Uuring: Euroopa andmekaitsereeglid on aeglustanud juhtivate AI-mudelite jõudmist EL-i

Governance AI uus raport väidab, et Euroopa Liidu andmekaitsereeglid on mõnel juhul lükanud edasi või takistanud suurte keelemudelite jõudmist Euroopa kasutajateni. Raportis analüüsiti 375 mudeli või mudeliga seotud toote väljalaset ajavahemikus juuni 2018 kuni mai 2026 ning võrreldi kättesaadavust Ameerika Ühendriikides, Euroopa Liidus ja Ühendkuningriigis.

Raporti põhijäreldus on konkreetne: võrreldes USA-ga viibis või jäi EL-is ära 11 protsenti uuritud väljalasetest, Ühendkuningriigis oli vastav näitaja 7 protsenti. Uuring hõlmas Meta, Google’i, OpenAI ja Anthropicuga seotud väljalaskeid ning püüdis avalike allikate põhjal hinnata, kas viivituse taga oli regulatsioon, tehniline piirang, toodete valmidus või mõni muu põhjus.

Raport ei ütle, et kõik Euroopa viivitused tulenesid seadustest. Küll aga omistavad autorid 68 viivitusest või mitteväljalaskest 56 juhtumi puhul peamise põhjusena regulatiivsed tegurid. Kõige sagedamini kerkis esile isikuandmete kaitse, eriti küsimus, kas ja kuidas võib isikuandmeid kasutada mudelite treenimiseks või täiustamiseks.

See vaidlus ei ole ainult juriidiline. Kui mudelid, multimodaalsed tööriistad või arendajatele mõeldud API-d jõuavad Euroopasse hiljem, mõjutab see kohalikke ettevõtteid, arendajaid ja avaliku sektori asutusi. Samal ajal on Euroopa reeglite eesmärk kaitsta kasutajaid olukorras, kus tehisarusüsteemide treenimine ja kasutamine võib hõlmata väga suuri isikuandmete hulki.

Mis uuringus täpselt mõõdeti?

Governance AI raport „Delays to Frontier AI in the EU and UK” avaldati 28. juunil 2026. Autorid John Lidiard, Oleksandra Vereschak, Tom Gibbs ja Markus Anderljung koondasid andmestiku 375 suure keelemudeli või nendega seotud väljalaske kohta. Uuringuperiood kestis kaheksa aastat, juunist 2018 kuni maini 2026.

Raport ei mõõtnud ainult mudeli nime või teadusartikli ilmumist. Fookuses oli see, millal mudel, veebirakendus või arendajaliides eri turgudel tegelikult kasutajatele kättesaadavaks sai. See eristus on oluline, sest mudel võib olla USA-s saadaval veebiliideses, API-s või valitud partneritele, kuid Euroopa kasutaja või ettevõte ei pruugi samal ajal seda kasutada saada.

Uuringu autorid tõid näiteks Claude 3 Opuse veebirakenduse: EL-is oli ligipääs 71 päeva hilisem ajal, mil mudel oli Epoch Capabilities Indexi järgi kõrgeima võimekusega mudelite seas. Samas märgib raport, et API-ligipääs, mida arendajad kasutavad oma rakenduste ehitamiseks, oli selle näite puhul USA-ga samal ajal olemas.

Meta paistis andmestikus silma suurima viivituste ja mitteväljalaskete osakaaluga. Raporti järgi viibis või jäi EL-is ära ligikaudu 26 protsenti Meta uuritud väljalasetest, Ühendkuningriigis umbes 15 protsenti.

Samas lisab raport olulise täpsustuse: 2026. aasta esimese viie kuu jooksul ei leidnud autorid juhtumeid, kus avalikult välja lastud mudel oleks EL-is või Ühendkuningriigis viibinud või ära jäänud. Autorid märgivad ka, et viimasel ajal võivad USA riikliku julgeoleku ja ekspordikontrolli kaalutlused olla Euroopa ligipääsule suurem takistus kui Euroopa enda regulatsioon.

Peamine takistus: isikuandmed ja ebaselgus

Raporti järgi on regulatiivsetest põhjustest kõige olulisem andmekaitse. See tähendab eelkõige küsimust, millistel tingimustel võib ettevõte kasutada isikuandmeid mudeli treenimiseks, testimiseks, kohandamiseks või teenuse parandamiseks.

GDPR ehk isikuandmete kaitse üldmäärus kehtib EL-is alates 25. maist 2018. See andis inimestele tugevamad õigused oma andmete üle ning pani andmete töötlejatele ja vastutavatele töötlejatele selgemad kohustused.

Suurte keelemudelite puhul tekib siin mitu keerulist küsimust. Kui mudeli treenimiseks kasutatakse avalikult nähtavaid sotsiaalmeediapostitusi, veebilehti, pilte või häälnäiteid, võib osa sellest materjalist sisaldada isikuandmeid. Kui mudel võimaldab kasutajal lisada pilte, häält või reaalajas videot, suureneb andmekaitserisk veelgi. Just seetõttu märgib Governance AI raport, et pildi, heli ja video põhised tööriistad puutuvad suuremate takistustega kokku kui ainult tekstipõhised mudelid.

See ei tähenda, et GDPR keelaks tehisaru arendamise. Probleem on pigem selles, et mudelite arendajatel, regulaatoritel ja kasutajatel ei ole alati ühist arusaama, milline andmekasutus on õiguspärane, millal piisab õigustatud huvist, millal on vaja nõusolekut, kuidas tuleb kasutajale vastuväiteõigust pakkuda ning kuidas saab inimene oma õigusi mudeli treeningandmete suhtes tegelikult kasutada.

Näited: Meta, Apple ja Euroopa ligipääs

Meta juhtum näitab, kuidas andmekaitse võib mõjutada teenuse turuletoomist. Reuters kirjutas 2024. aasta juunis, et Meta peatas oma tehisaruteenuste Euroopa turuletoomise pärast Iiri andmekaitseasutuse taotlust lükata edasi plaan kasutada Facebooki ja Instagrami kasutajate avalikku sisu suurte keelemudelite treenimiseks. Reutersi järgi oli vaidluse keskmes Meta kavatsus kasutada isikuandmeid mudelite treenimiseks ilma eraldi nõusolekut küsimata.

Meta ütles toona, et ilma kohaliku infota saab Euroopa kasutajatele pakkuda vaid kehvemat kogemust, mistõttu Meta AI ei saanud tol hetkel Euroopas käivituda. Iiri andmekaitseasutus tervitas pausi ning märkis, et otsus tuli pärast põhjalikku suhtlust regulaatoriga.

2024. aasta juulis teatas Meta ka, et ei too Euroopa Liidus välja multimodaalset Llama mudelit, mis pidi käsitlema teksti, pilte, videot ja heli. The Verge’i teatel põhjendas Meta seda Euroopa regulatiivse keskkonna ettearvamatusega. See on oluline näide just seetõttu, et piirang ei puudutanud ainult tarbijarakendust, vaid ka avatud litsentsiga mudelit, mida Euroopa ettevõtted oleksid võinud oma toodetes kasutada.

Apple’i puhul oli põhiteguriks pigem digiteenuste turu konkurentsiregulatsioon ehk Digital Markets Act. Reuters kirjutas 2024. aasta juunis, et Apple lükkas Apple Intelligence’i, iPhone Mirroringu ja SharePlay Screen Sharingu täiustuste Euroopa väljalaske edasi, viidates DMA-st tulenevale regulatiivsele ebakindlusele. Apple’i sõnul võinuks DMA koostalitlusnõuded sundida ettevõtet tegema muudatusi, mis ohustavad toodete terviklust, kasutajate privaatsust ja andmeturvet.

2026. aasta juunis jätkus sama vaidlus Siri AI ümber. Reutersi teatel süüdistas Apple viivituses Euroopa reegleid, kuid Euroopa Komisjon vastas, et DMA ei takista Siri AI turuletoomist ning viivitus on Apple’i enda otsus. Komisjoni pressiesindaja Thomas Regnier ütles Reutersi järgi, et Apple ei suutnud välja töötada koostalitluslahendust, mis vastaks EL-i privaatsus- ja turbestandarditele.

Need näited näitavad, et Euroopa viivitustel ei ole üht põhjust. Mõnikord on keskmes GDPR ja mudelite treeningandmed, mõnikord DMA ja platvormide koostalitlus, mõnikord AI Acti rakendamise ebakindlus, mõnikord aga ettevõtte enda riskihinnang.

DMA ja AI Act: uuringu järgi mõju alles kujuneb

AI Act jõustus 1. augustil 2024. Euroopa Komisjoni järgi hakkasid keelatud tehisarupraktikad ja tehisarupädevuse nõuded kohalduma 2. veebruarist 2025, üldotstarbeliste mudelite juhtimisreeglid ja kohustused 2. augustist 2025 ning enamik ülejäänud reegleid 2. augustist 2026.

Governance AI raport ütleb seetõttu ettevaatlikult, et tugevat tõendit AI Acti mõju kohta mudelite viibimisele veel ei ole. Üldotstarbeliste mudelite sätted olid uuringu andmestikus hõlmatud vaid kümne kuu ulatuses ning nende täielik jõustamine ei olnud uurimisperioodi lõpuks veel alanud.

DMA puhul on mõju nähtavam Apple’i näitel, kuid see ei tähenda, et DMA oleks otseselt suurte keelemudelite põhitakistus. DMA siht on eeskätt suurte platvormiettevõtete ehk väravahoidjate turujõu piiramine ja konkurentsi suurendamine. Reutersi järgi võivad DMA rikkumised tuua trahvi kuni 10 protsenti ettevõtte üleilmsest aastakäibest.

Seega on täpsem öelda, et praeguse uuringu põhjal on suurte keelemudelite väljalaskeviivituste peamine regulatiivne põhjus olnud andmekaitse, mitte AI Act. DMA on mängus eelkõige nende toodete puhul, kus tehisaru on seotud Apple’i, Google’i või Meta platvormide sügava koostalitluse, seadmetaseme ligipääsu või turupositsiooniga.

Digital Omnibus: mida täpsustada?

Euroopa Nõukogu ja Euroopa Parlamendi läbirääkijad jõudsid 7. mail 2026 esialgsele kokkuleppele ettepanekus lihtsustada teatud tehisarureegleid. Nõukogu kirjeldas seda kui osa EL-i „Omnibus VII” paketist, mille eesmärk on lihtsustada digitaalset õigusraamistikku ja AI Acti rakendamist.

Euroopa Parlament andis 16. juunil 2026 heakskiidu muudatustele, mis muu hulgas lükkavad edasi osa AI Acti kohustusi, täpsustavad kõrge riskiga süsteemide tähtaegu, vähendavad kattuvust masinatoodete ohutusreeglitega ning lubavad teatud tingimustel töödelda isikuandmeid kallutatuse tuvastamiseks ja parandamiseks. Enne jõustumist vajab tekst veel nõukogu formaalset vastuvõttu.

Euroopa Komisjoni AI Acti ülevaade ütleb samuti, et poliitiline kokkulepe AI omnibus’e kohta saavutati 7. mail 2026 ning kõrge riskiga tehisarusüsteemide uued tähtajad on 2. detsember 2027 ja teatud toodetesse integreeritud süsteemide puhul 2. august 2028.

Laiem „digital omnibus” on seega osa EL-i lihtsustamiskavast, mitte ainult andmekaitse parandamise instrument. See võib ettevõtetele anda selgema ajakava, kuid ei tähenda, et GDPR-i põhiprintsiibid kaoksid.

Ekspertide vaade: ligipääs ja kaitse on samas kaalul

Governance AI autor John Lidiard ütles Euronewsile, et EL-i ja Ühendkuningriigi poliitikakujundajad peaksid arvestama riskiga, et regulatiivsed barjäärid võivad aeglustada kodanike ja ettevõtete ligipääsu uusimatele mudelitele. Tema sõnul peaks mudelitele ligipääsu viibimine olema üks tegur, mida arvestatakse tehisaru puudutavate reeglite kavandamisel ja rakendamisel.

See ei ole siiski argument reeglitest loobumiseks. Governance AI raport ise märgib, et uuringu eesmärk on anda infot regulatsiooni kavandamiseks, mitte tõestada, et kõik viivitused on halvad või et kõik regulatiivsed nõuded tuleks kõrvale jätta. Raport käsitleb viivitust kui ühte mõju, mida tuleb kaaluda koos turvalisuse, privaatsuse, autoriõiguste ja konkurentsiga.

Euroopa Parlamendi AI omnibus’e arutelu näitab sama pinget. Parlamendi pressiteate järgi on muudatuste eesmärk toetada ettevõtteid AI Acti täitmisel, kuid säilitada seaduse põhiline riskipõhine ülesehitus. Samas lisati paketiga ka keeld rakendustele, mis loovad nõusolekuta seksuaalse sisuga kujutisi või laste seksuaalse väärkohtlemise materjali.

Euroopa Komisjoni ametlik AI Acti ülevaade rõhutab, et seadus seab nõuded riskipõhiselt: enamik madala riskiga süsteeme ei saa erikohustusi, kuid kõrge riskiga süsteemid, näiteks meditsiinis, värbamises või kriitilises taristus, peavad vastama rangematele nõuetele.

Seega on poliitiline küsimus kitsam kui sageli paistab. Küsimus ei ole ainult selles, kas Euroopa tahab kiiremat tehisarut või tugevamat kaitset. Praktiline küsimus on, kuidas teha reeglid nii selgeks, et ettevõtted ei jätaks Euroopat ettevaatusest kõrvale, kuid kasutajate õigused ei muutuks sisutühjaks.

Eesti lugeja vaade: viivitus tähendab ka konkurentsiriski

Eesti kasutaja jaoks avaldub teema kõige nähtavamalt siis, kui mõni uus funktsioon tuleb USA-s välja, kuid Euroopa kontol seda ei ole. Tavakasutaja jaoks võib see tähendada hilisemat ligipääsu vestlusrobotile, pildi- või videotööriistale, hääleassistendile või mobiiliseadme tehisarufunktsioonile.

Ettevõtte jaoks on mõju tõsisem. Kui USA konkurent saab kasutada uut mudelit kolm kuud varem, võib ta varem testida klienditoe automatiseerimist, sisemist otsingut, tarkvaraarenduse töövooge või andmeanalüüsi. Kui Euroopa ettevõte peab ootama, otsima alternatiive või kasutama piiratud funktsioonidega teenust, võib see mõjutada tootearendust ja kulusid.

Arendajate jaoks on eriti oluline API-ligipääs. Governance AI raporti Claude 3 Opuse näide näitab, et veebirakenduse ligipääs võib viibida, kuid API võib olla samal ajal olemas. Sellisel juhul on mõju tavakasutajale ja arendajale erinev. Eesti ettevõte, kes ehitab oma lahendust API peale, ei pruugi viivitust tunda samamoodi nagu kasutaja, kes ootab veebiliidese funktsiooni.

Avaliku sektori puhul lisandub teine kaalutlus. Eesti riigiasutused ja kohalikud omavalitsused ei saa lihtsalt kasutada kõige uuemat mudelit ainult seetõttu, et see on tehniliselt võimekas. Andmekaitse, infoturve, hankereeglid, logimine, auditijälg ja teenuse asukoht on avalikus sektoris vältimatud küsimused. Seetõttu võib Euroopa aeglasem ja rangem lähenemine mõnes kriitilises kasutusjuhus olla ka praktiline eelis.

Mida see ei tõesta?

Uuring ei tõesta, et GDPR oleks Euroopa tehisaruarengu peamine pidur kõigis olukordades. See mõõdab mudelite ja toodete ligipääsu viivitusi kindlas andmestikus ning tugineb avalikele allikatele, mille põhjal autorid hindasid tõenäolist põhjust. Selline metoodika on paratamatult ebakindel, sest ettevõtted ei avalda alati täpset sisemist otsustusahelat.

Samuti ei tõesta uuring, et Euroopa kasutajad oleksid alati halvemal positsioonil. Mõnel juhul võib hilisem väljalase tähendada, et teenus on paremini lokaliseeritud, õiguslikult selgem või turvalisem. Teisel juhul võib see olla ettevõtte taktikaline surveavaldus regulaatorile.

Raport ütleb ka, et viivitused on aja jooksul vähenenud. Autorid pakuvad ühe võimaliku seletusena, et ettevõtete vastavuskontrolli võimekus on paranenud ja regulaatorid on reegleid täpsustanud.

Kõige olulisem piirang puudutab põhjuslikkust. Kui ettevõte ütleb, et teenus viibib regulatsiooni tõttu, ei tähenda see automaatselt, et seadus otseselt teenust keelas. Mõnikord tähendab see, et ettevõte ei soovi toodet kohandada, ei taha võtta õiguslikku riski või kasutab viivitust läbirääkimispositsioonina.

Mida edasi jälgida?

Esimene asi on AI Acti üldotstarbeliste mudelite rakendamine. Euroopa Komisjoni järgi on GPAI ehk üldotstarbeliste mudelite kohustused juba hakanud kohalduma, kuid nende jõustamise praktiline mõju kujuneb alles välja. Selgust peaksid andma juhised, käitumiskoodeksid ja avaliku kokkuvõtte mallid treeningandmete kohta.

Teine jälgitav teema on andmekaitseasutuste praktika. Kui EL-i asutused annavad mudelite treeningu, õigustatud huvi, kasutajate vastuväidete ja läbipaistvuse kohta selgemaid otsuseid, väheneb ettevõtete õiguslik ebakindlus. Kui otsused jäävad killustatuks või hiljaks, võib ettevaatus jätkuda.

Kolmas teema on multimodaalsed mudelid. Pilt, heli, video ja reaalajas sensorandmed toovad suurema privaatsusriski kui tekst. Kui järgmised teenused liiguvad rohkem seadmetesse, prillidesse, autodesse ja kontoritarkvarasse, muutub isikuandmete küsimus veel teravamaks.

Neljas teema on USA ekspordikontroll ja geopoliitika. Governance AI raport märgib, et 2026. aasta alguses ei olnud avalike mudelite puhul enam EL-i ja Ühendkuningriigi viivitusi, kuid esines valitud partneritele mõeldud ligipääsuprogramme ja USA riikliku julgeoleku kaalutlusi. See tähendab, et Euroopa ligipääsu uusimatele mudelitele ei määra ainult Brüssel.

Kokkuvõte

Governance AI raport annab Euroopa tehisarupoliitika arutelule vajaliku mõõdetava mõõtme. See ei ütle, et andmekaitse oleks vale ega et ettevõtete iga kaebus oleks põhjendatud. Küll aga näitab see, et regulatiivne ebakindlus ja andmekaitse tõlgendused on mõnel juhul mõjutanud seda, millal Euroopa kasutajad ja ettevõtted saavad uusi mudeleid kasutada.

Euroopa valik ei ole lihtne. Liiga pehme regulatsioon võib muuta kasutajate õigused näiliseks ja anda suurtele platvormidele põhjendamatu andme-eelise. Liiga aeglane või ebaselge regulatsioon võib aga jätta Euroopa ettevõtted hilisemateks kasutajateks.

Kõige praktilisem järeldus on, et Euroopa vajab vähem loosungeid ja rohkem täpsust: selgeid juhiseid mudelite treeningandmete, kasutajate õiguste, multimodaalsete teenuste ja arendajaliideste kohta. Ainult nii saab vähendada olukordi, kus ettevõtted peavad Euroopa turgu juriidilise riski tõttu teisejärguliseks.

Korduma kippuvad küsimused

Mis uuring avaldati?

Governance AI avaldas 28. juunil 2026 raporti, mis analüüsis 375 suure keelemudeli ja seotud väljalaske kättesaadavust USA-s, Euroopa Liidus ja Ühendkuningriigis ajavahemikus juuni 2018 kuni mai 2026.

Mis oli uuringu peamine tulemus?

Võrreldes USA-ga viibis või jäi EL-is ära 11 protsenti uuritud mudeliväljalasetest. Ühendkuningriigis oli vastav näitaja 7 protsenti.

Mis oli peamine regulatiivne põhjus?

Raporti järgi oli peamine regulatiivne põhjus andmekaitse, eriti küsimus, kuidas kohaldada GDPR-i isikuandmete kasutamisele suurte keelemudelite treenimisel ja kasutamisel.

Kas AI Act põhjustas need viivitused?

Raport ei leidnud tugevat tõendit, et AI Act oleks uuritud perioodil peamine viivituste põhjus. AI Act jõustus 1. augustil 2024, kuid suur osa selle nõuetest rakendub etapiviisiliselt ning mitme kohustuse praktiline jõustamine jäi uuringuperioodist väljapoole.

Kuidas see Eesti kasutajat mõjutab?

Eesti kasutaja võib saada mõne uue tehisarufunktsiooni hiljem kui USA kasutaja. Ettevõtte jaoks võib see tähendada hilisemat testimist, piiratud funktsioone või vajadust otsida teisi teenusepakkujaid.

Kas Euroopa reeglid on ainult pidur?

Ei. Reeglite eesmärk on kaitsta isikuandmeid, konkurentsi, põhiõigusi ja ohutust. Probleem tekib siis, kui reeglite tõlgendus on ebaselge või kui ettevõtted ei tea, milline andmekasutus on lubatud.

Mida peaks ettevõte tegema?

Ettevõte peaks enne uue mudeli kasutuselevõttu hindama, milliseid andmeid teenusesse sisestatakse, kas kasutatakse EL-i või kolmanda riigi teenusepakkujat, millised on logimise ja treeningandmete kasutamise tingimused ning kas töötajate või klientide isikuandmed võivad sattuda mudeli töötlemisse.

Mida edasi jälgida?

Jälgida tasub AI Acti üldotstarbeliste mudelite juhiseid, Euroopa andmekaitseasutuste otsuseid mudelite treeningandmete kohta, Digital Omnibus’e lõplikku jõustumist ning seda, kas Meta, Apple, Google, OpenAI ja Anthropic toovad uued multimodaalsed funktsioonid EL-i USA-ga samal ajal.