2026 m. rugpjūčio 2 d. yra svarbi data verslui, žyminti Europos Sąjungos Dirbtinio intelekto (DI) akto įsigaliojimo etapą. Nors dalis reikalavimų aukštos rizikos DI sistemoms yra atidėta, tai nereiškia, kad organizacijos gali ignoruoti artėjančius pokyčius. Nuo šios datos daugeliui įmonių pradeda galioti nauji skaidrumo, atsakomybės ir vidaus valdymo principai.
Šios taisyklės aktualios ne tik technologijų sektoriui ar DI kūrėjams, bet ir įprastoms įmonėms, kurios naudoja DI įvairiose srityse – nuo klientų aptarnavimo pokalbių robotų, rinkodaros turinio generavimo iki atrankų automatizavimo ir vidinių procesų optimizavimo. Brigida Bacienė, advokatų kontoros „Glimstedt“ teisininkė, pabrėžia, kad DI aktas apima platų verslo spektrą.
Kai bendrauji su DI – turi tai žinoti
Pagrindinis skaidrumo principas reikalauja aiškiai informuoti asmenis, kad jie bendrauja su dirbtinio intelekto sistema, jei tai nėra akivaizdu. Tai reiškia, kad įmonės, naudojančios DI pokalbių robotus klientų aptarnavimui, privalo užtikrinti, jog vartotojai suprastų, kad komunikuoja ne su žmogumi. Tas pats principas taikomas ir DI sugeneruotam ar reikšmingai modifikuotam turiniui.
„Pavyzdžiui, jei socialiniuose tinkluose skelbiamas DI sukurtas vadovo vaizdo įrašas, reklama su imituotu darbuotojo balsu ar kitas realų asmenį primenantis turinys, turi būti aiškiai nurodyta, kad jis sukurtas ar pakeistas naudojant DI. Tai ypač svarbu rinkodaros, komunikacijos, žiniasklaidos, e. komercijos ir klientų aptarnavimo srityse, kur generatyvinis DI tapo kasdieniu įrankiu“, – teigia Brigida Bacienė.
Ne tik deepfake: jautrios sritys – emocijos ir biometrika
Skaidrumo pareigos apima ir emocijų atpažinimo ar biometrinės duomenų klasifikavimo DI sistemų naudojimą. Pavyzdžiui, kai DI analizuoja kandidato emocijas darbo pokalbyje arba kai prekybos vietoje sistema pagal veidą nustato amžiaus grupę reklamai rodyti. Tokiais atvejais žmogus privalo būti informuotas apie DI naudojimą. DI aktas siekia reguliuoti ne tik pačią technologiją, bet ir jos poveikį žmogui, užtikrinant, kad jis suprastų automatizuotos sistemos veikimą ir nebūtų klaidinamas.
Anksčiau DI dažnai buvo suvokiamas tik kaip efektyvumo įrankis (greitesnis aptarnavimas, pigesnis turinys, automatizuota analizė). Tačiau DI aktas keičia šį požiūrį, pabrėždamas ne tik technologijos funkcionalumą, bet ir jos valdymą. Įmonės turės žinoti, kokias DI sistemas naudoja, kokiais tikslais, kas už jas atsako ir kokios kyla rizikos. DI tampa ne tik IT ar inovacijų, bet ir atitikties, rizikų valdymo bei reputacijos klausimu. Praktiniai veiksmai apima DI sprendimų inventorizaciją, jų paskirties įvertinimą, vidaus taisyklių kūrimą, atsakomybių paskirstymą, dokumentavimą ir darbuotojų mokymus.
„Dažna klaida – manyti, kad rizika yra tik technologijoje. Iš tiesų problemos dažnai kyla dėl procesų: neaišku, kas leidžia naudoti DI, kokie duomenys keliami, kaip tikrinami rezultatai ir kas prisiima atsakomybę“, – pabrėžia Brigida Bacienė.
Aukštos rizikos DI reikalavimai atidėti, bet pasirengti reikia dabar
Nors nuo 2026 m. rugpjūčio 2 d. įsigalioja svarbi DI akto dalis, ne visi reikalavimai taikomi iš karto. Didžioji dalis reguliavimo aukštos rizikos DI sistemoms įsigalios nuo 2027 m. gruodžio 2 d., o kai kurie – dar vėliau. Tačiau tai neturėtų atidėti pasirengimo. Skaidrumo ir bendrieji reikalavimai yra aktualūs jau dabar, o DI akto įgyvendinimas reikalauja ilgo pasiruošimo. Tai ypač svarbu įmonėms, kurios DI naudoja atrankose, darbuotojų vertinime, klientų segmentavime, reklamos personalizavime ar sprendimų automatizavime, kur DI gali tiesiogiai paveikti žmonių teises.
Tai ką dabar turi padaryti verslas?
Pasak teisininkės Brigidos Bacienės, pirmas žingsnis yra esminis: suprasti, kur organizacijoje jau naudojamas DI. Jis gali būti integruotas į klientų aptarnavimo sistemas, rinkodaros įrankius, dokumentų analizę, atrankas ar net kasdienes programėles.
Antra, būtina įsivertinti, kokie reikalavimai taikomi konkrečiam naudojimo atvejui: ar reikia informuoti vartotoją, ar žymėti turinį, ar naudojami jautrūs duomenys, ar sistema patenka į aukštos rizikos kategoriją.
Trečia, reikia apibrėžti vidaus taisykles: kas gali naudoti DI, kokiais tikslais, kokių duomenų negalima kelti, kaip tikrinami rezultatai ir kas atsako už galutinį sprendimą.
DI valdymas turėtų būti integruotas į bendrą atitikties sistemą kartu su Bendruoju duomenų apsaugos reglamentu (BDAR), kibernetiniu saugumu ir komercinių paslapčių apsauga.
„2026 m. rugpjūčio 2 d. nėra galutinis DI akto etapas, bet aiškus lūžis. DI naudojimas organizacijose tampa ne tik technologine galimybe, bet ir teisine atsakomybe. Svarbiau nei „ar naudojame DI?“ tampa klausimai: kur jį naudojame, kas už tai atsako, ar informuojame žmones, ar turime taisykles ir ar galime pagrįsti sprendimus. Dirbtinis intelektas išlieka didžiulė galimybė verslui, tačiau nuo šiol ji turi būti valdoma ne tik efektyviai, bet ir skaidriai, atsakingai bei teisėtai“, – primena duomenų apsaugos ekspertė.
