Kolme velvoitetta, jotka voivat koskea verkkopalveluasi

Verkkopalveluita koskee nykyään kolme eri säädöstä, ja ne tulivat voimaan eri aikoina eri ehdoilla. Osa koskee lähes jokaista sivustoa, osa vain harvoja. Alta näet mikä koskee sinua ja mistä alkaen.

Saavutettavuus: kenelle se ei päde

Tämä on kohta, joka jää useimmiten kertomatta. Palveluita koskevat esteettömyysvaatimukset koskevat vain tiettyjä palveluja, eivätkä ne koske mikroyrityksiä lainkaan.

Laki luettelee palvelut: verkkokaupat, sähkökirjat, henkilöliikenteen palvelut, kuluttajille tarjottavat pankki-, sijoitus-, luotto- ja maksupalvelut sekä viestintäpalvelut ja audiovisuaalisiin sisältöpalveluihin pääsyn tarjoavat palvelut (digipalvelulain 10 a §). Tavallinen yrityksen esittelysivusto ei kuulu joukkoon.

Mikroyritys tarkoittaa yritystä, jolla on alle 10 työntekijää ja jonka vuosiliikevaihto tai taseen loppusumma on enintään 2 miljoonaa euroa. Molempien ehtojen on täytyttävä. Jos työntekijöitä on vähintään kymmenen tai sekä liikevaihto että tase ylittävät kaksi miljoonaa, et ole mikroyritys, ja vaatimukset koskevat sinua, jos palvelusi on jokin edellä luetelluista.

Käytännössä valtaosa suomalaisista pienyrityksistä jää siis ulkopuolelle. Se ei tarkoita, etteikö saavutettavuus kannattaisi. Sivusto, joka ei toimi näppäimistöllä tai jonka teksti ei erotu taustastaan, karkottaa asiakkaita riippumatta siitä, mitä laki vaatii. Mutta velvoitteesta puhuminen pienyrittäjälle on harhaanjohtavaa, ja sitä käytetään myyntiargumenttina useammin kuin pitäisi.

Siirtymäaika, joka yllättää

Ennen 28.6.2025 kuluttajien kanssa tehdyt palvelusopimukset saavat jatkua muuttumattomina, kunnes ne päättyvät, kuitenkin enintään 28.6.2030 asti. Kyse on palvelun ja sen asiakkaan välisistä sopimuksista, ei yrityksen ja sivuston tekijän sopimuksesta. Moni tulkitsee tämän niin, että aikaa on vuoteen 2030.

Se koskee vain vanhoja sopimuksia. Uusi sivusto, uusi palvelu tai olennaisesti muutettu vanha kuuluu vaatimusten piiriin heti. Siirtymäaika ei siis suojaa uudistusta, joka tehdään nyt.

Mitä vaatimus käytännössä tarkoittaa

Tekninen taso tulee standardista EN 301 549, joka nojaa WCAG 2.1 -ohjeiston A- ja AA-tason kriteereihin. Standardista julkaistiin syyskuussa 2026 uusi versio, joka perustuu WCAG 2.2:een, mutta velvoittava se on vasta, kun siihen viitataan EU:n virallisessa lehdessä. Käytännön tasolla se tarkoittaa muun muassa:

• Riittävä kontrasti tekstin ja taustan välillä
• Koko sivusto käytettävissä pelkällä näppäimistöllä
• Ruudunlukijalle ymmärrettävä rakenne ja kuvien tekstivastineet
• Lomakkeiden kentät merkitty oikein ja virheilmoitukset selkeitä
• Saavutettavuusseloste julkaistuna

Valvonta kuuluu Liikenne- ja viestintävirasto Traficomille.

Tietosuoja: koskee lähes kaikkia

GDPR ja sähköisen viestinnän sääntely koskevat jokaista sivustoa, joka käsittelee henkilötietoja tai asettaa evästeitä. Käytännössä se tarkoittaa jokaista sivustoa, jolla on analytiikka tai yhteydenottolomake.

Kaksi asiaa, jotka menevät useimmin väärin pienillä sivustoilla:

• Analytiikka latautuu ennen suostumusta. Jos kävijänseuranta käynnistyy heti sivun latautuessa ja evästebanneri kysyy lupaa vasta jälkikäteen, suostumusta ei ole pyydetty vaan ilmoitettu. Mitä bannerilta vaaditaan: evästebanneri lain mukaan.
• Tietosuojaseloste ei vastaa todellisuutta. Selosteessa luetellaan palveluita, joita ei enää käytetä, tai jätetään mainitsematta niitä, joita käytetään.

Kumpikin on korjattavissa halvalla, ja kumpikin on helppo todeta ulkopuolelta.

Tekoälyn läpinäkyvyys: kapein mutta tuorein

EU:n tekoälyasetuksen 50 artiklaa on sovellettu 2.8.2026 alkaen. Se on läpinäkyvyysvelvoite, ei turvallisuusvaatimus: käyttäjän on saatava tietää olevansa tekemisissä tekoälyn kanssa, ja koneellisesti tuotettu sisältö on merkittävä koneluettavasti.

Kaksi rajausta, jotka kaventavat soveltamisalaa selvästi:

• Chatbotin ilmoitus ja koneluettava merkintä ovat tarjoajan velvoitteita. Tarjoaja on se, joka kehittää järjestelmän tai teettää sen ja ottaa sen käyttöön omalla nimellään. Valmiissa palvelussa, joka toimii toimittajan nimellä, tarjoaja on toimittaja. Jos teetät botin ja otat sen käyttöön omalla nimelläsi, tarjoaja olet todennäköisesti sinä. Syväväärennösten ja tekoälytekstien ilmoitus taas kuuluu niiden julkaisijalle. Mitä sivustolla pitää käytännössä kertoa: chatbot ja tekoälyasetus.
• Tekstin ilmoitus koskee vain yleistä etua koskevaa tiedottamista. 50 artiklan 4 kohta koskee tekstiä, jolla tiedotetaan yleisölle esimerkiksi politiikasta, terveydestä tai kuluttajaturvallisuudesta. Siitäkin vapautuu, kun ihminen on tarkastanut tekstin sisällön ja joku kantaa julkaisusta toimituksellisen vastuun. Komission mukaan pelkkä oikoluku ei ole tarkastusta. Tavallinen markkinointiteksti ei yleensä ole tällaista tiedottamista lainkaan.

Tämä kannattaa tietää, koska aihetta myydään paikoin laajempana kuin se on.

Takaraja 2.12.2026

Ennen 2.8.2026 markkinoille saatettujen, synteettistä sisältöä tuottavien järjestelmien on täytettävä koneluettavaa merkintää koskeva vaatimus 2.12.2026 mennessä (art. 111 kohta 4). Jos olet julkaissut tekoälyominaisuuden ennen elokuuta 2026, tämä on se päivämäärä joka koskee sinua.

Seuraamukset 50 artiklan rikkomisesta ovat enintään 15 miljoonaa euroa tai 3 prosenttia maailmanlaajuisesta liikevaihdosta, pk-yrityksille näistä pienempi. Suomessa valvoja on Traficom, ja seuraamusmaksun määrää seuraamusmaksulautakunta.

Mitä tästä kannattaa tehdä

Kolme kysymystä, jotka ratkaisevat suurimman osan tapauksista:

• Myytkö kuluttajille verkossa tai tarjoatko muuta lain luettelemaa palvelua, ja onko yrityksesi mikroyritystä suurempi? Jos jompikumpi ei täyty, saavutettavuusvelvoite ei koske palveluitasi.
• Latautuuko analytiikka ennen kuin kävijä on antanut suostumuksen? Jos kyllä, se on korjattava riippumatta yrityksen koosta.
• Onko sivustollasi chatbot tai sisältöä tuottava tekoälyominaisuus? Jos on ja se julkaistiin ennen 2.8.2026, katso takaraja 2.12.2026.

Suurin osa näistä on halpaa hoitaa suunnitteluvaiheessa ja kallista korjata jälkikäteen. Saavutettavuus on siitä hyvä esimerkki: kontrastit ja näppäimistökäyttö eivät maksa mitään, jos ne huomioidaan alusta asti. Tarkistus ja korjaukset: saavutettavuus, tietosuoja ja tekoälyasetus kuntoon.

Lähteet. Digipalvelulaki ja saavutettavuusvaatimukset: Traficomin saavutettavuusvaatimukset.fi. Tekoälyasetus: asetus (EU) 2024/1689 sellaisena kuin se on muutettuna asetuksella (EU) 2026/1744. Kansallinen valvonta: laki eräiden tekoälyjärjestelmien valvonnasta (1377/2025). Mikroyrityksen määritelmä: laki eräiden tuotteiden esteettömyysvaatimuksista (102/2023), 4 §. Evästeet ja verkkokutsut: KHO:2026:64. Artiklakohtaiset tiedot tarkistettu 4.10.2026. Tämä artikkeli päivitetään, jos säädökset muuttuvat.