AI Act для бизнеса: почему не стоит откладывать готовность к регулированию ИИ

«У нас ещё есть время с AI Act».

Именно так часто рассуждают компании, которые уже используют инструменты ИИ, внедряют AI-функции в продукт или планируют выходить на рынок Европейского союза.

На первый взгляд ожидание кажется логичным. EU AI Act — новый регламент, рекомендации появляются постепенно, а AI Omnibus внёс изменения в сроки применения части правил по высокорисковым AI-системам. Но проблема в том, что полной “ясности” может не наступить до того момента, когда конкретные вопросы уже начнут задавать клиенты, инвесторы, банки или регуляторы.

ИИ больше не является игрушкой или экспериментом IT-отдела. Во многих компаниях он уже стал рабочим инструментом: для подготовки текстов, анализа данных, клиентской поддержки, разработки кода, обработки документов, скоринга клиентов или автоматизации внутренних процессов.

Безопасное использование ИИ начинается не с программного кода, а с управленческих решений. Контроль над ИИ позволяет компании использовать его возможности, а не заниматься кризисным управлением после утечки данных, ошибки в решении или претензии клиента.

AI Act касается не только AI-компаний

Одна из главных ошибок – думать, что EU AI Act compliance касается только компаний, которые сами разрабатывают искусственный интеллект.

На самом деле AI Act построен на риск-ориентированном подходе. Он применяется к разным участникам AI-цепочки в зависимости от их роли, конкретной AI-системы и способа её использования. Европейская комиссия описывает AI Act как риск-ориентированные правила для разработчиков и пользователей AI в отношении конкретных способов применения ИИ.

Это значит, что компания может попасть под требования AI Act даже тогда, когда она просто использует сторонний AI-инструмент в своих рабочих процессах.

Например:

  • HR-отдел использует AI-инструмент для предварительного отбора кандидатов;
  • отдел продаж использует AI-скоринг клиентов;
  • клиентская поддержка использует AI-chatbot;
  • fintech-компания использует AI для оценки клиентского риска;
  • SaaS-платформа содержит AI-функцию, влияющую на решения пользователей;
  • сотрудники загружают клиентские данные, договоры или внутреннюю информацию в публичные AI-сервисы.

В таких ситуациях ответ “мы не разрабатываем ИИ, мы только используем чужой сервис” не всегда снимает риски.

ИИ уже в вашем офисе – и он не спрашивает разрешения у IT-директора

Во многих организациях до сих пор есть опасное заблуждение: всё, что связано с ИИ, — это тема IT-отдела или вопрос далёкого будущего.

Реальность другая. AI уже используется даже там, где у компании нет официальной AI-стратегии.

Маркетинг использует ChatGPT. Разработчики используют Copilot. Отдел продаж работает с AI-функциями внутри CRM. HR пробует инструмент для сравнения кандидатов. Кто-то загружает договор, клиентские данные или коммерческую информацию в публичный AI-сервис, не задумываясь о конфиденциальности, коммерческой тайне, GDPR или условиях договора с клиентом.

Если сотрудник использует ИИ для анализа клиентских данных или подготовки тендерного документа, это уже не “технологический эксперимент”. Это может быть юридический, информационный, договорный и репутационный риск.

Технология не отвечает за утечку данных, дискриминационный результат или ошибочное решение. Отвечает организация и её система управления.

Начните с короткой проверки AI-готовности

Если вы не уверены, какие AI-инструменты уже используются в вашей компании и может ли AI Act затрагивать вашу деятельность, разумный первый шаг — провести короткую проверку AI-готовности.

Юрист Георгий Джаниашвили поможет вам составить карту вариантов использования ИИ, оценить роль вашей компании в соответствии с Законом об ИИ и определить, какие риски, документы и внутренние правила требуют внимания. Запишитесь на консультацию по готовности к внедрению ИИ уже сегодня – здесь.

Важные даты AI Act

AI Act вступил в силу 1 августа 2024 года. Запреты на prohibited AI practices и обязанность по AI literacy начали применяться 2 февраля 2025 года. Правила для general-purpose AI models, включая GPAI-модели, начали применяться 2 августа 2025 года. Большая часть AI Act по общему правилу применяется с 2 августа 2026 года.

AI Omnibus изменил график применения части требований для high-risk AI systems. Согласно политическому соглашению Совета ЕС и Европейского парламента, новые даты применения правил для stand-alone high-risk AI systems — 2 декабря 2027 года, а для high-risk AI systems, встроенных в продукты, — 2 августа 2028 года.

Но это не означает, что бизнес может спокойно ждать 2027 или 2028 года. Запрещённые AI-практики и AI literacy уже применяются. Кроме того, уже сейчас продолжают действовать GDPR, правила защиты коммерческой тайны, интеллектуальной собственности, трудовое право, договорные обязательства и требования к информационной безопасности.

Использование ИИ должно соответствовать этим правилам уже сегодня, а не после появления всех дополнительных разъяснений.

Компании часто начинают не с того

Самая распространённая ошибка — начать сразу с документа.

Компания скачивает шаблон AI policy, добавляет пару общих правил про ChatGPT и считает, что AI Act readiness (готовность) закрыт.

Это слабый подход.

AI-готовность начинается не с документа. Она начинается с карты реального использования ИИ.

Первый вопрос должен быть таким:

Какие AI-инструменты и AI-функции фактически используются в компании?

Без ответа на этот вопрос любая AI-политика будет больше похожа на декларацию, чем на рабочий инструмент управления рисками.

Что нужно реально проверить

Компания должна понять как минимум:

  • какие AI-инструменты используют сотрудники;
  • используются ли публичные бесплатные AI-сервисы или корпоративно контролируемые решения;
  • загружаются ли в AI-сервисы персональные данные, клиентские данные, договоры, исходный код или коммерческая тайна;
  • влияет ли AI на клиентов, работников или решения в отношении людей;
  • используется ли AI в HR, fintech, образовании, клиентском скоринге, кредитной оценке или других чувствительных процессах;
  • кто отвечает за внедрение новых AI-инструментов;
  • есть ли договорные, GDPR и security-гарантии у поставщиков AI-сервисов.

Особенно важно выявить shadow AI – ситуации, когда сотрудники используют личные аккаунты, бесплатные AI-сервисы или инструменты, которые компания официально не проверяла и не контролирует.

Два вопроса, которые делают AI-готовность практичной

После первичного картирования нужно задать два вопроса.

Первый: влияет ли AI на людей, клиентов, сотрудников или решения в отношении них?

Это важно, потому что AI Act различает запрещённые AI-практики, high-risk AI systems, системы с обязанностями прозрачности и низкорисковые AI-системы. Высокорисковые системы могут включать, например, AI в трудоустройстве, образовании, критической инфраструктуре, доступе к важным услугам и других сферах, где AI может влиять на права или возможности человека.

Второй: кто отвечает за то, чтобы новые AI-инструменты не внедрялись без проверки?

Если в компании нет ответственного, появляется неконтролируемое использование AI. На практике это часто опаснее, чем отсутствие красивого документа.

Роли по AI Act: почему они важны

AI Act спрашивает не только “использует ли компания ИИ”. Он также смотрит на роль компании.

Компания может быть:

  • provider — поставщик AI-системы, если она разрабатывает или предлагает AI-систему на рынке под своим именем;
  • deployer — пользователь AI-системы, если она применяет AI в своих рабочих процессах;
  • importer — импортёр, если она вводит AI-систему из третьей страны на рынок ЕС;
  • distributor — дистрибьютор, если она делает AI-систему доступной на рынке ЕС;
  • GPAI provider — поставщик универсальной AI-модели, если она разрабатывает general-purpose AI model, например большую языковую модель.

Роль определяет обязанности. У provider могут быть обязанности по документации, risk management, conformity assessment, инструкциям и мониторингу. У deployer могут быть обязанности по правильному использованию системы, человеческому контролю, качеству входных данных, логам, информированию пользователей и AI literacy.

Одна и та же компания может иметь несколько ролей одновременно. Например, SaaS-компания может использовать стороннюю GPAI-модель, но при этом быть provider конкретной AI-системы, которую продаёт клиентам.

Практические шаги для снижения AI-рисков

AI governance – это не одноразовый проект. Это изменение управленческого подхода к технологиям, данным и ответственности.

1. Картирование и классификация

Нужно определить все места, где используется AI: официальные инструменты, встроенные AI-функции, AI в CRM, AI в продуктах, AI у подрядчиков и shadow AI.

Затем нужно оценить, может ли какой-то use case относиться к prohibited AI practices, high-risk AI, transparency obligations или low-risk AI.

2. Категории использования AI

Все способы использования ИИ не одинаковы. Внутри компании можно разделить их на три категории.

Разрешено: низкорисковые действия, например редактирование обезличенных заметок встречи без персональных данных, имён и конфиденциальной информации.

Ограничено: действия, требующие разрешения и контроля, например анализ клиентских данных, обработка финансовой информации, помощь в HR-процессах, анализ договоров или подготовка юридически значимых документов.

Запрещено: действия, которые могут нарушить GDPR, коммерческую тайну или договорные обязательства, например загрузка конфиденциальных договоров, исходного кода или клиентских данных в публичный бесплатный AI-сервис без проверки.

3. Внутренняя AI policy

Компании нужна практичная политика использования AI, а не формальный документ “для папки”.

Она должна отвечать на вопросы:

  • какие AI-инструменты разрешены;
  • какие данные можно вводить в AI;
  • какие данные запрещено вводить;
  • кто проверяет AI-output;
  • когда нужен human review;
  • когда нужно маркировать AI-generated content;
  • как информировать пользователей, если они взаимодействуют с AI-системой;
  • как проверять новые AI-инструменты до их внедрения.

4. Ответственность и контроль

AI не должен быть только проблемой IT-отдела.

Ответственность должна быть разделена между руководством, юридической функцией, compliance, IT/security и бизнесом. Нужно определить, кто отвечает за AI risk assessment, GDPR, информационную безопасность, договорные риски, vendor review и внутренние правила.

Также нельзя забывать о подрядчиках и партнёрах. Если они имеют доступ к вашим данным, клиентам или продуктам, в договорах должны быть правила о конфиденциальности, обработке данных, использовании AI, security measures, уведомлениях об инцидентах и ответственности.

Почему загрузка конфиденциальной информации в публичный AI-сервис опасна

Один из самых практических рисков – когда сотрудник загружает в публичный AI-сервис договор, клиентские данные, исходный код, финансовую информацию, бизнес-план или коммерческую тайну.

Юридически неверно утверждать, что такая информация всегда и автоматически становится частью training data навсегда. Это зависит от условий конкретного сервиса, настроек аккаунта, типа плана, privacy settings, retention policy и opt-out возможностей.

Но риск всё равно реальный. Если у компании нет контроля, она может не знать:

  • куда попали данные;
  • кто получил к ним доступ;
  • сколько они будут храниться;
  • используются ли они для улучшения сервиса;
  • нарушены ли GDPR, договор с клиентом или правила о коммерческой тайне.

Поэтому AI-политика не должна быть только списком разрешённых инструментов. Главное – данные, use cases, ответственность и контроль.

AI-готовность – это не только риск штрафов

Для многих компаний первый серьёзный вопрос придёт не от регулятора, а от рынка.

Инвестор спросит на due diligence, как компания управляет AI-рисками.
Крупный клиент включит AI governance в procurement questionnaire.
Банк спросит, обрабатываются ли клиентские данные в AI-инструментах.
Партнёр запросит GDPR и AI compliance documentation.
Клиент предъявит претензию, потому что AI-output оказался ошибочным или вводящим в заблуждение.

В этот момент общий ответ “мы используем только надёжные инструменты” не поможет. Нужно показать, какие AI-системы используются, для чего, какие риски оценены, какие меры контроля внедрены и кто за это отвечает.

Что сделать до того, как возникнет срочная проблема

Практическая AI Act readiness не обязательно должна начинаться с большого и дорогого проекта. Первый шаг должен быть понятным и проверяемым.

Минимально компания должна:

  1. составить список AI-инструментов и AI-функций;
  2. определить свою роль по каждой AI-системе;
  3. оценить категорию риска;
  4. проверить обработку персональных данных и GDPR-требования;
  5. создать процесс проверки новых AI-инструментов;
  6. назначить ответственных;
  7. подготовить практическую AI policy;
  8. обучить сотрудников AI literacy;
  9. добавить AI clauses в договоры с клиентами, поставщиками и разработчиками;
  10. подготовить базовую документацию для клиентов, инвесторов, банков и партнёров.

Почему откладывать до осени – плохая идея

Лето часто создаёт иллюзию паузы. Кажется логичным: “Вернёмся к этому после отпусков”.

Но AI не уходит в отпуск. Сотрудники продолжают использовать инструменты. Данные продолжают попадать во внешние сервисы. AI-функции появляются в продуктах. Клиенты и инвесторы продолжают задавать вопросы. Сроки AI Act постепенно приближаются.

Если AI-готовность откладывается на осень, компания может обнаружить, что работу, которую можно было спокойно сделать за несколько месяцев, теперь нужно делать за пару недель перед аудитом клиента, due diligence инвестора, банковской проверкой или регуляторным дедлайном.

Итог

AI Act не означает, что каждой компании нужна “лицензия на ИИ”. Но он означает, что компания должна понимать:

  • какие AI-системы она использует или предлагает;
  • какую роль она играет;
  • какая категория риска может применяться;
  • какие документы, процессы и меры контроля нужны;
  • как AI связан с GDPR, договорами, информационной безопасностью и ответственностью перед клиентами.

Худший момент для начала AI-готовности – когда вопросы уже заданы.

Гораздо разумнее провести первичный AI Act readiness review заранее, до того как регуляторная неопределённость начнёт мешать продажам, финансированию, банковскому onboarding, лицензированию или работе с крупными клиентами.

Если ваша компания использует AI-инструменты, разрабатывает AI-продукт или продаёт цифровой сервис на рынке ЕС, не ждите первого сложного вопроса от клиента, инвестора, банка или регулятора.

Юрист Георгий Джаниашвили помогает провести первичный AI Act readiness review: определить AI use cases, роли, категории риска, недостающие документы и практический план действий.

Выявите регуляторные пробелы до того, как они начнут блокировать продажи, инвестиции или выход на рынок.

Выявить AI-регуляторные пробелы записавшись на консультацию.

AI Act valmisolek: miks ei tasu tehisintellekti kasutamise juhtimist edasi lükata

“Praegu on liiga vara AI Acti pärast muretseda.”

Seda lauset kuuleb üha sagedamini ettevõtetelt, kes kasutavad tehisintellekti tööriistu, arendavad AI-põhiseid tooteid või valmistuvad Euroopa Liidu turule sisenemiseks.

Esmapilgul tundub ootamine mõistlik. EU AI Act ehk Euroopa Liidu tehisintellekti määrus on uus, juhiseid lisandub järk-järgult ning AI Omnibus on toonud muudatusi kõrge riskiga AI-süsteemide kohaldamise ajakavas. Probleem on aga selles, et täielikku “selgust” ei pruugi tulla enne, kui kliendid, investorid, pangad või reguleerivad asutused hakkavad juba konkreetseid küsimusi esitama.

AI ei ole enam mänguasi ega ainult IT-osakonna eksperiment. Paljudes ettevõtetes on see juba igapäevane tööriist: tekstide koostamiseks, andmete analüüsimiseks, klienditoe automatiseerimiseks, tarkvaraarenduseks, dokumentide töötlemiseks või otsuste ettevalmistamiseks.

Tehisintellekt on võimas tööriist, kuid selle ohutu kasutamine algab juhtimisotsustest, mitte tarkvarakoodist. Kontrolli omamine tähendab, et ettevõte saab keskenduda AI pakutavatele võimalustele, mitte kriisireguleerimisele.

Kui te ei ole kindel, milliseid AI-tööriistu teie ettevõttes tegelikult kasutatakse või kas AI Act võib teie tegevust puudutada, tasub alustada lühikesest AI-valmisoleku ülevaatusest.

Jurist Georgi Džaniašvili aitab kaardistada AI kasutusjuhud, hinnata ettevõtte rolli AI Acti mõttes ja tuvastada, millised riskid, dokumendid ja sisemised reeglid vajavad tähelepanu. Broneeri AI-valmisoleku konsultatsiooni täna.

AI Act ei puuduta ainult AI-ettevõtteid

Üks levinumaid eksiarvamusi on see, et AI Act compliance puudutab ainult ettevõtteid, kes ise tehisintellekti arendavad.

Tegelikult on AI Act riskipõhine määrus, mis kohaldub nii AI-süsteemide pakkujatele kui ka kasutajatele sõltuvalt konkreetsest kasutusjuhust. Euroopa Komisjon kirjeldab AI Acti kui riskipõhist reeglistikku AI arendajatele ja kasutajatele konkreetsete AI kasutusviiside puhul.

See tähendab, et ettevõte võib sattuda AI Acti kohaldamisalasse ka siis, kui ta lihtsalt kasutab kolmanda osapoole AI-tööriista oma tööprotsessides.

Näiteks:

  • personaliosakond kasutab AI-tööriista kandidaatide eelvalikuks;
  • müügitiim kasutab AI-põhist kliendiskooringut;
  • klienditugi kasutab AI-chatbot’i;
  • fintech-ettevõte kasutab AI-d kliendiriski hindamiseks;
  • SaaS-platvorm sisaldab AI-funktsiooni, mis mõjutab kasutaja otsuseid;
  • töötajad sisestavad kliendiandmeid avalikesse AI-tööriistadesse.

Sellistes olukordades ei piisa vastusest: “See ei ole meie AI, me ainult kasutame seda.”

AI on juba teie kontoris – ja see ei küsi luba IT-juhilt

Paljudes organisatsioonides on levinud väärarusaam, et tehisintellektiga seonduv on IT-osakonna teema või kauges tulevikus tekkiv regulatiivne küsimus.

Reaalsus on teistsugune. AI on juba kasutusel ka siis, kui ametlikku AI-strateegiat ei ole.

Turundustiim kasutab ChatGPT-d. Arendajad kasutavad Copilotit. Müügimeeskond kasutab CRM-i sisse ehitatud AI-funktsiooni. Personalitöötaja katsetab tööriista, mis aitab kandidaate võrrelda. Keegi laadib lepingu või kliendiandmed avalikku AI-teenusesse, mõtlemata konfidentsiaalsusele, ärisaladusele või isikuandmete kaitsele.

Kui töötaja kasutab AI-d kliendiandmete analüüsimiseks või hankedokumendi koostamiseks, ei ole see enam süütu tehnoloogiline katsetus. See võib olla õiguslik, andmekaitse, infoturbe ja ärisaladuse risk.

Tehnoloogia ei vastuta vigade, lekkivate andmete ega diskrimineerivate otsuste eest. Vastutus jääb organisatsioonile ja selle juhtimisele.

Olulised tähtajad: mis juba kehtib ja mis tuleb

AI Act jõustus 1. augustil 2024. Keelatud AI praktikad ja AI-kirjaoskuse kohustused hakkasid kohalduma 2. veebruaril 2025. Üldotstarbeliste AI-mudelite ehk GPAI mudelite reeglid hakkasid kohalduma 2. augustil 2025. Suur osa AI Acti nõuetest kohaldub üldreegli järgi 2. augustist 2026.

AI Omnibus on muutnud kõrge riskiga AI-süsteemide ajakava. Euroopa Liidu institutsioonide info kohaselt rakenduvad teatud iseseisvate kõrge riskiga AI-süsteemide reeglid, näiteks biomeetria, hariduse, tööhõive, migratsiooni ja kriitilise taristu valdkonnas, 2. detsembrist 2027. Toodetesse integreeritud kõrge riskiga AI-süsteemide puhul on tähtajaks 2. august 2028.

See ei tähenda, et ettevõtted võivad 2027. aastani mitte midagi teha. Keelatud praktikad ja AI-kirjaoskuse nõuded juba kehtivad. Lisaks kehtivad juba praegu ka GDPR, ärisaladuse kaitse, intellektuaalomandi reeglid, tööõigus ja lepingulised kohustused.

AI kasutamine peab nende reeglitega kooskõlas olema juba täna, mitte alles siis, kui kõik AI Acti juhendmaterjalid on avaldatud.

Ettevõtted alustavad sageli valest kohast

Kõige levinum viga on see, et ettevõte alustab kohe dokumendist.

Koostatakse AI policy, lisatakse mõni üldine reegel ChatGPT kasutamise kohta ja eeldatakse, et sellega on AI Act readiness lahendatud.

See on nõrk lähenemine.

AI-valmisolek ei alga dokumendipõhjast. See algab kaardistamisest.

Esimene küsimus peaks olema:

Milliseid AI-tööriistu ja AI-funktsioone meie ettevõttes tegelikult kasutatakse?

Ilma selle ülevaateta on AI kasutamise sisekord pigem deklaratsioon kui juhtimisvahend.

Mida tuleb tegelikult kaardistada?

Ettevõte peaks tuvastama vähemalt:

  • milliseid AI-tööriistu töötajad kasutavad;
  • kas kasutatakse avalikke tasuta AI-teenuseid või ettevõtte kontrollitud lahendusi;
  • kas AI-sse sisestatakse isikuandmeid, kliendiandmeid, lepinguid, lähtekoodi või ärisaladusi;
  • kas AI mõjutab kliente, töötajaid või otsuseid inimeste kohta;
  • kas AI-d kasutatakse värbamises, finantsriskide hindamises, hariduses, kliendiskooringus või muudes tundlikes protsessides;
  • kes vastutab uute AI-tööriistade kasutuselevõtu eest;
  • kas kasutatavatel teenusepakkujatel on sobivad lepingud, andmekaitse tingimused ja turvameetmed.

Eriti oluline on tuvastada shadow AI ehk olukorrad, kus töötajad kasutavad tööülesannete täitmisel isiklikke kontosid, tasuta AI-teenuseid või tööriistu, mida ettevõte ametlikult ei kontrolli.

Kaks küsimust, mis muudavad AI-valmisoleku praktiliseks

Kui AI kasutus on kaardistatud, tuleb küsida kaks lihtsat, kuid väga olulist küsimust.

Esiteks: kas AI mõjutab inimesi, kliente, töötajaid või otsuseid nende kohta?

See on oluline, sest AI Act eristab madala riskiga, läbipaistvuskohustusega, kõrge riskiga ja keelatud AI-praktikaid. Kõrge riskiga AI-süsteemid võivad hõlmata näiteks töölevõtmist, haridust, kriitilist taristut, oluliste teenuste kättesaadavust ja muid valdkondi, kus AI võib mõjutada inimese õigusi või võimalusi.

Teiseks: kes vastutab selle eest, et uusi AI-tööriistu ei võetaks kasutusele ilma ülevaatuseta?

Kui ettevõttes puudub vastutaja, tekib varjatud AI kasutus. See on praktiliselt ohtlikum kui üks halvasti sõnastatud poliitika.

AI Act rollid: miks need on olulised

AI Act ei küsi ainult seda, kas ettevõte “kasutab AI-d”. Oluline on ka ettevõtte roll.

Ettevõte võib olla:

  • provider ehk AI-süsteemi pakkuja, kui ta arendab või pakub AI-süsteemi turule oma nime all;
  • deployer ehk kasutaja, kui ta kasutab AI-süsteemi oma tööprotsessides;
  • importer, kui ta toob kolmanda riigi AI-süsteemi ELi turule;
  • distributor, kui ta teeb AI-süsteemi ELi turul kättesaadavaks;
  • GPAI provider, kui ta arendab üldotstarbelist AI-mudelit.

Roll määrab, millised kohustused ettevõttel on. Näiteks AI-süsteemi pakkujal võivad olla dokumenteerimise, riskijuhtimise, vastavushindamise ja kasutusjuhiste kohustused. Kasutajal võivad olla kohustused seoses inimjärelevalve, sisendandmete, logide, töötajate teadlikkuse ja AI-süsteemi korrektse kasutamisega.

Praktilised sammud AI riskide maandamiseks

AI kasutamise juhtimine ei ole ühekordne projekt. See on juhtimisest algav mõttelaadi muutus.

1. Kaardistus ja klassifitseerimine

Tuvastage kõik kohad, kus AI-d kasutatakse, sealhulgas ametlikud tööriistad, sisseehitatud AI-funktsioonid ja shadow AI.

Seejärel hinnake, kas mõni kasutusjuht võib kuuluda kõrge riskiga või keelatud AI-praktikate hulka. Targa juhtimisega on võimalik osa riskidest vähendada juba protsessi disaini tasandil.

2. Kasutuskategooriate loomine

Kõik AI kasutusviisid ei ole võrdsed. Praktiline sisemine raamistik võib jagada kasutused näiteks kolmeks.

Lubatud: madala riskiga tegevused, näiteks koosolekumärkmete toimetamine ilma nimede, isikuandmete või konfidentsiaalse sisuta.

Piiratud: tegevused, mis vajavad eriluba ja kontrolli, näiteks värbamisprotsessid, finantsandmete analüüs, kliendiandmete töötlemine või lepingute analüüs.

Keelatud: tegevused, mis võivad rikkuda isikuandmete kaitset, ärisaladust või lepingulisi kohustusi, näiteks konfidentsiaalsete lepingute, lähtekoodi või kliendiandmete üleslaadimine avalikku tasuta AI-teenusesse ilma kontrollita.

3. AI kasutamise sisekorra kehtestamine

Ettevõttel peaks olema praktiline AI kasutamise sisekord, mis vastab päriselule, mitte ainult dokumendinõudele.

See peaks reguleerima muu hulgas:

  • milliseid AI-tööriistu võib kasutada;
  • milliseid andmeid tohib AI-sse sisestada;
  • milliseid andmeid ei tohi AI-sse sisestada;
  • kes kontrollib AI väljundit;
  • millal on vaja inimjärelevalvet;
  • kuidas märgistatakse AI-ga loodud sisu, kui see on vajalik;
  • kuidas täidetakse kasutajate teavitamiskohustust, kui inimene suhtleb AI-süsteemiga;
  • kuidas hinnatakse uusi AI-tööriistu enne kasutuselevõttu.

4. Vastutuse ja kontrolli määramine

AI kasutamine ei saa olla ainult IT-osakonna probleem.

Vastutus peab olema jagatud õigusliku, tehnilise ja äripoole vahel. Juhtkond peab määrama, kes vastutab AI kasutamise reeglite, riskihindamise, andmekaitse, infoturbe ja lepinguliste riskide eest.

Unustada ei tohi ka teenusepakkujaid ja koostööpartnereid. Kui nad puutuvad kokku teie andmete, klientide või toodetega, peab lepingutes olema selgelt reguleeritud konfidentsiaalsus, andmekaitse, AI kasutamine, turvameetmed ja vastutus.

Miks konfidentsiaalse info sisestamine avalikku AI-tööriista on risk?

Üks praktilisemaid riske on see, et töötaja sisestab avalikku AI-teenusesse lepingu, kliendiandmed, lähtekoodi, äriplaani või muu konfidentsiaalse info.

See ei tähenda automaatselt, et info muutub igaveseks mudeli treeningandmeteks. See sõltub konkreetse teenuse tingimustest, kasutusviisist, konto tüübist, säilitamispoliitikast ja privaatsusseadetest.

Aga risk on reaalne: kui ettevõttel puudub kontroll, ei pruugi ta teada, kuhu andmed jõudsid, kui kaua neid säilitatakse, kellel on neile ligipääs ja kas nende sisestamine rikkus GDPR-i, ärisaladuse kaitset või kliendilepingut.

Seetõttu ei tohiks AI kasutamise reeglid keskenduda ainult tööriistade nimekirjale. Fookus peab olema andmetel, kasutusjuhtudel, vastutusel ja kontrollil.

AI-valmisolek ei ole ainult regulatiivne risk

Paljude ettevõtete jaoks ei tule esimene probleem regulaatorilt. See tuleb turult.

Investor küsib due diligence’i käigus, kuidas AI-riske juhitakse.
Suurklient küsib hankemenetluses, kas AI kasutamine on kontrollitud.
Pank küsib, kas kliendiandmeid töödeldakse AI-tööriistades.
Partner küsib, kas ettevõttel on AI governance, GDPR ja andmekaitse dokumentatsioon korras.
Kliendiga tekib vaidlus, sest AI väljund oli vale, eksitav või tekitas kahju.

Sellisel hetkel ei aita üldine vastus “me kasutame ainult usaldusväärseid tööriistu”. Ettevõte peab suutma näidata, millised AI-süsteemid on kasutusel, milleks neid kasutatakse, millised riskid on hinnatud ja millised kontrollid on rakendatud.

Mida peaks ettevõte tegema enne, kui tekib kiire probleem?

Praktiline AI Act readiness ei pea algama suure ja kalli projektiga. Esimene samm peaks olema selge ja kontrollitav.

Ettevõte peaks tegema vähemalt järgmised sammud:

  1. kaardistama kõik AI-tööriistad ja AI-funktsioonid;
  2. määrama oma rolli iga AI-süsteemi puhul;
  3. hindama, kas tegemist võib olla keelatud, kõrge riskiga, läbipaistvuskohustusega või madala riskiga kasutusega;
  4. kontrollima, kas kasutatakse isikuandmeid ja kas GDPR nõuded on täidetud;
  5. looma sisemise protsessi uute AI-tööriistade kasutuselevõtuks;
  6. määrama vastutajad;
  7. koostama praktilise AI kasutamise poliitika;
  8. koolitama töötajaid AI-kirjaoskuse osas;
  9. lisama vajadusel AI klauslid klientide, tarnijate ja arenduspartnerite lepingutesse;
  10. valmistama ette dokumentatsiooni klientide, investorite ja partnerite küsimusteks.

Suve ootamine loob petliku turvatunde

Juuli ja august tunduvad sageli loomuliku pausina. Mõte on lihtne: “Tuleme selle juurde sügisel tagasi.”

Probleem on selles, et AI kasutamine ei lähe suvepuhkusele. Töötajad kasutavad tööriistu edasi. Kliendiandmeid võidakse sisestada välistesse süsteemidesse. AI-funktsioonid lisanduvad toodetesse. Investorid ja kliendid jätkavad küsimist. Regulatiivsed tähtajad liiguvad lähemale.

Kui AI-valmisolek lükatakse sügisesse, võib ettevõte avastada, et töö, mida oleks saanud rahulikult teha mitme kuu jooksul, tuleb nüüd teha kiirustades enne kliendi auditit, investori due diligence’i või regulatiivset tähtaega.

Kokkuvõte

AI Act ei tähenda, et iga ettevõte vajab “AI-litsentsi”. See tähendab, et ettevõte peab teadma, milliseid AI-süsteeme ta kasutab või pakub, milline roll tal on, milline riskikategooria võib kohalduda ja millised dokumendid, protsessid ja kontrollid on vajalikud.

Kõige halvem aeg AI-valmisolekuga alustamiseks on siis, kui küsimused on juba laual.

Palju mõistlikum on teha esmane AI Act readiness ülevaatus enne, kui regulatiivne ebakindlus hakkab takistama müüki, rahastamist, pangasuhtlust, litsentsimist või koostööd suuremate klientidega.

Kui teie ettevõte kasutab AI-tööriistu, arendab AI-põhist toodet või müüb digitaalset teenust Euroopa Liidu turul, ei tasu oodata esimese kliendi, investori või regulaatori küsimust.

Jurist Georgi Džaniašvili aitab teha esmase AI Act readiness ülevaatuse: kaardistada AI kasutuse, hinnata rollid ja riskikategooriad, tuvastada puuduvad dokumendid ning koostada praktiline tegevuskava.

Tuvastage regulatiivsed lüngad enne, kui need hakkavad takistama müüki, rahastamist või turule sisenemist.

Äriseadustiku muudatused 2026: mida peavad ettevõtjad Eestis teadma?

Äriseadustiku reform Eestis

Eestis kavandatavad Äriseadustiku muudatused mõjutavad otseselt iga osaühingut (OÜ) ja aktsiaseltsi (AS). Tegemist ei ole pelgalt tehnilise seaduse uuendamisega, vaid sisulise reformiga, mis muudab ettevõtte juhtimise, osanike õiguste ja otsuste vaidlustamise reegleid.

Kui sa juhid ettevõtet Eestis või oled osanik, siis need muudatused mõjutavad sind – isegi siis, kui sa igapäevaselt seadustega ei tegele.

Selles artiklis vaatame ainult kõige olulisemaid muudatusi ja selgitame, mida need praktikas tähendavad.

Kvooruminõude kaotamine OÜ-s: lihtsam juhtimine, suurem vastutus

Praegu kehtiva Äriseadustiku järgi on osaühingu osanike koosolek otsustusvõimeline ainult siis, kui esindatud on üle poole häältest. See on olnud üks peamisi mehhanisme, mis tagab, et otsuseid ei saa teha liiga kitsas ring.

Kavandatava reformiga see nõue kaob. Edaspidi ei määra seadus enam kvoorumit – selle saab (ja tegelikult ka peab) paika panema ettevõtte põhikirjas.

See muudab ettevõtte juhtimise Eestis paindlikumaks, kuid loob ka uue riski: kui põhikiri on üldine või kopeeritud mallist, võib otsustusõigus koonduda aktiivse vähemuse kätte.

Viide / sõnastus:
„Põhikirjaga võib ette näha, kui suur arv hääli peab olema osanike koosolekul osadega esindatud, et osanike koosolek oleks otsustusvõimeline.“ (ÄS § 170 lg 2 – eelnõu)

Osanike õigused ja otsuste vaidlustamine Eestis

Uus alus otsuste tühistamiseks

Üks olulisemaid muudatusi Eesti äriõiguses puudutab osanike õigusi ja otsuste vaidlustamist.

Seadusesse lisatakse uus alus, mille kohaselt võib osanik nõuda otsuse kehtetuks tunnistamist juhul, kui talle ei antud piisavat teavet enne otsuse tegemist.

See tähendab, et ettevõtte juhtimine ei sõltu enam ainult otsuse sisust, vaid ka sellest, kuidas otsuseni jõuti.

Praktikas võib see kaasa tuua rohkem vaidlusi ettevõtetes, eriti kui osanike vahel on juba pingeid.

Viide / sõnastus:
„Osanike otsuse kehtetuks tunnistamist võib nõuda ka juhul, kui juhatus ei andnud osanikule otsuse tegemiseks vajalikku teavet või talle antud teave oli ebaõige või ebapiisav.“ (ÄS § 178 lg 11 – eelnõu)

Huvide konflikt ettevõttes ja hääleõiguse piirangud

Kavandatavad muudatused puudutavad ka olukordi, kus osanik on huvide konfliktis ettevõttega.

Kui seni kehtisid piirangud peamiselt konkreetsete tehingute puhul, siis edaspidi ei või osanik hääletada ka olukordades, kus otsustatakse temaga seotud õigusvaidlusi või tema rolli selles vaidluses.

See on oluline muudatus ettevõtte juhtimise praktikas Eestis, sest see mõjutab otseselt osanike mõju otsustele.

Viide / sõnastus:
„Osanik ei või hääletada … osanikuga mis tahes õigusvaidluse pidamist ning selles … osaühingu esindaja määramist…“ (ÄS § 177 lg 1 – eelnõu)

Osade üleminek ja äriregistri roll Eestis

Äriseadustiku muudatused puudutavad ka osaühingu osade üleminekut ja äriregistri rolli.

Seletuskirjas rõhutatakse, et üksnes notari teade ei ole piisav registrikande tegemiseks – vajalik on eraldi tahteavaldus. See näitab, et kuigi äriregister jääb keskseks, ei ole see ainus määrav element omandi üleminekul.

Ettevõtjate jaoks tähendab see, et osade müük ja omandi üleminek nõuab jätkuvalt korrektset juriidilist vormistamist, mitte ainult registrikannet.

Viide / sõnastus:
„Sellise kande tegemiseks ei piisa üksnes notari teatest, vaid tuleb esitada ka õigustatud isiku tahteavaldus registrikandeks…“ (seletuskiri, § 149 selgitus)

Osaühingu (OÜ) asutamine Eestis muutub lihtsamaks

Reform toob kaasa ka ettevõtlust lihtsustavaid muudatusi, mis mõjutavad otseselt uute ettevõtete loomist Eestis.

Näiteks:

  • teatud juhtudel ei ole vaja avada pangakontot
  • piisab juhatuse kinnitusest sissemakse kohta
  • mitterahaliste sissemaksete kontrolli nõudeid leevendatakse

See muudab osaühingu (OÜ) asutamise Eestis kiiremaks ja odavamaks.

Samas suureneb juhatuse vastutus, kuna kontroll mehhanismid vähenevad.

Viide / sõnastus:
„… ei kohaldata … kui … piisab juhatuse kinnitusest sissemakse tasumise kohta.“ (ÄS § 141 lg 2 – eelnõu)

„Audiitorkontrolli nõue ei kohaldu…“ (ÄS § 143 lg 3 – eelnõu)

Osanike teabeõigus ja tütarettevõtjad

Osanike teabeõigus on oluline osa ettevõtte läbipaistvusest. Uue regulatsiooni kohaselt laieneb see ka tütarettevõtjatele.

See tähendab, et osanik võib nõuda teavet kogu kontserni tasandil, mitte ainult ühe ettevõtte kohta.

Ettevõtte juhtimise seisukohalt tähendab see suuremat läbipaistvust, kuid ka suuremat halduskoormust ja võimalikku survet juhtkonnale.

Viide / sõnastus:
„Osanikel on õigus saada juhatuselt teavet osaühingu ja selle tütarettevõtjate tegevuse kohta…“ (ÄS § 166 lg 1 – eelnõu)

Äriseadustiku muudatuste mõju ettevõtjatele Eestis

Kokkuvõttes ei ole tegemist lihtsalt seaduse uuendamisega. Need muudatused mõjutavad:

  • ettevõtte juhtimist Eestis
  • osanike õigusi ja kohustusi
  • vaidluste arvu ja iseloomu
  • äriregistri rolli
  • põhikirja tähtsust

Seadus annab ettevõtjatele rohkem vabadust, kuid samal ajal ka rohkem vastutust.

Viide / sõnastus:
„Eesmärk on anda ühingutele… senisest enam otsustamisvabadust ning vähendada… piiranguid.“ (seletuskiri)

Kokkuvõte: mida ettevõtja peaks tegema?

Kui sa tegutsed Eestis ettevõtjana, siis see reform tähendab üht lihtsat asja: standardlahendused enam ei tööta.

Põhikiri, otsuste dokumenteerimine ja osanikega suhtlemine muutuvad kriitiliseks. Need ettevõtted, kes kohandavad oma struktuuri uue regulatsiooniga, võidavad paindlikkuses.

Need, kes seda ei tee, satuvad suurema tõenäosusega vaidlustesse. Aitan äriõigusega seotud küsimustes.

Изменения в Коммерческом кодексе Эстонии 2026: что нужно знать предпринимателям?

Реформа Коммерческого кодекса в Эстонии

Планируемые изменения в Коммерческом кодексе Эстонии напрямую затронут каждое товарищество с ограниченной ответственностью (OÜ) и акционерное общество (AS). Это не просто техническое обновление закона, а существенная реформа корпоративного права Эстонии, которая изменит правила управления компанией, права участников и порядок оспаривания решений.

Если вы ведёте бизнес в Эстонии, управляете компанией или являетесь участником OÜ, эти изменения могут повлиять на вас — даже если вы не занимаетесь юридическими вопросами ежедневно.

В этой статье рассмотрим только самые важные изменения и объясним, что они означают на практике.

Отмена требования кворума в OÜ: проще управление, выше ответственность

По действующему Коммерческому кодексу Эстонии собрание участников OÜ правомочно принимать решения только в том случае, если на нём представлено более половины голосов. Это один из ключевых механизмов, который защищает компанию от принятия решений слишком узким кругом лиц.

В рамках планируемой реформы это требование будет отменено. В будущем закон больше не будет автоматически устанавливать кворум — его можно будет, и фактически нужно будет, определить в уставе компании.

Это сделает управление компанией в Эстонии более гибким, но одновременно создаст новый риск: если устав компании слишком общий или скопирован из шаблона, право принимать решения может фактически перейти к активному меньшинству участников.

Формулировка законопроекта:
«Уставом может быть предусмотрено, какое количество голосов должно быть представлено долями на собрании участников, чтобы собрание участников было правомочным принимать решения.»
(ÄS § 170 lg 2 — законопроект)

Права участников и оспаривание решений в Эстонии

Новое основание для отмены решений

Одно из наиболее важных изменений в корпоративном праве Эстонии касается прав участников OÜ и оспаривания решений.

В закон добавляется новое основание, по которому участник сможет требовать признания решения недействительным, если до принятия решения ему не была предоставлена достаточная информация.

Это означает, что управление компанией будет зависеть не только от содержания решения, но и от того, как это решение было подготовлено и принято.

На практике это может привести к увеличению числа корпоративных споров, особенно в компаниях, где между участниками уже существуют конфликты или напряжённые отношения.

Формулировка законопроекта:
«Признания решения участников недействительным можно требовать также в случае, если правление не предоставило участнику информацию, необходимую для принятия решения, либо предоставленная информация была неверной или недостаточной.»
(ÄS § 178 lg 11 — законопроект)

Конфликт интересов в компании и ограничения права голоса

Планируемые изменения также затрагивают ситуации, когда участник находится в конфликте интересов с компанией.

Если ранее ограничения в основном касались конкретных сделок, то в будущем участник не сможет голосовать также в ситуациях, когда решается вопрос о ведении с ним правового спора или о его роли в таком споре.

Это важное изменение для практики управления OÜ в Эстонии, поскольку оно напрямую влияет на возможность участников контролировать решения компании в конфликтных ситуациях.

Формулировка законопроекта:
«Участник не может голосовать … по вопросу ведения любого правового спора с участником, а также назначения представителя OÜ в таком споре…»
(ÄS § 177 lg 1 — законопроект)

Переход долей OÜ и роль Коммерческого регистра в Эстонии

Изменения в Коммерческом кодексе также касаются перехода долей OÜ и роли Коммерческого регистра.

В пояснительной записке подчёркивается, что одного уведомления нотариуса недостаточно для внесения записи в регистр — необходимо отдельное волеизъявление уполномоченного лица. Это показывает, что, хотя Коммерческий регистр остаётся центральным элементом, он не является единственным определяющим фактором при переходе права собственности на долю.

Для предпринимателей это означает, что продажа долей OÜ и переход права собственности по-прежнему требуют корректного юридического оформления, а не только внесения записи в регистр.

Формулировка пояснительной записки:
«Для внесения такой записи недостаточно одного уведомления нотариуса, необходимо также представить волеизъявление уполномоченного лица для внесения записи в регистр…»
(пояснительная записка, разъяснение к § 149)

Регистрация OÜ в Эстонии станет проще

Реформа также предусматривает изменения, которые упрощают создание новых компаний в Эстонии.

Например:

  • в некоторых случаях не нужно будет открывать банковский счёт;
  • будет достаточно подтверждения правления об оплате взноса;
  • требования к проверке неденежных взносов будут смягчены.

Это сделает регистрацию OÜ в Эстонии быстрее и дешевле.

Однако одновременно возрастёт ответственность правления, поскольку контрольные механизмы будут сокращены.

Формулировка законопроекта:
«… не применяется … если … достаточно подтверждения правления об оплате взноса.»
(ÄS § 141 lg 2 — законопроект)

«Требование аудиторской проверки не применяется…»
(ÄS § 143 lg 3 — законопроект)

Право участников на информацию и дочерние компании

Право участников на получение информации является важной частью прозрачного управления компанией. Согласно новой регулировке, это право будет распространяться также на дочерние компании.

Это означает, что участник сможет требовать информацию не только об одной компании, но и на уровне всей группы компаний.

С точки зрения управления бизнесом это повышает прозрачность, но одновременно увеличивает административную нагрузку и может усилить давление на руководство компании.

Формулировка законопроекта:
«Участники имеют право получать от правления информацию о деятельности OÜ и её дочерних предприятий…»
(ÄS § 166 lg 1 — законопроект)

Влияние изменений Коммерческого кодекса на предпринимателей в Эстонии

В целом речь идёт не просто об обновлении закона. Эти изменения повлияют на:

  • управление компанией в Эстонии;
  • права и обязанности участников OÜ;
  • количество и характер корпоративных споров;
  • роль Коммерческого регистра;
  • значение устава компании.

Закон даёт предпринимателям больше свободы, но одновременно возлагает на них больше ответственности.

Формулировка пояснительной записки:
«Цель состоит в том, чтобы предоставить компаниям … больше свободы в принятии решений и уменьшить … ограничения.»
(пояснительная записка)

Что должен сделать предприниматель?

Если вы ведёте бизнес в Эстонии, эта реформа означает одну простую вещь:

стандартные решения больше не работают.

Устав компании, документирование решений и коммуникация с участниками становятся критически важными. Компании, которые заранее адаптируют свою структуру к новым правилам, получат больше гибкости и лучше защитят себя от корпоративных споров.

Те, кто этого не сделает, с большей вероятностью столкнутся с конфликтами, оспариванием решений и юридическими рисками.