Tehisintellekti regulatsioon Eesti ettevõttes: mida teada AI Actist?

Euroopa Liidu tehisintellekti määrus (AI Act) on ametlikult jõustunud, tähistades olulist muutust selles, kuidas AI-süsteeme kogu ELis arendatakse, juurutatakse ja kasutatakse. Eesti väike- ja keskmise suurusega ettevõtete (VKEde) jaoks tähendab see uusi kaalutlusi ja paljudel juhtudel ka uusi vastavusnõudeid. Kuigi kohustuste täielik ulatus rakendub järk-järgult, on põhiprintsiipide mõistmine praegu elutähtis.

AI Acti eesmärk on tagada, et ELis kasutatavad AI-süsteemid oleksid ohutud, läbipaistvad, mittediskrimineerivad ja keskkonnasõbralikud, soodustades samal ajal innovatsiooni. Määrus võtab kasutusele riskipõhise lähenemise, kategoriseerides AI-süsteemid erinevatesse riskitasemetesse, kusjuures kõrgema riskiga rakendustele kehtivad rangemad reeglid.

Millised on riskikategooriad?

Vastuvõetamatu risk: Need AI-süsteemid on keelatud, kuna need kujutavad endast selget ohtu põhiõigustele (nt valitsuste sotsiaalne punktisüsteem, reaalajas kaugbiomeetriline tuvastamine avalikes kohtades õiguskaitse eesmärgil, väga kitsaste eranditega). On ebatõenäoline, et enamik VKEsid selliseid süsteeme tahtlikult kasutaksid, kuid teadlikkus on oluline.
Kõrge risk: Sellesse kategooriasse kuuluvad AI-süsteemid, mida kasutatakse kriitilistes sektorites, nagu tööhõive, haridus, kriitiline infrastruktuur, õiguskaitse, migratsioon ja teatud meditsiiniseadmed. Kui teie VKE arendab või kasutab AI-d nendes valdkondades, on vastavusnõuete koormus märkimisväärne. Nõuded hõlmavad tugevaid riskijuhtimissüsteeme, kvaliteetseid andmekogumeid, inimlikku järelevalvet, läbipaistvust ja vastavushindamisi.
Piiratud risk: Sellesse kategooriasse kuuluvad AI-süsteemid, mis suhtlevad inimestega (nt vestlusrobotid) või loovad süvavõltsinguid (deepfakes). Peamine nõue siin on läbipaistvus, tagades, et kasutajad on teadlikud, et nad suhtlevad AI-ga või et sisu on AI loodud.
Minimaalne või puuduv risk: Enamik AI-süsteeme, nagu rämpspostifiltrid või AI-põhised mängud, kuuluvad sellesse kategooriasse. Neile süsteemidele ei kohaldata üldjuhul AI Acti alusel spetsiifilisi kohustusi, kuigi vabatahtlikke käitumiskoodekseid julgustatakse.

Mõju Eesti VKEdele

Paljud Eesti VKE-d kasutavad juba AI-d erinevate ülesannete jaoks, alates klienditoe vestlusrobotitest kuni e-kaubanduse ennustava analüüsini. AI Acti tagajärjed sõltuvad suuresti sellest, kuidas ja kus AI on nende tegevusse või toodetesse integreeritud:

AI arendajad: Kui teie VKE arendab AI-süsteeme, eriti neid, mis kuuluvad 'kõrge riski' kategooriasse, peate rakendama tugevaid kvaliteedijuhtimissüsteeme, tegema vastavushindamisi ja tagama andmehalduse.
AI kasutajad: Kui teie VKE kasutab teiste arendatud AI-süsteeme, eriti kõrge riskiga süsteeme, on teil kohustused inimliku järelevalve, jõudluse jälgimise ja andmesisestuse osas. Samuti peate tagama, et teie kasutatav süsteem on nõuetele vastav.
Andmevalitsemine: Määrus paneb suurt rõhku andmete kvaliteedile ja valitsemisele, eriti kõrge riskiga AI puhul. See on kooskõlas kehtivate GDPR-i põhimõtetega, kuid lisab spetsiifilisi AI-ga seotud nõudeid.
Läbipaistvus: Sõltumata riskitasemest on läbipaistvus korduv teema. Kasutajad peaksid teadma, millal nad suhtlevad AI-ga või tarbivad AI loodud sisu.

Järgmised sammud teie ettevõtte jaoks

AI Act pakub järkjärgulist rakendamist, andes ettevõtetele aega kohanemiseks. Siiski ei ole soovitav oodata viimase hetkeni. Eesti VKEd peaksid alustama järgmisega:

AI kasutuse inventuur: Tuvastage kõik teie ettevõttes praegu kasutusel olevad või arendamisel olevad AI-süsteemid.
Riskihindamine: Määratlege, millisesse riskikategooriasse iga tuvastatud AI-süsteem vastavalt määruse definitsioonidele kuulub.
Andmepraktikate ülevaatamine: Veenduge, et teie andmete kogumine, salvestamine ja töötlemine AI jaoks on kooskõlas nii GDPR-i kui ka uute AI Acti nõuetega.
Ekspertide kaasamine: Keerukamate juhtumite puhul kaaluge konsulteerimist õigus- või IT-ekspertidega, kes on spetsialiseerunud AI regulatsioonidele.

EL-i tehisintellekti määruse keerukuses orienteerumine võib olla väljakutse, kuid proaktiivne ettevalmistus on võtmetähtsusega, et tagada pidev innovatsioon ja samal ajal vastavus nõuetele. Koodi saab aidata teie Eesti ettevõttel hinnata teie AI kasutust, mõista teie kohustusi ja koostada teekaart uute regulatsioonidega vastavusse viimiseks.