EU:n teknologiasääntelyssä koetaan elokuussa 2026 historiallinen käänne: 2. elokuuta 2026 EU:n tekoälylaki (AI Act) siirtyi täysimääräiseen toimeenpanoon läpinäkyvyysvaatimusten osalta, ja samaan aikaan Suomessa astui voimaan kansallinen kyberresilienssilaki. EU tech regulation news today tarkoittaa käytännössä, että suomalaisyritysten on nyt toimittava uusien sääntöjen mukaan tai kohdattava valvontatoimet.
AI Act täysin voimassa: mitä 2.8.2026 muuttaa
EU:n tekoälylaki (AI Act, asetus EU 2024/1689) tuli voimaan 1.8.2024, mutta se soveltuu vaiheittain. Euroopan komissio kertoi, että 2.8.2026 alkaen EU:n AI Office sekä kansalliset viranomaiset alkoivat valvoa uusia sääntöjä. Käytännössä tämä tarkoittaa kolmea konkreettista velvoitetta, jotka koskevat lähes kaikkia digitaalisia palveluita.
Ensinnäkin chatbottien ja muiden käyttäjän kanssa suoraan vuorovaikuttavien tekoälyjärjestelmien on kerrottava käyttäjälle selvästi, että hän asioi tekoälyn eikä ihmisen kanssa. Toiseksi deepfaket eli tekoälyllä muokatut tai kokonaan luodut kuva-, video- ja äänisisällöt on merkittävä näkyvästi. Kolmanneksi tekoälyn tuottama tai muokkaama sisältö on merkittävä koneellisesti luettavalla tavalla, jotta se voidaan tunnistaa automaattisesti.
AI Actin historiallinen tausta: miten tähän päädyttiin
EU:n tekoälylain historia alkaa komission ensimmäisestä ehdotuksesta huhtikuussa 2021. Komission AI-sääntelysivun mukaan asetus viimeisteltiin pitkien neuvottelujen jälkeen, ja se tuli voimaan 1.8.2024. Toisin kuin monet direktiivit, AI Act on suoraan sovellettava asetus kaikissa jäsenvaltioissa, mikä tarkoittaa, että Suomikin sai lain automaattisesti osaksi oikeusjärjestystään ilman erillistä kansallista lainsäädäntötyötä perusvelvoitteiden osalta. Kansalliset toimivaltaviranomaiset kuitenkin nimetään jäsenvaltioittain, ja Suomi teki sen 1.1.2026.
Mitä AI Actin vaiheistus tarkoittaa suomalaisyrityksille
Al Jazeeran 6. elokuuta 2026 julkaiseman analyysin mukaan AI Actin soveltaminen etenee portaittain. Ensimmäiset kiellot ja AI-lukutaitoa koskevat säännöt tulivat voimaan helmikuussa 2025. Yleiskäyttöisiä tekoälymalleja koskevat säännöt astuivat voimaan elokuussa 2025. Nyt 2.8.2026 voimaan tullut niin sanottu Article 50 kattaa läpinäkyvyysvelvoitteet. Korkean riskin tekoälyjärjestelmiä koskevat vaatimukset koskevat muun muassa rekrytointia, luottopäätöksiä ja biometristä tunnistamista.
Siirtymäaikojen osalta on syytä huomata, että Travers Smithin lakianalyysin mukaan ennen 2.8.2026 markkinoille saatetuille järjestelmille on erillinen siirtymäaika koneellisten merkintöjen osalta. Tämä tarkoittaa, että vanhoille tuotteille voi olla vielä lisäaikaa, vaikka uudet järjestelmät ovat välittömästi velvoitteiden piirissä.
EU tech regulation news today: Cyber Resilience Act saapuu Suomeen
Toinen merkittävä EU tech regulation news today -kokonaisuus on Cyber Resilience Act (CRA), joka asettaa kyberturvavaatimukset digitaalisille tuotteille. DataGuidancen mukaan Suomen kansallinen CRA-kehys tuli voimaan 1.6.2026, kun hallituksen esitys hyväksyttiin 28.5.2026.
Mitä CRA vaatii ohjelmisto- ja laitevalmistajilta
CRA tekee kyberturvallisuudesta tuotteen perusominaisuuden, ei jälkikäteen lisättävän ominaisuuden. Valmistajien on suunniteltava tuotteet turvallisiksi alusta alkaen, pidettävä ne turvallisina koko elinkaaren ajan ja raportoitava löydetyistä haavoittuvuuksista. Dig.watchin raportin mukaan 11.9.2026 alkaen valmistajien on ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista 24 tunnin kuluessa siitä, kun ne saavat niistä tiedon.
Kenelle ilmoitetaan ja miten
Suomessa ilmoitukset tehdään Traficomin Kyberturvallisuuskeskukselle (National Cyber Security Centre Finland). CRA:n tuotteita koskeva täysimääräinen soveltaminen alkaa 11.12.2027, joten yrityksillä on vielä aikaa valmistautua laajempiin vaatimuksiin, mutta ilmoitusvelvoitteet käynnistyvät jo syyskuussa 2026. Tätä kontekstia voi verrata tietoturvaloukkausten ilmoitusvelvollisuuteen, joka on jo tuttua GDPR:n 72 tunnin säännöstä.
EU:n digitaalinen sääntely kokonaisuutena: mitä muuta on tulossa
Heuking-lakitoimiston katsauksen mukaan elokuun ja syyskuun 2026 aikana tulee voimaan useita EU:n digitaalioikeuden säädöksiä yhtä aikaa: AI Actin läpinäkyvyysvaatimukset, e-Evidence-asetuksen soveltaminen, CRA:n ilmoitusvelvoitteet sekä muita digituotteiden sääntelyä koskevia vaatimuksia. Tämä sääntelyn kerrostuminen on yksi keskeisimmistä haasteista yrityksille.
Lisäksi AI Actin ns. Omnibus-muutospaketista on käyty poliittista keskustelua. Amnesty Internationalin huhtikuun 2026 analyysin mukaan komissio esitteli marraskuussa 2025 ehdotuksen, joka tekisi laajoja muutoksia AI Actiin ja GDPR:ään. Kriitikot ovat huolestuneita siitä, että yksinkertaistaminen saattaisi heikentää kansalaisten oikeuksia. Tämä poliittinen jännite on keskeinen tekijä EU tech regulation news today -seurannassa.
Suomen platform work -direktiivi: lausuntokierros käynnissä
EU:n alustatyödirektiivi on toinen merkittävä teknologiasääntelykokonaisuus. Dig.watchin mukaan Suomen työ- ja elinkeinoministeriö on avannut julkisen kuulemisen alustatyölaista 8.7.–28.8.2026. Lain on tarkoitus tulla voimaan 2.12.2026.
Keskeinen sisältö on se, että lakiehdotus toisi lakisääteisen olettaman työsuhteesta digitaalisilla alustoilla toimiville työntekijöille. Tämä tarkoittaisi käytännössä, että esimerkiksi ruokalähettipalveluiden tai kuljetusalustojen kautta työskentelevät henkilöt katsottaisiin lähtökohtaisesti työsuhteessa oleviksi, ellei alusta pysty osoittamaan muuta. Tämä on teknologiasääntelyä, joka muuttaa merkittävästi alustatyön liiketoimintamalleja Suomessa.
EU:n teknologiasääntelykokonaisuus ei enää ole strategiadokumentti – se on aktiivisesti valvottava velvoitekokoelma, joka koskee jokaista suomalaista digitaalisia tuotteita tai palveluja tarjoavaa yritystä.
AI Act ja GDPR: miten säädökset limittyvät
Yksi keskeinen käytännön kysymys on se, miten AI Act ja GDPR toimivat rinnakkain. Käytettävissä olevien tietojen perusteella AI Act ei korvaa GDPR:ää, vaan täydentää sitä. Korkean riskin tekoälyjärjestelmät, jotka käsittelevät henkilötietoja, ovat molempien asetusten piirissä. Jurist.orgin 2.8.2026 julkaiseman raportin mukaan komissio painottaa, että sen AI Office ja kansalliset tietosuojaviranomaiset tekevät yhteistyötä valvonnan varmistamiseksi.
Tämä tarkoittaa, että suomalaisten yritysten on pidettävä mielessä sekä tietosuojavaltuutetun toimiston rooli GDPR-valvonnassa että uudet AI-sääntelyviranomaiset. Compliance-kokonaisuus on monikerroksinen.
Vertailutaulukko: EU:n teknologiasääntelykokonaisuuden aikataulu 2025–2027
| Säädös | Voimaantulo Suomessa | Keskeinen velvoite | Valvoja |
|---|---|---|---|
| AI Act – kiellot ja lukutaito | Helmikuu 2025 | Kiellettyjen käyttötarkoitusten lopettaminen | Kansalliset viranomaiset |
| AI Act – yleiset AI-mallit | Elokuu 2025 | Dokumentaatio- ja rekisteröintivaatimukset | EU AI Office |
| AI Act – läpinäkyvyys (Art. 50) | 2.8.2026 | Chatbot-merkinnät, deepfake-merkinnät | EU AI Office + kansalliset |
| CRA – kansallinen kehys (Suomi) | 1.6.2026 | Tuotteen kyberturvavaatimukset | Traficom |
| CRA – ilmoitusvelvoitteet | 11.9.2026 | 24h ilmoitus haavoittuvuuksista | Traficom NCSC-FI |
| CRA – täysimääräinen soveltaminen | 11.12.2027 | Kaikki tuoteturvallisuusvaatimukset | Traficom |
| Platform Work -direktiivi (Suomi) | 2.12.2026 (tavoite) | Työsuhdeolettama alustatyössä | TEM / Työ- ja elinkeinoministeriö |
Pohjoismaiset yritykset EU-sääntelyn ristipaineessa
Global Relayn analyysin mukaan pohjoismaiset yritykset kohtaavat erityisen monimutkaisen tilanteen: niiden on hallittava AI Actin, GDPR:n, CRA:n ja Data Actin yhteisvaikutus samalla kun ne kilpailevat globaaleilla markkinoilla. Compliance-kuorma kasvaa erityisesti pk-yrityksille, joilla ei ole suuria lakiosastoja.
Käytettävissä olevien tietojen perusteella pohjoismaisilla yrityksillä on kuitenkin myös etuja: vahva julkisen sektorin digitalisaatio, korkea teknologialukutaito ja pitkälle kehittynyt tietosuojakulttuuri luovat hyvän pohjan EU:n teknologiasääntelyyn sopeutumiselle. Suomi on lisäksi yksi varhaisen AI-valvonnan toimeenpanijajäsenmaista.
Suomi nimesi kansalliset AI-valvontaviranomaisensa jo 1. tammikuuta 2026, mikä tekee siitä yhden EU:n varhaisten toimeenpanijajäsenmaiden joukossa.
Keskeisten toimijoiden roolit EU-teknologiasääntelyssä
| Toimija | Rooli | Keskeinen säädös |
|---|---|---|
| EU AI Office (Bryssel) | Yleiskäyttöisten AI-mallien valvonta | AI Act |
| Kansalliset markkinavalvontaviranomaiset | Korkean riskin AI-järjestelmien valvonta | AI Act |
| Traficom / NCSC-FI | CRA-haavoittuvuusilmoitukset, kyberturva | CRA |
| Tietosuojavaltuutetun toimisto | Henkilötietojen käsittely tekoälyssä | GDPR + AI Act |
| Työ- ja elinkeinoministeriö (TEM) | Platform work -direktiivin toimeenpano | Platform Work -direktiivi |
| Valtioneuvosto | Kansallinen koordinaatio ja linjaukset | Useita |
Usein kysytyt kysymykset EU:n teknologiasääntelystä
Koska AI Act koskee kaikkia suomalaisia yrityksiä?
AI Act on EU-asetus, joten se soveltuu suoraan kaikissa jäsenvaltioissa. Se koskee kaikkia yrityksiä, jotka kehittävät, ottavat käyttöön tai käyttävät tekoälyjärjestelmiä EU:n alueella. Pienyrityksiä varten on tiettyjä kevennyksiä erityisesti hallinnollisissa vaatimuksissa, mutta läpinäkyvyysvelvoitteet koskevat myös pk-sektoria. Euroopan komissio on julkaissut ohjeita eri kokoisten yritysten vaatimustenmukaisuuden tueksi.
Mitä tapahtuu, jos yritys ei merkitse tekoälysisältöä?
AI Actin rikkomisesta voi seurata merkittäviä seuraamuksia. Korkean riskin velvoitteiden rikkomisesta voidaan määrätä sakkoja, joiden enimmäismäärä on joko 30 miljoonaa euroa tai 6 % yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta. Läpinäkyvyysvelvoitteiden rikkomisesta sanktiot ovat matalammat, mutta silti merkittävät. Kansalliset viranomaiset Suomessa vastaavat valvonnasta.
Miten CRA eroaa GDPR:stä?
GDPR koskee henkilötietojen suojaa ja tietojen käsittelyn lainmukaisuutta. CRA puolestaan koskee digitaalisten tuotteiden ja ohjelmistojen teknistä kyberturvallisuutta koko elinkaaren ajan. Asetus vaatii, että tuotteet ovat turvallisia jo markkinoille saatettaessa ja että valmistajat korjaavat löydetyt haavoittuvuudet ja raportoivat niistä. CRA on siis tuoteturvallisuutta, GDPR on tietosuojaa – mutta molemmat voivat koskea samaa järjestelmää.
Mikä on EU:n Omnibus-muutospaketti ja vaikuttaako se AI Actiin?
EU:n komissio esitteli marraskuussa 2025 niin sanotun Digital Omnibus -paketin, jonka tavoitteena on yksinkertaistaa EU:n digitaalilainsäädäntöä. Paketti voisi siirtää tai keventää joitakin AI Actin velvoitteita. Asiasta käydään poliittisia neuvotteluja, ja lopullinen sisältö ei ole vielä selvillä elokuussa 2026. Kriitikot, mukaan lukien Amnesty International, ovat varoittaneet, että yksinkertaistaminen voi heikentää kansalaisoikeuksia.
Kenelle CRA:n haavoittuvuusilmoitukset tehdään Suomessa?
Suomessa ilmoitukset tehdään Traficomin Kyberturvallisuuskeskukselle (National Cyber Security Centre Finland, NCSC-FI). Valmistajan on ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista 24 tunnin kuluessa siitä, kun ne saavat niistä tiedon. Ilmoitusvelvollisuus alkaa 11.9.2026.
Miten platform work -direktiivi vaikuttaa suomalaisiin teknologia-alustoihin?
Suomen työ- ja elinkeinoministeriön valmisteleman alustatyölain mukaan digitaalisilla alustoilla työskenteleville syntyy lakisääteinen olettama työsuhteesta. Tämä tarkoittaa, että Wolt, Foodora tai vastaavat alustat joutuisivat osoittamaan, että heidän kuljettajansa eivät ole työsuhteessa, ellei muuta voida näyttää. Lakiuudistuksen arvioidaan vaikuttavan merkittävästi alustatyön liiketoimintamalleihin Suomessa. Lausuntokierros päättyy 28.8.2026.
Yhteenveto: EU:n teknologiasääntely kiristyy elokuussa 2026
EU tech regulation news today kertoo, että elokuu 2026 on käänteentekevä hetki EU:n digitaalisen sääntelyn toimeenpanossa. AI Actin läpinäkyvyysvaatimukset ovat nyt voimassa, Suomen CRA-kehys toimii ja alustatyölain lausuntokierros on käynnissä. Käytettävissä olevien tietojen perusteella suomalaisilla yrityksillä on nyt selkeät velvoitteet, joiden noudattamista valvotaan aktiivisesti sekä EU-tasolla että kansallisesti.
Tärkeimmät toimenpiteet elokuussa 2026: tarkista chatbot-käyttöliittymäsi merkinnät, arvioi tekoälyllä tuotetun sisältösi merkintäkäytännöt, selvitä CRA:n vaikutukset tuotteisiisi ennen syyskuuta 2026 ja seuraa platform work -direktiivin kansallisen toimeenpanon etenemistä. Henkilötietojen pilvipalvelusiirtoihin liittyvät kysymykset kannattaa myös tarkastaa osana laajempaa EU-compliance-katsausta.
Lähteet
- Euroopan komissio: Commission starts enforcing AI Act rules and new transparency requirements on 2 August – haettu 13.8.2026
- Euroopan komissio: AI Act – Regulatory framework on artificial intelligence – haettu 13.8.2026
- DataGuidance: Finland – Cyber Resilience Act enters into force – haettu 13.8.2026
- Dig.watch: Finland implements national framework for EU Cyber Resilience Act – haettu 13.8.2026
- Dig.watch: Finland opens consultation on platform work legislation – haettu 13.8.2026
- Al Jazeera: What came into force with the EU’s AI Act this week – and what didn’t – haettu 13.8.2026
- Jurist.org: European Commission tightens oversight on AI companies to combat deepfakes and cyber threats – haettu 13.8.2026
- Travers Smith: The EU AI Act – the current state of play – haettu 13.8.2026
- Amnesty International: How EU proposals to ”simplify” tech laws roll back our rights – haettu 13.8.2026
- Valtioneuvosto: Commission presents proposals for new EU cybersecurity rules and Digital Networks Act – haettu 13.8.2026
- Global Relay: How can Nordic firms prepare for the EU AI Act? – haettu 13.8.2026
- Heuking: EU Digital Law – New requirements applying to companies from August 2026 – haettu 13.8.2026
