Avalik sektor ja õiguskaitse — EL-i tehisintellekti määruse nõuetele vastavus

EL-i tehisintellekti määruse kohustused tehisintellekti kasutamisel avalikus halduses, õiguskaitseasutustes, piirikontrollis ja kohtusüsteemis. Hõlmab Annex III kategooriaid 5–8 ning kohustuslikke põhiõiguste mõju hindamisi.

Avalik sektor ja tehisintellekti määrus — miks valitsus on kõrgeima riskiga kasutuselevõtja

EL-i tehisintellekti määrus (Euroopa Parlamendi ja nõukogu määrus (EL) 2024/1689) kohaldub horisontaalselt kõigis sektorites, kuid kohustuslike nõuete kõige tihedam koondumine langeb avaliku sektori asutustele. Valitsusasutused, õiguskaitseasutused, kohtuinstitutsioonid ja piirihaldusasutused on samaaegselt nii olulisi tagajärgi omava tehisintellekti suurimad rakendajad kui ka need, kelle tehisintellekti kasutamine loob põhiõigustele suurima struktuurse riski. Määrus peegeldab seda asümmeetriat kahel struktuursel viisil.

Esiteks käsitleb neljast kaheksast Annex III kõrge riskiga kategooriast otseselt avaliku sektori tehisintellekti — kategooriad 5 kuni 8 hõlmavad olulisi avalikke teenuseid, õiguskaitset, rände- ja piirikontrolli ning õigusemõistmist. Need kategooriad ei ole üldised järelejäänud kategooriad: need loetlevad spetsiifilisi tehisintellektirakendusi, mida sageli kasutatakse valitsuse toimingutes ja mis kannavad oma definitsioonist tulenevalt klassifikatsiooni taseme riski.

Teiseks kehtestab Art. 27 avaliku sektori asutustele kohustusliku põhiõiguste mõju hindamise (FRIA) enne kõrge riskiga tehisintellektisüsteemide kasutuselevõttu. Erasektori kasutuselevõtjatele on FRIA tungivalt soovitatav; avaliku sektori asutustele on see seaduslik kohustus. Hindamine peab käsitlema tehisintellektisüsteemi mõju isikute õigustele vastavalt EL-i põhiõiguste hartale, sealhulgas õigust väärikusele (Art. 1), isikuandmete kaitsele (Art. 8), tõhusale õiguskaitsevahendile (Art. 47) ja süütuse presumptsioonile (Art. 48).

Avaliku sektori asutuste vastavusmaastik on veelgi keerulisem tehisintellekti määruse kohustuste kihitumise tõttu olemasolevate valdkonnapõhiste raamistike peale: õiguskaitseasutuste direktiiv 2016/680, Schengeni infosüsteemi määrus, Frontexi määrus 2019/1896, isikuandmete kaitse üldmäärus ja Euroopa inimõiguste konventsiooni põhiseaduslikud nõuded Euroopa Inimõiguste Kohtu tõlgenduses. Kõik need raamistikud loovad sõltumatuid kohustusi, mida tuleb täita paralleelselt EL-i tehisintellekti määruse nõuetega.

Kõrge riskiga tehisintellektisüsteemid — kategooriad 5 kuni 8

Annex III, kategooria 5 — olulised avalikud teenused ja toetuste hindamine

Annex III punkt 5(b) klassifitseerib kõrge riskiga süsteemidena kõik tehisintellektisüsteemid, mida kasutatakse füüsiliste isikute abikõlblikkuse hindamiseks oluliste avalike toetuste ja teenuste suhtes ning sellealaste otsuste tegemiseks. See kategooria hõlmab heaoluriigi tehisintellekti kogu spektrit:

• Automaatne töötushüvitiste hindamine: tehisintellektisüsteemid, mis määravad, kas taotleja vastab abikõlblikkuse kriteeriumidele tööhõiveandmete, tööotsingutegevuse või vahendite hindamise alusel.
• Eluaseme- ja puudetoetuste otsused: algoritmilised tööriistad, mis hindavad sotsiaaleluaseme prioriteetsuseks, puudetoetuse õiguseks või isikliku sõltumatuse toetuste taotlusi.
• Sotsiaalkindlustuspettuste tuvastamine: tehisintellekti profileerimissüsteemid, mis genereerivad riskiskooreid kahtlustatavate toetuspettuste kohta, mis võib käivitada uurimisi või maksete peatamise.

Punkt 5(b) hõlmab ka füüsiliste isikute krediidivõimelisuse ja kindlustuse tehisintellekti, kuigi peamine avaliku sektori kokkupuude on toetuste ja teenuste abikõlblikkuse hindamisel. Kõigil juhtudel kinnitub klassifikatsioon siis, kui tehisintellektisüsteemil on oluline mõju avaliku teenuse kättesaadavusele — olenemata sellest, kas lõppotsuse teeb inimametnik.

Annex III, kategooria 6 — õiguskaitse

Kategooria 6 hõlmab õiguskaitseasutuste poolt kolmes valdkonnas kasutatavat tehisintellekti:

Riskihindamine ja profileerimine: tehisintellektisüsteemid, mis hindavad isiku tõenäosust panna toime kuritegu, retsidiivsust või julgeolekuohtu — sh retsidiivsuse hindamise tööriistad, mida kasutatakse kohtueelse kinnipidamise ärakuulamistel, tingimisi vabastamise otsustes ja karistuse soovitustes. Need süsteemid on kõrge riskiga Annex III punkti 6(a) kohaselt.

Avastamine ja analüüs uurimiste käigus: tehisintellekt emotsionaalsete seisundite, isiksuseomaduste või petliku käitumise tuvastamiseks näoilmete, hääle või füsioloogiliste näitajate põhjal kriminaaluurimistes. Art. 5(1)(f) keelab eraldi tehisintellektisüsteemid, mis järeldavad isikute emotsioone õiguskaitse ja piirikontrolli kontekstis, välja arvatud spetsiifiliste ohutuse eesmärkide jaoks, tõmmates sellele kasutusjuhtumile kindla välispiiri.

Deepfake'ide ja dokumentide tuvastamine: tehisintellekt, mida kasutatakse manipuleeritud digitaalse sisu tuvastamiseks või dokumentide autentsuse hindamiseks kriminaalmenetlustes — klassifitseeritud kõrge riskiga Annex III punkti 6(c) kohaselt.

Annex III, kategooria 7 — ränne, varjupaik ja piirikontroll

Kategooria 7 kohaldub tehisintellektile, mida kasutatakse rände- ja piirihalduse kontekstis:

Riskihindamine piiridel: tehisintellektisüsteemid, mis hindavad ebaseadusliku rände riski või genereerivad ohuskooreid piire ületavatele isikutele — sh SIS-iga integreeritud profileerimistööriistad ja Frontexi riskianalüüsi süsteemid, mis tegutsevad määruse 2019/1896 alusel.

Dokumentide ja isiku tuvastamine: tehisintellektisüsteemid, mis hindavad reisidokumentide, viisade, elamislubade või isikut tõendavate dokumentide autentsust piiriületuse või immigratsiooni eesmärgil.

Varjupaigataotluste menetlemine: tehisintellekt, mis uurib varjupaigataotlusi, hindab üksikisiku väidete usaldusväärsust või profileerib taotlejaid kiirendatud või lihtsustatud menetluste jaoks.

Kõiki kategooria 7 süsteeme tuleb hinnata vastavuse osas mitte ainult tehisintellekti määrusega, vaid ka pagulaskonventsiooniga (1951), EL-i harta Art. 18-ga (varjupaigaõigus) ja non-refoulement'i põhimõttega ECHR-i kohtupraktika tõlgenduses — põhiseaduslik piirang, mida Art. 27 kohane FRIA peab sõnaselgelt käsitlema.

Annex III, kategooria 8 — õigusemõistmine ja demokraatlikud protsessid

Kategooria 8 käsitleb kohtusüsteemis endas kasutatavat tehisintellekti:

Kohtutöö toetav tehisintellekt: süsteemid, mis aitavad kohtupraktikat uurida, kohaldatavaid õigusnorme tuvastada või kohtunike, prokuröride või kohtuhaldajate jaoks õiguslikku argumentatsiooni struktureerida — kõrge riskiga Annex III punkti 8(a) kohaselt.

Ennustava õiguse tööriistad: tehisintellektisüsteemid, mis ennustavad kohtuvaidluste tõenäolist tulemust, karistuspiire või kohtuotsuseid ajalooliste kohtuandmete põhjal. Need süsteemid tekitavad teravaid probleeme seoses EL-i harta Art. 47-ga õiguse kohta õiglasele kohtulikule arutamisele, kuna nende kasutamine kohtuotsuste tegemisel võib struktuuriliselt kahjustada pooli, kelle profiilid erinevad ajaloolistest normidest.

Kategooria 8 ei keela tehisintellektiabiga kohtulikku tööd; see allutab selle kõrge riskiga vastavusrežiimile ja nõuab, et kohtud ja justiitsministeeriumid tagaksid, et tehisintellekti väljundid on alati sisulise inimkontrolli all — kohtunik või otsuse tegija peab saama ja praktikas peab tehisintellekti väljundit kõrvale jätma, kui see ei ole asjakohane.

Kohustuslikud nõuded avaliku sektori kasutuselevõtjatele

Avaliku sektori asutused, kes tegutsevad tehisintellekti määruse kohaselt kõrge riskiga tehisintellektisüsteemide kasutuselevõtjatena, kannavad Art. 26 ja Art. 27 kohaselt määratletud, mitteüleantavate kohustuste kogumit.

Põhiõiguste mõju hindamine (Art. 27)

FRIA on avaliku sektori kasutuselevõtjate jaoks kõige eripärasem kohustus. See tuleb läbi viia enne kasutuselevõttu ja see peab käsitlema: süsteemi konkreetseid õigusi mõjutavaid eesmärke; isikute kategooriaid, kelle õigusi võidakse mõjutada; kahju prognoositavaid riske ning nende riskide tõenäosust ja raskust; kuidas olemasolevad õiguslikud kaitsemeetmed neid riske leevendavad; ja meetmeid, mis on võetud süsteemi jälgimiseks pärast kasutuselevõttu. Lõpetatud FRIA tuleb taotluse korral esitada riiklikule tehisintellekti järelevalveasutusele ning seda tuleb ajakohastada, kui süsteemi muudetakse või see võetakse kasutusele uues kontekstis.

Inimkontroll ja määratud vastutus

Art. 26(1) nõuab, et kasutuselevõtjad määraksid kõrge riskiga tehisintellektisüsteemide inimkontrolli füüsilistele isikutele, kellel on vajalik pädevus, volitused ja ressursid sekkumiseks. Avalikus halduses tähendab see, et igal isikuid mõjutaval automatiseeritud protsessil — olgu tegemist toetuste abikõlblikkuse, piiri riskiskoori või kohtutöö toetava väljundiga — peab olema tuvastatud ametnik, kes saab süsteemi väljundit alistada ning keda ei sunnita struktuuriliselt sellele toetuma.

Läbipaistvus mõjutatud isikute suhtes

Art. 13 nõuab kasutuselevõtjatelt, et tehisintellektiabiga otsuste adressaate teavitataks selgelt tehisintellektisüsteemi kasutamisest. Avalikus halduses nõuab see kohustus tavaliselt tehisintellekti kasutamise teadete lisamist otsuskirjadesse, halduslikesse teadetesse ja ärakuulamismenetlustesse. Art. 86 kaitseb järelevalveasutustele vastavuse jälgimise kontekstis esitatud andmete konfidentsiaalsust, pakkudes tundliku sisedokumentatsiooni avalikustamise võimalust ilma avaliku kokkupuuteta.

Logimine, arvestuse pidamine ja intsidentidest teatamine

Kasutuselevõtjad peavad säilitama tehisintellektisüsteemi tegevuse operatsiooniloge minimaalse perioodi jooksul — enamiku kõrge riskiga süsteemide puhul vähemalt kuus kuud, pikendatud säilitamistähtajaga juhul, kui aluseks oleva haldusmenetluse reguleeriv õigusraamistik seda nõuab. Tõsistest intsidentidest — surmaga lõppenud, raskeid vigastusi, olulist varalist kahju või põhiõiguste rikkumisi põhjustavaid intsidente — tuleb teatada pädevale riiklikule tehisintellekti järelevalveasutusele põhjendamatu viivituseta.

Keelatud tegevused avalikus halduses

Teatud tehisintellektipraktikad on absoluutselt keelatud EL-i tehisintellekti määruse Art. 5 kohaselt. Avaliku sektori asutuste jaoks on kolmel keelul otsene operatiivne tähtsus.

Art. 5(1)(c) — avalike asutuste sotsiaalne hindamine: keelatud on tehisintellektisüsteemid, mis hindavad või klassifitseerivad isikuid nende sotsiaalse käitumise või isiksuseomaduste alusel, genereerides skoori, mida kasutatakse avalike teenuste, toetuste või õigusliku kohtlemise kättesaadavuse määramiseks. See keeld on suunatud spetsiaalselt avalikele asutustele ja on suunatud nn sotsiaalse krediidi mehhanismide vastu olenemata sellest, kuidas neid nimetatakse või struktureeritakse.

Art. 5(1)(d) — reaalajas kaugbioõmeetriline tuvastamine avalikes kohtades: tehisintellektiga reaalajas kaugbioõmeetriliste tuvastussüsteemide (näotuvastus, kõnnaku analüüs või muud biomeetrilised tööriistad) kasutamine avalikult juurdepääsetavates kohtades õiguskaitseasutuste poolt on keelatud, välja arvatud kolmel kitsas erandil: kadunud laste sihipärane otsimine; konkreetsete, otseste terrorismiohude ennetamine; ja tõsiste kuritegude kahtlusaluste tuvastamine, kus on saadud eelnev kohtu- või sõltumatu haldusluba. Need erandid on ammendavad; ükski üldine jälgimisprogramm ei kvalifitseeru.

Art. 5(1)(e) — subliminaalsed ja manipulatiivsed tehnikad: tehisintellektisüsteemid, mis kasutavad teadvuse läve all toimivaid tehnikaid isiku käitumise manipuleerimiseks või mis kasutavad ära konkreetsete rühmade haavatavusi, on keelatud kõigile kasutuselevõtjatele, sealhulgas avaliku sektori asutustele.

Täitmine — järelevalveasutused ja kontrolli mehhanismid

Tehisintellekti määruse täitmise arhitektuur avalikus sektoris hõlmab mitut pädevate asutuste kihti.

Art. 70 kohaselt määratud riiklikud tehisintellekti järelevalveasutused on määruse peamised täitevasutused igas liikmesriigis. Enamikus jurisdiktsioonides on need olemasolevate andmekaitseametitega integreeritud või nendega tihedalt seotud. Neil on volitused viia läbi auditeid, nõuda tehnilist dokumentatsiooni ja FRIA tulemusi, anda korrigeerivaid korraldusi ja määrata halduskaristusi.

Avaliku sektori asutustele määratavad trahvid sõltuvad liikmesriikide äranägemisest Art. 99(6) kohaselt: liikmesriigid võivad sätestada, et avalikele asutustele ei kohaldata rahalisi karistusi, kuid peavad tagama, et alternatiivsed järelevalve- ja korrigeerivad mehhanismid — sh kohustuslikud auditid, nõuetele mittevastavuse tulemuste avaldamine ja tehisintellektisüsteemi kasutamise peatamine — on kättesaadavad. See kaalutlusõigus ei laiene nõuetele mittevastavuse lubamisele; see puudutab üksnes rahalise karistuse mehhanismi.

Andmekaitseasutused (DPA-d) ja EDPB säilitavad paralleelse pädevuse avaliku sektori tehisintellekti isikuandmete töötlemise mõõtme üle vastavalt GDPR-ile ja LED-ile. GDPR-i või LED-i kohustuste täitmatajätmine tehisintellektisüsteemi toimimise kontekstis on DPA täitmise alla kuuluv, sõltumatult tehisintellekti määruse järelevalveasutusest.

Euroopa Inimõiguste Kohus kujutab endast välist põhiseaduslikku piirangut: algoritmiliste protsesside alusel tehtud otsused — eriti kriminaalõiguse ja immigratsiooni valdkonnas — peavad vastama konventsiooni standarditele Art. 6 (õiglane arutamine) ja Art. 8 (eraelu) osas, nagu neid on tõlgendatud ECHR-i arenevas kohtupraktikas automatiseeritud otsuste tegemisel.

Rakendamise tegevuskava valitsusasutustele

1. etapp — tehisintellektisüsteemide inventuur ja klassifitseerimine (kuud 1–3)

Avaliku sektori asutused peavad esmalt koostama põhjaliku inventuuri kõigist kasutatavatest või hankimisel olevatest tehisintellektisüsteemidest. Iga süsteemi tuleb hinnata Annex III kategooriate 5–8 ja Art. 5 keelutingimuste suhtes. Isikuandmete töötlemist hõlmavaid süsteeme tuleb samaaegselt hinnata GDPR-i ja LED-i nõuete suhtes. Selle etapi tulemus on klassifitseeritud inventuur — keelatud, kõrge riskiga, piiratud riskiga või minimaalse riskiga —, mis juhib vastavusprogrammi.

2. etapp — põhiõiguste mõju hindamised (kuud 3–6)

Iga tuvastatud kõrge riskiga süsteemi puhul peavad avaliku sektori asutused tellima ja lõpetama FRIA vastavalt Art. 27-le. See nõuab juriidilist, tehnilist ja poliitikaalast panust: juriidiline analüüs kaalul olevatest õigustest; tehniline dokumentatsioon süsteemi toimimise, treeningandmete ja teadaolevate tõrgete kohta; ning poliitiline hinnang kättesaadavate leevendavate meetmete kohta. FRIA-d peavad olema dokumenteeritud ja valmis esitamiseks järelevalveasutustele.

3. etapp — tarnijate kontrollimine ja hangete reform (kuud 3–9)

Avalikud hankeprotsessid peavad olema uuendatud, et nõuda tehisintellekti tarnijatelt EL-i tehisintellekti määruse nõuetele vastavuse tõendamist lepingu sõlmimise tingimusena. Kasutuselevõtjad peavad enne kasutuselevõttu kontrollima CE-märgist, vastavusdeklaratsiooni, tehnilist dokumentatsiooni ja turujärelevalve kohustusi. Avaliku sektori asutused, kes tegutsevad ühisoperaatoritena või kaasväljarendijatena tehnoloogiatarnijatega, peavad lepinguliselt selgitama vastutuse jaotust vastavushindamise kohustuste osas.

4. etapp — operatiivsed kaitsemeetmed ja töötajate koolitus (kuud 6–12)

Iga kõrge riskiga tehisintellektisüsteemi jaoks tuleb määrata inimkontrolli eest vastutavad ametnikud, neid tuleb koolitada süsteemi võimaluste ja piirangute osas ning varustada tühistamismenetlustega. Mõjutatud isikutele mõeldud läbipaistvusteated tuleb koostada ja integreerida olemasolevatesse haldusmenetlustesse. Logimistaristu tuleb kontrollida või luua. Intsidentidest teatamise protokollid tuleb integreerida olemasolevate haldus- ja andmekaitse intsidentide haldamise protsessidega.

5. etapp — pidev seire ja iga-aastane ülevaatus

Kõrge riskiga tehisintellektisüsteemide nõuetele vastavus ei ole ühekordne sertifitseerimisharjutus. Turujärelevalve kohustused nõuavad, et avaliku sektori asutused jälgiksid aktiivselt süsteemi jõudlust, dokumenteeriksid kõik muutused täpsuses, erapoolikuses või käitumises ning ajakohastaksid FRIA-sid oluliste muutuste korral. Riikliku seaduse kohaselt nõutav järelevalveasutustele iga-aastane aruandlus peab olema toetatud seire programmi käigus genereeritud dokumentatsiooniga.