Pärna ja Toomela: pealtnäha tavaline tarkvara võib samuti vajada ekspordiluba

Kujutame ette olukorda, kus Eesti tehnoloogiaettevõte arendab tehisintellektil põhinevat pildituvastustarkvara. Algselt tööstusseadmete jälgimiseks loodud lahendust saab kasutada ka droonidel objektide tuvastamiseks. Äriühing sõlmib lepingu väljaspool Euroopa Liitu asuva kliendiga ja annab talle ligipääsu tarkvara lähtekoodile. Kas tegemist on tavapärase tarkvarateenuse ekspordiga või võib tehing kuuluda hoopis strateegilise kauba ekspordikontrolli alla?

Traditsioonilise sõjapidamise muudatustest

Selline lugu ei ole enam kauge mõtteharjutus. Veel hiljaaegu mõõdeti sõjalist jõudu tankide ja suurtükkide arvu järgi, kuid sõda Ukrainas on näidanud, et relvade kõrval on üha olulisemaks muutunud tarkvara, andmed ja arvutusvõimsus. Eesti ei ole olnud suur relvatootja, ent meie tugevused, nagu tarkvaraarendus, küberturvalisus ja droonid, on valdkonnad, mille järele on kaitsevaldkonnas praegu suur nõudlus. Neid otsib aktiivselt ka NATO innovatsioonikiirendi DIANA, kuhu on tihedas konkurentsis pääsenud ka Eesti ettevõtted. Paljud Eesti IT-ettevõtted ei pruugi end siiski kaitsetööstuse osana näha, sest nende tarkvara on mõeldud näiteks tehastele, logistikale või pankadele. Ekspordipiirangute kohaldumine sõltub aga eelkõige sellest, mida tarkvara suudab teha, kellele seda müüakse ja milleks seda lõpuks kasutatakse.

Välisministeeriumi 2026. aasta juunis avaldatud ülevaate kohaselt kasvas Eestis 2025. aastal ettevõtete päringute arv strateegiliste kaupade määratlemise kohta ning seda eriti tarkvara puhul. Samal aastal väljastas strateegilise kauba komisjon pea poole võrra rohkem lubasid kui aasta varem. Strateegilise kauba seaduse rikkumistega seoses alustati ka kaheksa kriminaalmenetlust. Kuigi need arvud ei puuduta üksnes tarkvara, siis ilmestavad arvud ekspordikontrolli aktuaalsust. Seega on asjakohane küsida, millal võib tavapärane tehnoloogiline lahendus osutuda strateegiliseks kaubaks.

Tarkvara võib olla strateegiline kaup ka sõjalise kasutusotstarbeta

Esmalt tasub sisse vaadata ELi kahese kasutusega kaupade määrusesse. Selle kontrollnimekirja on kantud ka teatud tarkvara ja tehnoloogia, mida saab kasutada nii tsiviil- kui ka sõjalisel otstarbel, näiteks osa infoturbetarkvarast, sensoritest ja navigatsioonisüsteemidest. Spetsiaalselt sõjaliseks otstarbeks loodud või kohandatud tarkvarale kehtib aga eraldi sõjaliste kaupade kontroll. See tähendab, et relvade, laskemoona ja muu sõjavarustuse kõrval võib ekspordiluba vajada ka tarkvara, mis on mõeldud näiteks relvasüsteemide juhtimiseks, sõjalisel otstarbel droonide tööks või sõjavarustuse arendamiseks. Eestis reguleerib seda strateegilise kauba seadus ning kontrollitavate kaupade loetelu tugineb ELi ühisele sõjaliste kaupade nimekirjale.

Kontrollnimekiri ei ole siiski ainus, millega arvestada. Ka nimekirjavälise toote puhul võivad tehingut piirata või koguni keelata sanktsioonid, mis puudutavad nii tarkvara, tehnoloogia kui ka teenuste pakkumist. Siin on toote tehnilistest omadustest olulisem see, kuhu ja kellele see läheb ning milleks seda kasutatakse. Teisalt ei tee üksnes sõjalise kasutuse võimalus tarkvarast veel strateegilist kaupa, sest kontrolli alla jääb vaid osa tehisintellekti mudelitest, algoritmidest ja lähtekoodist. Määrav on see, mida tarkvara tegelikult teeb ja kas see vastab kontrollnimekirjas sätestatud tehnilistele tingimustele.

Eksport võib toimuda ka ühe klõpsuga

Eksport ei tähenda üksnes kauba füüsilist väljaviimist. Ekspordiks loetakse ka tarkvara või tehnoloogia elektroonilist edastamist väljapoole EL-i ning selle kättesaadavaks tegemist EL-ist väljaspool asuvale isikule. Kontrollitava tarkvara puhul võib piisata sellest, kui kolmandas riigis asuv koostööpartner saab ligipääsu koodihoidlale, temaga jagatakse tehisintellekti mudelit, tarkvara tehakse talle pilves kättesaadavaks või tehniline dokumentatsioon saadetakse e-kirjaga. Ettevõtte jaoks on see tavaline arendustöö või rahvusvaheline koostöö, õiguslikult võib see aga olla eksport.

Loomulikult ei vaja ekspordiluba iga GitHubi koodihoidlale ligipääsu andmine või pilveteenuse kasutamine. Sellisel juhul osutub määravaks just see, millise tarkvaraga on tegu, kellele see kättesaadavaks tehakse ja kuhu see liigub. Need asjaolud tasub välja selgitada enne tehnoloogilise lahenduse jagamist. Artikli alguses kirjeldatud äriühing peaks seega enne kliendile lähtekoodi avamist kontrollima, kas tema pildituvastustarkvara tehnilised omadused vastavad mõnele kontrollnimekirjas kirjeldatud kaubale. Kui ei vasta, ei ole luba üldjuhul vaja, välja arvatud sanktsioonide ja allpool kirjeldatud erijuhtude korral.

Ka n-ö nimekirjaväline tarkvara võib vajada luba

Paljud ettevõtted kontrollivad oma toodet kontrollnimekirja järgi ja kui seda sealt ei leia, peavad küsimust lahendatuks. Sellest ei pruugi aga piisata, kuivõrd nn üldklausli (ingl catch-all) alusel võib luba vaja minna ka tarkvarale, mida kontrollnimekirjas ei ole. Otsustav on siin see, milleks ja kus tarkvara kasutama hakatakse. Kui ametiasutus teatab ettevõttele, et toodet võidakse kasutada sõjalisel otstarbel riigis, kuhu EL on relvade müügi keelanud, on ekspordiks tarvis luba. Kui ettevõte saab sellisest kasutusest ise teada, peab ta asutust teavitama ja asutus otsustab, kas luba on vaja. Lihtsustatult meie eelnevalt jagatud näitesse panduna tähendab eeltoodu, et kui klient kavatseb pildituvastustarkvara paigaldada sellise riigi sõjaväe droonidele, ei ole tegemist enam tavalise tarkvara müügiga, vaid tehinguga, mis võib vajada ekspordiluba.

Eraldi reeglid kehtivad ka nn küberseire toodetele ehk lahendustele, mis on mõeldud just inimeste salajaseks jälgimiseks ja mida võidakse kasutada siserepressioonideks või rasketeks inimõiguste rikkumisteks (nt nuhkvarale). Eelnevalt toodud näites kasutatud pildituvastustarkvara ei kuulu nende alla tõenäoliselt, kuid kui klient soovib lahendust kasutada inimeste jälitamiseks, tasub ka selle võimalusega arvestada. Seetõttu tuleb lisaks kontrollnimekirjale hinnata tarkvara tegelikku kasutusotstarvet, lõppkasutajat ja sihtriiki.

Viis küsimust enne lepingu sõlmimist

Meie näites oleva äriühingu juhatuse liikmel tasuks enne lepingu sõlmimist endalt küsida viit asja. Esiteks, mida me tegelikult müüme ja kas see võib olla kontrollnimekirjas. Sellele ei saa vastata kõhutunde järgi, vaja on tehnilist analüüsi. Teiseks, kes on lõppkasutaja. Otsest klienti tundes ei pruugi veel teada, kes tarkvara lõpuks kasutab. Kolmandaks, milleks seda kasutatakse, sest tehastele loodud lahendus võib jõuda lahinguväljale. Neljandaks, kuhu tarkvara liigub ja kellel on ligipääs lähtekoodile. Viiendaks, kes ettevõttes nende küsimuste eest vastutab.

Viimane küsimus on oluline, sest eksimuse hind võib olla kõrge. 2024. aastal võttis EL vastu direktiivi, mis kohustab liikmesriike sanktsioonirikkumisi kriminaalkorras karistama. Äriühingute puhul peab raskemate rikkumiste eest ette nähtud rahalise karistuse ülemmäär ulatuma vähemalt 5%-ni üleilmsest käibest või 40 miljoni euroni. Teatud sõjaliste kaupade ja kontrollnimekirjas olevate kahese kasutusega kaupadega seotud rikkumiste eest peab saama karistada ka raske hooletuse korral. Seejuures puudutab direktiiv sanktsioonide rikkumist ega hõlma kõiki ekspordikontrolli rikkumisi, mille eest vastutus tuleneb Eesti õigusest. Lisaks karistusele võivad rikkumisega kaasneda katkenud ärisuhted, piiratud ekspordivõimalused ja mainekahju.

Seega kokkuvõtteks on oluline mõista, et ekspordikontrolli kohaldumist ei määra see, kuidas ettevõte ennast määratleb, vaid see, millist tehnoloogiat ta arendab, kellele seda pakub ja milleks seda kasutatakse. Seetõttu ei tohiks ekspordikontroll olla küsimus, millega tegeletakse alles siis, kui tehing on sõlmitud. Sellele tuleks mõelda juba enne uuele turule sisenemist või tehnoloogia välispartnerile kättesaadavaks tegemist.

Artikkel avaldati esmakordselt aripaev.ee