Regfortis
EL AI-määruse AI-süsteemide inventar: praktiline juhend ja mall VKEdele
AI-süsteemide inventar — struktureeritud rekord kõigist AI-tööriistadest, mida sinu ettevõte kasutab — on EL AI-määruse vastavuse oluline alus. Teadmata, millist AI-d kasutad, ei saa täita Article 4, Article 50 ega Article 26 kohustusi. See juhend selgitab, mida kaasata ja kuidas seda üles ehitada.
Viimane regulatiivne läbivaatus: 14. august 2026 · Regulation (EU) 2024/1689 muudetud kujul Regulation (EU) 2026/1744
Mis on AI-süsteemide inventar?
AI-süsteemide inventar on struktureeritud register kõigist AI-süsteemidest või AI-põhistest tööriistadest, mida sinu ettevõte professionaalselt kasutab. Iga süsteemi kohta salvestab inventar selle eesmärgi, mõjutatud isikud, kasutusviisi ja vastavuse staatuse EL AI-määruse alusel.
Erinevalt üldisest IT-varade registrist läheb AI inventar kaugemale: see salvestab iga AI-süsteemi riskiklassifikatsiooni, millised EL AI-määruse kohustused sellele kehtivad ja millised vastavusammud on tehtud. See on elav dokument, mis areneb koos sinu AI-kasutusjuhtumite muutumisega.
Miks on seda EL AI-määruse vastavuseks vaja?
EL AI-määrus kehtestab erinevaid kohustusi sõltuvalt sellest, milliseid AI-süsteeme kasutad ja kuidas neid kasutad. Ilma täieliku ülevaateta oma AI-varadest ei saa:
Täita Article 4 (AI-kirjaoskus)
Ei saa tagada, et töötajatel on "piisav AI-kirjaoskus" süsteemide jaoks, mida pole kaardistanud. Inventar ütleb, millised töötajad suhtlevad millise AI-ga — ja seega kes vajab millist kirjaoskuse tuge.
Järgida Article 50 (läbipaistvus)
Pead teadma, millised AI-süsteemid suhtlevad klientide või avalikkusega, et rakendada nõutavaid avalikustamisi. Kliendile suunatud AI juturobooti inventarist puudumine tähendab avalikustamislünka.
Valmistuda Article 26 jaoks (kõrge riskiga AI)
Sinu AI-süsteemide tuvastamine, mis kuuluvad Annex III alla, on esimene samm. Ilma inventarita ei saa prioritiseerida, millistel süsteemidel on vaja põhiõiguste mõju hindamisi enne detsembrit 2027.
Vastata järelevalveasutuste päringutele
Kui andmekaitseasutus, turujärelevalveasutus või Euroopa AI Amet küsib, milliseid AI-süsteeme kasutad, annab inventar sulle struktureeritud lähtepunkti aruteludeks regulaatori või nõustajaga.
Mis loetakse inventari eesmärgil "AI-süsteemiks"?
EL AI-määrus määratleb AI-süsteemi Article 3(1)-s masinpõhise süsteemina, mis on mõeldud toimimiseks erinevatel autonoomsuse tasemetel ja mis tuletab sisendist väljundeid nagu prognoosid, soovitused, otsused või sisu. Mitte iga tarkvara ei kvalifitseeru.
Tõenäoliselt ulatuses — kaasa inventari
- → Generatiivsed AI-tööriistad (ChatGPT, Gemini, Copilot, Claude)
- → AI-põhised klientide juturoobotid ja virtuaalsed assistendid
- → AI-toega värbamis- või personalitööriistad
- → AI krediidiskoringi või riskihindamise tööriistad
- → AI sisu genereerimise ja pildi loomise tööriistad
- → AI-põhised e-posti filtreerimise või sortimise süsteemid
- → Masinõppepõhine analüütika soovitustega
Tõenäoliselt väljaspool ulatust — võib välistada
- → Lihtne reeglipõhine automatiseerimine (kui/siis otsustuspuud)
- → Traditsioonilised statistikavahendid ilma õppimiskomponentideta
- → Põhilised õigekirjakontrollijad ja grammatikatööriistad
- → Otsinguteenused ilma AI-juhitud järjestamiseta
- → Standardsed andmebaasipäringud ja filtrid
Kahtluse korral kaasa süsteem inventari ja märgi selle ulatuse staatus läbivaatamiseks. Liiga kaasav inventar on parem kui lünk.
AI-süsteemide inventari mall
Täida üks rekord iga AI-süsteemi kohta. Saad seda hallata tabelarvutusena, jagatud dokumendina või olemasoleva GDPR/DPIA registri raames. Regfortise stardipaketi dokumentatsioon sisaldab redigeeritavat malliversiooni.
Süsteemi tuvastamine
Süsteemi nimi
AI-tööriista või süsteemi nimi (nt "ChatGPT Enterprise", "HireVue Video Interview AI")
Pakkuja
AI-süsteemi arendanud või tarninud ettevõtte nimi
Versioon / mudel
Versiooninumber või mudeliväljend, kui teada
Esmakordselt kasutatud kuupäev
Millal sinu organisatsioon seda süsteemi kasutama hakkas
Eesmärk ja kontekst
Ärifunktsioon
Milline osakond või funktsioon seda süsteemi kasutab (nt personal, turundus, rahandus, klienditugi)
Kavandatud eesmärk
Milleks süsteemi kasutatakse — ole täpne (nt "Klienditugi-piletite kokkuvõte" vs "Tööpakkumiste kandidaatide järjestamine")
Mõjutatud isikud
Keda AI väljundid mõjutavad — töötajad, kliendid, tööle soovijad või üldsus
Otsuse tüüp
Kas AI väljund annab teavet otsuste kohta, mis mõjutavad inimesi oluliselt? (Jah / Ei / Osaliselt)
Riskiklassifikatsioon
Keelatud tavade kontroll
Kinnitatud, et ei kuulu ühtegi Article 5 keelatud tava alla (Jah / Läbivaatust vajav)
Annex III kategooria
Kas see süsteem vastab Annex III kõrge riskiga kasutusjuhtumile? (Jah / Ei / Ebaselge — märgi kategooria, kui Jah)
Riskitase
Sinu hinnang: Minimaalne / Piiratud / Kõrge risk
Vastavuse staatus
Article 4 (AI-kirjaoskus)
Kas asjakohased töötajad on saanud AI-kirjaoskuse tuge selle süsteemi jaoks? (Jah / Käimas / Veel mitte)
Article 50 (läbipaistvus)
Kui kasutajale suunatud: kas AI avalikustamine on olemas? (Jah / Ei kohaldu / Ei — tegevus nõutav)
Article 26 (kõrge riskiga kasutuselevõtja)
Kui Annex III: FRIA staatus, andmebaasi registreerimise staatus (N/A kui mitte kõrge riskiga)
Viimase vastavuse läbivaatuse kuupäev
Kuupäev, millal selle süsteemi vastavuse staatust viimati üle vaadati
Järelevalve ja kontaktid
Sisemine omanik
Selle AI-süsteemi vastavuse eest vastutava isiku nimi ja roll
Pakkuja dokumentatsioon
Pakkuja tehnilise dokumentatsiooni, andmetöötluslepingu või vastavusdeklaratsiooni asukoht
Järgmise läbivaatuse kuupäev
Planeeritud järgmise vastavuse läbivaatuse kuupäev
Kuidas inventari ajakohasena hoida
Inventar, mis muutub aegunuks, tekitab vastavuslünki. Ehita need tavad oma AI juhtimise rutiini:
Läbivaatus iga uue AI kasutuselevõtu korral
Enne kui ühtegi meeskonda tellitakse uuele AI-tööriistale või teenusele, suuna see lühikese inventari vastuvõtmise protsessi kaudu. Lisa süsteem enne käivitamist.
Kvartalite kokkuvõte
Iga kvartal paluge iga meeskonnajuhil kinnitada, milliseid AI-tööriistu nende meeskond kasutab. Varjatud AI kasutuselevõtt (tööriistad, mida kasutatakse ilma IT teadlikkuseta) on levinud ja tekitab avastamata vastavuslünki.
Aastane vastavuse läbivaatus
Kord aastas vaata üle iga kirje vastavuse staatuse muutuste osas — sealhulgas selle kohta, kas süsteemid, mis kunagi polnud kõrge riskiga, kuuluvad nüüd Annex III kategooriatesse, või kas regulatiivne maastik on muutunud.
Uuenda pakkuja muutuste korral
Kui AI-tööriista pakkuja teeb olulise uuenduse, muudab andmetöötlustingimusi või muudab oma toote aluseks olevat AI-mudelit, hinda mõjutatud kirje uuesti.
Levinud VKEde vead
- Ainult IT-hangitud tööriistade loetlemine — AI-tööriistad, mille osakonnad on otseselt SaaS-tellimustega ühinenud, jäävad välja
- Standardtarkvarasse (Microsoft 365 Copilot, Google Workspace AI) integreeritud AI käsitlemine väljaspool ulatust olevana ilma seda üle vaatamata
- Inventari ühekordne loomine ja mitte kunagi uuendamine uute tööriistade vastuvõtmisel
- Mitte registreerides, millised konkreetsed töötajad suhtlevad iga AI-süsteemiga — muutes Article 4 kirjaoskuse meetmete sihipärastamise võimatuks
- Pakkujate andmetöötluslepingute inventari mittekaasamise, mis jätab Annex III dokumentatsiooninõuete jaoks lünga
Korduma kippuvad küsimused
Kas AI-süsteemide inventar on EL AI-määruse alusel õiguslik nõue?
EL AI-määrus ei nõua, et ettevõtted koostaksid konkreetselt "AI-süsteemide inventariks" nimetatud dokumendi. Selle hoidmine on aga praktiliselt vajalik, et tõendada vastavust Article 4 (AI-kirjaoskus — pead teadma, milliseid AI-süsteeme sinu töötajad kasutavad), Article 50 (läbipaistvus — pead teadma, millised AI-süsteemid kasutajatega suhtlevad) ja Annex III kasutuselevõtja kohustustega Article 26 alusel, mis nõuavad kõrge riskiga AI-süsteemide tuvastamist, hindamist ja registreerimist. Ilma inventarita pole süstemaatiline vastavus saavutatav.
Kas Microsoft 365 Copilot või ChatGPT Enterprise peavad olema minu AI inventaris?
Jah. Nii Microsoft 365 Copilot kui ChatGPT Enterprise on AI-süsteemid EL AI-määruse Article 3(1) definitsiooni ulatuses. Iga AI-tööriist, mida sinu ettevõte professionaalselt kasutab — sealhulgas tootlikkustarkvarasse integreeritud AI-funktsioonid — tuleks hinnata ja inventari kaasata. Kirje peaks salvestama tööriista eesmärgi, millised töötajad sellega suhtlevad ja selle vastavuse staatuse Article 4 ja 50 alusel.
Kui tihti peaksin AI-süsteemide inventari uuendama?
Minimaalselt: lisa uus kirje enne, kui uus AI-tööriist professionaalse kasutuse alla läheb, ja viia läbi põhjalik vastavuse läbivaatus vähemalt kord aastas. Praktikas vajavad paljud ettevõtted kvartalite kokkuvõtteid, et püüda üksikute meeskondade väljaspool keskseid IT-hankeprotsesse üle võetud AI-tööriistu. Inventari tuleks üle vaadata ka siis, kui pakkuja teeb oma AI-mudelis või andmetöötlustingimustes olulisi muudatusi.
Mis vahe on AI-süsteemide inventaril ja GDPR töötlemistoimingute registril?
GDPR töötlemistoimingute register (ROPA) dokumenteerib kõik isikuandmete töötlemistoimingud sinu organisatsioonis. AI-süsteemide inventar on spetsiifiliselt suunatud AI-süsteemidele ja nende EL AI-määruse vastavuse staatusele. Mõlemad kattuvad seal, kus AI-süsteemid töötlevad isikuandmeid — mis on levinud — kuid teenivad erinevaid regulatiivseid eesmärke. Neid saab hallata seotud dokumentidena, lisades EL AI-määruse vastavuse väljad asjakohaste ROPA kirjete kõrvale AI-põhiste töötlemistoimingute jaoks.
Hangi kasutamisvalmis inventarimall
Regfortise dokumentatsioonikomplektid sisaldavad redigeeritavat AI-süsteemide inventarimallt, mis on eelmärgistatud Article 4, Article 50 ja Annex III vastavuse väljadele. Alusta tasuta hindamist, et näha, milline pakett sobib sinu ettevõttele.
Alusta tasuta hindamist
Annex III juhend →
Seotud juhendid
- Article 4: AI-kirjaoskuse nõuded
- Annex III: Kõrge riskiga AI juhend
- Täielik EL AI-määruse vastavuse kontrollnimekiri
- Peamised vastavustähtajad
- Ametlikud regulatiivsed allikad
- EL AI-määrus VKEdele — täielik juhend
See juhend on ainult informatiivsel eesmärgil ega kujuta endast õigusnõu.