ES DI aktas (AI Act): ką turi žinoti Lietuvos verslas

ES DI aktas (angl. EU AI Act) yra pirmasis pasaulyje visa apimantis teisės aktas, kuris reguliuoja dirbtinio intelekto sistemų kūrimą, pardavimą ir naudojimą Europos Sąjungoje, ir jis tiesiogiai liečia kiekvieną Lietuvos įmonę, kuri naudoja ar planuoja naudoti DI sprendimus versle.

Kada aktas įsigaliojo ir kaip jis veikia

Kaip nurodoma 15min publikacijoje „ES ir JAV priešprieša skaitmeninių technologijų srityje", 2024 m. rugpjūčio 1 d. įsigaliojęs ES Dirbtinio intelekto aktas yra pirmasis DI sritį reguliuojantis teisės aktas pasaulyje, nustatantis, kaip DI sistemos gali būti parduodamos ir taikomos ES. Svarbu suprasti, kad aktas neįsigalioja visas iškart, kai kurios jo normos taikomos laipsniškai per nustatytą laiką, siekiantį iki 36 mėnesių nuo įsigaliojimo datos. Tai reiškia, kad Lietuvos įmonėms atitikties reikalavimai atsiranda etapais, o ne vienu momentu.

Kodėl aktas svarbus net ir mažai įmonei

Nors DI aktas formaliai galioja tik ES teritorijoje, jo poveikis siekia toliau, jis gali turėti reikšmingų pasekmių tarptautinėms įmonėms, planuojančioms plėstis Europoje. Lietuvos verslui tai reiškia dvejopą efektą: viena vertus, vietinės įmonės, naudojančios DI, patenka į reguliavimo lauką tiesiogiai; kita vertus, tos, kurios dirba su ES ar tarptautiniais partneriais, susiduria su reikalavimu, kad jų DI sprendimai atitiktų šiuos standartus, net jei pati įmonė nėra didelė.

Ką aktas draudžia ir riboja

DI aktas draudžia diegti, naudoti ar pateikti rinkai dirbtinio intelekto sistemas, keliančias nepriimtiną riziką. Tokios sistemos laikomos nesuderinamomis su ES vertybėmis ir pagrindinėmis teisėmis, įskaitant privatumą ir nediskriminavimą, išskyrus griežtai apibrėžtus teisėtus atvejus, kai valstybės institucijos gali prieiti prie asmeninių duomenų.

Praktiškai tai reiškia, kad įmonėms, diegiančioms DI sprendimus, svarbu iš anksto įvertinti:

• Ar naudojamas DI įrankis patenka į aukštos rizikos kategoriją (pvz., naudojamas personalo atrankai, kreditingumo vertinimui ar panašiems sprendimams, turintiems tiesioginį poveikį žmonėms).
• Ar duomenys, kuriais grindžiamas DI sprendimas, tvarkomi skaidriai ir be diskriminacinio poveikio.
• Ar įmonė gali paaiškinti, kaip DI sistema priima sprendimus, jei to pareikalaus priežiūros institucija.

Platesnis reguliavimo kontekstas

DI aktas neveikia izoliuotai, jis papildo jau egzistuojančią ES skaitmeninio reguliavimo sistemą, tarp jų Bendrąjį duomenų apsaugos reglamentą (BDAR), už kurio pažeidimus įmonėms gali būti skirtos baudos, siekiančios iki 4 proc. jų pasaulinių metinių pajamų. Ši sistema rodo bendrą ES kryptį: griežtas skaitmeninis reguliavimas, kurio pavyzdžiu vis dažniau seka ir kitos šalys. Lietuvos verslui tai reiškia, kad DI atitikties klausimas ateityje taps ne išimtimi, o standartine verslo praktikos dalimi, panašiai kaip šiandien yra su BDAR.

Kaip tai atrodo praktiškai

Įsivaizduokime Vilniaus personalo atrankos įmonę, kuri naudoja DI įrankį kandidatų CV pirminiam atrankos filtravimui. Toks naudojimo atvejis gali patekti į aukštos rizikos kategoriją, nes sprendimas tiesiogiai veikia žmonių galimybes gauti darbą, todėl įmonei būtina užtikrinti, kad procesas būtų skaidrus ir paaiškinamas. Kitas pavyzdys: rinkodaros agentūra, naudojanti DI tik teksto juodraščiams rengti; tokiam atvejui rizikos lygis kur kas žemesnis, o atitikties reikalavimai paprastesni. Skirtumas tarp šių dviejų situacijų parodo, kodėl svarbu ir žinoti, kad AI Act egzistuoja, ir konkrečiai įvertinti, į kurią rizikos kategoriją patenka kiekvienas įmonės naudojamas DI sprendimas.

Kaip įmonei pasiruošti praktiškai

Vietoj to, kad laukti, kol visos normos įsigalios, protingiausia strategija: pradėti vertinti riziką jau dabar:

• Susidaryti sąrašą visų DI įrankių, kuriuos įmonė šiuo metu naudoja ar planuoja diegti.
• Įvertinti, kurie iš jų gali patekti į didesnės rizikos kategoriją pagal akto apibrėžimus.
• Susieti DI diegimo procesą su aiškia dokumentacija, tai palengvins atitikties įrodymą, jei jos prireiks.

Kada verta pasikonsultuoti su specialistu

Jei įmonė naudoja DI sprendimus, susijusius su žmonių atranka, kreditingumo vertinimu, sveikatos duomenimis ar kitomis jautriomis sritimis, savarankiškas atitikties vertinimas gali būti nepakankamas: šiose srityse rizika klaidai yra didžiausia, o pasekmės, nesilaikant reikalavimų, gali būti reikšmingos. Tokiais atvejais protingiau iš anksto pasitikrinti situaciją su specialistu, nei rizikuoti pažeidimu, kurį pastebėti tektų jau po to, kai sprendimas veikia realiai.

Rizikos kategorijos paprastais žodžiais

Aktas remiasi logika, kad reikalavimai priklauso ne nuo technologijos, o nuo to, kam ji naudojama. Tas pats pokalbių modelis gali patekti į skirtingas kategorijas priklausomai nuo užduoties.

• Nepriimtina rizika. Naudojimo atvejai, kurie draudžiami. Įprastam Lietuvos verslui tai reta situacija, bet žinoti apie kategoriją verta.
• Aukšta rizika. Sprendimai, tiesiogiai veikiantys žmonių teises ar galimybes: atranka į darbą, kreditingumo vertinimas, prieiga prie paslaugų. Čia reikalavimai griežčiausi, o dokumentacija būtina.
• Ribota rizika. Daugiausia skaidrumo klausimas: žmogus turi suprasti, kad bendrauja su mašina arba kad turinį parengė DI.
• Minimali rizika. Teksto juodraščiai, vidinės santraukos, vertimai, kodo pagalba. Čia patenka didžioji dalis to, ką kasdien daro Lietuvos įmonės.

Praktinė išvada nuobodi, bet teisinga: prieš svarstant atitiktį reikia žinoti, ką konkrečiai jūsų įmonė daro su DI. Be to sąrašo bet kokia diskusija apie reikalavimus lieka teorinė.

Kaip susidaryti DI įrankių sąrašą per savaitę

1. Paklauskite komandos, ne tik IT. Realiai naudojami įrankiai dažniausiai atsiranda iš apačios: kažkas prisiregistravo pats ir naudoja jau pusmetį. Klauskite tiesiai, be kaltinimo tono, kitaip sąrašas bus nepilnas.
2. Užrašykite užduotį, ne pavadinimą. Ne „ChatGPT", o „ruošia pasiūlymų juodraščius" ir „susistemina CV". Kategorija priklauso nuo užduoties.
3. Pažymėkite, kokie duomenys patenka į įrankį. Klientų asmens duomenys, darbuotojų duomenys, sutartys, kainodara ar tik viešas tekstas. Čia dažniausiai atsiranda ir BDAR klausimas, panašiai kaip ir šalto el. pašto bei GDPR atveju.
4. Pažymėkite, kas priima galutinį sprendimą. Jei atsakymas „sistema", tai yra pirmoji vieta, kurią reikia peržiūrėti.
5. Priskirkite savininką. Vienas žmogus, atsakingas už sąrašo atnaujinimą kas ketvirtį. Kodėl tai lemia, ar procesas gyvuoja, aprašyta straipsnyje apie tai, kas įmonėje atsakingas už AI.

Pavyzdys, kaip toks sąrašas atrodo 12 žmonių prekybos įmonėje: keturios eilutės. Produktų aprašymai (viešas tekstas, sprendžia rinkodaros vadovė), klientų užklausų juodraščiai (klientų vardai ir užsakymų numeriai, sprendžia klientų aptarnavimo specialistas), CV rūšiavimas (asmens duomenys, sprendžia vadovas), sąskaitų duomenų nuskaitymas (finansiniai duomenys, tikrina buhalterė). Iš keturių eilučių tik viena, CV rūšiavimas, patenka į jautresnę sritį. Visas vertinimas užtruko pusdienį.

Dažniausios klaidos

• Laukiama, kol viskas įsigalios. Sąrašo sudarymas nieko nekainuoja ir nepriklauso nuo datų. Laukimas tik reiškia, kad tą patį darbą teks daryti skubotai.
• Manoma, kad aktas liečia tik tuos, kurie kuria DI. Reikalavimų turi ir naudotojai, ne tik kūrėjai. Perkant sprendimą iš tiekėjo klauskite, kokią dokumentaciją jis pateikia.
• Atitiktis suvokiama kaip vienkartinis dokumentas. Įrankiai keičiasi kas ketvirtį, kartu keičiasi ir naudojimo atvejai. Sąrašas turi būti gyvas.
• Rašomos taisyklės, kurių niekas neskaito. Dešimties puslapių tvarka be pavyzdžių lieka nenaudojama. Trumpa, konkreti AI naudojimo politika įmonėje veikia geriau.
• Painiojamas DI aktas ir BDAR. Tai atskiri reikalavimai, kurie persidengia. Duomenų klausimus spręskite atskirai, remdamiesi saugaus AI naudojimo įmonėje principais.

Ką tai reiškia mažoje Lietuvos rinkoje

Lietuvos verslas dažniausiai yra ne DI sistemų kūrėjas, o naudotojas, ir tai kategoriją palengvina. Bet yra ir atvirkštinė pusė: kai dirbate su didesniais ES klientais, atitikties klausimai ateina ne iš priežiūros institucijos, o iš pirkėjo. Vis dažniau viešųjų pirkimų ir didelių įmonių tiekėjų anketose atsiranda klausimai, ar naudojate DI, kur ir kaip. Įmonė, turinti paruoštą sąrašą, atsako per valandą. Įmonė, neturinti sąrašo, atsakinėja savaitę ir dažnai atsako netiksliai.

Antra vietinė aplinkybė: personalo srityje veikiančios įmonės į jautresnę kategoriją patenka greičiau nei kitos, todėl joms verta pradėti nuo atrankos proceso, o ne nuo rinkodaros. Ką tai reiškia praktiškai, aprašyta straipsnyje apie AI personalo procesuose.

Ką iš to pasiimti

ES DI aktas nėra vien teisininkų reikalas, tai tiesioginis veiksnys, kuris jau dabar formuoja, kaip Lietuvos įmonės gali diegti dirbtinį intelektą ir kokios rizikos joms tenka. Padedame įmonėms įvertinti, kur jų DI naudojimas gali kelti reguliacinę riziką, per AI auditą, ir suformuoti ilgalaikę, atitiktimi grįstą DI strategiją kaip AI partneris. Konsultacija nemokama: susisiekite čia.