AI Act jõustub päriselt: mida iga Eesti ettevõte peab 2. augustiks 2026 teadma

Kui sinu ettevõttes kasutab keegi ChatGPT-d, Copilotit või mõnda muud AI-tööriista — ja 2026. aastal on see pigem reegel kui erand — siis puudutab Euroopa Liidu tehisintellekti määrus ehk AI Act ka sind. 2. augustil 2026 jõustub määruse põhiosa ja koos sellega esimesed kohustused, mille rikkumise eest saab päriselt trahvi teha.

Hea uudis: enamiku Eesti ettevõtete jaoks ei ole see hirmutav bürokraatiamägi, vaid mõistlik korrapidamise harjutus, mille suurem osa tuleks niikuinii ära teha. Halb uudis: seda ei saa enam edasi lükata mõttega "eks vaatame, kui juhised tulevad". Kohustused jõustuvad kindla kuupäevaga sõltumata sellest, kas ettevõte on valmis või mitte — täpselt nagu omal ajal GDPR-iga, mille puhul viimasele minutile jätnud ettevõtted maksid kinni nii kiirustamise kui ka vead.

Selgitame keerulise asja lihtsalt lahti: kes on mõjutatud, mis kuupäevad päriselt loevad, kus Eesti ettevõtted AI-d täna üldse kasutavad, mida määrus tähendab protsesside kaupa — ja mida teha AI-agentidega, mille kohta enamik ettevõtteid pole veel jõudnud küsidagi.

Mis asi on AI Act ja miks see kõiki puudutab

AI Act on maailma esimene terviklik tehisintellekti seadus. See jõustus juba 1. augustil 2024, aga rakendub etappide kaupa — umbes nagu kunagi GDPR, millele anti ettevõtetele kaks aastat kohanemisaega. Määrus kehtib otse, Eesti eraldi seadust vastu võtma ei pea.

Kõige olulisem arusaam on see, et AI Act ei reguleeri ainult neid, kes AI-süsteeme ehitavad. Määrus jagab osapooled kahte suurde rolli:

Pakkuja (provider) on see, kes AI-süsteemi arendab ja turule toob — OpenAI, Google, Microsoft, aga ka Eesti tarkvarafirma, kes müüb AI-põhist toodet. Ja tähelepanu: kui lased endale ehitada AI-lahenduse või arendad selle ise ja hakkad seda oma kaubamärgi all pakkuma, võid ka ise pakkuja rolli sattuda.

Juurutaja (deployer) on see, kes AI-süsteemi oma töös kasutab. Ehk sisuliselt iga ettevõte, kus AI-ga tehakse tööd — koostatakse pakkumisi, analüüsitakse andmeid, vastatakse klientidele.

Enamik Eesti ettevõtteid on juurutajad. Ja juurutajatel on omad kohustused, mis on õnneks pakkujate omadest oluliselt kergemad — aga need on olemas ja need jõustuvad nüüd.

Kus Eesti ettevõtted AI-d päriselt kasutavad — ja kus mitte

Enne kui rääkida kohustustest, tasub vaadata, kus AI Eesti ettevõtetes üldse töötab. Statistikaameti 2025. aasta IT-uuringu järgi kasutas AI-d umbes 23% Eesti ettevõtetest — aasta varem oli see näitaja 14% ringis, nii et kasv on kiire. Eesti ületas esimest korda EL-i keskmise, kuid jääb endiselt selgelt maha Põhjamaadest, kus Taani on 42% ja Soome 38% juures.

Protsesside kaupa on pilt kõnekas. AI-d kasutatakse kõige rohkem administratiivsetes protsessides (11,3% ettevõtetest) ning müügis ja turunduses (11,0%). Finantsjuhtimises on näitaja kõigest 5,8% ja tootmisprotsessides 4%. Tööriistadest domineerivad tekstigeneraatorid (15% ettevõtetest), samas kui masinõpet kasutab vaid 4% — ehk valdav osa Eesti AI-kasutusest on tekstipõhine kontoritöö, mitte süsteemne andmetöötlus.

Kaks järeldust. Esiteks: suurim kasutamata potentsiaal on just seal, kus numbrid on väikesed — finantsis, dokumenditöös ja otsustoes, kus korduvat ja reeglipõhist tööd on kõige rohkem. Teiseks: suurte ja väikeste vahe on drastiline. Suurettevõtetest kasutab AI-d üle poole (53%), alla 50 töötajaga ettevõtetest umbes viiendik. Sama lõhet kirjeldasime artiklis kas oled 5% liider või 95% pealtvaataja — vahe ei teki tööriistadest, vaid juhtimisest.

Ja siia tekib AI Acti vaatest huvitav paradoks: ettevõtte ametlik AI-kasutus on sageli väiksem kui tegelik. Eestis kasutas 2025. aastal generatiivset AI-d isiklikult ligi pool elanikkonnast. Kui ettevõttes on AI ametlikult "kasutusele võtmata", aga töötajad kasutavad seda oma kontodelt iga päev, siis määruse mõttes ettevõte juurutab AI-d ikkagi — lihtsalt ilma ülevaate, reegliteta ja kaitseta.

Tähtajad, mis on juba möödas — ja see, mis nüüd tuleb

Kaks kohustust kehtivad juba praegu, ja paljud ettevõtted ei tea seda.

Alates 2. veebruarist 2025 on keelatud teatud AI-praktikad: näiteks inimeste sotsiaalne skoorimine, alateadlik manipuleerimine ja emotsioonituvastus töökohal värbamise või töötajate hindamise eesmärgil. Samast kuupäevast kehtib ka AI-kirjaoskuse kohustus: ettevõte peab tagama, et töötajad, kes AI-süsteeme kasutavad, mõistaksid piisavalt nende võimalusi ja riske. See ei tähenda, et igaüks peaks masinõpet tundma — see tähendab, et inimesed peavad teadma, mida tööriist teeb, kus ta eksib ja mida sinna sisestada ei tohi.

Alates 2. augustist 2025 kehtivad reeglid üldotstarbeliste AI-mudelite (nagu GPT ja Claude'i mudelid) pakkujatele.

2. augustil 2026 jõustub määruse põhiosa. Sellest hetkest kehtivad muu hulgas läbipaistvuskohustused ja riikide järelevalveasutused saavad õiguse trahve määrata.

Mida 2. august 2026 sinu ettevõttele konkreetselt tähendab

Kõige käegakatsutavamad on läbipaistvuskohustused (määruse artikkel 50). Lihtsas keeles:

Kui su ettevõtte veebilehel töötab juturobot, peab inimene aru saama, et ta räägib AI-ga — kas selge märkega või nii, et see on ilmselge. Kui toodad AI-ga pilte, videoid või helisalvestisi, peab AI-loodud sisu olema masinloetavalt märgistatud. Kui avaldad AI-ga kirjutatud teksti avalikkust puudutavatel teemadel ilma inimese toimetuseta, tuleb see avalikustada. Deepfake-sisu tuleb alati märgistada.

Nende nõuete rikkumise eest võib trahv ulatuda 15 miljoni euroni või 3 protsendini ülemaailmsest aastakäibest. Keelatud praktikate puhul kuni 35 miljonit või 7 protsenti. Väikeettevõtetele on ette nähtud leebemad määrad, aga põhimõte on sama: alates augustist on AI-korrata olemine rahaline risk, mitte ainult maineküsimus.

Eestis hakkab järelevalvet tegema Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA), isikuandmetega seotud küsimustes Andmekaitse Inspektsioon.

Mida AI Act tähendab protsesside kaupa

Abstraktsed riskitasemed muutuvad selgeks, kui vaadata konkreetseid tööprotsesse — sealsamu, kus Eesti ettevõtted AI-d juba kasutavad või kasutamata jätavad.

Administratiivtöö ja dokumendid. Koosolekute kokkuvõtted, kirjade mustandid, tõlked, protokollid — valdavalt minimaalne risk, erikohustusi pole. See on ühtlasi koht, kus AI toob kõige kiirema ajavõidu, mistõttu siit tasubki alustada. Ainus päris nõue: inimesed peavad teadma, mida konfidentsiaalsega teha tohib (kodukord + kirjaoskus).

Müük ja turundus. Siin lööb sisse läbipaistvus: AI-ga toodetud pildid, videod ja avalikud tekstid vajavad alates augustist märgistust, kui inimene pole neid sisuliselt toimetanud. Praktiline rusikareegel: kui AI kirjutab ja inimene toimetab ning vastutab, oled turvatsoonis; kui AI toodab ja avaldab otse, vajad märgistust.

Klienditeenindus. Juturobot peab end AI-na tuvastatavaks tegema — see on augustist kohustus, mitte viisakus. Kui robot menetleb ka kaebusi või teeb otsuseid (hüvitised, tagastused), liigud kõrgema riski suunas ja vajad inimese sekkumispunkte.

Finants ja otsustugi. Just seal, kus Eesti ettevõtete kasutus on kõige väiksem (5,8%), on ka kõige rohkem võita — arvete töötlus, aruandluse automatiseerimine, "vestle oma numbritega" lahendused on valdavalt madala riskiga. Aga piir jookseb otsustamise juures: kui AI hakkab sisuliselt otsustama inimeste krediidivõimet või kindlustusriski, on tegu kõrge riskiga süsteemiga.

Personalitöö ja värbamine. Siin on kõige rohkem punaseid jooni. CV-de automaatne sõelumine ja kandidaatide pingeritta seadmine on kõrge riskiga kasutus (nõuded jõustuvad 2027. aasta lõpus), emotsioonituvastus töövestlusel on üldse keelatud. AI võib värbajat abistada — kokkuvõtteid teha, kuulutusi kirjutada —, aga otsus peab jääma inimesele ja protsess peab olema dokumenteeritud.

AI-agendid ja AI Act: küsimus, milleni enamik pole veel jõudnud

2026. aasta suurim muutus AI-kasutuses ei ole parem vestlusrobot, vaid AI-agendid — süsteemid, mis ei vasta ainult küsimustele, vaid kasutavad tööriistu, otsivad ise infot, käivitavad tegevusi ja töötavad graafiku alusel. Oleme kirjutanud pikemalt nii agentide juurutamisest ettevõttes kui ka sellest, kuidas agente inimese kontrolli all hoida.

AI Acti vaatest muudab agent asja põhimõtteliselt: kui vestlusrobot soovitab ja inimene teeb, siis agent teeb ise. See tähendab kolme praktilist nõuet, mis on ühtaegu nii hea inseneritava kui ka regulatiivne kaitse.

Esiteks inimjärelevalve: igal agendil peab olema selge omanik ja määratletud sekkumispunktid — millised tegevused vajavad inimese kinnitust (human-in-the-loop) ja milliseid seiratakse tagantjärele (human-on-the-loop). Teiseks auditijälg: peab olema võimalik tagantjärele näidata, mida agent tegi, mis andmetele ta ligi pääses ja mille alusel otsustas. Kolmandaks piiratud õigused: agent saab ligipääsu ainult nendele süsteemidele ja andmetele, mida tema tööülesanne nõuab — täpselt nagu uue töötaja puhul.

Kui su ettevõte plaanib AI-arendusi või agente 2026.–2027. aastal, siis kõige odavam hetk need põhimõtted sisse ehitada on projekteerimisel, mitte tagantjärele. See on ka põhjus, miks meie AI-arenduste projektides on järelevalve, logid ja õiguste haldus vaikimisi arhitektuuri osa, mitte lisavõimalus.

Oluline uuendus: osa tähtaegu lükkus edasi

2026. aasta kevadel leppis EL kokku niinimetatud digital omnibus'i paketis, mis muutis AI Acti ajakava. Kui kuuled kedagi ütlemas, et "AI Act lükati edasi", siis see on pooltõde — ja ohtlik pooltõde.

Edasi lükkusid kõrge riskiga AI-süsteemide nõuded: iseseisvate kõrge riski süsteemide (näiteks AI värbamisotsustes, krediidihinnangutes, hariduses) tähtaeg liikus 2. detsembrile 2027 ja reguleeritud toodetesse põimitud AI oma 2. augustile 2028. Lisaks said enne 2026. aasta augustit turule toodud generatiivse AI süsteemid märgistamisnõuete täitmiseks pikendust sama aasta 2. detsembrini.

Aga läbipaistvuskohustused, keelatud praktikad, AI-kirjaoskus ja trahvide jõustumine jäid paika. 2. august 2026 kehtib. Kes edasilükkamise uudise peale käed rüppe laskis, ärkab augustis valel poolel.

Kuidas aru saada, kas sinu ettevõttes on kõrge riskiga AI?

Riskitasemete loogika on lihtsam, kui esmapilgul paistab. Määrus jagab AI-kasutuse nelja korvi.

Keelatud on praktikad, mis manipuleerivad inimesi või skoorivad neid ebaõiglaselt — normaalses äris neid ette ei tule. Kõrge risk tähendab süsteeme, mis teevad või sisuliselt mõjutavad otsuseid inimeste elude üle: kes saab tööle, kes saab laenu, kes pääseb kooli, kes saab hüvitise. Kui AI ainult abistab inimest, kes ise otsustab, on olukord leebem kui siis, kui AI sisuliselt otsustab. Piiratud risk tähendab läbipaistvuskohustust — juturobotid ja AI-loodud sisu, millest oli juttu eespool. Ja minimaalne risk on kõik ülejäänu ehk valdav osa igapäevasest kontoritööst: kirjade koostamine, kokkuvõtted, tõlked, analüüside mustandid.

Praktiline enesekontroll on üks küsimus: kas selle AI väljund mõjutab konkreetse inimese õigusi, raha või võimalusi? Kui jah, uuri kõrge riski nõudeid (aega on nüüd 2027. aasta detsembrini). Kui ei, piisab enamasti korralikust kodukorrast ja läbipaistvusest.

Eesti kontekstis tasub teada sedagi, et riik on lubanud avada AI-arenduste jaoks regulatiivse liivakasti — keskkonna, kus uusi lahendusi saab testida järelevalveasutuse toel enne päris turule minekut. See on märk laiemast suunast: eesmärk ei ole AI kasutamist takistada, vaid muuta see juhitavaks.

Viis sammu, mille iga ettevõte peaks nüüd ära tegema

Vastavus ei alga juristist, vaid ülevaatest. Meie kogemus ütleb, et need viis sammu katavad väiksema ja keskmise ettevõtte vajadused peaaegu täielikult.

1. Kaardista, kus AI-d päriselt kasutatakse. Kaasa arvatud vari-AI — töötajate isiklikud ChatGPT kontod, millega tehakse tööasju. Uuringud näitavad järjekindlalt, et juhtkond alahindab tegelikku kasutust mitmekordselt.

2. Hinda iga kasutusjuhu riskitase. Kasuta ülaltoodud protsessivaadet: administratiiv- ja dokumenditöö on valdavalt minimaalne risk, avalik sisu ja juturobotid vajavad läbipaistvust, värbamine ja krediidiotsused on kõrge riski territoorium.

3. Kehtesta ettevõtte AI-kodukord. Üks selge dokument: milliseid tööriistu kasutame, mida ei tohi sinna sisestada (kliendiandmed, ärisaladused, isikuandmed), kuidas AI väljundit kontrollitakse ja millal tuleb AI kasutamine avalikustada. See on ühtlasi sinu parim kaitse, sest kui midagi läheb valesti, vastutab ettevõte, mitte tööriist.

4. Täida läbipaistvusnõuded. Vaata üle juturobotid, AI-loodud sisu ja selle märgistamine. See on enamasti mõne päeva, mitte mõne kuu töö.

5. Koolita inimesed ja määra vastutaja. AI-kirjaoskus on kohustus, aga käsitle seda võimalusena: sama koolitus, mis katab riskid, õpetab tavaliselt ka seda, kuidas AI-st rohkem kasu saada. Ja kellelgi peab olema AI-teemade omaniku roll — muidu jääb kõik eelnev paberile.

Vastavus ei ole kulu, vaid usalduse valuuta

GDPR-i kogemus õpetas ühe asja, mis kordub nüüd AI Actiga: regulatsioonist saab kiiresti müügiküsimus. Suuremad kliendid ja avaliku sektori hanked hakkavad küsima, kuidas teie ettevõte AI-d kasutab ja kas see kasutus on korras. Ettevõte, kes suudab vastata ühe lehe AI-kodukorra, tehtud riskihinnangu ja koolitatud meeskonnaga, võidab tehinguid ettevõtte ees, kes vastab "meil keegi kasutab midagi".

Sama kehtib tööandjana: inimesed tahavad kasutada AI-d ilma hirmuta, et nad kogemata midagi valesti teevad. Selged reeglid ei piira kasutamist — need vabastavad selle. Meie kogemuses kasvab AI tegelik kasutus pärast kodukorra ja koolituse kehtestamist, mitte ei kahane, sest kaob ebakindlus.

Kuidas meie seda AI-projektijuhi programmis käsitleme

Just viimane punkt — vastutaja olemasolu — on põhjus, miks me oma AI-projektijuhi programmis käsitleme AI Acti mitte eraldi õigusloenguna, vaid osana projektijuhi tööriistakastist. Programmi läbinu oskab teha ettevõtte AI-kasutusjuhtude riskihinnangu, teab, millised kasutusjuhud vajavad läbipaistvusmärgistust ja millised dokumente, ning oskab koostada AI-kodukorra, mis päriselt töötab, mitte ei seisa sahtlis.

Meie lähenemine on kogu aeg olnud, et AI kasutuselevõtt vajab juhtimist, mitte ainult entusiasmi — ja AI Act teeb sellest nüüd ka seadusest tuleneva nõude. Ettevõttes peab olema inimene, kes ühendab äriprobleemi, tööprotsessi, sobiva AI-lahenduse, inimkontrolli ja mõõdetava tulemuse. Regulatiivne pool on sellest lihtsalt üks kiht.

Korduma kippuvad küsimused

Kas AI Act kehtib ka väikeettevõttele, kus AI-d kasutatakse ainult ChatGPT vormis?

Jah, aga kohustused on väikesed. Kui kasutad AI-d tavapärasteks kontoritöödeks, puudutab sind peamiselt AI-kirjaoskuse nõue ja vajadus tagada, et AI-loodud sisu oleks vajalikes olukordades märgistatud. Kodukord ja lühike koolitus katavad selle ära.

Kas "AI Act lükati edasi" tähendab, et võin rahulikult oodata?

Ei. Edasi lükkusid ainult kõrge riskiga süsteemide nõuded (2027. ja 2028. aastasse). Läbipaistvuskohustused, keelatud praktikad ja trahvide jõustumine kehtivad alates 2. augustist 2026 ning AI-kirjaoskuse kohustus kehtib juba 2025. aasta veebruarist.

Kas AI-agendi kasutamine muudab minu ettevõtte kõrge riskiga AI kasutajaks?

Mitte automaatselt. Riskitase sõltub sellest, mida agent teeb, mitte sellest, et ta on agent. Dokumente sorteeriv või aruandeid koostav agent on madala riskiga; värbamis- või krediidiotsuseid tegev agent on kõrge riskiga. Oluline on, et agendil oleks inimjärelevalve, auditijälg ja piiratud õigused — need on nagunii hea inseneritava.

Kui suur on reaalne trahvirisk Eesti ettevõttele?

Järelevalve alustab tõenäoliselt juhendamisest, mitte trahvimisest, ja VKE-dele on määrad leebemad. Aga suurem praktiline risk on lepinguline: sinu kliendid ja partnerid hakkavad hanketingimustes AI Acti vastavust nõudma, nagu juhtus GDPR-iga. Vastavus muutub müügiargumendiks.

Mis on esimene samm, kui pole veel midagi tehtud?

Kaardista oma ettevõtte tegelik AI-kasutus, sealhulgas vari-AI. Ilma selleta on iga järgmine samm oletus. Kui tahad sellele kiiret struktuuri, tee meie AI-valmiduse hindamine — see näitab muu hulgas ära, kus sinu suurimad vastavusaugud on.

---

Allikad: Statistikaameti ettevõtete IT-uuring 2025, Euroopa Komisjoni AI Acti materjalid, digital omnibus'i pakett (2026).