AI-agentide eelnõu: 12 päeva ja vastutus lahtine

Äripäev kirjeldas 19. oktoobril Majandus- ja Kommunikatsiooniministeeriumi AI-agentide eelnõule antud kooskõlastusaega 12-päevasena. Inimese nimel tegutsevale tarkvarale kavandatav digitaalne tunnus on saanud kriitikat praktikutelt, riigiasutustelt ja juristidelt. Vaidluse keskmes on see, kuidas tõendada agendi õigust teha konkreetset toimingut ning kes kannab selle tagajärgede eest vastutust.

Minister Liina Vahtrase 7. oktoobri kooskõlastuskirjas ja eelnõu toimikus paluti vastuseid kümne tööpäeva jooksul ning märgiti tähtajaks 22. oktoober. Uudises kasutatud päevade arv ja ametliku kirja tööpäevades väljendatud tähtaeg kirjeldavad seega menetlust eri viisil. Kooskõlastustähtaja möödumine ei tähenda seaduse vastuvõtmist ega registreerimisteenuse avamist.

Registrisse läheks inimese ja tunnuse seos

Eelnõu annaks füüsilisele isikule võimaluse registreerida püsiv ja ainulaadne digitaalne tunnus. Selle alusel saaks tarkvaraline lahendus inimese eest toiminguid kavandada või teha ning teenusepakkuja saaks kontrollida, kellega tunnus on seotud. Registreerimisõigus oleks muu hulgas Eesti kodanikul, Eestis elamise alusega inimesel ja kehtiva Eesti e-residendi digitaalse isikutunnistuse omanikul.

Registreerija saaks näha oma registreeringuid ja need lõpetada. Tunnuse all võiks tegutseda ka mitu tarkvaralist lahendust, kuid registrisse ei kogutaks andmeid nende lahenduste kohta. See on oluline piir: kanne näitaks, kelle nimega digitaalidentiteet seostub, ent ei tuvastaks iseenesest konkreetset programmi, selle versiooni ega talle antud ülesannet.

Kavandatud digitaalidentiteet oleks tehniline vahend, mitte eraldi õigussubjekt. Eelnõu käsitab selle abil tehtud toiminguid registreerinud inimese toimingutena ning lähtub inimese vastutusest agendi kasutamise eest. Sellest põhimõttest üksi ei selgu siiski, milliste tõendite põhjal lahendada vaidlus olukorras, kus inimene väidab, et agent ületas talle antud piiri või tegi ootamatu tehingu.

Volituse ulatus jääks inimese ja teenuse määrata

Tunnuse registreerimine ei annaks agendile automaatselt õigust kasutada pangateenust, esitada deklaratsiooni või vaadata terviseandmeid. Inimene määraks agendile ülesande ja piirangud; teenusepakkuja otsustaks, kas ta agente üldse lubab ning milliseid lisakontrolle rakendab. Valdkondlikud reeglid ja teenuse tingimused määraksid seejärel, kuidas volitust konkreetses keskkonnas kasutada saab.

Ministeeriumi lahenduse selgituses tõi minister Liina Vahtras näiteks kuni 100-eurose arve tasumise loa ja suurema makse kinnitamise inimese enda poolt ning ütles: „Ka teenusepakkuja saaks otsustada, kas ja millistel tingimustel ta AI-agente oma teenuses lubab.“ See on kavandatud kasutuse näide, mitte pankadele juba kehtestatud üldine maksepiir. Pank võiks nõuda inimese kinnitust ka oma riskireeglite järgi.

Volitus võib piirata nii rahasummat kui ka töödeldavaid andmeid. Agendi ülesannete edasiandmine ja tehniline volitamine jääksid poolte kokkulepete, teenusetingimuste või vajaduse korral erikorra lahendada. Toimingut, mida seadus nõuab inimeselt isiklikult või mille olemus eeldab isiklikku tegutsemist, agent teha ei tohiks. Seetõttu tuleb iga teenuse puhul eraldi määrata, milline tegevus on lubatud, milline jääb üksnes ettevalmistuseks ja millal on vaja inimese kinnitust.

Kasutusjuhud on alles ettevalmistamisel

Esimeste võimalike kasutusjuhtudena valmistatakse ette inimese vereanalüüside kokkuvõtte tegemist Tervisekassa andmete põhjal, KMD ja TSD maksudeklaratsioonide esitamist Maksu- ja Tolliametile ning piiratud õigustega arvete tasumist pangas. Riigi Infosüsteemi Ametilt oodatakse tehnilist lahendust agendi registreerimiseks ja selle kontrollimiseks, kelle nimel agent tegutseb. Need kasutusjuhud on kavandatavad katsetused, mitte praegu avatud teenused.

Nende toimingute mõju on erinev. Terviseandmete kokkuvõtte puhul on määrav, millistele andmetele agent ligi pääseb ja mida ta nendega teha võib. Deklaratsiooni esitamisel või arve tasumisel tuleb lisaks eristada agendi koostatud ettepanekut inimese nimel lõpule viidud toimingust. Ühine registritunnus saab näidata seost inimesega, kuid iga teenus peab suutma kontrollida ka selles keskkonnas kehtivat luba.

Registreerimine oleks vabatahtlik ka teenusepakkujatele selles mõttes, et eelnõu ei kohustaks panku ega teisi teenuseid agente vastu võtma. Agente lubav teenusepakkuja peaks aga oma süsteemi kohandama, et eristada inimese ja tarkvara tegevust ning rakendada valitud piiranguid. Nii sõltub pilootide tegelik käivitamine lisaks riiklikule tunnusele sellest, kas osalevad teenused saavad vajalikud kontrollid toimima.

Vaidlus koondub toimingu tõendamisele

Registrikanne, inimese volitus ja teenuses tehtud toimingu jälg vastavad eri küsimustele. Kanne näitaks, kelle nimel agent esineb; volitus määraks lubatud tegevuse; toimingu jälg võimaldaks hiljem hinnata, mida tarkvara tegelikult tegi. Kavandatav seadusemuudatus keskendub esimesele neist, samal ajal kui volituste ulatus ja tehniline kontroll sõltuksid suuresti konkreetsest teenusest.

See eristus määrab ka vastutusvaidluse raskuspunkti. Kui makse ületab kokkulepitud piiri või deklaratsioon saadetakse ära ilma oodatud kinnituseta, tuleb välja selgitada, milline luba kehtis toimingu hetkel, mida teenus kontrollis ning millise tegevuse ta registreeris. Inimese ja tunnuse seos annab uurimisele lähtekoha, kuid ei asenda neid andmeid. Eelnõu edasises menetluses tuleb otsustada, kas toimingu tõendamise ja teenusepakkuja kontrolli põhinõuded vajavad seaduses täpsemat määratlust enne pilootide käivitamist.

Loe ka: