Kolme velvoitetta, jotka voivat koskea verkkopalveluasi

Verkkopalveluita koskee nykyään kolme eri säädöstä, ja ne tulivat voimaan eri aikoina eri ehdoilla. Osa koskee lähes jokaista sivustoa, osa vain harvoja. Alta näet mikä koskee sinua ja mistä alkaen.

Saavutettavuus: kenelle se ei päde

Tämä on kohta, joka jää useimmiten kertomatta. Palveluita koskevat esteettömyysvaatimukset eivät koske mikroyrityksiä.

Mikroyritys tarkoittaa yritystä, jolla on alle 10 työntekijää ja jonka vuosiliikevaihto tai taseen loppusumma on enintään 2 miljoonaa euroa. Molempien ehtojen on täytyttävä. Jos työntekijöitä on vähintään kymmenen tai liikevaihto ylittää kaksi miljoonaa, vaatimukset koskevat sinua.

Käytännössä valtaosa suomalaisista pienyrityksistä jää siis ulkopuolelle. Se ei tarkoita, etteikö saavutettavuus kannattaisi — sivusto, joka ei toimi näppäimistöllä tai jonka teksti ei erotu taustastaan, karkottaa asiakkaita riippumatta siitä mitä laki vaatii. Mutta velvoitteesta puhuminen pienyrittäjälle on harhaanjohtavaa, ja sitä käytetään myyntiargumenttina useammin kuin pitäisi.

Siirtymäaika, joka yllättää

Ennen 28.6.2025 tehdyt palvelusopimukset saavat jatkua muuttumattomina 28.6.2030 asti. Moni tulkitsee tämän niin, että aikaa on vuoteen 2030.

Se koskee vain vanhoja sopimuksia. Uusi sivusto, uusi palvelu tai olennaisesti muutettu vanha kuuluu vaatimusten piiriin heti. Siirtymäaika ei siis suojaa uudistusta, joka tehdään nyt.

Mitä vaatimus käytännössä tarkoittaa

Tekninen taso tulee standardista EN 301 549, joka nojaa WCAG 2.1 -ohjeiston A- ja AA-tason kriteereihin. Käytännön tasolla se tarkoittaa muun muassa:

• Riittävä kontrasti tekstin ja taustan välillä
• Koko sivusto käytettävissä pelkällä näppäimistöllä
• Ruudunlukijalle ymmärrettävä rakenne ja kuvien tekstivastineet
• Lomakkeiden kentät merkitty oikein ja virheilmoitukset selkeitä
• Saavutettavuusseloste julkaistuna

Valvonta kuuluu Liikenne- ja viestintävirasto Traficomille.

Tietosuoja: koskee lähes kaikkia

GDPR ja sähköisen viestinnän sääntely koskevat jokaista sivustoa, joka käsittelee henkilötietoja tai asettaa evästeitä. Käytännössä se tarkoittaa jokaista sivustoa, jolla on analytiikka tai yhteydenottolomake.

Kaksi asiaa, jotka menevät useimmin väärin pienillä sivustoilla:

• Analytiikka latautuu ennen suostumusta. Jos kävijänseuranta käynnistyy heti sivun latautuessa ja evästebanneri kysyy lupaa vasta jälkikäteen, suostumusta ei ole pyydetty vaan ilmoitettu. Mitä bannerilta vaaditaan: evästebanneri lain mukaan.
• Tietosuojaseloste ei vastaa todellisuutta. Selosteessa luetellaan palveluita, joita ei enää käytetä, tai jätetään mainitsematta niitä, joita käytetään.

Kumpikin on korjattavissa halvalla, ja kumpikin on helppo todeta ulkopuolelta.

Tekoälyn läpinäkyvyys: kapein mutta tuorein

EU:n tekoälyasetuksen 50 artiklaa on sovellettu 2.8.2026 alkaen. Se on läpinäkyvyysvelvoite, ei turvallisuusvaatimus: käyttäjän on saatava tietää olevansa tekemisissä tekoälyn kanssa, ja koneellisesti tuotettu sisältö on merkittävä koneluettavasti.

Kaksi rajausta, jotka kaventavat soveltamisalaa selvästi:

• Velvoite kohdistuu ensisijaisesti tarjoajaan, eli siihen joka saattaa järjestelmän markkinoille. Jos käytät ostettua chatbottia, velvoite on pääosin sen toimittajalla. Mitä sivustolla pitää käytännössä kertoa: chatbot ja tekoälyasetus.
• Inhimillisesti tarkastettu teksti on rajattu ulos. Artiklan 50 kohta 4 sisältää poikkeuksen sisällölle, joka on käynyt läpi inhimillisen tarkastuksen tai toimituksellisen valvonnan ja jonka julkaisemisesta joku kantaa vastuun. Yritys, joka kirjoittaa markkinointitekstinsä kielimallilla ja lukee ne läpi, ei siis pääsääntöisesti ole merkintävelvoitteen piirissä.

Tämä kannattaa tietää, koska aihetta myydään paikoin laajempana kuin se on.

Takaraja 2.12.2026

Ennen 2.8.2026 markkinoille saatettujen, synteettistä sisältöä tuottavien järjestelmien on täytettävä koneluettavaa merkintää koskeva vaatimus 2.12.2026 mennessä (art. 111 kohta 4). Jos olet julkaissut tekoälyominaisuuden ennen elokuuta 2026, tämä on se päivämäärä joka koskee sinua.

Seuraamukset 50 artiklan rikkomisesta ovat enintään 15 miljoonaa euroa tai 3 prosenttia maailmanlaajuisesta liikevaihdosta.

Mitä tästä kannattaa tehdä

Kolme kysymystä, jotka ratkaisevat suurimman osan tapauksista:

• Onko yrityksessäsi vähintään 10 työntekijää tai yli 2 miljoonan liikevaihto? Jos ei, saavutettavuusvelvoite ei koske palveluitasi.
• Latautuuko analytiikka ennen kuin kävijä on antanut suostumuksen? Jos kyllä, se on korjattava riippumatta yrityksen koosta.
• Onko sivustollasi chatbot tai sisältöä tuottava tekoälyominaisuus? Jos on ja se julkaistiin ennen 2.8.2026, katso takaraja 2.12.2026.

Suurin osa näistä on halpaa hoitaa suunnitteluvaiheessa ja kallista korjata jälkikäteen. Saavutettavuus on siitä hyvä esimerkki: kontrastit ja näppäimistökäyttö eivät maksa mitään, jos ne huomioidaan alusta asti.

Lähteet. Digipalvelulaki ja saavutettavuusvaatimukset: Traficomin saavutettavuusvaatimukset.fi. Tekoälyasetus: asetus (EU) 2024/1689 sellaisena kuin se on muutettuna asetuksella (EU) 2026/1744. Artiklakohtaiset tiedot tarkistettu 5.8.2026. Tämä artikkeli päivitetään, jos säädökset muuttuvat.