Tehisintellekti määrus avalikule sektorile: mida valmistada ette detsembriks 2027

01Kus olukord 2026. aasta sügisel on

Tehisintellekti määrus (avab välise veebisaidi), määrus (EL) 2024/1689, jõustus 1. augustil 2024 ja hakkab kehtima etappidena. Juulis 2026 võttis EL vastu tehisintellekti digitaalomnibussi, määruse (EL) 2026/1744 (avab välise veebisaidi), mis lükkas suure riskiga süsteemide reeglid edasi ja muutis mitut muud sätet. See jõustus 27. juulil 2026, mõni päev enne suure riskiga süsteemide reeglite algset kuupäeva.

Tulemus on ajakava, kus mõni kohustus juba kehtib, mõni lisandub selle aasta lõpus ja avaliku sektori juurutajate jaoks kõige raskemad tulevad detsembris 2027.

Omnibuss kirjutas ümber ka tehisintellektipädevust käsitleva artikli 4. Pakkujad ja juurutajad peavad nüüd võtma meetmeid oma töötajate tehisintellektipädevuse toetamiseks, mitte tagama selle piisavat taset. Kohustus jääb; muutunud on see, mida tuleb näidata. Iga rolli jaoks sobiv koolitus ja selle kohta peetav arvestus on endiselt mõistlik vastus.

02Kas olete pakkuja või juurutaja?

Enamik avaliku sektori asutusi on juurutajad: nad kasutavad TI-süsteemi oma vastutusel. Pakkuja olete siis, kui arendate TI-süsteemi või lasete selle arendada ja võtate selle kasutusele oma nime all. See hõlmab ka süsteeme, mis on ehitatud asutuses endas või lepingupartneri poolt teie kirjelduse järgi.

Rollid võivad ka muutuda. Artikli 25 järgi võtab juurutaja, kes muudab suure riskiga süsteemi oluliselt või muudab selle sihtotstarvet nii, et see muutub suure riskiga süsteemiks, üle pakkuja kohustused. Kirjutage kavandatud rollid hankedokumentidesse ja lepingutesse, et keegi ei avastaks neid alles auditi ajal.

03Millised teie kasutusjuhtumid on suure riskiga?

III lisa loetleb valdkonnad, kus TI-süsteeme peetakse suure riskiga süsteemideks. Ministeeriumide, ametite, inspektsioonide ja kohalike omavalitsuste jaoks on olulisemad järgmised:

• Juurdepääs olulistele avalikele teenustele ja toetustele: toetusõiguse hindamine ning toetuste ja teenuste andmine, vähendamine, tühistamine või tagasinõudmine.
• Ränne, varjupaik ja piirikontroll, õiguskaitse ja õigusemõistmine.
• Haridus ja kutseõpe: vastuvõtt, õpitulemuste hindamine, järelevalve testide ajal.
• Tööhõive: värbamine, edutamine, ülesannete jagamine ja töötajate jälgimine. Ka avaliku sektori asutused on tööandjad.
• Elutähtis taristu: turvakomponendid digitaristu, liikluse ja kommunaalteenuste haldamisel.

III lisa valdkonda kuulumine ei lõpeta analüüsi. Artikli 6 lõike 3 järgi ei ole selles valdkonnas olev süsteem suure riskiga, kui see ei kujuta endast olulist kahjuohtu, näiteks seetõttu, et see täidab kitsast menetluslikku ülesannet, parandab inimese juba tehtud töö tulemust, tuvastab mustreid ilma inimese hinnangut asendamata või täidab ettevalmistavat ülesannet. Inimesi profileeriv süsteem on alati suure riskiga. Kui tuginete sellele erandile, dokumenteerige oma põhjendus.

Paljud kasulikud tööriistad ei ole üldse suure riskiga: mustandite koostamise tugi, sisemine teadmusotsing, tõlkimine, kokkuvõtted. Neile kehtivad endiselt läbipaistvuskohustused ja isikuandmete kaitse üldmäärus, kuid mitte suure riskiga süsteemide kord.

04Mida suure riskiga süsteemide juurutajad peavad tegema

Alates 2. detsembrist 2027 on III lisa suure riskiga süsteemi juurutaval avaliku sektori asutusel kohustused artikli 26 (avab välise veebisaidi) järgi. Peamised neist:

• Kasutage süsteemi kooskõlas pakkuja kasutusjuhendiga ning asjakohaste tehniliste ja korralduslike meetmetega.
• Andke inimjärelevalve inimestele, kellel on vajalik pädevus, väljaõpe ja volitused, ning toetage neid.
• Veenduge, et teie kontrolli all olevad sisendandmed on sihtotstarbe jaoks asjakohased ja piisavalt representatiivsed.
• Jälgige süsteemi toimimist ning teavitage pakkujat ja asutusi põhjendamatu viivituseta riskidest ja tõsistest intsidentidest.
• Säilitage automaatselt loodud logisid vähemalt kuus kuud, kui muu liidu või riigisisene õigus ei sätesta teisiti.
• Teavitage töötajate esindajaid ja asjaomaseid töötajaid enne suure riskiga süsteemi kasutuselevõttu töökohal.
• Avaliku sektori asutusena registreerige süsteemi kasutamine ELi andmebaasis enne selle kasutuselevõttu (artikli 26 lõige 8 ja artikkel 49). Registreerimata süsteemi ei tohi kasutada.
• Teavitage inimesi, kui suure riskiga süsteemi kasutatakse nende kohta otsuste tegemiseks või otsuste tegemise abistamiseks (artikli 26 lõige 11). Inimestel on ka õigus saada selgitus üksikotsuste kohta (artikkel 86). Haldusotsuse teeb ja põhjendab endiselt menetleja.

Põhiõigustele avalduva mõju hindamine

Artikli 27 (avab välise veebisaidi) järgi teevad avalik-õiguslikud asutused ja avalikke teenuseid osutavad eraõiguslikud organisatsioonid enne enamiku III lisa süsteemide esmakordset kasutamist põhiõigustele avalduva mõju hindamise. Elutähtsa taristu süsteemid on välja jäetud. Hinnang kirjeldab:

1. 01protsesse, milles süsteemi kasutatakse kooskõlas selle sihtotstarbega;
2. 02kasutamise ajavahemikku ja sagedust;
3. 03isikute ja rühmade kategooriaid, keda süsteem tõenäoliselt mõjutab;
4. 04konkreetseid kahjuriske neile isikutele;
5. 05seda, kuidas inimjärelevalve on korraldatud;
6. 06seda, mis juhtub, kui riskid realiseeruvad, sealhulgas sisemist juhtimist ja kaebuste esitamise mehhanisme.

Tulemustest teavitatakse turujärelevalveasutust. Hinnang täiendab isikuandmete kaitse üldmääruse artikli 35 (avab välise veebisaidi) kohast andmekaitsealast mõjuhinnangut ja võib sellele tugineda, seega tehke neid koos. Artikli 27 lõige 5 paneb tehisintellektiametile ülesande koostada küsimustiku mall; kontrollige selle olekut enne, kui kavandate oma. Mõnes riigis on meetodid juba olemas, näiteks Madalmaade valitsuse inimõiguste ja algoritmide mõjuhinnang (Impact Assessment Mensenrechten en Algoritmes, IAMA).

05Läbipaistvuskohustused, mis juba kehtivad

Alates 2. augustist 2026 kehtib artikkel 50. Pakkujad peavad kujundama inimestega suhtlevad süsteemid nii, et inimestele öeldakse, et nad suhtlevad TI-süsteemiga, välja arvatud juhul, kui see on ilmne, ning märgistama sünteetilise sisu masinloetaval viisil. Juurutajad peavad avalikustama süvavõltsingud ning TI loodud või manipuleeritud teksti, mis avaldatakse avalikkuse teavitamiseks avalikku huvi pakkuvates küsimustes, välja arvatud juhul, kui inimene on selle üle vaadanud ja keegi kannab toimetuslikku vastutust.

Avaliku sektori asutuse kõige tavalisem juhtum on vestlusrobot veebilehel või teeninduskanalis, näiteks valla või linna e-teenustes. Öelge selgelt, et tegu on TI-süsteemiga, selgitage, millega see aidata saab ja millega mitte, ning pakkuge võimalust pöörduda inimese poole.

06Ettevalmistuskava aastateks 2026 ja 2027

1. 01Koostage register kohe. Loetlege kõik kasutatavad ja hankimisel olevad TI-süsteemid, sealhulgas TI-funktsioonid platvormides, mille litsents teil juba on. Pange kirja omanik, eesmärk, pakkuja, kasutatavad andmed ja mõjutatud inimesed.
2. 02Liigitage 2027. aasta alguseks. Keelatud, suure riskiga (artikli 6 lõike 3 kohane põhjendus dokumenteeritud), ainult läbipaistvuskohustusega või minimaalse riskiga. Märkige iga süsteemi juurde oma roll pakkuja või juurutajana.
3. 03Korrastage lepingud 2027. aasta jooksul. Küsige pakkujatelt kasutusjuhendit, vastavusdokumentatsiooni ja juurdepääsu logidele. Tehke mõjuhinnangu ja intsidentidest teatamise toetamine lepingutingimuseks. Uutes riigihangetes kirjutage need nõuded hankedokumentidesse.
4. 04Kavandage järelevalve. Nimetage rollid, koolitage neid, andke neile volitus süsteemi ettepanek tühistada ja eskaleerimise tee. Arvestage nn kalduvusega eelistada automatiseerimist (artikli 14 lõike 4 punkt b); meie artikkel kus vajavad TI-agendid inimese kinnitust näitab, kuidas.
5. 05Seadistage logimine ja seire. Säilitage logisid vähemalt kuus kuud, määratlege, mis on tõsine intsident ja kes sellest teatab.
6. 06Enne esmakordset kasutamist. Tehke põhiõigustele avalduva mõju hindamine koos andmekaitsealase mõjuhinnanguga, registreerige süsteem ELi andmebaasis ning teavitage töötajaid ja mõjutatud inimesi.
7. 07Hoidke tehisintellektipädevust üleval. Rollipõhine koolitus kasutajatele, kontrollijatele ja otsustajatele, mida uuendatakse süsteemide muutudes, koos arvestusega selle kohta, kes on koolituse läbinud.

07Karistused ja järelevalve

Karistuste reeglid kehtestavad liikmesriigid. Artikli 99 lõige 8 laseb igal liikmesriigil otsustada, kas ja mil määral saab avaliku sektori asutustele trahve määrata. See ei ole põhjus oodata. Turujärelevalveasutused saavad siiski nõuda parandusmeetmeid ja avaliku otsuse legitiimsus sõltub sellest, kas seda saab selgitada ja vaidlustada.

Eesti turujärelevalveasutuse kohta: Euroopa Komisjoni turujärelevalveasutuste loetelus (avab välise veebisaidi) on Eesti turujärelevalve ühtne kontaktpunkt Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA); riiklik määramisotsus ootab novembri 2026 alguse seisuga veel lõplikku vastuvõtmist. Riikliku määramise lõplikku otsust tasub jälgida Euroopa Komisjoni loetelust.

08Mida lähikuudel jälgida

• Komisjoni suunised suure riskiga süsteemide liigitamise kohta (artikli 6 lõige 5) ja juba avaldatud suunised keelatud kasutusviiside kohta (avab välise veebisaidi).
• Suure riskiga süsteemide nõuete harmoneeritud standardid, millega pakkujad tõendavad vastavust.
• Turujärelevalveasutuse lõplik määramine Eestis ja selle esimesed juhised avaliku sektori juurutajatele.
• Tehisintellektiameti mall põhiõigustele avalduva mõju hindamiseks.

Euroopa Komisjoni AI Act Service Desk (avab välise veebisaidi) hoiab ametlikku ajakava ja artiklite kaupa selgitusi ajakohasena. Lisage see järjehoidjatesse ja pange igale sisemisele märkmele, mille määruse kohta kirjutate, kuupäev: see tekst liigub veel.