Tehisintellekti nõuetele vastavus: tehisintellektisüsteemide juhtimine ja tehisintellekti kasutamine vastavustöös

Tehisintellekti nõuetele vastavusel on kaks tähendust: pidev töö tagamaks, et teie organisatsiooni loodud või kasutatavad tehisintellektisüsteemid vastaksid kohaldatavatele seadustele, standarditele ja sisepoliitikatele, ning tehisintellekti kasutamine rutiinses ja mahukas vastavustöös.

See artikkel käsitleb mõlemat tähendust: riske, mida tehisintellekti nõuetele vastavus maandab, peamisi raamistikke, vastavusprogrammi loomist, tehisintellektiagentide kontrollimeetmeid ning valdkondi, kus tehisintellekt vastavusmeeskondi aitab. Lõpetuseks toome küsimused, mida enne vastavustööriista ostmist küsida.

Mis on tehisintellekti nõuetele vastavus?

Tehisintellekti nõuetele vastavus tähendab kahte asja: tehisintellektisüsteemide vastavusse viimist tehisintellekti regulatsioonis sätestatud reeglitega ja tehisintellekti kasutamist vastavustöös.

Esimeses tähenduses tagab tehisintellekti nõuetele vastavus, et tehisintellektisüsteem järgib seadusi, määrusi, eetikastandardeid ja sisepoliitikaid kogu tehisintellekti elutsükli vältel alates treeningandmetest kuni jõudluse ja kasutuseni.

Näiteks nõuab New Yorgi linna kohalik seadus nr 144, et automatiseeritud töölevõtuotsuste tööriista kasutavad tööandjad laseksid tööriistal ühe aasta jooksul enne kasutamist läbida kallutatuse auditi, avalikustaksid auditi kohta teabe ning teavitaksid töötajaid või tööle kandideerijaid.

Tehisintellekti regulatiivne vastavustöö on pidev, sest tehisintellektirakendusi uuendatakse, nende kasutatavad andmed muutuvad ja regulatsioonid arenevad.

Teises tähenduses kasutavad vastavusmeeskonnad tehisintellekti rutiinseks ja mahukaks tööks, näiteks tehingute jälgimiseks, dokumentide läbivaatamiseks ja regulatiivsete muudatuste seireks.

Näiteks kasutavad mõned finantsasutused tehisintellekti tehingute läbivaatamiseks ja tehingute jälgimise hoiatuste valepositiivsete tulemuste vähendamiseks, enne kui analüütikud otsustavad, millise hoiatuse kohta tuleb esitada kahtlase tegevuse teade.

Tehisintellekti nõuetele vastavus vs. tehisintellekti juhtimine vs. tehisintellekti riskijuhtimine

Need kolm mõistet kattuvad osaliselt, kuid hõlmavad eri valdkondi: juhtimine kehtestab reeglid, riskijuhtimine selgitab välja, mis võib valesti minna, ja nõuetele vastavus tagab, et reegleid järgitakse.

Miks on tehisintellekti nõuetele vastavus oluline

Tehisintellekti nõuetele vastavuse saavutamine vähendab trahviriski, kaitseb nende inimeste privaatsust, kelle teavet teie tehisintellekt töötleb, ning võimaldab teie organisatsioonil auditi korral tehisintellektisüsteemide kasutamise kohta aru anda.

• Regulatiivsed karistused: ELi tehisintellekti määruse alusel võib keelatud tehisintellekti kasutusviisi rakendamine, näiteks töötajate emotsioonide tuletamine töökohal, maksma minna kuni 35 miljonit eurot või 7% ülemaailmsest aastakäibest. Pakkujatele ja juurutajatele võidakse määruse rikkumise eest määrata trahv kuni 15 miljonit eurot või 3%.
• Andmekaitse: Isikuandmeid töötlevale tehisintellektisüsteemile kohalduvad andmekaitseseadused, näiteks ELis isikuandmete kaitse üldmäärus (GDPR). See hõlmab treeningandmeid, viipasid ja väljundeid, mis sisaldavad isikuandmeid.
• Auditivalmidus: Dokumenteeritud teave selle kohta, milliseid tehisintellektisüsteeme te kasutate, kes need heaks kiitis ja kuidas te neid jälgite, võimaldab teil anda aru regulaatoritele, audiitoritele ja klientidele.

Peamised riskid, mida tehisintellekti nõuetele vastavus maandab

Tehisintellekti nõuetele vastavus maandab viit peamist riski: algoritmiline erapoolikus, seletatavuse puudumine, hallutsinatsioonid reguleeritud protsessides, andmete privaatsus ja lekked ning varju-tehisintellekt.

Suurenda

Siin on peamiste riskide avaldumisvormid ja näited kontrollimeetmetest, mis neid ohjes hoiavad:

• Algoritmiline erapoolikus: Mudel kordab treeningandmetes leiduvaid mustreid, mis seavad teatud rühmad ebasoodsasse olukorda. Näiteks võib töölevõtmise tööriist hinnata kandidaate madalamalt vanuse või etnilise päritolu kaudse näitaja, näiteks lõpetamisaasta või postiindeksi alusel. Neid mustreid aitavad tuvastada erapoolikuse auditid, mis võrdlevad tulemusi demograafiliste rühmade lõikes.
• Seletatavuse puudumine: Organisatsioon ei suuda näidata, kuidas mudel otsuseni jõudis. Kui laenuandja ei suuda selgitada, miks mudel laenu andmisest keeldus, ei saa ta tulemust kaitsta. Organisatsioonid ennetavad seda, dokumenteerides mudeli sisendid ja otsustusloogika ning valides jälgitavate väljunditega mudeleid.
• Hallutsinatsioonid reguleeritud protsessides: Generatiivne tehisintellektitööriist esitab enesekindlalt midagi valet. Näiteks võib advokaat küsida tehisintellektitööriistalt argumenti toetavat kohtupraktikat ja saada viiteid kohtulahenditele, mida pole olemas. Selliseid vigu aitab tabada nõue, et iga väljundi juures oleksid allikad, mida kontrollib pädev inimene.
• Andmete privaatsus ja lekked: Konfidentsiaalne teave või kliendiandmed jõuavad tööriista, mis ei ole organisatsiooni kontrolli all. Näiteks võib töötaja kleepida kliendiandmed avalikku tehisintellektitööriista, mis säilitab sisendeid tulevaste mudelite treenimiseks. Riski vähendab ainult selliste heakskiidetud tööriistade kasutamine, mille puhul on treenimisele ja andmete säilitamisele lepinguga piirangud seatud.
• Varju-tehisintellekt: Töötajad kasutavad tehisintellektitööriistu, mida organisatsioon ei ole heaks kiitnud või mida ta ei näe. 2026. aasta Compliance Weeki uuringus teatas 42% osalejatest töötajate haldamata tehisintellektikasutusest. Võimalikud lahendused on heakskiidetud tööriistade loend koos kiire tehisintellektitööriistade heakskiitmise protsessiga ning veebilüüsid.

Peamised tehisintellekti nõuetele vastavuse raamistikud

Tehisintellekti nõuetele vastavus tugineb siduvatele tehisintellekti juhtimise raamistikele, näiteks ELi tehisintellekti määrusele, ja vabatahtlikele raamistikele, näiteks NISTi tehisintellekti riskijuhtimise raamistikule ja standardile ISO/IEC 42001, mis aitavad organisatsioonidel siduvaid nõudeid täita.

ELi tehisintellekti määrus

ELi tehisintellekti määrus (määrus (EL) 2024/1689) lähtub tehisintellekti reguleerimisel riskipõhisest käsitlusest: mõned tavad on täielikult keelatud, suure riskiga süsteemidele kehtivad ranged piirangud ja ülejäänutele vaid kerged läbipaistvusnõuded. Määrus kohaldub pakkujatele ja juurutajatele kõikjal, „kui tehisintellektisüsteemi toodetud väljundit kasutatakse liidus“.

ELi tehisintellekti määrusest tulenevad kohustused sõltuvad organisatsiooni rollist:

• Need, kes arendavad suure riskiga tehisintellektisüsteemi või turustavad seda oma nime all (pakkujad), peavad läbima vastavushindamise, kandma süsteemile CE-märgise, süsteemi registreerima, säilitama tehnilist dokumentatsiooni ja jälgima süsteemi pärast turule laskmist.
• Need, kes kasutavad kellegi teise loodud süsteemi (juurutajad), peavad järgima pakkuja juhiseid, määrama järelevalve inimestele, kellel on „vajalik pädevus, väljaõpe ja volitused“, säilitama logisid vähemalt kuus kuud ning teavitama töötajaid ja teisi, keda süsteemi otsused mõjutavad.

Suurenda

Määrust rakendatakse etapiviisiliselt. Keelatud tavade, tehisintellektipädevuse ja üldotstarbelise tehisintellekti reeglid kehtivad alates 2025. aastast, suure riskiga süsteemide kohustused hakkavad kehtima 2. detsembril 2027 ning ELi tooteohutusõigusega hõlmatud toodetesse sisseehitatud tehisintellekti puhul 2. augustil 2028.

Kvaliteedijuhtimissüsteeme käsitlev standard EN 18286:2026 on esimene Euroopa standard, mis toetab määruse rakendamist. Eeldatakse, et seda järgivad pakkujad täidavad määruse kvaliteedijuhtimise nõude.

NISTi tehisintellekti riskijuhtimise raamistik

2023. aasta jaanuaris avaldatud NIST AI RMF (tehisintellekti riskijuhtimise raamistik) on vabatahtlik USA raamistik, mis on üles ehitatud nelja funktsiooni ümber: Govern (juhtimine), Map (kaardistamine), Measure (mõõtmine) ja Manage (haldamine).

Selle 2024. aasta juulis avaldatud generatiivse tehisintellekti profiil (Generative AI Profile) rakendab raamistikku generatiivse tehisintellekti riskidele.

ISO/IEC 42001

ISO/IEC 42001 on rahvusvaheline tehisintellekti juhtimissüsteemide standard, mis hõlmab vastutustundlikku tehisintellekti arendamist ja kasutamist suunavaid poliitikaid, rolle ja protsesse. Sertifitseerimine on vabatahtlik ja sertifikaadi väljastavad sõltumatud sertifitseerimisasutused, mitte ISO ise.

Sertifikaat hõlmab organisatsiooni juhtimissüsteemi, mitte konkreetset tehisintellektitoodet.

USA ja valdkondlikud reeglid, mis kohalduvad tehisintellektile

USAs ei ole ühtset föderaalset tehisintellektiseadust. Reeglid kehtestavad linnad ja osariigid, lisaks kohalduvad tehisintellektile olemasolevad seadused ja määrused.

Näiteks reguleerib 1. jaanuaril 2027 jõustuv Colorado seadus SB26-189 automatiseeritud otsustustehnoloogiat ning privaatsusseadused, nagu California tarbijate privaatsuse seadus (CCPA) või HIPAA, kohalduvad alati, kui tehisintellekt töötleb kaitstud andmeid.

Kuidas luua tehisintellekti nõuetele vastavuse programm

Tehisintellekti nõuetele vastavuse programmi loomine koosneb kuuest sammust: inventeerige oma tehisintellektisüsteemid, liigitage need riski järgi, kaardistage kontrollimeetmed kohalduvate reeglite järgi, määrake vastutajad, dokumenteerige iga süsteem ja jälgige seda, säilitades andmeid, mida audiitor saab kontrollida.

Suurenda

Iga allpool kirjeldatud samm lõpeb dokumendiga, mis selle tulemusel valmib:

1. Inventeerige kõik tehisintellektisüsteemid. Loetlege süsteemid, mida teie organisatsioon loob, ostab või kasutab, sealhulgas olemasoleva tarkvara tehisintellektifunktsioonid ja tööriistad, mille töötajad on ilma heakskiiduta kasutusele võtnud. Märkige üles, mida iga süsteem teeb, kes seda kasutab ja milliste andmetega see kokku puutub.
   Väljund: Tehisintellektisüsteemide loend.
2. Liigitage iga kasutusjuht riski järgi. Hinnake iga süsteemi selle järgi, millist kahju see võib põhjustada, kasutades mõnd skeemi, nagu ELi tehisintellekti määruse riskitasemed. Näiteks on elukindlustusmakseid määrav tööriist määruse kohaselt suure riskiga, sisekoosolekuid kokku võttev tööriist aga mitte.
   Väljund: Riskiregister.
3. Kaardistage kontrollimeetmed kohalduvate reeglite järgi. Loetlege iga süsteemi suhtes kohalduvad seadused, standardid ja sisepoliitikad ning kontrollimeede, mis täidab iga vastavusnõude. Näiteks aitab dokumenteeritud inimläbivaatus täita ELi tehisintellekti määruse inimjärelevalve nõudeid suure riskiga süsteemidele ja NIST AI RMF-i üleskutset dokumenteeritud inimjärelevalve protsesside järele.
   Väljund: Kontrollimeetmete kaart.
4. Määrake vastutajad ja inimjärelevalve punktid. Nimetage igale süsteemile vastutaja ja otsustage, kus inimene selle väljundi üle vaatab. Näiteks vastutavad kohustuste eest õigus- ja vastavusüksus, tehniliste kontrollimeetmete eest turvaüksus, oma kasutusjuhtude eest äriüksuste omanikud ning üldise vastutuse kannab üks tippjuht. Tagage, et inimesed kogu organisatsioonis oleksid teadlikud, ja looge selged suhtluskanalid.
   Väljund: Iga süsteemi nimetatud vastutajad.
5. Dokumenteerige iga süsteem. Pange kirja iga süsteemi eesmärk, treeningandmed, testimine ja teadaolevad piirangud näiteks mudelikaartide ja mõjuhinnangute vormis. Suure riskiga süsteemide pakkujad peavad koostama ka ELi tehisintellekti määruse IV lisas nõutud tehnilise dokumentatsiooni.
   Väljund: Süsteemi dokumentatsiooni komplekt.
6. Jälgige, logige ja säilitage tõendeid. Kujundage logid algusest peale auditi tõenditeks, et näidata, mida süsteem tegi ja kes selle üle vaatas. ELi tehisintellekti määrus nõuab, et suure riskiga süsteemid registreeriksid sündmusi automaatselt kogu oma elutsükli vältel. Auditijälg peaks sisaldama järgmist:
   • Kasutatav mudel ja versioon
   • Sisendid ja väljundid või nende kindlaksmääratud valim
   • Treenimis- või peenhäälestusandmed
   • Inimläbivaatuse punktid ja nende tulemused
   • Agendi tehtud toimingud ja kasutatud õigused
   • Iga kirje säilitamise aeg

Väljund: Jälgimisandmed ja auditijälg.

Spetsiaalsed tehisintellekti nõuetele vastavuse tööriistad, nagu IBM watsonx.governance ja OneTrust AI Governance, saavad osa sellest programmist üle võtta, sealhulgas tehisintellektisüsteemide loendi, ELi tehisintellekti määruse kohased riskihinnangud ja dokumentatsiooni.

Kuidas kiita heaks tehisintellektitööriistu, mida töötajad saavad kasutada

Enne tehisintellektitööriista heakskiitmist kontrollige nelja asja:

• Juurdepääs andmetele: Milliseid faile, süsteeme ja ühendatud teadmusbaase tööriist saab lugeda ning kas need sisaldavad isikuandmeid, mida see võib paljastada.
• Sisendite kasutamine treenimiseks: Kas tarnija kasutab viipasid, faile või väljundeid oma mudelite treenimiseks ja kas teie leping tarnijaga seda keelab.
• Säilitamine: Kui kaua tarnija viipasid, faile ja vestlusajalugu säilitab ning kas saate seda aega lühendada.
• Hostimine ja andmeedastus: Kus tarnija andmeid säilitab ja töötleb, sealhulgas andmete edastamine väljapoole teie piirkonda.

Vastavuse kontrollimeetmed tehisintellektiagentidele

Tehisintellektiagendid vajavad rohkem kontrollimeetmeid kui vestlustööriistad, sest nad otsustavad ise oma sammude üle ja tegutsevad neile antud tööriistade ja õiguste kaudu. Neid hoiavad ohjes kolm kontrollimeedet:

• Vähimate õiguste põhimõte: Andke agendile ainult need tööriistad ja õigused, mida tema ülesanne nõuab. OWASP Top 10 for LLM Applications 2026 järgi on liigne tegutsemisvabadus (Excessive Agency), mille puhul agent saab teha rohkem, kui tema ülesanne nõuab, üks suurimaid turvariske.
• Iga toimingu logi: Registreerige iga tööriistakutse, juurdepääsetud andmed ja kasutatud õigused, et jälgida, mida agent tegi ja kelle nimel.
• Inimese heakskiit suure mõjuga toimingutele: Nõudke, et inimene kinnitaks sammud, mis saadavad andmeid väljapoole organisatsiooni, liigutavad raha või mida ei saa tagasi võtta.

Kuidas tehisintellekti vastavustöös kasutatakse

Vastavus- ja riskijuhtimismeeskonnad kasutavad tehisintellekti kontrollimeetmete jälgimiseks, riskide hindamiseks, regulatiivsete muudatuste seireks, dokumentide läbivaatamiseks ja finantskuritegude hoiatuste eelsorteerimiseks.

2026. aasta Compliance Weeki uuringus, milles osales 193 vastavus-, eetika-, riski- ja auditijuhti, ütlesid üle 83% vastanutest, et kasutavad tehisintellekti, ja ligi 40%, et nende ettevõtted on selle juurutanud riskide hindamiseks ja jälgimiseks.

Levinud tehisintellekti kasutusjuhud vastavustöös on järgmised:

• Pidev vastavuse jälgimine ja tõendite kogumine: Tehisintellekt teeb kontrolle ja kogub tõendeid nende toimimise kohta (nt tähtaja ületanud seadmete ohutuskontrollid tehases).
• Riskide hindamine ja prioriseerimine: Tehisintellekt järjestab äriüksused või kolmandad osapooled riski järgi (nt tarnijad, kellel on uued sanktsioonid või kohtuvaidluste risk).
• Regulatiivsete muudatuste seire: Tehisintellekt jälgib regulaatorite väljaandeid ja võtab muudatused kokku (nt muudetud altkäemaksuvastased juhised, mis alandavad kulupoliitikas kingituste piirmäära).
• Dokumentide ja poliitikate läbivaatamine: Tehisintellekt võrdleb lepinguid ja poliitikaid nõuetega (nt auditeerimisõiguse klauslita tarnijalepingud).
• Finantskuritegude sõelumine: Tehisintellekt eelsorteerib tehingute jälgimise ja klientide kontrolli hoiatusi (nt sanktsiooninimekirja nimevasted, mis osutuvad hoopis teiseks isikuks).

Vastavustöös kasutatav tehisintellekt vajab samasugust juhtimist nagu teised tehisintellektisüsteemid. Nagu Ühendkuningriigi Financial Conduct Authority 2026. aasta oktoobris teatas, „ettevõtted vastutavad tehisintellektisüsteemide eest, mida nad arendavad, hangivad ja juurutavad – sealhulgas nende väljundite ja tulemuste eest“, ning hoiatas, et inimläbivaatus ei tohi muutuda „linnukese kirjasaamise harjutuseks“.

Praktikas võivad tehisintellektitööriistad tegeleda rutiinsete ülesannetega, nagu tõendite kogumine või regulatiivsetest muudatustest märku andmine, kuid mitte otsustega, millega kaasneb õiguslik vastutus, näiteks otsustamisega, kas teatada kahtlasest tegevusest või kuidas poliitikaid kujundada.

Andmehalduse võimalused Perplexity Enterprise'is

Perplexity Enterprise annab administraatoritele kontrolli selle üle, kas sisendeid kasutatakse treenimiseks, kellel on andmetele juurdepääs ja kui kaua andmeid säilitatakse:

• Teie andmeid treenimiseks ei kasutata: Perplexity ei kasuta kunagi ettevõtte sisu oma tehisintellekti mudelite treenimiseks ning lepingud kolmandatest osapooltest mudelipakkujatega keelavad ka neil seda sisu treenimiseks kasutada.
• Juurdepääsu haldus: SSO, SCIM ja rollipõhised õigused määravad, kes saab faile üles laadida ja vastuseid jagada.
• Säilitamine ja auditilogid: Seanssidele lisatud failid kustutatakse seitsme päeva pärast. Organisatsioonid, millel on vähemalt 50 litsentsi või vähemalt üks Enterprise Max-litsents, saavad lisaks määrata seansside säilitamisaja ja saada kasutajate tegevuse kohta auditilogisid.
• Sertifikaadid: Perplexity on saanud SOC 2 Type II sertifikaadi, vastab GDPR-i nõuetele ja lubab kaitstud terviseteabega töötada ainult allkirjastatud äripartneri lepingu (Business Associate Agreement) alusel.

Nende võimalustega tutvumiseks võtke ühendust meie müügimeeskonnaga ja broneerige isikupärastatud demo.

Korduma kippuvad küsimused

Mis on ELi tehisintellekti nõuetele vastavus?

ELi tehisintellekti nõuetele vastavus tähendab ELi tehisintellekti määruse kohustuste täitmist vastavalt teie rollile (pakkuja või juurutaja) ja iga süsteemi riskitasemele. Kohustusi rakendatakse etappide kaupa ning suure riskiga süsteemidega seotud kohustused hakkavad kehtima 2. detsembril 2027.

Mis on HIPAA nõuetele vastav tehisintellekt?

HIPAA nõuetele vastav tehisintellekt on tööriist, mida kasutatakse kaitstud terviseteabe puhul HIPAA kaitsemeetmete raames. Kui teenusepakkuja seda teavet salvestab või töötleb, nõuab USA tervishoiu- ja sotsiaalteenuste ministeerium enne seda allkirjastatud äripartneri lepingut (Business Associate Agreement).

Kas ELi tehisintellekti määrus kehtib ka USA ettevõtetele?

Jah. Tehisintellekti määrus hõlmab USA ettevõtteid, kes lasevad tehisintellektisüsteeme ELi turule, ning neid, kelle tehisintellekti väljundit kasutatakse ELis.

Kas tehisintellekt saab asendada vastavusametnikke?

Tehisintellekt ei saa vastavusametnikke asendada. Organisatsioonid vastutavad oma töö eest ja tehisintellekti tehnoloogiad võivad teha vigu, seega peavad vastavusametnikud tehisintellekti väljundeid endiselt hoolikalt kontrollima ja kinnitama.