KI-Regulierung in Estland: So gilt der EU AI Act für estnische Unternehmen

Estland bezeichnet sich gern als das digitalste Land Europas und ist einer der KI-freundlichsten Orte in der EU, um ein KI-Unternehmen aufzubauen. Das bedeutet nicht, dass künstliche Intelligenz hier unreguliert ist. Es bedeutet, dass das Land die EU-Vorschriften anwendet, ohne eigene hinzuzufügen. Dieser Artikel erklärt verständlich, wie die KI-Regulierung in Estland funktioniert: Wer KI beaufsichtigt, wie weit die Umsetzung des AI Act in Estland ist und was ein estnisches Unternehmen bereithalten sollte. Wenn Sie zunächst wissen möchten, was der Act selbst von einem Unternehmen verlangt, lesen Sie unseren verständlichen Leitfaden zum EU AI Act für Unternehmen und kommen Sie danach hierher zurück.

Gibt es ein estnisches KI-Gesetz?

Nein, und es wird auch keines geben. Der AI Act ist eine EU-Verordnung; daher gilt er in Estland genau in seiner verabschiedeten Fassung, ohne dass eine estnische Version erforderlich wäre. Estlands Ansatz war stets, die bestehenden Gesetze und Behörden anzupassen – einschließlich der KI-Aufsicht –, statt ein neues Gesetz zu schaffen.

Was Estland der EU noch schuldet, ist ein kurzes Durchführungsgesetz. Es wird die KI-Aufsichtsbehörden förmlich benennen, das estnische Verfahren und den Rahmen für Sanktionen festlegen sowie der Sandbox eine Rechtsgrundlage geben. Die EU-Frist zur Benennung dieser Stellen ist abgelaufen, und das Land hat sie wie die meisten Mitgliedstaaten verpasst. TTJA beschreibt seine KI-Rolle weiterhin im Futur.

Hier liegt der Punkt, den Unternehmen am häufigsten missverstehen: Das fehlende estnische Gesetz setzt nichts aus. Die Verbote, die Pflicht zur Schulung von Mitarbeitenden im Umgang mit KI sowie die Transparenzvorschriften für Chatbots und Inhalte gelten heute für Ihr Unternehmen, weil die EU-Verordnung dies bestimmt. Noch nicht vorhanden ist lediglich der estnische Mechanismus, um Bußgelder gegen Sie zu verhängen.

Wer reguliert KI in Estland?

Estland hat keine neue KI-Behörde geschaffen. Die KI-Aufsicht liegt bei bereits bestehenden Stellen, die KI jeweils in ihren bisherigen Zuständigkeitsbereich aufnehmen.

Für ein gewöhnliches Unternehmen sind zwei Namen wichtig. TTJA ist die Marktüberwachungsbehörde: die Stelle, die wegen eines KI-Systems bei Ihnen anklopfen kann und die die Durchsetzung des AI Act in Estland leiten wird. AKI ist die Datenschutzaufsicht. Da fast jedes KI-Tool personenbezogene Daten berührt, stellt AKI oft als Erstes Fragen. Sie veröffentlicht bereits eigene Leitlinien zum AI Act, betreibt eine Beratungsstelle und hat Stellungnahmen zu KI-Tools im Gesundheitswesen abgegeben.

Wenn TTJA eine Untersuchung eröffnet, kann sie von einem KI-entwickelnden Unternehmen die für Training und Tests des Systems verwendeten Daten, die Systemprotokolle und bei Hochrisikosystemen den Zugang zum Quellcode verlangen. Sie kann anordnen, ein Produkt zu korrigieren, vom Markt zu nehmen oder zurückzurufen. Ein Unternehmen, das lediglich die KI eines anderen nutzt, wird normalerweise nach weniger gefragt: nach den Anweisungen des Anbieters, dem Nachweis menschlicher Aufsicht über das Tool und den vorhandenen Protokollen. Unterlagen müssen in einer von der Behörde akzeptierten Sprache vorliegen; Estland hat noch nicht erklärt, ob neben Estnisch auch Englisch genügt. Halten Sie Ihre Unterlagen daher in beiden Sprachen bereit.

Gilt der AI Act für ein aus dem Ausland geführtes e-Residency-Unternehmen?

Ja. Dies ist die häufigste Frage von E-Residenten, und die Antwort ist einfach: Eine estnische OÜ ist in der EU niedergelassen, Punkt. Es spielt keine Rolle, ob der Gründer in Tallinn, Berlin oder Singapur sitzt. Nutzt das Unternehmen des E-Residenten KI in seiner Arbeit oder verkauft es ein KI-Produkt, hat es dieselben Pflichten wie jedes andere EU-Unternehmen; TTJA und AKI setzen sie durch.

Die praktische Seite ist wichtiger als die rechtliche. Ihre estnische Rechtsadresse und, wenn der Vorstand im Ausland lebt, Ihre Kontaktperson sind die Wege, über die eine Behörde Sie erreicht. Stellen Sie sicher, dass ein Schreiben von TTJA oder AKI tatsächlich gesehen und rechtzeitig beantwortet wird.

Umsetzung des AI Act in Estland: Wichtige Termine

Gibt es in Estland eine KI-Sandbox?

Eine regulatorische KI-Sandbox ist eine beaufsichtigte Testumgebung, in der ein Unternehmen ein neues KI-System vor seiner Markteinführung gemeinsam mit Behörden erproben kann. Jedes EU-Land muss über eine solche verfügen, und der Omnibus hat die Frist um ein Jahr verschoben. Estland hat nicht auf die Frist gewartet, um seine KI-Sandbox aufzubauen. Das Ministerium für Justiz und Digitales betreibt bereits eine KI-Testumgebung (tehisaru testkeskkond). Sie bietet Rechts- und Compliance-Beratung, Hilfe bei Risiko- und Folgenabschätzungen, technische Tests, sichere Datenumgebungen und Rechenleistung. Sie beginnen mit einer Vorbewertung der Risikostufe Ihres Systems, beantragen dann die Teilnahme und vereinbaren einen Testplan; das Ministerium kann zum Schluss einen schriftlichen Bericht ausstellen. Der Dienst ist für KMU und öffentliche Stellen kostenlos; Finnland ist Partner bei der weiteren Entwicklung der Sandbox.

Wenn Sie etwas entwickeln, das Hochrisiko-KI nahekommt, nutzen Sie sie frühzeitig. Sie schafft schriftliche Nachweise Ihrer Compliance-Arbeit und bringt Sie mit den Aufsichtsbehörden ins Gespräch, bevor die Fristen für Hochrisiko-KI eintreten.

Was sollte ein estnisches Unternehmen bereithalten?

Die meisten estnischen Unternehmen werden nie von TTJA hören. Diejenigen, die es tun, werden nach Unterlagen gefragt, nicht nach Meinungen. KI-Governance kann hier einfach sein. Bewahren Sie neben Ihren Buchhaltungs- und GDPR-Unterlagen eine kurze KI-Compliance-Akte auf:

• Eine Liste der KI-Tools, die Sie nutzen oder verkaufen, mit Anbieter, Zweck und Angabe, ob Sie sie selbst entwickelt haben oder nur nutzen.
• Eine namentlich benannte Person, die im Unternehmen für KI zuständig ist – auch wenn Sie selbst das sind.
• Unterlagen des Anbieters: Bedingungen, Gebrauchsanweisungen und jede Konformitätserklärung.
• Nachweise zu den bereits geltenden Pflichten: den Chatbot-Hinweis für Ihre Kunden, Ihre Richtlinie zur KI-Nutzung und Schulungsnachweise sowie die Kennzeichnung KI-generierter Inhalte.
• Die GDPR-Verknüpfung: die Datenschutz-Folgenabschätzung oder das Verzeichnis der Verarbeitungstätigkeiten für das KI-Tool.

Ein KI-entwickelndes Unternehmen ergänzt seine technische Dokumentation. Ein Unternehmen außerhalb der EU ergänzt das schriftliche Mandat seines EU-Vertreters.

Gründung eines KI-Unternehmens in Estland von außerhalb der EU

Ein KI-Start-up mit Sitz außerhalb der EU muss einen Vertreter innerhalb der Union bestellen, bevor es ein Hochrisiko-Produkt oder ein großes Modell mit allgemeinem Verwendungszweck auf dem europäischen Markt verkaufen kann. Gründen Sie über e-Residency vollständig online ein KI-Unternehmen in Estland, verfügen Sie über ein EU-Unternehmen, das diese Rolle übernehmen kann. Es kann zudem selbst zum EU-Anbieter werden und unter estnischem Namen verkaufen – mit allen daraus folgenden Anbieterpflichten. Welcher Weg für Ihr KI-Unternehmen richtig ist, hängt von der Risikostufe des Produkts, der steuerlichen Situation der Gruppe und der Führung des europäischen Geschäfts ab. Entscheiden Sie dies mit Beratung, nicht automatisch.

Wie Eesti Firma KI-Unternehmen in Estland unterstützt

Eesti Firma gründet und verwaltet estnische Unternehmen für Gründer weltweit und begleitet sie weiter, sobald das Unternehmen in der EU tätig ist. Für KI-Unternehmen bedeutet dies Unternehmensgründung in Estland als EU-Gesellschaft oder Vertreter, laufende Buchhaltung und Compliance-Verwaltung sowie Rechtsdienstleistungen für KI-Compliance in Estland: die oben beschriebene KI-Governance-Akte, Korrespondenz mit TTJA oder AKI und die Unterlagen, die ein Unternehmen auf Anfrage vorlegen können muss.

Richten Sie Ihre EU-Basis für KI-Compliance ein

Häufig gestellte Fragen