ES dirbtinio intelekto aktas (EU AI Act)

ES dirbtinio intelekto aktas (angl. EU AI Act) – tai 2024 m. birželio 13 d. priimtas Reglamentas (ES) 2024/1689, kuris nustato vienodas dirbtinio intelekto sistemų taisykles visoje Europos Sąjungoje. Jis įsigaliojo 2024 m. rugpjūčio 1 d., o taikomas etapais iki 2028 m. rugpjūčio 2 d. Reglamentas tiesiogiai galioja Lietuvoje – nereikia jokio atskiro nacionalinio įstatymo, kad pareigos atsirastų įmonėms.

Aktas reguliuoja ne technologiją apskritai, o jos naudojimo paskirtį. Tas pats kalbos modelis gali būti visiškai nereguliuojamas, kai rašo prekių aprašymus, ir būti didelės rizikos sistema, kai atrenka darbuotojų CV. Todėl pirmas klausimas visada yra ne „kokį DI naudojame“, o „kam jį naudojame ir kas priima sprendimą“.

Kas yra DI aktas paprastai: keturi rizikos lygiai

Reglamentas DI sistemas skirsto pagal riziką žmonių sveikatai, saugumui ir pagrindinėms teisėms. Kuo didesnė rizika, tuo daugiau pareigų.

Atskirai reguliuojami bendrosios paskirties DI modeliai (angl. general-purpose AI, GPAI) – tokie kaip GPT, Claude, Gemini ar atvirojo svorio modeliai. Jų kūrėjams nuo 2025 m. rugpjūčio 2 d. taikomos dokumentacijos, autorių teisių politikos ir mokymo duomenų santraukos pareigos. Modeliams, kurių mokymui panaudota daugiau nei 1025 slankiojo kablelio operacijų, taikomos papildomos sisteminės rizikos pareigos. Įmonė, kuri tokį modelį tik naudoja per API, šių pareigų neprisiima.

EU AI Act datos: kas jau galioja 2026 m. spalį

Žemiau – oficialus grafikas pagal Europos Komisijos AI Act Service Desk, jau įvertinus 2026 m. pakeitimą (žr. schemą):

• 2024 m. rugpjūčio 1 d. – reglamentas įsigaliojo.
• 2025 m. vasario 2 d. – pradėtos taikyti bendrosios nuostatos (sąvokos, DI raštingumas) ir draudžiamos praktikos.
• 2025 m. rugpjūčio 2 d. – taisyklės bendrosios paskirties DI modelių tiekėjams; valstybės narės turėjo paskirti institucijas ir nustatyti baudas.
• 2026 m. rugpjūčio 2 d. – pradėta taikyti dauguma taisyklių, įskaitant 50 straipsnio skaidrumo pareigas; prasidėjo priežiūra nacionaliniu ir ES lygiu dėl draudimų, skaidrumo, DI raštingumo ir GPAI modelių.
• 2026 m. gruodžio 2 d. – nauji draudimai DI sistemoms, kurios be sutikimo generuoja intymaus pobūdžio vaizdus ar vaikų seksualinės prievartos medžiagą; baigiasi pereinamasis laikotarpis 50 straipsnio 2 dalies žymėjimo pareigai sistemoms, pateiktoms rinkai iki 2026 m. rugpjūčio 2 d.
• 2027 m. rugpjūčio 2 d. – kiekviena valstybė narė turi turėti bent vieną veikiančią DI reguliavimo smėliadėžę.
• 2027 m. gruodžio 2 d. – III priedo didelės rizikos sistemų (darbas, švietimas, kreditas, esminės paslaugos ir kt.) taisyklės.
• 2028 m. rugpjūčio 2 d. – I priedo didelės rizikos sistemų, įmontuotų į reguliuojamus gaminius (pvz., medicinos prietaisus, mašinas), taisyklės.

Kas pasikeitė 2026 m.: DI omnibusas (Reglamentas (ES) 2026/1744)

Europos Komisija 2025 m. lapkritį pasiūlė supaprastinti DI aktą, nes laiku nebuvo parengti darnieji standartai ir kitos pagalbos priemonės. Galutinis tekstas – Reglamentas (ES) 2026/1744 – priimtas 2026 m. liepos 8 d., paskelbtas Oficialiajame leidinyje 2026 m. liepos 24 d. ir įsigaliojo 2026 m. liepos 27 d., likus šešioms dienoms iki pirminio didelės rizikos termino. Svarbiausi pakeitimai verslui:

• Didelės rizikos taisyklės atidėtos: III priedo sistemoms – iki 2027 m. gruodžio 2 d. (buvo 2026 m. rugpjūčio 2 d.), I priedo – iki 2028 m. rugpjūčio 2 d. (buvo 2027 m. rugpjūčio 2 d.).
• DI raštingumas liko pareiga, bet sušvelnintas: tiekėjai ir diegėjai turi imtis priemonių darbuotojų DI raštingumui stiprinti, tačiau neprivalo garantuoti konkretaus kiekvieno asmens lygio. Komisija ir valstybės narės turi padėti, ypač MVĮ.
• Lengvatos išplėstos: supaprastinta techninė dokumentacija ir proporcinga kokybės valdymo sistema taikoma ne tik MVĮ, bet ir mažoms vidutinės kapitalizacijos įmonėms (angl. small mid-caps, SMC); joms nustatytos atskiros baudų ribos.
• Mažiau registracijos: sumažinta registracijos našta sistemoms, kurios naudojamos didelės rizikos srityse, bet atlieka nedidelės rizikos užduotis.
• Šališkumo taisymas: leidžiama, taikant apsaugos priemones, tvarkyti specialių kategorijų asmens duomenis šališkumui aptikti ir ištaisyti.
• Priežiūros centralizavimas: sistemas, sukurtas ant bendrosios paskirties modelių, ir DI labai didelėse platformose prižiūri Komisijos DI biuras.
• Nauji draudimai intymių giluminių klastočių be sutikimo ir vaikų seksualinės prievartos medžiagos generavimui – nuo 2026 m. gruodžio 2 d.

Svarbu: omnibusas neatidėjo skaidrumo pareigų, draudimų ir bendrosios paskirties modelių taisyklių. Jei jūsų svetainėje veikia pokalbių robotas, pareiga informuoti klientą galioja nuo 2026 m. rugpjūčio 2 d.

DI akto pareigos el. parduotuvei ir paslaugų įmonei

Dauguma Lietuvos MVĮ DI aktą pajus per keturias situacijas:

1. Pokalbių robotas ar balso asistentas. 50 straipsnio 1 dalis reikalauja, kad žmogus būtų informuotas, jog bendrauja su DI sistema, nebent tai akivaizdu iš aplinkybių. Praktiškai – aiškus užrašas lango pradžioje („Atsako DI asistentas“) ir galimybė pereiti pas žmogų. Jei robotą susikūrėte patys per API ir naudojate savo vardu, jūs esate ne tik diegėjas, bet ir sistemos tiekėjas.
2. Sugeneruoti vaizdai, vaizdo įrašai ir garsas. Generatyvinio DI sistemų tiekėjai turi mašininiu būdu žymėti sintetinį turinį (50 straipsnio 2 dalis). Diegėjas, skelbiantis giluminę klastotę – tikroviškai atrodantį žmogų, vietą ar įvykį, kurio nebuvo, – turi tai atskleisti (50 straipsnio 4 dalis). Sugeneruota prekės nuotrauka ant balto fono paprastai nėra giluminė klastotė, bet reklama su „tikru“ klientu, kurio nėra, jau gali ja būti.
3. DI sugeneruotas tekstas viešojo intereso klausimais. Jei tekstas skelbiamas visuomenei informuoti apie viešojo intereso dalykus, reikia nurodyti, kad jis sugeneruotas, nebent jį peržiūrėjo žmogus ir už jį atsako redakcija. Įprasti prekių aprašymai ir tinklaraščio įrašai apie produktus šios pareigos paprastai nesukelia.
4. Personalo atranka ir darbuotojų vertinimas. DI, kuris filtruoja CV, reitinguoja kandidatus, skirsto užduotis ar vertina darbuotojų rezultatus, yra III priedo didelės rizikos sistema. Diegėjui nuo 2027 m. gruodžio 2 d. reikės naudoti ją pagal instrukcijas, užtikrinti žmogaus priežiūrą, saugoti žurnalus bent 6 mėnesius ir iš anksto informuoti darbuotojus bei jų atstovus.

Be to, nuo 2025 m. vasario 2 d. visiems galioja DI raštingumo pareiga (4 straipsnis): darbuotojai, kurie naudoja DI darbe, turi suprasti jo galimybes, ribas ir rizikas, pavyzdžiui, haliucinacijas. Užtenka proporcingų priemonių – vidinės tvarkos, trumpo mokymo, aiškių taisyklių, kokius duomenis galima įkelti į pokalbių įrankius.

Tiekėjas ar diegėjas: kas atsako

Aktas skiria du pagrindinius vaidmenis. Tiekėjas (angl. provider) sukuria DI sistemą arba modelį ir pateikia jį rinkai savo vardu. Diegėjas (angl. deployer) DI sistemą naudoja savo veikloje. Ta pati įmonė gali būti abu: jei e. parduotuvė sujungia LLM API su savo duomenimis ir paleidžia pokalbių robotą savo vardu, ji yra tos sistemos tiekėja, nors modelį sukūrė kitas. Jei įmonė ženkliai pakeičia didelės rizikos sistemą ar jos paskirtį, ji taip pat gali tapti tiekėja su visomis pareigomis. Todėl sutartyse su DI paslaugų teikėjais verta aiškiai aprašyti, kas atsako už informavimą, žymėjimą ir žurnalus.

Baudos pagal DI aktą

Baudų ribas nustato 99 straipsnis. Taikoma didesnė iš dviejų sumų, o MVĮ (nuo 2026 m. – ir mažoms vidutinės kapitalizacijos įmonėms pagal atskiras ribas) – mažesnė:

Konkretų baudos dydį lemia pažeidimo pobūdis, trukmė, pasekmės, bendradarbiavimas su institucija ir įmonės dydis. Baudos – kraštutinė priemonė; dažniau institucija pirmiausia reikalauja ištaisyti pažeidimą.

Kaip pasiruošti: 6 žingsniai

1. Surašykite visus DI naudojimo atvejus: įrankiai darbuotojams, pokalbių robotas, reklamos kūryba, atranka, analitika, DI agentai.
2. Kiekvienam atvejui nustatykite rizikos lygį ir savo vaidmenį (tiekėjas ar diegėjas).
3. Patikrinkite, ar nėra draudžiamų praktikų (pvz., emocijų atpažinimo darbuotojų vaizdo stebėjime).
4. Įdiekite skaidrumą: užrašas pokalbių robote, sintetinio turinio žymėjimas, taisyklė, kada skelbti, kad turinys sugeneruotas.
5. Patvirtinkite DI naudojimo tvarką ir apmokykite darbuotojus (DI raštingumas): ką galima įkelti, kaip tikrinti atsakymus, kas atsako.
6. Jei naudojate DI atrankai ar darbuotojų vertinimui, iki 2027 m. gruodžio 2 d. pareikalaukite iš tiekėjo naudojimo instrukcijų, atitikties įrodymų ir žurnalų galimybės.

Kai DI tvarko asmens duomenis, kartu taikomas BDAR – DI aktas jo nepakeičia. Jei duomenys negali palikti įmonės, vienas iš sprendimų – lokalus kalbos modelis, nors DI akto pareigos nuo to nepriklauso: jos priklauso nuo paskirties, ne nuo to, kur veikia modelis.

Lietuva DI akto institucijas paskyrė 2025 m. sausio 14 d. Seimui priėmus Technologijų ir inovacijų įstatymo bei Informacinės visuomenės paslaugų įstatymo pakeitimus. Ryšių reguliavimo tarnyba (RRT) nuo 2025 m. balandžio 1 d. atlieka rinkos priežiūros institucijos ir bendrojo kontaktinio punkto funkcijas, priima skundus dėl DI sistemų. RRT nėra vienintelė priežiūros institucija: tiesiogiai taikomas nuostatas savo sektoriuose prižiūri ir kitos sektorinės rinkos priežiūros institucijos. Inovacijų agentūra nuo 2025 m. rugpjūčio atlieka notifikuojančiosios institucijos funkcijas – vertina atitikties vertinimo įstaigas, kurios sertifikuos didelės rizikos sistemas – ir administruoja DI reguliavimo smėliadėžę, kur įmonės gali išbandyti sprendimus prižiūrimos institucijos.

Kai DI tvarko asmens duomenis (klientų užklausos, CV, susirašinėjimas), papildomai taikomas BDAR, kurį prižiūri Valstybinė duomenų apsaugos inspekcija (VDAI). Darbuotojų atrankai ir stebėsenai aktualus ir Darbo kodeksas. Oficialų reglamento tekstą lietuvių kalba rasite EUR-Lex, o institucijų sąrašą – Ekonomikos ir inovacijų ministerijos puslapyje.