Onko kuva AI:n tuottama? Artikkelia on muokattu AI:lla.

Tekoälystä on nopeasti tullut tavallinen osa viestinnän ja markkinoinnin työtä. Sillä tehdään kuvia, muokataan valokuvia, tuotetaan tekstiä, luodaan videoita, tehdään tekstityksiä ja etsitään sisältöjä. Samalla syntyy uusi kysymys:

Mistä organisaatio tietää myöhemmin, missä aineistossa tekoälyä on käytetty – ja miten tieto saadaan säilymään aineiston mukana aina julkaisuun asti?

EU tekoälyasetus eli AI Act tekee tästä entistä ajankohtaisemman kysymyksen. Sen 50 artiklan läpinäkyvyysvelvoitteita sovelletaan 2.8.2026 alkaen.

Kaikkea tekoälyllä käsiteltyä sisältöä ei kuitenkaan tarvitse merkitä näkyvästi. Siksi ensimmäinen tehtävä ei ole lisätä jokaiseen kuvaan AI-leimaa, vaan ymmärtää, mitä aineistolle on tehty ja missä tilanteessa siitä pitää kertoa.

Kaikki tekoälyn käyttö ei ole samanlaista

Ajatellaan kolmea kuvaa. Ensimmäisestä kuvasta tekoäly poistaa pienen häiritsevän yksityiskohdan. Toiseen kuvaan tekoäly lisää henkilön, jota alkuperäisessä kuvassa ei ollut. Kolmas kuva on kokonaan tekoälyn luoma ja näyttää aidolta valokuvalta. Kaikissa kolmessa on käytetty tekoälyä, mutta niiden merkitys läpinäkyvyyden kannalta ei ole sama.

EU AI Act edellyttää AI-järjestelmien tarjoajilta koneellisesti luettavaa merkintää tietyille tekoälyllä tuotetuille tai olennaisesti muokatuille synteettisille sisällöille. Tavallista avustavaa editointia koskee poikkeus.

Sisältöä julkaisevalle organisaatiolle erityisen tärkeä tapaus on deepfake eli syväväärennös. Sillä tarkoitetaan tekoälyllä luotua tai muokattua kuvaa, ääntä tai videota, joka muistuttaa olemassa olevaa henkilöä, esinettä, paikkaa, organisaatiota tai tapahtumaa ja voi näyttää ihmisestä aidolta. Tällaisen sisällön keinotekoisesta alkuperästä pitää kertoa selkeästi.

Myös tekoälyllä tuotettuun tai muokattuun yleistä etua koskevaan tekstiin liittyy läpinäkyvyysvelvoite. Jos teksti on kuitenkin käynyt läpi asianmukaisen ihmisen tekemän tarkistuksen tai toimituksellisen valvonnan ja joku henkilö tai organisaatio kantaa siitä toimituksellisen vastuun, näkyvää AI-merkintää ei tämän säännön perusteella vaadita.

Yksinkertaistettuna: AI Act ei tarkoita, että jokainen tekoälyn koskettama tiedosto pitää merkitä samalla tavalla.

Todellinen ongelma alkaa jo ennen julkaisemista

Kuvitellaan tavallinen markkinointiorganisaatio. Mainostoimisto tekee kampanjakuvan. Kuvan taustaa muutetaan generatiivisella tekoälyllä. Valmis kuva toimitetaan markkinointitiimille, joka tallentaa sen yhteiseen kansioon.

Kolmen kuukauden kuluttua toinen työntekijä löytää kuvan ja haluaa käyttää sitä verkkosivuilla. Mistä hän tietää, mitä kuvalle on tehty?

Tiedostonimi ei sitä välttämättä kerro. Sähköposti on jo unohtunut. Kuvan tehnyt henkilö voi olla toisessa organisaatiossa. Tämä on AI Actin kannalta ehkä kiinnostavampi käytännön ongelma kuin itse AI-kuvakkeen lisääminen julkaisuun.

Tiedon tekoälyn käytöstä pitäisi kulkea aineiston mukana koko sen elinkaaren ajan.

DAM voi toimia organisaation muistina

Mediapankki eli DAM (Digital Asset Management) voi auttaa ratkaisemaan tämän ongelman. Kun aineisto tallennetaan DAMiin, sen yhteyteen voidaan tallentaa esimerkiksi:

Tekoälyn käyttö: Ei / Kyllä
AI-käsittely: AI-avusteinen / Osittain AI-muokattu / Kokonaan AI-tuotettu
AI-työkalu: esimerkiksi käytetty sovellus tai palvelu
Tarkistettu: Kyllä / Ei
Julkaisurajoitus: Tarkistettava ennen julkaisua
AI-merkintä vaaditaan: Kyllä / Ei / Arvioitava

Tällöin tieto ei ole yhden työntekijän muistissa tai sähköpostissa, vaan se kuuluu itse aineiston hallintatietoihin. DAMissa voidaan myös ylläpitää organisaation hyväksytyt AI-ohjeet, merkintätavat ja esimerkiksi EU suosittelemat AI-kuvakkeet samassa paikassa kuin julkaistavat aineistot.

Sisällöntuottajan ei tarvitse tuntea koko AI Actia. Hänen pitää tietää, mitä tietoja aineistosta pitää tallentaa. Julkaisija puolestaan näkee ennen julkaisua, mitä aineistolle on tehty ja tarvitseeko sen käyttöön liittyviä asioita tarkistaa.
 

Mutta DAMin metatieto ei yksin ratkaise ongelmaa

Tässä on tärkeä ero. DAMin metatieto kertoo organisaation sisällä esimerkiksi:

”Tämän kuvan taustaa on muutettu tekoälyllä.”

Mutta mitä tapahtuu, kun kuva ladataan DAMista, lähetetään mainostoimistolle, muokataan toisessa ohjelmassa ja julkaistaan sosiaalisessa mediassa? DAM ei enää välttämättä hallitse tiedoston koko matkaa. Tähän ongelmaan on kehitetty C2PA.
 

Mikä C2PA on?

C2PA (Coalition for Content Provenance and Authenticity) on tekninen standardi digitaalisen sisällön alkuperän ja muokkaushistorian kuvaamiseen. Sen pohjalta käytetään myös käsitettä Content Credentials.

Ajatuksena on eräänlainen digitaalinen tuoteseloste aineistolle. Sen avulla voidaan välittää tietoa esimerkiksi siitä, miten aineisto on syntynyt ja miten sitä on myöhemmin käsitelty. Tietoja voidaan sitoa aineistoon kryptografisesti niin, että niiden yhteys juuri kyseiseen sisältöön ja tietojen muuttumattomuus voidaan tarkistaa.

C2PA ei siis itsessään päätä, onko kuva totta tai valhetta. Se auttaa vastaamaan toiseen kysymykseen:

Mistä tämä aineisto on tullut ja mitä sen historiasta voidaan luotettavasti todentaa?
 

C2PA ja DAM ratkaisevat eri osia samasta ongelmasta

Näitä ei kannata nähdä kilpailevina ratkaisuina. DAM hallitsee organisaation aineistoa ja siihen liittyviä tietoja. C2PA pyrkii säilyttämään ja todentamaan aineiston alkuperä- ja muokkaushistoriaa myös tiedoston liikkuessa järjestelmien välillä.

Hyvä tulevaisuuden työnkulku voisi näyttää tältä:

Luominen → AI-käsittelyn tieto → DAM → tarkistus → julkaisu → alkuperätiedon säilyminen

DAMissa organisaatio voi hallita aineiston käyttöoikeuksia, hyväksyntää, metatietoja, AI-statusta, julkaisutilaa ja ohjeita. C2PA voi täydentää tätä kuljettamalla varmennettavaa alkuperätietoa aineiston mukana.
 

C2PA ei kuitenkaan ole taikaratkaisu

Tämä on tärkeää ymmärtää. Digitaalinen aineisto kulkee usein pitkän ketjun läpi:

Kamera → kuvankäsittely → AI-palvelu → DAM → verkkosivusto → sosiaalinen media → käyttäjän lataama kopio

Jokaisen ketjun osan pitäisi käsitellä alkuperätietoa oikein, jotta täydellinen historia säilyisi. Jos jokin järjestelmä poistaa tiedostosta metatietoja tai luo siitä uuden version ilman aikaisempaa alkuperätietoa, ketju voi katketa. Siksi organisaation ei kannata ajatella, että C2PA yksin ratkaisisi AI Actin vaatimukset. Tarvitaan sekä teknologiaa että toimintamalli.
 

Entä henkilötiedot ja kasvojentunnistus?

AI Act ei ole sama asia kuin GDPR. Jos mediapankin tekoäly esimerkiksi analysoi henkilökuvia, tunnistaa kasvoja tai muodostaa kasvonpiirteistä teknisiä tunnisteita henkilöiden yksilöllistä tunnistamista varten, mukaan tulee myös henkilötietojen käsittelyä ja mahdollisesti biometrisiä tietoja koskevia GDPR-vaatimuksia.

Silloin organisaation pitää tietää muun muassa:

• mitä henkilötietoja AI käsittelee
• missä käsittely tapahtuu
• mitä tietoja AI muodostaa
• kuinka kauan niitä säilytetään
• käytetäänkö aineistoa AI-mallien kouluttamiseen
• mitä alikäsittelijöitä käytetään
• miten tiedot poistetaan
• miten rekisteröityjen oikeudet toteutetaan.

Tämä on eri kysymys kuin se, pitääkö valmis kuva merkitä AI-sisällöksi. Organisaation AI-hallinnassa nämä kaksi asiaa pitää kuitenkin saada toimimaan yhdessä.
 

Mitä viestintäorganisaation kannattaa tehdä nyt?

Asiaa ei tarvitse tehdä monimutkaiseksi. Hyvä lähtökohta on viisi käytännön asiaa:

1. Sopikaa, mitä AI käytöstä kirjataan.
   Määritelkää yhteiset metatiedot tekoälyllä tuotetulle ja muokatulle aineistolle.
2. Tallentakaa tieto aineiston yhteyteen.
   Älkää jättäkö tietoa sähköposteihin, tiedostonimiin tai ihmisten muistin varaan.
3. Määritelkää julkaisuprosessi.
   Julkaisijan pitää pystyä näkemään, tarvitseeko aineisto AI-merkinnän tai muun tarkistuksen.
4. Seuratkaa C2PA ja Content Credentials -ratkaisujen kehittymistä.
   Ne tarjoavat keinon viedä alkuperätietoa organisaation oman DAMin ulkopuolelle.
5. Dokumentoikaa myös DAMin omat AI-toiminnot.
   Jos mediapankki itse käyttää tekoälyä esimerkiksi kuvahakuun, kasvojentunnistukseen, OCR:ään tai videoiden puheentunnistukseen, myös tämän käsittelyn tietosuoja, sijainti, säilytys ja poistaminen pitää tuntea.
    

Hyvä DAM ei siis vain säilytä tiedostoja

Tekoälyn aikakaudella digitaalisen aineiston hallintaan tulee uusi ulottuvuus. Enää ei riitä, että tiedämme:

Mikä tiedosto tämä on? Missä sitä saa käyttää? Kuka saa käyttää sitä?

Jatkossa yhä useammin pitää tietää myös:

Miten tämä sisältö syntyi? Onko sitä muutettu tekoälyllä? Kuka on tarkistanut sen? Mitä siitä pitää kertoa julkaisun yhteydessä? Ja säilyykö tieto aineiston mukana?

Juuri tässä mediapankin rooli muuttuu kiinnostavaksi. DAM voi toimia organisaation yhteisenä muistina: siellä aineisto, käyttöoikeudet, alkuperätiedot, AI käyttö, hyväksynnät ja julkaisuohjeet voidaan yhdistää samaan hallittuun prosessiin.

C2PA puolestaan voi auttaa viemään osan tästä luottamustiedosta itse aineiston mukana järjestelmästä toiseen.

EU Komission ohjeistus tekee myös hyödyllisen eron AI-järjestelmän tarjoajan koneellisesti luettavan merkinnän ja sisältöä käyttävän/julkaisevan organisaation ihmiselle näkyvän ilmoituksen välillä. Deepfake-ilmoituksessa pelkkä tiedostoon upotettu koneellinen merkintä ei riitä.

Lue lisää aiheesta: digital-strategy.ec.europa.eu

AI Act ei siis ole vain kysymys siitä, laitetaanko kuvan kulmaan AI-merkki. Se on ennen kaikkea kysymys siitä, pystyykö organisaatio tietämään ja osoittamaan, miten sen julkaisema sisältö on syntynyt.