Kuupäev, mille ümber enamik ELi tehisintellektimääruse vastavustööst planeeriti, 2. august 2026, saabus ilma nende kohustusteta, milleks kõik olid valmistunud. Kuus päeva varem nihutas määrus (EL) 2026/1744 - digitaalne koondmäärus tehisintellekti kohta, mis avaldati Euroopa Liidu Teatajas 24. juulil 2026 ja jõustus 27. juulil - artikli 6 lõike 2 ja III lisa alusel eraldiseisvate suure riskiga süsteemide kohaldamise kuupäeva 2. detsembrile 2027 ning reguleeritud toote ohutuskomponendina toimiva tehisintellekti oma 2. augustile 2028. Põhjenduseks toodi, et ühtlustatud standardid ei olnud valmis. Artikkel 26, mis kannab juurutajatele langevaid kohustusi, asub täpselt selles osas, mis edasi lükkus.
Õigel ajal saabus artikkel 50 ning selle kõrval artikkel 4, mis oli kehtinud juba 2. veebruarist 2025 ja mille koondmäärus kuus päeva varem ümber kirjutas. Kumbki neist ei küsi, kas teie tehisintellekt on suure riskiga. Töö, mille need kaks artiklit tekitavad, on varainventuur ja logide säilituspoliitika - kaks artefakti, mida teie NIS2 ja ISO 27001 tõendipakid juba pooleldi sisaldavad. Kummagi tootmiseks ei pea keegi ühtegi mudelit klassifitseerima.
Peaaegu iga infrastruktuurimeeskond on pigem juurutaja kui pakkuja: te kasutate tehisintellektisüsteeme oma volitusel ja kutsetegevuses, kuid te ei ole ühtegi neist arendanud ega sellele oma nime pannud. See teeb kohustuste komplekti kitsamaks, kui enamik vastavustarnijaid vihjab, ja tunduvalt suuremaks kui olematu.
Juurutaja kohustused tehisintellektimääruses ja artikkel, mis teeb teist pakkuja
Artikli 25 lõige 1 muudab juurutaja pakkujaks, kogu III peatüki kohustuste komplekt kaasa, kolmel juhul: te panete oma nime või kaubamärgi juba turul olevale suure riskiga süsteemile, te teete suure riskiga süsteemis olulise muudatuse, mis jääb suure riskiga süsteemiks, või te muudate tehisintellektisüsteemi, sealhulgas üldotstarbelise süsteemi sihtotstarvet nii, et sellest saab suure riskiga süsteem. Kolmas juhtum tabab platvormimeeskondi ilma, et keegi mudelit puudutaks: üldotstarbelise assistendi ühendamine otsusega, mille III lisa loetleb, on sihtotstarbe muutmine, ja sellele järgnev paberitöö ei ole see paberitöö, mille te eelarvestasite. See ümberkvalifitseerimine käib sama edasilükatud kella järgi, nii et tegu on pigem disainipiiranguga sellele, mida te 2027. aastal kokku ühendate, kui tänase kohustusega.
Pealkirjadesse jõudnud trahvinumber kuulub kellelegi teisele. Artikkel 99 seab artikli 5 kohastele keelatud praktikatele ülempiiriks 35 miljonit eurot või 7% ülemaailmsest aastakäibest. Operaatorikohustuste rikkumised, kuhu kuuluvad artikkel 26 ja artikkel 50, on piiratud 15 miljoni euro või 3%-ga ning asutuse eksitamine 7,5 miljoni euro või 1%-ga. Artikli 99 lõige 6 pöörab valemi seejärel VKEde ja idufirmade jaoks ümber, piirates trahvi kahest arvust madalama, mitte kõrgemaga.
Tehisintellektisüsteemide inventuur on artefakt, millel kõik muu püsib
6. mail 2026 avaldatud IAPP analüüs loetles viis asja, mida juurutajad küsimise peale esitada ei suuda: tehisintellektisüsteemide register, kirjalik põhjendus selle kohta, kuidas iga süsteem klassifitseeriti, inimjärelevalve dokumenteerituna millegi muuna kui organisatsiooni skeem, säilituspoliitika, mis katab konkreetseid tehisintellektisüsteeme, ning määratletud eskaleerimis- või peatamislävi intsidentide jaoks. Igaüks neist viiest on asi, mida infrastruktuurimeeskond ehitab, ja neli neist on esimeseta võimatud. Tehisintellektisüsteemide register kirjutatakse masinate inventuuri vastu ning Sencai ehitab selle teise nimekirja kontosid tagasi lugedes, üheteistkümne pilveteenusepakkuja ja host-agendi ulatuses oleva kohapealse riistvara peale, nii et see on kuupäevastatud käigu, mitte selle järgi, kes seda viimati redigeeris.
Varju jäänud tehisintellekt on koht, kus register valeks läheb, ja sellel on oma hind. IBM-i aruanne Cost of a Data Breach Report 2025 leidis, et üks viiest uuritud organisatsioonist teatas rikkumisest, mis hõlmas tehisintellekti, mida keegi ei olnud heaks kiitnud, ning seal, kus varju jäänud tehisintellekti osalus oli suur, läksid need rikkumised umbes 670 000 USD võrra üle ülemaailmse keskmise, mis oli 4,44 miljonit USD. Seadusest tulenev seos on otsene: artikkel 50 nõuab, et te avaldaksite, et inimene suhtleb tehisintellektisüsteemiga, ja te ei saa avaldada süsteemi, mille töötamisest te ei tea.
Tehisintellektimääruse logimisnõuded seavad kuuekuulise alampiiri kahele eri osapoolele
Artikli 26 lõige 6 nõuab, et juurutajad säilitaksid suure riskiga tehisintellektisüsteemi automaatselt genereeritud logisid, mis on nende kontrolli all, sihtotstarbele vastava aja jooksul ja vähemalt kuus kuud, kui liidu või siseriiklik õigus ei sätesta teisiti. Artikkel 19 paneb peegelkohustuse pakkujatele sama kuuekuulise alampiiriga, nii et number esineb määruses kaks korda, kahe osapoole kohta, kellest kumbki eeldab, et kirjet hoiab teine.
Artikli 12 lõige 3, mis on kirjutatud biomeetrilise tuvastamise kohta, on kogu määruse kõige kasulikum lõige igaühele, kes logiformaati kavandab. See nimetab iga kasutusperioodi alguse ja lõpu kuupäeva ja kellaaja, kontrollitud võrdlusandmebaasi, sisendandmed, mis andsid vaste, ning tulemust kontrollinud inimeste isikud. Loetuna spetsifikatsiooni, mitte biomeetriat puudutava reeglina, kirjeldab see, mida sisaldab kaitstav logirida: millal, mille vastu, millisel sisendil ja kelle volitusel.
Sama auditijälg vastab nii NIS2-le kui ISO 27001-le
Kui te olete juba NIS2 sees, ei ole miski sellest uus tõendustöö. Direktiiv nõudis ülevõtmist 17. oktoobriks 2024 ja käivitab oluliste intsidentide puhul kolmeastmelise kella: varajane hoiatus 24 tunni jooksul, täielikum teavitus 72 tunni jooksul, lõpparuanne ühe kuu jooksul. Selle kella järgimine on rekonstrueerimisharjutus ja see on logiprobleem. ISO/IEC 27001:2022 on kandnud vastavaid kontrolle avaldamisest saati: lisa A 8.15 logide tootmise, säilitamise ja kaitsmise kohta, 8.16 anomaalse käitumise monitoorimise kohta. ISO/IEC 42001:2023, tehisintellekti juhtimissüsteemi standard, mis avaldati 18. detsembril 2023, ei ole veel ühtlustatud Euroopa standard, nii et selle vastu sertifitseerimine annab teile usutava vastuse kliendile ja mitte mingit vastavuseeldust määrusega.
See kattuvus ongi argument, miks logida tehisintellekti abiga tehtud tegevust nagu iga teist muudatust, selle asemel et luua teine tehisintellekti valitsemise kirje, mis teiseks kvartaliks aegub. Sencai võtab seda sõna-sõnalt: parandustegevus, mille mudel välja pakkus ja inimene kinnitas, arhiveeritakse tulemüürireegli kõrvale, mida keegi käsitsi muutis, ning uuendustest ja kustutamistest keeldub salvestuskiht, mitte poliitika ei heiduta neid. Lugege artikli 26 lõiget 6 selle disaini vastu ja mõte teravneb. Kuus kuud logisid on kuus kuud tõendeid ainult siis, kui säilitus on salvestuse omadus; kirjel, mida operaator saab neljandal kuul vaikselt redigeerida, on säilituspoliitika samamoodi nagu kinni kiilutud uksel on lukk.
Tarnijaküsimustik saabub ammu enne seda, kui regulaator kohale jõuab
Teie kliendid on samuti kohaldamisalas ja nende vastavusprogramm jõuab teieni dokumendipäringuna kuid enne mis tahes regulaatorit. Küsimused on järjekindlad: millised mudelipakkujad meie andmeid töötlevad, millal neid kaasatakse, millise säilitusega ja mis takistab kasutusel käest minemast. Kolmele neljast saab vastata ühe korra kirjutatud ja avaldatud dokumendist ning just nii me neile vastame. Neljas paneb sellele vastu, sest tõene vastus vajab numbrit, mitte lõiku: meie oma on inimesepõhine eelarve fikseeritud ülempiiriga, ainus vorm, mida klient saab arve vastu kontrollida. Alltöövõtjate nimekiri nimetab ettevõtteid; kas nende nimetamisest piisab, otsustavad teie andmetöötlusleping ja teie enda klassifitseerimispõhjendus.
Mida ehitada esimesena ja mis võib oodata 2027. aastani
Alustage registrist: artikkel 50 seob juba täna ja kõik hilisem sõltub sellest, et te teate, mida te käitate. Enne 2. augustit 2026 juba turul olnud generatiivsete süsteemide sünteetilise väljundi masinloetaval märgistamisel on üleminekuaeg, mis lõpeb 2. detsembril 2026, ning süvavõltsingute ja avalikku huvi puudutava tehisintellekti loodud teksti märgistamise kohustused langevad juurutajale, mitte tarnijale, kes teile mudeli müüs. Seejärel seadke säilitus: kuus kuud on suure riskiga süsteemide alampiir, mitte siht, ja see põrkub andmekaitsereegliga, mille te olete juba kirjutanud.
Artikkel 4 maksab kolmest kõige vähem. Koondmäärus pehmendas seda: piisava tehisintellektipädevuse taseme tagamise asemel tuleb võtta meetmeid, mis selle arengut toetavad, ja tekstis on sõnaselgelt kirjas, et ühegi üksikisiku puhul ei pea garanteerima mingit konkreetset taset, nii et kuupäevastatud osalejate nimekiri ühetunnise sessiooni kohta on kogu määruse odavaim vastavusartefakt. Tehke see töö läbi 2027. aasta ja 2. detsember saabub nii, et register on kirjutatud ja säilitusreegel on juba rakendatud süsteemidele, mida see nimetab, selle asemel et neid koostataks samal kuul, kui need süsteemid kohaldamisalasse tulevad. Register läheb ikka esimesena.