AI määrus Eesti ettevõttele: mida VKE peab 2026. aastal tegema

Sinu roll määrab kohustused

AI määrus Eesti ettevõttele ei ole üks üldine nimekiri, mille kõik ettevõtted täidavad ühtemoodi. Esmalt selgita, mida süsteem teeb ja milline on sinu roll: kas arendad süsteemi, müüd seda oma nime all või võtad tarnija lahenduse oma töövoogu kasutusele. Sama ettevõte võib ühe lahenduse puhul olla kasutuselevõtja ja teise puhul pakkuja.

„Pakkuja“ on üldjoontes see, kes arendab või laseb arendada AI-süsteemi ning teeb selle turul või kasutuses kättesaadavaks oma nime või kaubamärgi all. „Kasutuselevõtja“ kasutab süsteemi oma vastutuse all. Kui märgistad oma nime või kaubamärgiga juba turule lastud või kasutusele võetud kõrge riskiga süsteemi, muudad oluliselt juba kõrge riskiga süsteemi nii, et see jääb kõrge riskiga süsteemiks, või muudad mõne süsteemi sihtotstarvet nii, et sellest saab kõrge riskiga süsteem, käsitatakse sind artikli 25 lõike 1 järgi pakkujana ja sinu suhtes kohaldatakse artikli 16 kohustusi. SaaS-i tooteomanikul tuleb seetõttu kirjeldada nii algset kasutusotstarvet kui ka seda, mida klient saab seadistada.

Ka süsteemi enda riskikategooria sõltub kasutusotstarbest, mitte sellest, kas lahenduse turunduslehel on sõna „AI“. Sama mudel võib koostada sisemist koosoleku kokkuvõtet või anda sisendi töötaja värbamisotsusele. Teine kasutus võib kuuluda määruse III lisa kõrge riskiga valdkonda, esimene mitte. Kasutusotstarbe hindamise kohta on eraldi kõrge riskiga AI otsustusjuhend.

Praktilise alguspunkti leiab ka AI konsultatsiooni kaardistusest: kirjuta üles töövoog, andmed, kasutajad ja otsus, mida süsteemi tulemus mõjutab.

Kohaldamiskuupäevad pärast 2026. aasta muudatust

Euroopa Liidu tehisintellekti määrus (EL) 2024/1689 jõustus 1. augustil 2024. Määrus ei hakanud kogu ulatuses rakenduma korraga. Määrus (EL) 2026/1744 (nn AI Omnibus ehk Digital Omnibus on AI) avaldati Euroopa Liidu Teatajas 24. juulil 2026 ja jõustus kolmandal päeval pärast avaldamist, 27. juulil 2026; sellega nihutati muu hulgas kõrge riskiga süsteemide tähtaegu. Seetõttu ei ole õige võtta vana ajakava, kus III lisa nõuete algus on 2. august 2026, ja seda 2026. aasta sügisel muutmata kujul kasutada.

Artikli 50 üldised läbipaistvusreeglid hakkasid rakenduma 2. augustil 2026. Artikkel 50 lõige 2 kehtestab masinloetava märgistamise nõude sünteetilisele sisule; AI Act Service Deski ajakava toob 2. detsembri 2026 välja üleminekutähtajana teatud süsteemidele, mis olid turule lastud enne 2. augustit 2026. Ära tõlgenda seda nii, et kõik vestlusrobotite teavitamise nõuded algavad alles detsembris.

Kuupäevad on toodud määruse ja 2026. aasta muudatuse jõustumise järjekorras. Komisjoni ametlik rakendamise ajakava on uuendatav, mistõttu kontrolli enne konkreetset väljalaset ka AI Act Service Deski ajakava, kehtivat koondteksti ja 2026. aasta muudatuse teksti.

VKE kontrollnimekiri: tee läbi üks süsteem korraga

Kasuta tabelit süsteemi, mitte kogu ettevõtte kohta. Kirjuta „jah“, „ei“ või „vajab selgitamist“ ja lisa omanik ning tõend. Vastamata lahter ei ole automaatselt rikkumine, kuid see on konkreetne küsimus, mis vajab enne kasutuse laiendamist lahendamist.

Ära märgi lahtrit „kõrge risk“ ainult seetõttu, et süsteem kasutab uut mudelit või käsitleb suuri andmemahte. Samuti ära märgi „madal risk“ põhjusel, et inimene vajutab viimast nuppu. Määruse järgi loeb kasutusotstarve ja süsteemi mõju; inimesel peab olema tegelik võime väljundit kontrollida ja otsust muuta.

Mida ettevõte peab tegema ja mida tõendama

Väikese ettevõtte jaoks on tähtis eristada tegevust ja tõendit. Tegevus on näiteks see, et töötaja kontrollib AI vastuse enne saatmist. Tõend on lühike tööjuhend, ligipääsude kirjeldus ja kontrolli tulemus. Kui dokumenteerid ainult poliitika, kuid töötajale pole antud aega ega õigust vastust muuta, ei kirjelda dokument päris töökorraldust.

Pane iga süsteemi kohta kirja vähemalt: kasutusotstarve; rollid (pakkuja, kasutuselevõtja, tarnija); mõjutatud inimesed; sisendandmete kategooriad ja allikad; väljund ning järgnevad tegevused; AI-alase kirjaoskuse juhis; teavitused; inimese kontroll; süsteemi versioon ja muudatused; logi sisu ning säilitusaeg; veateade ja peatamise protsess; isikuandmete töötlemise alus ja vastutaja.

Kui tegemist on kõrge riskiga AI-süsteemiga, kirjeldavad artiklid 9–15 riskijuhtimist, andmehaldust, tehnilist dokumentatsiooni, logimist, kasutajale antavat teavet, inimese järelevalvet ning täpsust ja küberturvalisust. Artikli 18 järgi hoiab pakkuja tehnilist dokumentatsiooni kümme aastat pärast süsteemi turule laskmist või kasutusse võtmist. Artikli 19 järgi säilitab pakkuja tema kontrolli all olevaid automaatselt loodud logisid vähemalt kuus kuud, kui muu liidu või riigisisene õigus, eelkõige andmekaitseõigus, ei näe ette teisiti. Kasutuselevõtja logide nõue on artikli 26 lõikes 6.

Need tähtajad ei anna alust säilitada logis isikuandmeid, mida pole vaja. Hoia tehniline dokumentatsioon ja isikustatud päringud eri tasandil. Näiteks versiooni, kuupäeva, sündmuse tüübi ja viite saab sageli salvestada nii, et logi ei sisalda kasutaja terviseandmeid või täielikku töövestlust. Täpsemalt käsitleb seda AI ja isikuandmete artikkel.

Eesti asutused: TTJA ja AKI eri ülesanded

TTJA tehisintellektisüsteemide leht ütleb, et amet hakkab täitma pädeva asutuse rolli AI määruse järelevalves ning kirjeldab oma turujärelevalve ülesandeid. TTJA toob välja, et järelevalves võib ta küsida dokumentatsiooni ja andmestikke, mida kasutati treenimiseks, valideerimiseks ja testimiseks, automaatselt genereeritud logisid ning teavet süsteemi vastavuse hindamiseks. TTJA võib nõuda parandusmeetmeid, näiteks süsteemi turult kõrvaldamist või muutmist. Vaata ametlikku TTJA tehisintellektisüsteemide lehte.

AKI tehisaru juhend ütleb, et AI määrus ei asenda GDPR-i: kui süsteem töötleb isikuandmeid, kehtivad andmekaitsenõuded edasi. See tähendab, et AI määruse nõuetele vastavus ei anna automaatselt andmete töötlemiseks õiguslikku alust. Samuti ei muuda asja see, kas mudel asub Euroopa Liidus või teenusepakkuja serveris väljaspool seda; asukoht ja andmete edastamine tuleb eraldi kontrollida.

Kui kasutus puudutab töötajaid, on vaja arvestada ka tööandja ja töötaja erineva võimupositsiooniga. AKI töösuhete juhend juhib tähelepanu sellele, et töötaja nõusolek ei pruugi olla vabatahtlik ning õigustatud huvi alusel töötlemine eeldab eelnevat põhjendamist ja dokumenteeritud analüüsi. Nõuete rakendamise kohta leiad lähtepunkti AI konsultatsiooni lehelt, kuid õiguslikult keerulise kasutusjuhu hindamiseks kaasa andmekaitse- või õigusspetsialist.

Karistused ja väikese ettevõtte erisus

Määruse artikkel 99 näeb ette riiklike karistuste ülempiirid. Artikli 5 keelatud tavade rikkumise eest on ülempiir 35 miljonit eurot või ettevõtja korral 7% eelmise majandusaasta ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Teatud ettevõtjate ja teavitatud asutuste kohustuste, sealhulgas artikli 26 kasutuselevõtja kohustuste või artikli 50 läbipaistvuse rikkumise eest on ülempiir 15 miljonit eurot või 3% käibest, kumb on suurem. Vale, mittetäieliku või eksitava teabe andmise ülempiir on 7,5 miljonit eurot või 1% käibest, kumb on suurem.

Väikeste ja keskmise suurusega ettevõtjate, sealhulgas iduettevõtete puhul sätestab artikli 99 lõige 6, et iga selle artikli alusel määratav trahv on kuni lõigetes 3, 4 ja 5 nimetatud protsent või summa, olenevalt sellest, kumb on madalam. Määrus (EL) 2026/1744 lisas lõike 6a, mis annab sama „kumb on madalam“ piirmäära lõigetes 4 ja 5 nimetatud trahvidele ka väikestele keskmise turukapitalisatsiooniga ettevõtetele (SMC), ning täiendas artikli 99 lõiget 1 kohustusega võtta karistuste määramisel arvesse VKE-de ja SMC-de huve ja majanduslikku jätkusuutlikkust. Need on ülempiirid, mitte automaatne trahv iga vea eest; liikmesriigi määratavad meetmed peavad olema tõhusad, proportsionaalsed ja hoiatavad. Ära kasuta ülempiire põhjusena, et riskiklassi määramine lükata viimasele päevale.

Esimesed neli sammu järgmise kuu jooksul

1. Koosta AI-süsteemide nimekiri

   Kaasa ostetud tööriistad, ettevõtte sisemised assistendid, API-põhised funktsioonid ning töötajate teadaolevad töövood. Kirjuta igaühe juurde omanik ja kasutusotstarve.

2. Määra roll ja võimalik riskikategooria

   Selgita, kas oled pakkuja või kasutuselevõtja. Kontrolli keelatud tavasid, I lisa tooteid, III lisa kasutusvaldkondi ja artikli 50 läbipaistvust.

3. Pane andmekaitse ja kasutusjuhend paika

   Kaardista isikuandmed, õiguslik alus, teenusepakkuja, ligipääsud, säilitusaeg ja kasutajate teavitus. Töötajatele ütle, milliseid andmeid ei tohi sisestada ning kuidas AI väljund üle vaadata.

4. Salvesta otsused ja nimeta omanik

   Hoia süsteemi eesmärk, riskiklassi põhjendus, versioon, kontrollid ja veateate kontakt ühes leitavas kohas. Määra kuupäev, millal muutunud kasutus või õigusaktid uuesti üle vaadata.

See on tehniline ja praktiline ülevaade, mitte õigusnõu. Kui sinu kasutus mõjutab töötaja värbamist, krediidivõimet, avaliku teenuse kättesaadavust või reguleeritud toote ohutust, lase konkreetne klassifikatsioon ja kohustused pädeval õigusnõustajal üle hinnata.