ES DI aktas (AI Act): ką turi žinoti Lietuvos verslas

ES DI aktas (angl. EU AI Act) yra pirmasis pasaulyje visa apimantis teisės aktas, kuris reguliuoja dirbtinio intelekto sistemų kūrimą, pardavimą ir naudojimą Europos Sąjungoje – ir jis tiesiogiai liečia kiekvieną Lietuvos įmonę, kuri naudoja ar planuoja naudoti DI sprendimus versle.

Kada aktas įsigaliojo ir kaip jis veikia

Kaip nurodoma 15min publikacijoje „ES ir JAV priešprieša skaitmeninių technologijų srityje", 2024 m. rugpjūčio 1 d. įsigaliojęs ES Dirbtinio intelekto aktas yra pirmasis DI sritį reguliuojantis teisės aktas pasaulyje, nustatantis, kaip DI sistemos gali būti parduodamos ir taikomos ES. Svarbu suprasti, kad aktas neįsigalioja visas iškart – kai kurios jo normos taikomos laipsniškai per nustatytą laiką, siekiantį iki 36 mėnesių nuo įsigaliojimo datos. Tai reiškia, kad Lietuvos įmonėms atitikties reikalavimai atsiranda etapais, o ne vienu momentu.

Kodėl aktas svarbus net ir mažai įmonei

Nors DI aktas formaliai galioja tik ES teritorijoje, jo poveikis siekia toliau – jis gali turėti reikšmingų pasekmių tarptautinėms įmonėms, planuojančioms plėstis Europoje. Lietuvos verslui tai reiškia dvejopą efektą: viena vertus, vietinės įmonės, naudojančios DI, patenka į reguliavimo lauką tiesiogiai; kita vertus, tos, kurios dirba su ES ar tarptautiniais partneriais, susiduria su reikalavimu, kad jų DI sprendimai atitiktų šiuos standartus, net jei pati įmonė nėra didelė.

Ką aktas draudžia ir riboja

DI aktas draudžia diegti, naudoti ar pateikti rinkai dirbtinio intelekto sistemas, keliančias nepriimtiną riziką. Tokios sistemos laikomos nesuderinamomis su ES vertybėmis ir pagrindinėmis teisėmis, įskaitant privatumą ir nediskriminavimą, išskyrus griežtai apibrėžtus teisėtus atvejus, kai valstybės institucijos gali prieiti prie asmeninių duomenų.

Praktiškai tai reiškia, kad įmonėms, diegiančioms DI sprendimus, svarbu iš anksto įvertinti:

• Ar naudojamas DI įrankis patenka į aukštos rizikos kategoriją (pvz., naudojamas personalo atrankai, kreditingumo vertinimui ar panašiems sprendimams, turintiems tiesioginį poveikį žmonėms).
• Ar duomenys, kuriais grindžiamas DI sprendimas, tvarkomi skaidriai ir be diskriminacinio poveikio.
• Ar įmonė gali paaiškinti, kaip DI sistema priima sprendimus, jei to pareikalaus priežiūros institucija.

Platesnis reguliavimo kontekstas

DI aktas neveikia izoliuotai – jis papildo jau egzistuojančią ES skaitmeninio reguliavimo sistemą, tarp jų Bendrąjį duomenų apsaugos reglamentą (BDAR), už kurio pažeidimus įmonėms gali būti skirtos baudos, siekiančios iki 4 proc. jų pasaulinių metinių pajamų. Ši sistema rodo bendrą ES kryptį: griežtas skaitmeninis reguliavimas, kurio pavyzdžiu vis dažniau seka ir kitos šalys. Lietuvos verslui tai reiškia, kad DI atitikties klausimas ateityje taps ne išimtimi, o standartine verslo praktikos dalimi, panašiai kaip šiandien yra su BDAR.

Kaip tai atrodo praktiškai

Įsivaizduokime Vilniaus personalo atrankos įmonę, kuri naudoja DI įrankį kandidatų CV pirminiam atrankos filtravimui. Toks naudojimo atvejis gali patekti į aukštos rizikos kategoriją, nes sprendimas tiesiogiai veikia žmonių galimybes gauti darbą, todėl įmonei būtina užtikrinti, kad procesas būtų skaidrus ir paaiškinamas. Kitas pavyzdys – rinkodaros agentūra, naudojanti DI tik teksto juodraščiams rengti; tokiam atvejui rizikos lygis kur kas žemesnis, o atitikties reikalavimai paprastesni. Skirtumas tarp šių dviejų situacijų parodo, kodėl svarbu ne tik žinoti, kad AI Act egzistuoja, bet ir konkrečiai įvertinti, į kurią rizikos kategoriją patenka kiekvienas įmonės naudojamas DI sprendimas.

Kaip įmonei pasiruošti praktiškai

Vietoj to, kad laukti, kol visos normos įsigalios, protingiausia strategija – pradėti vertinti riziką jau dabar:

• Susidaryti sąrašą visų DI įrankių, kuriuos įmonė šiuo metu naudoja ar planuoja diegti.
• Įvertinti, kurie iš jų gali patekti į didesnės rizikos kategoriją pagal akto apibrėžimus.
• Susieti DI diegimo procesą su aiškia dokumentacija – tai palengvins atitikties įrodymą, jei jos prireiks.

Kada verta pasikonsultuoti su specialistu

Jei įmonė naudoja DI sprendimus, susijusius su žmonių atranka, kreditingumo vertinimu, sveikatos duomenimis ar kitomis jautriomis sritimis, savarankiškas atitikties vertinimas gali būti nepakankamas – šiose srityse rizika klaidai yra didžiausia, o pasekmės, nesilaikant reikalavimų, gali būti reikšmingos. Tokiais atvejais protingiau iš anksto pasitikrinti situaciją su specialistu, nei rizikuoti pažeidimu, kurį pastebėti tektų jau po to, kai sprendimas veikia realiai.

Ką iš to pasiimti

ES DI aktas nėra vien teisininkų reikalas – tai tiesioginis veiksnys, kuris jau dabar formuoja, kaip Lietuvos įmonės gali diegti dirbtinį intelektą ir kokios rizikos joms tenka. Padedame įmonėms įvertinti, kur jų DI naudojimas gali kelti reguliacinę riziką, per AI auditą, ir suformuoti ilgalaikę, atitiktimi grįstą DI strategiją kaip AI partneris. Konsultacija nemokama – susisiekite čia.