EL AI seaduse vastavuse kontrollnimekiri: samm-sammuline KKK juhend

EL AI seaduse vastavuse kontrollnimekiri küsimuste ja vastuste vormis: kohaldamisala, järelejäänud tähtajad, riskiklassifikatsioon, keelatud tavad, GPAI, suure riskiga süsteemide vastavus ning kohustuste jagunemine pakkuja ja kasutuselevõtja vahel.

See juhend vastab vastavusküsimustele järjekorras, milles need tegelikult tekivad: kas määrus ulatub minuni, mis mind juba täna seob, millised mu süsteemidest on suure riskiga, mida pean koostama ja mis maksab viga. Iga vastus toetub õiguslikule alusele, mida saab tsiteerida sisemises märgukirjas.

Kes peab selle nimekirja läbi töötama?

Iga organisatsioon, kes arendab, võtab kasutusele, impordib või turustab ELis kasutatavat AI-süsteemi — sõltumata asukohast. Artikkel 2 ulatub kolmandate riikide pakkujate ja kasutuselevõtjateni niipea, kui süsteemi loodud väljundit kasutatakse liidus: Euroopa klientidega USA SaaS-tarnija kuulub kohaldamisalasse samadel alustel nagu Eesti pank.

Neli küsimust määravad teie kohustuste kogumi ja kõiki nelja on vaja, enne kui nimekiri midagi tähendab:

Viimane rida on see, mis enamikul inventuuridel kahe silma vahele jääb. Läbipaistvuskohustused puudutavad süsteeme, mis ei ole üldse suure riskiga: klienditeeninduse vestlusrobot kannab täna kohustust, kandmata midagi sellest vastavuskoormast, millele on pühendatud ülejäänud nimekiri.

Mis teid juba seob ja mis on veel ees?

Viis kohaldamiskuupäeva on möödas; põhiline vastavustöö langeb 2027. aasta detsembrisse. Alljärgnevad kuupäevad järgivad selle veebilehe avaldatud tähtaegade andmestikku, mis kajastab määrusega (EL) 2026/1744 tehtud edasilükkamisi.

Digitaalne omnibus nihutas neli neist kuupäevadest ja kirjutas ümber artikli 4; täielik enne-ja-pärast register on avaldatud aadressil /changes/. See ei kaotanud ühtegi kohustust ega loonud erandeid, seega algsetele kuupäevadele ehitatud programm on endiselt õige programm — sellel on lihtsalt pikem hoovõtt.

1. samm — kas teie AI-inventuur on täielik?

Ilma täieliku inventuurita ei ole miski järgnevast kaitstav. Looge register kõigist AI-süsteemidest, mida organisatsioon puudutab:

• Süsteemid, mida arendate ja müüte või litsentsite (olete pakkuja)
• Süsteemid, mida ostate või litsentsite ja kasutate sisemiselt (olete kasutuselevõtja)
• Süsteemid, mis on toodetesse sisse ehitatud, mida valmistate või impordite
• Süsteemid, millele pääsete ligi kolmandate isikute API-de kaudu (pilve-AI, alusmudelite API-d)

Iga süsteemi kohta: nimi, funktsioon, sisend- ja väljundandmed, kasutuskontekst, otsuse mõju ja mõjutatud isikud. Märkige ebaselge klassifikatsiooniga süsteemid — need vajavad õiguslikku, mitte inseneri hinnangut.

Kaks kategooriat jäävad süstemaatiliselt alaarvestatuks: AI-funktsioonid SaaS-tööriistades, mille eest ettevõte juba maksab, ja mudelid, mille üksikud meeskonnad on ehitanud hankeprotsessist mööda. Küsige rahandusosakonnalt tarnijate nimekirja ja arendusosakonnalt mudeliregistrit; nende kahe ühend on tõele lähemal kui kumbki eraldi.

2. samm — kas käitate juba midagi ebaseaduslikku?

Läbige artikkel 5 enne igasugust riskiklassifitseerimist, sest keelatud süsteemi ei saa vastavusse parandada. Kõrvutage iga süsteem nimekirjaga:

• Alalävised, manipuleerivad või eksitavad võtted, mis oluliselt moonutavad käitumist
• Vanusest, puudest või sotsiaalsest ja majanduslikust olukorrast tuleneva haavatavuse ärakasutamine
• Sotsiaalne skoorimine, mis viib ebasoodsa kohtlemiseni seosetutes kontekstides
• Näokujutiste sihipäratu kogumine tuvastusandmebaaside loomiseks
• Emotsioonide tuletamine töökohal või hariduses
• Biomeetriline kategoriseerimine tundlike tunnuste tuletamiseks
• Reaalajas kaugbiomeetriline tuvastamine avalikes kohtades õiguskaitse eesmärgil

→ Kõrvaldada kasutusest või põhjalikult ümber kavandada. Need keelud kehtivad alates 2. veebruarist 2025 ja kuuluvad 35 miljoni euro / 7 % trahvitasemele. Keelatud tavade juhend käsitleb iga keelu kitsaid erandeid.

Alates 2. detsembrist 2026 lisandub keeld süsteemidele, mis genereerivad laste seksuaalset kuritarvitamist kujutavat materjali või nõusolekuta intiimkujutisi.

3. samm — kas olete üldotstarbelise mudeli pakkuja?

Kui organisatsioon arendab ja avaldab alusmudeli, kehtivad V peatüki kohustused alates 2. augustist 2025. Kolm kontrolli:

• Kas mudelit treenitakse isejuhitud õppega märkimisväärses mahus?
• Kas see suudab pädevalt täita laia valikut erinevaid ülesandeid?
• Kas see tehakse kättesaadavaks teistele, mitte ei kasutata üksnes sisemiselt?

Kui jah: mudeli dokumentatsioon AI-ametile ja järgnevatele pakkujatele, autoriõiguse poliitika ja piisavalt üksikasjalik avalik kokkuvõte treeningsisust. Üle 10²⁵ FLOPsi treeningarvutuse eeldatakse süsteemset riski, mis lisab mudeli hindamise, vastandtestimise, intsidentidest teatamise ja küberturvalisuse. Vt GPAI-juhendit.

Alates 2. augustist 2026 kohaldab seda peatükki otse komisjon — mitte riiklikud asutused — trahvidega kuni 15 miljonit eurot või 3 %.

4. samm — millised teie süsteemidest on suure riskiga?

Klassifitseerige III ja I lisa alusel, kohaldage artikli 6 lõike 3 filtrit ja pange tulemus kirja. III lisa loetleb kaheksa iseseisvat kategooriat: biomeetria, elutähtis taristu, haridus ja kutseõpe, tööhõive ja töötajate juhtimine, juurdepääs olulistele era- ja avalikele teenustele, õiguskaitse, ränne ja piirikontroll ning õigusemõistmine. I lisa hõlmab AI-d, mis toimib sellise toote ohutuskomponendina, mida ELi tooteohutusõigus juba reguleerib.

Artikli 6 lõike 3 erand vabastab süsteemi, mis küll kuulub III lisa kategooriasse, kuid ei kujuta olulist riski: kitsas menetlusülesanne, lõpetatud inimtegevuse tulemuse parandamine, otsustusmustrite tuvastamine inimhinnangut asendamata või puhtalt ettevalmistav töö. See ei kohaldu kunagi füüsiliste isikute profiilianalüüsi korral. Hinnang tuleb dokumenteerida enne turule laskmist ja registreerimiskohustus jääb kehtima.

Klassifitseerimisotsused on selle nimekirja kõige rohkem auditeeritav artefakt. Pange kirja kaalutud kategooria, põhjendus, tõendid, kuupäev ja vastutav isik.

5. samm — olete pakkuja või kasutuselevõtja?

Roll määrab umbes 80 % koormusest ja hankeleping seda ei fikseeri. Artikkel 25 teeb teist sellise suure riskiga süsteemi pakkuja, mida te ei ehitanud, kui panete sellele oma nime või kaubamärgi, muudate seda oluliselt või suunate ümber nii, et see muutub suure riskiga süsteemiks. Tarnija mudeli peenhäälestamine oma andmetel ja tarnimine oma kaubamärgi all on tavapärane viis pärida eelarvestamata pakkujakohustusi.

Pakkuja ja kasutuselevõtja juhend käsitleb piirijuhtumeid, sealhulgas importijaid ja turustajaid, kes kannavad kontrolli-, mitte vastavuskohustusi.

Sammud 6–10 — mida suure riskiga programm tegelikult loob?

Kuus artefakti sõltuvuse järjekorras. Igaüks on järgmise sisend, mistõttu programm, mis alustab dokumentatsioonist ja liigub tagasi juhtimise poole, jääb toppama.

1. Kvaliteedijuhtimissüsteem (artikkel 17) — poliitikad, vastutused, muudatuste haldus, andmehaldus, turustamisjärgne seire ja intsidendimenetlused. Just seda küsib turujärelevalveasutus esimesena.
2. Riskijuhtimise kirjed (artikkel 9) — iteratiivne tuvastamise, hindamise ja maandamise tsükkel, mida peetakse kogu elutsükli vältel, mitte ei kinnitata korra.
3. Andmehalduse tõendid (artikkel 10) — päritolu, esinduslikkus, kallutatuse uurimine ja maandamine treening-, valideerimis- ja testandmestikes.
4. IV lisa tehniline toimik — kogum, mida kirjeldab tehnilise dokumentatsiooni juhend, sealhulgas katsed artikli 15 täpsus-, töökindlus- ja küberturvalisusnõuete vastu.
5. Vastavushindamine ja deklaratsioon — enesehindamine VI lisa alusel või teavitatud asutus seal, kus seda nõuab biomeetria või I lisa tooteõigus. Vt vastavushindamise juhendit.
6. Registreerimine, CE-märgis ja seire — kanne ELi andmebaasi enne turule laskmist, CE-märgis dokumentatsioonil, seejärel turustamisjärgse seire kava ja tõsistest intsidentidest teatamine artikli 73 alusel.

Seadke sihiks 2. detsember 2027 III lisa iseseisvatele süsteemidele ja 2. august 2028 I lisa sisseehitatud süsteemidele. Realistlik programm ühe suure riskiga süsteemi jaoks kestab 12–24 kuud: algus 2026. aasta lõpus mahub aknasse varuta ning teavitatud asutuste võimekus kitseneb, mida lähemale kuupäev jõuab.

Mis siis, kui kasutate ainult teiste AI-d?

Olete kasutuselevõtja ja teie nimekiri on lühike, kuid mitte tühi. Siin asub enamik organisatsioone: ühtki oma mudelit, tosin AI-funktsiooni SaaSi ja API-de kaudu.

• Kirjaoskus (artikkel 4) kehtib praegu, igale kasutuselevõtjale ja igal riskitasemel.
• Läbipaistvus (artikkel 50) kehtib praegu sellele, mida teie kasutajad näevad: teave vestlusroboti kohta, süvavõltsingute märgistamine, avalikkuse teavitamiseks avaldatud genereeritud tekstide märgistamine.
• Kasutuselevõtja kohustused (artikkel 26) kehtivad alates 2. detsembrist 2027 kõikjal, kus kasutusjuht kuulub III lisa kategooriasse — kandidaatide sõelumine, krediidiotsused, töötajate juhtimine.
• Artikkel 25 on lõks: hetkel, mil ümber märgistate või oluliselt muudate, pärite pakkuja komplekti.

Praktiline kontrollmeede on tarnija kontroll: hankige vastavusdeklaratsioon, kasutusjuhend ja teave, mille esitamise artikkel 13 pakkujale paneb. Kolmandate isikute AI juhend täpsustab, mida lepingus nõuda.

Mis muutub sektoriti?

Kohustused on samad; klassifitseerimise tulemused ja kattuvad režiimid mitte.

• Finantsteenused — krediidiskoorimine ja kindlustuse hinnastamine kuuluvad III lisasse ning seal võlgneb kasutuselevõtja mõjuhinnangu artikli 27 alusel. DORA IKT-riskijuhtimine täidab osaliselt riskijuhtimise artikli, kuid ei kata AI-spetsiifilist andmehaldust ega inimjärelevalvet. Kavandage üks teavitusvoog, mis täidab korraga DORA artikli 19 ja AI seaduse artikli 73. Vt finantssektori juhendit ja DORA / NIS2 lähenemise juhendit.
• Tervishoid ja meditsiiniseadmed — AI kui MDR/IVDR seadme ohutuskomponent kuulub I lisasse, mis kohaldub alates 2. augustist 2028. Olemasolev tehniline toimik ja ISO 13485 kvaliteedisüsteem on alus ning neid tuleb laiendada III peatüki nõuetele; teie teavitatud asutus vajab AI seaduse alusel eraldi määramist.
• Personal ja värbamine — III lisa tööhõive kategooria. Kallutatuse uurimine artikli 10 alusel on peamine riskikoht, läbipaistvus kandidaatide suhtes on kasutuselevõtja kohustus ning ükski lõplik tööalane otsus ei tohi tugineda süsteemile ilma inimeseta, kes saab selle tühistada.
• Avalik sektor — mõjuhinnang on kohustuslik ja kasutuselevõtjad registreerivad oma III lisa süsteemide kasutuse ELi andmebaasis.

Sektorijuhendid käsitlevad üheksat tööstusharu samas struktuuris.

Mis maksab nõuete rikkumine?

Kolm taset ja tavalise ettevõtte jaoks loeb enim keskmine. Artikkel 99 seab 35 miljonit eurot või 7 % ülemaailmsest käibest artikli 5 keeldude eest, 15 miljonit või 3 % enamiku muude kohustuste eest — sealhulgas artikli 50 läbipaistvus ja kogu suure riskiga plokk — ning 7,5 miljonit või 1 % ametiasutustele antud eksitava teabe eest. VKEsid piirab väiksem summa.

Kolmas tase väärib oma suurusega võrreldes ebaproportsionaalset tähelepanu: see karistab halva vastuse eest järelevalveasutusele sõltumata igasugusest alusrikkumisest. Just dokumentatsioon muudab kaitstava seisukoha tõendatavaks. Trahvide juhend avab riskipositsiooni arvutuse.

Mida teha järgmise 90 päeva jooksul

1. Sulgege inventuurilünk — rahanduse tarnijate nimekiri ∪ arenduse mudeliregister.
2. Laske kogu portfell läbi artikli 5 filtri. See on ainus samm, mille külge on seotud juba kehtiv 7 % tase.
3. Viige artikli 50 teated kõigele, mis on kasutaja poole pööratud; kohustus kehtib, mitte ei ole tulemas.
4. Tõendage artikli 4 kirjaoskust: kes, mille kohta ja millal on koolitatud. AI-kirjaoskuse juhend täpsustab, mida ümberkirjutatud artikkel nõuab.
5. Klassifitseerige III lisa kandidaadid ja pange kirja põhjendus, sealhulgas artikli 6 lõike 3 alusel tehtud otsused.
6. Käivitage iga kinnitatud suure riskiga süsteemi jaoks kvaliteedijuhtimissüsteem. 2027. aasta detsember on piirang ja järjekord teavitatud asutustes on teie ees, mitte taga.

Töömallid inventuuriks, riskiregistriks, tehniliseks toimikuks ja tarnijate kontrolliks on vastavuse tööriistakomplektides; AI seaduse akadeemia katab sama välja struktureeritud koolitusena koos sertifitseerimisega.