EL-i uus AI küberturbe plaan paneb rõhu mudelite hindamisele ja kriitiliste sektorite kaitsele

01Lühidalt

Euroopa Komisjon esitles 7. juulil 2026 tegevuskava, mis käsitleb arenenud tehisaru kasutamist küberturbes ning selle väärkasutuse riske.

Plaan ei ole eraldi uus määrus, vaid koordineeriv tegevuskava, mis toetub tehisarumäärusele, NIS2 direktiivile, küberkerksuse määrusele, DORA-le ja küberõigusaktidele.

Komisjon lubab tugevdada tehisarumudelite hindamisvõimekust, töötada koos ENISA-ga välja ligipääsumudeli arenenud AI-võimekustele ning luua turvalise testplatvormi kriitilistele sektoritele.

Eesti ettevõtete jaoks on praktiline seos eelkõige NIS2 ülevõtmisega: RIA teatel kasvas 2026. aastast küberturbenõudeid järgivate Eesti ettevõtete ja asutuste arv ligikaudu 6500-ni.

Euroopa Komisjon avaldas 7. juulil 2026 uue AI küberturbe plaani, mille eesmärk on siduda arenenud tehisarumudelite kasutamine senisest tihedamalt Euroopa küberturbe raamistikuga. Tegemist on regulatsiooniuudisega: komisjon ei loo eraldi uut seadust, vaid paneb paika tegevussuunad, kuidas kasutada olemasolevaid õigusakte, EL-i asutusi ja rahastusprogramme tehisaruga seotud küberriskide ohjamiseks.

Keskne mure on kahetine. Sama tehnoloogia, mis aitab leida turvanõrkusi, prioriseerida intsidente ja kiirendada kaitsetegevust, võib aidata ründajatel automatiseerida nõrkuste otsimist, koostada ründeahelaid ja suurendada intsidentide kiirust. Komisjon sõnastas tegevuskava ametlikult nii riskide vähendamise kui ka võimaluste kasutamise plaanina.

Uus tegevuskava tuleb ajal, mil Euroopa finantsjärelevalve ja küberturbeasutused suhtuvad tehisaru toel toimuvatesse rünnetesse üha tõsisemalt. Reutersi teatel nõudis Euroopa Keskpank 7. juulil 2026 euroala pankadelt nelja kuu jooksul plaane, kuidas kaitsta end tehisaru toel võimendatud küberohtude vastu; tähtajaks nimetati 31. oktoober 2026.

02Plaan toetub olemasolevale EL-i õigusraamistikule

Tegevuskava ei asenda tehisarumäärust ega NIS2 direktiivi. Komisjoni kirjelduse järgi täiendab see olemasolevat raamistikku, kuhu kuuluvad tehisarumäärus, küberkerksuse määrus, NIS2 direktiiv, digitaalse tegevuskerksuse määrus DORA ja küberõigusaktid.

Tehisarumäärus jõustus Euroopa Liidus 1. augustil 2024. Euroopa Komisjoni juhiste järgi hakkasid üldotstarbeliste tehisarumudelite pakkujate kohustused kehtima 2. augustil 2025 ning komisjoni jõustamisvolitused nende kohustuste üle rakenduvad 2. augustil 2026.

Küberkerksuse määrus jõustus 10. detsembril 2024. Selle peamised kohustused hakkavad komisjoni andmetel kehtima 11. detsembril 2027, samas kui haavatavuste ja intsidentide raporteerimise kohustused rakenduvad 11. septembrist 2026.

Seetõttu on komisjoni uus plaan pigem rakenduslik kui seadusandlik samm. See püüab siduda mudelite hindamise, ligipääsu, testimise, haavatavuste parandamise ja Euroopa enda tehisaruvõimekuse arendamise üheks tööraamiks.

03Mida komisjon teha lubab

Tegevuskava esimene osa puudutab arenenud tehisarumudelite hindamist. Komisjon ütleb, et Euroopa peab tugevdama võimekust hinnata mudeleid enne nende EL-i turule jõudmist, kooskõlas tehisarumäärusega. See on oluline just mudelite puhul, millel võib olla süsteemne risk või märkimisväärne kübervõimekus.

Teine osa puudutab ligipääsu. Komisjon lubab töötada koos Euroopa Liidu Küberturvalisuse Ametiga ENISA välja Euroopa ligipääsumudeli arenenud tehisarusüsteemidele küberturbe eesmärgil. Mõte on anda avaliku ja erasektori kaitseorganisatsioonidele selgemad tingimused, kuidas kasutada tugevaid mudeleid kaitsetööks, ilma et ligipääs ise looks uusi riske.

Kolmas suund on testimine. Komisjoni tegevuskava järgi luuakse turvaline testplatvorm, mis aitab kriitilistel sektoritel, sealhulgas energeetikal, transpordil, tervishoiul, finantssektoril ja avalikul haldusel, katsetada tehisaru kasutamist küberturbes kontrollitud tingimustes.

Neljandaks rõhutab plaan haavatavuste kiiremat parandamist. Komisjoni sõnul peaksid organisatsioonid kasutama tehisaru, sealhulgas vajaduse korral avatud lähtekoodiga mudeleid, et turvanõrkusi kiiremini tuvastada ja parandada ning parandada ennetus- ja reageerimisvõimet.

Viiendaks seob tegevuskava küberturbe Euroopa laiema tehnoloogilise suveräänsuse poliitikaga. Komisjon lubab käivitada EL-i suure väljakutse tehisaru kasutamiseks küberturbes ning jätkata investeeringuid AI Factories ja tulevaste gigafactory'de kaudu. Komisjoni AI Continent ülevaate järgi on Euroopa AI-arenduse toetuseks nimetatud 200 miljardit eurot, kuni viie AI gigafactory rahastamiseks 20 miljardit eurot ja 19 AI Factory keskust iduettevõtete, tööstuse ja teaduse toetamiseks.

04Miks tehisaru küberturbes korraga aitab ja suurendab riski

Tehisaru küberturbes ei tähenda ainult juturoboteid ega automaatset koodikirjutamist. Küberkontekstis kasutatakse mudeleid näiteks logide analüüsimiseks, anomaaliate leidmiseks, haavatavuste prioriseerimiseks, ründesimulatsioonideks ja juhtumitele reageerimise kiirendamiseks.

Sama võimekus on kasutatav ka vastupidises suunas. Mudel võib aidata ründajal analüüsida avalikult nähtavaid süsteeme, koostada pahatahtlikke skripte, valida nõrgemaid sihtmärke ja koondada mitmest väikesest vihjest toimiva ründeahela. Komisjoni tegevuskava algabki tähelepanekust, et tehisaru võib suurendada küberintsidentide ulatust ja kiirust.

Finantssektor on üks esimesi valdkondi, kus seda riski käsitletakse süsteemse probleemina. Reutersi järgi hoiatas Euroopa Süsteemsete Riskide Nõukogu 7. juulil 2026, et suuremahulised küberhäired võivad vähendada usaldust finantsasutuste vastu ning levida kiiresti ühiste tehnoloogiapakkujate ja tarkvarasõltuvuste kaudu.

See seletab, miks komisjoni plaan ei räägi ainult tööriistadest, vaid ka ligipääsust, testkeskkondadest ja mudelite hindamisest. Küberturbes ei piisa sellest, et mudel on võimekas; oluline on teada, kes seda kasutab, millistes tingimustes, milliste andmetega ja millise vastutusega.

05Ekspertide ja järelevalvajate vaade

Ametliku poliitilise seisukoha andis komisjoni tehnoloogilise suveräänsuse, julgeoleku ja demokraatia valdkonna juhtiv asepresident Henna Virkkunen. Komisjoni pressiteate järgi ütles Virkkunen, et tehisaru muudab küberturbe tähendust ning EL peab kasutama olemasolevaid võimekusi, võrgustikke ja õigusraamistikku digitaalse keskkonna kaitsmiseks.

Sõltumatu või vähemalt komisjoniväline järelevalvevaade tuli samal päeval Euroopa Keskpangalt. Reutersi järgi kirjutas EKP järelevalvenõukogu juht Claudia Buch pankade juhtidele saadetud kirjas, et arenenud tehisarumudelite arengul võib olla sügav mõju pankade info- ja kommunikatsioonitehnoloogia süsteemide konfidentsiaalsusele, terviklusele ja vastupidavusele. EKP soovitas pankadel seada esikohale internetist nähtavate süsteemide, kolmanda osapoole tarkvara ja avatud lähtekoodiga komponentide kaitse ning kiirendada turvanõrkuste parandamist.

Teaduskirjanduses on sama pinge nähtav õigusliku ja tehnilise rakendatavuse kaudu. Henrik Nolte, Miriam Rateike ja Michèle Finck kirjutasid 2025. aastal avaldatud artiklis "Robustness and Cybersecurity in the EU Artificial Intelligence Act", et tehisarumääruse küber- ja töökindlusnõuded vajavad paremat sidumist masinõppe tehniliste hindamismeetoditega. See ei ole kommentaar komisjoni 2026. aasta tegevuskava kohta, kuid aitab selgitada, miks mudelite hindamine on Euroopa regulatsioonis keeruline koht.

Samal ajal on turul vaidlus selle üle, kellele arenenud mudelitele ligipääs anda. Reuters kirjutas 11. mail 2026, et Euroopa Komisjon tervitas OpenAI pakkumist anda Euroopa poliitikakujundajatele ja usaldatud osapooltele ligipääs küberturbe kaitsevõimekustele, samas kui Anthropic ei olnud komisjoni sõnul sarnase ligipääsupakkumiseni jõudnud.

06Eesti vaade: mõju tuleb NIS2 ja juhtimisvastutuse kaudu

Eesti jaoks ei ole komisjoni uus tegevuskava eraldi kohustus, mida ettevõte saaks kohe kontrollnimekirjana täitma hakata. Praktiline mõju tuleb pigem läbi olemasolevate nõuete, eriti NIS2 ülevõtmise ja küberturvalisuse seaduse muudatuste.

RIA teatas 2. jaanuaril 2026, et küberturvalisuse seaduse muudatuste tulemusel kasvas Eestis kohustuslikke küberturbenõudeid järgivate ettevõtete ja asutuste arv umbes 3000 võrra, ligikaudu 6500-ni. RIA nimetas uute või laienenud valdkondadena muu hulgas lennuettevõtjaid, raudteesektorit, elektriettevõtjaid, kaugkütte pakkujaid, sadama pidajaid, krediidiasutusi, pilvandmetöötlusteenuse osutajaid ja haiglaid.

Eesti ettevõtte juhile tähendab komisjoni plaan eelkõige seda, et tehisaru ei ole küberturbes ainult efektiivsuse tööriist. Kui organisatsioon kasutab mudelit haavatavuste leidmiseks, logide analüüsiks või intsidentidele reageerimiseks, peab ta suutma hinnata ka selle mudeli töökindlust, ligipääsuõigusi, andmekasutust ja sõltuvusi.

Arendajate ja infoturbejuhtide jaoks muutub olulisemaks tõendatavus. Tuleb näidata, millist mudelit kasutati, millistel andmetel, millise eesmärgiga, milliste piirangutega ja kuidas tulemusi kontrolliti. See on eriti tähtis kriitilistes sektorites, kus ekslik automaatne järeldus võib tähendada kas valehäiret või tegeliku ründe mahajäämist.

Avaliku sektori jaoks võib Euroopa testplatvorm olla kasulik, kui see jõuab praktiliste tööriistade ja juhisteni. Praegu on aga vara öelda, millal Eesti asutused või ettevõtted sellisele platvormile ligi pääsevad ning millised on kasutustingimused.

07Riskid ja lahtised küsimused

Kõige suurem lahtine küsimus on ligipääs. Kui kõige võimekamad mudelid suudavad aidata nii kaitsjat kui ründajat, peab Euroopa otsustama, millised asutused ja ettevõtted saavad neid kasutada ning kuidas kontrollida, et ligipääs ei lekiks ega muutuks ründevahendiks.

Teine probleem on hindamise praktiline kvaliteet. Mudelite kübervõimekust ei saa hinnata ainult üldiste ohutusdeklaratsioonidega. Vaja on realistlikke, kontrollitud ja korratavaid katseid, mis mõõdavad nii kaitse- kui väärkasutuspotentsiaali.

Kolmas piirang on Euroopa enda võimekus. Komisjon seob tegevuskava AI Factories ja gigafactory'dega, kuid arvutusvõimsuse, talendi ja kapitali osas konkureerib Euroopa endiselt USA ja Hiinaga. Suured plaanid ei muutu küberturbevõimekuseks enne, kui ettevõtetel ja avalikul sektoril on päriselt ligipääs töökindlatele mudelitele, testkeskkondadele ja oskustele.

Neljas risk puudutab väiksemaid organisatsioone. Kui tehisaru kasutamine küberturbes muutub eeldatavaks praktikaks, võib see luua uue võimekuslõhe: suuremad asutused saavad mudeleid turvaliselt testida ja hallata, väiksemad ostavad teenust sisse ega pruugi mõista selle piiranguid.

08Kokkuvõte: Euroopa liigub koordineeritud kaitse poole

Euroopa Komisjoni AI küberturbe plaan on märk sellest, et tehisaru käsitletakse küberturbes nüüd kriitilise taristu küsimusena, mitte üksiku tootlikkustööriistana. Plaan ei too kohe uut kohustuste paketti, kuid seob kokku mudelite hindamise, turvalise ligipääsu, testimise, NIS2 rakendamise ja Euroopa tehnoloogilise võimekuse arendamise.

Eesti ettevõtetele ja avaliku sektori asutustele on sõnum praktiline: tehisaru kasutamine küberturbes peab olema juhitud, dokumenteeritud ja kontrollitav. Järgmise sammuna tasub jälgida, millal komisjon ja ENISA avaldavad ligipääsumudeli, kuidas käivitub turvaline testplatvorm ning milliseid juhiseid antakse kriitiliste sektorite organisatsioonidele.

09Korduma kippuvad küsimused

Mis juhtus?

Euroopa Komisjon avaldas 7. juulil 2026 tegevuskava, mis käsitleb arenenud tehisaru kasutamist küberturbes. Plaan keskendub mudelite hindamisele, turvalisele ligipääsule, testimisele, haavatavuste kiiremale parandamisele ja Euroopa enda AI-võimekuse arendamisele.

Kas see on uus EL-i seadus?

See ei ole eraldi uus määrus, vaid tegevuskava olemasolevate reeglite rakendamiseks ja sidumiseks. Plaan toetub muu hulgas tehisarumäärusele, NIS2 direktiivile, küberkerksuse määrusele, DORA-le ja küberõigusaktidele.

Miks on tehisaru küberturbes risk?

Tehisaru võib aidata kaitsjal turvanõrkusi leida ja intsidentidele kiiremini reageerida, kuid sama võimekus võib aidata ründajal nõrkusi otsida ja rünnakuid automatiseerida. Seetõttu rõhutab komisjon ligipääsu, testimise ja mudelite hindamise vajadust.

Keda plaan kõige otsesemalt puudutab?

Kõige otsesemalt puudutab plaan kriitilisi sektoreid, nagu energeetika, transport, tervishoid, finantssektor ja avalik haldus. Samuti on see oluline tehisarumudelite pakkujatele, küberturbefirmadele, pilveteenuste osutajatele ja organisatsioonidele, kes kuuluvad NIS2 mõjualasse.

Mida tähendab see Eesti ettevõtetele?

Eesti ettevõtetele tähendab plaan eelkõige seda, et tehisaru kasutamine küberturbes peab olema seotud riskijuhtimise, juhtimisvastutuse ja tõendatavate kontrollidega. RIA teatel kasvas 2026. aastast Eestis küberturbenõudeid järgivate ettevõtete ja asutuste arv ligikaudu 6500-ni.

Mis roll on ENISA-l?

ENISA ehk Euroopa Liidu Küberturvalisuse Amet peaks tegevuskava järgi aitama luua Euroopa ligipääsumudelit arenenud AI-võimekustele ning osalema turvalise testplatvormi arendamises. ENISA roll on siduda liikmesriikide, ettevõtete ja EL-i tasandi küberturbepraktikaid.

Millal mõju praktikas näha on?

Osa mõjust tuleb kohe olemasolevate nõuete kaudu, näiteks NIS2 ja tehisarumääruse rakendamisel. Konkreetsem mõju sõltub sellest, millal valmivad ligipääsumudel, testplatvorm, ENISA juhised ja EL-i suure küberturbe-AI väljakutse tulemused.

Mida peaks organisatsioon praegu tegema?

Organisatsioon peaks kaardistama, kus tehisaru juba küberturbes kasutusel on või lähiajal kasutusele võetakse. Lisaks tuleb määrata vastutus, dokumenteerida andmekasutus, hinnata mudelite piiranguid ning siduda tehisaru kasutamine olemasoleva riskijuhtimise ja intsidendihaldusega.

10Allikad

European Commission — "Commission presents EU Action Plan on Cybersecurity and Artificial Intelligence", 7. juuli 2026.

European Commission — "EU Action Plan on Cybersecurity and Artificial Intelligence", 7. juuli 2026.

European Commission — "Cyber Resilience Act", viimati uuendatud 2026.

European Commission — "Guidelines for providers of general-purpose AI models", 28. aprill 2026.

Reuters — "ECB tells banks to bolster AI cyber defences as peers take lighter approach", 7. juuli 2026.

Reuters — "EU says OpenAI offers to open access to cybersecurity model, Anthropic not there yet", 11. mai 2026.

Riigi Infosüsteemi Amet — "Uuest aastast laienes küberturvalisuse seadus", 2. jaanuar 2026.

Riigi Infosüsteemi Amet — "Mida oodata 2026. aastalt küberruumis?", 2026.

Henrik Nolte, Miriam Rateike, Michèle Finck — "Robustness and Cybersecurity in the EU Artificial Intelligence Act", 22. veebruar 2025.