AI-regelgeving in Estland: zo werkt de EU AI Act voor Estse bedrijven

Estland noemt zich graag het meest digitale land van Europa en is een van de meest AI-vriendelijke plekken in de EU om een AI-bedrijf op te bouwen. Dat betekent niet dat kunstmatige intelligentie hier ongereguleerd is. Het betekent dat het land de EU-regels toepast zonder eigen aanvullende regels. Dit artikel legt helder uit hoe AI-regelgeving in Estland werkt: wie toezicht houdt op AI, hoe ver de uitvoering van de AI Act in Estland is en wat een Ests bedrijf paraat moet hebben. Wilt u eerst weten wat de Act zelf van een bedrijf vraagt? Lees dan onze heldere gids over de EU AI Act voor bedrijven en kom hierna terug.

Is er een Estse AI-wet?

Nee, en die komt er ook niet. De AI Act is een EU-verordening; zij geldt in Estland precies zoals zij is geschreven, zonder dat een Estse versie nodig is. Estland kiest er van oudsher voor bestaande wetten en instanties aan te passen, ook voor AI-toezicht, in plaats van een nieuwe wet te schrijven.

Wat Estland de EU nog verschuldigd is, is een korte uitvoeringswet. Die zal de AI-toezichthouders formeel aanwijzen, de Estse procedure en schaal voor boetes vaststellen en de sandbox een wettelijke grondslag geven. De EU-termijn om deze instanties aan te wijzen is verstreken en het land heeft die, net als de meeste lidstaten, gemist. TTJA beschrijft zijn AI-rol nog steeds in de toekomende tijd.

Dit is het punt waar bedrijven zich het vaakst in vergissen: het ontbreken van de Estse wet zet niets stil. De verboden, de plicht om personeel over AI op te leiden en de transparantieregels voor chatbots en content gelden vandaag al voor uw bedrijf, omdat de EU-verordening dat bepaalt. Wat nog ontbreekt, is het Estse mechanisme om u te beboeten.

Wie reguleert AI in Estland?

Estland heeft geen nieuw AI-agentschap opgericht. Het toezicht op AI ligt bij bestaande instanties, die AI elk aan hun bestaande takenpakket toevoegen.

Voor een gewoon bedrijf zijn twee namen belangrijk. TTJA is de markttoezichthouder: de instantie die bij u kan aankloppen over een AI-systeem en die de handhaving van de AI Act in Estland zal leiden. AKI is de privacytoezichthouder en omdat bijna elke AI-tool persoonsgegevens raakt, is AKI vaak de eerste die vragen stelt. AKI publiceert al eigen richtsnoeren over de AI Act, heeft een advieslijn en heeft adviezen uitgebracht over AI-tools in de zorg.

Als TTJA een onderzoek opent, kan het een bedrijf dat AI maakt vragen om de gegevens waarmee het systeem is getraind en getest, de logbestanden van het systeem en, bij systemen met een hoog risico, toegang tot de broncode. TTJA kan gelasten dat een product wordt hersteld, uit de handel wordt genomen of wordt teruggeroepen. Een bedrijf dat alleen AI van iemand anders gebruikt, krijgt doorgaans minder vragen: de instructies van de leverancier, bewijs van menselijk toezicht op de tool en de logbestanden die het bezit. Documenten moeten in een taal zijn die de autoriteit accepteert; Estland heeft nog niet gezegd of Engels naast het Ests volstaat, dus houd uw dossier in beide talen gereed.

Geldt de AI Act voor een e-Residency-bedrijf dat vanuit het buitenland wordt geleid?

Ja. Dit is de vraag die e-residenten het vaakst stellen en het antwoord is eenvoudig: een Estse OÜ is gevestigd in de EU, punt. Het maakt niet uit of de oprichter in Tallinn, Berlijn of Singapore zit. Als het e-Residency-bedrijf AI gebruikt in zijn werk of een AI-product verkoopt, heeft het dezelfde verplichtingen als elk ander EU-bedrijf en zijn TTJA en AKI de instanties die daarop toezien.

De praktische kant is nuttiger dan de juridische. Uw Estse statutaire adres en, als het bestuur in het buitenland woont, uw contactpersoon zijn de kanalen waarlangs een autoriteit u bereikt. Zorg dat een brief van TTJA of AKI daadwerkelijk wordt gezien en tijdig wordt beantwoord.

Uitvoering van de AI Act in Estland: belangrijke data

Is er een AI-sandbox in Estland?

Een AI-regelgevingssandbox is een testomgeving onder toezicht waar een bedrijf een nieuw AI-systeem samen met de autoriteiten kan beproeven vóór de lancering. Elk EU-land moet er een hebben en de Omnibus heeft de termijn met een jaar uitgesteld. Estland heeft niet op de termijn gewacht om zijn AI-sandbox op te zetten. Het Ministerie van Justitie en Digitale Zaken beheert al een AI-testomgeving (tehisaru testkeskkond). Deze biedt juridisch en complianceadvies, hulp bij risico- en effectbeoordelingen, technische tests, beveiligde dataomgevingen en rekenkracht. U begint met een voorafgaande beoordeling van het risiconiveau van uw systeem, dient vervolgens een aanvraag in en spreekt een testplan af; het ministerie kan aan het einde een schriftelijk rapport uitbrengen. De dienst is gratis voor mkb en overheidsinstanties, en Finland is partner bij de verdere ontwikkeling van de sandbox.

Ontwikkelt u iets dat dicht bij hoog risico ligt, gebruik de omgeving dan vroeg. U krijgt schriftelijk bewijs van uw compliancewerk en komt met de toezichthouders in gesprek voordat de data voor hoog risico ingaan.

Wat moet een Ests bedrijf paraat hebben?

De meeste Estse bedrijven zullen nooit iets van TTJA horen. Wie dat wel doet, krijgt vragen om documenten, niet om meningen. AI-governance kan hier eenvoudig zijn. Bewaar naast uw administratie en GDPR-dossiers een kort AI-compliancedossier:

• Een lijst van AI-tools die u gebruikt of verkoopt, met leverancier, doel en de vermelding of u deze zelf hebt gebouwd of alleen gebruikt.
• Eén aangewezen persoon die binnen het bedrijf verantwoordelijk is voor AI, ook als u dat zelf bent.
• Documentatie van leveranciers: voorwaarden, gebruiksinstructies en eventuele conformiteitsverklaring.
• Bewijs van de geldende verplichtingen: de chatbotmelding die uw klanten zien, uw beleid voor AI-gebruik en opleidingsgegevens, en de manier waarop u AI-gegenereerde content labelt.
• De GDPR-koppeling: de gegevensbeschermingsbeoordeling of het verwerkingsregister dat de AI-tool dekt.

Een bedrijf dat AI maakt, voegt zijn technisch dossier toe. Een bedrijf buiten de EU voegt de schriftelijke volmacht van zijn EU-vertegenwoordiger toe.

Een AI-bedrijf in Estland starten van buiten de EU

Een AI-start-up buiten de EU moet een vertegenwoordiger binnen de Unie aanwijzen voordat zij een product met een hoog risico of een groot model voor algemene doeleinden op de Europese markt mag verkopen. Richt via e-Residency volledig online een AI-bedrijf in Estland op, en u hebt een EU-bedrijf dat deze rol kan vervullen. Het kan ook een stap verder gaan en zelf de EU-aanbieder worden, onder een Estse naam verkopen en de daarbij horende volledige verplichtingen van de aanbieder dragen. Welke route geschikt is voor uw AI-bedrijf, hangt af van het risiconiveau van het product, de fiscale positie van de groep en de manier waarop de Europese activiteiten worden geleid. Neem hierover advies in; kies niet automatisch.

Hoe Eesti Firma AI-bedrijven in Estland helpt

Eesti Firma richt Estse bedrijven op en beheert ze voor oprichters wereldwijd, en blijft betrokken zodra het bedrijf in de EU handelt. Voor AI-bedrijven betekent dit een bedrijf oprichten in Estland als EU-entiteit of vertegenwoordiger, doorlopende boekhouding en complianceadministratie, en juridische diensten voor AI-compliance in Estland: het hierboven beschreven AI-governancedossier, correspondentie met TTJA of AKI en de documenten die een bedrijf op verzoek moet kunnen overleggen.

Vestig uw EU-basis voor AI-compliance

Veelgestelde vragen