AI Act jõustub päriselt: mida iga Eesti ettevõte peab 2. augustiks 2026 teadma

Kui sinu ettevõttes kasutab keegi ChatGPT-d, Copilotit või mõnda muud AI-tööriista — ja 2026. aastal on see pigem reegel kui erand — siis puudutab Euroopa Liidu tehisintellekti määrus ehk AI Act ka sind. 2. augustil 2026 jõustub määruse põhiosa ja koos sellega esimesed kohustused, mille rikkumise eest saab päriselt trahvi teha.

Hea uudis: enamiku Eesti ettevõtete jaoks ei ole see hirmutav bürokraatiamägi, vaid mõistlik korrapidamise harjutus, mille suurem osa tuleks niikuinii ära teha. Halb uudis: seda ei saa enam edasi lükata mõttega "eks vaatame, kui juhised tulevad". Kohustused jõustuvad kindla kuupäevaga sõltumata sellest, kas ettevõte on valmis või mitte — täpselt nagu omal ajal GDPR-iga, mille puhul viimasele minutile jätnud ettevõtted maksid kinni nii kiirustamise kui ka vead.

Selgitame keerulise asja lihtsalt lahti: kes on mõjutatud, mis kuupäevad päriselt loevad, mis on vahepeal muutunud ja mida praktiliselt ära teha.

## Mis asi on AI Act ja miks see kõiki puudutab

AI Act on maailma esimene terviklik tehisintellekti seadus. See jõustus juba 1. augustil 2024, aga rakendub etappide kaupa — umbes nagu kunagi GDPR, millele anti ettevõtetele kaks aastat kohanemisaega. Määrus kehtib otse, Eesti eraldi seadust vastu võtma ei pea.

Kõige olulisem arusaam on see, et AI Act ei reguleeri ainult neid, kes AI-süsteeme *ehitavad*. Määrus jagab osapooled kahte suurde rolli:

**Pakkuja** (provider) on see, kes AI-süsteemi arendab ja turule toob — OpenAI, Google, Microsoft, aga ka Eesti tarkvarafirma, kes müüb AI-põhist toodet.

**Juurutaja** (deployer) on see, kes AI-süsteemi oma töös kasutab. Ehk sisuliselt iga ettevõte, kus AI-ga tehakse tööd — koostatakse pakkumisi, analüüsitakse andmeid, vastatakse klientidele.

Enamik Eesti ettevõtteid on juurutajad. Ja juurutajatel on omad kohustused, mis on õnneks pakkujate omadest oluliselt kergemad — aga need on olemas ja need jõustuvad nüüd.

## Tähtajad, mis on juba möödas — ja see, mis nüüd tuleb

Kaks kohustust kehtivad juba praegu, ja paljud ettevõtted ei tea seda.

**Alates 2. veebruarist 2025** on keelatud teatud AI-praktikad: näiteks inimeste sotsiaalne skoorimine, alateadlik manipuleerimine ja emotsioonituvastus töökohal värbamise või töötajate hindamise eesmärgil. Samast kuupäevast kehtib ka **AI-kirjaoskuse kohustus**: ettevõte peab tagama, et töötajad, kes AI-süsteeme kasutavad, mõistaksid piisavalt nende võimalusi ja riske. See ei tähenda, et igaüks peaks masinõpet tundma — see tähendab, et inimesed peavad teadma, mida tööriist teeb, kus ta eksib ja mida sinna sisestada ei tohi.

**Alates 2. augustist 2025** kehtivad reeglid üldotstarbeliste AI-mudelite (nagu GPT ja Claude'i mudelid) pakkujatele.

**2. augustil 2026** jõustub määruse põhiosa. Sellest hetkest kehtivad muu hulgas läbipaistvuskohustused ja riikide järelevalveasutused saavad õiguse trahve määrata.

## Mida 2. august 2026 sinu ettevõttele konkreetselt tähendab

Kõige käegakatsutavamad on **läbipaistvuskohustused** (määruse artikkel 50). Lihtsas keeles:

Kui su ettevõtte veebilehel töötab juturobot, peab inimene aru saama, et ta räägib AI-ga — kas selge märkega või nii, et see on ilmselge. Kui toodad AI-ga pilte, videoid või helisalvestisi, peab AI-loodud sisu olema masinloetavalt märgistatud. Kui avaldad AI-ga kirjutatud teksti avalikkust puudutavatel teemadel ilma inimese toimetuseta, tuleb see avalikustada. Deepfake-sisu tuleb alati märgistada.

Nende nõuete rikkumise eest võib trahv ulatuda **15 miljoni euroni või 3 protsendini ülemaailmsest aastakäibest**. Keelatud praktikate puhul kuni 35 miljonit või 7 protsenti. Väikeettevõtetele on ette nähtud leebemad määrad, aga põhimõte on sama: alates augustist on AI-korrata olemine rahaline risk, mitte ainult maineküsimus.

Eestis hakkab järelevalvet tegema Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA), isikuandmetega seotud küsimustes Andmekaitse Inspektsioon.

## Oluline uuendus: osa tähtaegu lükkus edasi

2026. aasta kevadel leppis EL kokku niinimetatud digital omnibus'i paketis, mis muutis AI Acti ajakava. Kui kuuled kedagi ütlemas, et "AI Act lükati edasi", siis see on pooltõde — ja ohtlik pooltõde.

Edasi lükkusid **kõrge riskiga AI-süsteemide** nõuded: iseseisvate kõrge riski süsteemide (näiteks AI värbamisotsustes, krediidihinnangutes, hariduses) tähtaeg liikus 2. detsembrile 2027 ja reguleeritud toodetesse põimitud AI oma 2. augustile 2028. Lisaks said enne 2026. aasta augustit turule toodud generatiivse AI süsteemid märgistamisnõuete täitmiseks pikendust sama aasta 2. detsembrini.

Aga läbipaistvuskohustused, keelatud praktikad, AI-kirjaoskus ja trahvide jõustumine **jäid paika**. 2. august 2026 kehtib. Kes edasilükkamise uudise peale käed rüppe laskis, ärkab augustis valel poolel.

## Kuidas aru saada, kas sinu ettevõttes on kõrge riskiga AI?

Riskitasemete loogika on lihtsam, kui esmapilgul paistab. Määrus jagab AI-kasutuse nelja korvi.

**Keelatud** on praktikad, mis manipuleerivad inimesi või skoorivad neid ebaõiglaselt — normaalses äris neid ette ei tule. **Kõrge risk** tähendab süsteeme, mis teevad või sisuliselt mõjutavad otsuseid inimeste elude üle: kes saab tööle, kes saab laenu, kes pääseb kooli, kes saab hüvitise. Kui AI ainult *abistab* inimest, kes ise otsustab, on olukord leebem kui siis, kui AI sisuliselt otsustab. **Piiratud risk** tähendab läbipaistvuskohustust — juturobotid ja AI-loodud sisu, millest oli juttu eespool. Ja **minimaalne risk** on kõik ülejäänu ehk valdav osa igapäevasest kontoritööst: kirjade koostamine, kokkuvõtted, tõlked, analüüside mustandid.

Praktiline enesekontroll on üks küsimus: *kas selle AI väljund mõjutab konkreetse inimese õigusi, raha või võimalusi?* Kui jah, uuri kõrge riski nõudeid (aega on nüüd 2027. aasta detsembrini). Kui ei, piisab enamasti korralikust kodukorrast ja läbipaistvusest.

Eesti kontekstis tasub teada sedagi, et riik on lubanud avada AI-arenduste jaoks regulatiivse liivakasti — keskkonna, kus uusi lahendusi saab testida järelevalveasutuse toel enne päris turule minekut. See on märk laiemast suunast: eesmärk ei ole AI kasutamist takistada, vaid muuta see juhitavaks.

## Viis sammu, mille iga ettevõte peaks nüüd ära tegema

Vastavus ei alga juristist, vaid ülevaatest. Meie kogemus ütleb, et need viis sammu katavad väiksema ja keskmise ettevõtte vajadused peaaegu täielikult.

**1. Kaardista, kus AI-d päriselt kasutatakse.** Kaasa arvatud vari-AI — töötajate isiklikud ChatGPT kontod, millega tehakse tööasju. Uuringud näitavad järjekindlalt, et juhtkond alahindab tegelikku kasutust mitmekordselt. Eestis kasutas 2025. aastal generatiivset AI-d ligi pool elanikkonnast, samas kui ettevõtte tasandil oli AI ametlikult kasutusel alla veerandil — see vahe *ongi* vari-AI.

**2. Hinda iga kasutusjuhu riskitase.** Valdav osa igapäevasest AI-kasutusest — tekstide koostamine, koosolekute kokkuvõtted, tõlkimine — on minimaalse riskiga ja erilisi kohustusi kaasa ei too. Tähelepanu vajavad kohad, kus AI mõjutab inimesi puudutavaid otsuseid: värbamine, hindamine, krediidiotsused.

**3. Kehtesta ettevõtte AI-kodukord.** Üks selge dokument: milliseid tööriistu kasutame, mida ei tohi sinna sisestada (kliendiandmed, ärisaladused, isikuandmed), kuidas AI väljundit kontrollitakse ja millal tuleb AI kasutamine avalikustada. See on ühtlasi sinu parim kaitse, sest kui midagi läheb valesti, vastutab ettevõte, mitte tööriist.

**4. Täida läbipaistvusnõuded.** Vaata üle juturobotid, AI-loodud sisu ja selle märgistamine. See on enamasti mõne päeva, mitte mõne kuu töö.

**5. Koolita inimesed ja määra vastutaja.** AI-kirjaoskus on kohustus, aga käsitle seda võimalusena: sama koolitus, mis katab riskid, õpetab tavaliselt ka seda, kuidas AI-st rohkem kasu saada. Ja kellelgi peab olema AI-teemade omaniku roll — muidu jääb kõik eelnev paberile.

## Vastavus ei ole kulu, vaid usalduse valuuta

GDPR-i kogemus õpetas ühe asja, mis kordub nüüd AI Actiga: regulatsioonist saab kiiresti müügiküsimus. Suuremad kliendid ja avaliku sektori hanked hakkavad küsima, kuidas teie ettevõte AI-d kasutab ja kas see kasutus on korras. Ettevõte, kes suudab vastata ühe lehe AI-kodukorra, tehtud riskihinnangu ja koolitatud meeskonnaga, võidab tehinguid ettevõtte ees, kes vastab "meil keegi kasutab midagi".

Sama kehtib tööandjana: inimesed tahavad kasutada AI-d ilma hirmuta, et nad kogemata midagi valesti teevad. Selged reeglid ei piira kasutamist — need vabastavad selle. Meie kogemuses kasvab AI tegelik kasutus pärast kodukorra ja koolituse kehtestamist, mitte ei kahane, sest kaob ebakindlus.

## Kuidas meie seda AI-projektijuhi programmis käsitleme

Just viimane punkt — vastutaja olemasolu — on põhjus, miks me oma AI-projektijuhi programmis käsitleme AI Acti mitte eraldi õigusloenguna, vaid osana projektijuhi tööriistakastist. Programmi läbinu oskab teha ettevõtte AI-kasutusjuhtude riskihinnangu, teab, millised kasutusjuhud vajavad läbipaistvusmärgistust ja millised dokumente, ning oskab koostada AI-kodukorra, mis päriselt töötab, mitte ei seisa sahtlis.

Meie lähenemine on kogu aeg olnud, et AI kasutuselevõtt vajab juhtimist, mitte ainult entusiasmi — ja AI Act teeb sellest nüüd ka seadusest tuleneva nõude. Ettevõttes peab olema inimene, kes ühendab äriprobleemi, tööprotsessi, sobiva AI-lahenduse, inimkontrolli ja mõõdetava tulemuse. Regulatiivne pool on sellest lihtsalt üks kiht.

## Korduma kippuvad küsimused

**Kas AI Act kehtib ka väikeettevõttele, kus AI-d kasutatakse ainult ChatGPT vormis?**

Jah, aga kohustused on väikesed. Kui kasutad AI-d tavapärasteks kontoritöödeks, puudutab sind peamiselt AI-kirjaoskuse nõue ja vajadus tagada, et AI-loodud sisu oleks vajalikes olukordades märgistatud. Kodukord ja lühike koolitus katavad selle ära.

**Kas "AI Act lükati edasi" tähendab, et võin rahulikult oodata?**

Ei. Edasi lükkusid ainult kõrge riskiga süsteemide nõuded (2027. ja 2028. aastasse). Läbipaistvuskohustused, keelatud praktikad ja trahvide jõustumine kehtivad alates 2. augustist 2026 ning AI-kirjaoskuse kohustus kehtib juba 2025. aasta veebruarist.

**Kui suur on reaalne trahvirisk Eesti ettevõttele?**

Järelevalve alustab tõenäoliselt juhendamisest, mitte trahvimisest, ja VKE-dele on määrad leebemad. Aga suurem praktiline risk on lepinguline: sinu kliendid ja partnerid hakkavad hanketingimustes AI Acti vastavust nõudma, nagu juhtus GDPR-iga. Vastavus muutub müügiargumendiks.

**Mis on esimene samm, kui pole veel midagi tehtud?**

Kaardista oma ettevõtte tegelik AI-kasutus, sealhulgas vari-AI. Ilma selleta on iga järgmine samm oletus. Kui tahad sellele kiiret struktuuri, tee meie AI-valmiduse hindamine — see näitab muu hulgas ära, kus sinu suurimad vastavusaugud on.