Artikla 77 — Perusoikeuksia suojaavien viranomaisten toimivaltuudet (EU:n tekoälylaki)

Asetuksen (EU) 2024/1689 artikla 77 — Perusoikeuksia suojaavien viranomaisten toimivaltuudet. Virallinen teksti, käytännön tulkinta, keskeiset velvollisuudet ja vaatimustenmukaisuuden vaikutukset.

Virallisen tekstin yhteenveto

Asetuksen (EU) 2024/1689 artikla 77 vahvistaa erityiset toimivaltuudet kansallisille viranomaisille, joiden toimeksianto kattaa perusoikeuksien suojaamisen, jolloin ne voivat toimia ylimääräisenä valvontakerroksena lainkäyttöalueellaan käyttöönotettujen suuren riskin tekoälyjärjestelmien osalta.

Artiklan 77 kohdan 1 mukaan jokaiselle kansalliselle viranomaiselle tai elimelle, jolla on toimivalta valvoa tai panna täytäntöön perusoikeuksiin liittyviä velvollisuuksia — mukaan lukien asetuksen (EU) 2016/679 mukaiset tietosuojaviranomaiset, tasa-arvoeliimet, kuluttajansuojaviranomaiset ja vastaavat tahot — myönnetään toimivalta pyytää suuren riskin tekoälyjärjestelmien käyttöönottajilta pääsyä asetuksen mukaisesti laadittuun ja ylläpidettyyn asiakirja-aineistoon. Nämä viranomaiset voivat erityisesti pyytää tietyiltä käyttöönottajilta artiklan 27 mukaista perusoikeuksiin kohdistuvaa vaikutustenarviointia, artiklan 26 kohdan 6 nojalla säilytettyjä tekoälyjärjestelmän automaattisesti tuottamia lokeja sekä muuta vaatimustenmukaisuuden osoittamiseksi tarvittavaa asiakirja-aineistoa.

Artiklan 77 kohdan 2 mukaan, jos tällaisella viranomaisella on perusteltuja syitä uskoa, että suuren riskin tekoälyjärjestelmä aiheuttaa riskin perusoikeuksille tai henkilöiden terveydelle ja turvallisuudelle, sen on ilmoitettava asiasta artiklan 70 nojalla nimetylle asianomaiselle markkinavalvontaviranomaiselle ja se voi toimittaa sille kaikki hallussaan olevat asiaankuuluvat tiedot. Markkinavalvontaviranomainen vastaa tämän jälkeen asianmukaisten tutkimus- ja korjaavien toimenpiteiden toteuttamisesta luvun VII mukaisten toimivaltuuksiensa puitteissa.

Artikla 77 luo siten jäsennellyn yhteistyömekanismin alakohtaisten perusoikeuksiin erikoistuneiden elinten ja ensisijaisen markkinavalvontainfrastruktuurin välille myöntämättä näille viranomaisille suoria tekoälyjärjestelmien vaatimustenmukaisuuden valvontaan liittyviä täytäntöönpanotoimivaltuuksia itsenäisesti, vakiintuneen markkinavalvontakehyksen ulkopuolella.

Mitä tämä tarkoittaa käytännössä

Artiklalla 77 on välittömiä operatiivisia seurauksia suuren riskin tekoälyjärjestelmien käyttöönottajille — erityisesti niille, jotka toimivat herkillä aloilla, kuten työllistyminen, koulutus, pääsy keskeisiin palveluihin, lainvalvonta, maahanmuutto ja oikeudenkäyttö, joissa perusoikeuksille altistuminen on kaikkein vakavinta.

Käyttöönottajien on oltava valmiita vastaamaan asiakirjapyyntöihin laajemmalta julkisten viranomaisten joukolta kuin pelkältä ensisijaiselta markkinavalvontaviranomaiselta. Tietosuojaviranomainen, joka tutkii tekoälyavusteista rekrytointityökalua, tasa-arvoelin, joka tutkii automatisoitua etuuksien saamisen edellytyksiä arvioivaa järjestelmää, tai kuluttajansuojavirasto, joka tarkastelee tekoälypohjaista luottoluokitusjärjestelmää, voivat kaikki vedota artiklaan 77 saadakseen käyttöönottajan perusoikeuksiin kohdistuvan vaikutustenarvioinnin ja järjestelmälokit.

Käytännössä tämä tarkoittaa, että käyttöönottajien tulisi varmistaa, että heidän artiklan 27 mukainen perusoikeuksiin kohdistuva vaikutustenarviointi on valmis, ajan tasalla ja helposti saatavilla ennen käyttöönottoa — sitä ei pidä käsitellä jälkikäteen tehtävänä harjoituksena. Samoin artiklan 26 mukaisten kirjaamisvelvoitteiden on oltava toiminnallisesti aktiivisia, jotta tietueet voidaan tuottaa pyydettäessä viivytyksettä.

Tarjoajien osalta artikla 77 korostaa kattavan teknisen asiakirja-aineiston laatimisen ja ylläpitämisen tärkeyttä artiklan 11 nojalla sekä käyttöohjeiden artiklan 13 nojalla, jotka ovat riittävän yksityiskohtaisia tukeakseen käyttöönottajan vaatimustenmukaisuutta. Jos perusoikeusviranomainen esittää huolenaiheita ja ilmoittaa markkinavalvontaviranomaiselle, tarjoajan asiakirja-aineisto on keskeisessä asemassa kaikessa myöhemmässä tutkinnassa.

Suuren riskin tekoälyjärjestelmiä käyttöönottavien organisaatioiden tulisi kartoittaa, millä perusoikeusviranomaisilla on toimivalta niiden toiminnan suhteen, ja arvioida ennakoivasti, miten nämä viranomaiset todennäköisesti tulkitsevat toimeksiantoaan tekoälyn valvonnan suhteen.

Keskeiset velvollisuudet

• Käyttöönottajien on toimitettava asiakirjat pyydettäessä: Toimivaltaisen perusoikeusviranomaisen pyynnöstä suuren riskin tekoälyjärjestelmien käyttöönottajien on annettava pääsy perusoikeuksiin kohdistuvaan vaikutustenarviointiin (artikla 27), automaattisesti tuotettuihin lokeihin (artikla 26 kohta 6) sekä muuhun viranomaisen arvioinnin kannalta olennaiseen asiakirja-aineistoon.
• Perusoikeusviranomaisten on ilmoitettava markkinavalvontaviranomaisille: Kun perusoikeusviranomaisella on perusteltuja syitä uskoa, että suuren riskin tekoälyjärjestelmä aiheuttaa riskejä perusoikeuksille tai terveydelle ja turvallisuudelle, se on velvollinen ilmoittamaan asiasta artiklan 70 nojalla nimetylle asianomaiselle markkinavalvontaviranomaiselle ja jakamaan kaikki asiaankuuluvat tiedot.
• Perusoikeuksiin kohdistuvien vaikutustenarviointien on oltava ajan tasalla ja saatavilla: Koska artikla 77 luo voimassa olevan oikeuden pyytää asiakirjoja, artiklan 27 alaiset käyttöönottajat eivät voi lykätä tai laiminlyödä vaikutustenarviointia — sen on oltava olemassa ja haettavissa, kun viranomainen käyttää toimivaltuuksiaan.
• Lokien säilyttämisen on oltava toiminnallista ennen käyttöönottoa: Käyttöönottajien on varmistettava, että artiklan 26 kohdan 6 mukaiset kirjaamismekanismit ovat aktiivisia ja tietueet säilytetään tavalla, joka mahdollistaa niiden oikea-aikaisen toimittamisen artiklaan 77 vetoaville viranomaisille.
• Viranomaisten välinen yhteistyö on pakollista: Käyttöönottajien ja tarjoajien on oltava valmiita toimimaan samanaikaisesti useiden toimivaltaisten elinten kanssa — tutkintaa käynnistävän perusoikeusviranomaisen ja markkinavalvontaviranomaisen, jolle se raportoi — luomatta ristiriitoja kummallekin toimitetuissa tiedoissa.

Suhde muihin artikloihin

Artikla 77 sijaitsee markkinoille saattamisen jälkeistä seurantaa koskevan kehyksen (luku IX) ja laajemman markkinavalvonta-arkkitehtuurin (luku VII) risteyksessä, ja sitä on luettava yhdessä useiden muiden säännösten kanssa.

Artikla 26 (Käyttöönottajien velvollisuudet) vahvistaa keskeisimmät seuranta- ja kirjaamisvelvollisuudet, jotka tuottavat asiakirja-aineiston, johon artiklan 77 viranomaisilla on valtuudet päästä käsiksi. Artikla 27 (Suuren riskin tekoälyjärjestelmien perusoikeuksiin kohdistuva vaikutustenarviointi) luo ensisijaisen asiakirjan, jota perusoikeusviranomaiset hakevat; nämä kaksi artiklaa ovat operatiivisesti kytkettyinä toisiinsa.

Artikla 70 (Kansallisten toimivaltaisten viranomaisten ja yhteystahon nimeäminen) yksilöi markkinavalvontaviranomaiset, joille perusoikeuselimet ovat velvollisia raportoimaan artiklan 77 kohdan 2 nojalla. Artiklat 74 ja 75 määrittelevät tutkinta- ja korjaavat toimivaltuudet, joita markkinavalvontaviranomaiset voivat sitten käyttää ilmoituksen jälkeen.

Artikla 13 (Läpinäkyvyys ja tietojen toimittaminen käyttöönottajille) ja artikla 11 (Tekninen asiakirja-aineisto) ovat merkityksellisiä, koska tarjoajan toimittaman asiakirja-aineiston riittävyys määrittää suoraan käyttöönottajan kyvyn vastata artiklan 77 mukaisiin pyyntöihin. Artikla 9 (Riskinhallintajärjestelmä) tarjoaa analyyttisen viitekehyksen alkupäässä, jonka tulisi ohjata artiklassa 77 tarkoitettua perusoikeuksiin kohdistuvaa vaikutustenarviointia.

GDPR:n alaisten organisaatioiden osalta artiklaa 77 tulisi lukea myös yhdessä asetuksen (EU) 2016/679 artiklojen 35 ja 51–59 kanssa, jotka koskevat tietosuojaan liittyviä vaikutustenarviointeja ja valvontaviranomaisten toimivaltuuksia — toimivaltuudet, jotka menevät huomattavasti päällekkäin artiklan 77 kehyksen kanssa tekoälyn käyttöönotoissa, joihin liittyy henkilötietojen käsittely.

Vaatimustenmukaisuuden aikataulu

EU:n tekoälylaki tuli voimaan 1. elokuuta 2024, kaksikymmentä päivää Euroopan unionin virallisessa lehdessä julkaisemisen jälkeen.

Vaiheistettu soveltamisaikataulu on seuraava:

• 2. helmikuuta 2025: Kielto hyväksymättömän riskin tekoälykäytännöille (artikla 5) tuli sovellettavaksi.
• 2. elokuuta 2025: Yleiskäyttöisiä tekoälymalleja koskevat säännöt (VIII osasto, artiklat 51–56) ja hallintoa koskevat velvollisuudet (VII osasto) tulivat sovellettaviksi.
• 2. elokuuta 2026: Artikla 77 yhdessä liitteessä III lueteltujen suuren riskin tekoälyjärjestelmien täydellisen kehyksen kanssa (mukaan lukien työllistymistä, koulutusta, keskeisiä palveluja, lainvalvontaa, maahanmuuttoa ja oikeudenkäyttöä koskevat sovellukset) tulee sovellettavaksi. Tämä on ensisijainen vaatimustenmukaisuuden määräaika useimmille käyttöönottajille, jotka todennäköisesti kohtaavat perusoikeusviranomaisten artiklan 77 mukaisia pyyntöjä.
• 2. elokuuta 2027: Artiklan 77 kehys — ja laajemmat suuren riskin tekoälyjärjestelmien velvollisuudet — tulevat sovellettaviksi tekoälyjärjestelmiin, joita koskee liitteessä I lueteltu unionin yhdenmukaistamislainsäädäntö (mukaan lukien lääkinnälliset laitteet, koneet, siviili-ilmailu ja moottoriajoneuvojen komponentit).

Suuren riskin tekoälyjärjestelmiä perusoikeuksille herkillä aloilla käyttöönottavien organisaatioiden tulisi saattaa päätökseen artiklan 27 mukaiset perusoikeuksiin kohdistuvat vaikutustenarvioinnit ja varmistaa, että artiklan 26 mukainen lokikirjausinfrastruktuuri on toiminnassa hyvissä ajoin ennen 2. elokuuta 2026 olevaa määräaikaa.