AI määrus väikeettevõttele: mida EL-i tehisintellekti reeglid teilt tegelikult nõuavad

Kui teie ettevõttes on kasutusel mõni tehisintellekti tööriist, klienditeeninduse juturobotist kuni tööriistani, mis aitab kandideerijaid sõeluda, siis puudutab teid EL-i tehisintellekti määrus. See kõlab suure ja kalli asjana, aga enamiku Eesti väikeettevõtete jaoks on tegelik pilt palju rahulikum. Selles loos selgitame lihtsas keeles, mida määrus teilt nõuab, millisesse riskikategooriasse teie süsteem tõenäoliselt kuulub, millised on tähtajad ja kes Eestis järelevalvet teeb. Kohe alguses üks aus märkus: see on praktiline selgitus, mitte õigusnõustamine. Konkreetse süsteemi lõpliku hinnangu annab teie enda olukorra kaardistus.

Mis on AI määrus lihtsalt seletatuna

AI määrus on EL-i seadus, ametliku nimega määrus (EL) 2024/1689, mis paneb paika reeglid, kuidas tehisintellekti tohib Euroopas turule tuua ja kasutada. See jõustus 1. augustil 2024 ja on otsekohalduv, mis tähendab, et see kehtib Eestis täpselt samamoodi nagu mujal, ilma et Riigikogu peaks eraldi seadust vastu võtma.

Määruse loogika on lihtne: mida suuremat kahju üks tehisintellekti kasutav süsteem inimesele tekitada võib, seda rangemad on reeglid. Naljakas juturobot, mis soovitab retsepte, ja tarkvara, mis otsustab, kes saab laenu või töökoha, ei saa loogiliselt olla ühesuguse järelevalve all. Just seda vahet määrus teebki. Ta ei keela tehisintellekti, vaid seab reeglid vastavalt riskile.

Neli riskitaset ja mida need teie jaoks tähendavad

Kogu määrus seisab nelja riskitasandi peal. Enamiku väikeettevõtte jaoks piisab sellest, kui teate, kuhu teie süsteemid nendest langevad.

• Vastuvõetamatu risk (keelatud). Siia kuuluvad praktikad, mida EL-is üldse ei tohi: näiteks sotsiaalne hindamine, inimeste manipuleeriv mõjutamine või lubamatu biomeetriline jälgimine. Tavalise väikeettevõtte igapäevatöös neid ei esine.
• Kõrge risk. Kitsalt loetletud kasutusalad, kus tehisintellekt mõjutab inimese õigusi või turvalisust. Siia käib näiteks tarkvara, mis sõelub tööle kandideerijaid, hindab CV-sid või teeb otsuseid krediidi ja hariduse üle. Kõrge risk toob kaasa kõige rohkem kohustusi: dokumentatsioon, inimjärelevalve, andmekvaliteet ja logimine.
• Piiratud risk (läbipaistvuskohustus). Siia kuulub suur osa igapäevastest tööriistadest, näiteks klienditeeninduse juturobot või AI-kõneagent. Peamine kohustus on aus ja lihtne: inimesele tuleb selgeks teha, et ta suhtleb tehisintellektiga, mitte inimesega.
• Minimaalne risk. Kõik ülejäänu, näiteks rämpsposti filter või tootesoovituste mootor. Erilisi kohustusi määrus siia ei lisa.

Kõige olulisem, mida siit kaasa võtta: sama nimega tööriist võib langeda erinevasse tasandisse selle järgi, mida ta teeb. Vaatame kolme konkreetset näidet, mis Eesti väikefirmas päriselt ette tulevad.

Kolm näidet ühest ettevõttest

Kujutage ette väikest teenindusfirmat, kus on kolm tehisintellekti kasutavat süsteemi.

• Klienditeeninduse juturobot kodulehel. See vastab küsimustele ja broneerib aegu. Tegu on piiratud riskiga: teil tuleb kasutajale selgelt öelda, et ta räägib robotiga. Muid raskeid nõudeid ei ole.
• Tööriist, mis sõelub tööle kandideerijaid. See on kõrge riski süsteem, sest ta mõjutab otseselt inimese võimalust tööd saada. Siin tekivad tõsised kohustused: läbipaistev tööpõhimõte, inimese lõplik otsustusõigus ja korralik dokumentatsioon.
• Tarkvara, mis reastab CV-sid paremuse järjekorda. Ka see kaldub kõrge riski poole, sest tulemus mõjutab, kelle poole värbaja üldse pöördub. Isegi kui inimene teeb lõppotsuse, kujundab masina järjestus seda, keda ta näeb.

Sama firma kolm süsteemi jagunevad seega kahte väga erinevasse kategooriasse. Just seepärast ei saa öelda üldist lauset stiilis "meie AI on madala riskiga". Riski määrab iga süsteem eraldi, selle järgi, mida ta otsustab ja keda ta mõjutab.

Kuhu tüüpiline Eesti väikeettevõte langeb

Aus vastus rahustab enamikku ettevõtjaid: valdav osa Eesti väikefirmade tehisintellekti kasutusest jääb piiratud või minimaalse riski tasandile. Juturobotid, kõneagendid, tekstiabilised, automaatikad, mis andmeid süsteemide vahel liigutavad, need enamasti ei otsusta inimese õiguste üle ja jäävad seetõttu kergema režiimi alla. Peamine, mida nendega teha, on läbipaistvus: öelda kliendile, et tegu on tehisintellektiga.

Kõrge riski nõuded lähevad käiku alles siis, kui süsteem astub tundlikule pinnale, näiteks värbamine, krediidiotsused, kindlustus, haridus või juurdepääs olulistele teenustele. Kui te selliseid otsuseid tehisintellekti abil ei tee, on tõenäoline, et teie kohustused piirduvad läbipaistvusega. Seda on siiski mõistlik kontrollida, mitte oletada, sest üks vahele jäänud kõrge riski süsteem võib kogu pildi muuta.

Tähtajad: mis kehtib millal

Määrus ei jõustunud ühe hoobiga, vaid kehtestatakse järk-järgult. Peamised kuupäevad, mida Euroopa Komisjon on kinnitanud, on need:

• 1. august 2024. Määrus jõustub.
• 2. veebruar 2025. Keelatud praktikad muutuvad kohaldatavaks ja tekib kohustus tagada töötajate AI-pädevus.
• 2. august 2025. Üldotstarbeliste AI-mudelite ja valitsemise reeglid hakkavad kehtima.
• 2. august 2026. Suurem osa määrusest muutub kohaldatavaks, sealhulgas enamik kõrge riski süsteemide nõudeid.
• 2. august 2027. Rakenduvad ülejäänud kõrge riski nõuded, eelkõige teatud tootesse lõimitud süsteemide osas.

Praktikas tähendab see, et paljud reeglid juba kehtivad, mitte ei ole kauge tuleviku mure. Kõige lähem suur verstapost enamiku ettevõtete jaoks on 2. august 2026.

Kes Eestis järelevalvet teeb

Kuigi määrus ise on kõikjal ühesugune, määrab iga riik oma järelevalveasutuse. Eestis võtab pädeva turujärelevalveasutuse rolli Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA), kes teeb koostööd digivaldkonna ministeeriumiga. Andmekaitset puudutavates küsimustes on oma roll Andmekaitse Inspektsioonil ning teatud valdkondades ka sektori enda järelevalveasutustel.

Oluline on olla siin täpne: Eestil ei ole eraldi riiklikku tehisintellekti seadust, vaid kohaldatakse otse EL-i määrust ning riiklikud rakendussätted on veel vormistamisel. See ei muuda aga tähtaegu ega sisu, mis kehtivad juba praegu. Iga liikmesriik peab 2. augustiks 2026 looma ka vähemalt ühe regulatiivse liivakasti, kus ettevõtted, eriti väikefirmad ja idufirmad, saavad AI-lahendusi järelevalve all katsetada.

Praktiline kontroll-loend väikeettevõttele

Kui jätta juriidiline keel kõrvale, taandub vastavus mõnele lihtsale sammule.

• Tehke nimekiri. Kirjutage üles kõik kohad, kus teie ettevõte tehisintellekti kasutab, ka need, mis on peidus mõne teise tarkvara sees.
• Määrake igaühele riskitase. Vaadake iga süsteemi juures, mida ta otsustab ja keda mõjutab, ning paigutage see nelja tasandi vahele.
• Lisage läbipaistvus. Kõikjal, kus klient suhtleb tehisintellektiga, öelge see selgelt välja.
• Vaadake kõrge riski juhtumid eraldi üle. Kui midagi puudutab värbamist, krediiti või muid tundlikke otsuseid, valmistuge suuremaks kohustuste komplektiks ja kaaluge õigusnõu.
• Hoidke jälg alles. Pange kirja, milliseid süsteeme kasutate ja miks. Kui järelevalve peaks küsima, on teil vastus olemas.

See ei ole kuude pikkune projekt. Enamiku väikefirmade jaoks on tegu paari päeva tööga, kui keegi teab, mida otsida.

Miks audit on kõige odavam esimene samm

Kratt ei ole advokaadibüroo. Meie ehitame ja haldame tehisintellekti süsteeme, ning just sealt tuleb praktiline nurk: määrus paneb paika mõõdupuu, aga tõendi vastavusest annab kaardistus. Kui te ei tea, millised teie süsteemid millisesse riskitasandisse kuuluvad, ei tea te ka, kas olete nõuetega kooskõlas. Tasuta AI-audit teeb selle kaardistuse ära: käime läbi, kus teie äris tehisintellekti kasutatakse, seome iga süsteemi õige riskitasandiga ja näitame, kus on tegelikult midagi teha ja kus mitte.

Sama töö, mis toob korda vastavuse, toob korda ka ülejäänu. Kui me niikuinii kaardistame teie AI-agendid ja töövood, näeme samal ajal, kus aeg ja raha lekivad ning kus tasuks midagi juurde ehitada. Vastavus ei ole seega eraldi kulu, vaid osa sellest, et teie süsteemid on üldse korras. Kui soovite mõista, kuidas me ettevõtteid samm-sammult tehisintellekti peale viime, alustage AI-konsultatsiooni avalehelt.

Veel üks praktiline vihje: kui plaanite oma äriprotsesse niikuinii automatiseerida, avanes 2026. aasta kevadel Ettevõtluse ja Innovatsiooni Sihtasutuses äriprotsesside automatiseerimise ja andmevahetuse toetus, mille maksimaalne summa on kuni 150 000 eurot 50-protsendilise omafinantseeringuga. Tingimused ja eelarve muutuvad ajas, seega kontrollige alati EIS-i lehelt värsket seisu, kuid õige projekti puhul võib see osa kuludest katta.

Kokkuvõte

AI määrus kehtib ka väikeettevõttele, aga see ei tähenda automaatselt suurt koormat. Enamik Eesti väikefirmasid jääb piiratud või minimaalse riski tasandile, kus peamine kohustus on läbipaistvus. Kõrge riski nõuded puudutavad üksikuid tundlikke kasutusalasid nagu värbamine. Tähtajad on juba jooksmas, järelevalvet hakkab tegema TTJA ja kõige mõistlikum esimene samm ei ole paanika ega jurist, vaid selge kaardistus sellest, mida te tegelikult kasutate. Kui soovite selle kiiresti ja rahaga seotult ära teha, broneerige tasuta AI-audit. Käime teie süsteemid koos läbi, seome need õige riskitasandiga ja ütleme ausalt, kus on midagi teha ja kus võite rahulikult edasi töötada.