Tekoälyagentit – mitä ne ovat ja kenellä on vastuu niiden toiminnasta?

Tekoälyagenteista uumoillaan seuraavaa tekoälyläpimurtoa. Ne ovat itsenäisiä ohjelmistoja tai järjestelmiä, jotka käyttävät tekoälyä suorittaakseen tehtäviä ilman jatkuvaa ihmisen ohjausta. Tekoälyagenttien itsenäisyys muodostaa haastavia juridisia kysymyksiä. Kuka vastaa tekoälyjärjestelmän suorittamista tehtävistä ja tekemistä päätöksistä? Entä mahdollisesti aiheutuvasta vahingosta? Näihin kysymyksiin vastattiin Datakoulu-webinaarisarjan jaksossa 26.3.2025, jonka keskusteluista on koottu yhteenveto tähän artikkeliin.

Tekoälyagenteista keskustelivat asiantuntijamme Pessi Honkasalo, Alexander Bützow ja Iiris Rantanen sekä vieraspuhujana tekoälykonsultti, ohjelmistoyritys Kworkin toimitusjohtaja Antti Törrönen.

Miten tekoälyagentti voidaan määritellä ja miten se näyttäytyy juridisena käsitteenä?

Tekoälyagentille ei vielä tällä hetkellä ole yleispätevää määritelmää. Tekoälyagentilla tarkoitetaan kuitenkin yleisesti itsenäiseen toimintaan kykenevää ohjelmistoa tai järjestelmää, joka hyödyntää tekoälyä toimenpiteiden tekemiseksi. Se voi esimerkiksi ostaa matkalippuja tai suunnitella ja toteuttaa applikaation käyttäjän puolesta. Tietynlaiset tekoälyagentit voivat käyttää käyttäjän omaa selainta ja olla vuorovaikutuksessa verkkosivun kanssa näppäimistöä ja hiirtä simuloiden käyttäjän antaessa siihen luvan. Tekoälyagentteihin liittyy Antti Törrösen mukaan tiettyjä yhdistäviä piirteitä, joiden avulla ne voivat:

• tuottaa tekstiä ja/tai kuvia käskystä (tämä on generatiivisen tekoälyn lähtötilanne),
• käskyttää itse itseään tai joukkoa kopioitaan,
• hakea tietoa ulkoisista palveluista ja lähteistä,
• käsitellä ennakolta määriteltyjä ulkoisia palveluita ja
• enenevässä määrin myös etsiä ja käyttää ulkoisia palveluita sekä toimia autonomisesti ammattilaisen tehtävissä.

Juridisena käsitteenä tekoälyagenttia ei vielä löydy lainsäädännöstä. Valtiovarainministeriö on kuitenkin määritellyt ohjeessaan (VN/6190/2025) tekoälyagentin seuraavasti: "Henkilön puolesta toimiva tekoäly, joka kykenee itsenäisesti suorittamaan sille annettuja monimutkaisiakin ja päättelyä edellyttäviä tehtäviä ja päätöksiä käyttäjän puolesta." Keskeisenä elementtinä on siis tekoälyagentin kyky tehdä itsenäisesti tehtäviä, jolloin vastuukysymysten relevanssi kasvaa.

Keskeinen tekoälyagenttien autonomisuutta rajoittava tekijä on tällä hetkellä hallusinaatiot, eli virheelliset tai täysin keksityt vastaukset, joita tekoäly voi tuottaa luotettavan kuuloisella tavalla. Tekoälymalli voi esimerkiksi sotkea kaksi asiaa tai termiä keskenään. "Mitä useampia päätöksiä tekoäly tekee peräkkäin, sitä todennäköisemmin mukaan mahtuu hallusinaatioita. Kehitystä kuitenkin tapahtuu: hallusinaatioiden määrä on jo vähentynyt, ja tekoäly pystyy suorittamaan yhä pidempiä tehtäväketjuja", tiivistää Antti Törrönen.

Miten vastuuta tekoälyagentin toiminnasta voidaan tulkita lainsäädännön kautta?

Vastuurelaatioiden osalta voidaan puhua esimerkiksi seuraavista skenaarioista: tekoälyagentti voi aiheuttaa käyttäjälle vahinkoa (tekoälyagentti voi esimerkiksi ostaa kahden keikkalipun sijaan 500 lippua) tai tekoälyagentti voi aiheuttaa kolmannelle vahinkoa (tekoälyagentti voi esimerkiksi keikkalippuja hankkiessaan muodostaa palvelunestohyökkäyksen kaltaisen kuormituksen lippupalvelun palvelimille, jolloin sivut kaatuvat). Lisäksi tekoälyagentin käyttäminen työntekijän tai virkahenkilön ominaisuudessa voi lisätä vastuusuhteisiin myös työnantajan tai viranomaisen.

Webinaarissa vastuuta tekoälyagenttien toiminnasta tarkasteltiin kuuden eri vastuulajin kautta:

• Tuotevastuu: Päivitetyn tuotevastuudirektiivin ((EU) 2024/2853) mukaan talouden toimijoiden vastuulla on korvata luonnollisille henkilöille turvallisuudeltaan puutteellisista tuotteista (mukaan lukien ohjelmistot ja tekoälyjärjestelmät) aiheutuneita tiettyjä vahinkoja. Vastuu on ensisijaisesti valmistajalla (esimerkiksi ohjelmiston kehittäjällä tai tekoälyjärjestelmän tarjoajalla). Vastuun syntymiseksi tuotteen tulee olla turvallisuudeltaan puutteellinen huomioiden muun muassa tuotteesta kerrotut tiedot ja sen ominaisuudet, ennakoidut käyttötavat sekä tuotteen mahdollinen itsenäinen oppimiskyky. Päivitettyä tuotevastuudirektiiviä sovelletaan vasta tuotteisiin, jotka saatetaan markkinoille tai otetaan käyttöön 9.12.2026 jälkeen.
• Sopimusvastuu: Vastuulajina sopimusvastuu on erityisen relevantti käyttäjän ja tekoälyagentin tarjoajan välisissä suhteissa (sekä B2B-yhteyksissä), sillä käyttäjä todennäköisesti ostaa palvelun, joka mahdollistaa agentin käytön, jolloin palveluntarjoajan palveluehdot muodostavat sopimussuhteen sen ja käyttäjän välillä. Tarjoajan näkökulmasta tekoälyagentin käyttäjälle tai kolmannelle osapuolelle aiheuttama vahinko on pääosin sopimusperusteista inter partes -vastuuta. Tarjoajan vastuu on kuitenkin hyvin rajattua, sillä tekoälyagentti tarjotaan tyypillisesti pitkälti "sellaisena kuin se on" virheineen ja ilman takuita tai vakuutuksia. Lisäksi palveluehdot tyypillisesti rajaavat pois välilliset vahingot ja sisältävät euromääräisiä vastuunrajoituksia. Rajatusta sopimusvastuusta johtuen käyttäjän on tärkeä ymmärtää tekoälyagentin toimintaa, käyttötarkoitusta ja käyttöohjeita, sillä käyttäjän oma huolellisuus voi myös nousta tarkastelun kohteeksi.
• Yleinen vahingonkorvausvastuu: Vahinkoa voi aiheutua myös kolmannelle osapuolelle, joka ei ole sopimussuhteessa käyttäjän tai tarjoajan kanssa (tekoälyagenttia voidaan esimerkiksi pyytää luomaan somekampanja, mutta tekoälyagentti päätyykin julkaisemaan sopimatonta tietoa kilpailevasta yrityksestä). Sopimuksen ulkoisen korvausvastuun pääedellytyksinä on, että kyseessä on oltava vahinko, vastuuperusteena tulee olla tahallisuus tai huolimattomuus ja lisäksi tulee olla riittävä syy-yhteys korvausvastuuseen johtavan teon, toiminnan tai laiminlyönnin välillä. Lisäksi vahingonkorvauslaki edellyttää puhtaalta taloudellisen vahingon korvattavuudelta rangaistavaksi säädettyä tekoa, julkisen vallan käyttöä tai muita "erittäin painavia syitä". Vastuu kanavoituu todennäköisesti käyttäjälle, sillä käyttäjällä on normaalisti päätösvalta, mihin tekoälyagenttia käytetään.
• Isännänvastuu: Tulee kysymykseen, jos työntekijä ja työnantaja ovat vastakkain, eli jos työntekijä käyttää tekoälyagenttia, ja se aiheuttaa vahinkoa esimerkiksi työnantajan asiakkaille. Isännänvastuun lähtökohtana on, että työnantaja on velvollinen korvaamaan työntekijän virheellä tai laiminlyönnillä aiheuttamat vahingot. Isännänvastuun arvioinnin kannalta keskeistä on, onko tekoälyagentin käyttö ollut työnantajan hyväksymää ja onko tekoälyagenttia käytetty organisaation ohjeiden mukaisesti. Jos työntekijä aiheuttaa tahallisesti vahingon, on työntekijä lähtökohtaisesti vastuussa. Jos työntekijä tuottamuksellisesti käyttää tekoälyagenttia merkittävästi vastoin työnantajan ohjeistusta, työnantaja voi olla ensisijaisessa vastuussa, mutta voi saada regressioikeuden työntekijää kohtaan. Työnantaja sen sijaan on vastuussa, jos työntekijä on käyttänyt tekoälyagenttia yrityksen ohjeiden mukaisesti.
• Virkavastuu: Esimerkkinä voi olla tilanne, jossa autonominen tekoälyagentti tekee virheellisen hallintopäätöksen. Nykyisessä oikeustilassa painotetaan, että virkahenkilön tulee aina tehdä lopullinen päätös. Kun päätökset edellyttävät vastuuvirkahenkilön tarkistusta ja hyväksyntää, kyseinen virkahenkilö on virkavastuussa tekoälyagentin toiminnasta.
• Rikosvastuu: Kotimainen rikosoikeus tuntee ainoastaan tahallisuus- ja tuottamusvastuun. Tahalliseen rikokseen syyllistyminen tulee kyseeseen, jos käyttäjä käyttää tekoälyagenttia tahallisesti rikoksen tekemiseen, tai jos hänen tulisi ymmärtää tapahtuman olevan toiminnan todennäköinen seuraus. Tuottamuksellinen rikos puolestaan edellyttää käyttäjältä huolellisuusvelvoitteen vastaista toimintaa. Huolellisuusvelvoitteen osalta merkityksellistä on huomioida tekoälylukutaito, politiikat, ohjeet sekä objektiivisesti arvioitu mahdollinen riski.

Miten yritysten kannattaa toimia tekoälyagenttia käyttöön otettaessa?

1. Tarvearviointi: Mitä tekoälyagentteja on aidosti tarpeen ottaa käyttöön? Määritelkää niiden käyttötarkoitus ja ulkoiset reunaehdot (kuten palvelukuvaus ja sopimusehdot).
2. Sisäiset reunaehdot (politiikat ja ohjeet): Määritelkää ne työkalut, jotka hyväksytään organisaation käyttöön ja minkälaiset käyttötarkoitukset niille hyväksytään, jotta käyttöönotto voidaan toteuttaa suunnitellusti, hallitusti ja tietoon perustuen.
3. Tekoälylukutaidon edistäminen: Kouluttakaa organisaatiotanne tekoälyagenttien käyttötarkoituksista, algoritmeista, toiminnasta ja hallinnasta. Tietoisuus riskeistä ja mahdollisista vahingoista, joita agentit voivat aiheuttaa, on tärkeä kontrollimekanismi.
4. Kontrollin säilyttäminen: Vahvana suosituksena vastuumielessä on säilyttää lopullinen päätösvalta ihmisellä, eli edellyttää ihmisen aktiivista hyväksyntää toiminnoilta, joilla voisi olla merkityksellisiä oikeusvaikutuksia. Tekoälyagentteja voi tällöin hyödyntää työn tukena ja avustajana, mutta ei itsenäisenä päätöksentekijänä.

lmoittaudu seuraavaan Datakouluun!

Technology, Data ja IP -praktiikkamme jatkaa mielellään kanssasi keskusteluja Datakoulun aiheista. Voit myös ilmoittautua mukaan Datakoulun kevään viimeiseen jaksoon Datakoulun nettisivujen kautta. Jaksossa käsitellään data- ja tekoälysääntelyn valvontaa keskiviikkona 7.5.2025 klo 9–10.