Tehisintellekti määrus Eesti VKE-dele: millal see teid puudutab

Keegi teie meeskonnast hakkas mõni kuu tagasi kasutama ChatGPT-d või Copilot it pakkumiste koostamiseks, kliendikirjade viimistlemiseks või koodi kirjutamise kiirendamiseks. Keegi ei mõelnud selle peale kaks korda – tööriist lihtsalt aitab ja säästab aega. Siis tuleb partnerilt, investorilt või avaliku hanke tellijalt küsimustik, kus tavaliste andmekaitse- ja turvalisusküsimuste kõrval seisab ka rida „vastavus tehisintellekti määrusele". Ja äkitselt on vaja vastust, mida teil valmis pole.

EL-i määrus, mis Eestis juba kehtib

Tehisintellekti määrus (Euroopa Liidu määrus 2024/1689) on määrus, mitte direktiiv – see kehtib otse, ilma et Eesti peaks selle sisu eraldi seadusesse üle võtma. Rakendumine toimub etappide kaupa: keelatud praktikad on keelatud alates 2. veebruarist 2025, üldotstarbeliste tehisintellektimudelite pakkujate kohustused kehtivad alates 2. augustist 2025. Enamiku kõrge riskiga süsteemide reeglite jõustumine oli algselt kavandatud 2. augustiks 2026, kuid nn Digital Omnibus paketi tõttu, mis jõustus 27. juulil 2026, lükkus see tähtaeg edasi 2. detsembrini 2027; juba reguleeritud toodetega (I lisa) seotud süsteemide reeglid jõustuvad nüüd alles 2028. aasta augustis. Seadus, mis Eestis lõplikult kinnitab, millised asutused täpselt turujärelevalvet teevad, oli selle artikli kirjutamise ajal veel menetluses – seetõttu tasub enne millegi peale kindla peale välja minemist kontrollida pädeva asutuse värsket teavet, mitte tugineda aastataguses artiklis loetule.

Eesti ettevõtetele pole see kaugeltki abstraktne Brüsseli teema. Eesti on riik, kus e-residentsus, X-tee ja digitaalne ID-kaart on juba aastaid igapäevane osa asjaajamisest ning riik ise kasutab avalike teenuste pakkumiseks tehisintellektil põhinevat virtuaalassistentide võrgustikku Bürokratt. Kui riik ise ehitab tehisintellekti oma teenustesse sisse ja kodanikud harjuvad sellega igapäevaselt suhtlema, jõuavad tehisintellekti määruse küsimused Eesti VKE-de lauale tõenäoliselt varem kui enamikus teistes liikmesriikides – nii klientide ootuste kui ka ärikoostöö küsimustike kaudu. Eriti puudutab see e-residentidele raamatupidamis-, õigus- ja ettevõtte asutamise teenuseid pakkuvaid firmasid, kes menetlevad tuhandeid välismaiseid taotlusi ja kasutavad selleks üha rohkem automatiseeritud dokumendianalüüsi, ning IT- ja fintech-sektori ettevõtteid, kes kasutavad tehisintellekti kliendi tuvastamiseks, riskihindamiseks või pettuste tuvastamiseks – täpselt seda tüüpi rakendusi, mis määruse alla kõige kiiremini satuvad, sest need mõjutavad reaalseid otsuseid inimeste kohta.

Kes Eestis määruse täitmist jälgib?

Iga tehisintellekti süsteemi puhul, mis töötleb isikuandmeid – ja see kehtib enamiku personali-, müügi- ja kliendisuhtluse tööriistade kohta –, on esimene aadress Andmekaitse Inspektsioon (AKI), kes teeb juba täna järelevalvet isikuandmete kaitse üldmääruse (GDPR) üle ja on loomulik kandidaat sarnase rolli täitmiseks ka tehisintellekti valdkonnas. Määruse artikkel 70 kohustab iga liikmesriiki määrama turujärelevalveasutused, kes vastutavad konkreetsete sektorite eest. Kuna lõplik Eesti rakendusseadus polnud selle artikli kirjutamise hetkel veel vastu võetud, ei ole täiesti selge, kas ja millises ulatuses jagab AKI pädevust teiste, sektoripõhiste asutustega (näiteks finantsjärelevalve või tööturu valdkonnas). Kindlaim viis on jälgida AKI veebilehte – pilt peaks lähikuudel-aastatel selginema.

Riskitasemed lühidalt

Määrus jagab tehisintellekti süsteemid nelja rühma: lubamatu risk (keelatud praktikad, näiteks sotsiaalne krediidiskoor või manipulatiivsed tehnikad), kõrge risk (III lisas loetletud tundlikud valdkonnad nagu töölevõtmine, töötajate hindamine, krediidiskoorimine ja avalike teenuste kättesaadavus), piiratud risk (läbipaistvuskohustused, näiteks kohustus öelda, et sisu on loodud tehisintellekti abil või et klient suhtleb vestlusrobotiga) ja minimaalne risk, kuhu jääb enamik igapäevaseid tööriistu.

Eesti VKE-de jaoks on eriti oluline üks piiratud riski juhtum: kui ettevõte kasutab klienditeeninduses vestlusrobotit või avaliku sektori eeskujul virtuaalassistenti (nagu Bürokratti inspireerinud lahendused), peab klient saama teada, et ta suhtleb tehisintellektiga, mitte inimesega – see läbipaistvuskohustus on lihtne unustada, kui robot on juba mõnda aega vaikimisi kasutuses olnud. Kõrge riski poolel tasub tähelepanu pöörata värbamis- ja personalitarkvarale, mis sõelub CV-sid või hindab töötajate tulemuslikkust – need kuuluvad III lisa alla juba täna, sõltumata ettevõtte suurusest.

Trahvid: numbrid, mida tasub teada

Artiklis 99 sätestatud sanktsioonide režiim kehtib ühtemoodi kogu Euroopa Liidus, seega ka Eestis. Eesmärk pole riigikassat täita, vaid kahju ära hoida, enne kui see tekib – aga summad on piisavalt suured, et neid ette teada:

• Kuni 35 miljonit eurot või 7% ülemaailmsest aastakäibest, olenevalt kumb on suurem – keelatud praktikate eest.
• Kuni 15 miljonit eurot või 3% ülemaailmsest aastakäibest enamiku muude rikkumiste, sealhulgas pakkujate ja juurutajate kohustuste rikkumise eest.
• Kuni 7,5 miljonit eurot või 1% ülemaailmsest aastakäibest ebaõige või eksitava teabe esitamise eest järelevalveasutustele.

Mida ettevõttes konkreetselt üle vaadata

Artiklite pähe õppimise asemel on kasulikum käia läbi konkreetsed küsimused, mille saab lahendada ühe pärastlõunaga, mitte kuudepikkuse projektiga:

• Kas olete iga konkreetse tehisintellekti tööriista puhul pakkuja (arendate või muudate süsteemi oluliselt) või juurutaja (kasutate lihtsalt kellegi teise loodud süsteemi) – enamik Eesti VKE-sid on juurutajad, millel on kitsam, kuid siiski reaalne kohustuste ring.
• Kas mõni teie tehisintellekti kasutusjuht kuulub III lisa kõrge riski hulka – töölevõtmine, töötajate hindamine, krediidi- või kindlustusskoorimine, avalike teenuste kättesaadavus.
• Kas kliendid teavad, millal nad suhtlevad vestlusrobotiga või saavad tehisintellekti loodud sisu – see läbipaistvuskohustus jääb tihti tähelepanuta.
• Kas mõni olemasolev süsteem (raamatupidamistarkvara, CRM, dokumendihaldus) sai hiljutise uuenduse käigus tehisintellekti funktsiooni, mida keegi ametlikult hinnanud pole.
• Kas küsisite tehisintellekti tööriista pakkujalt enne lepingu allkirjastamist vastavusdokumentatsiooni või tuginesite ainult tema sõnale.

Üldine info, mitte õigusnõu

See artikkel annab üldist teavet ega asenda õigusnõu teie konkreetse olukorra kohta – seda enam, et Eesti riigisisene rakendusraamistik pole veel lõplikult paigas ja täpsed detailid võivad muutuda. Komplyas eristame juriidiliselt üle vaadatud sisu mustanditest, mis ootavad veel kinnitust, nii et teate alati, millele saate kindlalt toetuda ja mis vajab veel täpsustamist.

Kiireim tee ebamäärasest murest konkreetse vastuseni on vaadata oma ettevõtte tehisintellekti kasutusjuhud ükshaaval üle, mitte oletada. Täitke lühike küsimustik ja saate mõne minutiga selge pildi, millised tööriistad vajavad tähelepanu ja kus olete juba nõuetele vastavad.