Tehisintellekti implementeerimine ettevõttesse Eestis ja Euroopa Liidus – praktiline õigusalane juhend

Olulisemad järeldused 

• Tehisintellekti kasutamise õiguslik risk sõltub eelkõige selle kasutusviisist. Sama mudel võib ühes töövoos kujutada endast väikest ja teises märkimisväärset riski. 

• Õigusnõuetele vastavus on osa toote väärtusest. Ettevõtjale, kes arendab, müüb või kasutab tehisintellektil põhinevaid tooteid, on oluline nii süsteemi toimivus kui ka võimalus tõendada selle õiguspärast kasutamist. 

• Mitmed tehisintellekti määruse kohustused juba kohalduvad: tehisintellektipädevuse arendamist toetavad meetmed, keelatud kasutusviiside piirangud ning alates 2. augustist 2026 artikli 50 läbipaistvusnõuded. Täiendavad keelud hakkavad kohalduma 2. detsembrist 2026.  

• Suure riskiga süsteemide, sealhulgas teatavate värbamis- ja personalijuhtimise vahendite piirangud hakkavad kohalduma 2. detsembrist 2027. Enne seda turule lastud või kasutusele võetud süsteemidele kehtivad üleminekusätted. Neid tingimusi tuleb arvestada süsteemide implementeerimisel juba täna, mitte tagantjärele. 

• Tehisintellektisüsteemi kasutamisel tuleb juba praegu hinnata isikuandmete kaitse, tööõiguse, võrdse kohtlemise, autoriõiguse ja ärisaladuse kaitse nõudeid. Tehisintellekti eriregulatsiooni areng ja kohaldamise ajakava ei peata teiste õigusaktide kohaldamist. 

• Tehisintellektilahenduse müüja kinnitused ja litsentsitavad professionaali versioonid ei asenda ettevõtja enda analüüsi andmevoogude, konfidentsiaalsuse ja väljundiga seotud õiguste kohta. 

• Dokumenteeritud protsess, mis hõlmab kasutusjuhtumite inventuuri, riskide liigitamist, hoolsuskontrolli, järelevalvet ja koolitust, aitab riske proportsionaalse kuluga vähendada. Selle läbimine enne tehisintellektisüsteemide implementeerimist on üldjuhul kulutõhusam kui puuduste kõrvaldamine tagantjärele.

Sissejuhatus 

Tehisintellektivahendi implementeerimine ettevõttesse on harva üksnes IT-hange. Ettevõtja otsustab muu hulgas, millisele teabele vahend ligi pääseb, kelle huve selle väljund võib mõjutada, kui palju otsustusruumi jääb töötajatele ning kes vastutab väljundi kasutamise eest. Need valikud määravad ka vajaliku õigusliku analüüsi sisu. Samal mudelil põhinev lahendus võib ühes töövoos olla võrdlemisi väikese riskiga tekstikoostamise abiline, teises läbipaistvusnõuetele alluv vestlusrobot ja kolmandas suure riskiga süsteem, näiteks kandidaatide hindamise vahend. 

Euroopa Liidus ja Eestis tegutsevate ettevõtjate jaoks tulenevad peamised nõuded vahetult kohaldatavast tehisintellekti käsitlevast määrusest (EL) 2024/1689 (edaspidi tehisintellekti määrus), isikuandmete kaitse üldmäärusest (EL) 2016/679 (edaspidi GDPR) ning muudest asjakohastest Euroopa Liidu ja Eesti õigusaktidest. Lisaks tuleb arvestada töö-, lepingu-, autori-, tarbijakaitse- ja võrdse kohtlemise õigusega ning ärisaladuse kaitse ja küberturvalisuse nõuetega. Nõuetele vastavus tuleks kavandada toote ja töökorralduse osaks enne vahendi ühendamist ettevõtte süsteemidega. 

Käesolev juhend selgitab ettevõtjale praktiliselt olulisi nõudeid ja illustreerib neid näidetega. Juhendi lõpus on esitatud implementeerimise praktiline kava ja vastused korduma kippuvatele küsimustele.

Tehisintellekti väärtusahela rollid 

• Müüja (vendor) on kaubanduslik nimetus ettevõtjale, kellelt tehisintellektivahend ostetakse või litsentsitakse või kelle teenust kasutatakse. Tehisintellekti määrus seda mõistet otsesõnu ei määratle. Müüja võib olla näiteks pakkuja, importija või turustaja ning tema õiguslik roll sõltub eelkõige tema tegevusest, mitte lepingus kasutatud nimetusest. 

• Pakkuja (provider) on isik või organisatsioon, kes arendab tehisintellektisüsteemi või üldotstarbelist tehisintellektimudelit või laseb selle välja töötada ning laseb selle oma nime või kaubamärgi all turule või võtab tehisintellektisüsteemi oma nime või kaubamärgi all kasutusele, kas tasu eest või tasuta. See on määruse artikli 3 punktis 3 määratletud roll. 

• Juurutaja (deployer) on isik või organisatsioon, kes kasutab tehisintellektisüsteemi oma volituste alusel, välja arvatud isikliku, kutsetegevusega mitteseotud kasutuse korral. Oma tegevuses tehisintellektivahendeid kasutav ettevõtja on sageli juurutaja (implementeerija). Tegemist on määruse artikli 3 punktis 4 määratletud õigusliku rolliga.  

• Järgmise etapi pakkuja (downstream provider) on pakkuja, kelle süsteem sisaldab tehisintellektimudelit, olenemata sellest, kas ta arendas mudeli ise või integreeris teise ettevõtja mudeli lepingulise suhte alusel. Näiteks võib sellesse rühma kuuluda ettevõtja, kes ehitab oma toote kolmanda isiku suurele keelemudelile. 

• Turustaja (distributor) on tarneahelas tegutsev füüsiline või juriidiline isik, kes ei ole pakkuja ning kes teeb tehisintellektisüsteemi (Euroopa Liidu) turul kättesaadavaks. Näiteks võib selles rollis tegutseda edasimüüja. 

Tehisintellektisüsteemi mõiste 

Tehisintellekti määruse kohaldamisel tuleb lähtuda tehisintellektisüsteemi õiguslikust määratlusest. Määrav on süsteemi toimimine, mitte see, kas arendaja nimetab seda tehisintellektiks. 

Artikli 3 punkti 1 tähenduses on tehisintellektisüsteem masinpõhine süsteem, mis vastab järgmistele tunnustele: 

• on kavandatud töötama erineva autonoomsuse tasemega; 

• tegutseb sõnaselgete või kaudsete eesmärkide saavutamiseks; 

• järeldab saadud sisendist, kuidas genereerida näiteks prognoose, sisu, soovitusi või otsuseid; 

• genereerib väljundeid, mis võivad mõjutada füüsilist või virtuaalset keskkonda; 

• võib pärast kasutuselevõttu olla kohanemisvõimeline, kuid jätkuv õppimine ei ole määratlusele vastamise eeltingimus. 

Oluline eristav tunnus on järeldamisvõime. Määratlus hõlmab nii andmetest mustreid õppivaid süsteeme kui ka teatavaid kodeeritud teadmistel põhinevaid süsteeme. Tarkvara, mis üksnes täidab inimeste määratud toiminguid automaatselt etteantud reeglite järgi, jääb üldjuhul määratlusest välja. Reeglite kasutamine iseenesest siiski välistuseks ei ole. See tähendab, et ka ekspertsüsteem võib teha järeldusi ja vastata määratlusele. 

Euroopa Komisjoni suunised tehisintellektisüsteemi määratluse kohta aitavad neid tunnuseid tõlgendada. Suuniste kohaselt võivad määratlusest välja jääda näiteks üksnes lihtsat andmetöötlust, teatavaid klassikalisi heuristikaid või lihtsat statistilist prognoosimist kasutavad lahendused. Matemaatilise optimeerimise kasutamine iseenesest ei välista süsteemi kuulumist määruse kohaldamisalasse. Suunised ei ole õiguslikult siduvad ning hinnata tuleb konkreetse süsteemi omadusi. 

Levinud süsteemide näitlik liigitus (vahend – esialgne õiguslik liigitus – põhjendus): 

Arvutustabeli valem, mis rakendab kindlat allahindlusreeglit – Määratlusest väljaspool (Täidab inimese kirjutatud juhiseid, järeldamist ei toimu).

Müügiprognoos lihtsa muutuva keskmise alusel  – Tõenäoliselt väljaspool  (Lihtne statistiline ennustamine, nagu on kirjeldatud komisjoni suunistes).

Ekspertsüsteem, mis teeb järeldusi kodeeritud tehniliste teadmiste põhjal – Võib vastata määratlusele (Kodeeritud teadmistel põhinev arutlemine võib kujutada endast järeldamist).

Masinõppel põhinev pettuse tuvastamise mudel  – Tehisintellektisüsteem  (Õpib andmetest mustreid ja kasutab neid väljundite genereerimiseks).

Suurel keelemudelil põhinev vestlusrobot või kirjutamisabiline – Tehisintellektisüsteem  (Genereerib sisu järeldamise teel ning sageli kohalduvad sellele ka artikli 50 läbipaistvusnõuded). 

Õiguslik risk sõltub kasutusviisist 

Ettevõtja peaks dokumenteerima, mida süsteem teeb, milliseid andmeid kasutab, milliseid väljundeid annab, kes neile tugineb ja millised võivad olla tõrke tagajärjed. Süsteemi oma tegevuses kasutav ettevõtja on tavaliselt juurutaja. Süsteemi arendamine või arendada laskmine ja selle oma nime all turule laskmine või kasutusele võtmine võib teha ettevõtjast pakkuja (sh nn järgmise etapi pakkuja). Artiklis 25 sätestatud tingimustel võivad pakkuja kohustused tekkida ka suure riskiga süsteemi oma kaubamärgi all pakkumisel, selle olulisel muutmisel või süsteemi sihtotstarbe muutmisel nii, et see muutub suure riskiga süsteemiks. Oluline on märkida, et lepinguline kohustuste jaotus ei kõrvalda õigusaktist tulenevat vastutust. 

Eesti tarkvaraettevõtja, kes integreerib kolmanda isiku suure keelemudeli oma klienditoote osaks ja laseb selle oma kaubamärgi all turule, on üldjuhul selle tehisintellektisüsteemi pakkuja, kuigi ta ei treeninud aluseks olevat mudelit. Tarkvaraettevõtja äriklient, kes kasutab toodet oma tegevuses, on üldjuhul juurutaja. 

Rollide eristamine on oluline ka tsiviilvastutuse seisukohast. Uuendatud tootevastutuse direktiiv (EL) 2024/2853 hõlmab tootena ka tarkvara, sealhulgas tehisintellektisüsteeme. Ettevõtjat, kes muudab toodet oluliselt väljaspool algse tootja kontrolli ja teeb selle seejärel turul kättesaadavaks või võtab kasutusele, võidakse käsitada tootjana. 

Teine kasulik näide on tehisintellektiga varustatud kaamera tootmisliinil. Kui see tuvastab toodete defekte ega hinda isikuid, võib kasutus jääda tehisintellekti määruse suure riskiga süsteemide loetelust välja. Kui sama kujutist kasutatakse töötajate jälgimiseks kiiruse, veamäära või käitumise alusel, liigub süsteem tööhõive ja töötajate juhtimise valdkonda. Töövoo asjaolud, sealhulgas hilisem kasutamine teisel eesmärgil, on seega olulisemad kui toote nimi või üldine eesmärk. 

Määruse sätted hakkavad kohalduma eri ajal. Üldine kohaldamiskuupäev on 2. august 2026, kuid keelatud kasutusviiside ja tehisintellektipädevuse sätted kohalduvad alates 2. veebruarist 2025 ning üldotstarbeliste mudelite pakkujate reeglid alates 2. augustist 2025. Suure riskiga süsteemide põhikohustuste hilisem kohaldamine ei vabasta ettevõtjat GDPR-i ega tööõiguse kohustuste järgimisest. Lisaks tuleb eristada uute süsteemide nõudeid olemasolevatele süsteemidele kehtivatest üleminekusätetest. 

Tehisintellekti määruse olulisemad kohaldamiskuupäevad:

2.veebruar 2025 – Keelatud kasutusviiside piirangud (artikkel 5) ja tehisintellektipädevuse meetmed (artikkel 4). 

2.august 2025 – Üldotstarbeliste mudelite pakkujate reeglid ja osa juhtimis- ning karistussätetest; artiklile 101 kehtib üldine kohaldamiskuupäev. Varem turule lastud mudelitel on üleminekuaeg.

2.august 2026 – Enamik ülejäänud sätteid, sealhulgas artikli 50 läbipaistvuskohustused. 

2.august 2026 – Artiklisse 5 lisatud täiendavad keelud; enne 2. augustit 2026 turule lastud generatiivsete süsteemide pakkujate artikli 50 lõike 2 kohase märgistamise üleminekuaja lõpp. 

2.detsember 2027 – Artikli 6 lõike 2 ja III lisa kohaste suure riskiga süsteemide III peatüki jagude 1–3 põhikohustused, arvestades artikli 111 üleminekusätteid. 

2.august 2028 – Artikli 6 lõike 1 kohaste tootega seotud suure riskiga süsteemide põhikohustused, arvestades I lisa, valdkondlikke erisusi ja üleminekusätteid. 

Mõned juba kohalduvad tehisintellekti määruse nõuded 

Artikli 4 kohaselt peavad pakkujad ja juurutajad võtma meetmeid, mis toetavad töötajate ja teiste nende nimel tehisintellektisüsteeme käitavate või kasutavate isikute tehisintellektipädevuse arengut. Nõutud meetmete ulatus sõltub muu hulgas isikute teadmistest, kogemusest, väljaõppest, kasutuskontekstist ja mõjutatavatest isikutest. Määrus ei näe ette kõigile ühesugust tunnistust ega koolitusmahtu. 

Hankespetsialist peab oskama märgata lepingu- ja andmevoogudega seotud küsimusi, personalitöötaja mõistma kallutatuse riski ja sisulise inimkontrolli vajadust ning arendaja tundma testimise, logimise ja turvalisuse nõudeid. Üldisest veebiseminarist ei pruugi kõigi nende ülesannete jaoks piisata. Koolituse sisu, sihtrühmade ja osalemise dokumenteerimine aitab tõendada võetud meetmeid. 50 töötajaga ettevõtja jaoks võib sobida lühike lubatud kasutamise kord, praktiline üldkoolitus väljundi kontrollimise ja ko nfidentsiaalse teabe kaitse kohta ning põhjalikum rollipõhine koolitus süsteeme seadistavatele või nende väljundile olulistes otsustes tuginevatele töötajatele. Osalejate nimekiri ja koolitusmaterjalid aitavad meetmeid tõendada, kuid nende piisavus sõltub tegelikest riskidest ja koolituse sisust. 

Artikkel 5 keelab teatavad tehisintellekti kasutusviisid. Tööandja jaoks on eriti oluline biomeetriliste andmete põhjal töökohal emotsioonide järeldamise keeld, välja arvatud meditsiinilistel või ohutusega seotud põhjustel. Keeld võib hõlmata ka värbamisel kasutatavat emotsioonituvastust. Näiteks võib keelatud olla kõnekeskuse vahend, mis järeldab töötaja hääle biomeetrilistest tunnustest viha või ärritust. Üksnes kõnede transkribeerimine ja tekstist märksõnade leidmine ei kuulu selle keelu alla, kuid vajab siiski andmekaitse- ja tööõiguslikku hindamist. 

Artikli 50 läbipaistvusnõudeid kohaldatakse alates 2. augustist 2026. Otse inimestega suhtleva süsteemi pakkuja peab tagama, et inimene saab teada tehisintellektisüsteemiga suhtlemisest, välja arvatud juhul, kui see on asjaoludest ilmne.  

Eraldi tuleb eristada pakkuja kohustust võimaldada sünteetilise sisu masinloetavat märgistamist (lõige 2) ja juurutaja kohustust avalikustada süvavõltsingu või teatava avaliku huvi küsimusi käsitleva teksti tehislik päritolu (lõige 4). Enne 2. augustit 2026 turule lastud generatiivsete süsteemide pakkujad peavad artikli 50 lõike 2 nõuded täitma 2. detsembriks 2026. Vestlusroboti puhul on lisaks soovitatav selge võimalus pöörduda inimtöötaja poole. 

Süvavõltsing võib olla näiteks kampaaniavideo, milles tegevjuht näib ehtsalt esitavat sõnumit, kuid tema kujutis või hääl on tehisintellektiga loodud või manipuleeritud. Sellisel juhul tuleb avalikustada sisu tehislik päritolu. Selgelt kunstilise, loomingulise, satiirilise või väljamõeldud teose puhul võib avalikustamine toimuda viisil, mis ei takista teose esitamist ega nautimist. 

Järelevalve 

Eestis kirjeldab oma veebilehel tehisintellektisüsteemide järelevalvet, sealhulgas keelatud kasutusviise, läbipaistvusnõudeid ja suure riskiga kasutusjuhtumeid Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA). Konkreetse juhtumi puhul tuleb aga kontrollida pädevuse jaotust, sest järelevalve ei kuulu kõigis valdkondades ühele asutusele. Näiteks isikuandmete töötlemise õiguspärasuse üle teeb oma pädevuse piires järelevalvet Andmekaitse Inspektsioon.

Andmekaitse tuleb töövoogu sisse kavandada 

GDPR kohaldub, kui tehisintellekti töövoos töödeldakse selle määruse kohaldamisalasse kuuluvaid isikuandmeid, sõltumata süsteemi riskiliigitusest tehisintellekti määruse järgi. Vastutav töötleja peab seejuures määrama artikli 6 kohase õigusliku aluse, järgima artikli 5 põhimõtteid, sealhulgas eesmärgi piirangut ja võimalikult väheste andmete kogumist, andma artikli 13 või 14 kohase teabe ning rakendama artikli 25 kohast lõimitud ja vaikimisi andmekaitset. Isikuandmete eriliikide töötlemiseks peab lisaks olema täidetud mõni artikli 9 lõikes 2 nimetatud tingimus. 

„Enterprise versioon“ ja muud kinnitused, et andmeid ei kasutata tehisintellekti mudeli treenimiseks, on hoolsuskontrollis olulised, kuid ei lahenda kaugeltki kõiki andmekaitseküsimusi. Kui assistent pääseb ligi vestlusajaloole ja tellimusandmetele, tuleb endiselt määrata vajalikud andmeväljad, säilitamistähtajad, juurdepääsuõigused, alltöötlejad ja võimalikud edastamised väljapoole Euroopa Majanduspiirkonda (EMP). Järelevalvepraktika näitena teatas Itaalia andmekaitseasutus 2024. aasta detsembris OpentAI’le 15 miljoni euro suuruse trahvi määramisest, viidates muu hulgas õigusliku aluse ja läbipaistvuse puudustele. 

Andmekaitsealane mõjuhinnang tuleb teha enne töötlemise alustamist siis, kui kavandatav töötlemine tõenäoliselt ohustab suurel määral inimeste õigusi ja vabadusi, eelkõige GDPR-i artikli 35 lõikes 3 nimetatud või järelevalveasutuse kohustuslikku loetellu kuuluvatel juhtudel. Tehisintellekti kasutamine iseenesest ei tekita alati mõjuhinnangu kohustust. Hinnata tuleb kogu töövoogu, sealhulgas andmeallikaid, väljundi kasutamist, vigade ja kallutatuse mõju, andmete turvalisust, säilitamist ja andmesubjektide õiguste tagamist. Euroopa Andmekaitsenõukogu arvamuse 28/2024 järgi ei ole tehisintellektimudel automaatselt anonüümne: juhtumipõhiselt tuleb hinnata, kui tõenäoline on isikute tuvastamine või nende andmete mudelist eraldamine. 

GDPR-i artikkel 22 käsitleb üksnes automatiseeritud töötlemisel põhinevaid otsuseid, millel on inimesele õiguslikud või samaväärselt märkimisväärsed tagajärjed. Näiline inimkontroll ei välista selle sätte kohaldamist, läbivaatajal peab olema tegelik võimalus hinnangut kontrollida ja otsust muuta.  

Kui artikkel 22 kohaldub, peab otsus olema lubatud mõnel lõikes 2 sätestatud alusel ning tagatud peavad olema asjakohased kaitsemeetmed. Lepingu või sõnaselge nõusoleku erandi puhul näeb lõige 3 ette vähemalt inimese sekkumise, oma seisukoha väljendamise ja otsuse vaidlustamise võimaluse. 

Sisulise inimkontrolli tähtsust näitab ka Amsterdami apellatsioonikohtu 4. aprilli 2023. aasta otsus Uberi juhtide asjas. Kohus leidis käsitletud kontode sulgemise otsuste puhul, et platvorm ei olnud tõendanud piisavalt sisulist inimese osalemist otsustamises. Juhtidele tuli anda teavet, mis võimaldaks mõista ja kontrollida automatiseeritud otsuste aluseid. 

GDPR artikli 32 alusel tuleb rakendada töötlemise riskidele vastavaid tehnilisi ja korralduslikke turvameetmeid. Tehisintellektisüsteemide kasutamisel tähendab see muu hulgas vajadust hinnata tehisintellektile iseloomulikke ründe- ja andmelekkestsenaariume, nagu käsusüstid (prompt injection), ühendatud andmeallikatest lubamatu teabe väljastamine, ülemäärased juurdepääsuõigused ning tundliku teabe sattumine logidesse. GDPR artikkel 32 neid riske eraldi ei nimeta, kuid need võivad olla osa töötlemisega kaasnevast riskist, mida vastutav või volitatud töötleja peab arvesse võtma. 

Andmekaitse Inspektsiooni juhised rõhutavad tehisintellekti kasutamisel teadlikkust ja inimeste õiguste tagamist. Ettevõtja peaks kehtestama selged sisereeglid lubatud teenuste, kontode ja andmekategooriate kohta ning määrama, millistel juhtudel on vaja enne kasutamist andmekaitsespetsialisti, juristi või muu vastutava isiku hinnangut. 

Intellektuaalomand, konfidentsiaalsus ja väljundi õiguste kuulumine 

Sisend ja väljund vajavad eraldi analüüsi.  

Enne kui töötajad laadivad üles teksti, koodi, pilte, salvestisi või andmebaase, peaks ettevõte veenduma, et tema litsents või muu õiguslik alus lubab kavandatud kasutust.  

Üldotstarbeliste tehisintellektimudelite pakkujate kohustused hõlmavad artikli 53 järgi Euroopa Liidu autoriõiguse järgimise põhimõtete kehtestamist ja treenimisel kasutatud sisu piisavalt üksikasjaliku kokkuvõtte avaldamist, arvestades kohaldatavaid üleminekusätteid. Need kohustused toetavad järgmise etapi pakkuja hoolsuskontrolli, kuid ei taga iga väljundi õiguspärast ärilist kasutamist. Müüjalt tuleks küsida, kuidas ta arvestab õiguste reserveerimist, vähendab treeningmaterjali taasesitamise riski, käsitleb rikkumisteateid ning jaotab lepingus vastutuse kolmandate isikute nõuete eest.  

Kohtuasjas GEMA v OpenAI leidis Landgericht München I 11. novembri 2025. aasta esimese astme otsuses, et käsitletud laulusõnade salvestamine mudelis ja nende taasesitamine väljundites rikkus autoriõigusi ning autoriõiguslik teksti- ja andmekaeve erand ei hõlmanud kõnealust salvestamist.  

Väljundi õiguste kuulumine on eraldi küsimus.  

Autoriõiguse seaduse § 4 järgi peab teos olema autori enda intellektuaalse loomingu tulemus ning § 28 järgi on autor füüsiline isik. Üksnes tehisintellekti genereeritud väljundile ei saa seetõttu eeldada autoriõiguse tekkimist. Inimese loominguline valik, paigutus või sisuline toimetamine võib olla kaitstav, kuid kaitse ulatus sõltub tuvastatavast loomingulisest panusest. Väärtusliku sisu puhul tasub seetõttu säilitada mustandeid ja redigeerimisajalugu. Töökohustuste täitmisel loodud teose varalised õigused lähevad AutÕS § 32 lõike 1 järgi tööandjale üle tööülesannetega ettenähtud eesmärgil ja piirides, kui lepingus ei ole kokku lepitud teisiti. Arvutiprogrammi ja andmebaasi puhul sätestab lõige 5 tööandjale varaliste õiguste teostamise ainulitsentsi, kui leping ei näe ette teisiti. 

Oluline on mõista, et looming, mis ei ole autoriõigustega kaitstud, on üldiselt vabalt kasutatav kolmandate isikute, sh konkurentide poolt. Kohtupraktika näitena lähiminevikust saab tuua Praha linnakohtu 11. oktoobri 2023. aasta asja, kus jäeti rahuldamata tehisintellekti abil loodud pildi autorsusel põhinevad nõuded. Kohus lisas, et käsitletud pilt ei vastanud füüsilise isiku loomingulise teose tunnustele. Lahendist ei saa teha üldist järeldust, et igasugune inimese loomingulisel osalusel tehisintellektiga loodud sisu jääb kaitseta, kuid sellegipoolest on tehisintellekti kasutades loodud teoste puhul originaalsuse hindamine (ja seeläbi teosele kohalduva autoriõigusliku kaitse kohaldumine) eriti tähtsal kohal. 

Genereeritud koodi, pilte ja dokumente tuleb enne kasutamist kontrollida. Tehisintellektil põhinv kodeerimisassistent võib näiteks pakkuda koodi, mille kasutamises esineb turvanõrkusi, mis omakorda võivad tekitada andmelekkeid ja muid andmete turvalisusega seonduvate kohustuste rikkumisi. Oht ei ole vaid trahv selliste rikkumiste eest, vaid eelkõige klientide ja äripartnerite usalduse kaotus. 

Konfidentsiaalsus vajab samaväärset tähelepanu. Ebaausa konkurentsi takistamise ja ärisaladuse kaitse seaduse § 5 lõike 2 kohaselt peab ärisaladuseks olev teave olema salajane, selle salajasusel peab olema kaubanduslik väärtus ning teabe üle seaduslikku kontrolli omav isik peab olema võtnud asjaoludele vastavaid meetmeid selle salajasena hoidmiseks. Konfidentsiaalse lähtekoodi, hinnastamismudeli või avaldamata tootedisaini sisestamine tehisintellekti mudelisse võib salajasuse elimineerida. 

Töösuhteid puudutavaid küsimusi ei saa tehisintellektile delegeerida 

Tööõigusest tulenevad nõuded kehtivad sõltumata tehisintellekti määruse suure riskiga süsteemide ajakavast. Töölepingu seaduse § 28 lõike 2 punkt 11 kohustab tööandjat austama töötaja privaatsust ja kontrollima töökohustuste täitmist põhiõigusi rikkumata. Töötajate tehisintellektiga jälgimine vajab selget eesmärki, õiguslikku alust ning vajalikkuse ja proportsionaalsuse hindamist. Klahvivajutuste salvestamine, korduvate ekraanipiltide tegemine ja töötaja „tootlikkushinde“ koostamine võivad olla ülemäära sekkuvad. Pelgalt töötaja teavitamine või tööandja üldine huvi tootlikkuse vastu ei muuda sellist töötlemist õiguspäraseks. Värbamisel ja personalijuhtimises tuleb eraldi hinnata ka otsese ja kaudse diskrimineerimise riski. 

Kandidaate hindav ja vestlusele kutsumiseks järjestav vahend kuulub üldjuhul tehisintellekti määruse III lisa punkti 4 alapunkti a kohaldamisalasse. Selle kategooria põhikohustused hakkavad kohalduma 2. detsembrist 2027, arvestades artikli 111 üleminekusätteid. Juba praegu peab tööandja siiski järgima GDPR-i, tööõigust ja võrdse kohtlemise nõudeid. Värbaja, kes näeb ainult süsteemi skoori ja kinnitab soovituse sisulise kontrollita, ei pruugi tagada inimese tegelikku osalemist otsustamises. 

Vähemalt 30 töötajaga tööandja peab töötajate usaldusisiku seaduse §-de 17–21 tingimustel informeerima töötajate esindajaid ja nendega konsulteerima kavandatavate otsuste üle, mis tõenäoliselt toovad kaasa olulisi muudatusi töökorralduses või töösuhetes. Esindajate puudumisel tuleb informeerida töötajaid ja nendega konsulteerida. Konsulteerimine peab toimuma ajal, mil töötajate seisukohad saavad otsust veel mõjutada. Sellest eraldi näeb tehisintellekti määruse artikli 26 lõige 7 selle kohaldumisel ette töötajate esindajate ja mõjutatud töötajate teavitamise enne suure riskiga süsteemi kasutamist töökohal; sellele kohustusele 30 töötaja piirmäär ei laiene. 

Planeerida tuleb ka koolitus ja võimalikud lepingumuudatused. Töölepingu seaduse § 28 lõike 2 punkt 5 nõuab tööandja huvidest lähtuva koolituse võimaldamist, selle kulude kandmist ja koolituse ajal keskmise töötasu maksmist. Kui tehisintellekti implementeerimine eeldab kokkulepitud tööülesannete või muude töölepingu tingimuste muutmist, tuleb lähtuda TLS §-st 12: lepingut saab muuta vaid poolte kokkuleppel. Seetõttu on oluline eeltoodu töötajatega läbi arutada ning jõuda ühiste kokkulepeteni. 

Lepingud, klientidega suhtlus ja vastutus 

Müüjaga sõlmitud lepingus saab täpsustada koostööd ja vastutuse jaotust. Klassikaliselt võivad tüüptingimused lubada mudelite ja funktsioonide ühepoolset muutmist, anda laiad õigused kliendiandmete taaskasutamiseks ning piirata vastutust väljundi vigade eest. Ettevõtja ei pruugi saada ülemaailmse teenuseosutajaga individuaalseid tingimusi kokku leppida, kuid saab võrrelda teenusepakette, seadistada andmekasutust, hankida vajaduse korral GDPR-i artikli 28 kohase andmetöötluslepingu ja turvadokumentatsiooni ning loobuda sobimatute tingimustega lahendusest ja pakkujatest. Seadusest tulenevad kohustused kehtivad lepingust sõltumata. Näiteks on GDPR kontekstis olulisel kohal küsimus, kus asuvad tehisintellekti pakkuja serverid, kas Euroopa Majanduspiirkonnas, või sellest väljaspool. Andmete liikumine EMP’st välja loob süsteemi kasutava ettevõtte jaoks olulised piirangud. 

Ärilise kasutuse puhul tuleb hoolikalt kontrollida kolmandate isikute intellektuaalomandi nõuete puhuks antud kaitse- ja hüvitamiskohustuse (indemnity) ulatust. See ei ole automaatselt Eesti õiguse tähenduses garantii. Kaitse võib sõltuda teenusepaketist, ohutusfiltrite kasutamisest, väljundi muutmata jätmisest või muudest lepingutingimustest. Ettevõtja peab kindlaks tegema ka vastutuse ülemmäärad, välistused, vaidluse juhtimise korra ja teavitamistähtajad ning kajastama olulised tingimused sisereeglites. Sellist kaitset on andnud isegi ka suured tegijad – näiteks Microsoft Copilot. 

Valdkondlikud normid võivad lisada eraldi nõudeid. Finantssektori digitaalse tegevuskerksuse määruse (DORA) kohaldamisalasse kuuluv finantssektori ettevõtja peab näiteks hindama tehisintellektiteenuse lepingut DORA kolmandatest isikutest tuleneva IKT-riski nõuete järgi, kui tegemist on IKT-teenusega määruse tähenduses. Kriitilisi või olulisi funktsioone toetavatele teenustele kehtivad täiendavad nõuded. Kutsesaladusega seotud teenuseosutaja peab lisaks tagama, et klienditeabe töötlemine vastab tema kutsealastele kohustustele – heaks näiteks on siinkohal advokaadibürood.

Näiteid 

Järgnev hüpoteetiline näide näitab, kuidas analüüs erineb ühe ettevõtja erinevate vahendite puhul. Tallinnas asuv 80 töötajaga veebipõhine jaemüüja kavatseb 2026. aasta sügisel kasutusele võtta kolm tehisintellektivahendit.

1. Klienditeeninduse vestlusrobot 

Jaemüüja litsentsib üldotstarbelisel mudelil põhineva vestlusroboti ja seadistab selle oma toodete teabega. Ta on tavaliselt juurutaja, kuid oma süsteemi arendamine ja selle oma nime all kasutusele võtmine võib teha temast pakkuja. Kirjeldatud tavapärane klienditeenindus ei kuulu iseenesest määruse III lisa suure riskiga kasutusjuhtumite hulka. Klientidele peab olema arusaadavaks tehtud, et nad suhtlevad tehisintellektisüsteemiga.  

Kui müüja töötleb isikuandmeid jaemüüja (tehisintellekti sisseostja) nimel, on vajalik GDPR-i artikli 28 kohane leping. Samuti tuleb määrata vestluslogide säilitamise kord, hinnata välisedastusi ja ajakohastada andmekaitsetingimusi. Vastused tarne, müügigarantii, puudusega kauba õiguskaitsevahendite ja taganemisõiguse kohta peavad olema õiged ning jaemüüja vastutab jätkuvalt valeteabe esitamise eest. Soovitatav on pakkuda selget võimalust pöörduda inimtöötaja poole. 

2. Generatiivsed vahendid turunduses 

Turundusmeeskond kasutab teksti- ja pildigeneraatorit tootekirjelduste ning kampaaniavisuaalide loomiseks. Tähelepanu vajavad autoriõigus, tarbijakaitse ja tehisintellekti määruse asjakohased läbipaistvusnõuded. Täielikult tehisintellektiga loodud pilt näiteks tootest mingis keskkonnas, peab olema vastavalt märgistatud. 

Minimaalse inimliku loomingulise panusega väljundile ei pruugi tekkida autoriõigust. Kontrollida tuleb kolmandate isikute teoste, kaubamärkide ja isikukujutiste kasutamist. Kui pildi-, heli- või videosisu vastab süvavõltsingu määratlusele, kohaldub artikli 50 lõike 4 avalikustamiskohustus. Pelgalt fotorealistlikkus ei muuda iga pilti süvavõltsinguks. Tootevisuaal ei tohi tarbijat eksitada ning avaldamata tootedisaine või hankijate hinnateavet võib sisestada üksnes selleks heakskiidetud lahendusse. 

3. CV-de sõelumine 

Personaliosakond soovib vahendit, mis hindab kandidaate ja koostab eelvaliku. See on üldjuhul III lisa punkti 4 kohane suure riskiga süsteem. Põhikohustused hakkavad kohalduma 2. detsembrist 2027, kuid olemasoleva süsteemi puhul tuleb hinnata artikli 111 üleminekureeglit. Juba praegu peab jaemüüja määrama õigusliku aluse, teavitama kandidaate, hindama GDPR-i artikli 22 kohaldumist ning järgima tööõigust ja võrdse kohtlemise nõudeid. Kui töötlemisega kaasneb tõenäoliselt suur oht inimeste õigustele ja vabadustele, tuleb enne alustamist teha andmekaitsealane mõjuhinnang. 80 töötajaga ettevõtja peab hindama ka informeerimise ja konsulteerimise kohustust. Lepingus tuleks kokku leppida kasutusjuhendi ja testitulemuste esitamine, logidele juurdepääs ning kohaldatavate suure riskiga süsteemi nõuete õigeaegne täitmine.

Nõuetele vastavus toote väärtuse allikana 

Tehisintellektil põhineva või tehisintellekti olulisel määral kasutava toote väärtust toetab võime tõendada selle toote vastavust õigusnõuetele. Kliendil peab olema võimalik hinnata andmetöötlust, väljundite kontrolli ja kohaldatavate kohustuste täitmist. Selge dokumentatsioon võib seetõttu hõlbustada müüki, rahastamist ja toote integreerimist kliendi tegevusse. 

Ka investeeringu- ja omandamistehingu hoolsuskontrollis on olulised treeningandmete päritolu, litsentsid, õiguste reserveerimise järgimine, andmetöötluslepingud ja tulevaste kohustuste täitmise valmisolek. Puudused võivad mõjutada hinda, tingida eraldi hüvitamiskohustusi või lükata tehingu lõpuleviimist edasi. Algusest peale dokumenteeritud vastavus aitab neid küsimusi lahendada. 

Müüja valimisel tasub seetõttu võrrelda lisaks funktsionaalsusele ja hinnale ka seda, kas müüja suudab anda ostja kohustuste täitmiseks vajalikku teavet.

Implementeerimise praktiline järjestus 

1. Looge tehisintellekti register ning registreerige iga, kasutatav süsteem ja mudeli versioon, müüja, kavandatud kasutusotstarve, mõjutatud isikud, andmekategooriad, integratsioonid ja väljundi saajad. 
2. Määratlege õiguslik roll ja risk. Selgitage välja, kas ettevõtja on juurutaja, pakkuja või mõlemad. Kontrollige keelatud kasutusviise, artikli 50 läbipaistvusnõudeid ning artikli 6 ja I või III lisa kohast riskiliigitust.
3. Kaardistage andmed enne implementeerimist. Tehke kindlaks õiguslikud alused, isikuandmete eriliigid, säilitamine, juurdepääs, alltöötlejad ja rahvusvahelised edastamised.
4. Leppige kokku vajalik teave ja koostöö. Küsige müüjalt turva- ja andmekaitsedokumentatsiooni ning leppige kokku muudatustest teavitamine, auditikoostöö, andmete kustutamine, intsidentide lahendamine ja teenuse järjepidevus. Täpsustage autoriõiguse küsimused, lepingu lõpetamise ja andmete üleviimise võimalused ning vastutus.
5. Kavandage sisuline inimkontroll. Määrake läbivaatajad, kellel on vajalik pädevus, teave, aeg ja volitus süsteemi soovitust muuta või tagasi lükata. Selgitage, milliseid väljundeid võib kasutada kohe ning millised vajavad kontrolli.
6. Kaitske konfidentsiaalseid sisendeid ja väljundeid. Kasutage heakskiidetud kontosid ja tehnilisi piiranguid. Kehtestage majasisesed reeglid isikuandmete, lähtekoodi, kliendimaterjalide ja ärisaladuste kohta. Säilitage dokumentatsiooni väärtuslike või väliselt avaldatud väljundite kohta.
7. Kaasake töötajad varakult. Teavitage ja konsulteerige, ajakohastage töökorralduse reegleid, selgitage ja pakkuge rollipõhist koolitust.
8. Jälgige muudatusi, sh muudatusi regulatsioonis. Uued mudelid, integratsioonid ja vaikeseaded võivad muuta süsteemi riske. Hinnake liigitust, täpsust, kallutatust, turvalisust ja lepingutingimusi pärast olulisi muudatusi ning korrapäraselt. Säilitage koolituste, hindamiste ja inimkontrolli dokumentatsioon ning müüja esitatud materjalid.

Korduma kippuvad küsimused

Kas vajame ametlikku tehisintellekti poliitikat? 

Tehisintellekti määrusest ei tulene kõigile ettevõtjatele üldist kohustust koostada just sellise pealkirjaga dokument. Kirjalikud kasutusreeglid võivad siiski olla vajalikud tehisintellektipädevuse meetmete, GDPR-i vastutuse põhimõtte ja ärisaladuse kaitse tõendamiseks. Konkreetne tegevusala või roll võib tuua täiendavaid dokumenteerimiskohustusi. Paljudele ettevõtjatele sobib lühike lubatud kasutamise kord koos ajakohase tehisintellektivahendite registriga. 

Kas meie töötajad võivad töös kasutada tasuta avalikke vestlusroboteid? 

Seda tuleb otsustada konkreetse teenuse tingimuste, seadistuste ja sisestatavate andmete põhjal. Tasuta või tasuline teenus ei ole iseenesest õiguspärasuse tunnus. Isikuandmeid ja konfidentsiaalset teavet ei tohiks sisestada teenusesse enne, kui on kontrollitud õiguslikku alust, andmekasutust, konfidentsiaalsust ja vajalikke lepinguid. Lubatud kasutus tuleks siduda heakskiidetud teenuste ja kontodega. 

Kas teise ettevõtja mudelile oma süsteemi ehitades saab meist pakkuja? 

Üldjuhul jah, kui arendate süsteemi või lasete selle välja töötada ja lasete selle oma nime all turule või võtate oma nime all kasutusele. Pelgalt olemasoleva teenuse kasutamine ei tee teist automaatselt pakkujat. Aluseks oleva mudeli pakkuja täidab enda kohustusi, sealhulgas annab kohaldatavatel tingimustel mudeli integreerimiseks vajalikku teavet. Leping peaks tagama teie süsteemi nõuetele vastavuse hindamiseks vajaliku teabe. 

Kas kogu tehisintellekti loodud sisu tuleb märgistada? 

Ei. EL-i tehisintellekti määrus ei nõua, et igale tehisintellekti abil loodud tekstile või pildile lisataks nähtav märge. Eristada tuleb süsteemi pakkuja kohustust tagada loodud sisu üldjuhul masinloetav märgistamine ning süsteemi kasutaja kohustust teavitada inimesi teatud sisu tehislikust päritolust. 

Teavitamiskohustus puudutab eelkõige süvavõltsinguid ehk tehisintellektiga loodud või muudetud pilte, heli ja videoid, mis sarnanevad olemasolevate inimeste, esemete, kohtade või sündmustega ning võivad ekslikult näida autentsete või tõestena. Seega võib märgistamist vajada ka kodulehel avaldatud fotorealistlik AI-ga loodud tootepilt, mis jätab mulje tegelikust tootefotost. Selgelt illustratiivne visuaal või foto tavapärane tehniline parandamine ei tekita seda kohustust automaatselt. 

Samuti tuleb üldjuhul teavitada tehisintellekti kasutamisest sellise teksti puhul, mis avaldatakse avalikkuse teavitamiseks avalikku huvi pakkuvatel teemadel. Teksti puhul kehtib erand, kui see on läbinud inimese kontrolli või toimetusliku järelevalve ning selle avaldamise eest kannab toimetusvastutust füüsiline või juriidiline isik. Süvavõltsingute puhul inimese kontroll sellist vabastust ei anna. 

Kui teavitamine on nõutav, peab see olema selge ja tajutav hiljemalt sisuga esmakordsel kokkupuutel, näiteks märkega „Tehisintellektiga loodud pilt“. Seejuures ei vabasta märge kohustusest esitada toote kohta tõest ja tarbijat mitteeksitavat teavet. 

Kas Euroopa Liidus andmeid majutava müüja valimine lahendab isikuandmete kaitse üldmäärusele vastavuse küsimuse? 

Ei. EMP-s majutamine võib vähendada kolmandatesse riikidesse edastamisega seotud riske ja kohustusi, kuid kontrollida tuleb ka kaugtuge, haldusjuurdepääsu ja alltöötlejaid. Kolmandasse riiki edastamine ei ole iseenesest keelatud, kuid selleks peab olema täidetud GDPR-i V peatüki asjakohane alus ja tingimused. Majutuskoht ei lahenda õigusliku aluse, läbipaistvuse, minimaalsuse, säilitamise ega andmesubjektide õiguste küsimusi. 

Kas edasilükkamine tähendab, et saame oodata 2027. aastani? 

Ei. Juba kohalduvad tehisintellekti määruse sätted, GDPR ja muud asjakohased normid kehtivad praegu. Suure riskiga süsteemi puhul tuleb eraldi hinnata, millal see turule lasti või kasutusele võeti ja kas selle ülesehitust hiljem oluliselt muudetakse. Üleminekusäte võib mõjutada konkreetset vastavustähtaega, kuid implementeerimis- ja tehnilised valikud peaksid võimaldama süsteemi õiguspärast kasutamist ka tulevikus. 

Kokkuvõte 

Tehisintellekti implementeerimisega seotud õiguslik töö peaks lähtuma tegelikust tehisintellekti töövoost ja kasutusest. Inventuur, selge kasutuseesmärk, kontrollitud andmevood, sisuline inimkontroll ja tehisintellekti müüja dokumentatsioon aitavad tuvastada ning vähendada riske enne nende realiseerumist. 

Esmased prioriteedid on juba kohalduvate nõuete täitmine, isikuandmete ja konfidentsiaalse teabe kaitse, intellektuaalomandi küsimuste lahendamine ning näiteks kandidaatide ja töötajate õiguspärane kohtlemine. Suure riskiga süsteemide hilisemate kohustuste puhul tuleb arvestada nii kohaldamisaja kui ka olemasolevate süsteemide üleminekusätetega. Dokumenteeritud nõuetele vastavus toetab ühtlasi toote müüki, rahastamist ja tehingute hoolsuskontrolli. 

Kuidas Magnusson saab aidata

Magnussoni Tallinna büroo nõustab ettevõtjaid tehisintellekti implementeerimisel äriõiguse, intellektuaalomandi, andmekaitse, tööõiguse ja tehnoloogiaõiguse küsimustes. Meie töö hõlmab tehisintellektivahendite inventuure, riskide liigitamist, andmekaitsealaseid mõjuhinnanguid, lepinguläbirääkimisi, sisemiste kasutusreeglite koostamist ja piiriüleste küsimuste lahendamist.