AI-lain osia lykätään
Euroopan komissio julkisti 20. marraskuuta 2025 kauan odotetun paketin, jonka tarkoituksena on yksinkertaistaa digitaalialan sääntelyä. Pakettia kutsutaan yleisesti nimellä Digital Omnibus. Sen tarkoituksena on virtaviivaistaa EU:n kasvavaa digitaalialan ja datan sääntelyä, vähentää päällekkäisyyksiä ja vahvistaa Euroopan kilpailukykyä. IT-päätöksentekijöille, CTO:ille, CISO:ille ja tietoturvajohtajille tämä ei ole pelkkä teoreettinen Brysselin harjoitus, vaan se edustaa konkreettista muutosta sääntely-ympäristössä, joka vaikuttaa suoraan etenemissuunnitelmiin, budjetteihin ja vaatimustenmukaisuusprosesseihin.
Paketti koskee samanaikaisesti useita tärkeitä sääntelykehyksiä: EU:n tekoälylakia, yleistä tietosuoja-asetusta, NIS2-direktiiviä ja DORA-asetusta. Se sisältää myös evästesääntöjen muutoksia ja Data Act -asetukseen liittyvien tietosuojajärjestelmien yhdistämistä. Samalla komissio käynnistää Data Union Strategy -strategian ja muita aloitteita, joiden tarkoituksena on parantaa tekoälyn saatavilla olevien korkealaatuisten tietojen saatavuutta.
Tämä herättää keskeisiä kysymyksiä: Mikä ajaa näitä muutoksia, mitä käytännössä todella muuttuu ja miten yritysten tulisi reagoida?
Miksi komissio yksinkertaistaa nyt
EU:n digitaalialan sääntelykehys on laajentunut nopeasti viime vuosina. Uusilla laeilla ja asetuksilla pyritään lisäämään innovoinnin turvallisuutta, suojelemaan perusoikeuksia ja vahvistamaan kyberturvallisuutta. Samalla yritykset joutuvat kohtaamaan päällekkäisiä vaatimuksia, epäjohdonmukaisia määritelmiä ja rinnakkaisia raportointivelvoitteita. Komissio vastaa laajasti esitettyyn huoleen siitä, että monimutkainen ja osittain päällekkäinen sääntely haittaa investointeja ja heikentää Euroopan kilpailuasemaa. Tämä näkemys tuotiin selvästi esiin Draghin raportissa EU:n kilpailukyvystä, ja se on keskeinen tekijä yksinkertaistamisohjelman taustalla.
Digitaalinen omnibus on yksi monista aloitteista, joissa tarkastellaan eri sääntelyalueita mahdollisen virtaviivaistamisen kannalta. Digitaalialalla keskustelu on erityisen herkkä, koska suojelun ja innovoinnin välinen jännite on siellä voimakkaampaa kuin monilla muilla aloilla.
Käytännössä EU ei ole kumoamassa digitaalisia sääntöjä, vaan tekemässä niistä yhteensopivampia, johdonmukaisempia ja joissakin tapauksissa aikataulujen osalta realistisempia. Tämä helpottaa monien organisaatioiden painetta, mutta edellyttää myös sisäisen hallinnon ja sääntöjen noudattamisen rakenteiden mukauttamista.
Mitä Digital Omnibus sisältää
Komissio korostaa useita kauaskantoisia muutoksia, muun muassa seuraavia:
- AI-lain korkean riskin AI-säännösten viivästyminen
- Yhtenäinen ilmoituskanava kyberturvallisuusuhkia varten
- GDPR:n uudistus innovaatioystävällisemmän kehyksen luomiseksi
- Modernisoidut evästesäännöt
- Useiden tietojärjestelmien yhdistäminen tietosuojalain alle
Nämä toimenpiteet ovat toisiinsa yhteydessä ja vaikuttavat koko ketjuun tietojenkäsittelystä ja tietoturvan hallinnasta tekoälyn kehittämiseen ja operatiivisiin työnkulkuihin.
AI-laki: Korkean riskin säännösten viivästyminen ja vaikutukset AI-ohjelmiin
Näkyvin askel on AI-lain korkean riskin järjestelmävaatimusten suunniteltu lykkääminen – jopa 16 kuukaudella. Komissio perustelee tätä sillä, että täytäntöönpanon edellyttämät yhdenmukaistetut standardit, ohjeet ja tukivälineet eivät ole vielä riittävällä tavalla käytettävissä.
Monille organisaatioille tämä tarjoaa lyhytaikaista helpotusta – erityisesti identiteettiprosesseissa, petosten havaitsemisessa, henkilöstöhallinnon seulonnassa, OT-seurannassa tai lääketieteellisissä ja taloudellisissa sovelluksissa. Lisäaika auttaa yrityksiä arvioimaan malleja perusteellisemmin, vakauttamaan dataputkia, laatimaan dokumentaatiota ja tarkastamaan toimitusketjuja tekoälyn vaatimustenmukaisuuden varmistamiseksi.
Tämä ei kuitenkaan ole kehotus pysähtyä. Tekoälyä laajentavat yritykset tulisi käyttää siirtymäaikaa valmistautuakseen riskialttiisiin velvoitteisiin, kuten:
- Selkeä järjestelmän luokittelu
- Riskien ja vaikutusten arviointi
- Koulutustietojen hallinta
- Kirjaaminen ja seuranta
- Ihmisen suorittamat valvontaprosessit
Ne, jotka luovat nämä perustat nyt, kohtaavat huomattavasti vähemmän kitkaa, kun velvoitteet tulevat täysimääräisesti voimaan.
Strategisesti viivästys osoittaa myös, että EU on kunnianhimoinen mutta pragmaattinen. Se on valmis mukauttamaan aikatauluja, jos ekosysteemi ja standardit eivät ole valmiita. Tämä tekee sääntelyn suunnittelusta joustavampaa, mutta lisää myös tarvetta skenaariopohjaiseen suunnitteluun jäykkien määräaikoihin perustuvien lähestymistapojen sijaan.
GDPR, NIS2 ja DORA: vähemmän kitkaa tietosuojassa ja raportoinnissa
GDPR-uudistus lisää innovaatioiden joustavuutta
Komissio aikoo päivittää GDPR-asetusta luodakseen innovaatioille suotuisamman tietosuojaympäristön. Tähän sisältyy tietoturvaloukkauksista ilmoittamista koskevien sääntöjen kynnysarvojen ja määräaikojen mukauttaminen, ”henkilötietojen” kaltaisten määritelmien selkeyttäminen sekä uusien poikkeusten ja selvennysten käyttöönotto tekoälyjärjestelmien kehittämisen ja toiminnan tukemiseksi.
Tämä tarjoaa tietosuoja- ja tietoturvatiimeille enemmän toiminnallista joustavuutta. Raportointivelvollisuudet muuttuisivat vähemmän mekaanisiksi ja enemmän riskiperusteisiksi, jolloin resurssit voitaisiin keskittää todellisia vaikutuksia aiheuttaviin tapauksiin. Yritysten on kuitenkin dokumentoitava rikkomuskriteerit ja sisäiset päätökset huolellisesti läpinäkyvyyden ja vastuullisuuden varmistamiseksi.
Tekoälyhankkeiden osalta selkeämmät määritelmät laillisesta tekoälyyn liittyvästä tietojen käsittelystä tarjoaisivat tarvittavan oikeusvarmuuden, jotta käyttötapaukset eivät jumiutuisi tai jäisi pilottivaiheeseen epäselvien tulkintojen vuoksi.
Yhtenäinen tapahtumailmoitus
Suunnitteilla on myös yksi yhteinen ilmoituskanava kyberturvallisuuspoikkeamien ilmoittamista varten. Sen sijaan, että organisaatiot tekisivät erillisiä ilmoituksia NIS2-, GDPR- ja DORA-säädösten nojalla, ne käyttäisivät yhtenäistä mekanismia, joka mahdollisesti perustuisi kyberturvallisuuslain (Cyber Resilience Act) yhteydessä kehitettyyn alustaan.
Tämä voisi lisätä tehokkuutta merkittävästi. Jokainen, joka on käsitellyt tapahtumailmoituksia aikapaineessa, tietää, kuinka haastavaa on hallita useita määräaikoja ja muotoja. Yksi ainoa ilmoituskanava vähentää monimutkaisuutta ja voi parantaa tietojen laatua standardoitujen kenttien ja luokitusten avulla.
Tämä edellyttää kuitenkin organisaatioilta raportointiprosessien uudistamista. Monet ovat erottaneet NIS2-, GDPR- ja DORA-säädökset erillisiksi vaatimustenmukaisuusvirtoiksi. Omnibus-asetus edellyttää integroitua mallia, jossa on keskitetyt rekisterit, yhdenmukaistetut vakavuuskriteerit ja koordinoidut viestintäprosessit.
Tietosuojalaki, evästeet ja Data Union Strategy
Yhdistäminen tietosuojalain nojalla
EU aikoo yhdistää useita tietojärjestelmiä tietosuojalakiin, mukaan lukien tietojen vapaan liikkuvuuden asetus, tietohallintolaki ja avoimen datan direktiivi. Yhdistämisen jälkeen nämä säännöt ovat paremmin yhdenmukaistettuja ja virtaviivaistettuja.
Yrityksille tämä vaikuttaa ensisijaisesti hallintoon. Nykyään on otettava huomioon eri oikeuslähteet riippuen tietotyypistä, alasta ja tarkoituksesta. Konsolidointi yksinkertaistaa datastrategioiden kehittämistä, erityisesti organisaatioille, jotka käyttävät rajat ylittävää dataa tekoälyyn, analytiikkaan tai alustamalleihin.
Modernisoidut evästesäännöt
Komissio aikoo myös vähentää evästebannerien määrää ja siirtää asetusten hallinnan entistä vahvemmin selaimen tasolle.
Tämä on käytännöllinen askel digitiimeille: vähemmän bannereita parantaa käyttökokemusta, nostaa konversioasteita ja vähentää suostumusten hallinnan operatiivista taakkaa. Vastuu asianmukaisesta seurannasta ja käyttötarkoituksen rajoittamisesta pysyy kuitenkin ennallaan.
Data Union Strategy: Enemmän korkealaatuista dataa tekoälylle
Yksinkertaistamisen ohella komissio käynnistää tietoliitto-strategian, jonka tavoitteena on lisätä tekoälylle saatavilla olevien korkealaatuisten tietojen määrää. Strategiaan kuuluu tietosuojalain oikeusapupalvelu ja toimenpiteet, joilla vahvistetaan Euroopan tietosuvereniteettia, esimerkiksi suojaamalla arkaluonteisia muita kuin henkilötietoja ja vahvistamalla EU:n tietojen oikeudenmukaista käyttöä koskevat säännöt ulkomailla.
Tämä osoittaa selkeän sitoutumisen vahvan eurooppalaisen tekoälyekosysteemin rakentamiseen. Sääntelyn tulisi olla turvallista, mutta myös tietojen tulisi olla helposti käytettävissä. Teollisuudelle, kriittiselle infrastruktuurille ja pk-yrityksille parempi pääsy tietotiloihin voi olla ratkaiseva tekijä tekoälyhankkeiden siirtämisessä pilottivaiheesta tuotantoon.
Mitä yritysten tulisi nyt tehdä
Vaikka paketti vaatii vielä parlamentin ja neuvoston kuulemisen ja hyväksynnän, on suositeltavaa valmistautua siihen jo varhaisessa vaiheessa.
- Suorita sääntelyjen välisten eroavaisuuksien analyysi.
Tarkista AI Act, GDPR, NIS2 ja DORA yhdessä, älä erikseen. Tunnista määritelmien epäjohdonmukaisuudet, päällekkäiset todistusvaatimukset ja prosessit, jotka voivat myöhemmin yhtenäistyä. - Integroi tapahtumien raportointi.
Jos syntyy yksi ainoa yhteyspiste, integraatio on välttämätöntä. Luo keskitetty tapahtumarekisteri, yhdenmukaista vakavuusasteikot ja määritä vastuut konsolidoitua raportointia varten. - Nopeuta tekoälyn hallintoa.
Tekoälylain viivästyminen antaa aikaa, mutta se ei tarkoita keskeyttämistä. Kehitä malliluettelot, luokittelumenetelmät, seurantakehykset ja dokumentointikäytännöt nyt. - Mukauta datastrategiasi.
Kun datajärjestelmät lähentyvät toisiaan, kartoittaa datavirrat, datatyypit ja käyttöoikeudet uudelleen. Tämä voi vähentää pitkän aikavälin vaatimustenmukaisuuskustannuksia, erityisesti hybridi-monipilvi- ja reuna-ympäristöissä. - Valmistele markkinointi- ja tuotetiimit uusiin evästesääntöihin.
Tarkista suostumustyökalusi, arvioi valmiutesi selainpohjaisiin mieltymysmalleihin ja varmista, että seurantakäytännöt ovat sääntöjen mukaisia.
Päätelmä
Digitaalinen omnibuspaketti ja viivästyneet tekoälylakia koskevat säännökset merkitsevät selkeää politiikan muutosta: vähemmän rinnakkaisia sääntöjä, suurempi johdonmukaisuus ja realistisemmat täytäntöönpanon aikataulut. Tämä ei poista vaatimuksia, vaan lähentää niitä toisiinsa ja tekee niistä riskipohjaisempia. Se luo tilaa innovoinnille, erityisesti tekoäly- ja datapohjaisissa sovelluksissa, mutta vaatii samalla muutoksia hallintoon, integroituun raportointiin, tekoälyn riskienhallintaan ja datastrategiaan.
Damovo voi tukea organisaatioita koko tämän siirtymävaiheen ajan: arvioimalla vaikutuksen kohteena olevat säännökset, integroimalla olemassa olevat vaatimustenmukaisuusohjelmat, luomalla yhtenäiset tapahtumien raportointiprosessit ja toteuttamalla tekoälyn hallinto- ja tietosuojatoimenpiteitä. Tämä auttaa yrityksiä saavuttamaan oikeusvarmuuden ja nopeuttamaan digitaalisia ja tekoälyaloitteitaan ilman turhaa byrokratiaa, mutta vankalla vaatimustenmukaisuudella.