MI akta programmatūra var palīdzēt Latvijas uzņēmumam uzturēt sistēmu uzskaiti, vērtējumus un dokumentāciju. Izvēle jāpamato ar konkrētām lomām un uzdevumiem. Šajā ceļvedī izmantoti pārbaudāmi iepirkuma jautājumi, nevis nepamatotas tirgus cenas vai apgalvojums, ka viena platforma automātiski nodrošina atbilstību.
Aktuālais ES piemērošanas grafiks
Eiropas Komisijas pārskats, pārbaudīts 2026. gada 8. septembrī, norāda, ka MI omnibus grozījumi stājās spēkā 2026. gada 27. jūlijā. Augsta riska lietojumiem noteiktās jutīgās jomās saskaņā ar III pielikumu piemērošanas datums ir 2027. gada 2. decembris. Augsta riska sistēmām regulētos produktos tas ir 2028. gada 2. augusts.
Vispārējā piemērošana un attiecīgie pārredzamības pienākumi no 2026. gada 2. augusta ir jānošķir no šiem pārejas periodiem. Aizliegtās prakses un MI pratības pienākumi ES kļuva piemērojami 2025. gada 2. februārī; GPAI noteikumi un daļa pārvaldības noteikumu — 2025. gada 2. augustā. Katram uzdevumam pārbaudiet konkrēto normu, uzņēmuma lomu un īpašos pārejas noteikumus.
Latvija ir ES dalībvalsts, tomēr tas nenozīmē, ka visas regulas prasības sāka piemērot vienā dienā. Sistēmas nodrošinātāja, ieviesēja un GPAI modeļa nodrošinātāja pienākumi atšķiras. Iekšēja sistēmu uzskaite ir praktisks pārvaldības instruments, kas nav automātiski identisks regulā paredzētai reģistrācijai. VDAR piemēro atsevišķi, ja tiek apstrādāti personas dati; DPIA nepieciešamību nosaka 35. panta nosacījumi.
Kā MI akts klasificē sistēmas pēc riska?
MI akts balstās uz riska pieeju ar četriem līmeņiem, un atbilstības apjoms ir tieši atkarīgs no klasifikācijas:
| Riska līmenis | Piemēri | Pienākumi |
|---|---|---|
| Nepieļaujams risks | Sociālā vērtēšana, manipulatīva prakse | Aizliegti |
| Augsts risks | Personāla atlase, kredītvērtēšana, biometrija | Atbilstoši lomai noteikti pienākumi; DPIA vajadzību vērtē atsevišķi |
| Ierobežots risks | Tērzēšanas roboti, satura ģenerēšana | Caurspīdīguma pienākumi |
| Minimāls risks | Surogātpasta filtri, spēles | Nav īpašu pienākumu |
Pirmais praktiskais solis ikvienam uzņēmumam ir MI sistēmu inventarizācija un to klasifikācija pēc riska. Programmatūra šo procesu strukturē, jo bez pilnas MI sistēmu uzskaites uzņēmums nezina, kuras sistēmas rada pienākumus.
Kādi ir galvenie MI akta pienākumi?
Augsta riska MI sistēmām MI akts uzliek vairākus pienākumus: risku pārvaldības sistēmu, datu pārvaldību (kvalitatīvi apmācības dati), tehnisko dokumentāciju, žurnālu uzturēšanu, cilvēka uzraudzību, precizitāti un kiberdrošību. Ierobežota riska sistēmām, piemēram, tērzēšanas robotiem, galvenais pienākums ir caurspīdīgums — lietotājam jāzina, ka viņš mijiedarbojas ar MI. Uzņēmumiem, kas MI sistēmas izmanto (nevis izstrādā), pienākumi ir vieglāki, bet joprojām ietver atbilstošu lietošanu un cilvēka uzraudzību. Pilnu ES līmeņa MI akta ietvaru un termiņus nosaka pati Regula (ES) 2024/1689.
Kādi rīki risina MI akta atbilstību?
Tirgū veidojas trīs rīku veidi. MI pārvaldības (AI governance) platformas koncentrējas uz MI sistēmu inventarizāciju, risku klasifikāciju un tehnisko dokumentāciju — dziļākais risinājums uzņēmumiem, kas izstrādā augsta riska sistēmas. Vispārīgas atbilstības platformas pievieno MI moduli esošajai VDAR un drošības pārvaldībai, kas ir efektīvi uzņēmumiem, kuru galvenais risks ir MI izmantošana kopā ar personas datu apstrādi. Tehniskās testēšanas rīki (piemēram, modeļu novērtēšana, novirzes noteikšana) sedz tehnisko pusi. Vairumam Latvijas uzņēmumu, kas MI izmanto klientu apkalpošanā, personāla atlasē vai mārketingā, integrēta pieeja, kas saista MI atbilstību ar VDAR, ir praktiskākā. Vispārīgu rīku salīdzinājumu skatiet labākās VDAR programmatūras pārskatā, bet Latvijas datu aizsardzības kontekstu — datu aizsardzības ceļvedī Latvijā. Ja attiecas arī citi drošības noteikumi, pārbaudiet to atšķirīgos pienākumus; viena rīka iegāde nepierāda visu prasību izpildi.
Kā ieviest MI akta atbilstību soli pa solim
MI akta atbilstības ieviešana uzņēmumam ir strukturēts process, kas sākas ar redzamību. Pirmais solis ir MI sistēmu inventarizācija — apzināt visas MI sistēmas, ko uzņēmums izstrādā vai izmanto, tostarp iegādātus rīkus (piemēram, personāla atlases vai klientu apkalpošanas MI). Otrais solis ir riska klasifikācija — noteikt katras sistēmas riska līmeni pēc MI akta kritērijiem (nepieļaujams, augsts, ierobežots, minimāls). Trešais solis ir pienākumu noteikšana — augsta riska sistēmām jāievieš risku pārvaldība, dokumentācija, cilvēka uzraudzība un žurnālu uzturēšana; ierobežota riska sistēmām — caurspīdīguma pienākumi. Ceturtais solis ir saskaņošana ar VDAR — sistēmām, kas apstrādā personas datus, jāizvērtē nepieciešamība veikt datu aizsardzības ietekmes novērtējumu (35. pants) un tās jāatspoguļo apstrādes darbību reģistrā (30. pants). Piektais solis ir nepārtraukta uzraudzība — MI sistēmu darbības un atbilstības regulāra pārskatīšana. Programmatūra šos soļus strukturē, saistot MI sistēmu uzskaiti ar riska klasifikāciju un VDAR dokumentāciju.
Vispārējas nozīmes MI (GPAI) un DPO loma
MI akts atsevišķi regulē vispārējas nozīmes MI modeļus (GPAI) — piemēram, lielos valodas modeļus, uz kuriem balstās daudzi uzņēmumu rīki. GPAI noteikumi ir piemērojami no 2025. gada augusta, un tie uzliek caurspīdīguma un dokumentācijas pienākumus modeļu nodrošinātājiem, bet netieši ietekmē arī uzņēmumus, kas šos modeļus izmanto. Latvijas uzņēmumam, kas integrē trešās puses MI (piemēram, tērzēšanas robotu vai satura ģenerēšanas rīku), jāsaprot, kādas garantijas sniedz modeļa nodrošinātājs. Datu aizsardzības speciālistam (DPO) MI akta kontekstā ir jauna loma — konsultēt par MI sistēmu datu aizsardzības sekām un koordinēt darbu ar MI atbilstības atbildīgajiem. Uzņēmumam, kam jau ir DPO, ir izdevīgi MI akta un VDAR pienākumus pārvaldīt saskaņoti, ja konkrētā apstrāde rada pienākumus abos regulējumos.
Augsta riska sistēmu dokumentācija praksē
Augsta riska MI sistēmām dokumentācija ir prasīgākā MI akta daļa, un tieši tur programmatūra dod vislielāko ieguvumu. Uzņēmumam par katru šādu sistēmu jāuztur tehniskā dokumentācija, kas apraksta sistēmas nolūku, arhitektūru, izmantotos apmācības datus, risku pārvaldības pasākumus un cilvēka uzraudzības mehānismus. Papildus jāuztur automātiski ģenerēti darbības žurnāli, kas ļauj izsekot sistēmas lēmumiem. Praksē grūtākais ir šo dokumentāciju uzturēt aktuālu, kad sistēma tiek atjaunināta vai pārapmācīta — novecojusi dokumentācija ir tikpat problemātiska kā tās trūkums. Ja konkrētā sistēma apstrādā personas datus, šī dokumentācija cieši sasaucas ar VDAR ietekmes novērtējumu un apstrādes reģistru. Rīks, kas MI sistēmu uzskaiti, riska klasifikāciju un VDAR dokumentāciju tur vienkopus, novērš dubultu darbu un nodrošina, ka abu regulējumu prasības ir pierādāmas vienlaikus.
Latvijas uzņēmumam, kas MI sistēmas nevis izstrādā, bet iegādājas un izmanto, praktiskais uzsvars ir uz iegādāto rīku pareizu izvēli un pārraudzību. Pirms augsta riska MI sistēmas ieviešanas jāpārbauda, kādu tehnisko dokumentāciju un atbilstības apliecinājumu sniedz tās nodrošinātājs, jo daļa pienākumu izriet no piegādātāja, bet atbildība par atbilstošu lietošanu paliek pašam uzņēmumam. Tāpēc MI sistēmu inventarizācija jāpapildina ar piegādātāju izvērtējumu — līdzīgi kā VDAR gadījumā apstrādātāju izvērtē pēc 28. panta. Tieši šī saikne starp MI piegādātāju pārvaldību un VDAR apstrādātāju loģiku padara integrētu platformu praktiski izdevīgu vairumam Latvijas uzņēmumu, kuru MI risks izriet no trešo pušu rīku izmantošanas kopā ar personas datu apstrādi.
Vai MI akts attiecas uz uzņēmumiem, kas MI tikai izmanto?
Jā, bet ar vieglākiem pienākumiem nekā izstrādātājiem. Uzņēmumiem, kas augsta riska MI sistēmas izmanto (piemēram, personāla atlasē), ir pienākumi par atbilstošu lietošanu, cilvēka uzraudzību un VDAR pienākumi, tostarp atsevišķs vērtējums par DPIA nepieciešamību saskaņā ar 35. pantu.
Praktiska iepirkuma pārbaude ar hipotētisku piemēru
Izmantojiet vienu izdomātu sistēmu un sintētiskus datus, lai salīdzinātu vairākus piedāvājumus. Piemēram, uzņēmums plāno rīku klientu pieprasījumu sākotnējai šķirošanai. Reģistrējiet konkrēto nolūku, lietotājus, nodrošinātāju, versiju un rezultāta izmantošanu. Piemērs nav secinājums par visu šādu sistēmu riska līmeni. Vispirms nepieciešams saprast faktisko darbību un iespējamo ietekmi uz cilvēkiem.
Lūdziet parādīt, kā atbildīgais darbinieks pamato klasifikāciju un pievieno izmantotos avotus. Automātisks ieteikums nedrīkst slēpt trūkstošu informāciju. Ja nav zināms, vai rezultāts tiek izmantots nozīmīga lēmuma pieņemšanai, šis jautājums jāatstāj atvērts ar konkrētu atbildīgo. Aizpildīta anketa nav automātisks pierādījums pareizam juridiskam secinājumam.
Pēc tam mainiet lietojuma aprakstu un pārbaudiet versiju vēsturi. Vai redzams, kurš pieņēma iepriekšējo lēmumu, uz kādiem faktiem tas balstījās un kas tagad mainījies? Datums bez pamatojuma nevar izskaidrot lēmuma saturu. Jauns darbinieks spēj pārņemt uzdevumu tikai tad, ja saglabāta arī nozīmīgā informācija un atvērtie nosacījumi.
Pārbaudāmi pieņemšanas kritēriji
| Uzdevums | Ko pieprasīt demonstrācijā |
|---|---|
| Sistēmas uzskaite | Nolūks, īpašnieks, loma, versija un faktiskā izmantošana |
| Klasifikācija | Kritēriji, avoti, nenoteiktība un pamatots secinājums |
| Izmaiņas | Iepriekšējais stāvoklis un ietekmēto vērtējumu atvēršana |
| Piekļuve | Atšķirīgas tiesības lasīt, labot un pieņemt lēmumu |
| VDAR saikne | Atsauce uz konkrēto apstrādi un atsevišķu DPIA izvērtējumu |
| Eksports | Lasāms saturs ar nepieciešamajiem pielikumiem un vēsturi |
| Pakalpojuma beigas | Datu atdošana, dzēšana un atlikušās kopijas |
Katram kritērijam norādiet, vai funkcija ir parādīta piedāvātajā paketē vai tikai solīta nākotnē. Ceļvedis par iespējamu attīstību nav jau ieviests drošības pasākums. Ja funkcija nepieciešama pirms konkrētās izmantošanas, tas jāatspoguļo iepirkuma lēmumā un termiņos. Neatrisinātu nosacījumu nedrīkst paslēpt zem vispārējas atzīmes apstiprināts.
Izmaksu piedāvājums ar skaidru tvērumu
Lūdziet rakstisku piedāvājumu vienādam sistēmu, lietotāju un integrāciju apjomam. Atsevišķi norādiet ieviešanu, datu pārcelšanu, apmācību, atbalstu, eksportu un līguma izbeigšanu. Zemāka licences cena var ietvert mazāk nepieciešamo darbu. Šajā rakstā nav pārbaudītu konkrētu piegādātāju cenu, tāpēc netiek noteikts Latvijas tirgus vidējais cenu līmenis.
Novērtējiet arī uzņēmuma darbinieku laiku. Programmatūra var sakārtot informāciju, bet cilvēkiem joprojām jāapraksta izmantošana, jāiegūst dokumenti un jāpieņem pamatoti lēmumi. Iekšēju hipotētisku budžetu skaidri marķējiet kā pieņēmumu. Neizmantojiet to kā pierādījumu, ka kāda rīku kategorija vienmēr ir lētāka vai nodrošina labāku atbilstību.
Datu aizsardzība pašā pārvaldības rīkā
Sistēmu reģistrā var būt darbinieku vārdi, incidentu apraksti un sensitīvi pielikumi. Tādēļ arī pārvaldības rīka piegādātājam jāpārbauda loma, piekļuve, apstrādātāji un datu nodošana. Servera atrašanās ES pati par sevi neatbild uz jautājumu, kura persona var lasīt saturu tehniskā atbalsta laikā. Kartējiet faktisko piekļuvi un nepieciešamos aizsardzības pasākumus.
Pilotam izmantojiet sintētiskus piemērus, ja ar tiem pietiek funkcijas pārbaudei. Pilns klienta vai darbinieka fails nav vajadzīgs tikai atskaites izskata apskatei. Ja īsti dati tomēr nepieciešami, pirms izmantošanas jānosaka nolūks, pamats, piekļuve un dzēšana. Pēc pārbaudes jāpārliecinās, ka paraugi un eksporta faili nav palikuši nevajadzīgās kopijās.
Ieviešanas lēmums un turpmākā pārskatīšana
Dokumentējiet novēroto rezultātu un ierobežojumus. Sekmīga demonstrācija pierāda konkrēto parādīto darbību, nevis visu uzņēmuma juridisko pienākumu izpildi. Atbildīgajām personām jāsaglabā kontrole pār vērtējumiem un apstiprinājumiem. Saistiet būtisku izmaiņu ar jaunu pārskatīšanu, lai vecs secinājums nekļūtu par neierobežotu atļauju citam lietojumam.
Pēc ieviešanas izvēlieties vienu reālu, ierobežotu procesu un pārbaudiet informācijas ceļu līdz lēmumam. Vai ir zināms īpašnieks, avoti un neatbildētie jautājumi? Vai dokumentāciju var nolasīt arī ārpus rīka? Vai izmaiņas sasniedz atbildīgo cilvēku? Šie praktiskie rezultāti palīdz novērtēt rīka piemērotību bez nepamatotiem atbilstības solījumiem.