Teisininkas Rytis Valūnas, bendrovės „Silensis” valdybos narys, atsakingas už DI valdyseną ir strategiją. Komentaras nėra teisinė konsultacija.
Jau greičiau nei po mėnesio, gruodžio 1 d., Lietuvoje įsigalios įstatymas, nustatantis, kas ir kaip prižiūrės, ar įmonės laikosi Europos Sąjungos (ES) dirbtinio intelekto (DI) akto ir kaip bus skaičiuojamos baudos. Pačios DI naudojimo taisyklės nustatytos ES DI akte ir yra bendros visai ES. Tai suteiks tiek naujų galimybių, tiek iškels naujų rizikų. Kokie svarbiausi aspektai, į kuriuos reikėtų atkreipti dėmesį?
Didžiųjų dirbtinio intelekto modelių kūrėjus – tokius kaip „OpenAI“ ar „Anthropic“ – ES šalyse bendrai prižiūri Europos Komisija, o DI verslo naudotojus Lietuvoje – atitinkamos srities vietinės institucijos. Pavyzdžiui, nuo gruodžio 1 d. Lietuvos bankas prižiūrės kreditingumo vertinimo ir gyvybės bei sveikatos draudimo DI sistemas finansų įstaigose, Valstybinė darbo inspekcija – DI sistemas, naudojamas įdarbinant ir valdant darbuotojus, Valstybinė duomenų apsaugos inspekcija – biometriją, o Ryšių reguliavimo tarnyba koordinuos kitas priežiūros institucijas ir prižiūrės skaidrumo reikalavimus.
Pagal ES DI aktą bet kuri įmonė, kuri savo veikloje naudoja DI, yra apibrėžiama kaip DI „diegėja“ – nesvarbu, ar DI naudojamas darbuotojų atrankose, ar rengiant pasiūlymus, ar dar kitais tikslais.
ES DI aktas jau dabar draudžia, pavyzdžiui, darbuotojų emocijų atpažinimą darbe (nuo 2025 m. vasario), o nuo 2026 m. rugpjūčio taiko ir skaidrumo reikalavimus: asmuo turi žinoti, kad bendrauja su DI, o DI sugeneruotas tikroviškas turinys privalo būti aiškiai pažymėtas.
Nuo gruodžio 1 d. įsigaliosiantis Lietuvos įstatymas įvardija konkrečias DI priežiūros institucijas, numato skundų galimybę ir apibrėžia baudų skaičiavimo bei taikymo tvarką. Bent iš pirmo žvilgsnio nuo gruodžio įsigaliosiančios naujovės verslui reiškia daugiau apsunkinimų ir išaugsiančias rizikas.
Vis tik šiuo metu bet kurios įmonės, naudojančios DI, vadovui, svarbiausias turėtų būti klausimas – kas įmonėje atsakys, kai bus gautas paklausimas iš bet kurios prižiūrinčiosios institucijos, kurių įstatyme numatyta 11.
Pirmoji grėsmė – skundai
Tikėtina, kad pirmasis prižiūrinčiosios institucijos paklausimas ateis ne automatiškai, pagal planinę tvarką, o po kažkieno skundo dėl netinkamo DI naudojimo. Įstatymą rengusi Ekonomikos ir inovacijų ministerija pati pripažįsta, kad pirmaisiais metais reali rinkos priežiūra greičiausiai nebus vykdoma, o daugumoje prižiūrinčių institucijų naujai veiklai planuojama vos po vieną etatą.
Vis tik įstatyme numatyta skundo pateikimo tvarka gali pasinaudoti bet kas: pačios įmonės darbuotojas, nusivylęs kandidatas, nepatenkintas klientas ar tiesiog konkurentas. Skundą gavusi institucija tokiu atveju privalės paprašyti paaiškinimų per ne trumpesnį nei 10 darbo dienų terminą, o informacijos nepateikimas jau bus traktuojamas kaip teisinis pažeidimas.
Šiuo atveju verslo valdyboms ir vadovų komandoms siūlyčiau sau atsakyti, ar jų vadovaujama organizacija per įstatyme nustatytą minimalų terminą galės atsakyti, kokį DI ir kokioms funkcijoms atlikti naudoja savo veikloje, prie kokių duomenų DI suteikta prieiga ir kas už šią sritį atsako?
Finansinių nuostolių pavojus
Antrasis aspektas, į kurį derėtų atkreipti dėmesį, yra realus galimų finansinių nuostolių įsivertinimas. Teoriškai už draudžiamą DI praktiką ES DI aktas numato baudą iki 35 mln. eurų arba 7 proc. pasaulinės metinės apyvartos, jei ši suma didesnė, o už kitus pažeidimus, pavyzdžiui, skaidrumo, iki 15 mln. eurų arba 3 proc. apyvartos. Tiesa, tai yra viršutinės baudų ribos.
Lietuvos įstatyme numatyta formulė, pagal kurią pradinė bauda yra 5, 15 arba 60 proc. maksimalios sumos, konkretų baudos dydį nustatant pagal pažeidimo sunkumą. Tada bauda pritaikoma prie realių pažeidėjo pajamų ir dar gali būti sumažinta iki pusės, jei esama atsakomybę lengvinančių aplinkybių, pavyzdžiui, pažeidėjas geranoriškai bendradarbiauja su tikrinančia institucija, arba iki pusės padidinta, jei esama sunkinančių aplinkybių, pavyzdžiui, pažeidimas slepiamas ar kartojamas.
Konkretus pavyzdys: už vidutinio sunkumo DI naudojimo taisyklių skaidrumo pažeidimą bazinė bauda įmonei, turinčiai iki 2 mln. eurų metinių pajamų, būtų 6 750 eurų. Įmonei, per metus gaunančiai 8 mln. eurų pajamų, jau apie 26 tūkst. eurų, o verslui, per metus gaunančiam 200 mln. eurų pajamų, apie 731 tūkst. eurų. Tai – bazinės sumos, kurias institucija dar gali sumažinti arba padidinti iki pusės.
Žinoma, ne visi pažeidimai būtinai reikš finansinius nuostolius. Tarkim, jei pažeidimas mažareikšmis, t. y. nesukėlė didelės žalos, yra nutrauktas ir jo pasekmės pašalintos, institucija skirs ne baudą, o įspėjimą. Tiesa, priežiūros institucijos turės teisę savo interneto svetainėse skelbti po patikrinimų, skundų ir tyrimų priimtus sprendimus, tad reputacinė rizika išlieka ir tokiais atvejais.
Kas atskirose priežiūros srityse bus laikoma „mažareikšmiu pažeidimu“, turės nustatyti kiekviena atitinkama prižiūrinčioji institucija ir tai bus pirmieji praktiniai orientyrai dėl įstatymo taikymo.
Bet turbūt jau dabar galima pasakyti, kad bauda už DI naudojimo pažeidimus bus proporcinga, bet tikrai ne simbolinė. Tad verslo vadovai turėtų atsakingai atnaujinti savo veiklos rizikų žemėlapius, įsivertinti galimus padarinius dėl finansinių sankcijų, veikloje naudojamų sistemų stabdymo ir galimos reputacinės žalos.
Paskirkite atsakingą asmenį
Ne paslaptis, kad DI naudojimo srityje vis dar turime šiokius tokius „laukinius Vakarus“. Daug įmonių vadovų vis dar nežino visų atvejų, kur jų bendrovėje DI jau yra naudojamas: nuo asmeninių paskyrų ir nemokamų įrankių iki į programas įskiepytų aplikacijų.
Jei situacija atrodo pažįstama, pirmasis žingsnis turėtų būti kruopštus DI naudojimo registras: koks įrankis, kam naudojamas, su kokiais duomenimis dirba, ar patenka į draudžiamą ar didelės rizikos sritį.
Ta pačia proga verta įvertinti ir skaidrumo nuostatų laikymąsi: dar kartą patikrinti, ar klientas žino, kad kalbasi su DI pokalbių robotu, ir ar su DI pagalba sukurtas tikroviškas turinys yra atitinkamai pažymėtas. Siūlyčiau kiekvienoje organizacijoje paskirti atsakingą darbuotoją, kuris prireikus galėtų sustabdyti konkretaus DI įrankio naudojimą (didelės rizikos sistemoms tokia žmogaus priežiūra bus privaloma).
Atitiktis DI naudojimo nuostatoms turėtų būti traktuojama ne kaip formalus „pliusas“ prieš atsakingas institucijas, o pirmiausia dėl savęs ir įmonės patikimumo didinimo – visų pirma klientų ir partnerių akyse. Ne mažiau svarbu užtikrinti savo įmonės ir klientų duomenų saugumą: nustatyti, kokius duomenis galima įkelti į DI įrankius, ir sutartimis užtikrinti, kad tiekėjas jų nenaudotų savo modeliams mokyti. Klientų asmens duomenims čia taikomi ir BDAR reikalavimai.
Kitiems metams ruoškitės jau dabar
Griežčiausi ES DI akto reikalavimai didelės rizikos sistemoms, pavyzdžiui, naudojamoms darbuotojų atrankai ar kreditingumo vertinimui, bus taikomi nuo 2027 m. gruodžio 2 d., tačiau tam ruoštis verta jau dabar. Iki tos datos rinkai pateiktoms ar pradėtoms naudoti sistemoms numatytas pereinamasis laikotarpis, bet jis nebegalioja, kai sistema reikšmingai pakeičiama, o DI įrankiai atnaujinami dažnai. Todėl perkant tokią sistemą šiandien verta iš anksto sutarti, kaip ji atitiks didelės rizikos reikalavimus po atnaujinimų.
Didelės rizikos DI sistemos naudotojui tai reiškia kompetentingą žmogaus priežiūrą, sistemos įrašų saugojimą mažiausiai šešis mėnesius ir darbuotojų informavimą prieš pradedant tokią sistemą naudoti darbo vietoje.
Noriu atkreipti dėmesį į svarbią detalę, kad jeigu DI sistemą įmonei sukuria partneris, bet įmonė ją naudoja savo vardu, pagal ES DI akto apibrėžimą, DI sistemos tiekėjas yra naudojančioji įmonė – su visomis tiekėjo pareigomis ir pasekmėmis. Todėl sutartyse jau dabar verta tiksliai sutarti, kas yra DI tiekėjas, kas saugo dokumentaciją ir kas, prireikus, atsakys priežiūros institucijai.
Kuriantiems tokias sistemas galima pasinaudoti Inovacijų agentūros DI reguliavimo „smėliadėže“: mažoms ir vidutinėms įmonėms bei startuoliams ji nemokama, o sąžiningai laikantis testavimo plano, baudos už DI akto pažeidimus neskiriamos.
Blogiausia, ką šiuo metu gali padaryti verslo vadovai ir valdybos – nuspręsti, kad dėl jau priimtų ir nuo gruodžio 1 d. įsigaliosiančių DI naudojimo nuostatų dirbtinio intelekto įrankių apskritai neverta naudoti – geriau palaukti ir pažiūrėti, kas bus.
Toks sprendimas gali lemti, kad stipriai atsiliksite nuo rinkos. O tinkamai valdant DI rizikas, jo įrankių naudojimas daugeliu atvejų atsipirks ir padės išlaikyti įmonės konkurencingumą. Tad jei dar to nedarote – dabar pats metas pradėti.
Apie „Silensis“
„Silensis“ – 2024 m. įkurtos bendrovės „Silotech“ prekės ženklas, padedantis įmonėms pritaikyti dirbtinį intelektą (DI) savo veikloje. Jo paslaugos apima verslo strategijos formavimą, pasirengimą pokyčiams, DI sprendimų kūrimą, diegimą bei jų teikiamos naudos vertinimą.
About the Author
