Kas sinu AI-funktsioon on kõrge riskiga süsteem?

Kõrge risk sõltub kasutusotstarbest

Kas AI-funktsioon on kõrge riskiga? Vastus ei peitu mudeli nimes, selles kasutatud tehnoloogias ega selles, kas pakud funktsiooni SaaS-i kuutasu sees. Määrav on kavandatud kasutus: millise valdkonna ülesannet AI täidab, kelle kohta tulemus käib ja kas see mõjutab inimese võimalusi, õigusi, ohutust või olulist otsust.

AI Act käsitleb kahte kõrge riskiga rada. Määruse (EL) 2024/1689 artikli 6 lõige 1 hõlmab teatud reguleeritud toodetesse paigutatud AI-süsteeme, mis on toote ohutuskomponendid või ise tooted. Artikli 6 lõige 2 viitab III lisas loetletud kasutusjuhtudele. 2026. aasta määrusega (EL) 2026/1744 muudeti muu hulgas toote ohutuskomponendi mõistet ja kohaldamistähtaegu. Vaata enne toote väljalaset kehtivat koondteksti ja Euroopa Komisjoni rakendamise ajakava.

Kui arendad B2B SaaS-i, kirjuta igale AI-funktsioonile üks sihipärane kirjeldus: „süsteem teeb X selleks, et Y kasutaja saaks Z otsuse või tööetapi“. „AI aitab personaliosakonda“ on liiga üldine. „Süsteem järjestab kandideerijad tööandja poolt määratud oskuste järgi ja soovitab, keda vestlusele kutsuda“ annab juba piisavalt infot, et kontrollida III lisa punkti 4.

Kui toode ei ole kõrge riskiga, võivad ikkagi kehtida GDPR, keelatud tavade reeglid, tehisintellekti alane kirjaoskus või artikli 50 läbipaistvuskohustus. Kõrge risk ei ole kogu määruse sünonüüm.

Artikkel 6: kaks kõrge riski rada

I lisa tooted ja ohutuskomponendid

Artikli 6 lõike 1 järgi on AI-süsteem kõrge riskiga siis, kui täidetud on mõlemad tingimused: süsteem on mõeldud kasutamiseks I lisas loetletud EL-i ühtlustamisõigusega hõlmatud toote ohutuskomponendina või on ise selline toode; ning toodet tuleb turule laskmiseks või kasutusse võtmiseks hinnata kolmanda isiku poolt vastava tooteõiguse alusel.

2026. aasta muudatusega lisatud artikli 6 lõiked 1a–1c kitsendavad seda rada. Ainult kasutaja abistamiseks, jõudluse optimeerimiseks, teenuse tõhususeks, automaatikaks, mugavuseks või kvaliteedikontrolliks mõeldud AI ei ole ohutuskomponent, kui see ei ole seotud ohutusaspektiga. Kui süsteemi rike või tõrge ohustaks tervist või ohutust, loetakse see siiski ohutuskomponendiks. Lisaks ei piisa kolmanda isiku hindamisest üksnes muude riskide tõttu, mis ei mõjuta tervist ega ohutust, näiteks raadiospektri ja elektromagnetilise häire riskid.

Seega ei muutu liftide hooldusgraafikut optimeeriv AI automaatselt lifti ohutuskomponendiks. Kui sama AI juhib ohutuskriitilist seiskamist ja selle rike võiks inimest vigastada, on hinnang teine. Ära otsusta seda ainult kasutajaliidese nupu nimetuse põhjal; kaardista, millist füüsilist või digitaalset funktsiooni süsteem päriselt juhib.

Kui süsteem on kõrge riskiga artikli 6 lõike 1 järgi ning seotud I lisa B jao õigusaktidega hõlmatud tootega, kohaldatakse artikli 2 lõike 2 erikorda: üksnes artikli 6 lõige 1, artikkel 60a ja artiklid 102–112; artikleid 57–59 ainult seal nimetatud tingimustel. III peatüki üldised kohustused ei kohaldu sellisele süsteemile selle määruse alusel automaatselt; kontrolli vastavat tooteõigust. Vaata artikli 2 lõiget 2 kehtivas koondtekstis.

III lisa kasutusvaldkonnad

Artikli 6 lõige 2 nimetab kõrge riskiga süsteemid, mis kuuluvad III lisa valdkondadesse. SaaS-i toote puhul tasub eriti kontrollida järgmisi punkte:

III lisa katab ka õiguskaitse ning rände, varjupaiga ja piirikontrolli kasutusjuhtusid. SaaS-i arendaja võib neid valdkondi mitte teenindada, kuid toote konfiguratsioon võib funktsiooni siiski kliendile võimaldada. Piira kasutusotstarve, rolliõigused ja lepinguline kasutus selgelt, kui toode ei ole mõeldud nende tööde tegemiseks.

III lisa otsustusrada: küsimused tooteomanikule

Järgi rada funktsiooni kaupa. Vastus „ei tea“ tähendab, et kasutusotstarve või andmevoog vajab täpsustamist, mitte et süsteem on automaatselt madala riskiga.

1. Kas tegemist on AI-süsteemiga?

   Kas tarkvara teeb sisendi põhjal väljundi, näiteks ennustuse, soovituse, sisu, otsuse või muu tulemuse, mis mõjutab füüsilist või virtuaalset keskkonda? Kui jah või kahtled, jätka klassifikatsiooni; vaata AI määruse artikli 3 süsteemi definitsiooni.

2. Kas kasutus on artikli 5 järgi keelatud?

   Kontrolli manipuleerimist, haavatavuse ärakasutamist, keelatud sotsiaalset hindamist, töökoha või haridusasutuse emotsioonituvastust ning uusi keelatud intiimset sisu ja laste seksuaalset väärkohtlemist kujutava materjali kasutusviise. Keeldu ei lahenda kõrge riskiga vastavusdokumentatsioon.

3. Kas AI on I lisa toote ohutuskomponent?

   Kontrolli, kas toode kuulub I lisa õigusakti alla ja kas selle toote puhul nõutakse kolmanda isiku vastavushindamist. Seejärel rakenda artikli 6 lõigete 1a–1c piire: mugavuse või jõudluse funktsioon ei ole automaatselt ohutuskomponent, kuid tervist või ohutust ohustav rike on oluline tunnus.

4. Kas kasutus kuulub III lisa valdkonda?

   Kontrolli biometria, taristu, hariduse, töö, oluliste teenuste, õiguskaitse, rände ja õigusemõistmise kasutusjuhte. Küsi, kas AI teeb tegelikult loetletud otsuse või üksnes üldist haldusabi väljaspool seda otsust.

5. Kui kuulub III lisasse, kas artikli 6 lõike 3 erand sobib?

   Süsteem ei tohi tekitada olulist kahjuriski ega otsuse tulemust sisuliselt mõjutada ning peab täitma vähemalt ühe lõikes nimetatud ülesande: kitsas menetlusülesanne; inimese juba tehtud töö tulemuse parandamine; otsustusmustrite või kõrvalekallete tuvastamine ilma eelnevat inimhinnangut asendamata või mõjutamata; või ettevalmistav ülesanne. Kui süsteem profileerib füüsilisi isikuid, jääb see alati kõrge riskiga.

6. Kas oled põhjenduse enne turule laskmist kirja pannud?

   Kui pakkuja järeldab, et III lisa süsteem pole kõrge riskiga lõike 3 tõttu, dokumenteeri hinnang enne turule laskmist või kasutusse võtmist ning järgi artikli 49 lõike 2 kohast süsteemi registreerimist. Põhjendus peab viitama tegelikule funktsioonile ja tõenditele, mitte ainult tootenimele.

Euroopa Komisjoni AI Act Service Desk kuvab kõrge riskiga klassifitseerimise juhendi projektina ning sisaldab praktilisi näiteid. Kasuta seda abina, mitte siduva õigusaktina; lõpliku hinnangu aluseks jäävad määruse artiklid ja lisad.

Artikli 6 lõike 3 erand ei tähenda „inimene klõpsab“

Erandit ei saa rakendada lihtsalt seetõttu, et töötaja kinnitab AI ettepaneku. Küsi, kas inimesel on piisavalt teavet, aega ja volitust tulemust muuta ning kas süsteemi väljund kujundab otsuse tegelikult. Kui töötaja näeb ainult mudeli järjestatud nimekirja ja kinnitab esimesed kandidaadid, võib järjestus otsust sisuliselt mõjutada isegi siis, kui lõpliku otsuse teeb inimene.

Võrdle kolme näidet:

• CV-de järjestamine värbamisel: III lisa punkt 4(a) hõlmab kandidaatide analüüsi, filtreerimist ja hindamist. Kui süsteem paneb kandidaadid sobivuse alusel järjekorda, mõjutab see tööle saamise võimalust. Artikli 6 lõike 3 erand vajab konkreetset hindamist; automaatne „inimene vaatab hiljem üle“ ei ole piisav põhjendus.
• Koosoleku transkriptsioon: sisemise koosoleku teksti transkribeerimine või kokkuvõtmine ei ole iseenesest III lisa valdkond. Kui sama väljundit kasutatakse töötaja tulemuslikkuse hindamiseks, muutub kasutuseesmärk ja hinnang võib muutuda.
• Krediidiskoor füüsilisele isikule: III lisa punkt 5(b) nimetab füüsiliste isikute krediidivõimelisuse hindamist ja krediidiskoori. Pelk inimese lõplik kinnitus ei vii seda automaatselt lisast välja.
• Klienditoe vestlusrobot: tavapärane küsimustele vastav chatbot ei kuulu üksnes vestlusroboti olemuse tõttu III lisasse. Artikli 50 järgi võib siiski olla vaja inimesele öelda, et ta suhtleb AI-ga.
• Töötaja emotsiooniskoor videokõnest: töökoha emotsioonituvastus kuulub artikli 5 keelatud tavade hulka, välja arvatud meditsiinilisel või ohutuse eesmärgil. Ära püüa seda lahendada III lisa klassifikatsiooniga.

Kui süsteem otsib ainult dokumenti või kontrollib vormi täitmist, kirjuta üles, kuidas tulemus hilisemat otsust mõjutab. „Ettevalmistav ülesanne“ võib artikli 6 lõike 3 järgi olla üks erandi alustest, kuid see ei muuda automaatselt iga ettevalmistavat tööriista madala riskiga lahenduseks. Eriti tähtis on see, kui süsteem profiilib inimest või parandab või halvendab tema võimalusi.

Kui funktsioon pole kõrge riskiga: kontrolli artiklit 50

Artikli 50 kohustused on kõrge riskiga süsteemi klassifikatsioonist eraldi. Alates 2. augustist 2026 peavad teatud süsteemide pakkujad tagama, et nendega otseselt suhtlevat inimest teavitatakse AI-st, välja arvatud juhul, kui see on kasutuskontekstis ilmselge. Sünteetilist heli, pilti, videot või teksti loovate süsteemide väljund peab olema masinloetavalt märgistatud ja tuvastatav tehislikuna, tehnilise teostatavuse ja artikli erandite piires.

Teatud kasutuselevõtjad peavad inimest teavitama emotsioonituvastusest või biomeetrilisest kategoriseerimisest. Süvavõltsingu avaldaja peab avalikustama sisu tehisliku loomise või muutmise; kunstilise, satiirilise, fiktiivse või analoogse teose puhul näeb määrus ette erisusi. AI abil loodud avaliku huvi tekstil on samuti avalikustamiskohustus, kui see avaldatakse avalikkuse teavitamiseks ja inimese toimetuslikku kontrolli või vastutust pole.

AI Act Service Deski ajakava järgi hakkasid artikli 50 läbipaistvusreeglid kohalduma 2. augustil 2026. 2. detsember 2026 on uute keelatud intiimset sisu ja laste seksuaalset väärkohtlemist kujutavat materjali puudutavate sätete alguskuupäev ning artikli 50 lõike 2 ülemineku tähtaeg teatud varem turule lastud süsteemidele. Ära aja neid kuupäevi segamini.

Kui süsteem on kõrge riskiga, mis muutub?

Pakkuja kohustused on süsteemi elutsüklit katvad, mitte üks kontroll enne väljalaset. Kui AI-süsteem on kõrge riskiga ja sellele ei kohaldu I lisa B jao erikord, nõuab määruse III peatüki 2. jagu riskijuhtimissüsteemi, andmehaldust, tehnilist dokumentatsiooni, automaatset logimist, kasutusjuhiseid, inimese järelevalvet ning täpsuse, töökindluse ja küberturvalisuse nõudeid. III lisa süsteemidele kohalduvad need kohustused alates 2. detsembrist 2027 ja I lisa A jao toodetega seotud süsteemidele alates 2. augustist 2028. Artiklid 16–19 lisavad pakkujale kohustused, kvaliteedijuhtimise ja dokumentide säilitamise.

Vastavushindamine ei võrdu alati välise sertifikaadiga. Artikli 43 järgi järgivad III lisa punktides 2–8 loetletud süsteemid üldjuhul sisemise kontrolli menetlust, kui sama süsteemi ei hõlma I lisa tooteõigus. Biomeetria ja I lisa tooted võivad järgida teistsugust korda. I lisa B jao toote süsteemi puhul kohaldub artikli 2 lõike 2 erikord ning AI määruse III peatüki üldised hindamis- ja registreerimiskohustused ei rakendu automaatselt; kontrolli asjakohast tooteõigust. Muudele kohaldatavatele süsteemidele tuleb pärast nõutud hindamist koostada EL-i vastavusdeklaratsioon, kinnitada CE-märgis ja teha artikli 49 järgi nõutud registreerimine vastavalt süsteemi liigile.

Kui AI määruse III peatüki kohustused süsteemile kohalduvad, peab artikli 26 järgi kasutuselevõtja järgima kasutusjuhiseid, määrama pädeva inimese järelevalveks, jälgima toimimist ning hoidma tema kontrolli all olevaid automaatselt loodud logisid eesmärgile sobiva aja, vähemalt kuus kuud, kui kohaldatav õigus ei sätesta teisiti. Kõrge riskiga süsteemi töökohal kasutamise eel tuleb teavitada töötajate esindajaid ja mõjutatud töötajaid. Artikli 27 põhiõiguste mõjuhinnang kohaldub teatud avaliku sektori ja olulisi teenuseid osutavatele kasutuselevõtjatele ning krediidi- ja kindlustusvaldkonna juhtudele, mitte automaatselt igale eraettevõttele.

Kui tõsine intsident seostub kõrge riskiga süsteemiga, nõuab artikli 73 lõige 2 pakkujalt või kohaldataval juhul kasutuselevõtjalt pädeva turujärelevalveasutuse teavitamist kohe, kui põhjuslik seos või selle mõistlik tõenäosus on tuvastatud, ja igal juhul hiljemalt 15 päeva jooksul intsidendist teada saamisest. Kui tegu on laiaulatusliku rikkumise või artikli 3 punkti 49 alapunktis b nimetatud kriitilise taristu tõsise ja pöördumatu häirega, tuleb teatada viivitamata ja hiljemalt kahe päeva jooksul teadmisest. Surma korral tuleb teatada kohe, kui põhjuslik seos on tuvastatud või seda kahtlustatakse, kuid hiljemalt kümne päeva jooksul teadmisest. SaaS-i vastutusahelas lepi tarnija ja kliendiga kokku, kes intsidendi avastab ja kes ametiasutust teavitab.

Tooteomaniku väljalaske kontrollnimekiri

Eestis nimetab TTJA oma tehisintellekti lehel ameti rolli pädeva asutuse ja turujärelevalve tegijana ning kirjeldab dokumente, logisid ja andmestikke, mida amet võib küsida. AI määruse tehniline klassifikatsioon ja andmekaitse võivad vajada eri hinnanguid: isikuandmete puhul kehtib GDPR ja AKI juhised jäävad asjakohaseks. Vaata ka VKE AI määruse kontrollnimekirja ning AI konsultatsiooni töövoo kaardistust. B2B-toote ulatuse ja tehnilise ehituse kohta leiab lähtepunkti B2B SaaS-i arenduse lehelt. See artikkel ei ole õigusnõu.