EL-i tehisintellekti määrus kehtib erinevalt rolli ja kasutusjuhu lõikes. Kõrge riskiga süsteemide pakkujad ja üldotstarbeliste AI-mudelite pakkujad võivad silmitsi seista ulatuslike kohustustega, samas kui rakendajatel ja teistel osapooltel on erinevad kohustused.
Kuid VKE-del on ikkagi vaja toimivat juhtimismudelit. Kui sinu ettevõte kasutab AI-d värbamises, klienditeeninduses, dokumentide töötlemisel, müügis, kasutajatoes, turunduses, tarkvaraarenduses või sisemises otsustoes, ei ole küsimus “kas me oleme reguleeritud AI-ettevõte?”. Küsimus on: “milliseid AI-süsteeme me kasutame, millise riski need loovad ja kes vastutab nende ohutu kasutamise eest?”
See on VKE-dele mõeldud praktiline ettevalmistusplaan. See aitab struktureerida asjaolud, mida nõustajad ja vastutavad omanikud vajavad; see ei asenda klassifitseerimist ega õigusnõu.
Käsitle AI Act valmisolekut kõigepealt operatsioonilise inventuuri probleemina. Kui sa ei suuda loetleda oma AI-süsteeme, tarnijaid, kasutajaid, andmekategooriaid, otsustusmõju ja inimjärelevalve reegleid, ei ole sa valmis riski klassifitseerima ega vastutustundlikku kasutust tõendama.
Oluline ajakava
EL-i tehisintellekti määrus (määrus (EL) 2024/1689, muudetud määrusega (EL) 2026/1744) rakendub etapiti; alljärgnevad kuupäevad on seisuga 2026-08-04 üle kontrollitud komisjoni tehisintellekti määruse leheküljel ja AI Act Service Desk’i ajakirja vastu. Määrus jõustus 1. augustil 2024. Keelud, definitsioonid ja tolleaegsed AI-kirjaoskuse sätted hakkasid kehtima 2. veebruaril 2025; juhtimisreeglid ja üldotstarbeliste AI-mudelite kohustused muutusid kohaldatavaks 2. augustil 2025. AI Omnibus jõustus 27. juulil 2026 ning muudis osa ajakavast ja kirjaoskuse raamistikust. Artikli 50 läbipaistvusreeglid kohalduvad alates 2. augustist 2026.
AI Omnibuse lõpliku ajakava järgi kohalduvad teatud kõrge riskiga valdkondades — näiteks biomeetria, elutähtis taristu, haridus, tööhõive, ränne, varjupaik ja piirikontroll — kasutatavate süsteemide reeglid alates 2. detsembrist 2027, reguleeritud toodetesse integreeritud kõrge riskiga süsteemide reeglid aga alates 2. augustist 2028. Kuna need kuupäevad on juba korra nihkunud, kontrolli komisjoni lehte enne, kui seod eelarve mõne vastavustähtajaga.
Mida rikkumine tegelikult maksab
Karistusraamistik on üks tegur, mitte kohaldamisala määramise asendus. Allolevad tasemed põhinevad artiklil 99; jurist peab kinnitama, kuidas muudetud raamistik ja riigisisesed normid konkreetsel juhul kohalduvad.
- Artikliga 5 keelatud tavad: kuni 35 miljonit eurot või 7% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Määratlused ja erandid on üksikasjalikud; sellised sildid nagu „manipuleerimine“ või „biomeetria“ ei anna täielikku õiguslikku liigitust.
- Enamik muid kohustusi, sealhulgas suure riskiga süsteemide nõuded ja läbipaistvuskohustused: kuni 15 miljonit eurot või 3% käibest.
- Ametiasutustele ebaõige või eksitava teabe esitamine: kuni 7.5 miljonit eurot või 1% käibest.
Kaks VKEdele olulist sätet mõjutavad raamistikku: iga VKE ja idufirma jaoks kehtib iga ülempiiri puhul fikseeritud summa ja protsendi madalam väärtus ning ametiasutused peavad kohaldama määruse karistuse määramise tegureid ja proportsionaalsuse nõudeid. Ära käsita mitteametlikku silti tõendina selle kohta, et tava on keelatud või lubatud: lõpeta iga võimalik artikli 5 kohane tegevus ja saada kvalifitseeritud liigitus. Inventuur aitab kohaldamisala kindlaks teha; see ei välista organisatsiooni sellest.
Kes teeb selle üle Eestis järelevalvet
Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA) teatab, et hakkab Eestis täitma AI-süsteemide järelevalve pädeva asutuse rolli. Täpsem asutustevaheline korraldus ja kohalik jõustamispraktika on veel kujunemas (kontrollitud 2026-07-28). Eesti VKE jaoks tähendab see praegu järgmist: ehita määruse teksti, mitte kohtu- või järelevalvepraktika ootamise peale; hoia inventuur ja tarnijate tõendid valmis; ning valmistu artikli 50 läbipaistvuskohustusteks, mis kohalduvad alates 2. augustist 2026.
Kasuta neid kuupäevi planeerimissisendina, mitte õigusliku kinnituse asendajana. VKE-de praktiline mõte on lihtsam: alusta nüüd, sest inventuur, omanikud, dokumentatsioon ja inimjärelevalve võtavad aega.
Pakkuja, kasutuselevõtja või ostja?
“Ostja” on kasulik hangete silt, kuid ei asenda AI-määruse rolli. VKE võib olla tehesintellekti pakkujaks, kasutuselevõtjaks, importijaks, levitajaks, tootmiskeskkonna tootjaks, volitatud esindajaks või mõjutatud isik olenevalt asjaoludest. Alljärgnev lihtsustatud tabel on ainult triaažiks:
| Roll | Mida see tähendab | VKE näide | Praktiline kohustus |
|---|---|---|---|
| Ostja (mitteametlik) | Hankid tööriista AI-funktsioonidega | CRM-assistent, koosolekukokkuvõtja, koodiassistent | Määra tegelik õiguslik roll; tee tarnija hoolsuskontroll ja sea sisemised kasutusreeglid |
| Kasutuselevõtja | Võtad AI-süsteemi oma äris kasutusele | Kasutajatoe triaaž, müügivihjete skoorimine, HR-sõelumise töövoog | Järelevalve, seire, avalikustamine, kirjed |
| Pakkuja | Toote AI-süsteemi turule oma nime all | AI-chatbot tootes, hindamise API, valdkonnatööriist | Toote vastavus, tehniline dokumentatsioon, riskijuhtimine |
Organisatsioonil võib olla korraga mitu rolli. Ettevõte, mis hangib mudeli API, pakendab selle valdkonnaspetsiifiliseks tooteks ja müüb seda klientidele, võib täita nii pakkuja kui ka kasutuselevõtja rolle. Ettevõte, mis kasutab SaaS-vestlusrobotit sisemiselt, võib olla kasutuselevõtja. Õigusnõustaja peab klassifitseerima tegeliku süsteemi, olulised muudatused, nime või kaubamärgi, eesmärgi ja tarneahela.
Ära arva seda koosolekul. Pane iga AI-süsteem inventuuri ja klassifitseeri roll.
Ehita AI-inventuur
Alusta tabelist. Iga AI-süsteem saab ühe rea:
| Väli | Miks see loeb |
|---|---|
| Süsteemi nimi | Inimestel on vaja ühist silti |
| Tarnija või omanik | Keegi peab küsimustele vastama |
| Ärieesmärk | Risk sõltub kavandatud kasutusest |
| Kasutajad | Sisemised töötajad, kliendid, kandidaadid, avalikkus |
| Andmekategooriad | Avalik, sisemine, isiklik, konfidentsiaalne, piiratud |
| Väljundi kasutus | Mustand, soovitus, automatiseeritud otsus, kliendile suunatud vastus |
| Inimjärelevalve | Kes kontrollib ja millal |
| Avalikustamine | Kas inimestele öeldakse, et nad suhtlevad AI-ga |
| Logid | Milline tõendus jääb pärast kasutust |
| Riskihinnang | Madal, piiratud, võimalik kõrge risk, keelatud/mitte lubatud |
See inventuur on väärtuslikum kui poliitikadokument, mida keegi ei loe. See näitab, kus AI ettevõttes päriselt olemas on.
Klassifitseeri praktiline risk
Ära alusta küsimusest “kas see on Annex III järgi kõrge risk?”. Alusta operatsioonilisest mõjust:
Madala riskiga abi. E-kirjade mustandid, sisemiste koosolekute kokkuvõtted, ideede genereerimine, teksti parandamine. Inimene kasutab väljundit mustandina. Kehtivad tavalised privaatsusreeglid.
Piiratud riskiga suhtlus. Chatbotid, hääleagendid, AI loodud meedia, avalik tekst või kasutajatoe vastused. Läbipaistvus ja kasutaja selgus on olulised.
Otsustoe töövood. Müügivihjete skoorimine, toe suunamine, arvete töötlemine, kvaliteedikontroll, pettusemärguanded. Inimjärelevalve, seire ja vaidlustamise võimalused on olulised.
Võimalikud kõrge riskiga valdkonnad. Tööhõive, haridus, krediit, hädavajalikud teenused, tervishoid, õiguskaitse, ränne, kriitiline taristu, biomeetriline kategoriseerimine. Enne juurutust on vaja õiguslikku ülevaatust.
Võimalik keelatud praktika: peatu ja eskaleeri. Ära võta kasutusele lahendust, mis võib kuuluda artikli 5 alla, oodates sisest “kinnitust.” kvalifitseeritud õigusnõustaja peab määrama ulatuse; sisene kinnitus ei muuda keelatud praktikat seaduslikuks.
See ei ole lõplik õiguslik klassifikatsioon. See on triaaž, mis näitab, kuhu on vaja eksperdi ülevaatust.
VKE miinimumkontrollid
Iga mitte-triviaalse AI-süsteemi jaoks nõua kuut kontrolli:
- Omanik. Üks nimetatud inimene või tiim vastutab süsteemi eest.
- Kasutuspiir. Milleks süsteemi võib ja ei või kasutada.
- Andmereegel. Millised andmed võivad süsteemi siseneda.
- Inimjärelevalve. Millised väljundid vajavad enne tegevust ülevaatust.
- Seire. Kuidas märgatakse vigu, kaebusi, triivi ja tarnijamuudatusi.
- Kirje. Milline tõendus jääb alles: tarnijadokumendid, promptid, seaded, kinnitused, logid, testitulemused.
Need kontrollid käsitlevad konkreetseid ebaõnnestumise mudeleid: puuduv vastutus, tundmatud andmevood, ebatõhus järelevalve ja võimetus rekonstrueerida, miks väljundit kasutati. Nende olemasolu ei kinnita ise järgimist ega tõhusust; testi ja auditeeri neid.
Tarnija hoolsuskontroll
Tarnijatööriistade puhul küsi lubaduste asemel tõendeid:
- Kas kliendiandmeid kasutatakse vaikimisi treenimiseks?
- Kus andmeid töödeldakse ja salvestatakse?
- Millised säilituskontrollid on olemas?
- Kas ettevõtte seaded on olemas treenimisest loobumise, logimise, SSO ja ligipääsukontrolli jaoks?
- Kas tarnija annab AI Act, GDPR, turva- ja alltöötlejate dokumentatsiooni?
- Kas AI-funktsiooni saab välja lülitada või piirata?
- Kas tarnija avaldab mudelipakkujad ja suuremad arhitektuurimuudatused?
- Mis juhtub, kui tarnija muudab mudelit, prompti või retrieval-käitumist?
Kui tarnija ei suuda neile küsimustele vastata tööriista kohta, mis hakkab töötlema kliendi-, töötaja- või konfidentsiaalseid andmeid, hoia kasutusjuht madala riskiga või vali teine tööriist.
Avalikustamine ja inimjärelevalve
Kliendile suunatud AI puhul peaks avalikustamine olema lihtne ja nähtav. Kui klient räägib AI-chatbot’i või hääleagendiga, ütle seda. Kui AI loodud tekst saadetakse inimese poolt pärast ülevaatust, peaks sisemine poliitika otsustama, kas selle kanali jaoks on avalikustamine vajalik.
Inimjärelevalve peab olema konkreetne. “Inimene on loop’is” ei piisa. Määra:
- millist väljundit inimene näeb;
- millist allikatõendit ta saab kontrollida;
- kas ta saab üle kirjutada või tagasi lükata;
- kui palju aega tal on;
- kas kinnitus logitakse;
- mis juhtub, kui inimene ei nõustu süsteemiga.
Järelevalve ilma volituseta on teater. Kui inimene ei saa tegevust peatada, ei ole see tähenduslik järelevalve.
30-päevane VKE juurutus
1. nädal: inventuur. Loetle kõik AI-tööriistad ja töövood. Lisa ka heakskiiduta tööriistad, mida inimesed päriselt kasutavad.
2. nädal: riskitriaaž. Klassifitseeri madal, piiratud, otsustugi, võimalik kõrge risk või mitte lubatud. Eskaleeri võimalik kõrge risk.
3. nädal: kontrollid. Lisa iga aktiivse süsteemi jaoks omanik, andmereegel, järelevalvereegel, avalikustamisreegel, logimisreegel ja tarnijatõendid.
Nädal 4: Poliitika ja koolitus. Koosta lühike sisemine AI-kasutuse poliitika ning korralda rollipõhine koolitus. Kestus ja sisu peaksid lähtuma süsteemidest, kasutajatest, riskidest ja kehtivatest õigusnõuetest – mitte üldisest sessiooni pikkusest.
See loob juhtimise lähtetase ja loetelu lahendamata lünkadest. See ei ole iseenesest piisav EU AI akti või GDPR-i vastavuse tagamiseks.
Ära tee seda veel
Ära lase vastavusplatvormi ostul asendada inventuuri ja nõuete koostamist. Kui hindad tööriistu varem, testi neid esindava inventuuri ja vajaliku tõendusmaterjali põhjal.
Ära luba osakondade poliitikail vaikimisi vastuollu minna. Kehtesta vastutusel oleva organisatsiooni lähtetase ning vii vajalikud osakonnaspetsiifilised reeglid sellega kooskõssa.
Ära käsitle tarnijatingimusi juhtimisena. Tarnijaleping ei ütle müügitiimile, mida nad tohivad mudelisse kleepida.
Ära oota täiuslikku regulatiivset kindlust. Ajakavad ja juhised võivad liikuda, aga inventuur, omanikud, andmereeglid, järelevalve ja logimine jäävad ikkagi vajalikuks.
Juhtimisharjumus, mitte paanikaprojekt
AI Act valmisolek VKE-de jaoks ei ole paanikaprojekt. See on juhtimisharjumus.
Alusta inventuurist. Klassifitseeri risk kasutusjuhu järgi. Hoia inimesed tähenduslike otsuste eest vastutavana. Nõua tarnijatõendeid. Dokumenteeri kontrollid. Eskaleeri tööhõive, krediidi, tervise, hariduse, hädavajalike teenuste, biomeetria ja õigusi mõjutavad kasutusjuhud enne kasutuselevõttu.
Need sammud loovad juriidi-, turva-, privaatsus- ja valdkonnaekspertide ülevaatusteks tõendusmaterjali ja vastutuse. Need ei loo iseenesest vastavust.
