AI aktil on esimene harmoneeritud standard. See kirjeldab kvaliteedisüsteemi, mida suure riskiga AI tegija peab pidama.

Euroopa Liidu Teataja avaldas 14. oktoobril komisjoni rakendusotsuse (EL) 2026/2274, mis võeti vastu kaks päeva varem. Otsuse lisas on üksainus standard: EN 18286:2026 „Tehisintellekt. ELi tehisintellektimääruse regulatiivset eesmärki teeniv kvaliteedijuhtimise süsteem“. Selle koostasid komisjoni tellimusel Euroopa standardiorganisatsioonid CEN ja Cenelec. Komisjon teatas 19. oktoobril, et tegu on esimese harmoneeritud standardiga, mis AI akti rakendamist toetab.

Õiguslik mõju tuleneb AI akti artiklist 40. Kui suure riskiga tehisintellektisüsteem vastab harmoneeritud standardile, mille viide on ELi Teatajas avaldatud, eeldatakse, et see täidab ka standardiga kaetud nõudeid. EN 18286 katab artikli 17 ehk kvaliteedijuhtimise süsteemi, mis peab olema igal suure riskiga AI pakkujal. Vastavuseeldus kehtib avaldamise päevast. Standardi järgimine on vabatahtlik ja komisjoni sõnul võib pakkuja nõuete täitmist näidata ka muul viisil.

Mida standard nõuab

Komisjoni kirjelduse järgi ehitab EN 18286 kvaliteedijuhtimise üles AI-süsteemi elutsükli, mitte organisatsiooni struktuuri ümber. Standard on mõeldud toimima nende juhtimissüsteemide peal, mis paljudel ettevõtetel juba olemas on: ISO/IEC 42001 tehisintellekti jaoks, ISO 9001 kvaliteedi jaoks või valdkondlikud süsteemid, näiteks meditsiiniseadmete ISO 13485. Ettevõte, kellel ISO/IEC 42001 puudub, saab selle abil laiendada olemasolevat süsteemi või luua uue. Reguleeritud sektorites ei pea kahte süsteemi kõrvuti pidama, need saab ühendada.

Keda see puudutab

Suure riskiga AI pakkujaid ehk neid, kes sellise süsteemi ehitavad või oma nime all turule toovad. Komisjon toob ise näiteks värbamisel CV-sid sorteeriva tarkvara, krediidiskoori, mille põhjal otsustatakse laenu andmine, eksamitööde hindamise koolis ja tehisintellektil põhinevad ohutuskomponendid elutähtsas taristus. Ettevõte, kes kirjutab ChatGPT või Copilotiga e-kirju, ei ole suure riskiga AI pakkuja ja see standard teda ei puuduta.

Ajakava on teada. Pärast AI omnibussi hakkavad III lisa kasutusjuhtude nõuded kehtima 2. detsembril 2027 ja reguleeritud toodetesse, näiteks liftidesse või mänguasjadesse, ehitatud AI nõuded 2. augustil 2028. Esimesel rühmal jääb seega umbes 13 kuud. Kvaliteedisüsteem vajab nimelisi vastutajaid, kirja pandud protseduure ja päriskasutusest pärit dokumentatsiooni. Viimase kuuga seda kokku ei pane.

Standardeid tuleb juurde. Komisjon on tellinud CENilt ja Cenelecilt standardid riskijuhtimise, andmete kvaliteedi ja haldamise, logide säilitamise, läbipaistvuse, inimjärelevalve, täpsuse, töökindluse, küberturvalisuse ja vastavushindamise kohta. Ühelegi neist pole veel avaldamise kuupäeva.

Mida esmaspäeval teha

• Vaadake üle, kas midagi, mida te arendate või müüte, kuulub suure riskiga kategooriasse. Kõige tõenäolisemalt on pakkujad Eesti tarkvarafirmad, kes müüvad ELi turule värbamis-, personalijuhtimis-, laenu- või haridustööriistu
• Kui teil on ISO 9001 või ISO/IEC 42001 sertifikaat juba olemas, paluge selle eest vastutajal võrrelda seda EN 18286-ga. Standard on loodud nende peale, nii et puudujääk võib olla väiksem kui nullist alustades
• Kui te sellist tööriista ainult ostate, näiteks kandidaate järjestavat värbamisplatvormi, lisage järgmisesse tarnija ülevaatusse kaks küsimust: kas toode vastab suure riski nõuetele 2. detsembriks 2027 ja kas tarnija järgib EN 18286-t
• Kui ükski teie AI kasutus ei ole suure riskiga, pange see järeldus koos põhjendusega kirja. Selleks kulub tund ja see säästab teid samast arutelust iga kord, kui majja tuleb uus tööriist

Enamiku Eesti ettevõtete jaoks ei muutu täna midagi. Neil vähestel, kes ehitavad värbamis-, laenu- või haridustarkvara, on AI akti kvaliteedinõuetele nüüd avaldatud eeskuju ja 2027. aasta detsembri tähtaja lugemine on alanud.