Tekoälypalvelun käyttösopimus Suomi

Tekoälypalvelun käyttösopimus Suomessa on oikeustoimilain (228/1929) mukainen kirjallinen sopimus, jolla tekoälypalvelun tarjoaja myöntää toiselle osapuolelle oikeuden käyttää tekoälyjärjestelmää tai -palvelua tiettyjen ehtojen mukaisesti. Tekoälypalvelun käyttösopimuksen oikeudellinen pohja Suomessa muodostuu oikeustoimilaista (228/1929), EU:n tekoälyasetuksesta (AI Act, EU 2024/1689), tietosuojalaista (1050/2018), yleisestä tietosuoja-asetuksesta (GDPR, EU 2016/679), tekijänoikeuslaista (404/1961) ja laista sähköisen viestinnän palveluista (917/2014).

EU:n tekoälyasetus (AI Act, EU 2024/1689) on ensimmäinen kattava tekoälysääntely maailmassa, ja se tuli täysimääräisesti voimaan 2. elokuuta 2026. Asetus luokittelee tekoälyjärjestelmät neljään riskitasoon: kielletty (unacceptable risk), korkea riski (high risk), rajallinen riski (limited risk) ja minimaalinen riski (minimal risk). Riskitaso määrää, mitä vaatimuksia tekoälyjärjestelmälle asetetaan ennen käyttöönottoa ja käytön aikana. Suomessa tekoälyasetuksen valvonnasta vastaa Liikenne- ja viestintävirasto Traficom kansallisena valvontaviranomaisena.

Korkean riskin tekoälyjärjestelmät (AI Act, liite III) ovat toimialoja, joissa tekoälyllä on merkittävä vaikutus ihmisten oikeuksiin tai turvallisuuteen. Korkean riskin luokkia ovat: HR-rekrytointi ja henkilöstöhallinto (tekoälyn käyttö työnhakijoiden arvioinnissa), luotonmyöntö ja vakuutukset (lainanoton arviointijärjestelmät), lainvalvonta ja oikeudenkäyttö (rikosriskin arviointi, kasvojen tunnistus), koulutus (oppilaiden arviointi), terveydenhuolto (diagnostiikka, lääketieteelliset laitteet) ja kriittinen infrastruktuuri. Korkean riskin järjestelmät edellyttävät riskiarviointiasiakirjoja, teknistä dokumentaatiota, EU-rekisteröintiä, lokikirjanpitoa ja ihmisvalvontaa.

Tekoälypalvelun käyttösopimus eroaa perinteisestä SaaS-sopimuksesta siinä, että se kattaa tekoälyspesifisiä kysymyksiä, kuten tekoälyjärjestelmän riskitason, ihmisvalvonnan vaatimuksen, generoitujen tulosten tekijänoikeuden ja hallusinaatiovastuun. Tekoälymallit voivat tuottaa virheellistä tietoa (hallusinaatiot), jolloin on tärkeää sopia selkeästi, kuka vastaa virheellisistä tekoälytulosten aiheuttamista vahingoista.

Tekijänoikeus tekoälygeneroidulle sisällölle on oikeudellisesti epäselvää Suomessa ja EU:ssa. Tekijänoikeuslain (404/1961) mukaan tekijänoikeuden syntyyn vaaditaan luova panos ja tekijäksi luonnollinen henkilö — tekoäly ei voi olla tekijä. Suomalaiset tuomioistuimet eivät ole vielä antaneet oikeuskäytäntöä puhtaasti tekoälygeneroidun sisällön tekijänoikeudesta. EU-komissiolla on käynnissä pohdinta asiasta. Sopimuksessa on syytä sopia, miten tekoälygeneroidun sisällön käyttöoikeudet jaetaan.

Tietosuoja on kriittinen elementti tekoälypalvelun käyttösopimuksessa. Tekoälymalli käsittelee usein henkilötietoja (käyttäjäprofiilit, syöttödata). GDPR 22 artikla rajoittaa täysin automatisoitua päätöksentekoa: rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu yksinomaan automaattiseen käsittelyyn ja jolla on merkittäviä vaikutuksia. Tietosuojavaltuutetun toimisto Suomessa on antanut ohjeita tekoälyn käytöstä henkilötietojen käsittelyssä.

Koulutusdata ja tekijänoikeudet ovat tekoälypalvelun käyttösopimuksen tärkeä elementti. Suuret kielelliset mallit (LLM) on koulutettu massiivisilla datateksteillä, joihin voi sisältyä tekijänoikeussuojattua materiaalia. EU-tuomioistuimen ratkaisun (C-470/21 La Quadrature du Net) jälkeen tekoälymallien kouluttaminen on lainmukaista tietyin edellytyksin, mutta kiistoja on vireillä useissa EU-jäsenmaissa. Palveluntarjoajan vakuutus koulutusaineiston lainmukaisuudesta on siksi tärkeä sopimuselementti.

Tekoälypalvelun käyttösopimus Suomessa tarvitaan aina, kun yritys tai organisaatio ottaa käyttöön ulkopuolisen tekoälypalvelun liiketoimintakäyttöön. Seuraavat tilanteet edellyttävät kirjallisen tekoälypalvelun käyttösopimuksen laadintaa.

AI-pohjainen dokumenttianalytiikka. Juridinen osasto hankkii tekoälypalvelun sopimusasiakirjojen analysointiin ja riskikohtien tunnistamiseen. Sopimus kattaa datan luottamuksellisuuden, käyttöoikeuden laajuuden ja hallusinaatiovastuun.

HR-rekrytoinnin tekoäly. Yritys ottaa käyttöön tekoälyjärjestelmän työnhakijaprofiilin esikarsintaan tai soveltuvuuden arviointiin. EU:n tekoälyasetuksen mukaan tämä on korkean riskin sovellus, joka edellyttää riskiarviointiasiakirjoja, ihmisvalvontaa ja EU-rekisteröintiä. Käyttöönottosopimuksessa on sovittava näistä velvoitteista.

Generatiivinen tekoäly sisällöntuotannossa. Markkinointiosasto hankkii suureen kielimalliin (LLM) perustuvan palvelun markkinointisisällön generointiin. Sopimus kattaa generoitujen tekstien tekijänoikeuden, brändiohjeistuksen noudattamisen ja mahdollisen virheellisen sisällön vastuun.

Tekoälypohjainen asiakaspalvelu (chatbot). Yritys ottaa käyttöön AI-chatbotin asiakaspalveluun. EU:n tekoälyasetuksen läpinäkyvyysvaatimukset: asiakkaille on ilmoitettava, että he ovat vuorovaikutuksessa tekoälyn kanssa (AI Act 50 artikla). GDPR 22 artiklan automaattisen päätöksenteon rajoitukset voivat soveltua.

Lääketieteellinen tekoäly. Sairaanhoitopiiri hankkii tekoälyjärjestelmän röntgenkuvien tai muiden lääketieteellisten kuvien analyysiin. Korkean riskin tekoälyjärjestelmä; lisäksi lääkinnällisiä laitteita koskeva lainsäädäntö (EU MDR 2017/745) voi soveltua.

Finanssialan tekoälyanalytiikka. Pankki tai vakuutusyhtiö hankkii tekoälypalvelun luottoriskien arviointiin tai petosten havaitsemiseen. Korkean riskin sovellus; Finanssivalvonnan (FIN-FSA) odotukset ja DORA:n vaatimukset on huomioitava.

Koodin generointi kehitystiimeille. Ohjelmistoyritys hankkii GitHub Copilot -tyyppisen tekoälyavustimen kehittäjien käyttöön. Sopimus kattaa generoitujen koodirivien tekijänoikeuden ja lisenssiriskin (onko generoidussa koodissa kopiolisenssiatarkistuksia tehty GPL- tai muusta copyleft-koodista).

Tekoälypohjainen kyberturvallisuus. Yritys hankkii tekoälypalvelun tietoturvauhkien tunnistamiseen ja poikkeamien havaitsemiseen (SIEM, SOC-automatiikka). Sopimus kattaa logiikka-datan luottamuksellisuuden ja turvallisuusauditointioikeuden.

Tekoälypalvelun käyttösopimus Suomessa sisältää seuraavat oikeudelliset elementit, jotka varmistavat EU:n tekoälyasetuksen noudattamisen, tietosuojavelvoitteiden täyttymisen ja selkeän vastuunjaon.

Osapuolten yksilöinti. Palveluntarjoajan ja Käyttäjän täydellinen toiminimi, kotipaikka ja Y-tunnus PRH:n kaupparekisteristä. Nimenkirjoitusoikeudelliset edustajat. AI-vaatimustenmukaisuusvastaava (AI compliance officer) korkean riskin järjestelmissä.

Tekoälypalvelun kuvaus ja riskitaso. Tekoälypalvelun täsmällinen nimi, versio ja kuvaus toiminnasta. EU:n tekoälyasetuksen mukainen riskitaso (kielletty / korkea / rajallinen / minimaalinen). Viittaus AI Act:n soveltuvaan liitteeseen ja sovellettaviin velvoitteisiin. Käyttötarkoituksen rajaus täsmällisesti; muihin tarkoituksiin käyttö kielletty.

EU:n tekoälyasetuksen velvoitteet. Korkean riskin järjestelmissä: riskiarviointiasiakirja (risk assessment), tekninen dokumentaatio, EU-rekisteröinti (EUDAMED:lle vastaava tekoälyrekisteri), lokikirjanpito (vähintään 6 kuukautta), ihmisvalvontamekanismi, häiriöilmoitusvelvollisuus. Rajallisen riskin järjestelmissä: läpinäkyvyysvaatimus (AI Act 50 artikla), ilmoitusvelvollisuus tekoälyvuorovaikutuksesta käyttäjille.

Tietosuoja ja GDPR. DPA-liite GDPR 28 artiklan mukaisesti, jos tekoälypalvelu käsittelee henkilötietoja. GDPR 22 artiklan automaattisen päätöksenteon rajoitus: ihmisvalvonta merkittäville päätöksille. Kielto käyttää arkaluonteisia henkilötietoja (GDPR 9 artikla) ilman erityislupaa. Kielto käyttää Käyttäjän syöttödataa mallikoulutukseen ilman suostumusta. Tietoturvaloukkauksen ilmoitusvelvollisuus 24 h Käyttäjälle, 72 h tietosuojavaltuutetulle (GDPR 33 artikla).

Generoitu sisältö ja immateriaalioikeudet. Käyttöoikeus generoituun sisältöön. Huomio: tekoälygeneroidun sisällön tekijänoikeussuoja on epäselvä Suomessa — tekijänoikeuslaki (404/1961) edellyttää ihmistekijää. Vastuunrajoitus kolmansien tekijänoikeuksien loukkaamisesta. Palveluntarjoajan vakuutus koulutusaineiston lainmukaisuudesta. Forms-legal.com suosittelee kirjaamaan sopimukseen, miten generoitua sisältöä voidaan käyttää kaupallisiin tarkoituksiin.

Hallusinaatiot ja virheellinen sisältö. Vastuunrajoitus tekoälyn virheellisistä tuotoksista. Käyttäjän velvollisuus tarkistaa kriittiset tekoälytulokset ennen käyttöönottoa. Kielto käyttää tekoälytuloksia yksinomaan ilman ihmistarkistusta korkean riskin päätöksissä.

Hinnoittelu. Kiinteä tai käyttöpohjainen maksu ilman arvonlisäveroa; vakio-ALV 25,5 % arvonlisäverolain (1501/1993) mukaan. Maksuaika (14 päivää netto), viivästyskorko korkolain (633/1982) mukaan. Käyttöpohjaisen hinnoittelun enimmäismäärä (billing cap).

Vastuunrajoitus. Kokonaisvastuu enintään 12 kuukauden käyttömaksut; välilliset vahingot pois suljettuina. Erityisesti vastuunrajoitus tekoälyn virheellisistä tuotoksista ja hallusinaatioista.

Tekoälypalvelun käyttösopimus Suomessa laaditaan seuraavien vaiheiden mukaisesti, jotka varmistavat EU:n tekoälyasetuksen noudattamisen ja tietosuojavelvoitteiden täyttymisen.

Vaihe 1 — Arvioi tekoälypalvelun riskitaso. Selvitä EU:n tekoälyasetuksen (AI Act, EU 2024/1689) mukainen riskitaso ennen sopimuksen laadintaa: onko kyseessä kielletty järjestelmä (sosiaalinen pisteytys, laaja kasvojen tunnistus julkisissa tiloissa); korkean riskin järjestelmä (rekrytointi, luotonmyöntö, lainvalvonta, terveydenhuolto); rajallisen riskin järjestelmä (chatbot, läpinäkyvyysvaatimus); tai minimaalisen riskin järjestelmä (roskapostisuodatin, suosittelujärjestelmä). Riskitaso määrää sopimuksen pakolliset elementit.

Vaihe 2 — Yksilöi osapuolet. Kirjaa Palveluntarjoajan ja Käyttäjän täydellinen toiminimi, kotipaikka ja Y-tunnus PRH:n kaupparekisteristä. Nimeä AI-vaatimustenmukaisuusvastaava korkean riskin järjestelmille.

Vaihe 3 — Kirjaa tekoälypalvelun kuvaus ja käyttötarkoitus täsmällisesti. Kirjaa palvelun nimi, versio ja toiminnankuvaus. Kirjaa sallittu käyttötarkoitus konkreettisesti ja listaa kielletyt käyttötapaukset. Varmista, että käyttötarkoitus vastaa tekoälypalvelun arvioitua riskitasoa.

Vaihe 4 — Sovi EU:n tekoälyasetuksen velvoitteista. Korkean riskin järjestelmissä: sovi kuka vastaa riskiarviointiasiakirjasta ja EU-rekisteröinnistä (tyypillisesti Palveluntarjoaja); sovi lokikirjanpidon vastuusta ja säilytysajasta (vähintään 6 kuukautta); kirjaa ihmisvalvontamekanismi täsmällisesti (kuka tarkistaa, mitä päätöksiä, millä aikataululla). Rajallisen riskin järjestelmissä: varmista AI Act 50 artiklan läpinäkyvyysvaatimus (loppukäyttäjille ilmoitetaan AI-vuorovaikutuksesta).

Vaihe 5 — Laadi DPA-liite tarvittaessa. Jos tekoälypalvelu käsittelee henkilötietoja, laadi GDPR 28 artiklan mukainen tietojenkäsittelysopimus (DPA) pakollisena liitteenä. Varmista GDPR 22 artiklan mukainen menettely automaattiselle päätöksenteolle.

Vaihe 6 — Sovi generoitujen tulosten käyttöoikeudesta. Kirjaa Käyttäjän oikeus hyödyntää tekoälygeneroidut tulokset sopimuksen tarkoitukseen. Huomioi, ettei Suomessa tekijänoikeuslaki (404/1961) suojaa puhtaasti tekoälygeneroidua sisältöä. Kirjaa vastuunrajoitus kolmansien tekijänoikeuksien loukkaamisesta. Pyydä Palveluntarjoajalta vakuutus koulutusaineiston lainmukaisuudesta.

Vaihe 7 — Sovi hinnoittelusta. Kirjaa käyttömaksu ilman arvonlisäveroa (ALV 25,5 % lisätään). Käyttöpohjaisessa hinnoittelussa sovi enimmäislaskutusmäärästä. Sovi laskutusjaksosta ja maksuajasta (14 päivää netto).

Vaihe 8 — Allekirjoita sopimus. Molemmat osapuolet allekirjoittavat sopimuksen kahtena samansisältöisenä kappaleena. Sähköinen allekirjoitus on pätevä oikeustoimilain (228/1929) mukaan.

Tekoälypalvelun käyttösopimus Suomessa kuuluu laajan lainsäädäntökehyksen piiriin, joka kehittyy nopeasti.

EU:n tekoälyasetus (AI Act, EU 2024/1689). Ensimmäinen kattava tekoälylainsäädäntö EU:ssa. Tuli täysimääräisesti voimaan 2.8.2026. Luokittelu riskitason mukaan: kielletty (6 kk täytäntöönpanoaika), korkea riski (liite III, 2 v täytäntöönpanoaika), rajallinen riski (läpinäkyvyysvelvoitteet), minimaalinen riski (vapaaehtoinen). Korkean riskin järjestelmille pakolliset vaatimukset: riskiarviointiasiakirja, tekninen dokumentaatio, EU-rekisteröinti EUDAMED-kaltaiseen tekoälyrekisteriin, lokikirjanpito vähintään 6 kuukautta, ihmisvalvontamekanismi. Korkean riskin tekoälyjärjestelmän markkinoille saattaminen ilman vaatimusten täyttämistä johtaa sakkoihin enintään 15 miljoonaa euroa tai 3 % globaalista liikevaihdosta. Traficom on Suomen kansallinen valvontaviranomainen.

GDPR (EU 2016/679) ja tietosuojalaki (1050/2018). GDPR 22 artiklan automaattinen päätöksenteko: rekisteröidyllä on oikeus olla joutumatta pelkästään automaattisen käsittelyn kohteeksi merkittävissä päätöksissä. GDPR 35 artiklan tietosuojan vaikutustenarviointi (DPIA) on pakollinen korkean riskin tekoälyjärjestelmille, jotka käsittelevät henkilötietoja laajassa mittakaavassa. GDPR 28 artiklan DPA pakollinen. Tietosuojavaltuutetun toimisto Suomessa valvoo.

Tekijänoikeuslaki (404/1961). Tekoälymallien kouluttaminen ja generoitujen tuotosten tekijänoikeusstatus ovat aktiivisen oikeudellisen keskustelun kohteena. EU:n tekijänoikeusdirektiivin (DSM-direktiivi, EU 2019/790) 4 artikla sallii tekijänoikeussuojatun aineiston käytön koneoppimiseen tietyin edellytyksin (ns. text and data mining -poikkeus).

Oikeustoimilaki (228/1929). Sopimuksen perusta; kohtuuttomat vastuunrajoitukset voidaan sovitella 36 §:n nojalla.

Laki sähköisen viestinnän palveluista (917/2014). Tietoturvavaatimukset tekoälypalveluille, jotka kommunikoivat verkossa. Traficom valvoo.

Vahingonkorvauslaki (412/1974). Tekoälyn aiheuttamien vahinkojen korvausvastuu ei ole täysin selvä Suomessa — EU:n tekoälyvastuurajapintadirektiivi (AI Liability Directive) on lausuntovaiheessa. Tällä hetkellä sopimusoikeudellinen vastuunrajoitus on tärkein suojatyökalu.

Tekoälypalvelun käyttösopimus Suomessa epäonnistuu seuraavista yleisimmistä virheistä.

Virhe 1 — EU:n tekoälyasetuksen riskitason tunnistamatta jättäminen. Yritys ottaa käyttöön HR-rekrytoinnin tekoälyjärjestelmän tietämättä, että se on AI Actin mukaan korkean riskin järjestelmä. Traficom voi määrätä seuraamusmaksun ja vaatia toiminnan keskeyttämistä. Suositus: arvioi tekoälypalvelun riskitaso ennen hankintaa ja varmista, että sopimus kattaa kaikki riskitason mukaiset velvoitteet.

Virhe 2 — Ihmisvalvontamekanismin puuttuminen. Yritys käyttää korkean riskin tekoälyjärjestelmää (esimerkiksi luotonmyönto) ilman ihmisvalvontaa. Päätökset perustuvat yksinomaan tekoälyyn, mikä rikkoo AI Act:ia ja GDPR 22 artiklaa. Suositus: kirjaa sopimukseen ihmisvalvontamenettely täsmällisesti.

Virhe 3 — Henkilötietojen syöttäminen ilman DPA-liitettä. Tekoälypalveluun syötetään henkilötietoja ilman GDPR 28 artiklan mukaista tietojenkäsittelysopimusta. Tietosuojavaltuutettu voi määrätä seuraamusmaksun. Suositus: laadi DPA-liite ennen henkilötietoja sisältävien syötteiden lähettämistä.

Virhe 4 — Tekoälygeneroituun sisältöön luottaminen ilman tarkistusta (hallusinaatioriski). Yritys käyttää tekoälyn generoimia faktatietoja (esimerkiksi lakiviittauksia tai tieteellisiä lähteitä) tarkistamatta niitä. Tekoäly tuottaa virheellisiä lähteitä tai vanhentunutta tietoa. Suositus: kirjaa sopimukseen Käyttäjän velvollisuus tarkistaa kriittiset tekoälytulokset ennen käyttöönottoa. Älä koskaan luota tekoälyyn ilman ihmistarkistusta juridisissa tai lääketieteellisissä päätöksissä.

Virhe 5 — Tekoälymallin koulutusaineiston tekijänoikeuden laiminlyönti. Käyttäjä luovuttaa tekoälypalveluun luottamuksellista sisältöä (sopimukset, liikesalaisuudet) tietämättä, että Palveluntarjoaja käyttää niitä mallin kouluttamiseen. Suositus: varmista sopimuksessa, että Palveluntarjoaja ei saa käyttää Käyttäjän syöttödataa mallin kouluttamiseen ilman nimenomaista suostumusta.

Virhe 6 — Chatbotin läpinäkyvyysvaatimuksen laiminlyönti. Yritys ottaa käyttöön asiakaspalvelu-chatbotin ilmoittamatta asiakkaille, että kyseessä on tekoäly. AI Act 50 artikla edellyttää ilmoittamista. Suositus: kirjaa sopimukseen Palveluntarjoajan velvollisuus varmistaa läpinäkyvyysvaatimuksen täyttyminen.

Virhe 7 — Kielletyn tekoälysovelluksen hankkiminen tietämättömyydessä. Yritys hankkii tekoälyjärjestelmän, joka on luokiteltu kielletyksi (unacceptable risk) AI Actin nojalla, esimerkiksi biometrinen tunnistus julkisessa paikassa tai sosiaalinen pisteytys. Suositus: tarkista ennen hankintaa, onko suunniteltu käyttötapaus AI Actin nojalla kielletty.