DI aktas Europoje: ką verslas turi žinoti 2026 metais

Sekite TechNaujienos Google

ES Dirbtinio intelekto aktas – Reglamentas (ES) 2024/1689 – sukūrė pirmąjį tokio masto horizontalų dirbtinio intelekto reguliavimo režimą. Jis nustato taisykles DI sistemų tiekėjams, diegėjams, importuotojams, platintojams ir kitiems rinkos dalyviams, o didelės rizikos sistemoms numato gerokai griežtesnius rizikos valdymo, dokumentavimo, žmogaus priežiūros ir atitikties reikalavimus.

Nuo 2026 m. rugpjūčio 2 d. didžioji dalis reglamento jau taikoma. Tą pačią dieną pradėtos taikyti ir svarbios skaidrumo taisyklės, susijusios su pokalbių robotais, DI sugeneruotu ar pakeistu turiniu ir sintetinėmis klastotėmis. Tačiau didelės rizikos DI sistemoms svarbiausi terminai po 2026 m. priimto „AI Omnibus“ buvo nukelti į 2027 ir 2028 metus.

Reglamentas aktualus ne tik ES įsikūrusioms bendrovėms. Jis taikomas tiekėjams, pateikiantiems DI sistemas ar bendrosios paskirties DI modelius ES rinkai, ES įsikūrusiems DI sistemų diegėjams, taip pat tam tikrais atvejais trečiosiose šalyse esantiems tiekėjams ir diegėjams, kai jų DI sistemos rezultatai naudojami Europos Sąjungoje. Tiksli taikymo sritis nustatyta Reglamento (ES) 2024/1689 2 straipsnyje.

Jei įmonė kuria arba naudoja DI, pirmas praktinis žingsnis turėtų būti ne šimtų puslapių dokumentacijos rengimas, o aiškus naudojamų sistemų žemėlapis. Reikia žinoti, kokie DI įrankiai naudojami, kam jie naudojami, kas juos tiekia ir kokius sprendimus ar procesus jie gali paveikti.

Naujausi straipsniai

4 min. skaitymo • prieš 2 d.

Šimtamečių kraujyje – išskirtinis radinys: jis gali padėti suprasti ilgaamžiškumo paslaptį

5 min. skaitymo • prieš 3 d.

Analitikai „SpaceX“ prognozuoja „kosminį“ augimą: E. Muskas sako, kad jis bus dar didesnis

4 min. skaitymo • prieš 3 d.

Dirbtinis intelektas „užkariavo“ internetą: atskleista, kiek to, ką skaitome, jau gali būti sukurta DI

Visi naujausi straipsniai →

Ką ES DI aktas reiškia verslui 2026 metais

Pradėti galima nuo kelių klausimų: kokias DI sistemas organizacija naudoja, ar kuri nors jų gali būti laikoma didelės rizikos sistema ir kokį vaidmenį pagal reglamentą atlieka pati įmonė.

Kam taikomas DI aktas

Reglamentas DI sistemą apibrėžia kaip mašina pagrįstą sistemą, galinčią veikti skirtingais autonomiškumo lygiais ir iš gaunamų įvesties duomenų daryti išvadas, kad sugeneruotų prognozes, turinį, rekomendacijas ar sprendimus, galinčius paveikti fizinę arba virtualią aplinką.

Tai svarbus niuansas: vien tai, kad programinė įranga naudoja algoritmą, dar savaime nereiškia, kad kiekviena jos funkcija patenka į DI akto reguliavimą.

Reglamentas skiria kelis pagrindinius rinkos dalyvių vaidmenis. Tiekėjas kuria DI sistemą ar bendrosios paskirties DI modelį arba užsako jo sukūrimą ir pateikia jį rinkai ar pradeda naudoti savo vardu. Diegėjas DI sistemą naudoja savo veikloje. Importuotojas į ES rinką pateikia trečiojoje šalyje įsikūrusio subjekto DI sistemą, o platintojas ją tiekia rinkoje, pats nebūdamas tiekėju ar importuotoju.

Vaidmuo nėra tik formalumas. Pavyzdžiui, įmonė, kuri iš esmės pakeičia didelės rizikos sistemą arba pakeičia jos numatytą paskirtį taip, kad sistema tampa didelės rizikos, tam tikrais atvejais pati gali būti laikoma tiekėju.

Bendrosios paskirties DI modeliams, vadinamiesiems GPAI, taikomas atskiras reglamentavimo sluoksnis. Čia patenka modeliai, gebantys atlikti daug skirtingų užduočių ir būti integruojami į įvairias sistemas. Praktinių paaiškinimų apie reglamento taikymą galima rasti Europos Komisijos AI Act Service Desk.

Keturios rizikos pakopos

DI aktas paremtas rizika grįstu principu: kuo didesnę potencialią žalą žmogaus sveikatai, saugai ar pagrindinėms teisėms gali sukelti sistema, tuo griežtesni reikalavimai.

Svarbiausia vertinti ne technologijos pavadinimą, o jos paskirtį. Tas pats bazinis modelis gali būti naudojamas paprastam teksto apibendrinimui ir sistemai, padedančiai priimti sprendimus dėl darbuotojo įdarbinimo. Reguliacinė rizika šiais dviem atvejais bus visiškai skirtinga.

Be to, net ir į III priedo sritį patenkanti sistema ne visada automatiškai laikoma didelės rizikos. Reglamentas numato išimtis sistemoms, kurios neatlieka reikšmingo vaidmens priimant sprendimus ar vykdo tik siaurą procedūrinę ar parengiamąją užduotį. Tačiau tokį sprendimą tiekėjas turi gebėti pagrįsti ir dokumentuoti.

Iliustracija: DI rizikos kategorijų vertinimas

Ką turės užtikrinti didelės rizikos DI sistemų tiekėjai

Didelės rizikos sistemų reguliavimas yra viena sudėtingiausių DI akto dalių. Tiekėjams numatyti reikalavimai apima nuolatinę rizikos valdymo sistemą, duomenų valdymą, techninę dokumentaciją, įvykių registravimą, žmogaus priežiūrą, tikslumą, atsparumą ir kibernetinį saugumą.

Duomenys, naudojami sistemos mokymui, validavimui ir testavimui, turi būti tinkami konkrečiai paskirčiai. Kai tai aktualu, jie turi būti pakankamai reprezentatyvūs ir sudaryti taip, kad būtų mažinama diskriminacinių ar sistemingai iškreiptų rezultatų rizika.

Tiekėjas taip pat turi parengti techninę dokumentaciją, leidžiančią kompetentingoms institucijoms įvertinti sistemos atitiktį. Priklausomai nuo sistemos kategorijos taikoma atitinkama atitikties vertinimo procedūra, o reglamente numatytais atvejais naudojamas CE ženklinimas.

Svarbus skirtumas tas, kad ne kiekvienai III priedo sistemai reikės išorinio notifikuotosios įstaigos audito. Daliai tokių sistemų reglamentas numato vidaus kontrolės pagrindu atliekamą atitikties vertinimą.

Pareigų turi ir diegėjai. Didelės rizikos sistemą naudojanti organizacija privalo vadovautis naudojimo instrukcijomis, stebėti jos veikimą ir užtikrinti tinkamą žmogaus priežiūrą. Jeigu organizacija kontroliuoja į sistemą pateikiamus duomenis, jie turi būti aktualūs ir pakankamai reprezentatyvūs numatytai paskirčiai.

Tam tikrais atvejais atsiranda ir papildomų pareigų. Pavyzdžiui, naudojant didelės rizikos DI darbo vietoje gali reikėti iš anksto informuoti darbuotojus ir jų atstovus, o kai sistema naudojama priimant ar padedant priimti sprendimą apie konkretų žmogų, tas žmogus turi būti informuojamas apie DI sistemos naudojimą.

Kas jau galioja ir kas dar laukia

DI aktas įsigaliojo 2024 m. rugpjūčio 1 d., tačiau jo nuostatos pradėtos taikyti etapais. 2026 m. priimtas „AI Omnibus“ pakeitė dalį pradinio tvarkaraščio, todėl senesniuose straipsniuose nurodomos datos jau gali būti netikslios.

Todėl 2026 metais nebetikslu sakyti, kad verslas tik „laukia DI akto“. Didelė jo dalis jau veikia. Laukiama daugiausia vėlesnio didelės rizikos sistemų režimo įsigaliojimo.

Ypač aktualios nuo 2026 m. rugpjūčio 2 d. taikomos skaidrumo taisyklės. Pavyzdžiui, žmogus turi būti informuojamas, kai tiesiogiai bendrauja su DI sistema, nebent tai akivaizdu iš aplinkybių. DI sugeneruoto ar manipuliuoto vaizdo, garso, vaizdo įrašų ir tam tikro tekstinio turinio atvejais taip pat numatyti žymėjimo bei atskleidimo reikalavimai.

Kas prižiūri DI akto vykdymą Lietuvoje

DI akto priežiūra vykdoma tiek Europos Sąjungos, tiek nacionaliniu lygmeniu.

Europos Komisijos DI biuras, arba AI Office, atlieka svarbų vaidmenį prižiūrint bendrosios paskirties DI modelius ir koordinuojant reglamento įgyvendinimą ES mastu. Tačiau didelę dalį konkrečių DI sistemų priežiūros vykdo nacionalinės rinkos priežiūros institucijos.

Lietuvoje Ryšių reguliavimo tarnyba nuo 2025 m. balandžio 1 d. yra paskirta nacionaline kompetentinga rinkos priežiūros institucija ir bendruoju kontaktiniu punktu DI akto klausimais. RRT nurodo, kad Inovacijų agentūra atlieka notifikuojančiosios institucijos funkciją, susijusią su atitikties vertinimo įstaigomis.

RRT, kaip rinkos priežiūros institucija, prižiūri sistemas po jų pateikimo rinkai, bendradarbiauja su kitų ES valstybių institucijomis ir Europos Komisija bei teikia informaciją rinkos dalyviams apie DI akto reikalavimus. Atskirose srityse kompetenciją gali turėti ir kitos institucijos.

Kokios baudos numatytos

Didžiausios DI akto sankcijos numatytos už draudžiamų DI praktikų pažeidimus. Tokiais atvejais administracinė bauda gali siekti iki 35 mln. eurų arba įmonei – iki 7 proc. ankstesnių finansinių metų bendros pasaulinės metinės apyvartos.

Už kitų svarbių pareigų, įskaitant tiekėjams, importuotojams, platintojams, diegėjams ir skaidrumo reikalavimams nustatytas pareigas, nesilaikymą maksimali bauda gali siekti 15 mln. eurų arba iki 3 proc. pasaulinės metinės apyvartos.

Už neteisingos, neišsamios ar klaidinančios informacijos pateikimą kompetentingoms institucijoms gali būti skiriama iki 7,5 mln. eurų arba iki 1 proc. pasaulinės metinės apyvartos siekianti bauda.

Reglamente numatytas proporcingumo principas. Mažosioms ir vidutinėms įmonėms taikoma taisyklė, pagal kurią atitinkamais atvejais pasirenkama mažesnė iš nustatytos fiksuotos sumos ir apyvartos procento ribų.

Ką verslas turėtų padaryti dabar

Didžiausia klaida būtų vertinti DI akto laikymąsi kaip vienkartinį teisinį projektą. Įmonė gali šiandien naudoti penkis DI įrankius, o po pusmečio – penkiolika. Naujos sistemos atsiranda rinkodaros, klientų aptarnavimo, personalo, finansų, saugumo ir kitose komandose, dažnai net be centralizuoto sprendimo jas diegti.

Todėl praktiškiausias pasirengimo modelis yra nuolat atnaujinamas organizacijos DI sistemų registras.

1. Inventorizuokite naudojamas DI sistemas. Įtraukite ne tik įmonės kuriamus sprendimus, bet ir darbuotojų naudojamas trečiųjų šalių platformas bei DI funkcijas kitose programose.
2. Užrašykite kiekvienos sistemos paskirtį. Svarbu ne tik tai, kokį modelį ji naudoja, bet ir kokį realų sprendimą, procesą ar žmogų jos rezultatai gali paveikti.
3. Nustatykite savo vaidmenį. Patikrinkite, ar konkrečiu atveju įmonė yra tiekėjas, diegėjas, importuotojas, platintojas ar atlieka kelis vaidmenis vienu metu.
4. Įvertinkite rizikos kategoriją. Ypatingą dėmesį skirkite personalo atrankai, švietimui, biometrikai, kreditingumui, prieigai prie esminių paslaugų ir kitoms III priede nurodytoms sritims.
5. Patikrinkite jau galiojančius skaidrumo reikalavimus. Nuo 2026 m. rugpjūčio 2 d. nebepakanka ruoštis vien būsimiems didelės rizikos reikalavimams – dalis pareigų jau turi būti vykdoma.
6. Didelės rizikos sistemoms dokumentaciją pradėkite rengti iš anksto. Rizikos valdymas, techninė dokumentacija, testavimo rezultatai ir žmogaus priežiūros procesai neturėtų būti kuriami paskutinę savaitę prieš įsigaliojant reikalavimams.
7. Sudėtingais atvejais pasitelkite specialistus. Teisinė ar techninė ekspertizė ypač svarbi, kai DI sistema naudojama keliose jurisdikcijose, integruoja trečiųjų šalių GPAI modelius arba daro reikšmingą poveikį žmonėms.

Svarbiausias praktinis principas paprastas: pirmiausia reikia suprasti, kokį DI organizacija iš tikrųjų naudoja. Tik tada galima racionaliai spręsti, kurioms sistemoms pakanka kelių skaidrumo veiksmų, o kurioms reikės rimtos atitikties programos.

Daugeliui mažų ir vidutinių įmonių inventorizacija gali parodyti, kad didžioji dalis jų naudojamų DI įrankių nepatenka į griežčiausiai reguliuojamą kategoriją. Kita vertus, viena iš pirmo žvilgsnio nekalta sistema, naudojama darbuotojų atrankai, klientų vertinimui ar kitam jautriam sprendimui, gali iš esmės pakeisti rizikos profilį.

Praktinių pavyzdžių apie DI diegimą verslo ir skaitmeninės rinkodaros procesuose galima rasti ir DMNT straipsniuose.

DI aktas todėl nėra vien „dar vienas BDAR“. Verslui svarbiausia ne sukaupti kuo daugiau dokumentų, o gebėti atsakyti į keturis paprastus klausimus: kokią sistemą naudojame, kam ją naudojame, kokį vaidmenį atliekame ir kokios pareigos dėl to atsiranda.

Šaltiniai

Reglamento (ES) 2024/1689 konsoliduota redakcija po 2026 m. pakeitimų – EUR-Lex

AI Act – Europos Komisija

AI Omnibus įsigaliojimas – Europos Komisija

DI akto skaidrumo reikalavimų gairės – Europos Komisija

DI reguliavimas Lietuvoje – Ryšių reguliavimo tarnyba

AI Act Service Desk