Kõrge riskiga tehisintellekti süsteemid on Euroopa tehisintellekti määruse ( määrus (EL) 2024/1689 ), mida tavaliselt nimetatakse tehisintellekti seaduseks, keskmes . See määrus kehtestab riskipõhise raamistiku tehisintellekti (TI) süsteemide arendamiseks, tarnimiseks ja kasutamiseks. Mida suurem on risk tervisele, ohutusele ja põhiõigustele, seda suuremad on kohustused.
Organisatsioonide jaoks ei alga seega vastavus tehnilise dokumentatsiooni koostamisest, vaid korrektsest klassifitseerimisest. Esmalt tuleb kindlaks teha, milliseid tehisintellekti süsteeme organisatsioonis arendatakse, ostetakse või kasutatakse. Seejärel hinnake, kas süsteem on keelatud , kõrge riskiga, läbipaistvuskohustuste alla kuuluv või väljaspool konkreetseid kohustusi.
See artikkel kirjeldab, millal võib tehisintellekti süsteem kvalifitseeruda kõrge riskiga süsteemiks, millised kohustused kehtivad teenusepakkujatele ja juurutajatele ning milliseid samme saavad organisatsioonid kohe astuda. See hõlmab ka praegust ajajoont, sealhulgas digitaalse omnibusi protsessi muudatusi. Selle artikli viitekuupäev on 25. juuli 2026.
Millal on tehisintellekti süsteem kõrge riskiga?
Kõrge riskiga tehisintellekti süsteemide hindamine toimub peamiselt tehisintellekti seaduse artikli 6 ning I ja III lisa alusel. Selleks on kaks võimalust.
Esimene variant puudutab tehisintellekti süsteeme, mis on osa I lisas loetletud Euroopa tootealaste õigusaktidega hõlmatud toodetest ja mis nõuavad kolmanda osapoole vastavushindamist. Mõelge näiteks teatud meditsiiniseadmetele, masinatele, liftidele ja mänguasjadele. Nende süsteemide puhul tugineb tehisintellekti seadus olemasolevale vastavushindamise menetlusele.
Teine võimalus puudutab tehisintellekti süsteeme, mida kasutatakse III lisas loetletud valdkondades: biomeetria, kriitiline taristu, haridus ja kutseõpe, tööhõive ja tööjõu haldamine, juurdepääs olulistele era- ja avalikele teenustele, õiguskaitse, ränne, varjupaik ja piirikontroll ning õigusemõistmine ja demokraatlikud protsessid. Mitte iga kasutus sellises valdkonnas ei too automaatselt kaasa liigitamist kõrge riskiga tehisintellekti süsteemide hulka: hinnata tuleb ka süsteemi konkreetset funktsiooni ja artikli 6 tingimusi.
Artikli 6(3) erand
III lisa valdkonda kuuluvat süsteemi ei liigitata automaatselt kõrge riskiga tehisintellekti süsteemide hulka: see liigitus on välistatud, kui see ei kujuta endast olulist ohtu isikute tervisele, ohutusele ega põhiõigustele ega mõjuta oluliselt otsustusprotsessi tulemust. See võib olla nii juhul, kui süsteem täidab ainult kitsast protseduurilist ülesannet, lihtsalt täiustab inimese juba tehtud tegevust, märgistab ainult kõrvalekaldeid varasemast inimese otsustusprotsessist, asendamata seda hinnangut, või täidab ainult ettevalmistavat ülesannet.
Selle erandi kasutamine peab olema hoolikalt põhjendatud ja dokumenteeritud. Organisatsioon dokumenteerib lisaks järeldusele ka faktid ja hinnangu, millel see järeldus põhineb. Teenuseosutaja, kes leiab, et III lisa süsteem ei kuulu kõrge riskiga tehisintellekti süsteemide hulka, peab selle hinnangu dokumenteerima enne süsteemi turule laskmist või kasutuselevõttu ning lisaks kehtib tema suhtes artikli 49 lõike 2 kohane registreerimiskohustus.
Ühes punktis on määrus absoluutne. Artikli 6 lõige 3 sätestab, et III lisas osutatud tehisintellekti süsteemi loetakse alati kõrge riskiga tehisintellekti süsteemide hulka, kui see teostab füüsiliste isikute profiilianalüüsi. Sellisel juhul ei saa erandile tugineda.
Milline roll on teie organisatsioonil?
Tehisintellekti seadus eristab ahelas mitut rolli. Kaks neist on enamiku organisatsioonide jaoks olulised. Osapool, kes arendab tehisintellekti süsteemi või laseb selle turule oma nime või kaubamärgi all, kvalifitseerub teenusepakkujaks. Osapool, kes kasutab tehisintellekti süsteemi oma äritegevuse käigus ilma seda ise arendamata, kvalifitseerub üldiselt juurutajaks.
See rollide jaotus ei ole staatiline. Organisatsiooni, mis muudab ostetud süsteemi oluliselt, tarnib seda edasi oma nime või kaubamärgi all või muudab selle kavandatud otstarvet, võidakse siiski pidada teenusepakkujaks ja seega langeda raskemate kohustuste alla. Määrake iga süsteemi puhul kindlaks, millist rolli te täidate, ja registreerige see hinnang.
Peamised kohustused
Kõrge riskiga tehisintellekti süsteemide pakkujatele kehtivad kohustused, sealhulgas artiklites 8–17, 43 ja 47–49 sätestatud kohustused:
- kogu elutsüklit hõlmav riskijuhtimissüsteem
- andmehaldus, sealhulgas kasutatud andmete, sh koolitus-, valideerimis- ja testimisandmete eelarvamuste tuvastamine ja parandamine
- IV lisa kohane tehniline dokumentatsioon ja sündmuste logimine
- selged kasutusjuhised juurutajatele
- disain, mis võimaldab tõhusat inimese järelevalvet
- Täpsuse, töökindluse ja küberturvalisuse nõuded
- kvaliteedijuhtimissüsteem, vastavushindamine, ELi vastavusdeklaratsioon, CE-märgis ja registreerimine ELi andmebaasis
III lisa punkti 1 alapunktis a osutatud biomeetriliseks kaugtuvastuseks kasutatavate kõrge riskiga tehisintellekti süsteemide puhul kehtestab artikli 14 lõige 5 inimjärelevalve kohta täiendava nõude: tuvastamise alusel ei tohi teha ühtegi toimingut ega teha otsust, kui seda ei ole eraldi kontrollinud ja kinnitanud vähemalt kaks vajalikku pädevust, koolitust ja volitusi omavat füüsilist isikut. Seda tuntakse nelja silma põhimõttena.
Juurutajate suhtes kehtivad artiklites 26 ja 27 sätestatud leebemad, kuid mitte vähem olulised kohustused: kasutamine vastavalt kasutusjuhendile, pädev inimjärelevalve, süsteemi toimimise jälgimine, riskidest ja tõsistest intsidentidest teatamine ning logide säilitamine vähemalt kuus kuud. Töötajaid, kes süsteemiga töötavad, ja isikuid, kelle suhtes seda rakendatakse, tuleb eelnevalt teavitada.
Teatud juurutajad peavad läbi viima ka põhiõiguste mõju hindamise ehk artikli 27 kohase põhiõiguste mõju hindamise. See kehtib igal juhul avalik-õiguslike asutuste, avalike teenuste osutajate erasektoris ja juurutajate kohta, kes kasutavad krediidiskoori süsteeme või elu- ja tervisekindlustuse kindlustusriskide hindamise süsteeme.
Ajajoon ja praegune seis
Tehisintellekti seadus jõustus 1. augustil 2024 ja seda hakatakse kohaldama etappidena. Praktikas on oluline eristada juba kehtivaid kohustusi, tulevase kohaldamiskuupäevaga kohustusi ja väljakuulutatud muudatusi, mille ametlik jõustumine ei ole veel lõpule viidud.
Keelatud tavad (artikkel 5): Kohaldatav alates 2. veebruarist 2025
Tehisintellekti oskusteave (artikkel 4): Kohaldatav alates 2. veebruarist 2025
Üldotstarbelised tehisintellekti mudelid: kehtivad alates 2. augustist 2025
Läbipaistvuskohustused (artikkel 50): Kohaldatav alates 2. augustist 2026; edasilükkamist ei toimu.
Kõrge riskiga III lisa kaudu: Formaalselt endiselt 2. august 2026; pärast koondmääruse jõustumist hiljemalt 2. detsember 2027
Kõrge riskiga I lisa kaudu: Formaalselt endiselt 2. august 2027; pärast koondmääruse jõustumist hiljemalt 2. august 2028
19. novembril 2025 avaldas Euroopa Komisjon digitaalse omnibuspaketi, milles tehti ettepanek edasi lükata kõrge riskiga tehisintellekti süsteemide kohustuste kohaldamist. Esialgne poliitiline kokkulepe saavutati 7. mail 2026. Euroopa Parlament andis oma heakskiidu 16. juunil 2026 ja nõukogu andis lõpliku heakskiidu 29. juunil 2026.
Käesoleva artikli viitekuupäeva seisuga ei ole avaldamine Euroopa Liidu Teatajas siiski veel lõpule viidud. Muudatus jõustub kolmandal päeval pärast avaldamist. Kuni selle ajani jääb kohaldatavaks algne tehisintellekti seaduse ajakava, mille kohaselt III lisa kohaste kõrge riskiga kohustuste kohaldamise kuupäev on 2. august 2026. Avaldamist enne seda kuupäeva oodatakse laialdaselt, kuid see pole veel kinnitust leidnud.
Edasilükkamine on lisaks tingimuslik. Kõrge riskiga tehisintellekti süsteemide kohustuste kohaldamine on seotud komisjoni otsusega, millega kinnitatakse vajalike ühtlustatud standardite ja tugivahendite olemasolu, millele järgneb üleminekuperiood. Kuupäevad 2. detsember 2027 ja 2. august 2028 toimivad pigem tagavara kuupäevadena kui lihtsalt edasilükkamisena.
Kaks punkti väärivad eraldi tähelepanu. Esiteks ei ole artikli 50 läbipaistvuskohustust ja artikli 4 tehisintellekti kirjaoskuse kohustust edasi lükatud: need jäävad oma algsele ajakavale. Teiseks lisab pakett artiklile 5 uue keelu, mis on suunatud tehisintellekti rakendustele, mis genereerivad nõusolekuta intiimseid kujutisi, ja tehisintellekti loodud laste seksuaalset väärkohtlemist käsitlevale materjalile.
Organisatsioonide jaoks tähendab see, et 2027. aasta detsembri seisuga planeerimine on mõistlik, kuid arvestuse pidamine tuleks praegu korraldada nii, nagu oleks 2026. aasta august endiselt siduv, kuni ametlik ajaleht ütleb teisiti.
Järelevalve ja karistused
Madalmaades puuduvad käesoleva artikli viitekuupäeva seisuga tehisintellekti seaduse rakendusaktid endiselt. Hollandi digitaalse taristu ametilt ja Hollandi andmekaitseametilt oodatakse keskset koordineerivat rolli, kusjuures valdkondlikud järelevalveasutused jäävad vastutavaks oma valdkondade piires. Täpne volituste jaotus ja selle seaduslik alus tuleb siiski kindlaks määrata Hollandi lõplike rakendusaktide alusel.
Tehisintellekti seaduse artikkel 99 sätestab mitu maksimaalset karistuskategooriat. Tase sõltub rikkumise laadist ja vajaduse korral ettevõtja ülemaailmsest aastakäibest. Kõrgeim ülemmäär kehtib artiklis 5 sätestatud keelatud tavade rikkumise korral; madalam ülemmäär kehtib muude kohustuste, sealhulgas kõrge riskiga tehisintellekti süsteemide pakkujate ja juurutajate kohustuste rikkumise korral; ja madalaim kehtib ametiasutustele ebaõige, mittetäieliku või eksitava teabe esitamise korral. Soodsam kord kehtib väikestele ja keskmise suurusega ettevõtetele (VKEdele), sealhulgas idufirmadele. Tegelik karistus määratakse kindlaks, võttes arvesse karistusi käsitlevaid kohaldatavaid eeskirju ja juhtumi asjaolusid.
Praktiline tegevuskava
- Tehke inventuur kõigist teie organisatsiooni arendatud, hangitud või kasutatavatest tehisintellekti süsteemidest.
- Määrake iga süsteemi puhul, millist rolli te täidate: pakkuja või juurutaja.
- Määrake iga süsteemi riskikategooria ja dokumenteerige see hinnang, sealhulgas artikli 6 lõike 3 erandile tuginemine.
- Looge tehisintellekti juhtimine ja määrake vastutav ametnik.
- Tagada nende süsteemidega töötavate töötajate tehisintellekti oskus; see kohustus kehtib juba praegu.
- Valmistada ette artikli 50 kohased läbipaistvusmeetmed 2. augustiks 2026.
- Alustage tehnilise dokumentatsiooni ja vajadusel põhiõiguste mõjuhinnangu koostamist õigeaegselt.
- Vaadake üle tarnijate lepingud rollide jaotuse, teabe edastamise ja auditeerimisõiguste osas.
- Jälgige koondpaketi avaldamist Euroopa Liidu Teatajas ja kohandage oma planeerimist vastavalt.
Järeldus
Tehisintellekti seadus mõjutab põhimõtteliselt seda, kuidas organisatsioonid tehisintellekti arendavad, ostavad ja kasutavad. Kõrge riskiga kohustuste edasilükkamine annab lisaaega, kuid see ei ole veel kohaldatav seadus ning see ei mõjuta juba kehtivaid või 2. augustil 2026 jõustuvaid kohustusi. Seetõttu on mõistlik lähenemine planeerida uute kuupäevade järgi, olles samal ajal valmis vanadeks kuupäevadeks. Määruse laiema ülevaate saamiseks vaadake meie täielikku juhendit ELi tehisintellekti seaduse kohta , mis täiendab käesoleva artikli keskendumist kõrge riskiga tehisintellekti süsteemidele.
Law & More aitab organisatsioonidel oma tehisintellekti süsteeme inventuurida ja klassifitseerida, määrata kindlaks nende rolli pakkuja või juurutajana, vaadata üle ja koostada tehisintellekti tarnijatega sõlmitud lepinguid ning seadistada tehisintellekti juhtimist. Kas soovite teada, millised kohustused teie organisatsioonile praegu kehtivad ja milliseid samme tuleks eelistada? Võtke meiega julgelt ühendust kohustusteta aruteluks.
Korduma kippuvad küsimused
Allpool vastame küsimustele, mida meile sellel teemal kõige sagedamini esitatakse.
Mis on tehisintellekti seadus?
Euroopa tehisintellekti määrus (määrus (EL) 2024/1689). See jõustus 1. augustil 2024 ja seda hakatakse kohaldama etappidena, kusjuures kohustused suurenevad tehisintellekti süsteemist tuleneva riski suurenedes.
Millal on tehisintellekti süsteem kõrge riskiga?
Kahel viisil: I lisas loetletud tootealaste õigusaktidega hõlmatud toote osana või III lisas loetletud valdkondades kasutamise kaudu. Viimasel juhul ei ole ainuüksi valdkond määrav; loeb ka konkreetne funktsioon ja artikli 6 tingimused.
Kas III lisa süsteem saab siiski kõrge riskiga süsteemist välja jääda?
Jah, kui see ei kujuta endast olulist riski ega mõjuta oluliselt otsuste tegemist, näiteks kui see täidab kitsalt menetluslikku või puhtalt ettevalmistavat ülesannet. See hindamine tuleb dokumenteerida. Kui süsteem teostab füüsiliste isikute profiilianalüüsi, ei kehti see erand kunagi.
Kas ma olen teenusepakkuja või juurutaja?
Olete teenusepakkuja, kui arendate süsteemi või viite selle turule oma nime või kaubamärgi all, ja üldiselt juurutaja, kui kasutate ostetud süsteemi. Kui muudate ostetud süsteemi oluliselt või tarnite seda edasi oma nime all, võite ikkagi saada teenusepakkujaks.
Millised kohustused kehtivad teenusepakkujatele?
Muuhulgas riskijuhtimine, andmehaldus, tehniline dokumentatsioon, logimine, kasutusjuhendid, inimeste teostatav järelevalve, täpsuse ja küberturvalisuse nõuded, kvaliteedijuhtimissüsteem, vastavushindamine, CE-märgis ja registreerimine ELi andmebaasis.
Millised kohustused kehtivad juurutajatele?
Kasutamine vastavalt juhistele, pädev inimjärelevalve, jälgimine, riskide ja tõsiste intsidentide aruandlus ning logide säilitamine vähemalt kuus kuud. Asjaomased töötajad ja isikud, kellele süsteemi rakendatakse, tuleb eelnevalt teavitada.
Millal tuleb läbi viia põhiõiguste mõjuhinnang?
Artikkel 27 nõuab seda muu hulgas avalik-õiguslikelt asutustelt, eraõiguslikelt avalike teenuste osutajatelt ja krediidiskoori või elu- ja tervisekindlustuse kindlustusriskide hindamise süsteemide juurutajatelt.
Kas kõrge riskiga kohustuste täitmine on edasi lükatud?
Vastuvõetud muudatusega lükatakse III lisa kohaldamine edasi hiljemalt 2. detsembrini 2027 ja I lisa kohaldamine hiljemalt 2. augustini 2028. Käesoleva artikli viitekuupäeva seisuga ei ole seda muudatust Euroopa Liidu Teatajas veel avaldatud, seega kehtib ametlikult endiselt algne kuupäev 2. august 2026.
Mis kehtib juba täna?
Artiklis 5 sätestatud keelatud tavad ja tehisintellekti alase kirjaoskuse kohustus alates 2. veebruarist 2025 ning üldotstarbeliste tehisintellekti mudelite eeskirjad alates 2. augustist 2025. Artiklis 50 sätestatud läbipaistvuskohustused jõustuvad 2. augustil 2026 ja neid ei ole edasi lükatud.
Kes teostab Hollandis tehisintellekti seaduse üle järelevalvet?
Rakendusaktid puuduvad endiselt. Hollandi digitaalse taristu amet ja Hollandi andmekaitseamet peaksid koos valdkondlike järelevalveasutustega võtma keskse koordineeriva rolli. Volituste lõplik jaotus tuleneb Hollandi rakendusaktidest.
Mida peaks minu organisatsioon nüüd tegema?
Alustage kõigi teie arendatavate, ostetavate või kasutatavate tehisintellekti süsteemide inventuuriga. Pange iga süsteemi kohta kirja, milline roll teil on, milline riskikategooria kehtib ja millised kohustused tulenevad. Samuti seadke sisse tehisintellekti juhtimine, tagage tehisintellekti alane kirjaoskus ja vaadake üle tarnijate lepingud rollide jaotuse, teabe edastamise ja auditeerimisõiguste kohta.
