Dirbtinio intelekto reguliavimas: kas keičiasi rugpjūčio pradžioje.

Nors Europos dirbtinio intelekto (DI) reglamentas įsigaliojo 2024 m. rugpjūčio 1 d., artėjame prie esminio jo įgyvendinimo etapo.

Naudingą priminimą apie reglamento nuostatų taikymo tvarkaraštį, kuriame atsižvelgiama į neseniai «Skaitmeniniu omnibusu» atliktus pakeitimus, galima rasti Europos Komisijos svetainėje.

• Bendrosios reglamento nuostatos (dirbtinio intelekto apibrėžimai ir kultūra) ir dirbtinio intelekto sistemų, keliančių nepriimtiną riziką, draudimas galioja nuo 2025 m. vasario 2 d.
• Nuo rugpjūčio 2 d. įsigaliojo dauguma nuostatų: taikomos skaidrumo taisyklės ir inovacijų rėmimo priemonės, o įgyvendinimo stebėsena gali būti vykdoma bendrosios paskirties dirbtinio intelekto modelių, draudimų, skaidrumo taisyklių ir dirbtinio intelekto kultūros srityse. Už tai bus atsakingas Europos Komisijos dirbtinio intelekto biuras, bendradarbiaudamas su nacionalinėmis valdžios institucijomis.
• Nuo gruodžio 2 d. bus reglamentuojamos dirbtinio intelekto sistemos, generuojančios seksualinį turinį be sutikimo (angl. deepfake) ir vaikų pornografija, o nuo 2027 m. pabaigos ir 2028 m. vidurio – didelės rizikos dirbtinio intelekto sistemos, įtrauktos atitinkamai į III priedą (tokios jautrios sritys kaip užimtumas ir policijos veikla) ir I priedą (tokie produktai kaip medicinos prietaisai).

Tiksliau sakant, nuo šios vasaros įsigaliojo naujos 50 straipsnio skaidrumo taisyklės, reikalaujančios, kad tam tikros dirbtinio intelekto sistemos, pavyzdžiui, pokalbių robotai, informuotų vartotojus, kada jie sąveikauja su dirbtiniu intelektu ir kada jis sukūrė arba pakeitė turinį.

Be to, reikės nurodyti, kurie turinio, redaguoto arba sugeneruoto naudojant dirbtinį intelektą, teikėjai.

Šis turinys taip pat turi būti paženklintas mašininio skaitymo žymekliais, kad jį būtų lengviau aptikti.

Numatytos tam tikros išimtys baudžiamojo persekiojimo srityje, taip pat tekstams, kurių turinį kontroliuoja žmogus, ir egzistuoja adaptacijos meniniams kūriniams.

Komisija taip pat pasiūlė tris piktogramas, skirtas identifikuoti turinį, visiškai arba iš dalies sukurtą naudojant dirbtinį intelektą.

Siekdama padėti įmonėms laikytis šių įsipareigojimų, Europos Komisija liepos 20 d. paskelbė gaires, kuriose paaiškinama, kam taikomos šios taisyklės ir koks turinys turi būti atskleistas.

«Dirbtinio intelekto sukurto turinio skaidrumo gerosios praktikos kodeksas», kurį jau pasirašė daugiau nei 180 organizacijų, įskaitant „OpenAI“ ir „Google“, siekia padėti įmonėms įrodyti, kad jos laikosi reglamento.

Kas Prancūzijoje yra atsakingas už reglamento įgyvendinimą ir laikymosi stebėseną?

Priežiūra paskirstyta tarp daugelio subjektų, vadovaujant DGE ir DGCCRF, kurie prižiūrės bendruosius informacijos ir atsekamumo įsipareigojimus.

• CNIL atlieka pagrindinį vaidmenį dirbtinio intelekto sistemose, susijusiose su asmens duomenų, įskaitant jautrius duomenis ir biometrinius duomenis, tvarkymu. Institucija siūlo praktinius vadovus ir savęs vertinimo įrankį, padedantį įmonėms patikrinti, ar jos laikosi teisinių reikalavimų, ir teikia konsultacijas MVĮ ir labai mažoms įmonėms.
• ARCOM kišasi į skaitmeninį ir audiovizualinį turinį, įskaitant «deepfake».
• ANSSI įsikiš į kibernetinio saugumo aspektus.
• HAS bus kompetentingas dirbtinio intelekto sistemų, naudojamų medicinos srityje, srityje.

Ši atsakomybės sričių visuma, dėl kurios neišvengiamai atsiras dubliavimosi, reikalauja glaudesnio suinteresuotųjų šalių bendradarbiavimo. DGCCRF atlieka vieno langelio principu veikiančio kontaktinio asmens vaidmenį.

Rizika nusikaltimo atveju gali būti didelė.

Sankcijos skiriasi priklausomai nuo rizikos lygio: iki 35 mln. eurų arba 7% pasaulinės apyvartos už uždraustą dirbtinį intelektą, 15 mln. eurų arba 3% už didelės rizikos neatitinkantį dirbtinį intelektą ir 7,5 mln. eurų arba 1% už skaidrumo stoką.

MVĮ ir labai mažoms įmonėms baudos yra apribotos iki mažesniosios iš absoliučios ribos arba apyvartos procentinės dalies.

Reglamentas taikomas moduliuotai kiekvienai organizacijos naudojamai dirbtinio intelekto sistemai, o ne visai organizacijai.

Todėl rekomenduojama sudaryti visų naudojamų sistemų (įskaitant trečiųjų šalių dirbtinį intelektą ir subrangos sutartis) žemėlapį ir įvertinti jų rizikos lygį, kad būtų galima pritaikyti atitiktį reikalavimams.

Prancūzijoje

Prancūzija tapo pirmąja Europos šalimi, priėmusia įstatymą, draudžiantį jaunesniems nei 15 metų nepilnamečiams naudotis socialiniais tinklais.

Liepos 21 d. parlamento priimtas kompromisinis tekstas įpareigoja paslaugų teikėjus įdiegti patikimą amžiaus tikrinimo sistemą, nenustatant konkretaus mechanizmo.

Nuo 2026 m. rugsėjo 1 d. nepilnamečiai iki penkiolikos metų nebegalės kurti naujų paskyrų šiose platformose.

Esamoms sąskaitoms draudimas įsigalios po keturių mėnesių, t. y. 2027 m. sausio 1 d. ARCOM bus atsakinga už šio draudimo laikymosi užtikrinimą.

Atkreipkite dėmesį, kad tekstas kelia proporcingumo klausimų, nes reikalauja, kad visi socialinių tinklų vartotojai įrodytų savo amžių, o mechanizmo veiksmingumu abejoja jo priešininkai, kurie mini nevienodus Australijos rezultatus šioje srityje.

Dvi parlamento narių grupės paprašė Konstitucinės tarybos peržiūrėti tekstą. Be to, Europos Komisija ketina šį rudenį pateikti pasiūlymą šiuo klausimu, pirmenybę teikdama amžiaus tikrinimo mechanizmams, kurie išsaugo anonimiškumą.

Nuo rugpjūčio 11 d. ir liepos 23 d. dekretu, kitaip nei „Bloctel“ sistemoje, kuriai reikalingas aktyvus atsisakymas, telefoniniai prašymai iš principo bus draudžiami visų veiklos sektorių įmonėms, išskyrus išimtines aplinkybes:

• Kai skambutis susijęs su su įmone sudaryta sutartimi, kuria siekiama pasiūlyti, pavyzdžiui, papildomus produktus ar paslaugas arba pasiūlymą, kuriuo siekiama pagerinti teikiamą paslaugą ar jos veikimą.
• Kai atitinkama bendrovė gavo išankstinį sutikimą, kad su ja būtų susisiekta rinkodaros tikslais, šis sutikimas turėjo būti išreikštas «laisva valia», «informuotai» ir «aiškiai patvirtinančiu veiksmu».

Nesilaikymas įmonėms gresia baudos iki 375 000 eurų juridiniams asmenims, taip pat sutartys, sudarytos po neteisėto siūlymo, gali būti pripažintos negaliojančiomis.

Praėjusių metų balandį CNIL užėmė griežtą poziciją dėl sekimo pikselių el. laiškuose, suteikdama įmonėms tris mėnesius laikytis elektroninių ryšių apsaugos teisinių nuostatų.

Nuo to laiko į visų pašto dėžutes pateko daugybė žinučių, kuriose prašoma sutikimo sekti laiškų atidarymą. Liepos 22 d. CNIL (Prancūzijos duomenų apsaugos tarnyba) paskelbė klausimų ir atsakymų seriją, siekdama paaiškinti savo rekomendacijos įgyvendinimo sąlygas.

CNIL ir CIANum (Dirbtinio intelekto ir skaitmeninių technologijų taryba) atliko bendrą svarstymą ir paskelbė tiriamąjį dokumentą apie agentinio dirbtinio intelekto keliamus klausimus asmens duomenų apsaugai.

Šis darbas atkartoja CNIL diskusijas šia tema su tarptautiniais partneriais, ypač G7 duomenų apsaugos institucijų kontekste.

Dokumente atkreipiamas dėmesys į dirbtinio intelekto naudojimo masto pokyčius, kuris tampa vis labiau paplitęs, ir keliami klausimai dėl atsakomybės bei asmens duomenų kontrolės praradimo. Nors šioms sistemoms taikoma dabartinė teisinė sistema, CNIL pabrėžia iššūkį, susijusį su jos įgyvendinimo metodų pritaikymu.

Liepos pradžioje „Doctolib“ el. laiške 60 milijonų savo vartotojų paskelbė, kad nuo rugpjūčio mėnesio, nebent jie paprieštaraus, naudos kai kuriuos jų sveikatos duomenis dirbtinio intelekto įrankiams mokyti ir tobulinti, įgyvendindama mokslinių tyrimų projektus, bendradarbiaujant su „Inria“, „Inserm“ ir Paryžiaus Cité universitetu.

Bendrovė teigia, kad atitinkami duomenys yra pseudonimizuoti ir kad jų naudojimą reglamentuoja CNIL taisyklės.

Šis tyrimų projektas sukėlė nemažai reakcijų, įskaitant Žmogaus teisių lygos, kuri liepos 16 d. pranešime spaudai kritikuoja numatytąjį vartotojų įtraukimą į tyrimų projektą ir tai, kad jį vykdo privati įmonė (kurios duomenis saugo įmonė, kuriai taikomi JAV įstatymai), o ne viešoji įstaiga.

Europoje

Europos institucijos ir įstaigos

Liepos 9 d. Europos Parlamentas balsavo dėl «Chat Control 1.0» schemos, leidžiančios skaitmeninėms įmonėms savanoriškai, be jokio įgaliojimo, analizuoti privačius pranešimus, pratęsimo.

Ši «laikina nukrypti leidžianti nuostata» nuo privatumo ir elektroninių ryšių taisyklių, skirtų vaikų seksualinės prievartos atvejams internete aptikti, galiotų iki 2028 m. balandžio 3 d.

Šis kovo mėnesį parlamento atmestas tekstas buvo vėl įtrauktas į darbotvarkę per antrąjį svarstymą, kurio metu pasiūlymui atmesti reikalinga absoliuti visų narių balsų dauguma.

Tuo tarpu įstatymų leidėjai derasi dėl atnaujintos sistemos «Chat Control 2.0», kuri galėtų leisti pasiekti užšifruotų pranešimų turinį – projektą, kurį daugiau nei 800 kibernetinio saugumo tyrėjų laiko grėsme pranešimų šifravimui ir konfidencialumui.

Liepos 7 d. Europos Komisija pristatė kibernetinio saugumo ir dirbtinio intelekto veiksmų planą, kuriuo siekiama «skatinti saugų ir atsakingą dirbtinio intelekto naudojimą kartu stiprinant Europos kibernetinį saugumą».

Veiksmų planas papildo galiojantį ES dirbtinio intelekto ir kibernetinio saugumo teisinį pagrindą, įskaitant Dirbtinio intelekto reglamentą, Kibernetinio atsparumo reglamentą, NIS2 direktyvą, Skaitmeninio operacinio atsparumo (DORA) reglamentą ir Kibernetinio solidarumo reglamentą.

Liepos 23 d. Europos Komisija priėmė du sprendimus, kuriuose nustatė, kad „Google“ pažeidė Skaitmeninės rinkos reglamentą (DSR), teikdama pirmenybę savo paslaugoms „Google“ paieškoje ir nustatydama apribojimus įmonėms, kad jos negalėtų nukreipti „Google Play“ naudotojų į kitus, dažnai pigesnius, pirkimo kanalus. Ji skyrė „Google“ atitinkamai 460 mln. ir 430 mln. eurų baudas.

Liepos 8 d. Europos duomenų apsaugos valdyba (EDAV) paskelbė naujas gaires, kuriomis siekiama paaiškinti BDAR taikymą dviem svarbiems klausimams:

• Duomenų anonimizavimas
• Žiniatinklio duomenų išgavimas generatyvinio dirbtinio intelekto kontekste.

Kalbant apie nuasmeninimą, komitetas nurodo, kad duomenys gali būti laikomi tikrai anoniminiais tik tuo atveju, jei nėra pagrįstai įmanomo pakartotinio identifikavimo, remiantis visų pirma trimis kriterijais: išskyrimo nebuvimu, susiejimu ir dedukcija.

Gairėse visų pirma atsižvelgiama į Europos Sąjungos Teisingumo Teismo 2025 m. rugsėjo 4 d. sprendimą byloje C-413/23 P, EDPB prieš BPV.

Kalbant apie žiniatinklio duomenų išgavimą, EDAV atkreipia dėmesį, kad automatizuotam asmens duomenų rinkimui dirbtinio intelekto modeliams apmokyti ir toliau taikomas BDAR, ypač teisinio pagrindo, skaidrumo ir tikslo apribojimo reikalavimai.

Šie du gairių projektai viešoms konsultacijoms teikiami iki 2026 m. spalio 30 d. Be to, blokų grandinės gairės jau priimtos galutine versija.

2026 m. liepos 31 d. EDAV taip pat išsiuntė laišką Europos Komisijai, prašydama išnagrinėti, ar JAV Aukščiausiojo Teismo sprendimas byloje „Trump prieš Slaughter“ gali turėti įtakos ES ir JAV duomenų apsaugos sistemos galiojimui.

Liepos 16 d. Europos Sąjungos Teisingumo Teismas (ESTT) nusprendė, kad profesiniai el. laiškai yra Europos Sąjungos pagrindinių teisių chartijos 7 ir 8 straipsnių saugoma komunikacija, tačiau konkurencijos institucija gali juos konfiskuoti tyrimo metu be išankstinio teismo leidimo, jei yra nustatyta griežta teisinė sistema ir tinkamos apsaugos nuo piktnaudžiavimo ir savivalės priemonės (sujungtos bylos C-258/23–C-260/23).

Liepos 14 d. sprendime (C 474/24 – NADA Austria ir kt.) jis nusprendė, kad profesionalių sportininkų, pažeidusių antidopingo taisykles, vardų ir pavardžių skelbimas gali būti teisėtas.

Tačiau už skelbimą atsakingas subjektas turi sugebėti subalansuoti konkuruojančius interesus, kad būtų laikomasi proporcingumo principo. Jis taip pat pripažino, kad skundas gali būti pateiktas kaip prevencinė priemonė.

Galiausiai ESTT liepos 9 d. sprendime (C-199/24 ND prieš Legal Newsdesk Sweden AB) nusprendė, kad informacijos apie apkaltinamuosius nuosprendžius skelbimas viešai prieinamose duomenų bazėse nėra žurnalistinė veikla ir jai negali būti taikoma BDAR išimtis pagal nacionalinės teisės aktus, perkeliančius 85(2) straipsnį.

Naujienos iš Europos Sąjungos šalių narių.

Austrijoje, po septynerius metus trukusio proceso, Aukščiausiasis administracinis teismas patvirtino Austrijos pašto tarnybai skirtą 13 mln. eurų baudą.

Bendrovė surinko duomenis apie daugiau nei dviejų milijonų žmonių politines pažiūras ir pardavė šią informaciją trečiųjų šalių įmonėms tiesioginės rinkodaros tikslais.

Nors bendrovė argumentavo sąžiningai ir citavo konsultantų, kurie patvirtino jos praktiką, nuomones, Aukščiausiasis Teismas šiuos argumentus atmetė, teigdamas, kad «juridiniam asmeniui sankcijos skyrimui nereikia jokių valdymo organų veiksmų ar žinių». Teismas taip pat nusprendė, kad «nepateisinamos» teisinės nuomonės neturėtų būti laikomos lengvinančia aplinkybe ar net išteisinamuoju veiksniu.

Liepos 14 d. Europos duomenų apsaugos valdyba (EDV) priėmė sprendimą, kuriuo įpareigojo Belgijos duomenų apsaugos tarnybą (APD) išnagrinėti NVO „Noyb“ pateiktą skundą, kurį APD buvo pripažinusi nepriimtinu. Privalomu sprendimu Komitetas išnagrinėjo, ar skundas turėtų būti atmestas dėl piktnaudžiavimo teisėmis, ir patvirtino, kad ne pelno siekiančios įstaigos, organizacijos ar asociacijos įgaliojimas pateikti skundą skundo pateikėjo vardu atitinka BDAR.

Ispanijos duomenų apsaugos tarnyba (APD) skyrė 2,4 mln. eurų baudą genomikos ir biotechnologijų bendrovei už tai, kad ji tinkamai neapsaugojo genetinių ir sveikatos duomenų ir pranešė duomenų apsaugos institucijai apie asmens duomenų saugumo pažeidimą po 72 valandų termino.

APD taip pat skyrė ’Vodafone“ 1 050 000 eurų baudą už nepakankamas duomenų apsaugos priemones.

Italijos duomenų apsaugos tarnyba (APD) skyrė 5,8 mln. eurų baudą energijos tiekėjui už tai, kad jis neatskleidė kredito reitingų ar nepaaiškino, kaip jie buvo apskaičiuoti, neteisėtai dalijosi skolos duomenimis savo grupės viduje, dešimt metų saugojo kredito duomenis be pakankamo pagrindo ir pakartotinai panaudojo juos nesuderinamais tikslais.

Italijos duomenų apsaugos tarnyba skyrė 2 milijonų eurų baudą amerikiečių duomenų brokerių bendrovei «Lusha Systems Inc.», kuri per savo platformą už mokestį teikia „praturtintą“ informaciją apie asmenis, pavyzdžiui, jų profesinę padėtį, el. pašto adresus ir telefono numerius.

„Lusha“ renka šiuos duomenis iš kelių šaltinių (duomenų išgavimo iš socialinių tinklų, pirkimų iš kitų duomenų tarpininkų ir kt.) ir pateikia juos savo klientams komerciniais tikslais arba kovai su sukčiavimu.

Bendrovė taip pat atlieka atnaujinimus, susijusius su atitinkamų asmenų elgesio stebėjimu internete, kuris patenka į BDAR taikymo sritį. Italijos duomenų apsaugos tarnyba (APD) uždraudė tvarkyti duomenis, susijusius su Italijoje esančiais asmenimis, ir nurodė juos ištrinti.

APD taip pat skyrė sankcijas telekomunikacijų operatoriui TIM už daugybę privatumo ir telemarketingo taisyklių pažeidimų.

Keletas jos skambučių centrų, veikdami kaip subrangovai, bendrovės vardu atliko reklaminius skambučius, naudodami numerius, nepriklausančius oficialiam pardavimo tinklui, siekdami neteisėtai rinkti vartotojų duomenis.

Institucija atkreipia dėmesį, kad elgesio kodekso laikymasis neatleidžia duomenų valdytojo nuo pareigos stebėti savo subrangovų veiklą ir tikrinti veiksmingą duomenų apsaugos priemonių taikymą visoje telemarketingo grandinėje.

Tarptautiniu mastu

Kanadoje birželio 15 d. priimtu įstatymo projektu siūloma panaikinti Duomenų apsaugos agentūros (DPA) įgaliojimus stebėti privatųjį sektorių ir sukurti vieną įstaigą, atsakingą už internetinės žalos, socialinių tinklų, dirbtinio intelekto pagrindu veikiančių pokalbių robotų ir privatumo apsaugos privačiame sektoriuje reguliavimą.

Jungtinėse Valstijose birželio mėnesį nustojo galioti Užsienio žvalgybos stebėjimo įstatymo (FISA) 702 skirsnis.

Nuo 2008 m. ši nuostata leido JAV žvalgybos agentūroms rinkti užsienio piliečių, esančių už Jungtinių Valstijų ribų, pranešimus be orderio.

Jau keletą metų vis daugiau parlamentarų 702 straipsnio atnaujinimą siejo su privalomo mandato reikalavimu. Galiausiai jie surinko reikiamą balsų skaičių, kad jų pozicija būtų išgirsta.

Tačiau, pasak parlamento nario Jamie Raskino, Užsienio žvalgybos stebėjimo teismo (FISC) kovo mėnesį atnaujinti leidimai 702 skirsnio programai lieka galioti ir «bus toliau taikomi be pakeitimų bent iki 2027 m. kovo 17 d.».

Kai kurie operatoriai privačiai perspėjo, kad nutrauks bendradarbiavimą, kai tik įstatymas nustos galioti, bijodami teisinės atsakomybės, jei nebus galiojančio įstatymo, kuris paremtų vyriausybės reikalavimus.

Todėl žvalgybos agentūros ir telekomunikacijų bendrovės susiduria su netikrumu dėl to, kokia duomenų rinkimo veikla gali būti teisėtai tęsiama.

Taip pat Jungtinėse Valstijose JAV teismas galutinai patvirtino taikų susitarimą, pasiektą su bendrove „23andMe“ po 2023 m. kibernetinės atakos, kuri paveikė maždaug 6,4 mln. klientų.

Tačiau amerikiečiams, kurių genetiniai duomenys buvo pažeisti, kompensacijos dar nebuvo išmokėtos dėl bendrovės bankroto proceso.

Kompensacijų fondas siekia 46,75 mln. JAV dolerių, tačiau dauguma gavėjų gaus tik ribotą kompensaciją, o didžiausios sumos bus skirtos aukoms, kurios gali įrodyti didelę žalą.

Ketvirtadienį, liepos 16 d., Romos Kapitolijaus kalvoje buvo pasirašyta «Romos deklaracija dėl taikos be ginklų, pagrįstos nusiginklavimu dirbtinio intelekto, branduolinių ir autonominių ginklų, naujų skaitmeninių protokolų ir besiformuojančių skaitmeninės plėtros modelių amžiuje», žyminti Nobelio premijos laureatų pasaulinės asamblėjos dirbtinio intelekto ir branduolinio karo klausimais kulminaciją.