DI diegimo kontrolinis sąrašas smulkiam verslui

DI diegimo kontrolinis sąrašas smulkiam verslui - tai dešimt nuoseklių žingsnių: inventorizuoti naudojamus DI įrankius, nustatyti rizikos kategorijas, paskirti atsakingą asmenį, parengti naudojimo politiką, apmokyti darbuotojus, įvesti asmens duomenų apsaugos taisykles, dokumentuoti atitiktį, peržiūrėti tiekėjų sutartis, suplanuoti reguliarų atnaujinimą ir patikrinti, ar laikomasi ES DI akto reikalavimų. Šis straipsnis pateikia visą sąrašą su konkrečiais veiksmais, pritaikytais Lietuvos mikroįmonei (1 - 30 darbuotojų), kuri jau naudoja ChatGPT, Copilot ar kitus DI įrankius, bet dar neturi tvarkos popieriuje.

Daugelis smulkių įmonių DI pradeda naudoti spontaniškai: vienas darbuotojas atsidaro ChatGPT, kitas - Copilot, buhalterė bando DI sąskaitų atpažinimą. Po pusmečio paaiškėja, kad niekas nežino, kas, kokius įrankius ir kokiems duomenims naudoja. Šis čeklistas padeda suvesti viską į tvarką per kelias dienas, o ne mėnesius.

Kodėl smulkiam verslui apskritai reikia DI diegimo plano?

Be plano DI naudojimas tampa „šešėliniu“ - neregistruotu, nekontroliuojamu ir rizikingu. Pagrindinės priežastys, kodėl net 5 žmonių įmonei verta turėti struktūruotą sąrašą:

• Teisinė prievolė. ES DI aktas (angl. AI Act), Reglamentas (ES) 2024/1689, 4 straipsnis nuo 2025 m. vasario 2 d. reikalauja, kad įmonės, naudojančios DI sistemas profesinėje veikloje, imtųsi priemonių DI raštingumui ugdyti darbuotojams ir kitiems asmenims, atsižvelgiant į jų žinias, patirtį, apmokymą, kontekstą ir paveiktus asmenis. Ši prievolė taikoma visiems, kurie naudoja DI - nepriklausomai nuo įmonės dydžio. Nėra reikalavimo užtikrinti tam tikrą ar pakankamą individualų raštingumo lygį.
• Duomenų apsauga. Darbuotojai be aiškių taisyklių gali į DI įrankius suvesti klientų asmens duomenis ar komercines paslaptis.
• Kokybės kontrolė. Be politikos niekas netikrina DI atsakymų - atsiranda rizika klysti dokumentuose, sąmatose, susirašinėjime.
• Aiškumas komandai. Žmonės nesupranta, ką galima ir ko negalima, todėl arba bijo naudoti DI, arba naudoja per drąsiai.

Daugiau apie tai, kaip neregistruotas naudojimas virsta problema, rasite visų straipsnių sąraše - pavyzdžiui, žiūrint temas apie šešėlinį DI ir asmens duomenis.

Kaip atrodo pilnas DI diegimo kontrolinis sąrašas?

Žemiau pateikiama lentelė su dešimties žingsnių sąrašu, atsakingumu ir pagrindiniu rezultatu. Ją galite atsispausdinti ir naudoti kaip darbinį dokumentą.

Toliau aptariami kiekvieno žingsnio konkretūs veiksmai.

1. Kaip inventorizuoti naudojamus DI įrankius?

Pradėkite nuo paprasto klausimo komandai: „Kokius DI įrankius naudoji darbe?“ Surašykite viską - nuo ChatGPT ir Microsoft Copilot iki DI funkcijų, įmontuotų į buhalterinę programą, CRM ar el. pašto klientą. Daug DI naudojama net to nesuvokiant: vertimo įrankiai, teksto taisymas, automatiniai atsakymai.

Kiekvienam įrankiui užfiksuokite: pavadinimą, kas naudoja, kokiam tikslui, kokie duomenys patenka, ar tai nemokama, ar mokama versija. Toks struktūruotas sąrašas vadinamas registru - kaip jį teisingai sudaryti ir kokius laukus įtraukti, plačiau aprašyta straipsnyje apie DI įrankių registrą.

2. Kaip nustatyti rizikos lygį kiekvienam įrankiui?

ES DI aktas skirsto DI sistemas į rizikos kategorijas. Daugumai mikroįmonių aktualu žinoti tris dalykus:

1. Ar tai draudžiama praktika? Pavyzdžiui, emocijų atpažinimas darbo vietoje yra draudžiamas nuo 2025 m. vasario 2 d.
2. Ar tai didelės rizikos sistema? Tipiniai biuro įrankiai (ChatGPT teksto rašymui, Copilot kodui) didelės rizikos kategorijai paprastai nepriklauso.
3. Ar reikia skaidrumo? Jei DI bendrauja su klientais (pokalbių robotas) arba generuoja turinį, reikia informuoti vartotoją.

Praktiškai daugelis smulkiojo verslo įrankių patenka į „minimalios“ arba „ribotos“ rizikos kategoriją, todėl pagrindinė prievolė lieka DI raštingumas ir skaidrumas, o ne sudėtingas atitikties vertinimas.

3. Kas turi būti atsakingas už DI įmonėje?

Net mažoje įmonėje reikia vieno žmogaus, kuris „turi DI tvarką ant savo stalo“. Tai gali būti vadovas, biuro administratorius ar IT atsakingas darbuotojas. Jo užduotys: prižiūrėti registrą, atnaujinti politiką, organizuoti mokymus naujiems darbuotojams ir reaguoti, kai atsiranda naujas įrankis. Be aiškaus paskyrimo dokumentai sensta, o atsakomybė „pasimeta“ tarp visų.

4. Kaip parašyti DI naudojimo politiką?

Politika - tai trumpas dokumentas, paaiškinantis darbuotojams, ką galima ir ko negalima daryti su DI. Geroje smulkios įmonės politikoje yra: leistini įrankiai, draudžiami duomenų tipai (asmens kodai, sveikatos duomenys, klientų sutartys), reikalavimas tikrinti DI atsakymus prieš naudojant ir skaidrumo taisyklė klientų atžvilgiu.

Politika neturi būti dešimties puslapių teisinis traktatas - mikroįmonei pakanka 2 - 3 aiškių puslapių. Kaip tokį dokumentą struktūruoti ir kokius punktus būtinai įtraukti, detaliai aprašyta straipsnyje apie DI naudojimo politiką įmonėje.

5. Kaip apmokyti darbuotojus pagal 4 straipsnį?

ES DI akto 4 straipsnis (nuo 2025 m. vasario 2 d.) reikalauja, kad įmonės imtųsi priemonių ugdyti darbuotojų ir kitų asmenų DI raštingumą, atsižvelgiant į jų žinias, patirtį, apmokymą, kontekstą ir paveiktus asmenis. Tai nereiškia, kad kiekvienas turi tapti inžinieriumi arba kad reikalingi specialūs sertifikatai, konkretus dokumentų paketas, fiksuotas mokymų valandų skaičius, išorinis mokymų vedėjas ar atskiras DI atsakingasis. Praktiški mokymai, pasirinktinė žinių patikra ir mokymų įrašai gali būti naudingos priemonės, parenkamos pagal kontekstą - pavyzdžiui, naudojant mūsų parengtus dokumentus ir testą.

Mokymai turi apimti: DI veikimo pagrindus, dažniausias klaidas (haliucinacijas), duomenų apsaugą ir įmonės politikos taisykles. Kaip suplanuoti tokius mokymus ir ką jie privalo apimti, skaitykite straipsnyje apie DI raštingumo mokymus darbuotojams. Nemokamus DI raštingumo mokymus su žinių patikra ir pažymėjimu galite užsisakyti per nemokamų mokymų anketą. Nemokamas kelias skirtas vienam prisijungusiam dalyviui; komandos mokymai įtraukti į mokamą dokumentų paketą.

6. Kaip apsaugoti asmens duomenis naudojant DI?

Pagrindinė taisyklė smulkiam verslui: niekada neveskite į viešus ar neaprobiuotus DI įrankius asmens duomenų, sveikatos informacijos, klientų sutarčių ar komercinių paslapčių, jei to neleidžia tiekėjo sąlygos ar neturite tinkamo teisinio pagrindo ir apsaugos priemonių. Praktinis sprendimas:

• naudokite verslo (ne nemokamą) DI versiją, kuri nepanaudoja jūsų duomenų modelio mokymui;
• anonimizuokite duomenis prieš įvesdami juos į DI;
• įrašykite šias taisykles į politiką, kad darbuotojai aiškiai žinotų ribas.

BDAR ir DI aktas veikia kartu - DI atitiktis neatleidžia nuo duomenų apsaugos prievolių. Įmonėse neretai draudžiama naudoti viešus, neaprobiuotus DI įrankius, bet tai nereiškia visiško DI naudojimo draudimo - reikia įvertinti teisinį pagrindą, duomenų minimalizavimą, įrankio patikimumą ir apsaugos priemones.

7. Kaip dokumentuoti DI atitiktį?

Atitikties įrašas - tai dokumentas, kuris aprašo įmonės pasirinktus veiksmus, pavyzdžiui, įrankių sąrašą, taisykles ir įvykusius mokymus. Jei priežiūros institucija ar klientas paklaus, kaip užtikrinate atitiktį DI aktui, atitikties įrašas yra atsakymas. Jame fiksuojama, kada kas buvo padaryta ir kas atsakingas. Tai geriausia tvarkos „nuotrauka laike“, kurią galima parodyti tikrinimo metu.

Mūsų parengti dokumentai (politika, registras, atitikties įrašas) ir mokymų testas - tai praktiški įrankiai, bet jie nėra privalomi teisiniai minimumai ar garantija, kad įmonė atitiks ES DI aktą.

8. Ką patikrinti DI tiekėjų sąlygose?

Peržiūrėdami DI įrankių tiekėjus, atkreipkite dėmesį į: ar jie naudoja jūsų duomenis modelio mokymui, kur saugomi duomenys (ES ar ne), ar yra duomenų tvarkymo sutartis, ar tiekėjas pats laikosi DI akto. Smulkiai įmonei svarbu rinktis tiekėjus, kurie aiškiai pareiškia, kad verslo plano duomenys nenaudojami modelio treniravimui.

9. Kaip suplanuoti reguliarų DI dokumentų atnaujinimą?

DI rinka keičiasi greitai - atsiranda nauji įrankiai, keičiasi tiekėjų sąlygos, įsigalioja naujos DI akto prievolės. Pavyzdžiui, DI raštingumo priemonės (4 straipsnis) taikomos nuo 2025 m. vasario 2 d., bendrosios paskirties DI modelių taisyklės pradėtos taikyti 2025 m. rugpjūčio 2 d., atsižvelgiant į pereinamąsias nuostatas, o skaidrumo prievolės (50 straipsnis) taikomos nuo 2026 m. rugpjūčio 2 d. Didelės rizikos DI sistemoms (pvz., III priedo) reikalavimai įsigalios 2027 m. gruodžio 2 d., o didelės rizikos DI, įdiegtoms į reguliuojamus I priedo produktus - 2028 m. rugpjūčio 2 d. Todėl registras ir politika neturi likti „akmenyje“. Nustatykite reguliarią peržiūrą - pavyzdžiui, kas pusmetį arba kaskart, kai komandoje atsiranda naujas įrankis. Kaip tai daryti sistemingai, aprašyta straipsnyje apie DI dokumentų atnaujinimą.

10. Kaip patikrinti, ar viskas atitinka ES DI aktą?

Paskutinis žingsnis - peržiūrėti visą sąrašą ir įsitikinti, kad kiekvienas punktas atliktas. Greitas savikontrolės klausimynas:

• ✅ Ar turime visų DI įrankių registrą?
• ✅ Ar kiekvienam įrankiui priskirtas rizikos lygis?
• ✅ Ar yra atsakingas asmuo?
• ✅ Ar parašyta naudojimo politika?
• ✅ Ar darbuotojai apmokyti ir turi pažymėjimus?
• ✅ Ar nustatytos duomenų apsaugos taisyklės?
• ✅ Ar parengtas atitikties įrašas?
• ✅ Ar peržiūrėti tiekėjai?
• ✅ Ar suplanuotas atnaujinimas?

Jei į visus klausimus atsakote „taip“ - turite veikiančią DI tvarką. Oficialų reglamento tekstą galima rasti EUR-Lex portale (eur-lex.europa.eu), o praktinę informaciją apie DI aktą skelbia Europos Komisijos skaitmeninės strategijos portalas.

Kiek laiko ir resursų užima visas šis sąrašas?

Pats sunkumas - ne įrankių inventorizacija, o dokumentų parengimas teisingu pavidalu. Mikroįmonė tai gali padaryti pati pagal šabloną arba automatizuotai. Pavyzdžiui, nebedirbam.lt už fiksuotą €149 + PVM (€299) kainą automatiškai parengia visą reikiamą paketą - DI naudojimo politiką, DI įrankių registrą, atitikties įrašą ir darbuotojų DI vadovą, plius DI raštingumo mokymus su žinių patikra ir pažymėjimais. Paslaugą teikia UAB Silotech (įmonės kodas 306971572) ir ji yra 100 % automatizuota, todėl dokumentus gaunate be jokio laukimo eilėse. Dokumentai rengiami pagal specialisto peržiūrėtus šablonus, bet kiekvienas sugeneruotas dokumentas nėra atskirai tikrinamas.

Trumpa santrauka: DI čeklistas vienu žvilgsniu

DI diegimas smulkioje įmonėje nėra raketų mokslas - tai dešimt nuoseklių žingsnių nuo įrankių inventorizacijos iki reguliaraus atnaujinimo. Pradėkite nuo paprasto: surašykite, kokius DI įrankius jau naudojate, ir paskirkite atsakingą asmenį. Toliau eikite per politiką, mokymus, duomenų apsaugą ir dokumentavimą. Svarbiausia - pradėti, nes ES DI akto 4 straipsnio prievolė dėl DI raštingumo galioja nuo 2025 m. vasario 2 d., o tvarka popieriuje apsaugo įmonę ir nuo teisinės, ir nuo praktinės rizikos.

Šio straipsnio teisinė informacija remiasi oficialiais ES DI akto (Reglamentas (ES) 2024/1689) 4 straipsnio reikalavimais, kurie įsigaliojo 2025 m. vasario 2 d., ir ES DI akto priemonių portalo bei Europos Komisijos skaitmeninės strategijos portalo paaiškinimais. Norėdami sužinoti naujausius pakeitimus, tikrinkite šiuos šaltinius.