Šių metų rugpjūčio 1 dieną įsigaliojo Europos Sąjungos Dirbtinio intelekto aktas (DI aktas). Tai – pirmas ir kol kas vienintelis pasaulyje teisės aktas, reglamentuojantis su dirbtiniu intelektu susijusią veiklą: juo siekiama užtikrinti, kad dirbtinio intelekto technologijos būtų naudojamos saugiai, derinant technologinę pažangą su pagrindinių žmogaus teisių ir laisvių apsauga.
DI aktas apima keletą svarbių aspektų. Pirmiausia, jis nustato skirtingus dirbtinio intelekto sistemų rizikos lygius ir pagal tai reglamentuoja jų naudojimą. Sistemos yra skirstomos į keturias pagrindines rizikos kategorijas: nepriimtinos rizikos, aukštos rizikos, ribotos rizikos ir minimalios rizikos. Nepriimtinos rizikos sistemoms, keliančioms pavojų žmonių teisėms bei laisvėms, taikomi griežti draudimai. Aukštos rizikos sistemoms, pavyzdžiui, veido atpažinimo technologijoms viešose erdvėse, keliami griežti saugumo, skaidrumo ir etikos reikalavimai. Mažesni reikalavimai taikomi ribotos rizikos sistemoms, tačiau jos vis tiek turi atitikti saugumo ir skaidrumo standartus.
Kam taikomas DI aktas
DI aktas taikomas plačiam subjektų ratui: tiek dirbtinio intelekto sprendimus kuriančioms įmonėms, tiek organizacijoms, kurios naudoja dirbtinį intelektą kaip įrankį savo veikloje. Tai apima:
- Tiekėjus, kuriančius DI sistemas ir tiekiantys jas ES vidaus rinkai (nepriklausomai nuo to, kur įsisteigę);
- Visus fizinius ir juridinius asmenis, valstybės institucijas ir kitus subjektus, kurie profesiniais tikslais naudoja DI ES teritorijoje;
- Veiklos vykdytojus už ES ribų, kurių sukurtų DI sistemų rezultatai naudojami ES teritorijoje, įskaitant importuotojus, platintojus ir gamintojus;
- Oficialius tiekėjų atstovus, kurie nėra įsisteigę ES, tačiau čia vykdo komercinę veiklą.
Tai reiškia, kad nesvarbu, kur įmonė fiziškai veikia – jei jos DI sistemos naudojamos ES teritorijoje, jai taikomi DI akto reikalavimai.
Nuostatų taikymo etapai
Nors DI aktas jau įsigaliojo 2024 m. rugpjūčio 1 d., daugelis jo reikalavimų (ypač susijusių su aukštos rizikos DI sistemomis) pradės galioti nuo 2026 m. rugpjūčio 2 d. Vis dėlto kai kurie reikalavimai bus taikomi anksčiau, pavyzdžiui, draudžiamos su DI susijusios praktikos ir DI raštingumo nuostatos įsigalios jau nuo 2025 m. vasario 2 d.
Reikalavimai, pradedami taikyti nuo 2025 m. vasario 2 d.
- Draudžiama su DI susijusi praktikaPagal DI aktą kai kurios DI sistemos siejamos su nepriimtina rizika ir jų naudojimas apskritai uždraudžiamas. Tarp jų – sistemos, skirtos:
- manipuliavimui asmens psichika pasitelkiant jam nesuvokiamus metodus;
- išnaudojimui asmens ar asmenų grupės pažeidžiamumo dėl amžiaus, negalios ar socioekonominės padėties;
- fizinių asmenų socialiniams reitingams sudaryti, klasifikuojant pagal numanomas arba nuspėjamas asmenines savybes;
- nusikalstamų veikų rizikai vertinti vien remiantis asmens profiliavimu;
- veido atpažinimo duomenų bazėms kurti arba išplėsti;
- asmenų emocijoms atpažinti darbo ar švietimo įstaigose;
- biometriniam kategorizavimui;
- nuotoliniam biometriniam tapatybės nustatymui viešose erdvėse realiuoju laiku (siekiant informacijos naudoti teisėsaugos tikslais).
Nors kai kuriomis aplinkybėmis numatytos išimtys, visos šios praktikos bus draudžiamos nuo 2025 m. vasario 2 d.
- Raštingumas DI srityjeTą pačią datą įsigalios reikalavimas, kad asmenys, dirbantys su DI sistemomis, turėtų pakankamą DI raštingumo lygį. Tiekėjai ir naudotojai privalės:
- Įvertinti savo darbuotojų technines žinias, patirtį, išsilavinimą ir kontekstą, kuriame naudojamas DI;
- Imtis priemonių, padedančių užtikrinti pakankamą DI raštingumą, ypač jei naudojamos aukštos rizikos DI sistemos.
Siekdami išvengti netinkamo DI sistemos naudojimo, tiekėjai turi užtikrinti, kad darbuotojai suprastų DI veikimo principus ir galėtų operatyviai sureaguoti į galimas rizikas.
Sankcijos už DI akto pažeidimus
Už DI akto reikalavimų nesilaikymą gali būti taikomos griežtos sankcijos. Valstybės narės privalo nustatyti taisykles, susijusias su sankcijomis ir kitomis priemonėmis, kurios būtų veiksmingos, proporcingos ir atgrasomosios. ES teisės aktų leidėjas siekia, kad net startuoliai ar mažesnės įmonės būtų tinkamai apsaugotos, tačiau pažeidimus vis tiek būtų galima adekvačiai sankcionuoti.
- Draudžiama DI praktika: gali lemti baudas iki 35 000 000 EUR arba iki 7 % bendros metinės pasaulinės apyvartos.
- Veiklos vykdytojų ar priežiūros įstaigų pažeidimai: numatytos iki 15 000 000 EUR baudos (arba iki 3 % pasaulinės metinės apyvartos).
- Netinkama ar klaidinanti informacija: baudos iki 7 500 000 EUR (arba iki 1 % apyvartos).
Be baudų, gali būti taikomos ir nepiniginės priemonės, pavyzdžiui, įspėjimai ar veiklos ribojimai. Sprendžiant, ar skirti baudą ir kokio dydžio ji turėtų būti, atsižvelgiama į pažeidimo aplinkybes, jo trukmę, padarinius, veiklos vykdytojo dydį ir kitus kriterijus.
Kaip pasiruošti DI akto taikymo pradžiai?
DI aktas neabejotinai turės reikšmingos įtakos verslui, ypač toms įmonėms, kurios kuria DI sprendimus arba savo veikloje naudoja dirbtinį intelektą. Verslas turės užtikrinti, kad jo sistemos atitiktų DI akto nustatytus reikalavimus: saugumo, skaidrumo, etikos.
Įmonėms teks investuoti ne tik į technologijas, bet ir į:
- Teisinės atitikties mechanizmus – vidines politikos gaires, žmogaus kilpoje principo užtikrinimą;
- Darbuotojų mokymus DI srityje;
- Nuolatinį stebėsenos procesą, kad būtų išvengta galimų pažeidimų.
Pirmasis žingsnis – nustatyti, ar įmonė patenka į DI akto taikymo sritį. Jei taip, būtina įvertinti DI sistemos pobūdį (ar gali kilti draudimų?), jos keliamą riziką (aukštos, ribotos, minimalios), kokie DI akto reikalavimai privalomi. Jei kuriami ar naudojami sprendimai patenka tarp draudžiamų, jau dabar reikėtų planuoti, kaip keisti verslo strategiją. Taip pat būtina užtikrinti, kad darbuotojai, turintys reikalų su DI, būtų pakankamai kompetentingi, galėtų laiku identifikuoti rizikas ir priimti sprendimus, užkertančius kelią galimai žalai.
Tekstą parengė: Ovidijus Speičys, advokatų kontoros „Glimstedt“ vyresnysis teisininkas, ir Gabrielė Šapkauskaitė, advokatų kontoros „Glimstedt“ teisininkė, advokatų padėjėja.
