Mikä sääntely edellyttää henkilöstön tekoälykoulutusta? Tekoälyasetus, GDPR, NIS2, DORA ja CRA

8. lokakuuta 2026

Kun puhutaan henkilöstön tekoälykoulutuksesta, keskustelu alkaa yleensä EU:n tekoälyasetuksen 4 artiklasta. Se on tärkein yksittäinen säännös, mutta ei ainoa. Tietosuoja, kyberturvallisuus, rahoitusalan sääntely ja Suomen työlainsäädäntö edellyttävät kukin omalla tavallaan, että ihmiset osaavat käyttää työvälineitään turvallisesti – ja tekoäly on nyt yksi niistä.

Kokosimme alle keskeisen sääntelyn. Tiedot vastaavat tilannetta 8.10.2026, eikä kirjoitus ole oikeudellista neuvontaa. Tarkista oman organisaatiosi tilanne aina säädöstekstistä tai asiantuntijalta.

EU:n tekoälyasetus

Tekoälylukutaito (4 artikla). Tekoälyjärjestelmiä käyttävien organisaatioiden on toteutettava toimenpiteitä, joilla ne tukevat henkilöstönsä ja muiden puolestaan tekoälyä käyttävien tekoälylukutaidon kehittämistä. Velvoitetta on sovellettu 2.2.2025 alkaen. Asetusta muuttanut niin sanottu digitaalinen omnibus-asetus (EU) 2026/1744 tuli voimaan 27.7.2026, eikä se siirtänyt 4 artiklan soveltamista. Lue tarkemmin, mitä 4 artikla edellyttää.

Avoimuusvelvoitteet (50 artikla). 2.8.2026 alkaen on pitänyt kertoa esimerkiksi, kun ihminen keskustelee tekoälyn kanssa, ja merkitä syväväärennökset. Velvoitteet koskevat käytännössä niitä työntekijöitä, jotka tuottavat sisältöä tai rakentavat asiakaspalvelua tekoälyllä – heidän on tiedettävä, milloin tekoälyn käytöstä kerrotaan.

Kielletyt käyttötavat (5 artikla). 2.2.2025 alkaen on ollut kiellettyä esimerkiksi päätellä työntekijöiden tunteita tekoälyllä työpaikalla. 2.12.2026 alkaen kiellettyjä ovat myös tekoälyjärjestelmät, jotka tuottavat luvatonta intiimiä kuvamateriaalia. Henkilöstön on tunnettava rajat, jotta niitä ei ylitetä vahingossa.

Suuren riskin järjestelmien käyttäjät (26 artikla). Jos organisaatio käyttää suuren riskin tekoälyä – esimerkiksi rekrytoinnissa, henkilöstöhallinnossa tai koulutuksessa – ihmisen suorittama valvonta on annettava henkilöille, joilla on tarvittava osaaminen, koulutus ja valtuudet. Omnibus-asetus siirsi näiden liitteen III järjestelmien velvoitteiden soveltamisen 2.12.2027 alkavaksi, joten valmistautumiseen on vielä aikaa.

Valvonta Suomessa. Laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025) tuli voimaan 1.1.2026. Traficom valvoo avoimuusvelvoitteita, ja tietosuojavaltuutettu valvoo kiellettyjä käytäntöjä ja esimerkiksi henkilöstöhallinnon suuririskisiä järjestelmiä. Laki ei tilanteessa 8.10.2026 säädä 4 artiklan rikkomisesta seuraamusmaksua, mutta velvoite on voimassa.

Tietosuoja-asetus (GDPR)

Kun työntekijä liittää asiakkaan tai kollegan tietoja tekoälypalveluun, kyse on henkilötietojen käsittelystä. Tietosuoja-asetus ei puhu tekoälystä, mutta sen perusvaatimukset koskevat suoraan tekoälyn arkikäyttöä:

• Osoitusvelvollisuus (5 artiklan 2 kohta): organisaation on pystyttävä osoittamaan, että se noudattaa käsittelyn periaatteita.
• Käsittelyn turvallisuus (32 artikla): organisaation on varmistettava, että sen alaisuudessa toimivat henkilöt käsittelevät henkilötietoja vain ohjeiden mukaisesti.
• Tietosuojavastaavan tehtävät (39 artikla): tietosuojavastaavan tehtäviin kuuluu käsittelyyn osallistuvan henkilöstön tietoisuuden lisääminen ja koulutus.

Selkeä tekoälyohjeistus ja koulutus siitä, mitä tietoja tekoälylle saa antaa, ovat käytännön tapa täyttää nämä vaatimukset tekoälyn osalta.

NIS2 ja Suomen kyberturvallisuuslaki

Kyberturvallisuuslaki (124/2025) pani NIS2-direktiivin täytäntöön Suomessa, ja se tuli voimaan 8.4.2025. Se koskee keskisuuria ja suuria toimijoita kriittisillä toimialoilla, kuten energia, liikenne, terveydenhuolto, digitaalinen infrastruktuuri, valmistus ja elintarvikkeet. Lisäksi vaatimukset valuvat käytännössä toimitusketjuissa alihankkijoille.

• Johdon koulutus (NIS2 20 artikla): johdon jäsenten on osallistuttava koulutukseen, jotta heillä on riittävät tiedot kyberturvallisuusriskien tunnistamiseen ja hallintaan. Direktiivi kannustaa tarjoamaan vastaavaa koulutusta säännöllisesti myös henkilöstölle.
• Kyberhygienia ja koulutus (NIS2 21 artikla): riskienhallintatoimiin kuuluvat perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutus.

Tekoäly liittyy tähän suoraan: tekoälyllä tehdyt huijausviestit ovat entistä uskottavampia, ja luottamuksellisten tietojen syöttäminen julkisiin tekoälypalveluihin on tietovuotoriski.

DORA – rahoitusala

Rahoitusalan digitaalista häiriönsietokykyä koskevaa DORA-asetusta (EU) 2022/2554 on sovellettu 17.1.2025 alkaen. Sen 13 artiklan 6 kohdan mukaan rahoitusalan toimijoiden on sisällytettävä henkilöstön koulutukseen pakollisina osina ICT-turvallisuustietoisuus ja digitaalinen häiriönsietokyky. Koulutus koskee kaikkia työntekijöitä ja ylintä johtoa, ja sen vaativuuden on vastattava tehtäviä. Tekoälytyökalut ovat osa tätä ICT-ympäristöä.

Kyberkestävyyssäädös (CRA)

Kyberkestävyyssäädös (EU) 2024/2847 koskee digitaalisia elementtejä sisältävien tuotteiden valmistajia, eli ohjelmistoja ja laitteita markkinoille saattavia yrityksiä. Haavoittuvuuksien ja vakavien tietoturvapoikkeamien raportointivelvoitteet ovat olleet voimassa 11.9.2026 alkaen, ja muut velvoitteet tulevat sovellettaviksi 11.12.2027.

CRA ei sisällä yleistä henkilöstön koulutusvelvoitetta. Jos yrityksesi kuitenkin kehittää ohjelmistoja tai tuotteita, joissa on tekoälyominaisuuksia, kehittäjien on ymmärrettävä tekoälyn tietoturvariskit – ja raportointivelvoitteiden täyttäminen edellyttää, että poikkeamat tunnistetaan ajoissa.

Suomen työlainsäädäntö

• Työturvallisuuslaki (738/2002) 14 §: työntekijä on perehdytettävä riittävästi työvälineisiin ja niiden oikeaan käyttöön muun muassa ennen uusien työvälineiden ja työmenetelmien käyttöön ottamista, ja opetusta on tarvittaessa täydennettävä. Kun organisaatio ottaa käyttöön tekoälytyökaluja, perehdytys on luonteva osa tätä velvoitetta.
• Yhteistoimintalaki (1333/2021) 9 §: vähintään 20 työntekijän yrityksen on laadittava henkilöstön edustajan kanssa työyhteisön kehittämissuunnitelma, johon kirjataan muutokset, jotka voivat vaikuttaa osaamistarpeisiin, sekä toimenpiteet osaamisen kehittämiseksi. Tekoäly on monessa yrityksessä juuri tällainen muutos.

Yhteenveto

• Tekoälyasetus: kaikkia tekoälyä käyttäviä organisaatioita – tekoälylukutaito, avoimuus ja kieltojen tunteminen.
• GDPR: kaikkia henkilötietoja käsitteleviä – ohjeiden mukainen käsittely ja osoitusvelvollisuus.
• NIS2 / kyberturvallisuuslaki: kriittisten alojen toimijoita ja niiden toimitusketjuja – johdon koulutus ja kyberhygienia.
• DORA: rahoitusalaa – pakollinen ICT-turvallisuuskoulutus kaikille.
• CRA: tuotevalmistajia – ei koulutusvelvoitetta, mutta tietoturvaosaamista tarvitaan.
• Työturvallisuuslaki ja yhteistoimintalaki: suomalaisia työnantajia – perehdytys uusiin työvälineisiin ja osaamisen kehittämisen suunnitelmallisuus.

Yhteinen nimittäjä on sama: organisaation on pystyttävä osoittamaan, että ihmiset osaavat käyttää työkalujaan turvallisesti. Osoittaminen onnistuu, kun koulutus, ohjeistus ja niiden kuittaukset on kirjattu.

Miten Aigen Campus auttaa

• Tekoälyohjeistus kertoo, mitä työkaluja ja tietoja saa käyttää – ja henkilöstön kuittaukset kirjautuvat talteen. Ohjeistuksen laatija, julkaisu ja kuittaukset ovat aina maksuttomia.
• Koulutus käsittelee tekoälyn hyvän käytön, tulosten tarkistamisen, tietoturvan ja huijausten tunnistamisen sekä tekoälyasetuksen pelisäännöt.
• Loppukoe, todistus ja osaamisrekisteri dokumentoivat, kuka on suorittanut koulutuksen ja milloin.

Palvelu ei yksinään täytä mitään edellä mainittua velvoitetta, mutta se on käytännöllinen tapa toteuttaa ja dokumentoida osaamiseen liittyviä toimenpiteitä. Luo organisaatiolle tili ja aloita maksuttomalla tekoälyohjeistuksella.