# AI Actin high-risk-luokitus: onko rekrytointi- tai luottopäätösagenttisi Annex III -järjestelmä?

> AI Actin liite III listaa korkean riskin tekoälyjärjestelmät, kuten rekrytointi- ja luottopäätösagentit. Näin tarkistat luokituksen ja velvoitteet ajoissa.

- Julkaistu: 2026-09-18
- Kirjoittaja: Master Mind
- Alkuperäinen: https://aimaster.fi/artikkelit/ai-act-korkean-riskin-tekoalyjarjestelma-annex-iii

AI Actin liite III listaa kahdeksan käyttötapausryhmää, jotka tekevät tekoälyjärjestelmästä automaattisesti korkean riskin. Kaksi yleisintä kasvuyrityksen arjessa ovat rekrytointi ja luottokelpoisuuden arviointi. Jos yrityksesi käyttää tekoälyä hakijoiden seulontaan tai maksukyvyn arviointiin, kannattaa tarkistaa luokitus nyt — ei siinä vaiheessa, kun valvova viranomainen kysyy ensin.

AI Act (EU:n tekoälyasetus) on jo osittain voimassa: kiellot tulivat 2.2.2025 ja yleiskäyttöisten tekoälymallien velvoitteet 2.8.2025. Korkean riskin järjestelmien vaatimukset eivät kuitenkaan ole vielä täydessä voimassa, ja niiden aikataulua on siirretty. Moni kasvuyrityksen johtaja olettaa virheellisesti, että koko asetus on jo täysimääräisesti sovellettavissa — tai päinvastoin, että sillä ei ole kiirettä lainkaan.

## Mikä tekee tekoälyjärjestelmästä AI Actin mukaan korkean riskin?

Järjestelmä on korkean riskin, jos se on listattu asetuksen liitteessä III eikä täytä poikkeusehtoja. Liite III kattaa kahdeksan aluetta: biometriikan, kriittisen infrastruktuurin, koulutuksen, työelämän, keskeiset julkiset ja yksityiset palvelut, lainvalvonnan, maahanmuuton sekä oikeudenhoidon ja demokraattiset prosessit. Jos järjestelmä profiloi ihmisiä — eli käsittelee henkilötietoja arvioidakseen esimerkiksi työsuoritusta, taloudellista tilannetta tai käyttäytymistä — se on aina korkean riskin, poikkeuksista huolimatta.

## Milloin rekrytointiagentti luokitellaan korkean riskin järjestelmäksi?

Rekrytointiin ja työsuhteisiin liittyvät tekoälyjärjestelmät ovat liitteessä III nimeltä mainittuja: kohdennettu työpaikkailmoittelu, hakemusten analysointi ja suodatus, kandidaattien arviointi sekä ylenemis- ja irtisanomispäätöksiin vaikuttavat järjestelmät kuuluvat kaikki listaan. Poikkeus koskee vain kapeaa proseduraalista tehtävää tai jo tehdyn ihmisarvion tuloksen parantamista ilman, että järjestelmä korvaa arvion. Käytännössä useimmat CV-seulontaan käytetyt agentit eivät täytä poikkeusta, koska ne suodattavat hakijoita ennen ihmisen arviota.

## Entä luottopäätösagentti tai muu maksukyvyn arviointi?

Luottokelpoisuuden arviointiin käytetty tekoäly on korkean riskin liitteen III mukaan, paitsi kun järjestelmää käytetään yksinomaan talouspetosten havaitsemiseen. Sama koskee vakuutusten riskinarviointia ja hinnoittelua henki- ja sairausvakuutuksissa sekä julkisten etuuksien myöntämiseen liittyviä järjestelmiä. Jos kasvuyrityksesi tarjoaa B2C-rahoitteisia palveluita tai arvioi asiakkaiden maksukykyä automaattisesti, luokitus koskee todennäköisesti sinua.

## Milloin nämä velvoitteet astuvat voimaan?

Aikataulu on muuttunut EU:n Digital Omnibus -muutosten myötä. Liitteen III korkean riskin järjestelmien velvoitteet (artikla 6(2)) tulevat sovellettaviksi 2.12.2027. Liitteen I mukaisten järjestelmien (esim. koneturvallisuuslainsäädännön piirissä olevat tuotteet) velvoitteet astuvat voimaan 2.8.2028. Kiellot ovat olleet voimassa jo 2.2.2025 alkaen, ja artiklan 50 avoimuusvelvoitteet (esim. tieto siitä, että keskustelee chatbotin kanssa) koskevat kaikkia 2.8.2026 lähtien riippumatta riskiluokasta. Lisäaikaa on siis vielä, mutta järjestelmien suunnittelu ja hankinta kannattaa tehdä valmiiksi ennen määräaikaa, ei sen jälkeen.

## Mitä velvoitteita korkean riskin järjestelmän tarjoajalle syntyy?

Jos [Master Layer](https://aimaster.fi/tuotteet/master-layer) -tyyppisen datapohjan päälle rakennetaan oma rekrytointi- tai luottopäätösagentti sisäiseen käyttöön, yrityksesi on todennäköisesti asetuksen tarkoittama tarjoaja, ei vain käyttöönottaja. Tarjoajan velvoitteet kattavat riskinhallintajärjestelmän koko elinkaaren ajalle, datan hallinnan (koulutus- ja testidatan on oltava riittävän edustavaa), teknisen dokumentaation, automaattisen lokituksen, ihmisvalvonnan suunnittelun, tarkkuus- ja kyberturvallisuusvaatimukset, laadunhallintajärjestelmän sekä vaatimustenmukaisuuden arvioinnin ja CE-merkinnän. Järjestelmä on myös rekisteröitävä EU:n korkean riskin tietokantaan.

## Mitä velvoitteita syntyy, kun kasvuyritys ostaa valmiin korkean riskin järjestelmän?

Useimmiten kasvuyritys ei rakenna rekrytointi- tai luottopäätösjärjestelmää itse, vaan ostaa sen ohjelmistotoimittajalta. Tällöin yrityksesi on asetuksen tarkoittama käyttöönottaja (deployer), jolla on silti selkeät velvoitteet: käyttää järjestelmää tarjoajan käyttöohjeiden mukaisesti, nimetä riittävän osaava henkilö ihmisvalvontaan, valvoa järjestelmän toimintaa, säilyttää automaattisesti syntyvät lokit ja informoida henkilöä, jos päätökseen vaikuttaa korkean riskin tekoälyjärjestelmä. Julkishallinnon käyttöönottajilla on lisäksi rekisteröintivelvollisuus. Nämä velvoitteet eivät katoa siksi, että et itse kehittänyt järjestelmää.

| Velvoite | Tarjoaja (kehittäjä) | Käyttöönottaja (deployer) |
| --- | --- | --- |
| Riskinhallintajärjestelmä | Kyllä, koko elinkaaren ajalle | Ei suoraan, mutta valvottava käyttöä |
| Tekninen dokumentaatio ja CE-merkintä | Kyllä | Ei |
| Ihmisvalvonnan suunnittelu vs. toteutus | Suunnittelee järjestelmän mahdollistamaan valvonnan | Nimeää ja kouluttaa valvovan henkilön |
| Lokien säilytys | Määrittelee lokitusvaatimukset | Säilyttää omassa hallinnassaan olevat lokit |
| Rekisteröinti EU-tietokantaan | Kyllä, ennen markkinoille tuontia | Vain julkishallinnon käyttöönottajat |
| Henkilön informointi päätöksestä | Ei suoraa velvoitetta | Kyllä, jos päätös vaikuttaa henkilöön |

## Miten kasvuyritys valmistautuu käytännössä?

Ensimmäinen askel ei ole juristin palkkaaminen vaan inventaario: mitkä tekoälyjärjestelmät yrityksessäsi tekevät päätöksiä tai avustavat päätöksiä rekrytoinnissa, luottokelpoisuudessa tai muissa liitteen III alueilla? [Master Plan](https://aimaster.fi/tuotteet/master-plan) on tekoälystrategiasprintti, joka kartoittaa, missä tekoäly tuottaa yrityksellesi eniten arvoa — euroissa mitattuna. Sama kartoitustyö paljastaa myös, mitkä käyttötapaukset osuvat liitteen III piiriin, ennen kuin niistä tulee ongelma. Kun luokitus on selvä, seuraava askel on varmistaa, että data, jolla järjestelmää käytetään tai koulutetaan, on jäljitettävää ja hallittua — tästä on kirjoitettu tarkemmin [data lineagesta AI-agentin päätösten jäljittämisessä](https://aimaster.fi/artikkelit/mista-tama-luku-tulee-nain-kasvuyritys-rakentaa-data-lineagen-ai-agentin-paatost).

Kalvokonsultti myy sinulle 40-sivuisen AI Act -vaatimustenmukaisuusraportin ja katoaa. Toimiva prosessi on toinen asia: se tuottaa listan järjestelmistä, niiden luokituksen ja konkreettisen tehtävälistan ennen kuin valvova viranomainen tai asiakas kysyy sitä sinulta.

## Usein kysyttyä

## Koskeeko high-risk-luokitus myös ostettua rekrytointiohjelmistoa, ei vain itse rakennettua tekoälyä?

Kyllä. Luokitus riippuu käyttötarkoituksesta, ei siitä, kuka järjestelmän on kehittänyt. Jos ostat kolmannen osapuolen rekrytointityökalun, joka seuloo hakemuksia, järjestelmä voi olla korkean riskin siitä riippumatta. Yrityksesi rooli on tällöin käyttöönottaja, jolla on omat velvoitteensa — muun muassa ihmisvalvonnan järjestäminen ja lokien säilyttäminen.

## Onko jokainen rekrytoinnissa käytetty tekoäly automaattisesti korkean riskin järjestelmä?

Ei. Poikkeus koskee kapeita proseduraalisia tehtäviä ja järjestelmiä, jotka vain parantavat jo tehdyn ihmisarvion tulosta korvaamatta sitä. Esimerkiksi hakemusten automaattinen lajittelu kansioihin ilman arviointia ei todennäköisesti ole korkean riskin. Sen sijaan hakijoiden pisteyttäminen tai karsiminen on. Rajatapauksissa tarjoajan on dokumentoitava arvionsa siitä, miksi järjestelmä ei ole korkean riskin, ennen kuin sitä otetaan käyttöön.

## Milloin AI Actin high-risk-vaatimukset tulevat voimaan?

Liitteen III mukaisten korkean riskin järjestelmien velvoitteet tulevat sovellettaviksi 2.12.2027 ja liitteen I mukaisten 2.8.2028, EU:n Digital Omnibus -muutosten mukaisesti. Kieltoja koskevat säännökset ovat olleet voimassa jo 2.2.2025 alkaen, ja artiklan 50 avoimuusvaatimukset koskevat kaikkia AI-järjestelmiä 2.8.2026 lähtien riskiluokasta riippumatta.

## Mitä kannattaa tehdä ensimmäiseksi?

Tee inventaario tekoälyjärjestelmistä, jotka vaikuttavat rekrytointiin, luottopäätöksiin tai muihin liitteen III käyttötapauksiin. Selvitä kustakin, oletko tarjoaja vai käyttöönottaja, ja dokumentoi luokitteluperuste. Tämä työ kannattaa tehdä osana laajempaa tekoälystrategian kartoitusta, jotta luokittelu ja liiketoiminta-arvo käsitellään samassa prosessissa erillisten selvitysten sijaan.

Varaa [ilmainen Master Mind -analyysi](https://aimaster.fi/analyysi), jossa käydään läpi, mitkä yrityksesi tekoälyjärjestelmät osuvat AI Actin liitteen III piiriin ja mitä se käytännössä tarkoittaa aikataulusi ja hankintojesi kannalta.

## Usein kysytyt kysymykset

### Koskeeko high-risk-luokitus myös ostettua rekrytointiohjelmistoa, ei vain itse rakennettua tekoälyä?

Kyllä. Luokitus riippuu käyttötarkoituksesta, ei siitä, kuka järjestelmän on kehittänyt. Jos ostat kolmannen osapuolen rekrytointityökalun, joka seuloo hakemuksia, järjestelmä voi olla korkean riskin siitä riippumatta. Yrityksesi rooli on tällöin käyttöönottaja, jolla on omat velvoitteensa — muun muassa ihmisvalvonnan järjestäminen ja lokien säilyttäminen.

### Onko jokainen rekrytoinnissa käytetty tekoäly automaattisesti korkean riskin järjestelmä?

Ei. Poikkeus koskee kapeita proseduraalisia tehtäviä ja järjestelmiä, jotka vain parantavat jo tehdyn ihmisarvion tulosta korvaamatta sitä. Hakemusten automaattinen lajittelu ilman arviointia ei todennäköisesti ole korkean riskin. Hakijoiden pisteyttäminen tai karsiminen on. Rajatapauksissa tarjoajan on dokumentoitava arvionsa ennen käyttöönottoa.

### Milloin AI Actin high-risk-vaatimukset tulevat voimaan?

Liitteen III mukaisten korkean riskin järjestelmien velvoitteet tulevat sovellettaviksi 2.12.2027 ja liitteen I mukaisten 2.8.2028, EU:n Digital Omnibus -muutosten mukaisesti. Kiellot ovat olleet voimassa 2.2.2025 alkaen, ja artiklan 50 avoimuusvaatimukset koskevat kaikkia järjestelmiä 2.8.2026 lähtien riskiluokasta riippumatta.

### Mitä kannattaa tehdä ensimmäiseksi?

Tee inventaario tekoälyjärjestelmistä, jotka vaikuttavat rekrytointiin, luottopäätöksiin tai muihin liitteen III käyttötapauksiin. Selvitä kustakin, oletko tarjoaja vai käyttöönottaja, ja dokumentoi luokitteluperuste osana laajempaa tekoälystrategian kartoitusta.

### Mikä ero on tarjoajan ja käyttöönottajan velvoitteilla?

Tarjoaja (järjestelmän kehittäjä) vastaa riskinhallinnasta, teknisestä dokumentaatiosta, CE-merkinnästä ja EU-tietokantarekisteröinnistä. Käyttöönottaja eli järjestelmän ostava yritys vastaa käyttöohjeiden noudattamisesta, ihmisvalvonnan järjestämisestä, lokien säilyttämisestä ja päätöksen kohteena olevan henkilön informoinnista.