AI Act Eestis: ettevõtte kohustused sõltuvad rollist ja riskist

Euroopa Liidu tehisintellekti määrus ehk AI Act puudutab ka Eesti ettevõtteid, kuid kohustused olenevad sellest, kas ettevõte arendab tehisintellektisüsteemi, pakub seda turul või kasutab seda oma töös. Kõigepealt tasub kaardistada kasutusotstarve ja võimalik risk: tavapärase kirjutamisabivahendi kasutamine ei tähenda automaatselt samu nõudeid nagu süsteemi kasutamine töötajate hindamiseks või oluliste otsuste tegemiseks.

Väikeettevõtte jaoks on esimene praktiline küsimus seega, mida tööriist päriselt teeb. Teksti mustandi koostamine, inimeste järjestamine ja otsuse tegemine on erineva mõjuga kasutusviisid. Mida enam mõjutab süsteem inimese õigusi, ohutust või võimalusi, seda olulisem on selle eesmärki ja ettevõtte rolli kontrollida.

Määrus rakendub etapiti. Euroopa Komisjoni ajakava järgi hakkasid esimesed sätted kehtima 2025. aastal ning määruse üldine kohaldamine algab 2. augustil 2026; osa kõrge riskiga süsteemide nõuetest rakendub hiljem. Kuupäevad ja erandid võivad sõltuda süsteemi liigist, seega tuleb konkreetse kasutuse puhul kontrollida kehtivat ajakava.

Miks ettevõtte roll ja kasutusviis määravad kohustused

AI Act kasutab riskipõhist lähenemist: mida suurem võib olla süsteemi mõju inimeste õigustele, ohutusele või võimalustele, seda rangemad nõuded võivad rakenduda. Roll loeb samuti. Süsteemi pakkujal ehk selle turule toojal on teistsugused ülesanded kui ettevõttel, kes ostab valmis tööriista ja kasutab seda oma tegevuses.

Väikeettevõte võib olla kasutaja, kui ta kasutab näiteks pilvepõhist tekstigeneraatorit või värbamistarkvara. Kui ettevõte arendab süsteemi, muudab selle otstarvet või laseb selle turule oma nime all, võib tema roll olla ulatuslikum. Seetõttu tasub vaadata, kas ettevõte kasutab valmis lahendust või mõjutab ise selle eesmärki ja turule pakkumist.

Kõrge riskiga kasutusvaldkondade hulka võivad kuuluda näiteks tööhõive ja töötajate juhtimisega seotud süsteemid ning hariduse, oluliste teenuste või õiguskaitsega seotud kasutused. Näiteks kandidaatide automaatne hindamine võib vajada põhjalikumat kontrolli kui teksti mustandi koostamine. See näide ei määra konkreetse toote õiguslikku liigitust: hinnata tuleb süsteemi eesmärki ja tegelikku kasutust.

AI Acti rakendamise tähtsamad kuupäevad

Euroopa Komisjoni avaldatud ajakava kirjeldab määruse etapiviisilist rakendamist. Selle järgi:

• 2. veebruar 2025: hakkasid kehtima muu hulgas keelatud tehisintellekti kasutusviise ja tehisintellektialast kirjaoskust käsitlevad sätted.
• 2. august 2025: rakendusid muu hulgas üldotstarbeliste tehisintellektimudelite pakkujatega seotud sätted ning osa juhtimis- ja järelevalvekorrast.
• 2. august 2026: algab määruse üldine kohaldamine, sealhulgas mitu süsteemidele ja nende kasutajatele kehtivat nõuet.
• 2. august 2027: rakendub osa toodetesse integreeritud kõrge riskiga süsteemide nõudeid.

Need kuupäevad ei tähenda, et iga ettevõte peab samal päeval tegema ühesuguseid samme. Kohaldumine sõltub muu hulgas ettevõtte rollist, süsteemi liigist ja kasutusvaldkonnast. Ettevõtte kasutatava lahenduse puhul tasub seega hinnata nii seda, mida süsteem teeb, kui ka seda, kas ettevõte on kasutaja, pakkuja või arendaja. Kontrollige konkreetse süsteemi ajakava Euroopa Komisjoni teabelehelt.

Väikeettevõtte kontrollnimekiri enne tehisintellekti kasutamist

Alustage tööriistade ja kasutusviiside nimekirjast. Kaardistus aitab märgata ka lahendusi, mida kasutatakse igapäevatöös ilma eraldi ettevõtte otsuseta, näiteks töötajate tasuta või isiklikke kontosid.

• Milliseid tehisintellekti tööriistu töötajad kasutavad?
• Kas tööriist koostab teksti, soovitab tegevust, järjestab inimesi või teeb otsuse?
• Milliseid andmeid sinna sisestatakse: avalikku teavet, kliendiandmeid, töötajate andmeid või muud tundlikku infot?
• Kas süsteemi tulemust kontrollib töötaja või kasutatakse seda inimese sisulise sekkumiseta?
• Kas ettevõte kasutab valmis toodet, muudab seda või pakub seda edasi oma nime all?
• Kas tööriista kasutus seostub valdkonnaga, kus otsused võivad mõjutada näiteks tööle saamist, haridust või olulise teenuse saamist?

Kui vastused viitavad inimeste hindamisele või nende jaoks oluliste otsuste mõjutamisele, dokumenteerige kasutusotstarve ning kontrollige süsteemi liigitust ja ettevõtte rolli. Pange kirja ka see, kes väljundid üle vaatab, kuidas vigu tuvastatakse ja milliseid andmeid töötajad tööriista sisestada tohivad. Need küsimused aitavad kasutust kirjeldada; ükski vastus eraldi ei määra süsteemi õiguslikku staatust.

Mida teha, kui roll või risk jääb ebaselgeks

Ärge järeldage kohustusi ainult sellest, et tööriist kasutab tehisintellekti või kannab kindlat turundusnimetust. Vaadake üle teenuse kirjeldus, kasutusotstarve ja lepingutingimused ning küsige teenusepakkujalt, millist rolli ta endale AI Acti järgi määrab ja millist teavet süsteemi nõuetele vastavuse kohta annab. Võrrelge seda teavet ettevõtte tegeliku kasutusega.

Määruse rakendamisel võivad asjakohased olla ka muud õigusaktid ja andmekaitsenõuded. See juhend selgitab üldpõhimõtteid, mitte ettevõtte konkreetset õiguslikku olukorda. Kui süsteem võib mõjutada inimeste õigusi või ettevõte arendab või pakub süsteemi ise, kontrollige konkreetne roll ja kohustused pädeva spetsialistiga üle. Praktiline järgmine samm on võrrelda oma kasutusjuhtu Euroopa Komisjoni ajakava ja määruse teemakohaste juhistega.

Source: Euroopa Komisjon