ES DI aktas keičia verslo atsakomybę: klaidos gali kainuoti dešimtis milijonų eurų

2024 m. rugpjūtį įsigaliojęs Europos Sąjungos (ES) dirbtinio intelekto (DI) aktas, kuris įgyvendinamas etapais, įvedė naują teisinę realybę – jis taikomas ne tik toms įmonėms, kurios kuria, bet ir toms, kurios diegia ar naudoja DI sprendimus. Verslams labai svarbu būti budriems bei pasiruošusiems, nes tai nėra tik rekomendacinio pobūdžio dokumentas. Nežinojimas ir klaidos gali kainuoti brangiai – už tam tikrus pažeidimus gali būti skiriamos baudos iki 35 mln. eurų arba iki 7 proc. visos įmonės ar įmonių grupės metinės apyvartos.

Reklama

„Europos Parlamentas (EP) ir ES Taryba DI aktą galutinai priėmė 2024 m. pavasarį, o jis oficialiai įsigaliojo 2024 m. rugpjūčio 1 d. Nuo šios datos aktas pradėtas taikyti etapais, kad verslai turėtų laiko pasirengti.

Skirtingai nei direktyvos, kurios turi būti perkeliamos į valstybių narių nacionalinę teisę, ES DI aktas yra reglamentas, todėl taikomas tiesiogiai visose valstybėse narėse be papildomų perkėlimo procedūrų“, – teigia advokatų kontoros „CEE Attorneys“ vykdomasis vadovas Lietuvoje Paulius Sartatavičius.

Ekspertas papildo, kad pirmasis DI akto taikymo etapas prasidėjo po šešių mėnesių nuo oficialaus įsigaliojimo – 2025 m. vasarį. Tuomet įsigaliojo visiškas draudimas taikyti vadinamąsias nepriimtinos rizikos DI praktikas. Tai apima socialinį žmonių reitingavimą pagal elgesį ar reputaciją, biometrinį stebėjimą realiuoju laiku viešose vietose be aiškaus teisinio pagrindo, manipuliaciją žmogaus pasąmonės lygiu ar nukreiptą poveikį pažeidžiamoms grupėms (pvz., vaikams). Šios praktikos laikomos nesuderinamomis su žmogaus teisėmis ir yra visiškai uždraustos.

Antrasis etapas prasidėjo po dvylikos mėnesių – nuo 2025 m. rugpjūčio pradėjo galioti akte numatytos sankcijos, bei įsigaliojo nuostatos dėl valdymo Sąjungos lygiu, t.y. atitinkamų organų įsteigimo Sąjungos lygmenyje ir nacionalinių priežiūros ir notifikavimo organų skyrimo.

Nuo 2026 m. rugpjūčio mėn. įsigalios skaidrumo reikalavimai tam tikroms dirbtinio intelekto sistemoms, nustatant pareigą aiškiai informuoti vartotoją, kai jis bendrauja su DI, o ne žmogumi. Taip pat, kai turinys yra generuotas DI algoritmų (pvz., generuotas tekstas ar vaizdas) jis turi būti atitinkamai pažymėtas. Tikslas – užkirsti kelią klaidinimui ir užtikrinti pasitikėjimą technologijomis.

Nuo 2026–2027 m. bus taikomos visos atitikties prievolės didelės rizikos DI sistemoms. Tai sistemos, galinčios turėti poveikį žmogaus teisėms ar sprendimams dėl darbo, kredito suteikimo, sveikatos, švietimo ar valstybinių paslaugų. Tokios sistemos nebus draudžiamos, tačiau jų naudojimas bus griežtai reglamentuojamas: reikės užtikrinti žmogaus priežiūrą, dokumentuoti algoritmo veikimą, naudotus duomenis, kaupti veiklos įrašus ir gebėti paaiškinti priimtus sprendimus.

Milijonus eurų siekiančios baudos

ES siekia užtikrinti, kad dirbtinis intelektas būtų kuriamas ir naudojamas atsakingai, todėl DI akte nustatyta aiški ir griežta sankcijų sistema. Baudos skiriamos pagal pažeidimo rimtumą – nuo visiškai uždraustų DI praktikų iki procedūrinių pareigų nesilaikymo.

Reklama

„Pirma kategorija – uždraustos DI praktikos. Tai rimčiausi pažeidimai, kai DI naudojamas taip, kad kelia grėsmę žmogaus teisėms, orumui ar demokratijai. Kaip jau minėjau anksčiau – socialinis žmonių reitingavimas, manipuliacija elgesiu, biometrinis sekimas viešose vietose be teisinio pagrindo. Už tokius pažeidimus gali būti skiriama net iki 35 mln. eurų arba iki 7 proc. įmonės metinės apyvartos baudos.

Antra kategorija – didelės rizikos DI sistemų reikalavimų nesilaikymas. Tai atvejai, kai DI nėra draudžiamas, tačiau įmonė nevykdo teisinių prievolių (neužtikrina žmogaus priežiūros, skaidrumo, duomenų kokybės, rizikos vertinimo ar neatlieka būtinos dokumentacijos). Tokiu atveju gali būti skiriama iki 15 mln. eurų arba iki 3 proc. metinės apyvartos siekianti bauda.

Trečia kategorija – procedūriniai pažeidimai. Jeigu įmonė pateikia klaidingą informaciją priežiūros institucijoms, nuslepia duomenis arba neteikia privalomų dokumentų, gali būti skiriama iki 7,5 mln. eurų arba iki 1 proc. apyvartos siekianti bauda“, – sako P. Sartatavičius.

Taip pat gali būti skiriamos ir kitokios – mažesnės baudos, ypač jei nustatomi pavieniai arba mažą poveikį turintys pažeidimai, tokie kaip nepranešimas apie naudojamos DI sistemos pakeitimus, pavėluotas informacijos teikimas priežiūros institucijai ar nepilna techninė dokumentacija. Tiesa, net ir tokios sumos gali būti reikšmingos vidutinėms ar mažesnėms įmonėms. Kiekvienu individualiu atveju nacionalinė atsakinga institucija ar teismas nagrinėjantis pažeidimą baudą skirtų atsižvelgiant į visas susijusias aplinkybes. ES reguliavimas „ChatGPT“ ir visam dirbtiniam intelektui

Kodėl aktualu Lietuvos verslui ir ką jam būtina atlikti jau dabar?

DI jau naudojamas tiek tarptautinėse, tiek Lietuvos įmonėse atrenkant kandidatus į darbo vietas, vertinant klientų kreditingumą, skirstant draudimo rizikas, valdant tiekimo grandines, optimizuojant gamybos procesus ar generuojant personalizuotus pasiūlymus elektroninėse parduotuvėse. Tai reiškia, kad DI aktas yra aktualus ne tik technologijų įmonėms, tačiau ir bet kuriam verslui, kuris automatizuoja sprendimus ar duomenų analizę – nuo logistikos ir finansų iki mažmeninės prekybos ar sveikatos paslaugų.

Pasak „CEE Attorneys“ vykdomojo vadovo, pirmas žingsnis, kurį jau dabar gali atlikti kiekviena DI savo veikloje naudojanti įmonė – inventorizuoti visus DI sprendimus. Tai gali būti personalo atrankos platformos, kreditingumo vertinimo algoritmai, klientų elgsenos analizės įrankiai, pokalbių robotai, automatinės rekomendacijų sistemos ir pan. Atlikus šį žingsnį, įmonė galės nustatyti, ar jai taikomi DI akto reikalavimai ir ar sistema nepatenka į didelės rizikos kategoriją.

Nekilnojamas turtas Ispanijoje Almerija, kaip įsigyti?

Antras žingsnis – įvertinti kiekvienos DI sistemos rizikos lygį pagal DI akto klasifikaciją. Jeigu sistema priskiriama didelės rizikos grupei, įmonei atsiranda pareiga dokumentuoti DI veikimą, užtikrinti naudotų duomenų kokybę, atlikti poveikio vertinimą žmogaus teisėms ir užtikrinti žmogaus priežiūrą. Trečias svarbus aspektas – atsakomybės paskirstymas. Tai reiškia, kad negalima remtis vien DI sistemos tiekėjo pažadais – verslas privalo įsitikinti, kad tiekėjo sprendimas atitinka DI akto reikalavimus ir turi reikiamus atitikties dokumentus (pvz., techninę dokumentaciją, rizikos vertinimą).

„Kiekvienam Lietuvos verslui, naudojančiam DI savo veikloje, svarbu suprasti, kad DI aktas nėra vien naujas teisinis dokumentas – jis aiškiai signalizuoja, jog DI naudojimas tampa reguliuojama ir atsakinga veikla, panašiai kaip finansų valdymas ar duomenų apsauga. Įsigaliojo DI aktas

Įmonės, kurios DI traktuoja tik kaip technologinį įrankį, rizikuoja susidurti su baudomis, teismais ir reputacijos praradimu. Tuo tarpu verslai, kurie laiku pasiruoš ir diegs skaidrius, dokumentuotus ir etiškus DI sprendimus, įgis konkurencinį pranašumą – jų naudojamas DI taps ne rizikos šaltiniu, o augimo varikliu“, – teigia P. Sartatavičius.

Ar jūsų įmonės skaitmeninės paslaugos pritaikytos žmonėms su negalia?