BDAR ir DI aktas: kur sutampa įmonių pareigos

Paskelbta 2026-08-10· 5 min. skaitymoBDAR ir DI

Įsivaizduokite: esate atitikties pareigūnas Vilniuje registruotoje elektroninių pinigų įstaigoje. Jūsų BDAR programa jau kelerius metus veikia pagal knygą – yra paskirtas duomenų apsaugos pareigūnas, atlikti poveikio duomenų apsaugai vertinimai (PDAV) rizikingoms operacijoms, pasirašytos duomenų tvarkymo sutartys, veikia incidentų valdymo procedūra. Lietuvos bankas kasmet tikrina jūsų AML ir duomenų apsaugos procesus, ir jūs juos žinote mintinai. Tada rizikos valdymo skyrius praneša, kad naujoje sukčiavimo aptikimo sistemoje naudojamas mašininis mokymasis, o kredito ir AML rizikos vertinimo modelis balais reitinguoja klientus pagal jų elgsenos duomenis. Ir staiga paaiškėja: jūsų BDAR PDAV, kad ir koks kruopštus, nebuvo rašytas turint omenyje Dirbtinio intelekto akto (DI akto) reikalavimus. Praėjusią savaitę gautas tiekėjo klausimynas dabar teiraujasi ne tik apie duomenų tvarkymo teisinius pagrindus, bet ir apie rizikos valdymo sistemą, žmogaus vykdomą priežiūrą bei techninę dokumentaciją pagal DI aktą. Du reglamentai, sutampantys iš dalies, bet ne identiški – ir jums reikia tiksliai žinoti, kur baigiasi vienas ir prasideda kitas.

Kur BDAR ir DI aktas sutampa?

Abu reglamentai taikomi tuo pačiu momentu, kai jūsų AI sistema apdoroja fizinių asmenų duomenis – o sukčiavimo aptikimo ir kredito ar AML vertinimo modeliuose tai beveik visada taip. BDAR taikomas automatiškai, nepriklausomai nuo to, ar sistema laikoma aukštos rizikos pagal DI aktą. Abu teisės aktai remiasi rizika grįstu požiūriu ir reikalauja gebėti įrodyti atitiktį dokumentais, o ne tik deklaruoti ją žodžiu.

Jei AI sistema tvarko asmens duomenis, BDAR pareigos (teisinis pagrindas, informavimas, saugumas) galioja lygiagrečiai su DI akto pareigomis, nepriklausomai nuo rizikos kategorijos.
Jau atliktas BDAR PDAV gali tapti dalimi DI akto rizikos vertinimo aukštos rizikos sistemoms – jo nereikia rašyti nuo nulio, bet reikia papildyti.
Skaidrumo pareigos persidengia: BDAR 22 straipsnio teisė nebūti vertinamam vien automatizuotu būdu ir DI akto 14 straipsnio žmogaus priežiūros reikalavimas sprendžia panašią problemą iš skirtingų kampų.
Abu reglamentai reikalauja dokumentuoti sprendimų logiką tiek, kad ją būtų galima paaiškinti klientui ar priežiūros institucijai.

Ko BDAR PDAV neapima pagal DI aktą?

Čia ir slypi dažniausia klaida: manyti, kad geras BDAR PDAV automatiškai uždaro DI akto reikalavimus. PDAV pagal BDAR 35 straipsnį vertina riziką duomenų subjekto teisėms ir laisvėms, kylančią iš duomenų tvarkymo. DI akto 27 straipsnyje numatytas pagrindinių teisių poveikio vertinimas (FRIA) aukštos rizikos sistemoms yra platesnis – jis vertina poveikį, kuris gali visiškai nesusijęs su duomenų tvarkymu: diskriminaciją, nevienodą prieigą prie finansinių paslaugų, ekonominę žalą klientui dėl klaidingo modelio sprendimo. Be to, DI aktas kelia techninius reikalavimus, kurių BDAR paprasčiausiai nenumato – modelio tikslumo, patvarumo ir kibernetinio saugumo dokumentaciją, žmogaus priežiūros projektavimą (ne tik teisę į ją), o aukštos rizikos atvejais – ir registraciją ES duomenų bazėje.

PDAV vertina riziką asmens duomenims; DI akto FRIA vertina platesnį poveikį pagrindinėms teisėms, įskaitant atvejus be jokio duomenų tvarkymo pažeidimo.
DI aktas reikalauja techninės dokumentacijos apie modelio tikslumą, patvarumą ir kibernetinį saugumą – tai nebuvo BDAR dalykas.
Žmogaus priežiūra pagal DI aktą turi būti suprojektuota sistemoje iš anksto, o ne tik užtikrinta kaip procedūrinė teisė prieštarauti.
Aukštos rizikos sistemoms taikoma atitikties vertinimo ir, atitinkamais atvejais, registracijos ES duomenų bazėje pareiga, kurios BDAR neturi analogo.

Kas prižiūri BDAR ir DI akto vykdymą Lietuvoje?

BDAR vykdymą Lietuvoje prižiūri Valstybinė duomenų apsaugos inspekcija (VDAI). DI akto priežiūros institucijų struktūra Lietuvoje šiuo metu formuojasi – tikslus paskyrimas, kuri institucija (ar institucijos) veiks kaip nacionalinė rinkos priežiūros institucija pagal DI aktą, dar tikslinamas, todėl šio klausimo išsamiai čia nenagrinėjame. Elektroninių pinigų įstaigoms svarbu atsiminti, kad Lietuvos bankas kaip sektorinis prižiūrėtojas taip pat gali kelti klausimus apie AI naudojimą rizikos valdyme per savo įprastas priežiūros priemones, net jei formaliai tai nėra DI akto vykdymo užtikrinimas.

Kiek kainuoja klaida?

BDAR 83 straipsnis numato baudas iki 20 mln. eurų arba 4 % įmonės metinės pasaulinės apyvartos, priklausomai nuo to, kuri suma didesnė. DI akto 99 straipsnis eina toliau: už draudžiamos praktikos naudojimą bauda gali siekti iki 35 mln. eurų arba 7 % metinės pasaulinės apyvartos; už kitus pažeidimus – iki 15 mln. eurų arba 3 %, o už klaidingos informacijos pateikimą priežiūros institucijai – iki 7,5 mln. eurų arba 1,5 %. Svarbu žinoti, kad DI akto 99 straipsnio 6 dalis numato mažesnes viršutines ribas mažoms ir vidutinėms įmonėms bei startuoliams – joms taikoma mažesnė iš dviejų sumų, o ne didesnė, kaip didelėms įmonėms. Tai nereiškia, kad rizika nedidelė – vien reputacinė žala dėl paskelbto pažeidimo finansų sektoriuje, kur pasitikėjimas yra pagrindinis produktas, dažnai kainuoja brangiau nei pati bauda.

Ką patikrinti pirmiausia?

Ar jūsų duomenų tvarkymo veiklos registre pažymėta, kurios sistemos naudoja AI ar mašininį mokymąsi?
Ar sistemoms, galinčioms patekti į aukštos rizikos kategoriją (kredito vertinimas, AML/sukčiavimo rizikos balai, darantys įtaką prieigai prie paslaugų), atliktas atskiras DI akto rizikos vertinimas, o ne tik BDAR PDAV?
Ar žmogaus priežiūros procedūra aprašyta techniškai – kas konkrečiai, kada ir kaip gali sustabdyti ar pakeisti automatinį sprendimą?
Ar tiekėjų sutartyse aiškiai apibrėžta, kas yra DI sistemos tiekėjas, o kas – diegėjas pagal DI aktą, nes pareigos šioms rolėms skiriasi?
Ar techninė dokumentacija atnaujinta taip, kad apimtų ne tik BDAR duomenų tvarkymo įrašus, bet ir DI akto reikalaujamus modelio tikslumo bei saugumo aprašymus?

Šis straipsnis pateikia bendro pobūdžio informaciją, o ne teisinę konsultaciją jūsų konkrečiai situacijai – prieš priimdami sprendimus dėl atitikties, pasitarkite su teisininku ar savo duomenų apsaugos pareigūnu. Komplya turinį žymi pagal peržiūros statusą, aiškiai skirdama teisės eksperto peržiūrėtą medžiagą nuo dar rengiamos: DI akto taikymo praktika ir nacionalinė priežiūros struktūra Lietuvoje vis dar formuojasi, ir ten, kur tikslumo negalime garantuoti, sakome tai atvirai, o ne spėliojame už jus.

Jei nesate tikri, kurios jūsų sistemos patenka į DI akto aukštos rizikos kategoriją ir kur esama BDAR dokumentacija jau padengia dalį naujų pareigų, o kur – ne, greičiausias būdas tai išsiaiškinti yra užpildyti trumpą Komplya atitikties klausimyną. Per kelias minutes jis sujungia jūsų BDAR ir DI akto rizikos vaizdą į vieną sąrašą su konkrečiais trūkumais, kuriuos verta spręsti pirmiausia.