Kuigi Euroopa tehisintellekti (AI) määrus jõustus 1. augustil 2024, oleme selle rakendamisel jõudmas pöördelisse etappi.
Kasuliku meeldetuletuse määruse sätete kohaldamise ajakava kohta, mis võtab arvesse hiljutisi digitaalse omnibusiga tehtud muudatusi, leiab Euroopa Komisjoni veebisaidilt.
- Määruse üldised sätted (tehisintellekti definitsioonid ja kultuur) ning vastuvõetamatuid riske kujutavate tehisintellekti süsteemide keeld kehtivad alates 2. veebruarist 2025.
- Alates 2. augustist on enamik sätteid jõustunud: läbipaistvuseeskirjad ja innovatsiooni toetamise meetmed on nüüd kohaldatavad ning rakendamise järelevalvet saab teostada üldise otstarbega tehisintellekti mudelite, keeldude, läbipaistvuseeskirjade ja tehisintellekti kultuuri osas. Selle eest vastutab Euroopa Komisjoni tehisintellekti büroo koostöös riiklike ametiasutustega.
- Alates 2. detsembrist reguleeritakse tehisintellekti süsteeme, mis genereerivad nõusolekuta seksuaalset sisu (süvavõltsinguid) ja lastepornot, ning 2027. aasta lõpust ja 2028. aasta keskpaigast lisatakse kõrge riskiga tehisintellekti süsteemid vastavalt III lisasse (tundlikud valdkonnad nagu tööhõive ja politseitöö) ja I lisasse (tooted nagu meditsiiniseadmed).
Täpsemalt öeldes nõuavad artikli 50 uued läbipaistvuseeskirjad alates sellest suvest, et teatud tehisintellekti süsteemid, näiteks vestlusrobotid, teavitaksid kasutajaid, kui nad tehisintellektiga suhtlevad ja millal see on sisu genereerinud või muutnud.
Lisaks tuleb tehisintellekti abil redigeeritud või loodud sisu pakkujad vastavalt identifitseerida.
See sisu peab olema varustatud ka masinloetavate markeritega, et seda oleks lihtsam tuvastada.
Kriminaalkontekstis ja tekstide puhul, mille sisu kontrollib inimene, on ette nähtud teatud erandid ning kunstilise loomingu jaoks on olemas kohandused.
Komisjon pakkus välja ka kolm ikooni, et tuvastada täielikult või osaliselt tehisintellekti abil loodud sisu.
Et aidata ettevõtetel neid kohustusi täita, avaldas Euroopa Komisjon 20. juulil suunised, milles selgitatakse, keda need reeglid mõjutavad ja millist sisu tuleb avalikustada.
«Tehisintellekti loodud sisu läbipaistvuse hea tava juhend», millele on juba alla kirjutanud enam kui 180 organisatsiooni, sealhulgas OpenAI ja Google, on loodud selleks, et aidata ettevõtetel näidata oma vastavust määrusele.
Kes Prantsusmaal vastutab määruse rakendamise ja selle järgimise järelevalve eest?
Järelevalve on jaotatud arvukate üksuste vahel DGE ja DGCCRF juhtimisel, kes teostavad järelevalvet teabe ja jälgitavusega seotud üldkohustuste täitmise üle.
- CNIL-il on keskne roll tehisintellekti süsteemides, mis hõlmavad isikuandmete, sealhulgas tundlike andmete ja biomeetria töötlemist. Asutus pakub praktilisi juhendeid ja enesehindamisvahendit, mis aitavad ettevõtetel kontrollida oma vastavust juriidilistele nõuetele, ning annab nõu VKEdele ja väga väikestele ettevõtetele.
- ARCOM sekkub digitaalse ja audiovisuaalse sisu, sealhulgas süvavõltsingutesse.
- ANSSI sekkub küberturvalisuse aspektidesse.
- HAS on pädev meditsiinivaldkonnas kasutatavate tehisintellekti süsteemide jaoks.
See vastutusalade jaotus, mis paratamatult viib kattumisteni, nõuab sidusrühmade vahelist tihedamat koostööd. DGCCRF täidab operatiivtasandi ühtse kontaktpunkti rolli.
Rikkumise korral võivad riskid olla märkimisväärsed.
Sanktsioonid varieeruvad vastavalt riskitasemele: kuni 35 miljonit eurot või 7% ülemaailmsest käibest keelatud tehisintellekti puhul, 15 miljonit eurot või 3% kõrge riskiga nõuetele mittevastava tehisintellekti puhul ja 7,5 miljonit eurot või 1% läbipaistvuse puudumise korral.
VKEde ja väga väikeste ettevõtete puhul on karistused piiratud absoluutse läve ja käibe protsendimääraga, olenevalt sellest, kumb on madalam.
Määrust kohaldatakse moduleeritult iga organisatsiooni poolt kasutatava tehisintellekti süsteemi suhtes, mitte organisatsiooni kui terviku suhtes.
Seetõttu on soovitatav kaardistada kõik kasutatavad süsteemid (sh kolmandate osapoolte tehisintellekt ja alltöövõtt) ja hinnata nende riskitaset, et vastavust kohandada.
Prantsusmaal
Prantsusmaa on esimene Euroopa riik, mis on vastu võtnud seaduse, mis keelab alla 15-aastastel alaealistel sotsiaalvõrgustikele juurdepääsu.
Parlamendis 21. juulil vastu võetud kompromisstekst kohustab teenusepakkujaid rakendama usaldusväärset vanuse kontrollimise süsteemi, kehtestamata konkreetset mehhanismi.
Alates 1. septembrist 2026 ei saa alla viieteistaastased alaealised enam nendel platvormidel uusi kontosid luua.
Olemasolevate kontode puhul hakkab keeld kehtima nelja kuu pärast, st 1. jaanuaril 2027. ARCOM vastutab selle keelu järgimise eest.
Pange tähele, et tekst tekitab küsimusi proportsionaalsuse kohta, kuna see nõuab kõigilt sotsiaalvõrgustiku kasutajatelt oma vanuse tõendamist ning mehhanismi tõhusust seavad kahtluse alla selle vastased, kes viitavad Austraalia selles valdkonnas saavutatud segastele tulemustele.
Kaks parlamendiliikmete gruppi on palunud põhiseadusnõukogul teksti läbi vaadata. Lisaks kavatseb Euroopa Komisjon sel sügisel esitada sellekohase ettepaneku, seades esikohale vanuse kontrollimise mehhanismid, mis säilitavad anonüümsuse.
Alates 11. augustist ja 23. juuli dekreedi alusel on erinevalt Blocteli süsteemist, mis nõuab aktiivset loobumisklauslit, telefoni teel müügipakkumiste tegemine põhimõtteliselt keelatud kõigi tegevusvaldkondade ettevõtetele, välja arvatud erandjuhtudel:
- Kui kõne on seotud ettevõttega sõlmitud lepinguga, mille eesmärk on pakkuda näiteks täiendavaid tooteid või teenuseid või pakkumist, mille eesmärk on parandada osutatavat teenust või selle toimimist.
- Kui kõnealune ettevõte on saanud eelneva nõusoleku turunduslikel eesmärkidel temaga ühenduse võtmiseks, peab see nõusolek olema väljendatud «vabalt» ja «teadlikult» ning «selge jaatava tegevusega».
Nõuete mittetäitmine võib ettevõtetele määrata kuni 375 000 euro suuruse trahvi juriidiliste isikute puhul ning tühistada pärast ebaseaduslikku pakkumist sõlmitud lepingud.
Eelmise aasta aprillis võttis CNIL kindla seisukoha e-kirjades sisalduvate jälgimispikslite suhtes, andes ettevõtetele kolm kuud aega, et järgida elektroonilise side kaitset käsitlevaid õigusnorme.
Sellest ajast alates on igaühe postkastidesse jõudnud arvukalt sõnumeid, milles palutakse nõusolekut posti avamise jälgimiseks. 22. juulil avaldas CNIL (Prantsuse andmekaitseamet) rea küsimusi ja vastuseid, et selgitada oma soovituse rakendamise tingimusi.
CNIL ja CIANum (tehisintellekti ja digitaalnõukogu) on läbi viinud ühise arutelu ja avaldanud uurimusliku märkuse agentide tehisintellekti poolt isikuandmete kaitsega seoses tõstatatud küsimuste kohta.
See töö kajastab CNIL-i ja tema rahvusvaheliste partnerite vahel sel teemal peetud arutelusid, eelkõige andmekaitseasutuste G7 raames.
Dokumendis märgitakse tehisintellekti kasutamise ulatuse muutust, mis on üha laialdasemalt levimas, ning tõstatatakse küsimusi vastutuse ja isikuandmete üle kontrolli kaotamise kohta. Kuigi praegune õigusraamistik kehtib ka nendele süsteemidele, toob CNIL esile väljakutse selle rakendusmeetodite kohandamisel.
Doctolib teatas juuli alguses oma 60 miljonile kasutajale saadetud e-kirjas, et alates augustist hakkab ettevõte, kui nad ei ole vastu, kasutama osa nende terviseandmetest oma tehisintellekti tööriistade koolitamiseks ja täiustamiseks osana uurimisprojektidest koostöös Inria, Insermi ja Université Paris Citéga.
Ettevõte väidab, et kõnealused andmed on pseudonüümsed ja nende kasutamist reguleerivad CNIL-i reeglid.
See uurimisprojekt on tekitanud mitmeid reaktsioone, sealhulgas Inimõiguste Liiga oma, kes kritiseerib 16. juuli pressiteates kasutajate vaikimisi registreerimist uurimisprojekti ja asjaolu, et seda viib läbi eraettevõte (kelle andmeid säilitab USA seadustele alluv ettevõte), mitte avalik-õiguslik asutus.
Euroopas
Euroopa institutsioonid ja organid
Euroopa Parlament hääletas 9. juulil skeemi "Chat Control 1.0" pikendamise üle, mis võimaldab digitaalettevõtetel privaatsõnumeid vabatahtlikult, ilma mandaadita analüüsida.
See «ajutine erand» privaatsust ja elektroonilist sidet käsitlevatest eeskirjadest, mille eesmärk on tuvastada laste seksuaalset väärkohtlemist internetis, jääks jõusse 3. aprillini 2028.
See tekst, mille parlament märtsis tagasi lükkas, pandi teisel lugemisel uuesti päevakorda, mille käigus on ettepaneku tagasilükkamiseks vaja kõigi liikmete absoluutset häälteenamust.
Samal ajal peavad seadusandjad läbirääkimisi ajakohastatud raamistiku "Chat Control 2.0" üle, mis võiks lubada juurdepääsu krüpteeritud suhtluse sisule – projekti, mida enam kui 800 küberturvalisuse teadlast peavad ohuks suhtluse krüpteerimisele ja konfidentsiaalsusele.
7. juulil esitles Euroopa Komisjon küberturvalisuse ja tehisintellekti tegevuskava, mille eesmärk on "edendada tehisintellekti ohutut ja vastutustundlikku kasutamist ning tugevdada samal ajal Euroopa küberturvalisust".
Tegevuskava täiendab tehisintellekti ja küberturvalisuse valdkonnas kehtivat ELi õigusraamistikku, sealhulgas tehisintellekti määrust, kübervastupidavusvõime määrust, NIS2 direktiivi, digitaalse operatiivse vastupidavuse (DORA) määrust ja kübersolidaarsuse määrust.
23. juulil tegi Euroopa Komisjon kaks otsust, milles leiti, et Google oli rikkunud digitaalsete turgude määrust (DMA), eelistades Google'i otsingus oma teenuseid ja kehtestades ettevõtetele piiranguid, et takistada neil suunamast Google Play kasutajaid teistele, sageli odavamatele ostukanalitele. Komisjon määras Google'ile vastavalt 460 miljoni ja 430 miljoni euro suurused trahvid.
8. juulil avaldas Euroopa Andmekaitsenõukogu (EDPB) uued suunised, mille eesmärk on selgitada GDPR-i kohaldamist kahele olulisele küsimusele:
- Andmete anonüümimine
- Veebiandmete kraapimine generatiivse tehisintellekti kontekstis.
Anonüümseks muutmise osas täpsustab komitee, et andmeid saab pidada tõeliselt anonüümseks ainult siis, kui puudub mõistlikult võimalik taasidentifitseerimine, tuginedes eelkõige kolmele kriteeriumile: isoleerimise, seostamise ja deduktsiooni puudumine.
Suunistes võetakse eelkõige arvesse Euroopa Liidu Kohtu 4. septembri 2025. aasta otsust kohtuasjas C-413/23 P, EDPB vs. SRB.
Veebiandmete kraapimise osas juhib Euroopa Andmekaitsenõukogu tähelepanu sellele, et isikuandmete automatiseeritud kogumine tehisintellekti mudelite treenimiseks kuulub endiselt isikuandmete kaitse üldmääruse alla, eelkõige õigusliku aluse, läbipaistvuse ja eesmärgi piiramise nõuete osas.
Need kaks suuniste mustandit on avalikuks konsultatsiooniks avatud kuni 30. oktoobrini 2026. Lisaks on plokiahela suunised oma lõplikus versioonis vastu võetud.
31. juulil 2026 saatis Euroopa Andmekaitsenõukogu (EDPB) ka Euroopa Komisjonile kirja, milles palus uurida, kas USA Ülemkohtu otsus Trump vs. Slaughter kohtuasjas võib mõjutada ELi ja USA andmekaitseraamistiku kehtivust.
Euroopa Liidu Kohus otsustas 16. juulil, et ametialased e-kirjad kujutavad endast Euroopa Liidu põhiõiguste harta artiklitega 7 ja 8 kaitstud suhtlust, kuid konkurentsiamet võib need uurimise raames konfiskeerida ilma eelneva kohtu loata, tingimusel et on kehtestatud range õigusraamistik ja piisavad kaitsemeetmed kuritarvituste ja omavoli vastu (liidetud kohtuasjad C-258/23 kuni C-260/23).
Oma 14. juuli otsuses (C 474/24 – NADA Austria ja teised) leidis kohus, et dopinguvastaseid reegleid rikkunud professionaalsete sportlaste nimede avaldamine võib olla seaduslik.
Avaldamise eest vastutav üksus peab aga suutma tasakaalustada vastandlikke huve, et järgida proportsionaalsuse põhimõtet. Samuti tunnistas ta, et kaebuse võib esitada ennetava meetmena.
Euroopa Kohus otsustas lõpuks 9. juuli otsuses (C-199/24 ND vs. Legal Newsdesk Sweden AB), et kriminaalkaristuste kohta käiva teabe avaldamine avalikult kättesaadavates andmebaasides ei kujuta endast ajakirjanduslikku tegevust ega saa olla GDPR-i alusel artikli 85(2) ülevõtmiseks vastu võetud siseriiklike õigusaktide alusel erandi vääriline.
Uudised Euroopa Liidu liikmesriikidest.
Austrias kinnitas Ülemhalduskohus pärast seitsmeaastast menetlust Austria postiametile määratud 13 miljoni euro suuruse trahvi.
Ettevõte oli kogunud andmeid enam kui kahe miljoni inimese poliitiliste vaadete kohta ja müünud selle teabe otseturunduse eesmärgil kolmandatele osapooltele.
Kuigi ettevõte esitas oma väited heas usus ja viitas konsultantide arvamustele, kes olid ettevõtte tegevust valideerinud, lükkas Ülemkohus need argumendid tagasi, öeldes, et "juriidilise isiku karistamiseks ei ole vaja juhtorganite tegevust ega teadmisi". Kohus leidis lisaks, et "kaitsmatuid" õiguslikke arvamusi ei tohiks pidada leevendavaks asjaoluks ega isegi õigeksmõistvaks teguriks.
14. juulil andis Euroopa Andmekaitsenõukogu (EDPB) välja otsuse, millega kohustas Belgia Andmekaitseametit (APD) menetlema valitsusvälise organisatsiooni Noyb esitatud kaebust, mille APD oli pidanud vastuvõetamatuks. Siduva otsusega uuris komisjon, kas kaebus tuleks õiguste kuritarvitamise tõttu tagasi lükata, ning kinnitas, et mittetulundusühingu, organisatsiooni või ühingu volitamine kaebuse esitaja nimel kaebuse esitamiseks oli kooskõlas isikuandmete kaitse üldmäärusega.
Hispaania andmekaitseamet (APD) määras genoomika- ja biotehnoloogiaettevõttele 2,4 miljoni euro suuruse trahvi geneetiliste ja terviseandmete ebapiisava kaitsmise ning isikuandmete rikkumise andmekaitseasutusele teatamise eest pärast 72-tunnise tähtaja möödumist.
APD määras Vodafone'ile ka 1 050 000 euro suuruse trahvi ebapiisavate andmekaitsemeetmete eest.
Itaalia andmekaitseamet (APD) määras energiatarnijale 5,8 miljoni euro suuruse trahvi krediidireitingute avalikustamata jätmise või nende arvutamise selgituseta jätmise, võlaandmete ebaseadusliku jagamise eest kontserni sees, krediidiandmete säilitamise eest kümme aastat ilma piisava põhjenduseta ja nende taaskasutamise eest kokkusobimatutel eesmärkidel.
Itaalia andmekaitseamet määras 2 miljoni euro suuruse trahvi Ameerika andmemaaklerile Lusha Systems Inc., kes pakub oma platvormi kaudu tasu eest üksikisikute kohta «rikastatud» teavet, näiteks nende tööalast olukorda, e-posti aadresse ja telefoninumbreid.
Lusha kogub neid andmeid mitmest allikast (andmete ekstraheerimine sotsiaalvõrgustikest, ostud teistelt andmevahendajatelt jne) ja teeb need oma klientidele kättesaadavaks ärilistel eesmärkidel või pettuste vastu võitlemiseks.
Samuti viib ettevõte läbi uuendusi, mis hõlmavad asjaomaste isikute käitumise veebipõhist jälgimist, mis kuulub isikuandmete kaitse üldmääruse (GDPR) alla. Itaalia andmekaitseamet (APD) on keelanud Itaalias asuvate isikutega seotud andmete töötlemise ja andnud korralduse need kustutada.
APD karistas telekommunikatsioonioperaatorit TIM-i ka arvukate privaatsuse ja telemarketingi eeskirjade rikkumiste eest.
Mitmed selle kõnekeskused tegid alltöövõtjatena ettevõtte nimel reklaamkõnesid, kasutades numbreid, mis ei kuulunud ametlikku müügivõrku, et ebaseaduslikult kasutajaandmeid koguda.
Amet juhib tähelepanu sellele, et käitumisjuhendi järgimine ei vabasta vastutavat töötlejat kohustusest jälgida oma alltöövõtjate tegevust ja kontrollida andmekaitsemeetmete tõhusat kohaldamist kogu telemarketingi ahelas.
Rahvusvaheliselt
Kanadas näeb 15. juuni seaduseelnõu ette kaotada andmekaitseameti (DPA) volitused erasektori jälgimiseks ning luua ühtne asutus, mis vastutab veebikahjude, sotsiaalvõrgustike, tehisintellektil põhinevate vestlusrobotite ja privaatsuse kaitse reguleerimise eest erasektoris.
Ameerika Ühendriikides aegus välisluure jälitustegevuse seaduse (FISA) paragrahv 702 juunis.
Alates 2008. aastast lubas see säte USA luureagentuuridel koguda välisriikide kodanikelt väljaspool Ameerika Ühendriike teavet ilma orderita.
Juba mitu aastat oli üha rohkem parlamendiliikmeid seadnud artikli 702 pikendamise tingimuseks kohustusliku mandaadi. Lõpuks said nad oma seisukoha kuuldavaks tegemiseks vajalikud hääled.
Parlamendiliikme Jamie Raskini sõnul jäävad paragrahvi 702 programmi jaoks märtsis uuendatud välisluure jälituskohtu (FISC) load siiski jõusse ja "kehtivad muudatusteta vähemalt kuni 17. märtsini 2027".
Mõned operaatorid on eraviisiliselt hoiatanud, et lõpetavad koostöö kohe, kui seadus aegub, kartes juriidilist vastutust valitsuse nõudmisi toetava kehtiva seaduse puudumisel.
Seega seisavad luureagentuurid ja telekommunikatsiooniettevõtted silmitsi ebakindlusega selle osas, millised andmete kogumise tegevused saavad seaduslikult jätkuda.
Samuti Ameerika Ühendriikides on USA kohus lõplikult heaks kiitnud ettevõttega 23andMe pärast 2023. aasta küberrünnakut, mis mõjutas ligikaudu 6,4 miljonit klienti, saavutatud sõbraliku kokkuleppe.
Ameerika ohvritele, kelle geneetilised andmed ohtu sattusid, pole ettevõtte pankrotimenetluse tõttu aga veel hüvitist makstud.
Hüvitusfond on 46,75 miljonit dollarit, kuid enamik abisaajaid saab vaid piiratud hüvitist, kusjuures suurimad summad on reserveeritud ohvritele, kes suudavad tõendada märkimisväärset kahju.
Neljapäeval, 16. juulil allkirjastati Roomas Kapitooliumil «Rooma deklaratsioon relvadeta rahu kohta, mis põhineb desarmeerimisel tehisintellekti, tuuma- ja autonoomsete relvade, uute digitaalsete protokollide ja digitaalse arengu tekkivate mustrite ajastul», tähistades Nobeli preemia laureaatide maailmaassamblee tehisintellekti ja tuumasõja teemal kulminatsiooni.
Eesti 