Kes teostab Eestis järelevalvet tehisintellekti määruse üle?

Kas sinu ettevõte on hiljuti saanud tarnijalt küsimustiku või kliendilt lepingutingimuse, mis viitab tehisintellekti määrusele (määrus (EL) 2024/1689) ja küsib, kuidas te vastavust tagate? Paljud Eesti väikeettevõtjad seisavad täpselt selle küsimuse ees, ilma et keegi oleks selgelt öelnud, kes selle täitmist tegelikult kontrollib. Kui midagi valesti läheb — tehisintellekti süsteem teeb diskrimineeriva otsuse, töötajaid ei teavitata nõuetekohaselt või rikutakse läbipaistvuskohustust —, siis kes täpselt koputab uksele? Erinevalt GDPR-ist, kus enamik Eesti ettevõtjaid teab, et pöörduda tuleb AKI poole, on tehisintellekti määruse puhul institutsiooniline pilt alles kujunemas ning see tekitab mõistetavat segadust. See artikkel selgitab, milline asutus Eestis tehisintellekti määruse üle järelevalvet teeb, mida määrus liikmesriikidelt nõuab ja mida saad juba täna teha, et olla valmis, ilma et peaksid kohe juristi palkama.

Andmekaitse Inspektsiooni praegune roll

Andmekaitse Inspektsioon (AKI) on Eesti asutus, kes juba aastaid täidab isikuandmete kaitse üldmääruse (GDPR) järelevalvet — uurib kaebusi, teeb ettekirjutusi ja vajadusel määrab trahve. Kuna suur osa tehisintellekti riskidest — profileerimine, automatiseeritud otsused, biomeetriline tuvastus — kattub otseselt isikuandmete töötlemisega, on AKI loomulik ja tõenäoline kandidaat vastutama ka osa tehisintellekti määruse järelevalveülesannete eest. AKI-l on juba praktiline kogemus tehisintellekti ja andmekaitse kokkupuutepunktidega ning see kogemus on väärtuslik lähtepunkt, kui riik hakkab määrust täies mahus rakendama. Väikeettevõtja jaoks on see hea uudis: AKI-ga suhtlemise viisid — kaebuste esitamine, juhendite lugemine, järelepärimised — on juba tuttavad ja toimivad, mistõttu ei pea sa tõenäoliselt õppima suhtlema täiesti uue ja tundmatu ametiasutusega, isegi kui lõplik pädevuste jaotus mõne valdkonna osas veel selgineb.

Mida nõuab tehisintellekti määruse artikkel 70

Tehisintellekti määruse artikkel 70 kohustab iga liikmesriiki määrama vähemalt ühe turujärelevalveasutuse ning teavitatud asutuste eest vastutava asutuse, kes tagavad määruse rakendamise ja täitmise oma territooriumil. Liikmesriigid pidid oma pädevad asutused Euroopa Komisjonile teatavaks tegema ja tagama neile piisavad ressursid, tehnilised oskused ning volitused sekkumiseks, sealhulgas õiguse nõuda dokumente, teha kohapealseid kontrolle ja vajadusel turult kõrvaldada nõuetele mittevastavaid süsteeme. Praktikas tähendab see, et riigid saavad valida, kas anda ülesanne olemasolevale asutusele — näiteks andmekaitseasutusele, tarbijakaitseametile või tehnilisele järelevalveasutusele — või luua täiesti uus struktuur. Mitmed liikmesriigid on valinud jagatud mudeli, kus vastutus jaotub sektorite kaupa mitme asutuse vahel, mitte ei koondu ühte kohta — näiteks võib finantssektori tehisintellekti süsteemide üle valvata finantsjärelevalve, samas kui üldisem turujärelevalve jääb muu asutuse kanda. Sellist mudelit kasutatakse ka mitmes teises liikmesriigis ja see on üks põhjus, miks lõpliku vastutuse kaardistamine võtab aega.

Mis on Eestis veel lahtine

Käesoleva artikli kirjutamise seisuga ei ole Eesti lõplik tehisintellekti määruse rakendusseadus ega sellega kaasnev turujärelevalveasutuste ametlik nimetamine veel täies mahus avalikult kinnitunud kujul kättesaadav. See ei ole erandlik — määrus ise annab liikmesriikidele rakendamiseks ajaraami ja mitmed riigid, sealhulgas Eesti, viivad seadusandlikku protsessi läbi paralleelselt määruse järkjärgulise jõustumisega. Ära eelda, et praegune GDPR-i järelevalvestruktuur kandub tehisintellekti määrusele automaatselt ja muutumatult üle — mõnes valdkonnas, näiteks finantsteenustes, meditsiiniseadmetes või transpordis, võib vastutus minna hoopis sektoripõhisele asutusele, nagu Finantsinspektsioon või Terviseamet. Kuna Eesti on väike ja suhteliselt kiiresti liikuv haldusruum, on üsna tõenäoline, et lõplik institutsiooniline lahendus selgineb varem kui mõnes suuremas liikmesriigis, kuid seni tasub olulisi otsuseid tehes lähtuda pigem määruse enda tekstist ja AKI ametlikest teadetest kui oletustest.

Trahvid, mis on mängus

Tehisintellekti määruse artikkel 99 sätestab karistuste astmestiku, mis on GDPR-iga võrreldes veelgi karmim. Keelatud tehisintellekti praktikate rikkumise eest võib trahv ulatuda kuni 35 miljoni euroni või 7 protsendini ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem. Muude peamiste kohustuste, näiteks kõrge riskiga süsteemide nõuete rikkumise eest on ülempiir kuni 15 miljonit eurot või 3 protsenti käibest. Ebaõige, mittetäieliku või eksitava teabe esitamise eest asutustele on ülempiir kuni 7,5 miljonit eurot või 1 protsent käibest. Eriti oluline on artikkel 99 lõige 6: väikeste ja keskmise suurusega ettevõtete, sealhulgas idufirmade puhul kohaldatakse neist kahest väärtusest — fikseeritud summast või käibeprotsendist — madalamat, mitte automaatselt kõrgemat. See annab VKE-dele teatud proportsionaalsuse, kuid ei vabasta kohustuste täitmisest.

DIY kontrollnimekiri väikeettevõttele

Enne kui pöördud juristi poole, saad suure osa esmasest kaardistamisest teha ise. Käi läbi järgmised küsimused:

• Kas oleme kaardistanud kõik tehisintellekti süsteemid, mida ettevõte kasutab või pakub, sealhulgas kolmandate osapoolte tööriistad nagu CV-sõelumine, krediidiskoorimine või vestlusrobotid?
• Kas teame iga süsteemi kohta, millisesse riskikategooriasse — keelatud, kõrge riskiga, piiratud riskiga või minimaalne risk — see määruse järgi kuulub?
• Kas oleme kontrollinud, kas mõni meie kasutatav süsteem võib kuuluda keelatud praktikate hulka, näiteks sotsiaalse hindamise süsteemid või teatud biomeetrilise tuvastuse vormid?
• Kas oleme vaadanud üle, milliseid juhiseid või seisukohti AKI on tehisintellekti kohta juba oma veebilehel avaldanud?
• Kas meie tarnijalepingutes on selgelt kirjas, kes vastutab tehisintellekti süsteemi vastavuse eest — meie või tarnija?
• Kas oleme ettevõttesiseselt määranud vastutava isiku, kes jälgib tehisintellekti määruse ja Eesti rakendusseaduse arengut?
• Kas töötajad, kes tehisintellekti süsteeme igapäevaselt kasutavad, on saanud vähemalt minimaalse tehisintellekti-alase pädevuse koolituse, nagu määruse artikkel 4 eeldab?
• Kas oleme oma praeguse vastavuse seisu kuskil dokumenteerinud, kas või lihtsa sisemise memona, et näidata heauskset lähenemist, kui järelevalveasutus peaks huvi tundma?

Oluline märkus

See artikkel on üldine teave, mitte õigusnõustamine, ja tugineb praegu avalikult kättesaadavale teabele — Eesti tehisintellekti määruse rakendusraamistik on osaliselt veel kujunemisjärgus. Komplya eristab oma sisus selgelt läbivaadatud ja kinnitatud materjali mustandmaterjalist ning soovitab konkreetsete juriidiliste otsuste puhul alati konsulteerida kvalifitseeritud juristi või pöörduda otse AKI poole.

Järgmine samm

Kõige kiirem viis oma hetkeseisu selgeks saada on käia läbi struktureeritud küsimustik, mis aitab tuvastada, millised sinu ettevõtte tehisintellekti süsteemid ja andmetöötlused määruse alla üldse kuuluvad — enne kui tarnija või klient selle küsimuse sulle ise esitab. Komplya küsimustik annab sulle umbes 15 minutiga selge pildi sellest, kus sa hetkel seisad.