Euroopa Liidu tehisintellektimääruse ajakava ettevõtetele

ELi tehisintellektimäärus¹ jõustus 1. augustil 2024, kuid sellest tulenevad kohustused rakenduvad järk-järgult. Osa neist juba kehtib. Kõige olulisemad kohustused hakkavad aga kehtima 2. augustil 2026, kui kavandatav digivaldkonna koondpakett² neid edasi ei lükka. Järgnevalt selgitan, mida tuleks teada.

Mis juba kehtib

Alates 2. veebruarist 2025 kehtivad kaks nõuet igale ettevõttele, mis kasutab või pakub tehisintellektisüsteeme. Esiteks tuleb tagada, et töötajad mõistaksid tehisintellektisüsteeme, millega nad töötavad. Euroopa Komisjon on selgitanud, et pelgalt kasutusjuhendi läbilugemise nõudmine ei ole piisav – vaja on proportsionaalset ja dokumenteeritud lähenemist.³ Teiseks on juba keelatud tehisintellekti abil isikute käitumise oluline moonutamine manipuleerivate või petlike võtetega ning töötajate emotsioonide tuletamine. Trahvid rikkumise eest ulatuvad 35 miljoni euroni või 7%ni üleilmsest käibest (art 99).

Alates 2. augustist 2025 kehtivad kohustused suurte üldotstarbeliste tehisintellektimudelite pakkujatele (nt OpenAI, Anthropic, Google jt) ning Euroopa Liidu juhtimis- ja järelevalveorganid on paigas (art 113). Enamikku väikeettevõtteid see otseselt ei puuduta, välja arvatud juhul, kui nad peenhäälestavad mudeleid piisaval määral, et muutuda ise pakkujaks.

Mis muutub 2. augustil 2026

See on põhikuupäev. Määruse keskseid kohustusi tuleb hakata täitma: suure riskiga tehisintellektisüsteemide nõuded, juurutaja kohustused, läbipaistvusreeglid ja riiklik järelevalve.

Suure riskiga klassifikatsioon sõltub süsteemi otstarbest, mitte keerukusest (art 6). Tehisintellekt, mida kasutatakse värbamisel, töötajate jälgimisel, krediidihinnangu andmisel, kindlustuses või hariduses, on tõenäoliselt suure riskiga. Selliste süsteemide pakkujatele kehtivad olulised nõuded: riskijuhtimine, tehniline dokumentatsioon, vastavushindamine, CE-märgis. Juurutajad peavad tagama inimjärelevalve, süsteemi jälgimise ning teavitama puudutatud isikuid, et neid puudutavate otsuste tegemisel kasutatakse tehisintellekti (art 26).

Läbipaistvuskohustused ei sõltu riskitasemest (art 50). Kui teie süsteem suhtleb inimestega, peavad nad teadma, et tegu on tehisintellektiga. Kui see loob sisu, peab sisu olema masinloetavalt märgistatud. Digivaldkonna koondpakett neid kohustusi ei mõjuta.

Eestis on turujärelevalveasutuseks määratud Tarbijakaitse ja Tehnilise Järelevalve Amet, kuid amet ei ole veel avaldanud nõuetele vastavuse juhiseid.⁴

Digivaldkonna koondpakett

Nõukogu ja parlament on mõlemad põhimõtteliselt soostunud lükkama suure riskiga kohustuste täitmise edasi: 2. detsembrini 2027 (eraldiseisvad süsteemid) ja 2. augustini 2028 (toodetesse sisseehitatud süsteemid).⁵ Kolmepoolsed läbirääkimised on käimas ja nende teine voor peaks toimuma sel kuul.⁶

Edasilükkamine on poliitiliselt tõenäoline, kuid menetluslikult ebakindel. Edasilükkamise jõustamiseks peaks muudetud määrus olema avaldatud Euroopa Liidu Teatajas enne 2. augustit 2026. Kui seda ei suudeta, jääb jõusse algne tähtpäev. Läbipaistvuskohustused ja kõik juba kehtivad nõuded sellest ei muutu.

Mida see tähendab teie ettevõttele

Alustage oma rolli tuvastamisest – selgitage välja, kas olete pakkuja, juurutaja või mõlemad (vt artikli 3 punkte 3 ja 4). Seejärel hinnake, kas mõni teie tehisintellektisüsteemidest kuulub suure riskiga kategooriasse. Nõuetele vastavuse tagamine (dokumentatsioon, riskihindamine, kvaliteedijuhtimine) võtab kuid. Kui alustate praegu, olete õigeks ajaks valmis olenemata koondpaketi käekäigust.