AI Act 2. elokuuta alkaen: miksi QR-koodi ei korvaa tekoälymerkintää

Euroopan komissio julkaisi 20. heinäkuuta 2026 ohjeensa AI Actin 50 artiklan mukaisista läpinäkyvyysvelvoitteista; niihin liittyvä yleissivu päivitettiin viimeksi 29. heinäkuuta 2026. Velvoitteet tulevat lähtökohtaisesti voimaan 2. elokuuta 2026. Tekoälyn tuottamia kuvia, videoita, äänitteitä tai tekstejä julkaiseville tiimeille tekninen erottelu on ratkaisevan tärkeä: sisällön koneellisesti luettava merkintä, sen havaittavuus ja ihmisille tarkoitettu näkyvä ilmoitus ovat erillisiä tasoja. QR-koodi voi täydentää niitä neljäntenä alkuperää ja lisätietoja koskevana tasona. Se ei kuitenkaan automaattisesti korvaa muita tasoja.

50 artikla erottaa tarjoajat ja käyttöönottajat

50 artiklan sanamuoto asettaa erilaisia velvoitteita eri rooleille.

Tekoälyjärjestelmien tarjoajien, jotka tuottavat synteettistä ääni-, kuva-, video- tai tekstisisältöä, on varmistettava, että tuotokset merkitään koneellisesti luettavalla tavalla ja että ne voidaan tunnistaa keinotekoisesti tuotetuiksi tai muokatuiksi. Teknisen ratkaisun tulee – siltä osin kuin se on teknisesti mahdollista – olla tehokas, yhteentoimiva, vankka ja luotettava. Artikla ei siis edellytä tiettyä viivakoodimuotoa. Se edellyttää ominaisuutta tuotetulta sisällöltä ja asianmukaista tunnistusmahdollisuutta.

Käyttöönottajien on puolestaan tietyissä käyttötilanteissa ilmoitettava asiasta ihmisille: esimerkiksi tunteiden tunnistamisen ja biometrisen luokittelun yhteydessä, deepfake-sisällöissä sekä tietyissä yleistä etua koskevissa tekoälyn tuottamissa tai muokkaamissa teksteissä. Tiedon on oltava selkeästi erottuva ja saatavilla viimeistään ensimmäisen vuorovaikutuksen tai altistumisen yhteydessä. Lisäksi sovellettavia esteettömyysvaatimuksia on noudatettava.

Yritys voi toimia samanaikaisesti molemmissa rooleissa. Oman generointijärjestelmänsä ja sen tuloksia itse julkaisevan tahon on siksi arvioitava sekä tarjoajan että käyttöönottajan näkökulma.

Miksi ”koneellisesti luettava” ei tarkoita yksinkertaisesti ”QR-koodia”

QR-koodi on koneellisesti luettava. Tästä ei kuitenkaan seuraa, että tekoälykuvan vieressä oleva QR-koodi täyttäisi jo tarjoajaa koskevan velvoitteen. 50 artiklan 2 kohdassa edellytetään, että tekoälyjärjestelmän tuotos merkitään ja että se voidaan havaita tekoälyn tuottamaksi tai muokkaamaksi. Erillinen neliö viittaa tyypillisesti vain ulkoiseen sivustoon. Jos kuva kopioidaan, rajataan tai jaetaan ilman oheisasettelua, viittaus voi kadota samalla kun sisältö kiertää muuttumattomana.

Arkkitehtuuria koskeva johtopäätös on näin ollen seuraava: ulkoinen QR-koodi on yleensä täydentävä alkuperätietokerros, ei sisältöön sisältyvä tekninen merkintä. Se, onko tietty toteutus lainmukainen, riippuu järjestelmästä, tulostusformaatista ja käyttöyhteydestä.

Myöskään käyttöönottajan näkökulmasta pelkkä skannauksen edellyttäminen ei riitä. Komission UKK selventää deepfake-sisältöjen osalta nimenomaisesti, että ilmoituksen tulee olla havaittavissa ilman erityisiä työkaluja tai lisätoimia. Käyttöönottajat eivät voi luottaa yksin upotettuun koneellisesti luettavaan merkintään. Ilmoitus, joka tulee näkyviin vasta QR-koodin skannaamisen jälkeen, on siksi vaaditun ensitiedon kannalta liian myöhäinen.

Neljä tasoa kestävään toteutukseen

1. Sisältöön tehtävä merkintä

Ensimmäinen taso kuuluu generointi- tai vientiprosessiin. Mediasta riippuen vaihtoehtoja voivat olla allekirjoitetut metatiedot, vesileimat, kryptografiset alkuperätodisteet, sormenjäljet tai näiden yhdistelmät. Komission ohjeissa korostetaan kahta toisiinsa liittyvää elementtiä: merkintää ja havaittavuutta. Merkintä ilman käytettävissä olevaa tarkistusmenettelyä ei täytä kuvattua tavoitetta.

Vapaaehtoinen EU:n tekoälyn läpinäkyvyyttä koskeva käytännesäännöstö täsmentää yhden mahdollisen todentamistavan. Verkossa levitettävälle paketoidulle sisällölle siinä ehdotetaan monikerroksista lähestymistapaa, jossa käytetään digitaalisesti allekirjoitettuja metatietoja ja havaitsematonta vesileimaa. Vapaaseen tekstiin sovelletaan toisenlaisia teknisiä rajoja. Säännöstö on vapaaehtoinen, mutta 50 artiklan velvoitteet eivät ole.

2. Havaittava ilmoitus ensimmäisen altistumisen yhteydessä

Toinen taso on tarkoitettu ihmisille. Ilmoituksen on esiinnyttävä siellä, missä sisältö havaitaan ensimmäisen kerran – ei vain yleisessä tietosuojaselosteessa tai linkitetyllä alasivulla. Mediasta riippuen kyse voi olla näkyvästä merkinnästä, puhutusta ilmoituksesta tai muusta selkeästä ja esteettömästä muodosta.

Toimituksellisten tekstien osalta poikkeus on tärkeä: UKK:n mukaan yleistä etua koskevia julkaistuja tekstejä ei tarvitse merkitä, jos ne on tarkistettu olennaisesti ihmisen toimesta tai toimituksellisesti ja luonnollinen henkilö tai oikeushenkilö kantaa toimituksellisen vastuun. Pelkkä oikeinkirjoitus- tai muototarkistus ei riitä tähän.

3. QR-koodi alkuperä- ja asiayhteyspoluksi

Kolmas taso on valinnainen, mutta toiminnan kannalta hyödyllinen. QR-koodi voi johtaa painetusta kuvasta, pakkauksesta, messubannerista tai esityksestä pysyvälle alkuperätietosivulle. Dynaamisen QR-koodin avulla kohdetta voidaan kehittää hallitusti ilman fyysisen tietovälineen vaihtamista.

Kohdesivulla ei pitäisi esittää yleisluontoista ”AI Act -vaatimusten mukainen” -väitettä. Tarkistettavat faktat ovat hyödyllisempiä:

yksiselitteinen aineisto- ja versiotunniste,
vastuullinen organisaatio ja yhteyspiste,
käytetty tekoälyjärjestelmä, siltä osin kuin se voidaan ilmoittaa,
luomisaika ja keskeiset muokkausvaiheet,
ihmisen tai toimituksen suorittaman tarkistuksen tila,
käytettävissä olevan merkinnän tyyppi ja pääsy tunnistimeen,
julkaisemisen nykytila sekä korjaus- tai poistamisohjeet.

Henkilötietoja sisältävät kehotteet, sisäiset malliparametrit ja luottamukselliset tuotantotiedot eivät kuulu julkiselle alkuperätietosivulle. Läpinäkyvyys ei tarkoita liikesalaisuuksien tai henkilötietojen paljastamista.

4. Sisäinen todentamisloki

Julkinen sivu ei korvaa sisäistä auditointilokia. Jokaisesta julkaisusta pitäisi voida jäljittää, mikä lähtöobjekti luotiin, mitä muunnoksia tehtiin, mitkä metatiedot säilyivät ja kuka hyväksyi julkaisun. Käytännössä hyödyllisiä ovat muuttumattomat aineistotunnisteet, hyväksyttyjen tiedostojen hash-arvot, aikaleimat, versiosuhteet ja kirjatut tarkistustulokset.

Toteutettavissa oleva työnkulku seitsemässä vaiheessa

Määritä roolit: dokumentoi jokaisen järjestelmän osalta, kuka on tarjoaja, käyttöönottaja tai molemmat.
Kartoita tuotostyypit: käsittele kuva, video, ääni, vapaa teksti ja paketoitu teksti erikseen.
Tarkista merkintä viennin yhteydessä: älä etsi ratkaisua vasta julkaisuketjun lopussa.
Testaa muunnokset: pakkaus, skaalaus, rajaus, uudelleenkoodaus ja alustalataukset eivät saa tuhota merkintää tai tunnistusta huomaamatta.
Sijoita ilmoitus ensimmäiseen kosketuspisteeseen: näkyvästi tai kuuluvasti, ymmärrettävästi ja esteettömästi; QR-koodi johtaa vain lisätietoihin.
Versioi alkuperätietosivu: vakaa URL-osoite, ajantasaiset faktat sekä selkeä muutos- ja poistamislogiikka.
Säilytä todisteet: kirjaa testitulokset, hyväksynnät, tunnistimen versio ja julkaistu aineistoversio yhdessä.

Erityisen kriittinen on työkalujen välinen siirtymä. Generaattori voi tuottaa oikein allekirjoitetut metatiedot, jotka poistuvat kuvankäsittelyohjelmasta viennin aikana tai sisältöjenhallintajärjestelmään ladattaessa. Siksi on tarkistettava lähdetiedoston lisäksi myös tosiasiallisesti julkaistu tiedosto.

Tyypillisiä vääriä oletuksia

”QR-koodi on sentään koneellisesti luettava.” Kyllä, mutta se merkitsee usein kantajaa tai asettelua eikä itse tekoälytuotosta pysyvästi.

”Metatiedot riittävät aina.” Eivät välttämättä. Formaatit ja alustat voivat poistaa metatietoja. Vapaaehtoinen säännöstö perustuukin monissa yleisissä medioissa useisiin merkintäkerroksiin.

”Näkyvä ilmoitus voi olla QR-koodin takana.” Ensimmäisen altistumisen kannalta tämä on riskialtista, koska ihmisten pitäisi ensin suorittaa lisätoimi.

”Jokainen tekoälyavusteinen teksti tarvitsee merkinnän.” Ei. Soveltamisala, tavanomainen muokkaus, yleisen edun mukainen tiedotustarkoitus sekä todellinen ihmisen suorittama tarkistus ja toimituksellinen vastuu on arvioitava erikseen.

Mitä pitäisi priorisoida 2. elokuuta mennessä

Komission UKK mainitsee rajallisen siirtymäajan yksinomaan tiettyjen järjestelmien merkintä- ja tunnistusvelvoitteelle, kun järjestelmät on saatettu markkinoille jo ennen 2. elokuuta 2026: tällöin merkityksellinen päivämäärä on 2. joulukuuta 2026. Muiden velvoitteiden osalta kyse ei ole yleisestä lykkäyksestä. UKK:n mukaan ennen 2. elokuuta luotua sisältöä ei tarvitse merkitä takautuvasti, mutta vapaaehtoista jälkimerkintää suositellaan.

Seuraavien päivien aikana laaja QR-kampanja ei siksi ole ensimmäinen askel. Etusijalla ovat roolien selkeyttäminen, vienti- ja tunnistustestit, näkyvät ilmoitukset tosiasiallisessa julkaisupisteessä sekä luotettava todentamisloki. QR-koodista tulee sen jälkeen sitä, missä se on parhaimmillaan: vakaa reitti syvällisiin ja päivitettäviin alkuperätietoihin.