EU AI Acti kontrollnimekiri Eesti värbamisagentuurile

EU AI Acti ettevalmistus ei alga õigusmemo tellimisest. Esimene praktiline ülesanne on teada, milliseid AI-süsteeme agentuur tegelikult kasutab, kelle kandidaate need puudutavad, millist otsust väljund mõjutab ja kes suudab vea korral töö peatada. See kontrollnimekiri on mõeldud Eesti värbamisagentuurile, kes kasutab AI-d otsingus, CV-de korrastamisel, märkmete tegemisel, sobivuse põhjendamisel või kandidaadikontakti ettevalmistamisel. See ei asenda konkreetse süsteemi õiguslikku hindamist.

Kuupäevad: mis kehtib 18. juulil 2026?

AI Act ehk määrus (EL) 2024/1689 jõustus 2024. aastal. AI-pädevuse kohustus ja keelatud kasutusviiside reeglid hakkasid kohalduma 2. veebruaril 2025. Värbamisagentuur ei peaks ootama kõrgema riski süsteemide täieliku raamistiku jõustumist, et oma töötajaid koolitada ja kasutatavad lahendused üles kirjutada.

Ajakava on 2026. aastal muutunud. Euroopa Komisjon teatas 7. mai 2026 poliitilisest kokkuleppest, mille järgi hakkavad teatud kõrgema riski valdkondade, sealhulgas tööhõive süsteemide reeglid kohalduma 2. detsembril 2027. Märgi registrisse kuupäev, millal ajakava viimati ametlikust allikast kontrolliti.

Ära ehita plaani ainult lõppkuupäeva ümber. Agentuur vajab praegu süsteemide inventuuri, AI-pädevuse tõendeid, andmekaitse korda, tarnijalepingute ülevaadet ja töövoo omanikke. Kõrgema riski klassifikatsiooni ning täpsed kohustused tuleb iga kasutusjuhi puhul eraldi hinnata. “Me kasutame AI-d ainult abiks” pole piisav kirjeldus, kui väljund otsustab tegelikult, kes kandidaadina nähtavaks saab.

1. Koosta süsteemide ja kasutusjuhtude register

Ära alusta ainult IT ostunimekirjast. AI võib olla ATS-i funktsioonis, brauserilaiendis, videokoosoleku märkmetes, tekstiredaktoris, e-posti mustandis või töötaja isiklikus tasuta kontos. Korralda kaardistus värbajate, kandidaatide otsingu tegijate, müügi, IT ja andmekaitse eest vastutava inimesega. Küsi, millises etapis AI väljundit päriselt kasutatakse.

Iga registrikirje peab sisaldama süsteemi nime, tarnijat, omaniku rolli, eesmärki, sisendandmeid, väljundit, mõjutatud inimesi, otsust, mida väljund toetab, integratsioone, kasutajate ringi, lepingu lõppu ja viimase ülevaatuse kuupäeva. Lisa ka tasuta katsetused. Vari-AI tekib enamasti siis, kui ametlik tööriist on aeglane ja töötaja otsib mugavama tee.

Kirjelda kasutusjuht tegusõnaga. “AI sourcing” on liiga lai. “Süsteem järjestab avalikest allikatest leitud profiile rollibriifi järgi” on hinnatav. “Koosolekuabi teeb kandidaadivestlusest kokkuvõtte” on teine kasutusjuht, teise andmevoo ja riskiga. Sama tarnija võib registris olla mitmel real, kui funktsioonid mõjutavad inimesi erinevalt.

• süsteem ja funktsioon
• äriline eesmärk
• sisend- ning väljundandmed
• mõjutatud kandidaatide rühm
• toetatav otsus
• omanik ja asendaja
• viimane ning järgmine kontroll

2. Määra roll ja vastutus iga kirje juures

AI Act eristab muu hulgas süsteemi pakkujat ja kasutusele võtjat. Eesti agentuur on tavaliselt välise lahenduse kasutaja, kuid roll võib muutuda, kui agentuur arendab süsteemi ise, müüb seda kliendile oma nime all või muudab oluliselt selle eesmärki. Ära märgi kogu ettevõtet ühe sõnaga kasutajaks; hinda rolli süsteemi ja kasutusjuhi kaupa.

Lisa äriline omanik, tehniline kontakt, andmekaitse eest vastutav isik ja töövoo kontrollija. Väikeses agentuuris võib üks inimene kanda mitut rolli, kuid ülesanded peavad siiski olema nimetatud. Keegi peab kinnitama kasutuseesmärgi, keegi haldama ligipääse, keegi kontrollima tarnijat ja keegi otsustama, millal süsteem peatada.

Koosta lihtne vastutustabel. Kes vastutab tulemuse eest? Kes teeb igapäevase kontrolli? Kellega konsulteeritakse? Keda teavitatakse intsidendist? Kui tarnija muudab mudelit või funktsiooni, ei tohi kiri jääda üldisesse postkasti. Omanik hindab, kas registrikirje, koolitus või töövoog vajab muutmist.

3. Sõelu keelatud ja kõrgema riskiga kasutused

Tee registrile esimene riskisõel. Kas süsteem hindab emotsioone? Kas see kasutab biomeetriat? Kas see profileerib kandidaate? Kas väljund määrab, kes saab töövõimaluse või jääb nähtamatuks? Kas värbaja saab tulemust sisuliselt muuta või ainult kinnitada? Kas otsus põhineb tundlikul või tuletatud omadusel? Need küsimused vajavad konkreetset vastust.

Annex III hõlmab teatud tööhõive ja töötajate juhtimise AI-süsteeme, sealhulgas inimeste värbamiseks või valikuks kasutatavaid süsteeme. Klassifikatsioon sõltub siiski süsteemi kavandatud eesmärgist ja mõjust. Kitsas ettevalmistav ülesanne ei pruugi olla sama mis kandidaatide järjestamine või välistamine. Dokumenteeri hinnang ja selle allikas. Vajadusel kaasa õigusnõustaja.

Kasuta punase lipu reeglit: kuni hinnang pole valmis, ei tohi uus funktsioon kandidaate automaatselt välistada, saata otsust ilma värbaja ülevaatuseta ega teha tundlikke järeldusi. See pole üldine loosung, vaid ajutine operatiivne piir. Märgi süsteemis, kes vabastas funktsiooni kasutusse ja milliste seadistustega.

• emotsioonide või biomeetria kasutus
• profileerimine
• automaatne välistamine või järjestamine
• tundlike tunnuste tuletamine
• võimalus tulemust muuta
• mõju kandidaadi võimalusele

4. Küsi tarnijalt dokumenteeritavaid vastuseid

Demo ajal ei piisa küsimusest “kas olete AI Actiga kooskõlas?”. Küsi, milline on iga funktsiooni kavandatud eesmärk, milliseid mudeleid kasutatakse, kas kliendi andmeid kasutatakse mudeli treenimiseks, kus andmeid töödeldakse, millised alltöötlejad osalevad ja kuidas süsteem selgitab kandidaadi järjestust või soovitust. Palu vastus dokumenti, mitte ainult müügiesindaja kinnitust.

Küsi muudatuste juhtimise kohta. Kui tarnija vahetab mudelit, lisab automaatse järjestuse või muudab andmete säilitamist, kuidas agentuur sellest teada saab? Kas funktsiooni saab välja lülitada? Kas mudeli versioon ja kasutushetk jäävad logisse? Kas agentuur saab oma andmed ning otsuse jälje eksportida lepingu lõpus?

Kontrolli toeprotsessi. Kes võtab vastu intsidendi? Millise ajaga vastatakse? Kas tarnija annab dokumentatsiooni, mille põhjal saab värbajaid koolitada? Kas selgitatakse teadaolevaid piiranguid Eesti keele, kohalike ametinimetuste või väikeste andmekogumite puhul? Mitmekeelsus ei tähenda automaatselt, et sobivuse põhjendus on eesti keeles täpne.

5. Kujunda inimjärelevalve konkreetsete toimingutena

Kirjuta iga kasutusjuhi juurde, mida inimene kontrollib, millal ta sekkub ja millise tõendi jätab. Kandidaatide otsingus võib kontroll olla profiili identiteet, rolliga seotud kogemus, sobivuse põhjendus ja teadmata asjaolud. Vestlusmärkmete puhul on kontroll kõneleja, faktiviga, tundlik info ja järgmine samm. Kontakti mustandi puhul kontrollitakse saajat, konteksti ja saatmisotsust.

Määra peatamise kriteeriumid: vale isik, põhjenduseta järjestus, tundliku omaduse tuletamine, korduv eesti keele viga, kandidaadi vastuväide või tarnija teatamata mudelimuudatus. Värbaja peab teadma, kuidas funktsioon välja lülitada ja kellele juhtum edastada. Kui peatamine nõuab administraatorit teises ajavööndis, pole järelevalve praktiliselt toimiv.

Tee kord kuus valimkontroll. Vali eri rollidest süsteemi soovitusi, värbaja parandusi, välistusi ja kandidaadikontakte. Vaata, kas juhendit järgiti ning kas mõni rühm või ametinimetus jääb põhjendamatult nähtamatuks. Valimi eesmärk ei ole tõestada, et AI ei eksi, vaid leida korduv muster enne, kui sellest saab vaikne standard.

• kontrollitav väli
• kontrolli hetk
• lubatud otsus
• peatamise põhjus
• eskalatsiooni kontakt
• otsuse jälg

6. Pane kirja logid ja säilitustähtajad

Registrist üksi ei piisa. Agentuur vajab kasutuse kohta jälge: süsteemi või mudeli versioon, kasutusjuht, sisendi liik, väljundi kuupäev, värbaja tehtud muudatus, lõplik otsus ja vajadusel kõrvalekalle. Ära dubleeri kogu kandidaadiprofiili eraldi vastavusfaili. Säilita otsuse mõistmiseks vajalik minimaalne info ning seosta see turvaliselt kandidaadi kirjega.

Määra säilitamine andmeliigi ja eesmärgi kaupa. Tarnija tehniline logi, kandidaadi värbamisdokument, koolituse tõend, riskihinnang ja intsidendi toimik ei pea olema sama tähtajaga. Märgi registrisse põhjendus, vastutaja, kustutamise viis ja järgmise kontrolli kuupäev. Automaatne säilitamine igavesti pole auditeeritav otsus.

AI-logid sisaldavad sageli isikuandmeid. Kasuta AKI töösuhete juhendit ning vajadusel andmekaitsealast mõjuhinnangut. Kandidaadile antav teave peab vastama päris töövoole: milliseid andmeid kasutatakse, mis eesmärgil, kellele neid edastatakse ja millised õigused inimesel on.

7. Tõenda AI-pädevust rolli järgi

Euroopa Komisjoni AI-pädevuse küsimuste ja vastuste järgi kohaldub artikli 4 kohustus alates 2. veebruarist 2025. Ühekordne üldkoolitus ei pruugi olla piisav. Pädevuse tase peab arvestama inimese tehnilisi teadmisi, kasutuskonteksti ja inimesi, keda süsteem mõjutab. Värbaja, administraator ja juht vajavad erinevat õpet.

Värbaja peab oskama kontrollida sobivuse põhjendust, märgata vale profiili, vältida tundlike omaduste järeldamist, reageerida kandidaadi küsimusele ja peatada töövoog. Administraator peab mõistma seadistusi, ligipääse ja logisid. Juht peab oskama kinnitada kasutuseesmärki ning hinnata, millal on vaja õiguslikku või andmekaitselist ülevaatust.

Säilita koolituse kuupäev, sisu, roll, osalejad ja praktiline kontroll. Lühike juhtumipõhine test on kasulikum kui slaidide läbijooks. Uue funktsiooni, tarnija või kasutusjuhi puhul tee täienduskoolitus. Kui värbaja ei tea, mida süsteem teeb või kuidas seda peatada, ei ole allkiri osalejate nimekirjas piisav tõend.

8. Loo intsidendi- ja muudatuste protsess

Intsident ei tähenda ainult andmeleket. See võib olla vale kandidaadi automaatne välistamine, korduv põhjendamatu järjestus, tundliku info ilmumine kokkuvõttesse, kandidaadi andmete saatmine valesse süsteemi või tarnija funktsioonimuudatus ilma agentuuri ülevaatuseta. Anna värbajale üks selge kanal, kuhu juhtum saata, ning luba vajadusel kasutus kohe peatada.

Intsidentide vormis küsi süsteemi, funktsiooni, kuupäeva, mõjutatud töövoogu, esmast mõju, tehtud peatamist ja vajalikku järeltegevust. Ära palu värbajal kopeerida rohkem kandidaadiandmeid, kui uurimiseks vaja. Omanik otsustab, kas kaasata andmekaitse, IT, klient, tarnija või õigusnõustaja ning milline teavitus on vajalik.

Muudatuste protsess töötab samal loogikal. Uus mudel, automaatne funktsioon, integratsioon, andmeallikas või kasutajate rühm käivitab registri ja riskihinnangu ülevaatuse. Väike muudatus kasutajaliideses ei pruugi mõju muuta, kuid automaatne järjestamine võib muuta ettevalmistava töö valikut mõjutavaks. Hinda funktsiooni, mitte versiooninumbri suurust.

9. Rakenda kontrollnimekiri 30 päevaga

Esimesel nädalal kaardista süsteemid ja vari-AI. Teisel nädalal määra omanikud ning tee riskisõel. Kolmandal nädalal saada tarnijaküsimused, kontrolli andmekaitsedokumente ja kirjuta peatamise reeglid. Neljandal nädalal koolita kasutajad, tee esimene valimkontroll ja kinnita järgmised kuupäevad. Ära oota täiuslikku vastavusprogrammi, et ohtlik kasutus peatada.

Sea juhtkonnale lühike ülevaade: kasutusjuhtude arv, vastutajata kirjed, kõrgema riskiga hindamist vajavad funktsioonid, vastuseta tarnijaküsimused, koolitatud kasutajate osakaal ja avatud intsidendid. Need näitajad aitavad otsustada, kuhu ressursse suunata. Ära muuda neid värbajate tulemustasuks; eesmärk on riskide nähtavus.

Yena saab aidata kandidaate otsida, näidata sobivuse põhjendust, rikastada kontaktandmeid ja valmistada ette inimese kontrollitavat kampaaniat. Agentuur määrab kasutuseesmärgi, ligipääsud, andmekaitse aluse, kontrollid ja saatmisotsuse. Võrdle nõudeid turvalisuse kontrollnimekirjaga, vaata Yena ATS-i töövoogu ning hinnastamist.

Vaata, kas Yena sobib teie töövoogu

Yena aitab värbajal leida kandidaate, võrrelda rolli ja kogemuse seoseid ning valmistada ette põhjendatud järgmise sammu. Inimene kinnitab kandidaadi sobivuse, kontakti ja otsuse.

Vaata Yena hinnastamist või tutvu kandidaatide otsingu töövooga. Küsi demolt ka andmete, ligipääsude ja inimkontrolli kohta.