Nuo 2026 m. rugpjūčio 2 d. žmogus, kuris svetainėje rašo dirbtinio intelekto (DI) pokalbių robotui, turi būti informuotas, kad kalbasi ne su žmogumi, nebent tai akivaizdu. Tai nustato Reglamentas (ES) 2024/1689 dėl dirbtinio intelekto (toliau – DI aktas): tiekėjai užtikrina, kad DI sistemos, skirtos tiesiogiai sąveikauti su žmonėmis, būtų suprojektuotos taip, kad žmonės apie tai būtų informuojami (DI akto 50 str. 1 d.). DI aktas nuo šios dienos taikomas bendrai (DI akto 113 str. antra pastraipa), o 2026 m. liepos 27 d. įsigaliojęs pakeitimas – Reglamentas (ES) 2026/1744 – 50 straipsnio 1–6 dalių nepakeitė (Reglamento (ES) 2026/1744 1 str. 20 p. ir 4 str.).
Pareiga tenka tiekėjui, todėl pirmas klausimas – kas Jūs pagal DI aktą. Antras – ką su pokalbių įrašais reikalauja Bendrasis duomenų apsaugos reglamentas (ES) 2016/679 (toliau – BDAR). Kaip šie du reglamentai sąveikauja, rašome straipsnyje DI įrankiai ir asmens duomenys darbe.
Ar Jūs tiekėjas, ar diegėjas
Tiekėjas – tas, kas kuria DI sistemą arba nurodo ją kurti ir pateikia ją rinkai arba pradeda ją naudoti savo vardu ar su savo prekių ženklu (DI akto 3 str. 3 p.). Diegėjas – tas, kas naudoja DI sistemą pagal savo įgaliojimus (DI akto 3 str. 4 p.).
Jei įmonė užsakė, kad robotą jai sukurtų, ir pradėjo jį naudoti savo svetainėje savo vardu, ji gali būti tiekėja. Tam reikia abiejų sąlygų: sistema kurta jos nurodymu ir pradėta naudoti jos vardu ar su jos prekių ženklu. Jei įmonė robotą tik naudoja, pavyzdžiui, įdiegia kito tiekėjo paruoštą valdiklį, kurio nekūrė ir nenurodė kurti, pagal apibrėžčių tekstą ji yra diegėja, o 50 str. 1 d. pareiga tenka valdiklio tiekėjui. Jei robotą įmonė sukūrė pati, net ir naudodama kito tiekėjo kalbos modelį, ir naudoja jį savo vardu, ji yra roboto tiekėja (DI akto 3 str. 3 ir 68 p.).
Dar vienas klausimas – ar robotas apskritai yra DI sistema. DI sistema yra ta, kuri iš gaunamų įvedinių daro išvadą, kaip generuoti išvedinius, pavyzdžiui, turinį ar rekomendacijas (DI akto 3 str. 1 p.). Robotas, kuris tik rodo iš anksto parašytus atsakymus pagal paspaustą mygtuką, gali į šią apibrėžtį nepatekti. Lemia tai, kaip sistema veikia, o ne kaip ji vadinama.
Ką reikia pranešti ir kada
Žmogų reikia informuoti, kad jis sąveikauja su DI sistema. Pareigos nėra, kai tai akivaizdu pagrįstai informuotam, pastabiam ir nuovokiam žmogui, atsižvelgiant į aplinkybes ir naudojimo kontekstą (DI akto 50 str. 1 d.). Jei robotas prisistato žmogaus vardu ir rašo kaip konsultantas, sunku teigti, kad tai akivaizdu. Kita išimtis skirta tik teisėsaugos sistemoms.
Kaip pranešti, nustato 50 str. 5 d.: informacija pateikiama aiškiai ir matomai, ne vėliau nei pirmosios sąveikos metu, ir turi atitikti taikomus prieinamumo reikalavimus. Mūsų vertinimu, šį reikalavimą atitinka pranešimas pačiame pokalbio lange, matomas dar prieš žmogui parašant pirmą žinutę.
Jei Jūs esate diegėjas, 50 str. 1 d. pareiga Jums tiesiogiai netaikoma. Mūsų siūlymas (tai ne teisės akto reikalavimas): sutartyje su tiekėju numatykite, kad valdiklis rodo šį pranešimą, ir nepaslėpkite jo savo svetainės nustatymais.
Kai robotas generuoja tekstą
Jei robotas pats kuria atsakymus, taikoma ir kita tiekėjo pareiga. DI sistemų, kuriomis generuojamas sintetinis tekstinis, vaizdo ar garso turinys, tiekėjai užtikrina, kad išvediniai būtų pažymėti kompiuterio skaitomu formatu ir būtų atpažįstami kaip sugeneruoti dirbtinai (DI akto 50 str. 2 d.). Pareiga netaikoma, kai sistema atlieka pagalbinę standartinio redagavimo funkciją arba iš esmės nekeičia diegėjo pateiktų įvesties duomenų ar jų semantikos.
Šiai pareigai numatytas pereinamasis laikotarpis: sistemų, pateiktų rinkai iki 2026 m. rugpjūčio 2 d., tiekėjai turi ją įvykdyti ne vėliau kaip iki 2026 m. gruodžio 2 d. (DI akto 111 str. 4 d.). Pranešimui apie bendravimą su DI (50 str. 1 d.) tokio laikotarpio nėra.
Jei DI sugeneruotą tekstą skelbiate, kad informuotumėte visuomenę viešojo intereso klausimais, turite atskleisti, kad jis sugeneruotas dirbtinai, nebent jį peržiūrėjo žmogus ar jam taikyta redakcinė kontrolė ir kas nors prisiima redakcinę atsakomybę (DI akto 50 str. 4 d. antra pastraipa).
Pokalbių įrašai – tai asmens duomenys
Vardas, el. pašto adresas, užsakymo numeris ir kita pokalbio informacija, susijusi su lankytoju, kurio tapatybę galima nustatyti, yra asmens duomenys (BDAR 4 str. 1 p.). Juos tvarko organizacija, kurios svetainėje robotas veikia: ji nustato tvarkymo tikslus ir priemones, todėl yra duomenų valdytoja (BDAR 4 str. 7 p.).
Informavimas. Kai duomenys renkami iš paties žmogaus, valdytojas duomenų gavimo metu turi pateikti BDAR 13 str. 1 ir 2 d. nurodytą informaciją, be kita ko, tvarkymo tikslus ir teisinį pagrindą (BDAR 13 str. 1 d. c p.), gavėjus (BDAR 13 str. 1 d. e p.) ir saugojimo laikotarpį (BDAR 13 str. 2 d. a p.). Kada ir kaip atnaujinti privatumo politiką, rašome straipsnyje Privatumo politika: ar ji privaloma ir kada ją reikia atnaujinti.
Tiekėjas kaip tvarkytojas. Roboto tiekėjas, kuris pokalbius tvarko Jūsų vardu, yra duomenų tvarkytojas (BDAR 4 str. 8 p.). Su juo reikia sutarties, kurioje nustatyta, kad jis duomenis tvarko tik pagal Jūsų dokumentais įformintus nurodymus (BDAR 28 str. 3 d. a p.). Ką ši sutartis turi apimti, rašome straipsnyje Duomenų tvarkymo sutartis: kada privaloma ir kas gresia be jos.
Perdavimas už EEE ribų. Jei tiekėjo ar jo pasitelkto modelio serveriai yra už EEE ribų, taikomos perdavimo taisyklės (BDAR 44 str.), o žmogų apie perdavimą reikia informuoti (BDAR 13 str. 1 d. f p.). Kada perdavimui reikia standartinių sutarties sąlygų, rašome straipsnyje apie duomenų perdavimą už EEE ribų.
Saugojimas. Pokalbių įrašai saugomi ne ilgiau, nei reikia tikslui (BDAR 5 str. 1 d. e p.).
Automatizuoti sprendimai. Jei robotas pats priima sprendimą, dėl kurio žmogui kyla teisinės pasekmės ar panašus didelis poveikis, taikomas BDAR 22 str. 1 d. (žr. klausimą žemiau).
Kas gali nutikti
Pirma rizika – DI akto bauda. Už skaidrumo pareigų pagal 50 straipsnį nesilaikymą tam, kuriam pareiga tenka, tiekėjui ar diegėjui, gresia bauda iki penkiolikos milijonų eurų arba, jei pažeidėjas yra įmonė, iki 3 % jos bendros pasaulinės praėjusių finansinių metų metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (DI akto 99 str. 4 d. g p.). Mažoms ir vidutinėms bei mažoms vidutinės kapitalizacijos įmonėms taikoma mažesnioji iš šių ribų (DI akto 99 str. 6 ir 6a d.). Sankcijų taisykles ir jų taikymo tvarką nustato valstybės narės (DI akto 99 str. 1 d.). Jei įmonė robotą užsakė ir naudoja savo vardu, ši rizika gali tekti jai pačiai.
Antra rizika – BDAR baudos. Už informavimo ir kitų duomenų subjekto teisių pažeidimą gresia bauda iki dvidešimties milijonų eurų arba, įmonės atveju, iki 4 % metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. b p.), už perdavimo taisyklių pažeidimą – tokia pati (BDAR 83 str. 5 d. c p.). Už tvarkytojo sutarties nebuvimą – iki dešimties milijonų eurų arba iki 2 % (BDAR 83 str. 4 d. a p.).
Trečia rizika – žala. Asmuo, patyręs materialinę ar nematerialinę žalą dėl BDAR pažeidimo, turi teisę gauti kompensaciją iš valdytojo arba tvarkytojo (BDAR 82 str. 1 d.).
Kada kreiptis į teisininką
- kai robotą Jums kuria ar pritaiko išorės kūrėjas ir reikia nustatyti, ar Jūs esate tiekėjas;
- kai renkatės roboto tiekėją ir reikia įvertinti sutartį, serverių vietą ir tai, kam tiekėjas naudoja pokalbius;
- kai robotas priima sprendimus dėl užsakymų, prašymų ar paslaugų suteikimo.
Dažni klausimai
Ar užtenka apie DI parašyti privatumo politikoje?
Informacija pateikiama aiškiai ir matomai ne vėliau nei pirmosios sąveikos metu (DI akto 50 str. 5 d.). Tekstas privatumo politikoje, kurios žmogus pokalbio metu nemato, sunkiai atitinka šį reikalavimą.
Robotas veikia nuo 2025 metų. Ar pareiga taikoma ir jam?
Taip. 50 straipsnis taikomas nuo 2026 m. rugpjūčio 2 d. (DI akto 113 str. antra pastraipa), ir 50 str. 1 d. pareigai pereinamojo laikotarpio nėra. Jis numatytas tik generuoto turinio žymėjimui pagal 50 str. 2 d. ir tik sistemų, pateiktų rinkai iki 2026 m. rugpjūčio 2 d., tiekėjams: iki 2026 m. gruodžio 2 d. (DI akto 111 str. 4 d.). Jei robotą užsakėte tik savo reikmėms, 111 str. 4 d. tekstas tokio atvejo tiesiogiai neapima, nes pateikimas rinkai ir pradėjimas naudoti savo reikmėms DI akte apibrėžti atskirai (DI akto 3 str. 9 ir 11 p.). Mūsų vertinimu, tokiam robotui pereinamojo laikotarpio nėra: jei jis generuoja tekstą, 50 str. 2 d. jam taikoma nuo 2026 m. rugpjūčio 2 d.
Mes tik įdiegėme tiekėjo valdiklį. Ar mums nieko nereikia daryti?
Pagal DI akto 50 str. 1 d. pareiga tenka tiekėjui, o Jūs esate diegėjas (DI akto 3 str. 4 p.). DI aktas diegėjui vis dėlto nustato pareigų: imtis priemonių, kad padėtų ugdyti darbuotojų, kurie dirba su robotu, raštingumą DI srityje (DI akto 4 str. 1 d.), o jei robotu sugeneruotą tekstą skelbiate visuomenei informuoti viešojo intereso klausimais – tai atskleisti (DI akto 50 str. 4 d. antra pastraipa). Be to, pokalbių duomenų valdytojas esate Jūs (BDAR 4 str. 7 p.): Jums tenka informavimas (BDAR 13 str.), sutartis su tiekėju (BDAR 28 str. 3 d.) ir perdavimų patikra (BDAR 44 str.).
Ar robotas gali pats atmesti kliento prašymą?
Jei sprendimas priimamas tik automatizuotai ir dėl jo žmogui kyla teisinės pasekmės ar panašus didelis poveikis (BDAR 22 str. 1 d.), tai leidžiama tik tada, kai toks sprendimas būtinas sutarčiai sudaryti ar vykdyti, jį leidžia teisės aktas, kuriame numatytos ir apsaugos priemonės, arba žmogus aiškiai sutiko (BDAR 22 str. 2 d.). Pirmuoju ir paskutiniuoju atveju žmogus turi turėti bent teisę reikalauti žmogaus įsikišimo, pareikšti savo požiūrį ir užginčyti sprendimą (BDAR 22 str. 3 d.).
Kaip pradėti
Atidarykite savo svetainės pokalbių langą kaip lankytojas ir patikrinkite, ar dar prieš pirmą žmogaus žinutę parašyta, kad kalbama su DI. Tada surašykite: kas robotą sukūrė, kieno vardu jis veikia, kur saugomi pokalbiai ir ar yra duomenų tvarkymo sutartis. Atsiųskite šį sąrašą – pasakysime, ar Jūs tiekėjas, ar diegėjas, ir ką reikia pakeisti.
Ar Jūsų organizacijai privalomas tvarkymo veiklų registras, galite pasitikrinti Linden kuriamu Privacio įrankiu.
El. paštas info@linden.lt
Plačiau apie šią paslaugą: BDAR auditas, atitikties dokumentai ir konsultacijos.