Lühidalt
AI Act (määrus (EL) 2024/1689) on riskipõhine raamistik: keelatud kasutusjuhud, suure riskiga süsteemide nõuded, piiratud riskiga süsteemide läbipaistvuskohustused ja üldised nõuded. Määrust muudeti 2026. aastal määrusega (EL) 2026/1744, mis lihtsustas osa nõudeid ja lükkas suure riskiga süsteemide tähtaegu edasi.
AI Act ei ütle „tehke pentest“ ega anna sertifikaati. See ütleb, millist tõendit ja juhtimist süsteem vajab. Turvatestimine võib olla üks tõend, mitte vastavushindamise asendus.
Keda AI Act puudutab?
Määrus eristab rolle. Pakkuja (provider) töötab AI-süsteemi välja või laseb selle turule oma nime all; kasutaja (deployer) võtab süsteemi kasutusele; importija ja levitaja viivad süsteemi ELi turule või jagavad seda. Roll määrab kohustused, mitte ettevõtte suurus.
- Pakkuja: vastutab nõuetele vastavuse, tehnilise dokumentatsiooni, kvaliteedijuhtimise, logimise ja turujärgse seire eest.
- Kasutaja: kasutab süsteemi ettenähtud otstarbel, tagab inimjärelevalve, andmete sobivuse ja intsidentidest teatamise.
- Importija ja levitaja: kontrollib, et pakkuja kohustused on täidetud ja märgistus õige.
- GPAI-mudeli pakkuja: üldotstarbelise tehisintellekti mudeli jaoks kehtivad eraldi läbipaistvus- ja dokumenteerimisnõuded.
Väikeettevõttele ei tähenda see automaatset erandit. Kui süsteem on suure riskiga või kuulub keelatud kasutusjuhtu, kehtivad nõuded ka väikesele tegijale. Kontrolli oma rolli ja süsteemi otstarvet enne, kui otsustad, et määrus „meid ei puuduta“.
Riskiklassid ja kehtivad tähtajad
| Kategooria | Mida see tähendab | Kehtivuse algus |
|---|---|---|
| Keelatud | Näiteks sotsiaalne hindamine, manipulatiivne mõjutamine ja teatud biomeetrilised kasutused. Uued keelud lisandusid 2026. aasta muudatusega. | 2. veebruar 2025; uued keelud 2. detsember 2026 |
| Suur risk | Süsteemid, millel on oluline mõju tervisele, ohutusele või põhiõigustele, sealhulgas töölevõtmine, kriitiline taristu ja olulised avalikud teenused. | Enamik 2. detsember 2027; toodetesse integreeritud süsteemid 2. august 2028 |
| Piiratud risk | Läbipaistvuskohustused, näiteks teavitamine, et kasutaja suhtleb AI-ga, ja AI loodud sisu märgistamine. | 2. detsember 2026 |
| Minimaalne risk | Üldised kohustused ja olemasolev õigus, ilma suure riskiga süsteemi erinõueteta. | Üldine kohaldamine 2. august 2026; erinõuded puuduvad |
Need kuupäevad põhinevad TTJA avaldatud ülevaatel ja määrusel (EL) 2026/1744. AI Acti ajakava on muutunud ja võib veel täpsustuda; enne projekti kinnitamist kontrolli kehtivat versiooni EUR-Lexist ja TTJA lehelt.
Lühike riskiklassi enesekontroll
See ei ole õiguslik hinnang, vaid aitab enne projekti algust esitada õiged küsimused. Vastused töödeldakse ainult sinu brauseris.
Mida AI Act turvalisusest nõuab?
Suure riskiga süsteemi puhul ei piisa turvapäistest ega skanneri raportist. Määruse artikkel 15 nõuab muu hulgas täpsust, vastupidavust ja küberturvalisust kogu elutsükli jooksul. See tähendab, et süsteem peab vastu pidama nii tavapärasele koormusele kui ka pahatahtlikule sisendile ja katsetele seda kõrvalteedel kasutada.
- Riskijuhtimine: ohtude tuvastamine, hindamine ja leevendamine kogu arenduse ja kasutuse jooksul.
- Andmed ja mudelid: treening- ja testandmete sobivus, kvaliteet, päritolu ja piirangud.
- Turvalisus: kaitse lekete, loata juurdepääsu, andmemürgituse, adversariaalsete sisendite ja väljundi kuritarvitamise eest.
- Logimine ja jälgitavus: sündmuste kirjeldamine nii, et intsidenti saab hiljem uurida.
- Inimjärelevalve: selge, kes kontrollib otsust ja millal saab süsteemi peatada.
- Dokumentatsioon: tehniline fail, vastavusdeklaratsioon ja tõendid kontrollide kohta.
See on juhtimis- ja tõendiraamistik. Ükski eraldi test ei tõesta kõiki nõudeid, ja määrus ei sätesta ühte konkreetset turvatestimise metoodikat.
Mida turvatestimine tõendab — ja mida mitte
| Küsimus | Mida test annab | Mida see ei anna |
|---|---|---|
| Prompt injection | Korratavad näited, kuidas süsteemijuhisest mööda mindi ja millist andmete või tööriistade juurdepääsu see puudutas. | Tõestust, et kõik tulevased sisendid on ohutud. |
| RAG ja andmeleke | Tõendid, kas kasutaja või teise kliendi kontekst oli kättesaadav. | Täielikku andmekaitse vastavust ega GDPR-i hinnangut. |
| Agendi õigused | Kaardistuse, milliseid toiminguid agent sai teha ja kus puudus kinnitus. | Tõestust, et kõik tarnijad ja taristu on turvalised. |
| Vastavushindamine | Toetava tõendi tehnilise dokumentatsiooni jaoks. | CE-märgist ega sertifikaati. |
Kui vajad AI Acti kontekstis tõendeid, kirjelda enne testi süsteemi otstarve, riskiklass, kasutusload, andmed ja inimjärelevalve. Testi tulemus peab olema seotud konkreetse nõude ja kontrolliga, mitte lihtsalt „leidsime prompt injection'i“.
Meie AI-turvatestimise teenus keskendub LLM-, RAG- ja agendirakenduste tehnilisele käitumisele. See ei ole AI Acti vastavushindamine ega õigusnõustamine.
Eesti järelevalve: TTJA roll
Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA) täidab tulevikus pädeva asutuse rolli tehisintellektisüsteemide järelevalves. TTJA kirjeldab, et järelevalve hõlmab muu hulgas keelatud kasutusjuhte, läbipaistvuskohustusi ja suure riskiga süsteeme. Järelevalve käigus võidakse küsida dokumentatsiooni, logisid, juurdepääsu lähtekoodile ja tõendeid vastavushindamise kohta.
See tähendab, et tehniline dokumentatsioon ja tõendid tuleb kokku panna enne, kui neid küsitakse. Kui ettevõte kasutab AI-süsteemi ilma seda ise arendamata, ei kao vastutus automaatselt: kasutaja peab teadma süsteemi otstarvet, piiranguid ja inimjärelevalve korda.
Kuidas ette valmistuda
- Määra roll ja otstarve: kas oled pakkuja, kasutaja või mõlemad; mis ülesannet süsteem täidab ja kes kannatab, kui see eksib.
- Klassifitseeri risk: kontrolli keelatud kasutusjuhte ja suure riskiga lisa; ära otsusta ainult mudeli nime järgi.
- Kaardista andmed ja sõltuvused: treeningandmed, RAG-allikad, mudelipakkujad, tööriistad ja logid.
- Kirjuta inimjärelevalve kord: kes kinnitab, kes peatab ja millal ei tohi süsteem ise otsustada.
- Kogu tõendid: tehniline fail, riskianalüüs, testiraportid, logid, intsidendiprotsess ja koolitus.
- Testi enne väidet: kui väidad, et süsteem on turvaline, peab sul olema katse, tõend ja parandus.
Regulatsioonide kattuvuse mõistmiseks vaata küberturvalisuse regulatsioonide kaarti. NIS2 ja AI Acti kokkupuudet kirjeldab NIS2 juhend.
Küsimused AI Acti kohta
Kas AI Act kehtib kõigile AI-rakendustele?
Ei. Määrus on riskipõhine: keelatud kasutusjuhud on keelatud, suure riskiga süsteemidele kehtivad ulatuslikud nõuded, piiratud riskiga süsteemidele peamiselt läbipaistvuskohustused ja minimaalse riskiga süsteemidele üldised kohustused. Kohaldumine sõltub rollist, kasutusotstarbest ja turule laskmise ajast.
Kas AI Act nõuab ühte kindlat turvatesti?
Ei. AI Acti artikkel 15 nõuab suure riskiga süsteemidelt täpsust, vastupidavust ja küberturvalisust, kuid ei sätesta ühte konkreetset testimeetodit ega anna üks test sertifikaati. Turvatestimine aitab koguda tõendeid, kuid ei asenda vastavushindamist.
Millal AI Acti nõuded jõustuvad?
Määrus jõustus 1. augustil 2024 ja suur osa reeglitest hakkas kehtima 2. augustil 2026. Keelud kehtivad alates 2. veebruarist 2025, uued keelud alates 2. detsembrist 2026. Suure riskiga süsteemide tähtaegu muudeti 2026. aasta muudatusega: enamik algab 2. detsembril 2027 ja toodetesse integreeritud süsteemid 2. augustil 2028.
Kes teeb Eestis AI Acti järelevalvet?
TTJA täidab tulevikus pädeva asutuse rolli tehisintellektisüsteemide järelevalves. See hõlmab muu hulgas keelatud kasutusjuhtude, läbipaistvuskohustuste ja suure riskiga süsteemide kontrolli. Täpne pädevus ja menetlus täpsustuvad Eesti õiguses.
Kas AI Act asendab NIS2 või GDPR-i?
Ei. AI Act käsitleb tehisintellekti turvalisust, läbipaistvust ja vastavust; NIS2 käsitleb küberturvalisuse juhtimist ja intsidentide teatamist; GDPR käsitleb isikuandmete kaitset. Samal süsteemil võivad kehtida kõik kolm.
Mida peaks AI-rakenduse tegija esimesena tegema?
Määrake oma roll (pakkuja või kasutaja), süsteemi otstarve ja riskiklass, seejärel dokumenteerige andmed, mudelid, inimjärelevalve, logimine ja turvakontrollid. Kui süsteem on suure riskiga, koostage vastavushindamise tõendid ja testimisplaan.
Allikad
- Määrus (EL) 2024/1689 (AI Act).
- TTJA: tehisintellektisüsteemid ja AI määruse tähtajad.
- Euroopa Komisjoni AI Acti rakendamise ajakava.
- Euroopa Komisjon: AI Acti reguleeriv raamistik.
See leht on selgitav, mitte õigusnõu. Konkreetse süsteemi riskiklassi ja kohustused kinnitab pädev asutus või jurist.