MiCA, DORA, AI Act ja NIS2: kuidas ELi õigusraamistik tõrjub iduettevõtted ja väikeettevõtted Euroopast välja

Teen ELi regulatsioonidega elatist. Kliendid tulevad meie juurde, sest MiCA, rahapesuvastased eeskirjad ja ülejäänud Euroopa õigusraamistik on üksi käsitlemiseks liiga keerulised ning meie tegeleme nendega nende eest. Seega ei ole see kaebus kelleltki, kes kaotab, kui Brüssel uue seaduse kirjutab. Kui üldse, siis mina võidan.

Ometi arvan viimastel aastatel väikestele ja keskmise suurusega ettevõtjatele (SME) langenut vaadates, et Euroopa teeb vea. Küsimus ei ole ühes halvasti kirjutatud õigusaktis. Küsimus on nende kõigi summas, kiiruses, millega EL end parandab, ja asjaolus, et arve langeb ettevõtetele, kes suudavad seda kõige vähem maksta. Meie seisukoht AI regulatsiooni kohta on eraldi artiklis täpsemalt esitatud; see artikkel käsitleb kogu õigusraamistikus korduvat mustrit.

Üks kiht teise peale

See on see, mida ELi regulatsioon Euroopa ettevõttelt nüüd sõltuvalt tegevusest nõuab.

• GDPR kõigile, kes töötlevad isikuandmeid.
• Digital Services Act ja Digital Markets Act veebiplatvormidele ja kauplemiskohtadele.
• Data Act ühendatud seadmetele ja pilvelepingutele.
• NIS2 ja Cyber Resilience Act küberturvalisusele ning tarkvara sisaldavatele toodetele.
• MiCA krüptovarateenustele.
• DORA pankadele, makse- ja krüptoettevõtetele ning neid teenindavatele IT-tarnijatele.
• AI Act kõigile, kes loovad AI süsteeme või kasutavad neid oma ettevõtluses.
• Uus AML Regulation koos ELi tasandi järelevalveasutusega AMLA.
• eIDAS 2.0 koos digitaalsete identiteedikottidega.
• Aruandluskohustused krüptoülekannete (travel rule), krüptomaksuandmete (DAC8), kestlikkuse (CSRD) ja tarneahelate (CSDDD) kohta.

Ükski neist ei ole tühine. Igal on oma mõisted, vormid, järelevalveasutus ja trahvid. Kaheteistkümne töötajaga fintech võib korraga kuuluda viie või kuue sellise korra alla.

Iga seadus on põhjendatav. Nende kuhjumine ei ole

Eraldi võttes vastab iga neist seadustest tegelikule küsimusele. Kliendiraha ei tohiks krüptobörsi kokkuvarisemisel kaduda, pank ei tohiks lakata toimimast, sest tema pilveteenuse pakkujal oli halb öö, ning keegi ei taha tarkvara, mis otsustab laenu saaja üle nii, et ükski inimene ei saa tulemust kontrollida. Vaidelge ükskõik millise sellise seaduse vastu eraldi ja te kaotate – nagu peabki.

Probleem on summas ja kellas. Komisjon esitas AI Acti ettepaneku 2021. aasta aprillis ning EL võttis selle vastu 2024. aastal. Selle põhireeglid suure riskiga AI jaoks, näiteks värbamisel, krediidiskoorimisel või hariduses kasutatavate süsteemide puhul, pidid hakkama kehtima 2. augustil 2026. Juulis 2026, mõni nädal enne seda kuupäeva, võttis EL vastu paranduse nimega Digital Omnibus on AI. See lükkas reeglid edasi 2027. aasta detsembrisse ning reguleeritud toodetesse integreeritud AI puhul 2028. aasta augustisse. Ametlik põhjus oli, et tehnilised standardid ja riiklikud järelevalveasutused ei olnud valmis. Viis aastat pärast ettepanekut ei olnud seaduse jõustamiseks mõeldud süsteemi olemas. Ettevõtted, kes olid kaks aastat augustiks valmistunud, olid valmistunud kuupäevaks, mis muutus.

Nii väljendub aeglus praktikas. Seadused saabuvad. Parandused saabuvad kaks või kolm aastat pärast seda, kui kõik probleemi näevad, veel ühe regulatsiooni kujul.

Miks maksavad samad reeglid väikeettevõttele rohkem

See häirib mind kõige rohkem. Nõuete täitmise kulu sõltub ettevõtte suurusest vaevu. Poliitikate käsiraamat, IT-tarnijate register, intsidentidest teatamise kord, väline audit, litsentsitaotlus: need maksavad ligikaudu sama palju, olenemata sellest, kas teenindate 50 klienti või 5 miljonit.

DORA on selgeim näide. Deloitte’i 28 Euroopa riigi finantsasutuste seas tehtud uuringus, mis avaldati 2025. aasta märtsis, eeldas umbes kaks kolmandikku vastanutest nõuete täitmisele €2 miljonit kuni €5 miljonit ning vaid üks kümnest eeldas, et jääb alla €2 miljoni. Suur pank suudab selle kanda. Kahekümne töötajaga makseasutus ei suuda ning väikseimate ettevõtete puhul võib nõuete täitmise arve ületada nende jaoks ELi turu väärtuse.

MiCA räägib numbrites sama lugu. Enne MiCAt oli valdkonna arvestuste järgi ELis riiklikke krüptoregistreeringuid enam kui tuhandel ettevõttel. Üleminekuperiood lõppes 1. juulil 2026 ning 2026. aasta oktoobriks oli ESMA registris umbes 370 tegevusloaga teenusepakkujat. Mõned puuduvatest ettevõtetest pididki lahkuma. Paljud teised olid väikesed, kohalikud ja seaduslikud ning lahkusid, sest MiCA litsents (CASP tegevusluba) maksab nõustajatele, kapitalile ja juhtimise ajale kuuekohalise summa, mida kahe asutajaga börsil ei ole. Olen eraldi vaadanud, mida MiCA tegi Euroopa krüptoiduettevõtetega; siin on see üks näide laiemast mustrist.

Suured turuosalised kurdavad harva. Hästi rahastatud senise tegija jaoks on iga uus õigusakt kaitsekraav: nõuete täitmise meeskond on juba olemas, juristid on püsilepinguga ning iga uus reegel tõstab turule sisenemise hinda igaühele, kes soovib konkureerida. Tarbijate kaitseks kirjutatud regulatsioon hakkab lõpuks kaitsma turuosa.

Kuhu asutajad lähevad

Iduettevõtted on liikuvad viisil, nagu pangad ei ole. Idee ja sülearvutiga asutaja võrdleb riike nii, nagu meie ülejäänud võrdleme lende. Kui Apple ja Meta otsustasid 2024. aastal Digital Markets Actile ja „ettearvamatule” regulatiivsele keskkonnale viidates uusi AI funktsioone ELi kasutajatele mitte pakkuda, rääkisid pealkirjad kahest hiiglasest. Vaiksem mõju langes igale Euroopa arendajale, kes soovis nende mudelitele midagi luua ja pidi nüüd ootama või kolima.

Minu töös on muster vähem dramaatiline, kuid sama püsiv. Asutajate küsimus on muutunud küsimusest „kas saame Eestis litsentsi” küsimuseks „kas Euroopa litsents on Dubai, Singapuri või USA osariigiga võrreldes üldse seda väärt”. Mõni aasta tagasi oli teine küsimus harv. Täna on see tavapärane ning ma ei saa neid alati ümber veenda.

Numbrid räägivad sama keelt. Euroopa Investeerimispanga 2026. aasta jaanuaris avaldatud uuring leidis, et aastatel 2008–2021 viis peaaegu 30% Euroopa ükssarvikutest ehk üle $1 miljardi väärtusega idufirmadest oma peakontori EList välja. Enamik siirdus Ameerika Ühendriikidesse ning esirinnas olid digitehnoloogia, AI ja biotehnoloogia. Mario Draghi ütles ülejäänu oma 2024. aasta septembri aruandes Euroopa konkurentsivõime kohta: regulatiivne koormus piirab innovatsiooni liigselt ja raskendab idufirmade kasvamist. Kaks aastat hiljem oli Euroopa Poliitikainnovatsiooni Nõukogu Draghi Observatooriumi arvestuse järgi täielikult rakendatud vaid 16% selle jälgitavatest meetmetest. Diagnoosiga nõustutakse. Ravi on aeglane.

Miks Tallinn ei saa parandada Brüsseli kirjutatut

Eesti on hea koht, kust seda jälgida. See on väike, digitaalne ja ettevõtluse suhtes üldiselt mõistlik. Selles küsimuses on see ka peaaegu võimetu.

MiCA, DORA ja AI Act on regulatsioonid, mitte direktiivid. Direktiiv seab eesmärgi ja laseb igal riigil kirjutada oma seaduse; regulatsioon kohaldub sõna-sõnalt igas liikmesriigis ning ükski parlament Tallinnas, Vilniuses ega Lissabonis ei saa ühtki artiklit leevendada. Riiklik otsustusruum toimib ainult ühes suunas: riik võib alati olla Brüsselist rangem, kuid mitte leebem.

Seega, kui asutaja ütleb mulle, et Eesti peaks „selle lihtsalt ära parandama”, pean selgitama, et lahendus sõltub 27 valitsusest, komisjonist, parlamendist ja aastates mõõdetavast õigusloome tsüklist. Alates 2025. aasta algusest on komisjon esitanud kaksteist „omnibus” paketti, millest igaüks muudab korraga mitut seadust, ning lubanud vähendada halduskoormust vähemalt 25% ja SME-de puhul 35% võrra enne oma ametiaja lõppu. Ettevõtjate ühendused ütlevad, et senine tulemus ei ole neile näitajatele ligilähedanegi. Usun neid, sest loen tekste.

Euroopa vähendab enda riske

Kõik, kes on viimastel aastatel pangaga suhelnud, teavad sõna de-risking. Klient tundub veidi ebatavaline, tema jälgimise kulu ületab talle makstavaid tasusid ning konto suletakse. Ei mingit pettust ega rikkumist, vaid panga jaoks odavam otsus. Klient otsib teise panga, sageli teisest riigist, ning panga riskiraport näib varasemast parem.

Arvan üha enam, et Euroopa Liit teeb sama tervete sektoritega. Krüpto tundus riskantne, seega lõi Euroopa MiCA ja vaatas, kuidas enamik riiklikult registreeritud ettevõtteid välja langes. AI tundub riskantne, seega kirjutas Euroopa maailma esimese tervikliku AI seaduse enne, kui tal oli piisavalt suur AI tööstus, et vastu vaielda. Iga kord risk väheneb ja iga kord väheneb koos sellega tegevus, millega risk kaasnes. Bilansis, kus arvestatakse ainult välditud riske, on see edu. Bilansis, kus arvestatakse asutatud ettevõtteid ja loodud töökohti, ei ole.

Selle all toimib vaiksem mehhanism. Institutsioon, mille väljundit mõõdetakse regulatsioonides, hakkab regulatsioone tootma. Iga õigusakt vajab suuniseid, tehnilisi standardeid ja Q&A-sid, seejärel järelevalveasutust nende kohaldamiseks ning siis omnibus’t, et parandada suuniste tekitatud probleeme. Iga samm lisab töötajaid, keda läheb vaja järgmise õigusakti jaoks. Keegi selles ahelas ei tegutse pahauskselt. Protsessil lihtsalt puudub sisseehitatud põhjus peatuda ning keegi selle sees ei maksa kunagi asutamata jäänud iduettevõtte eest.

Kolm stsenaariumi Euroopa iduettevõtetele

Et seda konkretiseerida, toon välja, kuhu minu arvates Euroopa majanduse idufirmade pool liigub. Lähteandmed pärinevad Dealroomist: ELis asutatakse igal aastal ligikaudu 14 800 idufirmat, neist umbes 4 400 kaasab välisrahastust ning ELis on umbes 450 ükssarvikut. Euroopa tervikuna, kaasa arvatud Ühendkuningriik, sai 2023. aastal rekordilised 19% ülemaailmsest riskikapitalist ja 2024. aastal 16%, samal ajal kui Ameerika Ühendriigid said 57%.

Miks esimeses stsenaariumis langus, mitte kokkuvarisemine? Sest õigusraamistik tabab asutajaid otsustamishetkel, mitte olemasolevaid ettevõtteid. Frankfurdi pank ei lahku DORA tõttu. Tartus asutatud kolmeliikmeline AI iduettevõte registreerib end lihtsalt Delaware’is ja hoiab arendajad kodus. EL kaotab peakorteri, maksubaasi ja väljumise, kuid hoiab palgafondi mõnda aega.

Ja miks ei ole kolmas stsenaarium fantaasia? Sest selle näitajad on lähedal Euroopa parimale varasemale tasemele: 19–20% osa ülemaailmsest riskikapitalist saavutati mõni aasta tagasi, enne kui praegune reeglite kiht kohalduma hakkas. Väikeettevõtteid silmas pidades kirjutatud ELi regulatsioon ei oleks Euroopalt tarbijakaitset ära võtnud. See oleks maksnud mõne lõigu õigusloometeksti.

Teise poole argument

Ma ei vääriks tõsiselt võtmist, kui teeskleksin, et õigusraamistikul puuduvad eelised, seega siin need on. Üks MiCA litsents võimaldab ettevõttel teenindada kliente kõigis 30 ELi ja EMP riigis; enne seda vajas krüptoettevõte 27 eraldi suhtlust 27 reguleerijaga. GDPR sai eraelu puutumatuse õiguse ülemaailmseks mudeliks. Üks AML regulatsioon peaks teoreetiliselt lõpetama olukorra, kus ühes liikmesriigis vastu võetud klient lükatakse järgmises tagasi. Ühtlustamine on tegelik hüve ning mina saan sellest iga päev kasu.

Aus kompromiss on järgmine. Euroopa mastaabis ühtlustamise eest makstakse kiiruse ja kulustruktuuriga, mis langeb kõige raskemalt väikseimatele. Euroopa on otsustanud, enamasti vaikimisi, et eelistab turvalist turgu kiirele turule. See on õiguspärane valik. Arvan lihtsalt, et see tuleks teha avalikult ja hinnaga, mitte avastada seda omnibus-pakett haaval.

Mida Euroopa peaks selle asemel tegema

Minu seisukoht ei ole, et Euroopa peaks reguleerimise lõpetama. See on, et Euroopa peaks lõpetama kolmeliikmelise iduettevõtte reguleerimise nii, nagu oleks see pank. Väike meeskond ei suuda pidada nõuete täitmise osakonda ning seadus, mis seda vaikimisi eeldab, ei ole ohutusreegel, vaid turuletuleku tõke. Kuus muudatust kõrvaldaksid suurema osa kahjust ning ükski neist ei ole radikaalne: igaühel on ELi õiguses juba kusagil pretsedent.

1. Tegeliku suuruse künnised, kirjutatud õigusakti. ELi enda väikeettevõtja määratlusest allpool (alla 50 töötaja ja käive alla €10 miljoni) ei tohiks rasked kohustused üldse kohalduda või peaksid kohalduma lühikeses kindlas vormis. GDPR teeb seda juba artikli 30 lõike 5 arvestuse pidamise puhul, vabastades enamiku alla 250 töötajaga organisatsioonidest, ning 2025. aastal tegi komisjon ettepaneku seda erandit laiendada. Sama loogika kuulub DORA-sse, NIS2-te ja AI Acti.
2. Standardid enne seaduse kohaldumist. Ükski kohustus ei tohiks jõustuda enne, kui tehnilised standardid on olemas ja vähemalt üks järelevalveasutus igas liikmesriigis on valmis neid kohaldama. AI Acti edasilükkamine tõestas seda raskel moel. Reegel tuleks kirja panna, et järgmine õigusakt ei vajaks selle päästmiseks omnibus-paketti.
3. Kõigepealt testkeskkonnad, seejärel jõustamine. Uus sektor peaks saama järelevalve all katseperioodi, mille jooksul ettevõte võib tegutseda reguleerija jälgimise all enne täieliku litsentsimise nõuet. AI Act lubab selliseid testkeskkondi, kuid need lükati 2027. aasta augustisse, pärast osa kohustusi. Järjekord peaks olema vastupidine.
4. Üks järelevalveasutus ettevõtte kohta. Kaheteistkümne inimesega fintech võib täna vastata eraldi finantsjärelevalveasutusele, FIU-le, andmekaitseasutusele ja peagi AI asutusele. GDPRi one-stop-shop, kus ühe ettevõttega tegeleb üks juhtiv asutus, näitab mudelit. Seda tuleks laiendada kogu õigusraamistikule.
5. Aegumistähtaeg igas õigusaktis. Kui regulatsioon aegub, välja arvatud juhul, kui see pärast kulude tegelikku läbivaatamist uuesti kinnitatakse, muutub parandamine kohustuslikuks, mitte poliitiliseks teeneks. Omnibusest saab reegel, mitte päästevahend.
6. Arvestage ettevõttega, mida ei asutatudki. Iga ELi mõjuhinnang mõõdab olemasolevatele ettevõtetele tekkivat kulu. Ükski ei mõõda iduettevõtteid, kes valisid selle asemel Delaware’i, Dubai või Singapuri. Kuni see number ei ole laual, alahindavad järgmise õigusakti koostajad jätkuvalt selle hinda.

See ei tähenda Ameerika Ühendriikide kopeerimist, kus puudub endiselt terviklik föderaalne AI seadus ja on vaid osariikide reeglite mosaiik, ega Ühendkuningriigi kopeerimist, mis on seni otsustanud mitte võtta vastu ühtset AI õigusakti ning palub olemasolevatel reguleerijatel kohaldada selle asemel põhimõtete kogumit. See tähendab tunnistamist, et need on kohad, millega Euroopa asutaja Euroopat nüüd võrdleb. Lisage EU Inc., 2026. aasta märtsis kavandatud ühtne Euroopa ettevõtlusvorm, mille registreerimine toimub komisjoni lubaduse järgi vähem kui 48 tunniga, maksab alla €100 ja ei nõua miinimumkapitali, ning Euroopal oleks pakkumine, mida väike meeskond saab tegelikult kasutada.

Mida ma asutajatele ütlen

Minu nõuanne asutajatele on muutunud igavalt praktiliseks. Käsitlege nõuete täitmise kulusid müüdud kaupade kulu reana, mitte ühekordse õigusabitasuna. Valige ELi riik selle reguleerija kvaliteedi ja registri kiiruse järgi, sest reeglid ise on kõikjal samad. Kasutage üleminekuaknaid ja omnibus-viivitusi ehitamiseks kuluvana, mitte loana seadust eirata; AI Acti suure riskiga reeglid lükati edasi, mitte ei tühistatud. Ja kui teie ärimudel toimib ainult väljaspool ELi õigusraamistikku, tunnistage seda varakult, enne litsentsitaotlust, mitte pärast seda.

Ettevõtte loomine Euroopas õigusraamistikust hoolimata

Euroopa on endiselt hea koht ettevõtte juhtimiseks ning ütlen seda klientidele igal nädalal. Selle artikli eesmärk ei ole kedagi Eestist või EL-ist eemale rääkida. Selle eesmärk on öelda, et ELi regulatsioon on tegelik kulu ja see tuleks arvesse võtta esimesest päevast. Õige struktuur, õige litsentsimise tee ja õige ELi-sisene riik mõjutavad nüüd rohkem kui viis aastat tagasi. Kui kaalute neid valikuid uue või olemasoleva ettevõtte jaoks, saab Eesti Firma meeskond aidata Teil mõista, mida reeglid Teie juhtumi puhul tegelikult tähendavad, alates ettevõtte asutamisest kuni litsentsimiseni.

Saatke päring