EU AI Act 2026 — what applies to Estonian businesses and when

EU AI Act jõustub etappidena. Olulised 2026 kuupäevad:

• 2. veebruar 2025 (juba kehtiv): keelatud tavad (sotsiaalne skooring, manipulatiivsed AI-süsteemid)
• 2. august 2025 (juba kehtiv): üldotstarbeliste AI mudelite (GPAI) nõuded
• 2. august 2026 (peamine kuupäev): kõrge riskiga AI-süsteemide nõuded
• 2. august 2027: täielik jõustumine kõikidele süsteemidele

Enamus Eesti VKE-sid kasutab AI-d "piiratud riskiga" kategoorias (näiteks ChatGPT igapäevatöös) — neile kehtivad ainult läbipaistvuse nõuded (kasutajat tuleb teavitada AI kasutusest). Kõrge riskiga kohustused puudutavad spetsiifilisi kasutusvaldkondi.

EU AI Act jagab AI süsteemid 4 riskitasandile:

1. Vastuvõtmatu risk — keelatud (sotsiaalne skoorimine, alateadlik manipulatsioon, biomeetriline tuvastamine reaalajas avalikus ruumis)
2. Kõrge risk — lubatud kõrgendatud nõuetega (personali värbamine, krediidi hindamine, hariduse hindamine, kriitiline infrastruktuur)
3. Piiratud risk — läbipaistvuse nõuded (chatbotid, deepfake, sünteetiline meedia)
4. Minimaalne risk — pole erinõudeid (AI mängude vastased, spämmi-filtrid)

Eesti VKE-de jaoks olulised kõrge riskiga kasutusjuhud:

• Personali — AI värbamise filtreerimisel, töötajate hindamisel või edutamisel (näiteks CV-de automaatne filtreerimine)
• Krediit ja kindlustus — AI laenutaotluste või kindlustusriskide hindamisel
• Haridus — AI eksamite hindamisel või õpilaste edenemise jälgimisel
• Kriitiline infrastruktuur — AI energia, vee, transpordi süsteemides
• Õigussüsteem — AI kohtuasjade analüüsis või õigusabi vajaduse hindamisel

Kui teie ettevõte ei tegele ühegi neist, kuid kasutate ChatGPT-d / Claude'i igapäevatöös — teie peamine kohustus on läbipaistvus: kui kasutaja suhtleb chatbotiga, tuleb seda öelda; kui sisu on AI-genereeritud, tuleb seda märgistada.

Kui teie kasutusjuht on kõrge riskiga, peate tagama:

• Riski juhtimissüsteem — dokumenteeritud protsess riskide tuvastamiseks ja maandamiseks
• Andmete kvaliteet — treeningandmed peavad olema asjakohased, esinduslikud, piisavalt täielikud
• Tehniline dokumentatsioon — süsteemi disain, kasutusotstarve, piirangud
• Inimese kontroll — süsteemi peab saama jälgida ja sekkuda
• Täpsus, robustsus ja küberturve — testimisplaan ja monitooring
• CE-märgis — vastavushinnangu pärast
• Avalik register — registreerimine EU AI andmebaasis

GPT-5, Claude, Gemini, Llama on üldotstarbelised AI mudelid (GPAI). Kohustused on peamiselt mudelipakkujatel (OpenAI, Anthropic, Google, Meta) — nemad peavad pakkuma tehnilist dokumentatsiooni, järgima autoriõiguse nõudeid, märgistama AI-genereeritud sisu jne.

Kasutajana (teie ettevõte) on teie kohustused üldjuhul piiratud:

• Teavitada kasutajaid, kui nad suhtlevad AI-ga
• Märgistada AI-genereeritud pildid / video / audio (deepfake'i ennetus)
• Tagada, et AI ei kasutata keelatud viisil (manipulatsioon, sotsiaalne skoorimine)

• Keelatud tavade rikkumine: kuni €35M või 7% globaalsest käibest (suurem)
• Kõrge riskiga süsteemide nõuete rikkumine: kuni €15M või 3% käibest
• Vale info regulaatorile: kuni €7,5M või 1% käibest

VKE-dele on sanktsioonid madalamad, kuid mainekahjud Eesti turul võivad olla olulisemad.

1. Kaardistage, kus teie ettevõttes AI-d kasutatakse (sh ChatGPT igapäevaselt)
2. Klassifitseerige riski-tasandi järgi (enamikele on minimaalne või piiratud)
3. Lisage läbipaistvus: kui kasutate chatbotti, ütke seda; kui sisu on AI-genereeritud, märgistage
4. Kõrge riskiga juhtumid: alustage vastavustööd kohe, kui veel pole tehtud — 2. august 2026 on lähedal
5. Koolitage meeskond: AI-d kasutavad töötajad peavad teadma reegleid (mida tohib promptisse panna, mida mitte)