AI Act: millised kohustused võivad Eesti ettevõttele kehtida?

Tehnoloogiatoimetus 2026-10-16 10:11 4 min lugemist

Tehisintellekti tekst trükkplaadil, mis sümboliseerib tehnoloogilist arengut ja Euroopa Liidu AI-määrust.

Euroopa Liidu tehisintellekti määrus ehk AI Act ei pane igale Eesti ettevõttele, kes tehisintellekti kasutab, samu kohustusi. Nõuded sõltuvad sellest, kas ettevõte arendab või turustab süsteemi või kasutab seda oma töös ning millise riskiga kasutusviisiga on tegu. Väikeettevõtte esimene samm on kaardistada tööriistad, neisse sisestatavad andmed ja otsused, mida süsteem aitab teha või teeb inimese asemel.

Miks sõltuvad kohustused ettevõtte rollist ja kasutusviisist?

AI Act lähtub riskipõhisest lähenemisest: mida suurem võimalik mõju inimeste õigustele, ohutusele või muudele kaitstud huvidele, seda rangemad nõuded võivad süsteemile ja selle kasutamisele kehtida. Määrus eristab muu hulgas süsteemi pakkujaid ja kasutajaid. Ettevõte võib olla kasutaja, kui ta rakendab enda töös kellegi teise loodud tehisintellektisüsteemi; arendamine või süsteemi turule toomine võib tähendada teistsugust rolli.

See eristus on praktiline: sama ettevõte võib ühe tööriista puhul olla kasutaja, aga teise lahenduse väljatöötamisel või klientidele pakkumisel täita teistsugust rolli. Seetõttu tasub tööriistade nimekirja kõrval kirja panna, kes süsteemi pakub, milleks ettevõte seda kasutab ja kas ettevõte muudab selle kasutusotstarvet.

Kohustusi ei otsusta üksnes see, kas tööriist kasutab tehisintellekti. Arvesse tuleb võtta süsteemi eesmärki, kasutuskohta, ettevõtte rolli ning seda, kas inimene kontrollib väljundit või kujundab süsteem otsuseid, mis mõjutavad inimesi. Üldine tootenimi või teenuse kirjeldus ei pruugi konkreetse kasutuse hindamiseks piisata.

AI Act: millised kohustused võivad Eesti ettevõttele kehtida?

Kõrge riskiga kasutus võib tuua rangemad nõuded

Kõrge riskiga süsteemide puhul on määruses ette nähtud rangemad kohustused. Kasutaja jaoks võib olla oluline, kuidas süsteemi kasutatakse ja kas järgitakse pakkuja antud juhiseid ning asjakohaseid järelevalve- ja dokumenteerimisnõudeid. Ettevõte ei tohiks kõrge riskiga kasutust eeldada ega välistada pelgalt tööriista kaubamärgi või üldise kirjelduse põhjal: hinnata tuleb konkreetset süsteemi ja kasutusotstarvet.

Näiteks võib personalivaliku töövoos kasutatav tehisintellekt mõjutada kandidaatide hindamist teisiti kui tööriist, mis aitab koostada ettevõttesisese koosoleku kokkuvõtte. Oluline kontrollküsimus on, kas süsteem üksnes aitab teksti või muud materjali ette valmistada või mõjutab inimeste hindamist ja valikuid. See näide ei määra iseenesest süsteemi õiguslikku kategooriat; tegelik hinnang sõltub konkreetsest kasutusest ja määruse tingimustest.

AI Acti rakendamine toimub etapiti

Euroopa Komisjoni määruse raamistikku tutvustav leht kirjeldab AI Acti rakendamise ajakava. Üldine lähtekoht on, et kohustused hakkavad rakenduma järk-järgult, mitte üheainsa tähtpäevaga. Konkreetse kohustuse kuupäev sõltub määruse sättest ja süsteemi või tegevuse liigist.

1. august 2024: määrus jõustus.
2. veebruar 2025: hakati kohaldama muu hulgas keelatud tehisintellekti kasutusviise ja tehisintellektialase kirjaoskuse nõuet käsitlevaid sätteid.
2. august 2025: rakendusid muu hulgas üldotstarbeliste tehisintellektimudelitega seotud sätted ja osa juhtimisnõuetest.
2. august 2026: hakkab üldjuhul kohalduma suurem osa määrusest, sealhulgas paljud kõrge riskiga süsteemide nõuded.
2. august 2027: rakenduvad teatavad tooteohutuse õigusaktidega seotud kõrge riskiga süsteemide nõuded.

Ajakava on siin kokku võetud Euroopa Komisjoni ametliku lehe põhjal. Ettevõtte jaoks ei tähenda kuupäevade loetelu, et kõik nõuded puudutaksid kõiki tööriistu samal ajal. Konkreetse süsteemi või kohustuse puhul tuleb kontrollida asjakohast määruse sätet ja kehtivat ajakava, sest eri süsteemide reeglid võivad rakenduda erinevalt.

Väikeettevõtte kontrollnimekiri

Alustage lihtsast ülevaatest ja dokumenteerige vastused. Nii saab hiljem selgemalt hinnata, milliseid kasutusviise ja ettevõtte rolle tuleb täpsemalt kontrollida. See loetelu ei asenda konkreetse juhtumi õiguslikku hindamist.

Milliseid tööriistu kasutatakse? Loetlege tehisintellekti sisaldavad teenused, sealhulgas need, mis on peidetud tavapärasesse tarkvarasse.
Milleks neid kasutatakse? Kirjeldage iga tööriista konkreetset ülesannet, näiteks teksti koostamine, klientide hindamine või kandidaatide järjestamine.
Milliseid andmeid sisestatakse? Kontrollige, kas süsteemi jõuavad isikuandmed, ärisaladused, kliendiinfo või muu piiratud teave.
Kes pakub ja kes kasutab süsteemi? Uurige, kas teie ettevõte üksnes kasutab teenust, muudab selle eesmärki või pakub süsteemi teistele.
Kas süsteem mõjutab inimesi puudutavaid otsuseid? Selgitage, kas inimene vaatab väljundi läbi ja saab selle kõrvale jätta või toetub ettevõte automaatsele tulemusele.
Kas kasutus võib kuuluda kõrge riskiga valdkonda? Kontrollige süsteemi eesmärki ja määruse kohaldamisala; vajaduse korral küsige konkreetse hinnangu saamiseks asjatundjalt.
Kas töötajad mõistavad tööriista piire? Tehke kindlaks, millist juhendamist või tehisintellektialast kirjaoskust nende ülesanded vajavad.

Millal tasub ettevõtte roll üle kontrollida?

Täpsem kontroll on eriti asjakohane siis, kui ettevõte kasutab tehisintellekti inimeste hindamiseks või valikuks, rakendab süsteemi valdkonnas, kus võimalik mõju on suur, muudab teenuse kasutusotstarvet või pakub oma tehisintellektipõhist lahendust klientidele. Ka andmete sisestamise ja töötajate juhendamise küsimused võivad vajada eraldi tähelepanu.

Alustage tööriistade ja nende kasutusotstarbe kirjapanekust, seejärel kontrollige ettevõtte rolli ning konkreetse kohustuse ajakava. Kui kasutuse kategooria või roll jääb ebaselgeks, vajab juhtum eraldi hindamist asjatundja poolt.

Source: Euroopa Komisjon

Taust ja tegevused Artikli kohta

Allikas ja kontroll Taust ja ajakava

Rakendamise kuupäevad ja riskipõhise lähenemise kirjeldus põhinevad Euroopa Komisjoni AI Acti ülevaatel.

Kontrollid