Dirbtinio intelekto aktas viešojo sektoriaus institucijoms: ką parengti iki 2027 m. gruodžio

01Padėtis 2026 m. rudenį

Dirbtinio intelekto aktas (atidaroma išorinė svetainė), Reglamentas (ES) 2024/1689, įsigaliojo 2024 m. rugpjūčio 1 d. ir taikomas etapais. 2026 m. liepą ES priėmė Reglamentą (ES) 2026/1744 (atidaroma išorinė svetainė) (Bendrąjį skaitmeninės srities dokumentų rinkinį dėl dirbtinio intelekto, vadinamąjį skaitmeninį omnibusą dėl DI), kuriuo atidėtos didelės rizikos taisyklės ir pakeista nemažai kitų nuostatų. Jis įsigaliojo 2026 m. liepos 27 d., likus kelioms dienoms iki pirminės didelės rizikos taisyklių taikymo datos.

Rezultatas yra tvarkaraštis, kuriame vienos pareigos jau taikomos, kitos atsiranda šių metų pabaigoje, o sunkiausios viešojo sektoriaus diegėjams pradedamos taikyti 2027 m. gruodį.

Omnibusas taip pat perrašė 4 straipsnį dėl raštingumo DI srityje. Tiekėjai ir diegėjai dabar turi imtis priemonių savo darbuotojų raštingumui DI srityje stiprinti, o ne užtikrinti pakankamą jo lygį. Pareiga lieka; pasikeitė tai, ką reikia parodyti. Kiekvienam vaidmeniui pritaikyti mokymai ir jų apskaita vis dar yra protingas atsakymas.

02Esate tiekėjas ar diegėjas?

Dauguma viešojo sektoriaus institucijų, nuo ministerijų ir įstaigų prie jų iki savivaldybių, yra diegėjai: jos naudoja DI sistemą savo atsakomybe. Tiekėju tampate, kai sukuriate DI sistemą ar užsakote ją sukurti ir pradedate ją naudoti savo vardu. Tai apima sistemas, sukurtas savo jėgomis arba rangovo pagal Jūsų specifikaciją.

Vaidmenys gali ir pasikeisti. Pagal 25 straipsnį diegėjas, iš esmės pakeitęs didelės rizikos sistemą arba pakeitęs jos numatytąją paskirtį taip, kad ji tampa didelės rizikos, perima tiekėjo pareigas. Numatomus vaidmenis įrašykite į pirkimo dokumentus ir sutartis, kad niekas jų neatrastų tik audito metu.

03Kurie Jūsų naudojimo atvejai yra didelės rizikos?

III priede išvardytos sritys, kuriose DI sistemos laikomos didelės rizikos. Viešojo sektoriaus institucijoms aktualiausios:

• Prieiga prie esminių viešųjų paslaugų ir išmokų: tinkamumo vertinimas, išmokų ir paslaugų skyrimas, mažinimas, panaikinimas ar susigrąžinimas.
• Migracija, prieglobstis ir sienų kontrolė, teisėsauga ir teisingumo vykdymas.
• Švietimas ir profesinis mokymas: priėmimas, mokymosi rezultatų vertinimas, stebėjimas per testus.
• Užimtumas: įdarbinimas, paaukštinimas, užduočių skirstymas ir darbuotojų stebėjimas. Viešojo sektoriaus institucijos taip pat yra darbdaviai.
• Ypatingos svarbos infrastruktūra: saugos komponentai valdant skaitmeninę infrastruktūrą, kelių eismą ir komunalines paslaugas.

Patekimas į III priedo sritį analizės nebaigia. Pagal 6 straipsnio 3 dalį tokios srities sistema nėra didelės rizikos, jei ji nekelia didelės žalos rizikos, pavyzdžiui, nes atlieka siaurą procedūrinę užduotį, pagerina jau žmogaus atlikto darbo rezultatą, aptinka dėsningumus nepakeisdama žmogaus vertinimo arba atlieka parengiamąją užduotį. Sistema, kuri profiliuoja asmenis, visada yra didelės rizikos. Jei remiatės šia išimtimi, dokumentuokite argumentus.

Daugelis naudingų priemonių visai nėra didelės rizikos: pagalba rengiant tekstus, vidinė žinių paieška, vertimas, santraukos. Joms vis tiek taikomos skaidrumo pareigos ir BDAR, bet ne didelės rizikos režimas. Pavyzdžiui, savivaldybėje gyventojų prašymų rūšiavimas ir atsakymų juodraščių rengimas paprastai yra parengiamoji užduotis, o sistema, vertinanti asmens teisę į paramą, gali būti didelės rizikos.

04Ką turi daryti didelės rizikos sistemų diegėjai

Nuo 2027 m. gruodžio 2 d. viešojo sektoriaus institucija, naudojanti III priedo didelės rizikos sistemą, turi pareigų pagal 26 straipsnį (atidaroma išorinė svetainė). Pagrindinės:

• Naudoti sistemą pagal tiekėjo naudojimo instrukciją, taikant tinkamas technines ir organizacines priemones.
• Žmogaus atliekamą priežiūrą pavesti asmenims, turintiems reikiamą kompetenciją, mokymą ir įgaliojimus, ir jiems padėti.
• Užtikrinti, kad Jūsų kontroliuojami įvesties duomenys būtų aktualūs ir pakankamai reprezentatyvūs numatytajai paskirčiai.
• Stebėti veikimą ir nedelsiant informuoti tiekėją bei institucijas apie riziką ir rimtus incidentus.
• Automatiškai generuojamus žurnalus saugoti bent šešis mėnesius, jei kiti Sąjungos ar nacionaliniai teisės aktai nenustato kitaip.
• Prieš pradedant naudoti didelės rizikos sistemą darbe, informuoti darbuotojų atstovus ir paveiktus darbuotojus.
• Kaip valdžios institucijai, prieš pradedant naudoti sistemą užregistruoti jos naudojimą ES duomenų bazėje (26 straipsnio 8 dalis ir 49 straipsnis). Neužregistruotos sistemos naudoti negalima.
• Informuoti asmenis, kai didelės rizikos sistema naudojama priimant su jais susijusius sprendimus arba padedant juos priimti (26 straipsnio 11 dalis). Asmenys taip pat turi teisę į individualių sprendimų paaiškinimą (86 straipsnis).

Poveikio pagrindinėms teisėms vertinimas

Pagal 27 straipsnį (atidaroma išorinė svetainė) viešosios teisės reglamentuojami subjektai ir viešąsias paslaugas teikiančios privačios organizacijos prieš pirmą kartą naudodami daugumą III priedo sistemų atlieka poveikio pagrindinėms teisėms vertinimą. Ypatingos svarbos infrastruktūros sistemoms ši pareiga netaikoma. Vertinime aprašoma:

1. 01procesai, kuriuose sistema bus naudojama pagal numatytąją paskirtį;
2. 02naudojimo laikotarpis ir dažnumas;
3. 03asmenų ir grupių, kuriems sistema gali turėti poveikio, kategorijos;
4. 04konkreti žalos tiems asmenims rizika;
5. 05kaip įgyvendinamos žmogaus atliekamos priežiūros priemonės;
6. 06kas daroma, jei rizika pasitvirtina, įskaitant vidaus valdymą ir skundų nagrinėjimo mechanizmus.

Rezultatus pateikiate rinkos priežiūros institucijai. Vertinimas papildo poveikio duomenų apsaugai vertinimą (PDAV) pagal BDAR 35 straipsnį ir gali juo remtis, todėl atlikite juos kartu. 27 straipsnio 5 dalis įpareigoja DI tarnybą parengti klausimyno šabloną; prieš kurdami savo, patikrinkite jo būklę. Kai kurios šalys jau turi metodikas, pavyzdžiui, Nyderlandų Vyriausybės Impact Assessment Mensenrechten en Algoritmes (IAMA).

05Jau taikomos skaidrumo pareigos

Nuo 2026 m. rugpjūčio 2 d. taikomas 50 straipsnis. Tiekėjai turi kurti su žmonėmis sąveikaujančias sistemas taip, kad žmonės būtų informuoti, jog bendrauja su DI sistema, nebent tai akivaizdu, ir sintetinį turinį žymėti mašininiu būdu nuskaitomu formatu. Diegėjai turi atskleisti sintetines sankaitas (angl. deepfakes) ir DI sugeneruotą ar pakeistą tekstą, skelbiamą visuomenei informuoti viešojo intereso klausimais, nebent jį peržiūrėjo žmogus ir kas nors prisiima redakcinę atsakomybę.

Viešojo sektoriaus institucijai dažniausias atvejis yra pokalbių asistentas svetainėje ar aptarnavimo kanale, pavyzdžiui, savivaldybės gyventojų aptarnavimo asistentas. Aiškiai nurodykite, kad tai DI sistema, paaiškinkite, kuo ji gali ir kuo negali padėti, ir pasiūlykite galimybę kreiptis į žmogų.

06Pasirengimo planas 2026 ir 2027 metams

1. 01Sąrašas, dabar. Surašykite visas naudojamas ar perkamas DI sistemas, įskaitant DI funkcijas jau licencijuotose platformose. Užfiksuokite savininką, paskirtį, tiekėją, naudojamus duomenis ir asmenis, kuriems sistema turi poveikio.
2. 02Klasifikavimas, iki 2027 m. pradžios. Draudžiama, didelės rizikos (su dokumentuotais 6 straipsnio 3 dalies argumentais), tik skaidrumo pareigos ar minimali rizika. Kiekvienai sistemai užfiksuokite savo vaidmenį: tiekėjas ar diegėjas.
3. 03Sutartys, 2027 m. eigoje. Paprašykite tiekėjų naudojimo instrukcijų, atitikties dokumentacijos ir prieigos prie žurnalų. Pagalbą atliekant poveikio vertinimą ir pranešant apie incidentus įrašykite į sutartį kaip sąlygą, o naujuose pirkimuose šiuos reikalavimus įtraukite į pirkimo dokumentus.
4. 04Priežiūros projektavimas. Paskirkite vaidmenis, apmokykite juos, suteikite įgaliojimus nepaisyti sistemos rezultato ir eskalavimo kelią. Projektuokite taip, kad būtų mažinamas automatiško šališkumo pavojus; kaip tai padaryti, rodo mūsų straipsnis Kur DI agentams reikia žmogaus patvirtinimo.
5. 05Žurnalai ir stebėsena. Žurnalus saugokite bent šešis mėnesius, apibrėžkite, kas laikoma rimtu incidentu ir kas apie jį praneša.
6. 06Prieš pirmą naudojimą. Kartu su PDAV atlikite poveikio pagrindinėms teisėms vertinimą, užsiregistruokite ES duomenų bazėje ir informuokite darbuotojus bei asmenis, kuriems sistema turi poveikio.
7. 07Nuolatinis raštingumas DI srityje. Vaidmenims pritaikyti mokymai naudotojams, tikrintojams ir sprendimus priimantiems asmenims, atnaujinami keičiantis sistemoms, su apskaita, kas buvo apmokytas.

07Priežiūra Lietuvoje ir sankcijos

Lietuvoje Dirbtinio intelekto akto rinkos priežiūros institucija ir bendrasis kontaktinis punktas yra Ryšių reguliavimo tarnyba (atidaroma išorinė svetainė) (RRT), o notifikuojančioji institucija yra Inovacijų agentūra. Valstybių narių paskirtas institucijas apžvelgia ir Europos Komisija savo rinkos priežiūros institucijų puslapyje (atidaroma išorinė svetainė).

Sankcijų taisykles nustato valstybės narės. 99 straipsnio 8 dalis leidžia kiekvienai valstybei narei nuspręsti, ar ir kokiu mastu administracinės baudos gali būti skiriamos joje įsteigtoms valdžios institucijoms ir įstaigoms; kaip tai išspręsta Lietuvoje, patikrinkite nacionaliniuose teisės aktuose. Tai nėra priežastis laukti. Rinkos priežiūros institucijos vis tiek gali reikalauti taisomųjų veiksmų, o viešojo sprendimo legitimumas priklauso nuo to, ar jį galima paaiškinti ir apskųsti.

08Ką stebėti artimiausiais mėnesiais

• Komisijos gaires dėl didelės rizikos sistemų klasifikavimo (6 straipsnio 5 dalis) ir jau paskelbtas gaires dėl draudžiamos DI praktikos (atidaroma išorinė svetainė).
• Darniuosius didelės rizikos reikalavimų standartus, kuriais tiekėjai įrodys atitiktį.
• RRT pirmąsias rekomendacijas viešojo sektoriaus diegėjams.
• DI tarnybos poveikio pagrindinėms teisėms vertinimo šabloną.

Europos Komisijos AI Act Service Desk (atidaroma išorinė svetainė) nuolat atnaujina oficialų tvarkaraštį ir paaiškinimus pagal straipsnius (anglų kalba). Išsisaugokite nuorodą ir kiekvieną vidinę pastabą apie aktą pažymėkite data: šis tekstas vis dar keičiasi.