EL tehisintellekti määrus sektorite kaupa — valdkonnapõhine vastavusjuhend

Valdkonnapõhised EL tehisintellekti määruse vastavusjuhendid tervishoiu, personalijuhtimise, avaliku sektori, transpordi, kindlustuse, jaekaubanduse, VKEde ja hariduse jaoks.

Kuidas sektor kujundab EL tehisintellekti määrusest tulenevat kokkupuudet

EL tehisintellekti määrus on horisontaalne õigusakt — see kohaldub kõikides Euroopa Liidu majandussektorites turule lastavate või kasutusele võetavate tehisintellektisüsteemide suhtes. Siiski ei ole praktiline vastavuskoormuse jaotus ühtlane. Sektor määrab, millised Annex III kõrge riskiga kategooriad on asjakohased, millised olemasolevad regulatiivsed raamistikud loovad kattuvaid kohustusi ning millised riiklikud või ELi tasandi järelevalveasutused omavad jurisdiktsiooni tehisintellekti kasutuselevõtu üle.

Määrus loob astmelise riskiarhitektuuri: keelatud tavad vastavalt Art. 5-le, kõrge riskiga tehisintellekt vastavalt Art. 6-le ja Annex III-le, üldotstarbelistele tehisintellektimudelitele (GPAI) kohalduvad kohustused vastavalt Art. 51 kuni Art. 55-le ning läbipaistvuskohustused vastavalt Art. 50-le. Kõik sektorid peavad järgima keelatud tavade keeldu ja Art. 50 läbipaistvusnõudeid. Annex III kõrge riskiga kohustused kohalduvad valikuliselt, sõltuvalt sellest, millist tehisintellekti organisatsioon kasutab ja mis eesmärgil.

Sektori kokkupuute mõistmine algab operatiivse tehisintellekti kasutusjuhtude kaardistamisest Annex III kategooriate suhtes. Organisatsioonid peavad hindama ka seda, kas kasutatav tehisintellekt moodustab GPAI mudeli vastavalt Art. 3(63)-le, ning kas tarnijasuhted toovad kaasa kohustusi GPAI rakendaja või pakkujana.

Annex III mõistmine sektorite kaupa

EL tehisintellekti määruse Annex III määratleb 8 iseseisva kõrge riskiga tehisintellekti kategooriat. Iga kategooria vastab konkreetsetele tööstusharudele ja tehisintellekti kasutusjuhtudele.

Kategooria 1 — Biomeetria (kõikides sektorites)

Art. 6 koostoimes Annex III punktiga 1 hõlmab tehisintellektisüsteeme füüsiliste isikute biomeetriliseks tuvastamiseks ja biomeetriliseks kategoriseerimiseks. Õiguskaitseasutuste poolt avalikult ligipääsetavates kohtades tehtav reaalajas kaugbiomeetriline tuvastamine on Art. 5(1)(h) alusel keelatud, mitte üksnes kõrge riskiga. Tagantjärele tehtav biomeetriline tuvastamine ning töövaldkonnas, piirivalves, õiguskaitseasutustes (lubatud piirides) ja juurdepääsukontrollis kasutatavad biomeetrilised kategoriseerimissüsteemid jäävad kõrge riskiga kategooriasse. Iga organisatsioon, kes kasutab näotuvastust, sõrmejälgede sobitamist, hääletuvastust või sarnaseid süsteeme oluliste otsuste tegemisel, on reguleerimisalasse hõlmatud.

Kategooria 2 — Kriitiline taristu (transport, energeetika, veevarustus)

Annex III punkt 2 hõlmab tehisintellekti, mida kasutatakse kriitilise digitaalse taristu, maanteeliikluse, veevarustuse, gaasi, kaugkütte ja elektri haldamise ning käitamise ohutuskomponentidena. Transpordiettevõtjad, energiavõrgu haldajad, veeettevõtted ja digitaalse taristu pakkujad peavad hindama, kas nende tehisintellektisüsteemid kvalifitseeruvad siia alla. Ka tehisintellekti määruse Annex I lõikub siin: Annex I reguleeritud toodetesse (masinad, sõidukid, tsiviillennunduse seadmed, raudteesüsteemid) integreeritud tehisintellekti ohutuskomponendid on kõrge riskiga vastavalt Art. 6(1)-le, mitte Annex III alusel.

Kategooria 3 — Haridus ja kutseõpe

Annex III punkt 3 hõlmab tehisintellekti, mis määrab ligipääsu haridusasutustele, suunab õpilasi haridusradadele, hindab eksamite või testide sooritust, hindab õppimistulemusi, mis mõjutavad oluliselt tulevikuvõimalusi, ning jälgib õpilaste käitumist hindamiste ajal. EdTech-platvormid, ülikoolid, kutseõppe pakkujad ja eksamineerimisasutused peavad hindama oma tehisintellektipõhiseid tööriistu nende kriteeriumite alusel.

Kategooria 4 — Tööhõive ja personalijuhtimine

Annex III punkt 4 hõlmab tehisintellekti, mida kasutatakse värbamisel ja valikuprotsessis (CV-de sõelumine, kandidaatide pingerida, automatiseeritud intervjuude analüüs), edutamise, töölepingu lõpetamise, platvormitöötajatele ülesannete jaotamise, töötajate käitumise jälgimise ja tulemuslikkuse hindamise otsuste tegemisel. See kategooria on ulatuselt üks laiemaid — praktiliselt iga organisatsioon, kes kasutab tehisintellektiga toetatud personalijuhtimisprotsesse, peab hindama vastavust. Kohustus kehtib tööandjate, personalibüroode ja jagamismajanduse platvormide kasutatava tehisintellekti suhtes.

Kategooria 5 — Olulised era- ja avaliku sektori teenused (rahandus, kindlustus, tervishoiuga seotud valdkonnad, toetused)

Annex III punkt 5 on laiaim kategooria, hõlmates tehisintellekti, mida kasutatakse füüsiliste isikute krediidivõimelisuse hindamisel ja krediidiskoorimisel, kindlustusriski hindamisel ja hinnakujundusel, avalike toetuste ja sotsiaalteenuste saamise õiguse hindamisel ning erakorralise abi väljastamise otsuste tegemisel. See kategooria mõjutab otseselt panku, kindlustusandjaid, avalikke haldusasutusi ja sotsiaalteenuste pakkujaid. Siia kuulub ka tervisega seotud tehisintellekt, mis hindab isikuid kindlustuse saamise õiguse seisukohast, luues kattuvuse finantsteenuste ja tervishoiu kohustuste vahel.

Kategooriad 6, 7 ja 8 — Õiguskaitse, ränne, õigusemõistmine

Annex III punktid 6, 7 ja 8 on suunatud avaliku sektori asutustele ja nende tehnoloogiatarnijatele. Õiguskaitse tehisintellekt (riskiskooriminetoimepaneku tõenäosuse hindamine, kuritegude ennetamine, tõendite hindamine), rände ja piirivalve tehisintellekt (varjupaigataotluste riskihindamine, dokumentide kontrollimine, taotluste menetlemine) ning õigusemõistmise ja demokraatlike protsesside tehisintellekt (õigusalased uurimisvahendid, valimistega seotud tehisintellekt) on kõik kõrge riskiga. Need kategooriad mõjutavad peamiselt politseiasutusi, piirikontrolliasutusi, immigratsioonikohtunikke, kohtuasutusi ja nende lepingulisi tehisintellekti pakkujaid.

Sektorijuhendid

Kõik allpool loetletud spetsiaalsed juhendid kaardistades EL tehisintellekti määruse kohustused konkreetse sektori regulatiivsesse konteksti, tüüpilistesse tehisintellekti kasutusjuhtudesse ja täitmise tagamise arhitektuuri.

Tervishoid ja bioteadused

Tervishoiu tehisintellekt toimib EL tehisintellekti määruse ning meditsiiniseadmete määruse (MDR) ja in vitro diagnostika määruse (IVDR) lõikumisalal. Meditsiiniseadmetena kvalifitseeruvaid tehisintellektisüsteeme reguleeritakse peamiselt MDR/IVDR alusel, kuid neile kehtivad endiselt tehisintellekti määruse põhiõiguste ja läbipaistvuse kohustused. Annex III punkt 5 hõlmab tehisintellekti, mida kasutatakse terviseriskide hindamisel kindlustuses ja avalike toetuste saamise õiguse hindamisel. Kliinilise otsuse tugisüsteemid, diagnostika tehisintellekt, patsientide triaaži vahendid ja ravimite avastamise tehisintellekt kannavad igaüks spetsiifilisi kohustusi, sõltuvalt nende regulatiivsest klassifikatsioonist.

Personalijuhtimine ja värbamine

Annex III punkt 4 paigutab praktiliselt kõik tehisintellektiga toetatud personalijuhtimisprotsessid kõrge riskiga kategooriasse. CV-sõelumise tööriistad, psühhomeetrilise hindamise platvormid, automatiseeritud intervjuuvideote analüüs, tulemuslikkuse juhtimise süsteemid ja tööjõu planeerimise tehisintellekt peavad täitma pakkuja ja rakendaja kohustusi. See juhend käsitleb tööandjate kohustusi rakendajatena vastavalt Art. 26-le, andmehalduse nõudeid vastavalt Art. 10-le ning lõikumist GDPR-i profileerimispiirangutega.

Avalik sektor ja õigusemõistmine

Avaliku sektori asutused on samaaegselt kõrge riskiga tehisintellekti rakendajad ja üksused, keda riiklikud pädevad asutused kõige lähedasemalt jälgivad. Annex III punktid 5 kuni 8 hõlmavad kollektiivselt suure osa avaliku sektori tehisintellektist: toetuste saamise õiguse hindamine, erakorraliste teenuste tehisintellekt, õiguskaitsevahendid, piirihalduse süsteemid ja kohtu tehisintellekt. See juhend käsitleb avalike rakendajate spetsiifilisi kohustusi, kodanikke mõjutavate automatiseeritud otsuste läbipaistvuse nõudeid ning lõikumist GDPR-i ja õiguskaitsedirektiiviga.

Transport ja kriitiline taristu

Transpordiettevõtjad peavad navigeerima nii Annex III punkti 2 (ohutuskomponendid kriitilises taristus) kui ka Annex I tooteohutusmääruse nõuete vahel. Tehisintellekt autonoomsetes sõidukisüsteemides, raudteeliikluse juhtimises, lennuliikluse juhtimises, sadamaoperatsioonides ja logistikasuunamisel võib käivitada kõrge riskiga klassifikatsiooni mitme erineva tee kaudu. See juhend käsitleb lõikumist EASA regulatsioonide, raudteede ohutusdirektiiviga ning vastavushindamises osalevate teavitatud asutuste rolli.

VKEd

Väikesed ja keskmise suurusega ettevõtted seisavad silmitsi samade EL tehisintellekti määruse kohustustega nagu suured organisatsioonid, kui nad on kõrge riskiga tehisintellekti pakkujad või kõrge riskiga tehisintellekti kasutavad rakendajad. Siiski näeb määrus ette proportsionaalsuse mehhanismid. See juhend selgitab lihtsustatud tehnilise dokumentatsiooni võimalusi, juurdepääsu regulatiivsetele katseruumidele vastavalt Art. 57 kuni Art. 63-le ning seda, kuidas kujundada minimaalne, kuid õiguslikult piisav vastavusprogramm. Samuti käsitletakse VKEde kokkupuudet kolmandate osapoolte tehisintellekti tööriistade rakendajatena.

Kindlustus

Kindlustuse tehisintellekt allub Annex III punktile 5(b) (füüsiliste isikute elu- ja tervisekindlustuse riskihindamine ja hinnakujundus) ning lõikub Solventsus II nõuetega mudelite juhtimise ja sisemodelide kasutamise osas. Mootorsõiduki-, tervise-, vara- ja elukindlustuse hinnakujunduse tehisintellekt, kindlustuskaitse otsuste tööriistad ja automatiseeritud kahjunõuete menetlemise süsteemid vajavad hindamist. See juhend käsitleb EIOPA ja riiklike kindlustuse järelevalveasutuste rolle koos tehisintellekti määruse NCA raamistikuga.

Jaekaubandus ja kõnekeskused

Jaekaubandust ja klienditeenindust mõjutavad peamiselt Art. 50 läbipaistvuskohustused — tehisintellekti loodud sisu avaldamine, jutubotide identifitseerimine ja deepfake'ide märgistamine — ning Annex III punkti 4 alusel tööhõivega seotud tehisintellekt. Klientidele suunatud kontekstides kasutatavad emotsioonituvastussüsteemid on selgesõnaliselt reguleeritud. See juhend käsitleb veebipoe tehisintellekti, soovitusmootorid, automatiseeritud klienditeenindust ja tööjõu juhtimist kontaktkeskustes.

Haridus ja EdTech

Annex III punkt 3 paigutab hariduse tehisintellekti kõrge riskiga kategooriasse juhul, kui see määrab või mõjutab oluliselt ligipääsu haridusradadele või hindab saavutusi. See juhend käsitleb EdTech-pakkujate, ülikoolide, kutseõppe asutuste ja avalike eksamiasutuste kohustusi. See hõlmab kohanduvaid õppeplatvorme, järelevalvetarkvara, automatiseeritud esseede hindamist ja õpilaste riskiennustuse tööriistu.

Finantsektor (pangandus)

Pangandussektori juhend käsitleb Annex III punkti 5(b) krediidiskoorimine ja krediidivõimelisuse hindamist, pettuste tuvastamise tehisintellekti, algoritmilise kauplemise süsteeme, rahapesu tõkestamise/kliendi tundmise (AML/KYC) tööriistu ja robo-nõustamisplatvorme. See uurib EL tehisintellekti määruse kohustuste kihilisust DORA, MiFID II, CRR/CRD ja EBA juhiste peal. Esmatähtis fookus on tehisintellekti määruse mudelite juhtimise nõuete ja EBA juhiste alusel kehtivate olemasolevate mudeliriski juhtimise raamistike vahelisel lõikumisel.

Kõikides sektorites kohalduvad kohustused

Mitmed EL tehisintellekti määruse kohustused kehtivad olenemata sektorist. Iga ELis tegutsev organisatsioon peab mõistma neid põhinõudeid.

Keelatud tavad — Art. 5

Art. 5 kehtestab absoluutsed keelud, mis on jõustunud alates 2. veebruarist 2025. Need kehtivad kõikidele sektoritele ilma eranditeta: kahju tekitavad subliminaalsed manipulatsioonivõtted, füüsiliste isikute haavatavuste ärakasutamine, avalike asutuste poolt teostatav sotsiaalne skooriminetoimepaneku tõenäosuse hindamine, õiguskaitseasutuste poolt avalikes kohtades teostatav reaalajas kaugbiomeetriline tuvastamine (kitsad erandid on lubatud), emotsioonituvastamine töökohtades ja haridusasutustes (väljaspool määratletud kasutusi), tundlike omaduste põhjal biomeetriline kategoriseerimine ning üksnes profileerimisele tuginev kuritegude ennetamine. Ükski valdkonnapõhine erand ei tühista neid keelde.

Läbipaistvuskohustused — Art. 50

Art. 50 kohustab füüsiliste isikutega suhtlevate tehisintellektisüsteemide pakkujaid ja rakendajaid avaldama interaktsiooni tehisintellekti olemuse. See kohaldub jutubotide, virtuaalsete assistentide, automatiseeritud kõnekeskuse süsteemide ja kõigi tehisintellektisüsteemide suhtes, mis on loodud inimesena esinemiseks. Tehisintellekti loodud sisu — sünteetiline meedia, deepfake'id, tekst — peab olema masinloetavalt märgistatud. Need kohustused kehtivad jaekaubandusele, finantsteenustele, tervishoiu patsiendile suunatud vahenditele, avaliku sektori kodanikuteenustele ja kõikidele teistele sektoritele, kes kasutavad vestluslikku või generatiivset tehisintellekti.

GPAI mudeli kohustused — Art. 51 kuni Art. 55

Organisatsioonid, kes kasutavad GPAI mudeleid — suuremahulised keelemudelid, alusmudelid, multimodaalne tehisintellekt —, peavad hindama, kas nad on kolmanda osapoole GPAI mudeli rakendajad või GPAI-integreeritud süsteemi pakkujad. GPAI pakkujatel on kohustused vastavalt Art. 53-le (läbipaistvus allpool asuvate pakkujate suhtes, autoriõiguse poliitika, kokkuvõte treenimisandmetest). Süsteemse riskiga GPAI mudelitel on täiendavad kohustused vastavalt Art. 55-le. Iga sektor, kes kasutab kaubanduslike alusmudelite API-sid või ise majutatud alusmudeleid, peab neid kohustusi hindama.

VKEd ja proportsionaalsed kohustused

VKEd moodustavad enamuse ELi ettevõtetest ning üha kasvava osa tehisintellektisüsteemide pakkujatest ja rakendajatest. EL tehisintellekti määrus ei loo VKEdele üldist erandit, kuid Art. 9(5), Art. 11 ja Art. 16 nõuavad, et pakkuja kohustused oleksid proportsionaalsed organisatsiooni suuruse ja võimekusega.

Regulatiivse katseruumi raamistik (Art. 57 kuni Art. 63) on spetsiaalselt loodud selleks, et pakkuda VKEdele ja idufirmadele juhendatud arenduskeskkondi, vähendatud regulatiivset ebakindlust ning otsest juurdepääsu riiklike pädevate asutuste juhendamisele. Osalemine ei taga vastavuse kinnitust, kuid pakub struktureeritud teed uuenduslike tehisintellektitoodete turule toomiseks.

VKEde puhul, kes tegutsevad kolmanda osapoole pakutava kõrge riskiga tehisintellekti rakendajatena, kohalduvad Art. 26 kohustused — kasutusjuhtude hindamine, inimese järelevalve rakendamine, põhiõiguste mõju hindamine. Vajaliku dokumentatsiooni ja seire ulatus on proportsionaalne, kuid juriidilisi kohustusi ei loobuta.

Spetsiaalne VKE juhend pakub väiksematele organisatsioonidele kohandatud vastavuse tegevuskava, mis hõlmab prioritiseerimist, minimaalset elujõulist dokumentatsiooni, tarnijate hoolsuskohustust ja katseruumi juurdepääsu protseduure.

Täitmise tagamine

EL tehisintellekti määrus loob kihilise täitmise tagamise arhitektuuri, millel on olulised valdkonnapõhised dimensioonid.

Riiklikud pädevad asutused

Iga ELi liikmesriik määrab ühe või mitu riiklikku pädevat asutust (NCA) vastavalt Art. 70-le. NCA-d vastutavad regulatiivsete katseruumide lubamise, turujärelevalve teostamise, pakkujatelt müügijärgse jälgimise andmete vastuvõtmise, kahtlustatavate rikkumiste uurimise ning vastavalt Art. 99 kuni Art. 101-le halduskaristuste määramise eest. Maksimaalsed trahvid ulatuvad 35 miljoni euroni või 7%-ni ülemaailmsest aastakäibest Art. 5 keelatud tavade rikkumise korral.

Sektori regulaatorid turujärelevalve asutustena

Art. 74(8) ja Art. 74(9) näevad ette, et sektori regulaatorid toimivad oma valdkondades tehisintellekti turujärelevalve asutustena. Euroopa Pangandusjärelevalvel (EBA), Euroopa Kindlustus- ja Tööandjapensionide Järelevalvel (EIOPA), Euroopa Väärtpaberiturujärelevalvel (ESMA), Euroopa Ravimiametil (EMA) ja Euroopa Liidu Lennundusohutusametil (EASA) on igaühel rollid tehisintellekti järelevalves nende regulatiivsetes perimeeterdes. See loob kahetasandilise täitmise tagamise kokkupuute: panga krediidiskoorimine tehisintellekti võib uurida nii riiklik finantsregulaator, kes kohaldab Annex III kohustusi, kui ka NCA, kes teostab tehisintellekti määruse turujärelevalvet.

Euroopa tehisintellekti amet

Euroopa tehisintellekti amet, mis on asutatud vastavalt Art. 64 kuni Art. 70-le, omab otsest täitmise tagamise volitust GPAI mudeli pakkujate üle. Organisatsioonide puhul, kes kasutavad süsteemse riskiga GPAI mudeleid, on tehisintellekti amet peamine regulatiivne vastaspool — mitte riiklik NCA. Sektori regulaatoritel puudub otsene jurisdiktsioon GPAI mudelite kui selliste üle, kuigi GPAI-d integreerivad allpool asuvad tehisintellektisüsteemid jäävad riikliku ja sektori järelevalve alla.

Täitmise tagamise ajakava

Art. 5 alusel kehtivate tavade keeld on kohaldunud alates 2. veebruarist 2025. GPAI kohustused vastavalt Art. 51 kuni Art. 55-le jõustusid 2. augustil 2025. Annex III kõrge riskiga tehisintellektisüsteemide täielikud kohustused — mis hõlmavad kõiki kaheksat kategooriat ning kõiki pakkuja ja rakendaja kohustusi — kohalduvad alates 2. detsembrist 2027 (pikendatud algsest 2. augusti 2026 tähtajast 2025. aasta digitaalse ühtse turu muudatusega). Kõikide sektorite organisatsioonid peaksid käsitlema ajavahemikku kuni detsembrini 2027 aktiivse vastavusaknana, mitte üleminekuperioodina.