Euroopa Liidu AI-küberturbe tegevuskava rõhub kiiremale kaitsele, mitte uutele seadustele

01Lühidalt

Euroopa Komisjon avaldas 7. juulil 2026 tegevuskava, mis ühendab arenenud tehisarumudelite hindamise, küberturbe ning Euroopa tehnoloogilise sõltumatuse üheks poliitikaraamistikuks.

Tegevuskava ei loo uusi siduvaid kohustusi, vaid keskendub tehisarumääruse, NIS2 direktiivi, küberkerksuse määruse, DORA ja teiste kehtivate õigusaktide rakendamisele.

Komisjon kavandab EL-i mudelite hindamise võimekust, turvalist katseplatvormi kriitilistele sektoritele ja korda, mille alusel saaksid kontrollitud organisatsioonid ligipääsu tugeva kübervõimekusega mudelitele.

Plaani suurim nõrkus on Euroopa sõltuvus USA mudelitest ja taristust: osa kavandatud kaitsevõimest eeldab läbirääkimisi välismaiste mudelifirmadega.

Euroopa Komisjon avaldas 7. juulil 2026 Euroopa Liidu AI-küberturbe tegevuskava, mille eesmärk on kohandada liikmesriikide, ettevõtete ja EL-i institutsioonide kaitsevõimet tehisarumudelite järjest tugevama kübervõimekusega. Plaan keskendub mudelite hindamisele, kontrollitud ligipääsule, kriitiliste sektorite katsetaristule, haavatavuste kiiremale parandamisele ja Euroopa enda küberturbetehnoloogia arendamisele.

Tegemist ei ole uue määruse ega direktiiviga. Komisjoni tehnoloogilise suveräänsuse, julgeoleku ja demokraatia eest vastutav juhtiv asepresident Henna Virkkunen ütles tegevuskava tutvustamisel, et Euroopa peab kasutama olemasolevaid võimekusi, võrgustikke ja õigusraamistikku, et tulla toime uute tehnoloogiate tekitatud haavatavustega.

Praktiline rõhk on kaitse kiirusel. Euroopa Liidu küberturvalisuse amet ENISA hoiatab samal ajal avaldatud analüüsis, et arenenud mudelid vähendavad haavatavuse avastamise ja ärakasutamise vahelist aega ning võivad viia olukorrani, kus ründajal on toimiv ründemeetod olemas enne paranduse avaldamist. Sellises keskkonnas ei piisa enam turbeintsidentide käsitsi menetlemisest ega plaastrite rakendamisest nädalate kaupa.

Tegevuskava väärtus sõltub siiski rakendamisest. Komisjon ei avaldanud terviklikku eelarvet, siduvaid tähtaegu kõigile meetmetele ega selget korda, kuidas jagatakse vastutus Euroopa Komisjoni, AI-ameti, ENISA, liikmesriikide ja erasektori vahel. Plaan annab poliitilise suuna, kuid suurem osa ettevõtteid ei saa selle põhjal veel uut tehnilist kontrollnimekirja koostada.

02AI-küberturbe tegevuskava kolm põhisuunda

Euroopa Komisjoni tegevuskava jaguneb kolmeks eesmärgiks: arenenud tehisaru turvaline ja vastutustundlik kasutamine, Euroopa küberkerksuse tugevdamine ning Euroopa enda tehisarupõhise küberturbevõime kasvatamine.

Esimene suund käsitleb mudeleid ennast. Komisjon soovib arendada Euroopa võimet hinnata kõige võimekamate üldotstarbeliste mudelite küberriske enne või seoses nende EL-i turule jõudmisega. Hindamine toetaks tehisarumääruse järelevalvet, mida üldotstarbeliste mudelite puhul korraldab Euroopa Komisjoni juures tegutsev AI-amet.

Selline hindamine võib hõlmata mudeli suutlikkust leida turvanõrkusi, kirjutada toimivat ründekoodi, ühendada mitu haavatavust üheks ründeahelaks või tegutseda vähese inimjärelevalvega. Komisjon ei ole aga veel avaldanud ühtset mõõdikute komplekti, mille järgi saaks otsustada, millal mudeli kübervõimekus muutub süsteemseks riskiks.

Teine suund keskendub Euroopa organisatsioonide kaitsele. Komisjon tahab koos ENISA-ga luua Euroopa juhise, mis reguleeriks turvalist ligipääsu tugeva kübervõimekusega mudelitele. Samuti kavandatakse katseplatvormi, kus energia-, transpordi-, tervishoiu-, finants- ja avaliku sektori organisatsioonid saaksid tehisarupõhiseid kaitsevahendeid kontrollitud tingimustes proovida.

Kolmas eesmärk on tööstuspoliitiline. Komisjon lubab korraldada EL-i tehisaru ja küberturbe suurvõistluse, toetada Euroopa mudelite ja kaitsetööriistade arendamist ning kasutada AI Factories'e ja tulevaste AI Gigafactories'e arvutustaristut. Plaani järgi peaks avalik investeering aitama kaasata erasektori raha ja vähendada sõltuvust väljastpoolt Euroopat pärit mudelitest.

03Uusi nõudeid ei tule, kuid olemasolevate täitmine muutub nõudlikumaks

Tegevuskava õiguslik mõju on kaudne. Komisjon kinnitas, et eraldi seadusandlikku paketti ei kavandata ning põhirõhk jääb olemasolevate nõuete rakendamisele. Sõltumatu regulatsiooniväljaanne MLex kirjeldas seda rakendamis-, mitte uue seadusloome kavaks.

Ettevõtete jaoks tähendab see, et peamised kohustused tulenevad jätkuvalt NIS2 direktiivist, tehisarumäärusest, küberkerksuse määrusest, finantssektori digitaalse tegevuskerksuse määrusest DORA ja kübersolidaarsuse määrusest. Tegevuskava peaks aitama neid senisest sidusamalt rakendada, kuid ei vabasta ettevõtteid ühegi olemasoleva õigusakti nõuetest.

NIS2 nõuab selle kohaldamisalasse kuuluvatelt organisatsioonidelt riskijuhtimist, intsidentide käsitlemist, tarneahela turvet, talitluspidevust ja juhtkonna vastutust. Tehisaru kasutamine turbeoperatsioonides ei vähenda neid kohustusi. Organisatsioon peab endiselt tõendama, et kasutatavad tööriistad on sobivad, kontrollitud ja proportsionaalsed.

Küberkerksuse määrus asetab suurema vastutuse digielemente sisaldavate toodete tootjatele. CERT-EU märgib, et määruse haavatavuste ja intsidentide raporteerimise nõuded hakkavad rakenduma 2026. aasta septembris ning täielikumad tooteturbe kohustused 2027. aasta detsembris. Tehisaru kiirendab puuduste avastamist, kuid kasvatab samal ajal tootjate kohustust teateid kiiresti kontrollida ja parandused kasutajateni viia.

Kõrge riskiga tehisarusüsteemide ja üldotstarbeliste mudelite puhul jäävad oluliseks ka tehisarumääruse nõuded tehnilise dokumentatsiooni, riskijuhtimise, küberturbe, intsidentide ja järelevalve kohta. Tegevuskava ei asenda neid nõudeid ega muuda soovituslikku katsetamist ametlikuks vastavushindamiseks.

04Haavatavuste avastamine muutub odavamaks kui nende parandamine

Tegevuskava taustal on oluline muutus haavatavuste majanduses. CERT-EU hinnangul võimaldavad arenenud mudelid leida ja ära kasutada tarkvaravigu tempos, mis lõhub senise avastamise, avalikustamise, parandamise ja juurutamise tsükli. CERT-EU viitab 2026. aasta M-Trendsi andmetele, mille järgi toimub uute haavatavuste ärakasutamine keskmiselt juba enne paranduse avaldamist.

Ründaja jaoks piisab ühest toimivast haavatavusest. Kaitsja peab samal ajal kontrollima kõiki teateid, hindama nende mõju, parandama vea, testima parandust ja paigaldama selle süsteemidesse ilma teenust katkestamata. Tehisaru vähendab avastamise kulu mõlemal poolel, kuid ei vähenda samas ulatuses kaitsjate kontrolli- ja juurutuskoormust.

ENISA kirjeldab seda verifitseerimise kitsaskohana. Isegi juhul, kui tehisaru vähendab valepositiivsete tulemuste osakaalu, võib õigete leidude kogus kasvada kiiremini kui organisatsioonide võime neid kinnitada ja parandada. Ühes ENISA-le kirjeldatud näites kasvas võimalike CVE-tunnust vajavate leidude hulk umbes 80-lt 2025. aasta esimeses kvartalis ligi 500-ni 2026. aasta esimeses kvartalis ning tehisarupõhiste tööriistade kasutamisel umbes 500 leiuni päevas. Tegemist on ühe tööstusosapoole kogemusega, mitte kogu turgu kirjeldava statistikaga.

Mahu kasv puudutab eriti avatud lähtekoodi projekte. ENISA ja CERT-EU toovad esile juhtumid, kus puudulikult kontrollitud tehisarupõhised veateated koormasid hooldajaid sedavõrd, et vastuvõtuprotsesse tuli piirata või sulgeda. Probleem ei seisne ainult rämpsus: ka tõeliste leidude kiire kasv võib ületada väikese arendusmeeskonna võimekuse.

Seetõttu rõhutab tegevuskava haavatavuste prioriseerimist, mitte üksnes nende avastamist. Praktikas tähendab see ekspluateeritavuse, süsteemi kriitilisuse, internetile avatuse, olemasolevate leevenduste ja võimaliku kahju ühist hindamist.

05EL tahab kontrollitud ligipääsu kõige võimekamatele mudelitele

Kõige vaieldavam osa tegevuskavast puudutab ligipääsu arenenud mudelitele, millel on tugev kübervõimekus. Osa mudelifirmasid annab sellistele süsteemidele ligipääsu ainult kontrollitud organisatsioonidele, sest sama mudel võib aidata nii haavatavusi parandada kui ka ründeid automatiseerida.

Komisjon soovib koos ENISA-ga koostada Euroopa juurdepääsumudeli, mis aitaks riigiasutustel, kriitilise taristu haldajatel ja kontrollitud küberturbeorganisatsioonidel selliseid mudeleid turvaliselt kasutada. Kavandatav juhis peaks tõenäoliselt käsitlema taustakontrolli, kasutusjuhtumeid, logimist, piiratud õigusi, tulemuste kontrollimist ja juurdepääsu lõpetamist. Täpsed tingimused ei ole veel avaldatud.

Juurdepääsuprobleemi teravdas Anthropic'u kübervõimekusega Mythos-mudeli juhtum. Euronewsi teatel pidid Euroopa ametiasutused ja ENISA mudelile piiratud ligipääsu saamiseks pidama USA ettevõttega läbirääkimisi. See näitas, et Euroopa kaitseasutuste ligipääs olulisele võimekusele võib sõltuda välismaise ettevõtte otsusest ja USA ekspordipoliitikast.

Komisjoni kavandatav Euroopa juhis võib muuta protsessi läbipaistvamaks, kuid ei lahenda tarneprobleemi. Kui kõige võimekamad mudelid, kiibid ja pilveplatvormid asuvad endiselt USA ettevõtete kontrolli all, jääb Euroopa ligipääs õiguslikult ja geopoliitiliselt ebakindlaks.

Euroopa Parlamendi liige Aura Salla ütles Euronewsile, et peamine sõltuvus ei seisne ainult mudelites, vaid nende aluseks olevas taristus. Euroopa teadusbaas on tugev, kuid tipptasemel mudeleid ja arvutustaristut käitavaid ettevõtteid on vähe.

06Mudelite hindamise võimekus peab olema regulaatorist sõltumatu

Komisjon tahab tugevdada Euroopa võimet teha kolmanda poole mudelihindamisi. Eesmärk on toetada AI-ameti järelevalvet ning hinnata, kas arenenud mudel võib põhjustada süsteemseid riske küberturbes või teistes valdkondades.

Sõltumatu hindamine on vajalik, sest mudelitootjate enda testid ei kata alati reaalseid kasutusviise ega halvimaid stsenaariume. Ettevõttel on ühtlasi äriline huvi näidata mudelit piisavalt võimeka, kuid kontrollitavana.

Tõhus hindamisasutus vajab ligipääsu mudelile, piisavat arvutusvõimsust, turvalisi katsekeskkondi ja õigust nõuda tehnilist teavet. Pelgast standardtestide käivitamisest ei piisa, sest agentsete süsteemide tulemus sõltub tööriistadest, õigustest, kontekstist ja võimalusest tegutseda pikema aja jooksul.

Küberturbe hindamisel tuleb eristada vähemalt nelja taset: mudeli teadmised, võime leida haavatavusi, võime koostada toimiv ründeahel ning võime tegutseda autonoomselt päris keskkonnas. Mudel, mis suudab kirjeldada SQL-süstet, ei ole samal riskitasemel süsteemiga, mis leiab tundmatu vea, hangib ligipääsu ja liigub võrgus edasi.

Lahtine on ka turusaladuste küsimus. Mudelifirmad võivad pidada osa hindamiseks vajalikust teabest konfidentsiaalseks ning eelistada vabatahtlikku koostööd asutustega, millel pole järelevalveõigust. Euronewsi järgi on suuremad laborid seni eelistanud koostööd Ühendkuningriigi AI Security Institute'iga, millel puudub regulatiivne jõustamisõigus.

07Turvaline katseplatvorm võib aidata kriitilisi sektoreid

Komisjon kavandab turvalist katseplatvormi energia-, transpordi-, tervishoiu-, finants- ja avaliku sektori organisatsioonidele. Platvormi eesmärk oleks anda võimalus hinnata tehisarupõhiseid turbetööriistu ilma tootmiskeskkonda ohtu seadmata.

Sellises keskkonnas saaks katsetada näiteks haavatavuste otsimist, logide analüüsi, ründestsenaariumide koostamist, pettuste tuvastamist, konfiguratsioonide kontrolli ja paranduste genereerimist. Kasulik platvorm peaks sisaldama realistlikke süsteeme, pahavara analüüsikeskkondi, anonüümitud andmeid ja võimalust mõõta nii avastamisvõimet kui ka kõrvalmõju.

Kriitilise taristu puhul on oluline kontrollida, kas mudeli soovitus võib teenuse katkestada. Automaatselt loodud tulemüürireegel, tarkvaraparandus või konfiguratsioonimuudatus võib ründe blokeerida, kuid samal ajal peatada haigla, elektrivõrgu või maksesüsteemi töö.

ENISA hinnangul võivad masinkiirusel toimuvad ründed sundida organisatsioone kasutama tulevikus autonoomsemat paikamist. Samal ajal võib automaatne parandus ise süsteemi rikkuda, mistõttu muutub paranduste kontrollimine uueks kitsaskohaks.

Katseplatvormi tegelik väärtus sõltub sellest, kas saadud tulemused on eri organisatsioonide vahel võrreldavad ja kas neid saab kasutada hangetes, riskihinnangutes või järelevalves. Komisjon pole veel täpsustanud, millal platvorm valmib ega kes seda tehniliselt haldab.

08Mida tegevuskava ettevõtetelt praktiliselt eeldab?

Tegevuskava ise ei lisa ettevõttele uut tähtaega, kuid selle suund viitab mitmele praktilisele muudatusele. Esimene on senisest täpsem vara- ja tarkvarainventuur. Organisatsioon ei saa kiiresti reageerida haavatavusele, kui tal puudub teadmine, kus mõjutatud komponenti kasutatakse.

Teine vajadus on automatiseerida leidude kogumine ja prioriseerimine. See ei tähenda, et mudel peaks ise parandusi tootmisse paigaldama. Sobiv esimene samm võib olla tehisaru kasutamine logide seostamiseks, haavatavuste rikastamiseks ja inimesele kontrollimiseks esitatava nimekirja järjestamiseks.

Kolmas ülesanne on integreerida tehisarupõhine turbetestimine tarkvaraarenduse elutsüklisse. CERT-EU soovitab kasutada selliseid tööriistu juba lähtekoodi, sõltuvuste ja testkeskkondade kontrollimisel, mitte alles pärast rakenduse avaldamist. Kõik leiud ja parandused tuleb enne tootmisse viimist kinnitada.

Neljas nõue on mudelite enda turvalisus. Tehisaruagent võib saada ligipääsu lähtekoodile, pilvekontole, terminalile ja piletisüsteemile. Selline kasutus nõuab vähimate õiguste põhimõtet, tegevuslogi, eraldatud keskkonda, saladuste kaitset ja selget loendit toimingutest, mida agent ei tohi iseseisvalt teha.

Viiendaks tuleb valmistuda suuremaks haavatavuste teavituste mahuks. Tarnijad ja avatud lähtekoodi projektid vajavad vastuvõtukriteeriume, automaatset duplikaatide tuvastamist ning nõuet, et teataja esitaks korratava tõendi, mõjuanalüüsi ja piisava tehnilise konteksti.

09Eesti roll sõltub riiklikust rakendamisest

Eesti jaoks ei loo tegevuskava eraldi kohustusi, kuid selle meetmed hakkavad mõjutama riiklikku küberturbe korraldust, NIS2 rakendamist ja kriitilise taristu kaitset. Eesti asutused võivad osaleda Euroopa katseplatvormides, mudelite hindamises, ENISA koostöövõrgustikes ja ühistes õppustes.

Riigi Infosüsteemi Amet avaldas juba 2024. aastal uuringu tehisaru ja masinõppe riskidest, milles käsitleti muu hulgas mudelite manipuleerimist, andmete mürgitamist, tarneahela ohte ja tehisarusüsteemide vastupidavust. Euroopa uus tegevuskava paigutab need teemad senisest selgemalt operatiivse küberturbe ja kriitilise taristu konteksti.

Eesti ettevõtetele on kõige otsesem mõju seotud NIS2, küberkerksuse määruse ja tehisarumääruse rakendamisega. Organisatsioonid, kes võtavad kasutusele tehisaruagente või automaatset turbetestimist, peavad dokumenteerima nii mudeli pakutava kasu kui ka selle tekitatud uue ründepinna.

Väikese riigi jaoks võib EL-i ühine testimis- ja hindamisvõimekus olla kasulikum kui oma tervikliku mudelilabori loomine. Samas peab Eestil säilima riiklik pädevus hinnata, kas Euroopa tasandil testitud tööriist sobib kohaliku kriitilise taristu, keele, andmete ja ohupildiga.

10Plaani nõrkus on tähtaegade ja rahastuse ebaselgus

Tegevuskava sisaldab konkreetseid projekte, kuid selle rakendusplaan pole kõigis osades konkreetne. Avaldatud kokkuvõttes ei ole iga meetme juures tähtaega, vastutavat asutust, eelarvet ega mõõdikut, mille järgi tulemust hinnata.

Ebaselge on näiteks see, millal käivitub Euroopa turvaline katseplatvorm, mitu organisatsiooni sellele ligi pääseb ja millistel tingimustel. Samuti pole teada, millal valmib arenenud mudelitele ligipääsu juhis või kui ulatuslikuks kujuneb Euroopa mudelihindamise võimekus.

Euroopa tehnoloogilise sõltumatuse eesmärk vajab suuremat investeeringut kui üks võistlus või katseprogramm. Euroopa ettevõtted konkureerivad mudelite, pilvetaristu, kiipide ja küberturbetoodete turul firmadega, kelle kapital ja arvutusvõimsus on märksa suuremad.

Euronewsi kriitilise hinnangu järgi pakub tegevuskava suures osas soovitusi ja olemasolevate vahendite koondamist, samal ajal kui Euroopa peab tipptasemel kübermudelite kasutamiseks endiselt pidama läbirääkimisi USA laboritega.

Samas ei ole uue seaduse puudumine iseenesest nõrkus. Euroopa ettevõtted on juba silmitsi mitme kattuva digiregulatsiooniga ning praktiline juhendamine, ühine taristu ja kiire teabevahetus võivad anda rohkem kasu kui järgmine üldine õigusakt. Tulemust saab hinnata selle järgi, kas haavatavuste parandamine muutub kiiremaks ja kriitiliste sektorite organisatsioonid saavad päriselt paremaid kaitsevahendeid.

11Kokkuvõte

Euroopa Liidu AI-küberturbe tegevuskava tunnistab, et tehisarumudelite areng muudab küberturbe tempot, mitte ainult kasutatavaid tööriistu. Kui haavatavusi saab otsida, kontrollida ja ründeks vormistada masinkiirusel, peavad ka kaitse, prioriseerimine ja intsidentidele reageerimine muutuma senisest automatiseeritumaks.

Komisjon ei vasta muutusele uue regulatsiooniga. Plaan seob tehisarumääruse, NIS2, küberkerksuse määruse ja olemasolevad koostöövõrgustikud mudelite hindamise, turvalise ligipääsu ja kaitsetööriistade arendamisega.

Kõige olulisemad küsimused jäävad siiski lahtiseks. Euroopa peab näitama, kuidas rahastatakse hindamisvõimekust, kes haldab kriitiliste sektorite katseplatvormi ja kuidas vähendatakse sõltuvust USA mudelitest ning arvutustaristust. Ettevõtete jaoks on järgmine praktiline samm kiirendada vara kaardistamist, haavatavuste prioriseerimist ja turbetestimist, säilitades samal ajal inimese kontrolli paranduste ja tootmismuudatuste üle.

12Korduma kippuvad küsimused

Mis on Euroopa Liidu AI-küberturbe tegevuskava?

Euroopa Liidu AI-küberturbe tegevuskava on Euroopa Komisjoni 7. juulil 2026 avaldatud poliitikadokument. See ühendab arenenud tehisarumudelite hindamise, küberturbe tugevdamise ja Euroopa enda tehisarupõhise kaitsevõime arendamise.

Kas tegevuskava kehtestab ettevõtetele uusi kohustusi?

Tegevuskava ei ole uus määrus ega direktiiv ning ei kehtesta iseseisvalt uusi siduvaid kohustusi. Ettevõtete nõuded tulenevad jätkuvalt muu hulgas NIS2 direktiivist, tehisarumäärusest, küberkerksuse määrusest ja DORA-st.

Millised on tegevuskava peamised meetmed?

Peamised meetmed hõlmavad Euroopa mudelihindamise võimekust, kontrollitud ligipääsu arenenud kübermudelitele, kriitiliste sektorite turvalist katseplatvormi ja EL-i tehisaru-küberturbe suurvõistlust. Komisjon tahab ühtlasi kiirendada haavatavuste leidmist, prioriseerimist ja parandamist.

Miks peetakse arenenud tehisarumudeleid küberturberiskiks?

Arenenud mudelid võivad automatiseerida haavatavuste leidmist, ründekoodi loomist ja mitmeetapiliste rünnete kavandamist. Sama tehnoloogia võib aidata ka kaitsjatel vigu varem leida, kuid suurendab teavituste, paranduste ja kontrollimist vajavate leidude hulka.

Kas EL hakkab andma ettevõtetele ligipääsu piiratud kübermudelitele?

Komisjon soovib koos ENISA-ga koostada juhise, mille alusel saaksid kontrollitud avaliku ja erasektori organisatsioonid arenenud kübermudelitele turvaliselt ligi. Täpsed osalemistingimused, ajakava ja ligipääsetavate mudelite nimekiri ei ole veel avaldatud.

Mida peaks Eesti ettevõte tegevuskava tõttu tegema?

Eesti ettevõte peaks kaardistama oma tarkvara ja seadmed, kiirendama haavatavuste prioriseerimist ning kontrollima tehisaruagentide õigusi ja tegevuslogisid. Tehisarupõhised leiud ja parandused vajavad enne tootmiskeskkonda jõudmist endiselt inimese kontrolli.

Kuidas mõjutab tegevuskava kriitilise taristu haldajaid?

Kriitilise taristu haldajad võivad tulevikus saada ligipääsu EL-i ühisele katseplatvormile ja arenenud kaitsemudelitele. Samal ajal suureneb surve muuta paikamine, seire ja intsidentidele reageerimine kiiremaks, ilma et automaatsed muudatused põhjustaksid teenusekatkestusi.

Mis on tegevuskava suurim piirang?

Tegevuskava suurim piirang on konkreetsete tähtaegade, eelarvete ja rakendusvastutuse ebaselgus. Euroopa sõltub tipptasemel mudelite ja arvutustaristu puhul endiselt tugevalt USA ettevõtetest, mida tegevuskava lühikese ajaga ei kõrvalda.

13Allikad

Euroopa Komisjon - "EU Action Plan on Cybersecurity and Artificial Intelligence", 7. juuli 2026.

Euroopa Komisjon - "Commission presents EU Action Plan on Cybersecurity and Artificial Intelligence", 7. juuli 2026.

Euroopa Komisjon - "New EU plan to address the risks and opportunities of advanced AI for cybersecurity", 7. juuli 2026.

ENISA - "ENISA's View on Cybersecurity in the Frontier AI Era", 7. juuli 2026.

CERT-EU - "AI is changing the economics of vulnerability discovery. Defenders should adapt now", 21. aprill 2026.

Euronews - "Brussels pitches AI cybersecurity plan amid dependence on US models", 7. juuli 2026.

MLex - "EU cybersecurity, AI action plan focuses on implementation, not new legislation", 7. juuli 2026.

Riigi Infosüsteemi Amet - "Tehisintellekti ja masinõppe tehnoloogia riskide ja nende leevendamise võimaluste uuring", 27. veebruar 2024.