DI akto rizikos klasifikacija: kur patenka jūsų sistema

Vienu sakiniu. DI akto rizikos klasifikacija skirsto dirbtinio intelekto sistemas į keturias grupes – draudžiamas praktikas (5 str.), didelės rizikos sistemas (6 str. su I ir III priedais), ribotos rizikos sistemas su skaidrumo pareigomis (50 str.) ir minimalios rizikos sistemas be papildomų reikalavimų – o bendrosios paskirties DI modeliams (51–56 str.) taikoma atskira pareigų grandinė, nepriklausanti nuo galutinio naudojimo.

Reglamentas (ES) 2024/1689 nereguliuoja technologijos – jis reguliuoja naudojimo atvejį. Ta pati mašininio mokymosi biblioteka gali būti visiškai nereglamentuota rekomendacijų sistemoje ir didelės rizikos sistema kandidatų atrankoje. Šis vadovas skirtas Lietuvos įmonėms ir viešojo sektoriaus įstaigoms, kurios turi nustatyti, į kurią kategoriją patenka jų sistema, ir kokios pareigos iš to kyla – 50 straipsnio skaidrumo pareigos jau nuo 2026 m. rugpjūčio 2 d., didelės rizikos pareigos nuo 2027 m. gruodžio 2 d.

Pagrindiniai faktai

• Klasifikuojama kiekviena sistema atskirai pagal numatytą paskirtį, o ne įmonė ar technologija.
• Draudžiamos praktikos (5 str.) taikomos nuo 2025 m. vasario 2 d.; 50 straipsnio skaidrumo pareigos kartu su bendru reglamento taikymu – nuo 2026 m. rugpjūčio 2 d.; didelės rizikos III priedo sistemų pareigos – nuo 2027 m. gruodžio 2 d.; I priedo produktų – nuo 2028 m. rugpjūčio 2 d. (abi didelės rizikos datas atidėjo Skaitmeninis omnibusas dėl DI).
• Už draudžiamos praktikos vykdymą baudos siekia 35 mln. EUR arba 7 % pasaulinės metinės apyvartos (99 str. 3 d.).
• III priedo sistema nėra didelės rizikos, jei taikoma 6 str. 3 d. išimtis – bet profiliavimą atliekanti sistema visada lieka didelės rizikos.
• Lietuvoje pagrindinė rinkos priežiūros institucija ir bendras kontaktinis punktas nuo 2025 m. balandžio 1 d. yra Ryšių reguliavimo tarnyba (RRT).

Kokios yra DI akto rizikos kategorijos?

DI aktas remiasi rizika grįstu požiūriu: kuo didesnė žala, kurią sistema gali padaryti sveikatai, saugumui ar pagrindinėms teisėms, tuo griežtesnės pareigos.

Kategorija	Teisinis pagrindas	Pasekmė
Draudžiama praktika	5 str.	Pateikti rinkai ar naudoti negalima
Didelė rizika (produktai)	6 str. 1 d. + I priedas	Atitikties vertinimas, CE ženklas
Didelė rizika (naudojimo sritys)	6 str. 2 d. + III priedas	8–15 str. pareigos, registracija ES duomenų bazėje
Ribota rizika	50 str.	Skaidrumo (informavimo, ženklinimo) pareigos
Minimali rizika	–	Pareigų nėra; savanoriški elgesio kodeksai (95 str.)
Bendrosios paskirties DI modeliai	51–56 str.	Dokumentacija; sisteminės rizikos modeliams – papildomos pareigos

Svarbu suprasti, kad kategorijos nėra viena kitą pakeičiančios. Didelės rizikos pokalbių robotas kartu turi vykdyti ir 50 straipsnio skaidrumo pareigą. Bendrosios paskirties modelio tiekėjas, kuris savo modelį integruoja į įdarbinimo įrankį, tampa ir didelės rizikos sistemos tiekėju.

Kada kuri kategorija pradedama taikyti

Kategorijos įsigalioja skirtingu metu, ir 2026 m. viduryje šis grafikas pasikeitė. Skaitmeninis omnibusas dėl DI (Digital Omnibus on AI) – Europos Parlamentas jį priėmė 2026 m. birželio 16 d., Taryba galutinai patvirtino 2026 m. birželio 29 d. – atidėjo didelės rizikos pareigas: savarankiškas III priedo sistemas nuo 2026 m. rugpjūčio 2 d. iki 2027 m. gruodžio 2 d., o į reglamentuojamus I priedo produktus integruotas sistemas nuo 2027 m. rugpjūčio 2 d. iki 2028 m. rugpjūčio 2 d. Priežastis – vėluojantys darnieji standartai, turėję suteikti atitikties prezumpciją; patys 8–15 straipsnių reikalavimai nepakito. 2026 m. liepos pabaigoje paskelbimas Europos Sąjungos oficialiajame leidinyje dar nebuvo įvykęs, o keičiantis reglamentas įsigalioja praėjus trims dienoms po paskelbimo.

Atidėjimas apima tik didelės rizikos kategoriją. 5 straipsnio draudimai ir 4 straipsnio DI raštingumo pareiga galioja nuo 2025 m. vasario 2 d., bendrosios paskirties DI modelių pareigos (53 ir 55 str.) – nuo 2025 m. rugpjūčio 2 d., o 50 straipsnio skaidrumo pareigos kartu su bendru reglamento taikymu – nuo 2026 m. rugpjūčio 2 d. Kas išgirdo, kad „DI aktas atidėtas", ir tuo apsiribojo, praleis pareigas, kurios jį jau saisto. Klasifikavimo požiūriu tai reiškia, kad 5 ir 50 straipsnių patikra yra skubi, o didelės rizikos dokumentacija – ne mažiau privaloma, tik su ilgesniu terminu.

Kas draudžiama pagal 5 straipsnį?

5 straipsnis nustato aštuonias praktikas, kurių ES rinkoje negalima nei pateikti, nei naudoti. Praktikoje Lietuvos įmonėms aktualiausios yra šios:

• Pasąmoninės ar manipuliacinės technikos, kurios iš esmės iškreipia asmens elgesį ir sukelia didelę žalą (5 str. 1 d. a p.).
• Pažeidžiamumo išnaudojimas dėl amžiaus, negalios ar socialinės bei ekonominės padėties (b p.).
• Socialinis reitingavimas – asmenų vertinimas pagal elgesį ar asmenines savybes, dėl kurio jie patiria nepalankų vertinimą nesusijusiame kontekste (c p.).
• Emocijų atpažinimas darbo vietoje ir švietimo įstaigose, išskyrus medicininius ar saugumo tikslus (f p.).
• Biometrinis kategorizavimas, kuriuo siekiama nustatyti rasę, politines pažiūras, narystę profesinėje sąjungoje, religinius įsitikinimus ar seksualinę orientaciją (g p.).
• Netikslinis veido atvaizdų rinkimas iš interneto ar vaizdo stebėjimo įrašų veido atpažinimo duomenų bazėms kurti (e p.).

Emocijų atpažinimo draudimas darbo vietoje lieka labiausiai nepastebėtas. Personalo valdymo įrankiai, analizuojantys darbuotojų balso toną skambučių centre ar veido išraiškas per nuotolinius pokalbius, patenka tiesiai į šį draudimą. Skirtingai nei sutikimas pagal BDAR 7 straipsnį, darbuotojo sutikimas čia nėra išimtis – darbo santykiuose jis ir taip retai laikomas laisvai duotu.

Kada sistema yra didelės rizikos?

Didelės rizikos statusas kyla dviem visiškai skirtingais keliais.

Pirmas kelias – I priedas (6 str. 1 d.). Sistema yra didelės rizikos, jei ji yra produkto saugos komponentas arba pati produktas, kuriam taikomi I priede išvardyti ES gaminių saugos teisės aktai (mašinos, medicinos priemonės, liftai, žaislai, radijo įranga, civilinė aviacija), ir tam produktui reikalingas trečiosios šalies atitikties vertinimas. Šis kelias pareigas įjungia vėliausiai – nuo 2028 m. rugpjūčio 2 d. (atidėta nuo 2027 m. rugpjūčio 2 d.).

Antras kelias – III priedas (6 str. 2 d.). Aštuonios naudojimo sritys: biometrija; ypatingos svarbos infrastruktūra; švietimas; užimtumas ir darbuotojų valdymas; galimybė naudotis esminėmis paslaugomis (įskaitant kreditingumo ir gyvybės bei sveikatos draudimo rizikos vertinimą); teisėsauga; migracija ir sienų kontrolė; teisingumo vykdymas ir demokratiniai procesai.

Įmonėms, nedirbančioms teisėsaugos ar migracijos srityse, lemiami yra 4 ir 5 punktai: kandidatų atranka, CV filtravimas, tikslinė darbo skelbimų sklaida, paaukštinimo ir atleidimo sprendimai, darbuotojų stebėsena ir kreditingumo vertinimas. Jei ypatingos svarbos infrastruktūroje DI veikia kaip saugos komponentas, tikėtina ir NIS2 kibernetinio saugumo prievolių taikymas.

6 straipsnio 3 dalies išimtis

III priedo sritis nereiškia automatinio didelės rizikos statuso. Sistema iš jo iškrenta, jei nekelia didelės žalos rizikos ir atitinka bent vieną iš keturių sąlygų: atlieka siaurą procedūrinę užduotį; pagerina anksčiau atlikto žmogaus darbo rezultatą; nustato sprendimų priėmimo modelius ar nukrypimus nuo jų, neketindama pakeisti žmogaus vertinimo; arba atlieka parengiamąją užduotį. Absoliuti išimtis viena: fizinių asmenų profiliavimą atliekanti sistema visada yra didelės rizikos.

Kas remiasi išimtimi, prieš pateikdamas sistemą rinkai privalo dokumentuoti vertinimą ir vis tiek registruoti ją ES duomenų bazėje (6 str. 4 d.). Nedokumentuota „mes nusprendėme, kad tai ne didelė rizika" pozicija patikros neatlaiko.

Ką reiškia ribota rizika ir 50 straipsnis?

50 straipsnis nustato keturias skaidrumo pareigas, taikomas nuo 2026 m. rugpjūčio 2 d.:

1. Tiekėjai turi užtikrinti, kad su žmonėmis tiesiogiai sąveikaujančios sistemos (pokalbių robotai, balso asistentai) informuotų asmenį, jog jis bendrauja su DI – nebent tai akivaizdu.
2. Sintetinį turinį (garsą, vaizdą, tekstą) generuojančių sistemų tiekėjai turi ženklinti išvestį mašininiu būdu nuskaitomu formatu.
3. Diegėjai, naudojantys emocijų atpažinimo ar biometrinio kategorizavimo sistemas, turi informuoti veikiamus asmenis ir tvarkyti duomenis pagal BDAR.
4. Diegėjai, kuriantys ar keičiantys „giliuosius klastojimus" (deep fakes), turi atskleisti, kad turinys sugeneruotas dirbtinai.

Ši kategorija liečia beveik kiekvieną įmonę, naudojančią generatyvinį DI rinkodaroje ar klientų aptarnavime. Informacija pateikiama aiškiai ir ne vėliau kaip pirmojo kontakto metu.

Kaip praktiškai klasifikuoti sistemą?

Klasifikavimą rekomenduoju atlikti kaip fiksuotą seką, o rezultatą – dokumentuoti tuo pačiu principu, kaip pildomi duomenų tvarkymo veiklos įrašai.

1. Ar tai apskritai DI sistema? 3 str. 1 d. reikalauja mašininio pagrindo, tam tikro autonomiškumo ir gebėjimo iš gaunamų duomenų daryti išvadas, kaip generuoti išvestį; determinuotos taisyklių sistemos ir paprastos statistinės formulės į apibrėžtį nepatenka. Komisija gaires dėl apibrėžties paskelbė 2025 m. vasario 6 d.
2. Ar sistema patenka į taikymo sritį? 2 straipsnis pašalina karinę, gynybos ir nacionalinio saugumo paskirtį, mokslinius tyrimus iki pateikimo rinkai ir grynai asmeninę neprofesinę veiklą.
3. Koks jūsų vaidmuo? Tiekėjas ar diegėjas. 25 straipsnis įspėja: diegėjas tampa tiekėju, jei pažymi sistemą savo prekės ženklu, iš esmės ją modifikuoja arba pakeičia paskirtį.
4. Ar tai draudžiama praktika (5 str.)? Jei taip – seka baigiasi, sistemos naudoti negalima.
5. Ar tai I priedo produktas ar jo saugos komponentas? Jei taip – didelė rizika nuo 2028 m. rugpjūčio 2 d.
6. Ar naudojimo atvejis patenka į III priedą? Jei taip – patikrinkite 6 str. 3 d. išimtį ir dokumentuokite išvadą; pareigos taikomos nuo 2027 m. gruodžio 2 d.
7. Ar taikomas 50 straipsnis? Sąveika su žmogumi, sintetinis turinys, emocijų atpažinimas, giliieji klastojimai.
8. Ar kuriate ar pateikiate rinkai bendrosios paskirties modelį? Tuomet taikomas V skyrius.

Kiekvienam žingsniui reikia įrašo: kas vertino, kada, kokiais argumentais. Šį inventorių verta laikyti kartu su duomenų apsaugos dokumentacija – įrankius tam palygina DI akto atitikties programinės įrangos apžvalga.

Kaip vertinami bendrosios paskirties DI modeliai?

Bendrosios paskirties DI (BPDI) modeliai klasifikuojami atskirai, nes jų paskirtis nėra iš anksto apibrėžta. 53 straipsnis tiekėjui nustato keturias pareigas: techninę dokumentaciją, informaciją tolesnės grandies tiekėjams, autorių teisių politiką ir viešą mokymo duomenų santrauką. Atviro kodo licencija nemokamai platinamiems modeliams dvi pirmosios netaikomos, jei modelis nekelia sisteminės rizikos.

51 straipsnio 2 dalis nustato sisteminės rizikos prezumpciją, kai mokymui panaudota skaičiavimo galia viršija 10²⁵ slankiojo kablelio operacijų. Tokiems modeliams 55 straipsnis prideda modelio vertinimą, priešiškų atakų testavimą, rizikos mažinimą, rimtų incidentų pranešimą DI tarnybai ir kibernetinio saugumo apsaugą. Pareigos taikomos nuo 2025 m. rugpjūčio 2 d.; anksčiau rinkai pateikti modeliai turi laiko iki 2027 m. rugpjūčio 2 d.

Kur DI aktas persidengia su BDAR?

Persidengimas yra taisyklė, o ne išimtis. Didelės rizikos DI sistema, tvarkanti asmens duomenis, beveik visada tenkina kelis BDAR 35 straipsnio kriterijus vienu metu: sisteminį vertinimą, profiliavimą su teisiniu poveikiu, naujos technologijos naudojimą. Todėl kartu su klasifikavimu reikia atlikti ir poveikio duomenų apsaugai vertinimą – DI akto 26 straipsnio 9 dalis nurodo, kad diegėjas tam gali naudoti tiekėjo pateiktą 13 straipsnio informaciją.

Trys praktiniai ryšiai:

• Teisinis pagrindas ir automatizuoti sprendimai. DI akto klasifikacija nepakeičia BDAR 6 straipsnio pagrindo ir 22 straipsnio apribojimų automatizuotam sprendimų priėmimui.
• Duomenų valdymas. DI akto 10 straipsnis reikalauja mokymo duomenų kokybės ir šališkumo kontrolės; jis išimties tvarka leidžia tvarkyti specialių kategorijų duomenis šališkumui aptikti su griežtomis apsaugos priemonėmis.
• Projektavimo etapas. Pritaikytosios duomenų apsaugos reikalavimas ir DI akto techninė dokumentacija natūraliai atliekami kartu, o ne dviem atskirais projektais.

Priežiūra taip pat pasidalijusi. Duomenų apsaugos klausimais Lietuvoje kompetenciją turi Valstybinė duomenų apsaugos inspekcija, o DI akto rinkos priežiūrą vykdo RRT; III priedo 1, 6, 7 ir 8 punktų sistemoms, naudojamoms teisėsaugos, sienų valdymo ir teisingumo srityse, 74 straipsnio 8 dalis numato duomenų apsaugos priežiūros institucijos vaidmenį. Bendrą duomenų apsaugos reguliavimo vaizdą apibendrina duomenų apsaugos Lietuvoje vadovas, o VDAI baudų praktika rodo, kaip inspekcija vertina automatizuotą duomenų tvarkymą.

Dažnai užduodami klausimai

Ar mažoms įmonėms DI aktas taikomas?

Taip, dydžio ribos nėra. Labai mažoms ir mažoms įmonėms 99 straipsnis numato tik švelnesnę baudų skaičiavimo taisyklę (taikoma mažesnė iš dviejų sumų) ir supaprastintą techninę dokumentaciją.

Ar naudodami „ChatGPT" tampame DI sistemos tiekėju?

Ne, jei naudojate paslaugą pagal jos paskirtį – tuomet esate diegėjas. Tiekėju tampate, jei pateikiate sistemą rinkai savo vardu ar prekės ženklu, iš esmės ją modifikuojate arba pakeičiate paskirtį taip, kad ji tampa didelės rizikos (25 str.).

Kas tikrina DI akto laikymąsi Lietuvoje?

Nuo 2025 m. balandžio 1 d. pagrindinė rinkos priežiūros institucija ir bendras kontaktinis punktas yra Ryšių reguliavimo tarnyba, o notifikuojančiosios institucijos funkcijas atlieka Inovacijų agentūra. Pagrindą sudarė 2025 m. sausio 14 d. Seimo priimti Informacinės visuomenės paslaugų ir Technologijų bei inovacijų įstatymų pakeitimai.

Ar reikia registruoti DI sistemą ES duomenų bazėje?

Registracija privaloma III priedo didelės rizikos sistemoms (49 str.), taip pat tiems tiekėjams, kurie remiasi 6 str. 3 d. išimtimi. Ribotos ir minimalios rizikos sistemų registruoti nereikia.

Nuo kada reikia turėti klasifikaciją parengtą?

Draudžiamos praktikos ir DI raštingumo pareiga (4 str.) galioja nuo 2025 m. vasario 2 d., taigi 5 straipsnio patikra turėjo būti atlikta jau dabar. 50 straipsnio skaidrumo pareigos taikomos nuo 2026 m. rugpjūčio 2 d., o didelės rizikos pareigos – nuo 2027 m. gruodžio 2 d. (III priedas) ir 2028 m. rugpjūčio 2 d. (I priedo produktai), jas atidėjus Skaitmeniniu omnibusu dėl DI (galutinis Tarybos patvirtinimas 2026 m. birželio 29 d.). Praktiškai klasifikaciją verta turėti parengtą dabar: nuo jos priklauso ir skubi 50 straipsnio patikra, ir didelės rizikos dokumentacija, kuri kaupiama viso kūrimo metu, o ne likus mėnesiui iki termino.

Išvada

DI akto rizikos klasifikacija yra ne vienkartinis teisinis vertinimas, o nuolat atnaujinamas sistemų inventorius. Pradėkite nuo visų naudojamų ir kuriamų DI sistemų sąrašo, kiekvienai užrašykite numatytą paskirtį ir savo vaidmenį, pereikite aštuonių žingsnių seką ir dokumentuokite išvadą. Ten, kur tvarkomi asmens duomenys, klasifikaciją atlikite kartu su poveikio duomenų apsaugai vertinimu, o atsakomybę priskirkite konkrečiam asmeniui – dažnai tai duomenų apsaugos pareigūnas kartu su produkto savininku. Turint daugiau nei keliolika sistemų, atitikties platforma leidžia klasifikaciją, dokumentaciją ir peržiūros terminus laikyti viename registre.

Teisinė informacija: Reglamentas (ES) 2024/1689 (EUR-Lex) · Europos Komisijos DI akto puslapis · RRT dirbtinio intelekto reguliavimo puslapis · VDAI.

Šis straipsnis yra bendro pobūdžio informacija ir nėra teisinė konsultacija.