ES DI aktas: ką Lietuvos verslui žinoti 2026 m.

Europos Sąjungos Dirbtinio intelekto aktas, oficialiai Reglamentas (ES) 2024/1689, žymi naują etapą visai Europos skaitmeninei ekosistemai. Tai pirmasis tokio masto horizontalus DI reguliavimas, kuris nustato aiškias taisykles DI sistemų tiekėjams, diegėjams, importuotojams, platintojams ir kitiems rinkos dalyviams. Lietuvai, kur sparčiai auga debesijos, automatizavimo, fintech, e. komercijos ir klientų aptarnavimo sprendimų naudojimas, šis reglamentas jau tapo ne teorija, o kasdienės verslo praktikos dalimi.

Nuo 2026 m. rugpjūčio 2 d. įsigaliojo didžioji dalis reglamento nuostatų. Tą pačią dieną pradėtos taikyti ir svarbios skaidrumo taisyklės, susijusios su pokalbių robotais, DI sugeneruotu arba pakeistu turiniu bei sintetinėmis klastotėmis. Tiesa, po 2026 m. priimto „AI Omnibus“ dalies didelės rizikos sistemų terminai buvo nukelti į 2027 ir 2028 metus, todėl įmonėms Vilniuje, Kaune, Klaipėdoje ar kituose Lietuvos miestuose svarbu tiksliai žinoti, kurie reikalavimai galioja dabar, o kurie dar tik artėja.

Šis reglamentas svarbus ne tik ES įsikūrusioms įmonėms. Jis taikomas ir tiems tiekėjams, kurie pateikia DI sistemas ar bendrosios paskirties DI modelius Europos Sąjungos rinkai, taip pat ES įsikūrusiems diegėjams. Tam tikrais atvejais jis galioja ir trečiosiose šalyse esantiems tiekėjams, jei jų DI sistemų rezultatai naudojami Europos Sąjungoje. Tiksli taikymo sritis apibrėžta Reglamento (ES) 2024/1689 2 straipsnyje.

Praktiškai tai reiškia viena: jei įmonė kuria arba naudoja DI, pirmas žingsnis neturėtų būti šimtų puslapių dokumentacijos ruošimas. Pirmiausia reikia aiškaus savo DI sistemų žemėlapio: kokie įrankiai naudojami, kam jie skirti, kas juos tiekia ir kokius verslo procesus jie gali paveikti.

Ką ES DI aktas reiškia verslui 2026 metais

2026 m. DI atitiktis jau yra ne tik teisininkų tema. Tai ir IT, HR, rinkodaros, klientų aptarnavimo, produktų vadovų bei vadovybės klausimas. Geriausia pradėti nuo kelių esminių klausimų, kurie padeda greitai įvertinti riziką ir nustatyti, kokių veiksmų reikia imtis pirmiausia.

Pagrindiniai klausimai, kuriuos turėtų užduoti kiekviena organizacija

Kam taikomas DI aktas ir kaip jis apibrėžia DI sistemą

Reglamentas DI sistemą apibrėžia kaip mašininę sistemą, kuri gali veikti skirtingais autonomiškumo lygiais ir iš įvesties duomenų daryti išvadas tam, kad sugeneruotų prognozes, turinį, rekomendacijas ar sprendimus, galinčius paveikti fizinę arba virtualią aplinką. Tai svarbus niuansas: vien tai, kad programinė įranga naudoja algoritmą, dar nereiškia, kad kiekviena jos funkcija automatiškai patenka į DI akto reguliavimą.

Lietuvos įmonėms tai ypač aktualu, nes rinkoje sparčiai daugėja sistemų, kurios pristatomos kaip „DI funkcijos“: nuo automatizuoto teksto generavimo iki CV filtravimo, pirkėjų segmentavimo ar prognozavimo įrankių. Ne visos jos laikomos DI akto prasme reguliuojamomis, todėl svarbu vertinti ne reklaminį pavadinimą, o tikrąjį veikimo principą ir paskirtį.

Pagrindiniai rinkos dalyvių vaidmenys

DI aktas skiria kelis pagrindinius vaidmenis. Tiekėjas kuria DI sistemą ar bendrosios paskirties DI modelį arba užsako jo sukūrimą ir pateikia jį rinkai ar pradeda naudoti savo vardu. Diegėjas yra tas, kuris sistemą naudoja savo veikloje. Importuotojas į ES rinką pateikia trečiojoje šalyje sukurtą DI sistemą, o platintojas ją tiekia rinkoje, pats nebūdamas tiekėju ar importuotoju.

Vaidmuo nėra formalumas „popieriuje“. Pavyzdžiui, jei Lietuvos įmonė esmingai pakeičia didelės rizikos sistemą arba pakeičia jos numatytą paskirtį taip, kad ji tampa didelės rizikos, tam tikrais atvejais ji pati gali būti laikoma tiekėja. Tai ypač aktualu startuoliams, SaaS paslaugų kūrėjams ir įmonėms, kurios pritaiko trečiųjų šalių sprendimus savo klientams.

Bendrosios paskirties DI modeliams, arba GPAI, taikomas atskiras reguliavimo sluoksnis. Į šią grupę patenka modeliai, kurie gali atlikti daug skirtingų užduočių ir būti integruojami į įvairias sistemas. Praktinių paaiškinimų verslui galima rasti Europos Komisijos AI Act Service Desk, tačiau Lietuvos įmonėms dažnai verta turėti ir vietinį teisinį ar techninį vertinimą, ypač kai sprendimas naudojamas keliuose padaliniuose ar keliose šalyse.

Keturios rizikos pakopos: nuo draudimų iki kasdienio naudojimo

DI aktas paremtas rizika grįstu principu. Kuo didesnę potencialią žalą žmogaus sveikatai, saugai ar pagrindinėms teisėms gali sukelti sistema, tuo griežtesni reikalavimai jai taikomi. Tai iš esmės skiriasi nuo ankstesnio požiūrio, kai dauguma technologijų buvo vertinamos tik pagal jų funkciją, bet ne pagal poveikį žmogui.

Rizikos lygiai ir jų reikšmė

Esminė taisyklė paprasta: svarbiausia ne produkto pavadinimas, o jo reali paskirtis. Tas pats bazinis modelis gali būti naudojamas paprastam teksto santraukų generavimui ir kartu sprendimams dėl kandidatų į darbą palaikyti. Pirmu atveju rizika gali būti menka, antru – gerokai didesnė.

Be to, net ir į III priedo sritį patenkanti sistema ne visada automatiškai laikoma didelės rizikos. Reglamentas numato išimtis, kai sistema neatlieka reikšmingo vaidmens priimant sprendimus arba atlieka tik siaurą procedūrinę ar parengiamąją užduotį. Vis dėlto tokį sprendimą tiekėjas turi sugebėti pagrįsti ir dokumentuoti.

Ką turi užtikrinti didelės rizikos DI sistemų tiekėjai

Didelės rizikos DI sistemų reglamentavimas yra viena sudėtingiausių DI akto dalių. Tiekėjams keliami reikalavimai apima nuolatinį rizikos valdymą, duomenų kontrolę, techninę dokumentaciją, įvykių registravimą, žmogaus priežiūrą, tikslumo užtikrinimą, atsparumą ir kibernetinį saugumą.

Duomenys, naudojami sistemos mokymui, validavimui ir testavimui, turi būti tinkami konkrečiai paskirčiai. Kai tai aktualu, jie turi būti pakankamai reprezentatyvūs ir parengti taip, kad sumažėtų diskriminacinių ar sistemingai iškreiptų rezultatų rizika. Šis klausimas ypač aktualus DI sprendimams, naudojamiems personalo atrankoje, kreditingumo vertinime, švietime ar prieigoje prie paslaugų.

Tiekėjas taip pat privalo parengti techninę dokumentaciją, leidžiančią kompetentingoms institucijoms įvertinti sistemos atitiktį. Priklausomai nuo kategorijos taikoma atitinkama atitikties vertinimo procedūra, o reglamente numatytais atvejais naudojamas ir CE ženklinimas. Vis dėlto svarbu žinoti, kad ne kiekvienai III priedo sistemai reikės išorinio notifikuotosios įstaigos audito. Daliai jų pakanka vidaus kontrolės pagrindu atliekamo vertinimo.

Diegėjų pareigos ir praktika Lietuvos įmonėse

Pareigų turi ir diegėjai. Organizacija, naudojanti didelės rizikos sistemą, privalo vadovautis naudojimo instrukcijomis, stebėti sistemos veikimą ir užtikrinti tinkamą žmogaus priežiūrą. Jei įmonė pati kontroliuoja į sistemą pateikiamus duomenis, jie turi būti aktualūs ir pakankamai reprezentatyvūs numatytai paskirčiai.

Tam tikrais atvejais atsiranda ir papildomų pareigų. Pavyzdžiui, naudojant didelės rizikos DI darbo vietoje gali reikėti iš anksto informuoti darbuotojus ir jų atstovus. O kai sistema naudojama priimant ar padedant priimti sprendimą apie konkretų žmogų, jis turi būti informuojamas apie DI sistemos naudojimą. Tai aktualu ir Lietuvos darbo rinkai, kur automatizuotos atrankos sprendimai vis dažniau naudojami tiek Vilniuje veikiančiose technologijų įmonėse, tiek kituose sektoriuose.

Kas jau galioja, o kas dar laukia

DI aktas įsigaliojo 2024 m. rugpjūčio 1 d., bet jo nuostatos pradėtos taikyti etapais. 2026 m. priimtas „AI Omnibus“ pakeitė dalį pirminio tvarkaraščio, todėl senesniuose straipsniuose ar teisės apžvalgose nurodytos datos jau gali būti netikslios.

Pagrindinė DI akto įgyvendinimo chronologija

Todėl 2026 metais jau nebėra tikslinga sakyti, kad verslas tik laukia DI akto. Didžioji jo dalis jau taikoma. Daugiausia laukimo lieka dėl vėlesnio didelės rizikos sistemų režimo įsigaliojimo.

Ypač svarbios yra nuo 2026 m. rugpjūčio 2 d. taikomos skaidrumo taisyklės. Žmogus turi būti informuojamas, kai tiesiogiai bendrauja su DI sistema, nebent tai akivaizdu iš aplinkybių. Taip pat numatyti DI sugeneruoto ar manipuliuoto vaizdo, garso, vaizdo įrašų ir tam tikro tekstinio turinio žymėjimo bei atskleidimo reikalavimai. Tai svarbu Lietuvos žiniasklaidai, rinkodaros agentūroms, e. parduotuvėms ir turinio kūrėjams, kurie vis dažniau naudoja generatyvinį DI lietuvių kalba.

Kas prižiūri DI akto vykdymą Lietuvoje

DI akto priežiūra vykdoma tiek Europos Sąjungos, tiek nacionaliniu lygmeniu. Europos Komisijos DI biuras, arba AI Office, atlieka svarbų vaidmenį prižiūrint bendrosios paskirties DI modelius ir koordinuojant reglamento įgyvendinimą ES mastu. Tačiau didelė dalis konkrečių DI sistemų priežiūros tenka nacionalinėms rinkos priežiūros institucijoms.

Lietuvoje Ryšių reguliavimo tarnyba nuo 2025 m. balandžio 1 d. paskirta nacionaline kompetentinga rinkos priežiūros institucija ir bendruoju kontaktiniu punktu DI akto klausimais. RRT taip pat nurodo, kad Inovacijų agentūra atlieka notifikuojančiosios institucijos funkciją, susijusią su atitikties vertinimo įstaigomis.

RRT, kaip rinkos priežiūros institucija, prižiūri sistemas po jų pateikimo į rinką, bendradarbiauja su kitų ES valstybių institucijomis ir Europos Komisija bei teikia informaciją rinkos dalyviams apie DI akto reikalavimus. Atskirose srityse kompetenciją gali turėti ir kitos institucijos, todėl įmonėms verta iš anksto pasitikrinti, kas atsakingas už jų konkrečią veiklos sritį.

Kokios baudos numatytos už pažeidimus

Didžiausios DI akto sankcijos numatytos už draudžiamų DI praktikų pažeidimus. Tokiais atvejais administracinė bauda gali siekti iki 35 mln. eurų arba įmonei – iki 7 proc. ankstesnių finansinių metų bendros pasaulinės metinės apyvartos, priklausomai nuo to, kuri suma didesnė.

Už kitų svarbių pareigų, įskaitant tiekėjams, importuotojams, platintojams, diegėjams ir skaidrumo reikalavimams nustatytas pareigas, nesilaikymą maksimali bauda gali siekti 15 mln. eurų arba iki 3 proc. pasaulinės metinės apyvartos. Už neteisingos, neišsamios ar klaidinančios informacijos pateikimą kompetentingoms institucijoms gali būti skiriama iki 7,5 mln. eurų arba iki 1 proc. pasaulinės metinės apyvartos siekianti bauda.

Reglamente numatytas ir proporcingumo principas. Mažosioms bei vidutinėms įmonėms taikoma taisyklė, pagal kurią atitinkamais atvejais pasirenkama mažesnė iš nustatytos fiksuotos sumos ir apyvartos procento ribų. Tai svarbu Lietuvos SMB sektoriui, kuriame daug įmonių veikia ribotais resursais, bet naudoja vis pažangesnius automatizavimo įrankius.

Ką Lietuvos verslas turėtų daryti dabar

Didžiausia klaida būtų DI akto laikymąsi vertinti kaip vienkartinį teisinį projektą. Šiandien įmonė gali naudoti penkis DI įrankius, o po pusmečio – penkiolika. Naujos sistemos dažnai atsiranda rinkodaros, klientų aptarnavimo, personalo, finansų, saugumo ir kitose komandose, ir neretai jos diegiamos be centralizuoto sprendimo.

Praktiškiausias pasirengimo modelis yra nuolat atnaujinamas organizacijos DI sistemų registras. Tai vienas svarbiausių įrankių Lietuvos rinkoje, nes padeda ne tik įvertinti atitiktį, bet ir sumažinti verslo rizikas, susijusias su duomenų sauga, reputacija bei procesų skaidrumu.

Veiksmai, kuriuos verta atlikti artimiausiu metu

• Inventorizuokite naudojamas DI sistemas. Įtraukite ne tik įmonės kuriamus sprendimus, bet ir darbuotojų naudojamas trečiųjų šalių platformas bei DI funkcijas kitose programose.
• Aprašykite kiekvienos sistemos paskirtį. Svarbu ne tik modelis, bet ir tai, kokį realų sprendimą, procesą ar žmogų gali paveikti sistemos rezultatai.
• Nustatykite savo vaidmenį. Patikrinkite, ar įmonė konkrečiu atveju yra tiekėjas, diegėjas, importuotojas, platintojas, ar atlieka kelis vaidmenis vienu metu.
• Įvertinkite rizikos kategoriją. Ypatingą dėmesį skirkite personalo atrankai, švietimui, biometrikai, kreditingumui, prieigai prie esminių paslaugų ir kitoms III priede nurodytoms sritims.
• Patikrinkite jau galiojančius skaidrumo reikalavimus. Nuo 2026 m. rugpjūčio 2 d. nebeužtenka ruoštis tik būsimoms didelės rizikos taisyklėms – dalis pareigų jau turi būti vykdoma dabar.
• Didelės rizikos sistemoms dokumentaciją pradėkite rengti iš anksto. Rizikos valdymas, techninė dokumentacija, testavimo rezultatai ir žmogaus priežiūros procesai neturėtų būti paliekami paskutinei minutei.
• Sudėtingais atvejais pasitelkite specialistus. Teisinė ir techninė ekspertizė ypač svarbi, kai DI sistema naudojama keliose jurisdikcijose, integruoja trečiųjų šalių GPAI modelius arba daro reikšmingą poveikį žmonėms.

Svarbiausias praktinis principas paprastas: pirmiausia reikia suprasti, kokį DI organizacija iš tikrųjų naudoja. Tik tada galima racionaliai nuspręsti, kurioms sistemoms pakanka kelių skaidrumo veiksmų, o kurioms reikės pilnos atitikties programos.

Daugeliui mažų ir vidutinių įmonių inventorizacija parodo, kad didžioji dalis naudojamų DI įrankių nepatenka į griežčiausiai reguliuojamą kategoriją. Vis dėlto viena iš pirmo žvilgsnio nekalta sistema, skirta darbuotojų atrankai, klientų vertinimui ar kitam jautriam sprendimui, gali iš esmės pakeisti rizikos profilį.

DI aktas Lietuvoje: daugiau nei dar vienas BDAR

DI aktas nėra tiesiog dar vienas BDAR atitikmenis primenantis reglamentas. Jo esmė – ne surinkti kuo daugiau dokumentų, o suprasti, kaip DI realiai veikia organizacijos veiklą. Lietuvos verslui svarbiausia gebėti atsakyti į keturis klausimus: kokią sistemą naudojame, kam ją naudojame, kokį vaidmenį atliekame ir kokios pareigos dėl to atsiranda.

Augant generatyvinio DI, automatizuotos analizės ir prognozavimo įrankių naudojimui Lietuvos rinkoje, laimi tos įmonės, kurios pasirengia iš anksto. Tai leidžia ne tik išvengti baudų, bet ir kurti patikimesnius, skaidresnius bei konkurencingesnius produktus, kurie atitinka tiek Europos, tiek lietuvių vartotojų lūkesčius.