävien tietoaineistojen laatuvaatimusten täyttämistä. Tämä johtuu siitä, että AI-järjestelmien kehitysvaiheessa datan laadun ja luotettavuuden on oltava tiukasti hallinnassa.

Lisäksi teknisten dokumenttien laatiminen on pakollista (11. pykälä). Nämä tekniset dokumentit sisältävät tiedot, jotka todistavat korkean riskin AI-järjestelmien noudattavan sääntelyvaatimuksia, ja ne on valmisteltava niin, että ne voidaan toimittaa jäsenvaltioiden toimivaltaisille viranomaisille tai kolmannen osapuolen sertifiointielimille. On myös tarpeen suunnitella ja kehittää lokitoiminto, joka automaattisesti tallentaa tapahtumia AI-järjestelmän toimiessa (12. pykälä). Lisäksi korkean riskin AI-järjestelmät on rekisteröitävä EU:n hallinnoimaan tietokantaan ennen markkinoille tuomista, ja toimittajilla on vastuu laatia ja ylläpitää dokumentoitu laadunhallintajärjestelmä.

Toimittajan velvollisuudet

Toimittajien on säilytettävä teknisiä dokumentteja ja laadunhallintajärjestelmään liittyviä asiakirjoja, kolmannen osapuolen sertifiointielinten hyväksyntöjä tai päätöksiä sekä muita asiaankuuluvia asiakirjoja kymmenen vuoden ajan markkinoille tuomisen tai käyttöönoton jälkeen ja esitettävä ne kansallisen toimivaltaisen viranomaisen pyynnöstä. Näin ollen toimittajilla on vastuu ylläpitää AI-järjestelmän laatua ja turvallisuutta pitkällä aikavälillä ja varmistaa läpinäkyvyys.

Käyttäjän velvollisuudet

Toisaalta käyttäjille on asetettu konkreettisia velvollisuuksia korkean riskin AI-järjestelmän käytön yhteydessä. Käyttäjien on säilytettävä AI-järjestelmän automaattisesti tuottamia lokeja asianmukaisen ajanjakson ajan, mikäli EU-lainsäädännössä tai jäsenvaltion laissa ei ole erityisiä säännöksiä, ja tämä ajanjakso on vähintään kuusi kuukautta.

Lisäksi, jos korkean riskin AI-järjestelmää otetaan käyttöön tai sitä käytetään työpaikalla, työnantajana toimivan käyttäjän on ilmoitettava etukäteen työntekijöiden edustajille ja vaikutuksen kohteena oleville työntekijöille, että kyseistä järjestelmää tullaan käyttämään. Tämä on säädetty työntekijöiden oikeuksien suojelemiseksi ja läpinäkyvyyden varmistamiseksi.

Näin ollen korkean riskin AI-järjestelmille on asetettu tiukat vaatimukset ja velvollisuudet sekä toimittajille että käyttäjille. Erityisesti edistyneitä AI-teknologioita, kuten lääkinnällisiä laitteita tai autonomisia ajoneuvojärjestelmiä käsiteltäessä, on otettava huomioon yhteensopivuus olemassa olevien sääntelykehysten kanssa ja tarvittaessa suoritettava soveltuvuusarviointeja ja kolmannen osapuolen sertifiointielinten tarkastuksia, joten yritysten on toimittava harkiten ja suunnitelmallisesti.

AI-sääntelyn asteittainen käyttöönottoaikataulu Japanissa

EU:n AI-sääntely on suunniteltu otettavaksi käyttöön vaiheittain julkaisusta soveltamiseen asti. Tämä edellyttää, että yritysten on valmistauduttava ja vastattava kunkin vaiheen vaatimuksiin.

AI-sääntely julkaistiin virallisessa lehdessä 12. heinäkuuta 2024 ja astui voimaan 1. elokuuta samana vuonna. Tässä vaiheessa yrityksiltä vaaditaan ensisijaisesti sääntelyn sisällön tarkistamista ja harkintaa.

2. helmikuuta 2025 tulevat sovellettaviksi ‘yleiset säännökset’ ja ‘hyväksyttävän riskin ylittävät AI-järjestelmät’ koskevat pykälät. Jos yritys käsittelee hyväksyttävän riskin ylittäviä AI-järjestelmiä, sen on välittömästi lopetettava niiden käsittely.

Seuraavaksi, 2. toukokuuta 2025, julkaistaan yleiskäyttöisiä AI-malleja (GPAI) tarjoaville toimijoille tarkoitetut käytännön säännöt (Codes of Practice). Yritysten on toimittava näiden käytännön sääntöjen mukaisesti.

Myöhemmin, 2. elokuuta 2025, ‘GPAI-mallit’ ja ‘rangaistussäännökset’ tulevat sovellettaviksi, ja jäsenvaltiot nimittävät kunkin toimivaltaiset viranomaiset. Tässä vaiheessa GPAI-malleja tarjoavien yritysten on noudatettava asiaankuuluvia sääntöjä.

2. helmikuuta 2026 julkaistaan AI-sääntelyn mukaiset AI-järjestelmien toteutusmenetelmiä koskevat ohjeet. Samanaikaisesti velvoitetaan suorittamaan markkinoille saatettujen korkean riskin AI-järjestelmien jälkiseurantaa, ja yritysten on oltava valmiita vastaamaan tähän vaatimukseen.

Lisäksi, 2. elokuuta 2026 tulevat sovellettaviksi liitteessä III mainitut ‘korkean riskin AI-järjestelmät’. Tässä vaiheessa jäsenvaltioiden on perustettava AI-sääntelyn sandboxit, ja kyseisten korkean riskin AI-järjestelmien sääntöjen noudattaminen on välttämätöntä.

Lopuksi, 2. elokuuta 2027 tulevat sovellettaviksi liitteessä I mainitut ‘korkean riskin AI-järjestelmät’. Tämän myötä liitteessä I määriteltyjen AI-järjestelmien sääntöjen noudattaminen on pakollista.

Näin ollen AI-sääntely otetaan käyttöön vaiheittain useiden vuosien aikana, ja riskin suuruuden mukaan määräytyvät säännökset tulevat voimaan asteittain. Yritysten on ymmärrettävä kunkin soveltamisajan tarkasti ja edettävä vastaavien AI-järjestelmien mukaisesti.

Liittyvä artikkeli: EU:n AI-sääntelyn nykytila ja näkymät? Selvitys myös japanilaisyritysten vaikutuksista[ja]

Esittelyssä Monolith-oikeustoimiston palvelut

Monolith-oikeustoimisto yhdistää IT-alan, erityisesti internetin, ja oikeudellisen asiantuntemuksen tarjotakseen ainutlaatuisia ja tehokkaita oikeudellisia palveluita.

AI-liiketoimintaan liittyy monia oikeudellisia riskejä, ja tekoälyyn liittyvissä oikeudellisissa kysymyksissä on välttämätöntä saada tukea asianajajilta, jotka ovat perehtyneet AI:n oikeudellisiin näkökohtiin. Monolith-oikeustoimisto tarjoaa AI:ta tuntevien asianajajien ja insinöörien tiimin avulla korkeatasoista oikeudellista tukea AI-liiketoiminnalle, mukaan lukien ChatGPT, sopimusten laatimisessa, liiketoimintamallien laillisuuden arvioinnissa, immateriaalioikeuksien suojelussa ja yksityisyyden suojaamisessa. Lisätietoja on esitetty alla olevassa artikkelissa.

Monolith-oikeustoimiston palvelualueet: AI (ChatGPT jne.) oikeudelliset palvelut[ja]