Baudos už ES DI akto neatitiktį: kas gresia smulkiam verslui

Didžiausia bauda už ES dirbtinio intelekto (DI) akto (angl. AI Act) neatitiktį siekia 35 mln. eurų arba 7 proc. įmonės pasaulinės metinės apyvartos - taikoma ta suma, kuri yra didesnė. Tai aukščiausias baudų lygis, numatytas Reglamente (ES) 2024/1689, ir jis taikomas tik už sunkiausius pažeidimus, tokius kaip uždraustų DI sistemų naudojimas. Tačiau mikroįmonei, kuri tiesiog naudoja „ChatGPT“ ar kitus įrankius kasdieniame darbe, realios DI akto sankcijos atrodo visai kitaip - ir tai būtent ta dalis, kurią svarbu suprasti, kad nei pervertintumėte, nei nuvertintumėte riziką.

Smulkiai įmonei svarbiausia atskirti teorinį maksimalų baudų lygį nuo realios kasdienės rizikos: dažniausiai problema yra ne piktybinis pažeidimas, o tai, kad nėra jokio atitikties įrodymo.

Kokie yra trys DI akto baudų lygiai?

ES DI aktas numato pakopinę baudų sistemą. Bauda priklauso nuo to, kokio pobūdžio pažeidimas padarytas - ne nuo to, kokio dydžio jūsų įmonė. Žemiau pateikiami trys pagrindiniai lygiai.

4 straipsnis nenustato atskiros baudos sumos. Šios lentelės ribų negalima pristatyti kaip automatinės baudos už neišlaikytą DI raštingumo testą ar pažymėjimo neturėjimą.

Svarbi detalė smulkiam verslui: Reglamentas aiškiai nurodo, kad mažosioms ir vidutinėms įmonėms bei pradedančiosioms įmonėms (startuoliams) taikoma žemesnioji iš dviejų ribų - fiksuota suma arba procentas, priklausomai nuo to, kuri suma mažesnė. Tai reiškia, kad mikroįmonei procentinė riba praktiškai veikia kaip apsauga nuo neproporcingų baudų, o ne kaip grėsmė.

Kitaip tariant, jei didelei korporacijai už tą patį pažeidimą gali grėsti procentas nuo daugiamilijardinės apyvartos, mažai įmonei viršutinė riba bus susieta su jos pačios kuklia apyvarta. Įstatymų leidėjas sąmoningai įdėjo šią nuostatą, kad reglamentas neuždusintų smulkaus verslo ir inovacijų. Todėl pirmas dalykas, kurį verta padaryti susidūrus su baimę keliančiomis antraštėmis, - patikrinti, prie kurio iš trijų lygių priskiriamas konkretus jūsų atvejis, ir ar pažeidimas išvis susijęs su jūsų vykdoma veikla.

Ar mikroįmonei realiai gresia milijoninės baudos?

Trumpas atsakymas - ne, milijoninės baudos mikroįmonei yra labai mažai tikėtinos. Taikoma riba priklauso nuo konkretaus pažeidimo, vaidmens ir mažoms bei vidutinėms įmonėms skirtų nuostatų; vien diegėjo statusas įmonės neatleidžia. Dauguma Lietuvos mikroįmonių yra tik DI naudotojai (diegėjai) - jos naudoja jau egzistuojančius įrankius rinkodarai, tekstams, buhalterijai ar klientų aptarnavimui.

Naudotojui realiausios rizikos yra šios:

• DI raštingumo prievolės nesilaikymas. Tai pati dažniausia ir konkrečiausia prievolė smulkiam verslui. Nuo 2025 m. vasario 2 d. galioja 4 straipsnio reikalavimas, kad įmonės (nepriklausomai nuo dydžio) imtųsi priemonių DI raštingumui ugdyti darbuotojams ir asmenims, susijusiems su DI sistemų naudojimu, atsižvelgiant į jų žinias, patirtį, apmokymą, kontekstą ir paveiktus asmenis. Tai nereiškia, kad reikėtų garantuoti tam tikrą ar pakankamą individualų lygį. Daugiau apie tai - 4 straipsnio reikalavimų straipsnyje.
• Skaidrumo pažeidimai. Jei naudojate DI klientų aptarnavimui (pokalbių robotas) arba generuojate dirbtinį turinį, naudotojai turi būti informuoti, kad bendrauja su DI arba mato DI sukurtą turinį.
• Negebėjimas pademonstruoti atitikties. Jei priežiūros institucija paklaus, kaip valdote DI naudojimą, neturėdami jokių dokumentų atsidursite silpnoje pozicijoje.

Daugiau klaidingų įsitikinimų apie tai, kas „tikrai“ ir kas „neva“ gresia, paaiškinta straipsnyje ES DI aktas: mitai ir faktai.

Kada įsigalioja DI akto prievolės?

DI akto sankcijos negali būti taikomos anksčiau, nei įsigalioja atitinkamos prievolės. Reglamentas įsigalioja palaipsniui, todėl svarbu žinoti datas - bauda už dar neįsigaliojusią prievolę neegzistuoja.

Kaip matote, DI raštingumo prievolė pagal 4 straipsnį jau galioja nuo 2025 m. vasario 2 d., o bendrosios paskirties DI modelių taisyklės pradėtos taikyti 2025 m. rugpjūčio 2 d., atsižvelgiant į pereinamąsias nuostatas. Bendras reglamento ir vykdymo užtikrinimo nuostatų taikymas prasidėjo 2026 m. rugpjūčio 2 d. Tai reiškia, kad reikalavimas imtis darbuotojų DI raštingumo ugdymo priemonių yra ne ateities planas, o jau veikianti prievolė. Daugiau apie tai, kam konkrečiai taikomas ES DI aktas, rasite atskirame straipsnyje.

Kaip realiai veikia priežiūra ir baudų skyrimas?

Svarbu suprasti, kad baudos neskiriamos automatiškai ar atsitiktinai. ES DI aktas reikalauja, kad sankcijos būtų veiksmingos, proporcingos ir atgrasančios, o skiriant baudą būtų atsižvelgiama į daugybę aplinkybių:

1. Pažeidimo pobūdį ir sunkumą - ar tai uždrausta praktika, ar tik dokumentacijos trūkumas.
2. Įmonės dydį ir rinkos padėtį - mikroįmonei taikomas atskiras, palankesnis vertinimas.
3. Ar pažeidimas tyčinis, ar dėl aplaidumo.
4. Ar įmonė bendradarbiavo su institucijomis ir ėmėsi taisomųjų veiksmų.
5. Ar anksčiau jau buvo pažeidimų.

Praktiškai tai reiškia, kad įmonė, kuri turi paruoštą DI naudojimo politiką, įrankių registrą ir gali parodyti, kad darbuotojai buvo apmokyti, atsiduria visiškai kitokioje pozicijoje nei įmonė, kuri į užklausą negali pateikti jokio dokumento. Pirmuoju atveju net jei kažkas ir trūksta, matomas geras tikėjimas ir pastangos - antruoju atveju matomas aplaidumas.

Lietuvoje priežiūros institucijų sistema dar formuojama, tačiau principas aiškus: dokumentai ir įrodomas raštingumas yra jūsų pagrindinė apsauga. Oficialų reglamento tekstą galima rasti EUR-Lex svetainėje (eur-lex.europa.eu, Reglamentas (ES) 2024/1689), o praktinę informaciją skelbia Europos Komisijos skaitmeninės strategijos puslapis.

Kokia yra didžiausia paslėpta rizika?

Didžiausia rizika smulkiam verslui nėra pati bauda - tai negebėjimas įrodyti atitikties tada, kai to paprašoma. Daugelis vadovų galvoja „mes nieko blogo nedarome, tik naudojame ChatGPT“, ir tai dažnai tiesa. Problema ta, kad „mes nieko blogo nedarome“ nėra dokumentas. Kai priežiūros institucija, klientas didelio konkurso metu arba auditorius paklaus konkrečiai, reikės parodyti:

• kokius DI įrankius įmonė naudoja ir kam (DI įrankių registras tai sprendžia);
• kokios yra vidinės DI naudojimo taisyklės;
• kokių darbuotojų DI raštingumo ugdymo priemonių imtasi pagal 4 straipsnį;
• kaip valdoma asmens duomenų ir konfidencialumo rizika naudojant DI.

Be šių dokumentų net ir visiškai sąžiningai veikianti įmonė atrodo neatitinkanti reikalavimų. Su jais - net ir nedidelis trūkumas atrodo kaip techninė smulkmena, o ne aplaidumas.

Yra ir antra paslėpta rizika, kuri retai aptariama: konkurenciniai ir komerciniai praradimai. Vis dažniau didesni klientai, viešojo sektoriaus pirkimų organizatoriai ir partneriai pradeda klausti tiekėjų, kaip jie valdo DI naudojimą. Jei negalite pateikti net bazinės DI naudojimo politikos, galite prarasti sutartį dar net nepasiekę baudų klausimo. Šia prasme atitiktis tampa ne tik teisine prievole, bet ir pardavimo argumentu - įrodymu, kad esate rimtas, tvarkingas partneris.

Ką smulkiam verslui daryti praktiškai?

Geros žinios: atitiktis naudotojo lygmeniu yra visiškai pasiekiama standartizuotomis priemonėmis ir be didelių išlaidų. Žemiau: konkretūs žingsniai, kuriuos gali atlikti bet kuri 1 - 30 darbuotojų įmonė.

1. Inventorizuokite, kur naudojate DI. Surašykite visus įrankius - nuo „ChatGPT“ iki DI funkcijų buhalterinėje programoje. Tai yra DI įrankių registro pagrindas.
2. Parašykite trumpą DI naudojimo politiką. Ką darbuotojams galima daryti, ko ne (pvz., nesuvesti klientų asmens duomenų į viešus įrankius).
3. Ugdykite darbuotojų DI raštingumą. Tai jau galiojanti 4 straipsnio prievolė - reikia priemonių DI raštingumui ugdyti, pvz., bazinio mokymo su žinių patikra. Galite pradėti nuo nemokamų DI raštingumo mokymų. Pastaba: nėra universalaus reikalavimo turėti konkretų pažymėjimą, fiksuotą mokymų valandų skaičių, samdyti išorinį mokymų vedėją, atlikti auditą ar paskirti atskirą DI atitikties pareigūną. Mūsų dokumentai ir testai - tai praktiškas pasiūlymas, bet ne privalomas teisinis minimumas ar atitikties garantija. Nemokamas kelias skirtas vienam prisijungusiam dalyviui; komandos mokymai įtraukti į mokamą dokumentų paketą.
4. Saugokite atitikties įrašą. Kad galėtumėte įrodyti, jog ėmėtės veiksmų ir kada.
5. Periodiškai atnaujinkite. DI įrankiai keičiasi greitai, todėl dokumentai turi gyvuoti, o ne dulkėti stalčiuje.

Visus šiuos dokumentus galima parengti ranka, tačiau tai užima laiko ir reikalauja įsigilinimo į reglamentą. Alternatyva - automatizuotas sprendimas: nebedirbam.lt pagal atitikties ekspertės peržiūrėtus šablonus automatiškai parengia visą reikalingą atitikties paketą (DI naudojimo politiką, įrankių registrą, atitikties įrašą, darbuotojų DI vadovą ir DI raštingumo mokymus su pažymėjimais) už fiksuotą €149 + PVM (€299) kainą, be jokių valandinių mokesčių. Plačiau apie tai, ar DI atitikčiai reikia teisininko, aprašyta atskirai.

Atsakymo į klausimą, ar galima naudoti DI įrankius su asmens duomenimis: ES DI aktas neįvedė visiško draudimo. Reikia įvertinti teisėtą pagrindą, duomenų minimizavimo principą, naudoti patvirtintus įrankius ir taikyti tinkamas apsaugos priemones. Draudimas galioja tik nepatvirtintams ar viešai prieinamiems įrankiams be atitinkamų saugų. Daugiau: ES DI aktas: mitai ir faktai.

Kas svarbiausia įsidėmėti

DI akto baudos skamba bauginančiai, bet smulkiam verslui realybė kur kas ramesnė nei antraštės apie 35 mln. eurų. Trys dalykai, kuriuos verta atsiminti:

• Didžiausios baudos skirtos sunkiems pažeidimams ir dideliems žaidėjams, o mikroįmonėms taikomos žemesniosios ribos.
• Realiausia rizika - negebėjimas įrodyti atitikties, ne pati bauda.
• DI raštingumo prievolė galioja jau dabar (nuo 2025-02-02), todėl delsti nėra prasmės.

Geriausia apsauga nuo DI akto neatitikties yra ne nerimas, o paprastas dokumentų rinkinys ir apmokyti darbuotojai. Daugiau praktinių temų rasite visų straipsnių sąraše.

---

Šiame straipsnyje pateikta informacija remiasi oficialiais ES DI akto (Reglamentas (ES) 2024/1689) šaltiniais: AI Act Service Desk - 4 straipsnis ir Europos Komisijos skaitmeninės strategijos puslapis.