AI Act ja GDPR: mida peab tegema tehisintellekti kasutav VKE

AI Act ei ole suunatud ainult mudelite arendajatele. VKE, mis laseb ChatGPT-l oma pakkumisi kirjutada või oma CRM-il potentsiaalseid kliente hinnata, kasutab tehisintellekti, ning nii Euroopa määrus kui ka GDPR panevad talle juba kohustusi, enamasti mõne korraldusliku sammu.

See juhend meie rubriigist ettevõtte tehisintellekt, privaatne ja õiglase hinnaga annab ülevaate 2026. aasta oktoobri seisust, 2026. aasta juulis muudetud teksti põhjal. Need kohustused kuuluvad reeglite hulka, mis tuleb kehtestada, meie juhendi tehisintellekti ettevõttesse toomiseks viimase viie küsimuse hulka. See ei ole õigusnõustamine: tundliku kasutuse puhul laske oma juhtum kinnitada andmekaitseametnikul või advokaadil.

Lühidalt

• Teie kohustused sõltuvad Teie rollist: kui lasete arendada assistendi, mida kasutatakse Teie nime all, saate pakkujaks, lisakohustustega.
• Ajakava: 2. veebruar 2025 keeldude ja tehisintellektipädevuse jaoks, 2. august 2026 läbipaistvuse jaoks, 2. detsember 2027 kõrge riski jaoks (värbamine, personal, laen).
• Lisandub GDPR: leping iga teenusepakkujaga, register, mõjuhinnang kõrge riski korral.
• Lähtepunkt on Teie kasutusviiside inventuur, sealhulgas meeskondade endi avatud kontod.

Kas olete AI Acti mõttes „juurutaja“ või „pakkuja“?

Teie kohustused sõltuvad Teie rollist. Tehisintellekti määruse artikli 3 järgi kasutab juurutaja tehisintellektisüsteemi oma vastutusel, kutsetegevuse raames. VKE, mis avab oma meeskondadele ChatGPT või Copiloti kontod või lülitab sisse oma CRM-i tehisintellekti, on juurutaja.

Pakkuja arendab tehisintellektisüsteemi või laseb selle arendada ning laseb selle turule või võtab kasutusele oma nime või kaubamärgi all, olgu tasu eest või tasuta. VKE, mis laseb arendada assistendi ja kasutab seda oma nime all, saab seega selle pakkujaks, lisakohustustega.

Sage juhtum on mudeli peenhäälestamine Teie enda andmetel (fine-tuning): CNIL-i, Prantsuse andmekaitseasutuse, küsimuste ja vastuste järgi generatiivse tehisintellekti kohta muudab see Teid selle eest vastutavaks, sealhulgas pakkujana tehisintellekti määruse alusel, kuid ainult selle peenhäälestamise osas.

Mis kehtib ja alates millal?

Määrus (EL) 2024/1689 kehtib etapiviisiliselt, artikli 113 järgi, määrusega (EL) 2026/1744 8. juulist 2026 muudetud versioonis, mis lükkas kõrge riski reeglid edasi:

1. 1. august 2024

   Määrus jõustub.

2. 2. veebruar 2025

   Keelatud tavad (artikkel 5) ja tehisintellektipädevus (artikkel 4), iga tehisintellekti kasutava ettevõtte jaoks.

3. 2. august 2025

   Sanktsioonide kohaldamine.

4. 2. august 2026

   Vestlusrobotite, süvavõltsingute ja teatud genereeritud tekstide läbipaistvus (artikkel 50), nende pakkujatele ja juurutajatele.

5. 2. detsember 2026

   Kaks muudatusega lisatud keeldu, mis puudutavad ilma nõusolekuta genereeritud intiimpilte ja laste seksuaalset väärkohtlemist kujutavat materjali.

6. 2. detsember 2027

   III lisa kõrge riskiga süsteemide reeglid, sealhulgas artikkel 26, värbamise, personalijuhtimise ja laenu jaoks.

7. 2. august 2028

   Juba reguleeritud toodetesse integreeritud kõrge riskiga süsteemide reeglid (I lisa).

Milliseid tehisintellekti kasutusviise on alates 2025. aastast keelatud?

Artikkel 5 loetleb keelatud tavad. Kolm neist võivad puudutada VKE-d:

• oma töötajate emotsioonide tuletamine töökohal, välja arvatud meditsiinilistel või ohutuse põhjustel: tööriist, mis loeks Teie müügiinimeste meeleolu nende häälest või näost videokoosolekul, on keelatud;
• inimeste hindamine nende sotsiaalse käitumise või isikuomaduste põhjal, kui see hinnang toob kaasa ebasoodsa kohtlemise väljaspool andmete kogumise konteksti või ebaproportsionaalselt;
• inimesega manipuleerimine või tema vanuse, puude või sotsiaalse või majandusliku olukorraga seotud haavatavuse ärakasutamine viisil, mis põhjustab talle olulist kahju.

Tööriist, mis teeb midagi neist, tuleb peatada, olenemata ettevõtte suurusest.

Millal muutub tehisintellekti kasutus „kõrge riskiga“ kasutuseks?

Kõrge risk sõltub kasutusest, mitte tööriistast. Määruse III lisa valdkondadest puudutavad VKE-d neli:

• värbamine: sihitud töökuulutused, kandideerimiste sõelumine, kandidaatide hindamine;
• personalijuhtimine: edutamine, vallandamine, ülesannete jagamine, tulemuslikkuse jälgimine;
• isiku krediidivõimelisus või krediidireiting, välja arvatud pettuste avastamine;
• elu- ja tervisekindlustuse hinnakujundus.

Alates 2. detsembrist 2027 peab kõrge riskiga süsteemi juurutaja artikli 26 järgi:

1. kasutama seda vastavalt kasutusjuhendile;
2. usaldama inimjärelevalve isikutele, kellel on vajalik pädevus, väljaõpe ja volitused;
3. seda jälgima, riski korral peatama ja teatama tõsistest intsidentidest;
4. säilitama süsteemi logisid vähemalt kuus kuud;
5. teavitama asjaomaseid töötajaid ja nende esindajaid enne selle kasutamist töökohal;
6. teavitama isikuid, keda puudutab otsus, mille süsteem teeb või aitab teha.

Laenu ja kindlustuse puhul lisab artikkel 27 põhiõigustele avaldatava mõju hindamise. Enne seda kuupäeva kasutusel olevat süsteemi puudutab see ainult siis, kui selle ülesehitust hiljem oluliselt muudetakse (artikkel 111). GDPR reguleerib neid otsuseid juba oma artikliga 22, mida tutvustame allpool.

Kas vestlusrobot peab ütlema, et ta on tehisintellekt?

Jah, alates 2. augustist 2026. Artikkel 50 nõuab, et inimesed teaksid hiljemalt esimese suhtluse ajal, et nad suhtlevad tehisintellektisüsteemiga, välja arvatud juhul, kui see on piisavalt informeeritud, tähelepaneliku ja aruka inimese jaoks ilmne.

Tekst paneb selle kohustuse pakkujale: kui Teie vestlusrobot on arendatud Teie jaoks ja töötab Teie nime all, on kohustus Teie oma. Tarkvaratootja tööriista puhul on see eelkõige tema kohustus, kuid Teie valite, mida Teie külastajad näevad, ja esimene sõnum, mis teatab automaatsest assistendist, lahendab küsimuse.

Sama artikkel nõuab süvavõltsingute ja teatud avalikkuse teavitamiseks avaldatud genereeritud tekstide märgistamist, välja arvatud inimese ülevaatuse korral toimetusliku vastutuse all.

Mida tähendab „tehisintellektipädevus“ Teie meeskondadele?

See on kohustus, mis puudutab kõige rohkem VKE-sid. 2026. aasta juulis ümber kirjutatud versioonis nõuab artikkel 4 meetmete võtmist, et edendada tehisintellektipädevuse arendamist töötajate ja nende seas, kes neid süsteeme ettevõtte jaoks kasutavad, ilma kohustuseta tagada üksikisiku kindlat pädevustaset. See on pingutuskohustus: diplomit ei pea nõudma, kuid peab olema lähenemine, mida saate näidata, ja Euroopa Komisjon peab avaldama praktilisi näiteid nõuete täitmisest.

CNIL tuletab meelde, kes vastutab:

Kasulik koolitus mahub kolme punkti:

• generatiivne mudel ei ole teadmusbaas: see toodab kõige tõenäolisema vastuse, mitte tingimata tõese;
• teatud andmed ei lähe kunagi laiale avalikkusele mõeldud teenusesse: isikuandmed, ärisaladused;
• iga vastust kontrollitakse ja seda ei kopeerita muutmata kujul.

Mida nõuab GDPR juba siis, kui kasutate tehisintellekti?

Niipea kui mudel saab isikuandmeid, on tegemist töötlemisega GDPR-i mõttes. Siin on olulised kolm artiklit selle IV peatükist:

• artikkel 28: leping iga teenusepakkujaga, kes töötleb Teie eest andmeid, sealhulgas mudeli pakkujaga, mis reguleerib ka edastamist;
• artikkel 30: kanne Teie isikuandmete töötlemise toimingute registris;
• artikkel 35: andmekaitsealane mõjuhinnang enne iga töötlemist, mis kujutab isikutele suurt ohtu.

Artikkel 22 reguleerib lisaks ainult automatiseeritud töötlusel põhinevat otsust ja V peatükk edastamist väljapoole liitu.

CNIL täpsustab, et ettevõte, mis ühendab mudeli oma teadmusbaasiga (RAG), vastutab selle töötlemise eest, kui baas sisaldab isikuandmeid. Toimimist selgitatakse artiklis RAG ettevõtte dokumentide jaoks.

Kaheksa sammu tehisintellekti reeglipäraseks kasutamiseks

1. 01Inventeerige oma kasutusviisid

   Ärge unustage kontosid, mille Teie meeskonnad on ise avanud, ja märkige iga kasutuse juurde andmed, mida see saab.

2. 02Liigitage oma andmed

   Mis võib minna pakkujale, mis jääb Teie juurde. Valikuid võrreldakse artiklis privaatse tehisintellekti neli taset.

3. 03Kirjutage kasutuspõhimõtted

   CNIL soovitab põhimõtteid, mis määratlevad selgelt lubatud ja keelatud kasutusviisid. Meie tehisintellekti juhtimise juhend pakub ühe välja, ettevõtte tehisintellekti põhimõtted viies reas.

4. 04Koolitage meeskondi

   Pidage arvet, kes ja millal on koolitatud.

5. 05Reguleerige oma teenusepakkujaid

   Leping, edastamine ja Teie andmete taaskasutuse väljalülitamine, kui pakkumine seda võimaldab.

6. 06Pidage registrit

   Tehke vajaduse korral ka mõjuhinnang, koos andmekaitseametnikuga, kui see Teil on.

7. 07Teavitage asjaomaseid isikuid

   Oma vestlusroboti külastajaid ja töökohal kasutatava kõrge riskiga tööriista puhul töötajaid ja nende esindajaid.

8. 08Tehke regulaarselt kokkuvõtteid

   Näiteks kord aastas küsige kasutajatelt nende arvamust süsteemi kasulikkuse ja piiride kohta: CNIL soovitab seda koguda kasutuse esimestel kuudel ja aastatel.

Mida riskib VKE, mis ei tee midagi?

Artikli 99 sanktsioone kohaldatakse alates 2. augustist 2025 ja nende ülempiir sõltub rikkumisest:

Iga rikkumise puhul on kohaldatav ülempiir üldjuhul kahest suurem, VKE puhul väiksem. Tekst näeb ette ka hoiatused ja mitterahalised meetmed ning riigid võtavad arvesse VKE-de huve ja nende majanduslikku elujõulisust.

GDPR-il on oma sanktsioonid, mida Prantsusmaal määrab CNIL. Kõige tavalisem risk jääb see, mida ei nähta: laiale avalikkusele mõeldud kontole kleebitud kliendifail, otsus töötaja kohta, mida keegi ei oska selgitada.

Kust alustada

Andmete inventuur ja liigitamine tulevad esimesena: need toidavad registrit, näitavad, kas mõni kasutus läheneb kõrgele riskile, ja valmistavad ette kasutuspõhimõtted. Prantsusmaa jaoks koondab CNIL oma lehel generatiivse tehisintellekti kasutamine mikro- ja väikeettevõtetes France Numi neli praktilist juhendit, mis on koostatud koos Prantsuse VKE-de liidu CPME ja CNIL-iga.

Kirjaliku tabeli saamiseks selle kohta, mis võib minna millisele pakkujale, ja Teie enda sisu peal testitud mudelite jaoks vaadake meie pakkumist tehisintellekt õiglase hinnaga. Kõrge riskiga kasutuse puhul on viimane sõna Teie andmekaitseametnikul või advokaadil.

Korduma kippuvad küsimused

Allikad

1. Tehisintellekti määruse artikli 3 (uus vahekaart)ai-act-service-desk.ec.europa.eu
2. CNIL-i, Prantsuse andmekaitseasutuse, küsimuste ja vastuste järgi generatiivse tehisintellekti kohta (uus vahekaart)cnil.fr
3. Artikli 113 (uus vahekaart)ai-act-service-desk.ec.europa.eu
4. Artikkel 5 (uus vahekaart)ai-act-service-desk.ec.europa.eu
5. Määruse III lisa (uus vahekaart)ai-act-service-desk.ec.europa.eu
6. Artikkel 6 (uus vahekaart)ai-act-service-desk.ec.europa.eu
7. Artikli 26 (uus vahekaart)ai-act-service-desk.ec.europa.eu
8. Artikkel 50 (uus vahekaart)ai-act-service-desk.ec.europa.eu
9. Artikkel 4 (uus vahekaart)ai-act-service-desk.ec.europa.eu
10. IV peatükist (uus vahekaart)cnil.fr
11. Artikkel 22 (uus vahekaart)cnil.fr
12. V peatükk (uus vahekaart)cnil.fr
13. Artikli 99 (uus vahekaart)ai-act-service-desk.ec.europa.eu
14. Generatiivse tehisintellekti kasutamine mikro- ja väikeettevõtetes (uus vahekaart)cnil.fr