DI aktas ir Lietuvos MVĮ: gidas verslui

Prieš kelis mėnesius jūsų komanda pradėjo naudoti dirbtinio intelekto įrankį – gal tai chatbot klientų aptarnavimui, gal kredito rizikos vertinimo modelis, gal automatinis dokumentų tikrinimas KYC procese. Niekas tuo metu nesureikšmino. O tada atėjo partnerio ar investuotojo klausimynas prieš sandorį, ir jame – klausimas apie DI aktą tokiu tonu, lyg nežinojimas savaime būtų pažeidimas. Jei atpažįstate šią situaciją, esate ne vieni – dauguma Lietuvos MVĮ pirmą kartą apie Dirbtinio intelekto aktą sužino būtent taip: iš svetimo klausimyno, o ne iš savo teisės skyriaus.

Kas yra DI aktas ir kodėl jis atsiranda kliento klausimyne

Dirbtinio intelekto aktas yra pirmasis pasaulyje horizontalus DI reguliavimas, įsigaliojęs 2024 m. rugpjūčio 1 d. Jis netaikomas iš karto visa apimtimi – įsipareigojimai įsigalioja etapais: draudžiamos praktikos nuo 2025 m. vasario, bendrosios paskirties DI modelių tiekėjų pareigos nuo 2025 m. rugpjūčio. Didžiosios dalies didelės rizikos sistemoms taikomų reikalavimų taikymas iš pradžių buvo numatytas nuo 2026 m. rugpjūčio, tačiau vadinamasis Digital Omnibus paketas, įsigaliojęs 2026 m. liepos 27 d., šį terminą nukėlė iki 2027 m. gruodžio 2 d.; likusioms pereinamojo laikotarpio nuostatoms, susijusioms su jau reguliuojamais gaminiais, naujas terminas – 2028 m. rugpjūtis. Kitaip tariant, dalis pareigų, apie kurias klausia partneriai, jau faktiškai galioja, tačiau didelės rizikos sistemoms taikomas pagrindinis terminas nusikėlė – verta tai patikslinti, o ne remtis sena data.

Klausimynuose DI aktas atsiranda todėl, kad reglamentas nustato pareigas ne tik DI sistemos kūrėjui, bet ir jos naudotojui, vadinamajam diegėjui. Jei jūsų įmonė naudoja trečiosios šalies DI įrankį verslo procese, dalis atsakomybės tenka ir jums.

Kodėl tai ypač aktualu Vilniaus fintech sektoriui

Vilnius yra vienas tankiausių fintech klasterių Europos Sąjungoje pagal licencijuotų įmonių skaičių gyventojui – Lietuvos banko išduotų elektroninių pinigų ir mokėjimo įstaigų licencijų kiekis lenkia daugelį didesnių rinkų. Tai reiškia, kad DI naudojimas kredito rizikos vertinime, sukčiavimo aptikime, automatiniame KYC ir AML tikrinime ar kliento elgsenos profiliavime šiame sektoriuje yra ne išimtis, o norma. Būtent šios funkcijos – kreditingumo vertinimas ir asmenų tapatybės nustatymas ar biometrinis identifikavimas – DI akto III priede tiesiogiai įvardytos kaip potencialiai didelės rizikos sritys. Jei jūsų fintech ar su fintech dirbanti įmonė naudoja DI bent vienoje iš šių funkcijų, verta patikrinti klasifikaciją, o ne remtis prielaida, kad tai tik įrankis iš rinkos ir ne jūsų problema.

Rizikos lygiai – kur patenka jūsų sistema

• Nepriimtina rizika – draudžiama nuo 2025 m. vasario, pavyzdžiui, socialinis reitingavimas ar manipuliatyvūs metodai.
• Didelė rizika – griežčiausi reikalavimai: rizikos valdymo sistema, žmogaus priežiūra, techninė dokumentacija, atitikties vertinimas, pavyzdžiui, kreditingumo vertinimas, personalo atranka, biometrinis identifikavimas.
• Ribota rizika – skaidrumo pareigos, pavyzdžiui, pareiga informuoti, kad bendraujama su chatbot arba kad turinys sukurtas DI.
• Minimali rizika – dauguma šiandien naudojamų įrankių, tokių kaip rašybos tikrinimas ar vidiniai produktyvumo asistentai – formalių pareigų beveik nėra, bet verta tai dokumentuoti.

Kas prižiūrės DI akto vykdymą Lietuvoje

BDAR srityje atsakinga institucija Lietuvoje yra aiški – tai Valstybinė duomenų apsaugos inspekcija, VDAI. DI akto atveju situacija sudėtingesnė: kiekviena ES valstybė narė privalo paskirti nacionalinę rinkos priežiūros instituciją DI aktui prižiūrėti, o šis procesas visoje Sąjungoje, įskaitant Lietuvą, dar formuojasi ir yra mažiau stabilus nei ilgametė BDAR priežiūros sistema. VDAI yra logiškas kandidatas turėti bent dalį šio mandato dėl sąsajos su duomenų apsauga, tačiau tikslią, galutinę institucijų sąrangą ir kompetencijų pasidalijimą rekomenduojame tikrinti oficialiuose šaltiniuose prieš priimant sprendimus – šis straipsnis to detaliai nenagrinėja.

Kiek kainuoja klaida

• Iki 35 mln. eurų arba 7 % pasaulinės metinės apyvartos – už draudžiamų DI praktikų naudojimą.
• Iki 15 mln. eurų arba 3 % pasaulinės metinės apyvartos – už kitų pareigų, pavyzdžiui, didelės rizikos sistemoms taikomų reikalavimų, nevykdymą.
• Iki 7,5 mln. eurų arba 1 % pasaulinės metinės apyvartos – už klaidingos ar klaidinančios informacijos pateikimą institucijoms.

Ką patikrinti savo įmonėje jau dabar

• Sąrašas visų DI įrankių, naudojamų versle – ne tik tų, kuriuos diegėte patys, bet ir integruotų į SaaS produktus, kuriais naudojatės.
• Kiekvienam įrankiui – ar jis patenka į didelės rizikos kategoriją pagal III priedą, ypač kredito, KYC ir AML, personalo funkcijos.
• Ar naudotojai, klientai ir darbuotojai, informuojami, kai bendrauja su DI arba kai matomas DI sugeneruotas turinys.
• Ar yra bent minimali vidinė atsakomybės struktūra – kas įmonėje atsako už DI atitiktį, jei apie tai paklaus auditorius, investuotojas ar partneris.

Šis straipsnis pateikia bendro pobūdžio informaciją ir nėra teisinė konsultacija konkrečiam atvejui – DI akto taikymas priklauso nuo jūsų konkrečios sistemos, jos paskirties ir naudojimo konteksto. Komplya turinį žymi aiškiai: šis tekstas yra peržiūrėtas, tačiau jį skiriame nuo juodraštinės medžiagos, kuri dar nėra galutinai patikrinta – prieš priimdami sprendimus dėl konkrečios sistemos, pasitikrinkite naujausią reglamento tekstą ir prireikus pasikonsultuokite su teisininku.

Jei norite greitai suprasti, ar bent viena jūsų naudojama DI sistema patenka į didelės rizikos kategoriją, neskaitykite viso reglamento nuo pradžios. Užpildykite trumpą klausimyną apie savo naudojamus DI įrankius ir procesus – per kelias minutes gausite aiškų vaizdą, kurioms sritims verta skirti dėmesį pirmiausia, o kurioms ne.