Kõrge riskiga tehisintellekti süsteemid on Euroopa tehisintellekti määruse ( määrus (EL) 2024/1689 ), mida tavaliselt nimetatakse tehisintellekti seaduseks, keskmes . See määrus kehtestab riskipõhise raamistiku tehisintellekti (TI) süsteemide arendamiseks, tarnimiseks ja kasutamiseks. Mida suurem on risk tervisele, ohutusele ja põhiõigustele, seda suuremad on kohustused.
Organisatsioonide jaoks ei alga seega vastavus tehnilise dokumentatsiooni koostamisest, vaid korrektsest klassifitseerimisest. Esmalt tuleb kindlaks teha, milliseid tehisintellekti süsteeme organisatsioonis arendatakse, ostetakse või kasutatakse. Seejärel hinnake, kas süsteem on keelatud , kõrge riskiga, läbipaistvuskohustuste alla kuuluv või väljaspool konkreetseid kohustusi.
See artikkel sätestab, millal võib tehisintellekti süsteem kvalifitseeruda kõrge riskiga süsteemiks, millised kohustused kehtivad teenusepakkujatele ja juurutajatele ning milliseid samme saavad organisatsioonid juba praegu astuda. Samuti sätestatakse ajakava praeguses seisus pärast digitaalse omnibusi raames kõrge riskiga kohustuste edasilükkamist.
Millal on tehisintellekti süsteem kõrge riskiga?
Kõrge riskiga tehisintellekti süsteemide hindamine toimub peamiselt tehisintellekti seaduse artikli 6 ning I ja III lisa alusel. Selleks on kaks võimalust.
Esimene variant puudutab tehisintellekti süsteeme, mis on osa I lisas loetletud Euroopa tootealaste õigusaktidega hõlmatud toodetest ja mis nõuavad kolmanda osapoole vastavushindamist. Mõelge näiteks teatud meditsiiniseadmetele, masinatele, liftidele ja mänguasjadele. Nende süsteemide puhul tugineb tehisintellekti seadus olemasolevale vastavushindamise menetlusele.
Teine võimalus puudutab tehisintellekti süsteeme, mida kasutatakse III lisas loetletud valdkondades: biomeetria, kriitiline taristu, haridus ja kutseõpe, tööhõive ja tööjõu haldamine, juurdepääs olulistele era- ja avalikele teenustele, õiguskaitse, ränne, varjupaik ja piirikontroll ning õigusemõistmine ja demokraatlikud protsessid. Mitte iga kasutus sellises valdkonnas ei too automaatselt kaasa liigitamist kõrge riskiga tehisintellekti süsteemide hulka: hinnata tuleb ka süsteemi konkreetset funktsiooni ja artikli 6 tingimusi.
Artikli 6(3) erand
III lisa valdkonda kuuluvat süsteemi ei liigitata automaatselt kõrge riskiga tehisintellekti süsteemide hulka: see liigitus on välistatud, kui see ei kujuta endast olulist ohtu isikute tervisele, ohutusele ega põhiõigustele ega mõjuta oluliselt otsustusprotsessi tulemust. See võib olla nii juhul, kui süsteem täidab ainult kitsast protseduurilist ülesannet, lihtsalt täiustab inimese juba tehtud tegevust, märgistab ainult kõrvalekaldeid varasemast inimese otsustusprotsessist, asendamata seda hinnangut, või täidab ainult ettevalmistavat ülesannet.
Selle erandi kasutamine peab olema hoolikalt põhjendatud ja dokumenteeritud. Organisatsioon dokumenteerib lisaks järeldusele ka faktid ja hinnangu, millel see järeldus põhineb. Teenuseosutaja, kes leiab, et III lisa süsteem ei kuulu kõrge riskiga tehisintellekti süsteemide hulka, peab selle hinnangu dokumenteerima enne süsteemi turule laskmist või kasutuselevõttu ning lisaks kehtib tema suhtes artikli 49 lõike 2 kohane registreerimiskohustus.
Ühes punktis on määrus absoluutne. Artikli 6 lõige 3 sätestab, et III lisas osutatud tehisintellekti süsteemi loetakse alati kõrge riskiga tehisintellekti süsteemide hulka, kui see teostab füüsiliste isikute profiilianalüüsi. Sellisel juhul ei saa erandile tugineda.
Milline roll on teie organisatsioonil?
Tehisintellekti seadus eristab ahelas mitut rolli. Kaks neist on enamiku organisatsioonide jaoks olulised. Osapool, kes arendab tehisintellekti süsteemi või laseb selle turule oma nime või kaubamärgi all, kvalifitseerub teenusepakkujaks. Osapool, kes kasutab tehisintellekti süsteemi oma äritegevuse käigus ilma seda ise arendamata, kvalifitseerub üldiselt juurutajaks.
See rollide jaotus ei ole staatiline. Organisatsiooni, mis muudab ostetud süsteemi oluliselt, tarnib seda edasi oma nime või kaubamärgi all või muudab selle kavandatud otstarvet, võidakse siiski pidada teenusepakkujaks ja seega langeda raskemate kohustuste alla. Määrake iga süsteemi puhul kindlaks, millist rolli te täidate, ja registreerige see hinnang.
Peamised kohustused
Kõrge riskiga tehisintellekti süsteemide pakkujatele kehtivad kohustused, sealhulgas artiklites 8–17, 43 ja 47–49 sätestatud kohustused:
- kogu elutsüklit hõlmav riskijuhtimissüsteem
- andmehaldus, sealhulgas kasutatud andmete, sh koolitus-, valideerimis- ja testimisandmete eelarvamuste tuvastamine ja parandamine
- IV lisa kohane tehniline dokumentatsioon ja sündmuste logimine
- selged kasutusjuhised juurutajatele
- disain, mis võimaldab tõhusat inimese järelevalvet
- Täpsuse, töökindluse ja küberturvalisuse nõuded
- kvaliteedijuhtimissüsteem, vastavushindamine, ELi vastavusdeklaratsioon, CE-märgis ja registreerimine ELi andmebaasis
III lisa punkti 1 alapunktis a osutatud biomeetriliseks kaugtuvastuseks kasutatavate kõrge riskiga tehisintellekti süsteemide puhul kehtestab artikli 14 lõige 5 inimjärelevalve kohta täiendava nõude: tuvastamise alusel ei tohi teha ühtegi toimingut ega teha otsust, kui seda ei ole eraldi kontrollinud ja kinnitanud vähemalt kaks vajalikku pädevust, koolitust ja volitusi omavat füüsilist isikut. Seda tuntakse nelja silma põhimõttena.
Juurutajate suhtes kehtivad artiklites 26 ja 27 sätestatud leebemad, kuid mitte vähem olulised kohustused: kasutamine vastavalt kasutusjuhendile, pädev inimjärelevalve, süsteemi toimimise jälgimine, riskidest ja tõsistest intsidentidest teatamine ning logide säilitamine vähemalt kuus kuud. Töötajaid, kes süsteemiga töötavad, ja isikuid, kelle suhtes seda rakendatakse, tuleb eelnevalt teavitada.
Teatud juurutajad peavad läbi viima ka põhiõiguste mõju hindamise ehk artikli 27 kohase põhiõiguste mõju hindamise. See kehtib igal juhul avalik-õiguslike asutuste, avalike teenuste osutajate erasektoris ja juurutajate kohta, kes kasutavad krediidiskoori süsteeme või elu- ja tervisekindlustuse kindlustusriskide hindamise süsteeme.
Ajajoon ja praegune seis
Tehisintellekti seadus jõustus 1. augustil 2024 ja seda hakatakse kohaldama etappidena. Praktikas on oluline eristada juba kehtivaid kohustusi, tulevase kohaldamiskuupäevaga kohustusi ja väljakuulutatud muudatusi, mille ametlik jõustumine ei ole veel lõpule viidud.
Keelatud tavad (artikkel 5): Kohaldatav alates 2. veebruarist 2025
Tehisintellekti oskusteave (artikkel 4): Kohaldatav alates 2. veebruarist 2025
Üldotstarbelised tehisintellekti mudelid: kehtivad alates 2. augustist 2025
Läbipaistvuskohustused (artikkel 50): kohaldatakse alates 2. augustist 2026; ei ole edasi lükatud
Kõrge riskiga III lisa kaudu: kohaldatav alates 2. detsembrist 2027 pärast edasilükkamist
Kõrge riskiga I lisa kaudu: kohaldatav alates 2. augustist 2028 pärast sama edasilükkamist
See edasilükkamine on väljakujunenud õigus. Euroopa Komisjon esitas 19. novembril 2025 digitaalse omnibuspaketi koos ettepanekuga edasi lükata kõrge riskiga tehisintellekti süsteemide kohustusi. Muutmismäärus, määrus (EL) 2026/1744, avaldati Euroopa Liidu Teatajas 24. juulil 2026 ja jõustus 27. juulil 2026.
Ainult kõrge riskiga režiim muutus. III peatüki kohased kohustused III lisa kaudu klassifitseeritud süsteemide puhul kehtivad nüüd alates 2. detsembrist 2027 ja I lisa kaudu klassifitseeritud süsteemide puhul alates 2. augustist 2028. Kõik muu säilitas oma algse kuupäeva, seega ei tekitanud edasilükkamine tehisintellekti seaduses üldist pausi.
Edasilükkamine ei ole tingimusteta nii nagu lihtne kuupäeva muutmine. Kõrge riskiga kohustuste kohaldamine on seotud nende järgimiseks vajalike ühtlustatud standardite ja tugivahendite kättesaadavusega ning uued kuupäevad toimivad pigem selle korralduse äärmise piirina kui eesmärgina, mis võib veel edasi nihkuda. Seetõttu ei ole mõistlik planeerida uue pikenduse eeldusel.
Kaks punkti väärivad eraldi tähelepanu. Esiteks ei lükatud edasi artikli 50 läbipaistvuskohustust ja artikli 4 tehisintellekti oskusteabe kohustust: artiklit 50 kohaldatakse alates 2. augustist 2026 ja artiklit 4 alates 2. veebruarist 2025. Teiseks lisab pakett artiklile 5 uue keelu, mis on suunatud tehisintellekti rakendustele, mis genereerivad nõusolekuta intiimseid kujutisi, ja tehisintellekti loodud laste seksuaalset väärkohtlemist kujutavale materjalile.
Organisatsioonide jaoks tähendab see, et 2027. aasta detsember on kuupäev, mille suhtes kõrge riskiga dokumentatsiooni planeerida, samas kui läbipaistvuse, kirjaoskuse ja üldotstarbeliste kohustuste täitmine on pigem praeguse vastavuse kui ettevalmistuse küsimus.
Järelevalve ja karistused
Madalmaades ei ole tehisintellekti seaduse rakendusakt veel jõustunud. Eelnõu avaldati avalikuks konsultatsiooniks 20. aprillil 2026. See annab Hollandi andmekaitseasutusele (Autoriteit Persoonsgegevens) järelevalveasutuse rolli valdkondades, kus sektori järelevalveasutust ei ole määratud, koos spetsiaalse tehisintellekti üksusega, ning annab Hollandi digitaalse taristu ametile (RDI) koordineeriva rolli, samas kui sektori järelevalveasutused säilitavad oma valdkonnad. Kuni see seadus pole vastu võetud ja jõustunud, ei ole volituste täpne jaotus ja riiklik karistussüsteem kindlaks määratud.
Tehisintellekti seaduse artikkel 99 sätestab mitu maksimaalset karistuskategooriat. Tase sõltub rikkumise laadist ja vajaduse korral ettevõtja ülemaailmsest aastakäibest. Kõrgeim ülemmäär kehtib artiklis 5 sätestatud keelatud tavade rikkumise korral; madalam ülemmäär kehtib muude kohustuste, sealhulgas kõrge riskiga tehisintellekti süsteemide pakkujate ja juurutajate kohustuste rikkumise korral; ja madalaim kehtib ametiasutustele ebaõige, mittetäieliku või eksitava teabe esitamise korral. Soodsam kord kehtib väikestele ja keskmise suurusega ettevõtetele (VKEdele), sealhulgas idufirmadele. Tegelik karistus määratakse kindlaks, võttes arvesse karistusi käsitlevaid kohaldatavaid eeskirju ja juhtumi asjaolusid.
Praktiline tegevuskava
- Tehke inventuur kõigist teie organisatsiooni arendatud, hangitud või kasutatavatest tehisintellekti süsteemidest.
- Määrake iga süsteemi puhul, millist rolli te täidate: pakkuja või juurutaja.
- Määrake iga süsteemi riskikategooria ja dokumenteerige see hinnang, sealhulgas artikli 6 lõike 3 erandile tuginemine.
- Looge tehisintellekti juhtimine ja määrake vastutav ametnik.
- Tagada nende süsteemidega töötavate töötajate tehisintellekti oskus; see kohustus kehtib juba praegu.
- Rakendada artikli 50 kohaseid läbipaistvusmeetmeid; neid kohaldatakse alates 2. augustist 2026.
- Alustage tehnilise dokumentatsiooni ja vajadusel põhiõiguste mõjuhinnangu koostamist õigeaegselt.
- Vaadake üle tarnijate lepingud rollide jaotuse, teabe edastamise ja auditeerimisõiguste osas.
- Planeerige kõrge riskiga dokumentatsioon III lisa süsteemide puhul 2. detsembriks 2027 ja I lisa süsteemide puhul 2. augustiks 2028.
Mida tehisintellekti seadus teie organisatsioonilt nõuab
Tehisintellekti seadus mõjutab põhimõtteliselt seda, kuidas organisatsioonid tehisintellekti arendavad, ostavad ja kasutavad. Kõrge riskiga kohustuste edasilükkamine annab aega režiimi kõige raskema osa jaoks, kuid jätab kõik muu samaks: artikli 5 keelud, tehisintellekti alase kirjaoskuse kohustus, üldotstarbeliste tehisintellekti mudelite reeglid ja artikli 50 läbipaistvuskohustused kehtivad kõik täna. Võidetud aega on kõige parem kulutada klassifitseerimisele ja dokumenteerimisele, sest need on etapid, mida ei saa hiljem kokku suruda. Määruse laiema ülevaate saamiseks vaadake meie täielikku juhendit ELi tehisintellekti seaduse kohta , mis täiendab käesoleva artikli keskendumist kõrge riskiga tehisintellekti süsteemidele.
Law & More aitab organisatsioonidel oma tehisintellekti süsteeme inventuurida ja klassifitseerida, määrata kindlaks nende rolli pakkuja või juurutajana, vaadata üle ja koostada tehisintellekti tarnijatega sõlmitud lepinguid ning seadistada tehisintellekti juhtimist. Kui soovite teada, millised kohustused teie organisatsioonile praegu kehtivad ja milliseid samme tuleks eelistada, võtke meiega julgelt ühendust.
Korduma kippuvad küsimused
Allpool vastame küsimustele, mida meile sellel teemal kõige sagedamini esitatakse.
Mis on tehisintellekti seadus?
Euroopa tehisintellekti määrus (määrus (EL) 2024/1689). See jõustus 1. augustil 2024 ja seda hakatakse kohaldama etappidena, kusjuures kohustused suurenevad tehisintellekti süsteemist tuleneva riski suurenedes.
Millal on tehisintellekti süsteem kõrge riskiga?
Kahel viisil: I lisas loetletud tootealaste õigusaktidega hõlmatud toote osana või III lisas loetletud valdkondades kasutamise kaudu. Viimasel juhul ei ole ainuüksi valdkond määrav; loeb ka konkreetne funktsioon ja artikli 6 tingimused.
Kas III lisa süsteem saab siiski kõrge riskiga süsteemist välja jääda?
Jah, kui see ei kujuta endast olulist riski ega mõjuta oluliselt otsuste tegemist, näiteks kui see täidab kitsalt menetluslikku või puhtalt ettevalmistavat ülesannet. See hindamine tuleb dokumenteerida. Kui süsteem teostab füüsiliste isikute profiilianalüüsi, ei kehti see erand kunagi.
Kas ma olen teenusepakkuja või juurutaja?
Olete teenusepakkuja, kui arendate süsteemi või viite selle turule oma nime või kaubamärgi all, ja üldiselt juurutaja, kui kasutate ostetud süsteemi. Kui muudate ostetud süsteemi oluliselt või tarnite seda edasi oma nime all, võite ikkagi saada teenusepakkujaks.
Millised kohustused kehtivad teenusepakkujatele?
Muuhulgas riskijuhtimine, andmehaldus, tehniline dokumentatsioon, logimine, kasutusjuhendid, inimeste teostatav järelevalve, täpsuse ja küberturvalisuse nõuded, kvaliteedijuhtimissüsteem, vastavushindamine, CE-märgis ja registreerimine ELi andmebaasis.
Millised kohustused kehtivad juurutajatele?
Kasutamine vastavalt juhistele, pädev inimjärelevalve, jälgimine, riskide ja tõsiste intsidentide aruandlus ning logide säilitamine vähemalt kuus kuud. Asjaomased töötajad ja isikud, kellele süsteemi rakendatakse, tuleb eelnevalt teavitada.
Millal tuleb läbi viia põhiõiguste mõjuhinnang?
Artikkel 27 nõuab seda muu hulgas avalik-õiguslikelt asutustelt, eraõiguslikelt avalike teenuste osutajatelt ja krediidiskoori või elu- ja tervisekindlustuse kindlustusriskide hindamise süsteemide juurutajatelt.
Kas kõrge riskiga kohustuste täitmine on edasi lükatud?
Jah. Määrus (EL) 2026/1744, mis avaldati Euroopa Liidu Teatajas 24. juulil 2026 ja jõustus 27. juulil 2026, lükkas III lisa kohaldamise edasi 2. detsembrile 2027 ja I lisa kohaldamise 2. augustile 2028. Ainult kõrge riskiga korra kohaldamine lükati edasi.
Mis kehtib juba täna?
Artiklis 5 sätestatud keelatud tavad ja tehisintellekti oskusteabe kohustus alates 2. veebruarist 2025 ning üldotstarbeliste tehisintellekti mudelite eeskirjad alates 2. augustist 2025. Artiklis 50 sätestatud läbipaistvuskohustused on kehtinud alates 2. augustist 2026 ja neid ei ole edasi lükatud.
Kes teostab Hollandis tehisintellekti seaduse üle järelevalvet?
Hollandi rakendusakt ei ole veel jõustunud. Eelnõu saadeti konsultatsioonile 20. aprillil 2026, andes Autoriteit Persoonsgegevensile jääkjärelevalverolli ja RDI-le koordineeriva rolli koos sektori järelevalveasutustega. Volituste lõplik jaotus tuleneb sellest seadusest.
Mida peaks minu organisatsioon nüüd tegema?
Alustage kõigi teie arendatavate, ostetavate või kasutatavate tehisintellekti süsteemide inventuuriga. Pange iga süsteemi kohta kirja, milline roll teil on, milline riskikategooria kehtib ja millised kohustused tulenevad. Samuti seadke sisse tehisintellekti juhtimine, tagage tehisintellekti alane kirjaoskus ja vaadake üle tarnijate lepingud rollide jaotuse, teabe edastamise ja auditeerimisõiguste kohta.
