Datakoulu teki paluun Digiomnibus-pakettia käsittelevällä jaksolla

Suositun Datakoulu-webinaarisarjamme viides kausi käynnistyi 25.3.2026 jaksolla, jossa käsiteltiin Digiomnibus-pakettia ja sen käytännön vaikutuksia. Euroopan komissio julkaisi marraskuussa 2025 ehdotukset digitaalisen sääntökokonaisuuden ja tekoälysääntöjen täytäntöönpanon yksinkertaistamisesta (digiomnibus), joka on vuoden odotetuimpia lainsäädäntöpaketteja datan, tekoälyn ja tietosuojan parissa työskenteleville. Parlamentin ja neuvoston kantoja on julkaistu kevään mittaan. Datakoulussa keskusteltiin paketin aikataulusta, muutosehdotuksista ja niiden vaikutuksista. 

Datakoulu-webinaarisarja käsittelee digi-, data- ja tekoälysääntelyn muutoksia käytännönläheisesti yritysten näkökulmasta. Tällä kertaa webinaarissa esiintyivät asiantuntijamme Kalle Hynönen, Iiris Rantanen ja Ella Karppanen sekä Liikenne- ja viestintäministeriön erityisasiantuntija Meeri Toivanen.

Digital Omnibus lyhyesti – mitä ja miksi?

Digital Omnibus Regulation Proposal on laajahko digialan säännöstöä koskeva koontipakettiehdotus, jonka avulla muokataan varsin tuoretta Euroopan unionin digi-, data- ja tekoälylainsäädäntöä. Sen tavoitteena on edistää EU:n kilpailukykyä yksinkertaistamalla ja keventämällä yritysten, julkishallinnon ja kansalaisten taakkaa ja kustannuksia, jotka johtuvat digitaalisen sääntelyn noudattamisesta. Paketti koostuu kahdesta kokonaisuudesta: Digital Omnibus kattaa dataa, kyberturvallisuutta ja yksityisyyttä koskevat säännöt, kun taas Digital Omnibus on AI sisältää tekoälysäädökseen ehdotetut muutokset. Ehdotus annettiin 19.11.2025 ja sen käsittely on meneillään EU:n lainsäädäntökoneistossa. 

Fokuksessa tekoälysäädös: tekoälyä koskevaa pakettia vauhditetaan

Tekoälysäädöksen alkuperäisen aikataulun mukaan liitteen III korkean riskin tekoälyjärjestelmiin liittyvät velvoitteet alkavat soveltumaan elokuussa 2026 ja liitteen I järjestelmien velvoitteet elokuussa 2027. Täytäntöönpanon haasteiksi tunnistettiin kuitenkin kansallisen toimeenpanon ja komission valmistelun hitaus sekä suuririskisiä järjestelmiä koskevien yhteisten standardien ja arviointimenetelmien puuttuminen. Komission ehdotuksessa suuririskisiä järjestelmiä koskevien sääntöjen täytäntöönpanoaikataulu linkitetään standardien tai muiden tukivälineiden saatavuuteen. Vaihtoehtoisesti sääntely astuisi voimaan seuraaviin takarajoihin mennessä: liitteen III järjestelmien osalta 2.12.2027 ja liitteen I järjestelmien osalta 2.8.2028 mennessä. Neuvosto ja parlamentti ovat kommenteissaan puoltaneet jälkimmäistä vaihtoehtoa.

Mitä keskeisiä muutoksia tekoälysäädökseen ehdotetaan?

1. Tekoälylukutaidon edistäminen: Tekoälylukutaitoa koskeva velvoite muutetaan komission ja jäsenvaltioiden velvoitteeksi edistää tekoälylukutaitoa. Jäsenvaltiot ja komissio tarjoaisivat tähän koulutusmahdollisuuksia ja tietoresursseja. 
2. Laajempia toimivaltoja ja kevyempiä velvoitteita: Tekoälytoimistolle keskitetään tiettyjen GPAI-malliin perustuvien tekoälyjärjestelmien sekä erittäin suuriin verkkoalustoihin tai hakukoneisiin upotettujen tekoälyjärjestelmien valvontaa. Pienten midcap-yritysten compliance-taakkaa kevennetään. Rekisteröintitaakkaa vähennetään tekoälyjärjestelmiltä, jotka toimivat suuririskisellä alalla, mutta ovat suppeiden tai menettelyllisten tehtävien poikkeusperusteen piirissä. 
3. Erityisten henkilötietojen käsittely: Ehdotus sisältää poikkeusperusteen erityisten henkilötietojen käsittelyyn, jonka tavoitteena on suojella vinoutumien kielteisiltä vaikutuksilta. Tiukkarajainen poikkeus soveltuisi myös muiden tekoälyjärjestelmien ja -mallien tarjoajiin ja käyttöönottajiin sekä suuririskisten tekoälyjärjestelmien käyttöönottajiin, jos se on välttämätöntä ja oikeasuhteista.
4. Synteettisen sisällön merkitseminen: Avoimuusvelvoitteiden aikataulua helpotetaan pidentämällä siirtymäaikaa tekoälyjärjestelmien tarjoajille, jotka ovat jo saattaneet järjestelmänsä markkinoille ennen 2. elokuuta 2026 ja joiden on toteuttava teknisiä ratkaisuja ”takautuvasti” synteettistä ääni-, kuva-, video- tai tekstisisältöä tuottavien tekoälyjärjestelmien luoman sisällön merkitsemiseksi. 

Datasäädöksen puolelle on ehdotettu maltillisempia muutoksia

Datasääntely kodifioidaan, eli muodostetaan yksi yhtenäinen säädös datatalouden sääntelyyn. Datasäädöksen alle siirretään datanhallinta-asetus, datan vapaata liikkuvuutta koskeva asetus ja avoimen datan direktiivi. Samalla pyritään poistamaan päällekkäisyyksiä ja ristiriitaisuuksia. 

Mitä keskeisiä muutoksia datasäädökseen ehdotetaan?

• Liikesalaisuuksien suojan vahvistaminen: Datan haltijoille lisätään oikeus kieltäytyä luovuttamasta liikesalaisuuksia sisältävää dataa käyttäjälle ja datan vastaanottajille, jos on suuri riski liikesalaisuuden vuotamisesta kolmansiin maihin, joiden lainkäyttöalueella liike-salaisuuksien oikeudellinen suoja on heikompi kuin EU:ssa. Kieltäytyminen on tapauskohtaista. 
• Datankäsittelypalveluita koskevat muutokset: Pk-yritysten ja pienten midcap-yritysten tarjoamat muut kuin IaaS-palvelut vapautetaan pääosin VI luvun vaihtoehtovelvoitteista, jos sopimus on tehty ennen 12.9.2025. Vaihtovelvoitteista vapautetaan myös, jos suurin osa palvelun ominaisuuksista on räätälöity asiakkaan tarpeisiin ja sopimus on tehty ennen 12.9.2025. Vaihto- ja siirtomaksuja koskeva kielto ja asteittainen poistaminen (29 artikla) kuitenkin säilyy.
• B2G datan jakamisvelvoitteen rajaaminen: Julkisen sektorin toimijoilla on mahdollisuus saada pääsy yhdistettyjen laitteiden ja liitännäispalvelujen tuottamaan dataan "poikkeuksellisen tarpeen" perusteella. Nyt pääsy ehdotetaan rajattavaksi pelkästään julkisiin hätätilanteisiin. 

Omnibus-paketti ehdottaa muutoksia myös tietosuoja-asetukseen

Mitä keskeisiä muutoksia tietosuoja-asetukseen ehdotetaan?

1. Henkilötiedon määritelmä: Tietosuoja-asetukseen ehdotetaan tuotavaksi nimenomainen maininta siitä, että tieto on henkilötietoa vain niille toimijoille, joilla on kohtuudella käytettävissään keinot luonnollisen henkilön tunnistamiseksi. Tieto ei olisi sen luovuttajalle henkilötietoa vain siksi, että tiedon vastaanottajalla on tunnistamiseen tarvittavat keinot. Toteutuessaan tämä tarkoittaisi vähentynyttä tarvetta henkilötietojen käsittelysopimukselle ja helpotuksia tilanteisiin, jossa tietoja siirretään kolmansiin maihin. On kuitenkin huomioitava, että ehdotus on tältä osin kohdannut vastustusta, ja on mahdollista, että muutos jää pois Digiomnibus-paketista.
2. Erityisten henkilötietoryhmien käsittely: Digiomnibus-ehdotus sisältää kaksi uutta poikkeusta erityisten henkilötietojen käsittelykieltoon: 1) biometristen tietojen käsittely on sallittua henkilöllisyyden vahvistamiseksi, jos biometriset tiedot tai todentamiseen tarvittavat keinot ovat rekisteröidyn yksinomaisessa valvonnassa ja 2) erityisten henkilötietojen käsittely tekoälymallin tai -järjestelmän kehittämisen ja käytön yhteydessä on sallittua, jos tiedot ovat asianmukaisista toimenpiteistä huolimatta päätyneet koulutus-, testaus- tai validointiaineistoon, niiden poistaminen edellyttäisi kohtuutonta vaivaa ja tiedot suojataan kolmansilta osapuolilta.
3. Tietoturvaloukkausten ilmoittaminen: Ilmoituskynnys nousee. Jatkossa ilmoitus vaaditaan vain, jos loukkaus aiheuttaa suuren riskin rekisteröidyn oikeuksille ja vapauksille. Ilmoittamisen määräaika pidentyy 72 tunnista 96 tuntiin.  
4. Evästevalinnat: Jos rekisteröity hylkää suostumuspyynnön, suostumusta saa pyytää samaan tarkoitukseen aikaisintaan kuuden kuukauden kuluttua. Rekisteröidyn hyväksyessä suostumuspyynnön suostumusta ei saa pyytää samaa tarkoitusta varten sinä aikana, kun rekisterinpitäjä voi laillisesti vedota suostumukseen. Suostumuspyyntö tulee voida hylätä ja hyväksyä yhtä helposti esimerkiksi yhdellä painikkeella. Lisäksi rekisterinpitäjien (pois lukien mediapalvelun tarjoajat) ja verkkoselainten tarjoajien (pois lukien pk-yritykset) on varmistettava, että rekisteröidyllä on mahdollisuus sekä antaa suostumuksensa että hylätä suostumuspyyntö automaattisin ja koneellisesti luettavin keinoin.

Digi- ja tekoälyomnibus Suomen näkökulmasta

Liikenne- ja viestintäministeriön Meeri Toivasen mukaan valtioneuvosto kannattaa sääntelyn yksinkertaistamista ja pitää tärkeänä, että EU:n digi- ja kyberlainsäädäntö muodostaa selkeän ja eheän kokonaisuuden, joka ei hidasta innovaatioita ja yritystoimintaa, vaan mahdollistaa niitä ja ennakoitavaa sääntelyä toimijoille. Datasääntelyn osalta kannatetaan yhdenmukaista horisontaalia datasääntelyä, joka tukee datan laajempaa hyödyntämistä. Riittävän kansallisen liikkumavaran säilymistä pidetään yleisesti tärkeänä. Tekoälysääntelyn osalta ehdotus on hyvä ensimmäinen askel, mutta kokonaisvaikutukset vaikuttavat rajallisilta suhteessa tavoitteisiin. Asian ripeää, sujuvaa ja ennakoivaa edistämistä ajetaan neuvotteluissa ja kannatetaan suuririskisten järjestelmien ja avoimuusvaatimusten lykkäämistä, kunhan se ei heikennä sääntelyn ennakoitavuutta.

"Tarkoituksena on, että paketista äänestäminen saataisiin kokonaisuudessaan tehtyä hyvissä ajoin ennen elokuuta, eli äänestys on oletettavasti viimeistään heinäkuun aikana. Digiosuus etenee hitaammin. Jos parlamentti saa kantansa äänestykseen jo tämän vuoden puolella, trilogit voisivat oletettavasti olla vuoden 2027 alkupuoliskolla. Samaan aikaan kuin digiomnibus-paketti julkistettiin, käynnistyi myös digisääntelyn laajempi kuntotarkastus, jossa kartoitetaan, missä kohdin EU:n digisääntelystä voisi tehdä vieläkin selkeämpää ja sujuvampaa. Vastaamme Liikenne- ja viestintäministeriössä alustavien kantojen valmistelusta ja olemme kiinnostuneita kuulemaan sidosryhmien ajatuksia. Nyt on hyvä hetki vaikuttaa, eli ikkuna on niin sanotusti auki", painottaa Meeri Toivanen.

Ilmoittaudu seuraavaan Datakouluun!

Datakoulu jatkuu kevään aika uusilla jaksoilla. Voit ilmoittautua mukaan Datakoulun sivujen kautta:

• Ke 29.4. klo 9–10 | AI × IPR
• Ke 20.5. klo 9–10 | CRA käytännössä 

Technology, Data ja IP -praktiikkamme jatkaa mielellään kanssasi keskusteluja Datakoulun aiheista, jos sinulla herää niistä kysymyksiä.