Data- ja tekoälysääntelyn valvonta ja kansallinen toimeenpano

Viranomaistoiminta tulee olemaan data- ja tekoälysääntelyn toimivuuden ja tavoitteiden toteutumisen kannalta keskeisessä roolissa. Suomessa datasäädöksen pääasialliseksi valvontaviranomaiseksi ja tekoälysäädöksen keskitetyksi yhteyspisteeksi on esitetty Liikenne- ja viestintävirasto Traficomia. Datakoulu-webinaarisarjamme kevään viimeisessä jaksossa 7.5.2025 keskusteltiin valvonnan kansallisesta toteutuksesta ja viranomaisen uusista tehtävistä.

Webinaarissa keskustelivat asiantuntijamme Kalle Hynönen, Maria Lilius ja Riku Toivio sekä vieraspuhujana Liikenne- ja viestintäviraston datatalousverkoston projektipäällikkö Jarmo Riikonen.

Tekoälyasetuksen viranomaisvalvonta hajautetaan laajalle viranomaisjoukolle

Tekoälyasetuksen kansallinen toimeenpano toteutetaan Suomessa kahdessa eri vaiheessa; ensimmäisessä vaiheessa nimitetään tekoälyasetuksen noudattamista valvovat viranomaiset ja säädetään näiden viranomaisten toimivallasta määrätä seuraamuksia asetuksen rikkomisesta. Ensimmäisen vaiheen yhteydessä säädetään uusi laki tekoälyjärjestelmien valvonnasta, jonka on tarkoitus astua voimaan 2.8.2025. Toisessa vaiheessa toimeenpannaan kansallisesti ne tekoälyasetuksen säännökset, joita aletaan soveltamaan 2.8.2026 alkaen. Toisen vaiheen säännöksillä on pääasiassa tarkoitus perustaa niin sanottu tekoälyn sääntelyn testiympäristö sekä kansallinen rekisteri kriittisen infrastruktuurin turvakomponentteihin liittyville tekoälyjärjestelmille.

Tekoälyasetuksen osalta jäsenvaltioiden on perustettava tai nimettävä:

1. Vähintään yksi ilmoittamisesta vastaava viranomainen, joka vastaa vaatimustenmukaisuuden arviointilaitosten nimeämiseen ja seurantaan tarvittavista menettelyistä.
2. Vähintään yksi markkinavalvontaviranomainen, joka muun muassa toteuttaa markkinavalvonta-asetuksen mukaisia toimia, arvioi tekoälyjärjestelmien suuririskisyyttä ja määrää hallinnollisia sanktioita. Lisäksi yhden markkinavalvontaviranomaisen tulee toimia keskitettynä yhteyspisteenä.
3. Perusoikeuksia suojelevat viranomaiset, jotka valvovat perusoikeuksien suojelua koskevien velvoitteiden noudattamista tiettyihin suuririskisiin tekoälyjärjestelmiin liittyen.

Hallituksen esityksen mukaan tekoälyasetuksen valvontaan ehdotettuihin kansallisiin viranomaisiin kuuluisi jopa 18 erillistä viranomaista. Tekoälyasetuksen valvonnan on tarkoitus tapahtua pääasiassa jo olemassa olevan markkinavalvontajärjestelmän kautta ja viranomaisten nykyisten valvontatehtävien puitteita hyväksikäyttäen. Ehdotettuihin viranomaisiin kuuluvat muun muassa Traficom, Fimea, työ- ja elinkeinoministeriö, Tulli, Energiavirasto, Finanssivalvonta ja Tietosuojavaltuutettu. Keskitettynä yhteyspisteenä tulee toimimaan Traficom, joka tässä roolissaan vastaa muun muassa yhteydenpidosta EU:n yhteistyöelimiin ja muiden kansallisten viranomaisten tukemisesta. Tietosuojavaltuutettu vastaa muiden valvontatehtäviensä ohella keskitetysti kiellettyjen tekoälyyn liittyvien käytäntöjen valvonnasta.

Datasäädöksen viranomaisvalvonta keskitetään muutamalle viranomaiselle

Datasäädöksen kansallista toimeenpanoa varten on julkaistu hallituksen esityksen luonnos, jossa ehdotetaan säädettäväksi uusi laki datan hallinnan ja jakamisen valvonnasta. Luonnos sai runsaasti lausuntopalautetta, minkä seurauksena sen antaminen eduskunnalle siirrettiin keväältä ensi syksyyn. Uuden lain on tarkoitus tulla voimaan 1.1.2026, mutta datasäädöksen pääasiallinen soveltaminen alkaa jo 12.9.2025.

Datasäädöksen mukaan jäsenvaltion on nimettävä yksi tai useampi viranomainen, joka vastaa säädöksen soveltamisesta ja täytäntöönpanon valvonnasta. Viranomaisten tehtäviin kuuluu muun muassa datalukutaidon edistäminen, valitusten käsittely, seuraamusten määrääminen ja yhteistyö muiden viranomaisten kanssa. Datasäädöstä valvomaan on esitetty seuraavia viranomaisia:

• Traficom, jonka tehtäviin kuuluisi toimia datakoordinaattorina eli keskitettynä yhteyspisteenä sekä valvonnasta vastaavana toimivaltaisena viranomaisena.
• Kuluttaja-asiamies, joka toimisi valvonnasta vastaavana viranomaisena elinkeinonharjoittajien kuluttajiin kohdistuvaa tiedonantovelvollisuutta koskevissa asioissa.
• Kilpailu- ja kuluttajavirasto, jonka tehtäviin kuuluisi edistää kuluttajien datalukutaitoa.
• Tietosuojavaltuutettu, joka vastaisi datasäädöksen soveltamisen yhteydessä tapahtuvaan henkilötietojen käsittelyyn liittyvistä valvontatehtävistä.

Valvontaviranomaisella tulee olemaan tärkeä rooli sääntelyn neuvonnassa

Webinaarin lopussa keskityttiin Liikenne- ja viestintävirasto Traficomin datatalousverkoston projektipäällikön Jarmo Riikosen kanssa valvontaviranomaisen näkökulmaan. Jarmo Riikonen vastaa data- ja tekoälysääntelyn mukanaan tuomien viranomaistehtävien käynnistämisestä Traficomissa.

Jarmo Riikosen mukaan Traficomin painopistealueena tulee aluksi olemaan yritysten neuvominen ja ohjeistus esimerkiksi sen suhteen, kuuluuko yritys uuden sääntelyn piiriin ja mitä velvollisuuksia siihen liittyy sen sijaan, että heti käynnistettäisiin valvontatoimenpiteitä. Traficomin tavoitteena onkin aluksi keskittyä datasäädöksestä ja tekoälyasetuksesta viestimiseen, sääntelyn kansantajuistamiseen ja yleisen tietoisuuden kasvattamiseen. Seuraavassa vaiheessa ohjeistuksia on tarkoitus tarkentaa ja tuottaa esimerkiksi erilaisia Q&A-materiaaleja sen mukaan, mitä kysymyksiä yrityksillä herää.

"Datasäädöksen osalta yritysten kannattaa aloittaa valmistautuminen kartoittamalla kuuluuko yritys säädöksen piiriin, minkälaisia datan luovuttamisvelvollisuuksia tulee noudatettavaksi ja mitkä yrityksen roolit ovat datasäädöksen mukaan, mitä vastuita näihin rooleihin kuuluu ja miten ne vaikuttavat yrityksen sopimuksiin. Tekoälyasetuksen osalta kannattaa aloittaa kartoittamalla kuuluuko yritys asetuksen soveltamisen piiriin, minkälaisia järjestelmiä yritys käyttää, mihin riskikategorioihin nämä järjestelmät kuuluvat ja mitä velvollisuuksia yritykselle sitä kautta määräytyy", kertoo Jarmo Riikonen.

Tekoälyasetuksen kansallisen toimeenpanon osalta kysymyksiä ovat herättäneet viranomaisroolit, sillä valvontavastuu on esitetty hajautettavaksi hyvin monelle viranomaiselle. Jarmo Riikosen mukaan hajautuneempaan valvontakenttään on Traficomissa ja muiden viranomaisten kanssa varauduttu käynnistämällä yhteistyöverkosto viranomaisten kesken. Verkostossa on alkuvaiheessa tarkoitus kartoittaa, millainen toimivalta eri viranomaisilla on, mitä päällekkäisyyksiä löydetään ja miten viranomais- ja valvontatyötä aletaan tekemään. Yhteistyön alkupuolella tullaan myös keskittymään käytäntöjen yhtenäistämiseen ja oikean teknologiaosaamisen sijoittamiseen oikeaan paikkaan.

Datasäädöksen osalta kysymyksiä on herättänyt kansallisen lainsäädännön voimaantulon viivästyminen, sillä uusi lainsäädäntö astuu voimaan 1.1.2026, mutta datasäädöksen soveltaminen alkaa jo 12.9.2025. "Käytännössä tämä tarkoittaa, sitä että Suomessa ei tule olemaan ennen kansallisen lain voimaantuloa viranomaista, jolla olisi toimivaltaa datasäädöksen soveltamiseen, mutta on kaikkien etu, että säädöstä aletaan noudattamaan heti sen astuttua voimaan, sillä vastapuoli saattaa tehdä valituksen aiheesta. Tulemme Traficomissa jatkamaan yleistä tiedottamista ja neuvontaa kunnes saamme varsinaisen toimivallan", täsmentää Jarmo Riikonen ja jatkaa: "Kannustan olemaan Traficomiin matalalla kynnyksellä yhteydessä, jos yrityksissä on epäselvyyksiä tai tiedontarvetta sääntelyyn liittyen."

Datakoulu palaa jälleen ensi vuonna!

Datakoulu palaa uusilla jaksoilla ensi keväänä, jolloin datasääntelyn käytännön soveltaminen nostaa varmasti monia mielenkiintoisia aiheita keskusteltavaksi. Technology, Data & IP -praktiikkamme jatkaa kuitenkin mielellään keskusteluja sääntelymuutoksista.