Mākslīgā intelekta regulējums: kas mainās augusta sākumā.

Lai gan Eiropas mākslīgā intelekta (MI) regula stājās spēkā 2024. gada 1. augustā, mēs tuvojamies izšķirošam posmam tās īstenošanā.

Noderīgs atgādinājums par regulas noteikumu piemērošanas laika grafiku, kurā ņemti vērā nesenie grozījumi, kas veikti ar "Digital Omnibus", ir atrodams Eiropas Komisijas tīmekļa vietnē.

• Regulas vispārīgie noteikumi (mākslīgā intelekta definīcijas un kultūra) un tādu mākslīgā intelekta sistēmu aizliegums, kas rada nepieņemamus riskus, ir spēkā kopš 2025. gada 2. februāra.
• Kopš 2. augusta ir stājusies spēkā lielākā daļa noteikumu: tagad ir piemērojami pārredzamības noteikumi un inovāciju atbalsta pasākumi, un var veikt ieviešanas uzraudzību attiecībā uz vispārējas nozīmes mākslīgā intelekta modeļiem, aizliegumiem, pārredzamības noteikumiem un mākslīgā intelekta kultūru. Par to būs atbildīgs Eiropas Komisijas mākslīgā intelekta birojs sadarbībā ar valstu iestādēm.
• No 2. decembra tiks regulētas mākslīgā intelekta sistēmas, kas ģenerē bez piekrišanas iegūtu seksuāla rakstura "dziļviltojumu" un bērnu pornogrāfiju, un no 2027. gada beigām un 2028. gada vidus augsta riska mākslīgā intelekta sistēmas tiks iekļautas attiecīgi III pielikumā (tādas sensitīvas jomas kā nodarbinātība un policijas darbs) un I pielikumā (tādi produkti kā medicīnas ierīces).

Konkrētāk, kopš šīs vasaras jaunie 50. panta pārredzamības noteikumi pieprasa noteiktām mākslīgā intelekta sistēmām, piemēram, tērzēšanas robotiem, informēt lietotājus, kad viņi mijiedarbojas ar mākslīgo intelektu un kad tas ir ģenerējis vai modificējis saturu.

Turklāt būs jānorāda, ka satura nodrošinātāji, kas rediģēts vai ģenerēts, izmantojot mākslīgo intelektu, ir attiecīgi jāidentificē.

Šim saturam jābūt arī mašīnlasāmiem marķieriem, lai to būtu vieglāk atpazīt.

Krimināllietu kontekstā, kā arī tekstiem, kuru saturu kontrolē cilvēks, ir paredzēti daži izņēmumi, un mākslinieciskiem darbiem pastāv pielāgojumi.

Komisija arī ierosināja trīs ikonas, lai identificētu saturu, kas pilnībā vai daļēji ģenerēts, izmantojot mākslīgo intelektu.

Lai palīdzētu uzņēmumiem izpildīt šīs saistības, Eiropas Komisija 20. jūlijā publicēja vadlīnijas, kurās precizēts, uz ko šie noteikumi attiecas un kāds saturs ir jāatklāj.

"Labas prakses kodekss par mākslīgā intelekta ģenerēta satura pārredzamību", ko jau parakstījušas vairāk nekā 180 organizācijas, tostarp OpenAI un Google, ir paredzēts, lai palīdzētu uzņēmumiem pierādīt atbilstību regulai.

Kas Francijā ir atbildīgs par regulas ieviešanu un atbilstības uzraudzību?

Uzraudzība tiek veikta starp daudzām struktūrām DGE un DGCCRF vadībā, kas pārraudzīs vispārējos informācijas sniegšanas un izsekojamības pienākumus.

• CNIL ir būtiska loma mākslīgā intelekta sistēmās, kas ietver personas datu, tostarp sensitīvu datu un biometrijas, apstrādi. Iestāde piedāvā praktiskas rokasgrāmatas un pašnovērtējuma rīku, lai palīdzētu uzņēmumiem pārbaudīt atbilstību juridiskajām prasībām, un sniedz konsultācijas MVU un ļoti maziem uzņēmumiem.
• ARCOM iejaucas digitālā un audiovizuālā satura, tostarp "dziļviltojumu", jomā.
• ANSSI iejauksies kiberdrošības aspektos.
• HAS būs kompetents attiecībā uz mākslīgā intelekta sistēmām, ko izmanto medicīnas jomā.

Šī pienākumu konstelācija, kas neizbēgami novedīs pie pārklāšanās, prasa ciešāku sadarbību starp ieinteresētajām personām. DGCCRF pilda vienotā kontaktpunkta lomu operatīvajā līmenī.

Riski pārkāpuma gadījumā var būt ievērojami.

Sankcijas atšķiras atkarībā no riska līmeņa: līdz 35 miljoniem eiro vai 7% no globālā apgrozījuma par aizliegtu mākslīgo intelektu, 15 miljoniem eiro vai 3% par augsta riska neatbilstošu mākslīgo intelektu un 7,5 miljoniem eiro vai 1% par pārredzamības trūkumu.

MVU un ļoti maziem uzņēmumiem sodi ir ierobežoti līdz absolūtajai robežvērtībai vai apgrozījuma procentuālajai daļai atkarībā no tā, kura no tām ir zemākā.

Regula modulētā veidā attiecas uz katru organizācijas izmantoto mākslīgā intelekta sistēmu, nevis uz organizāciju kopumā.

Tāpēc ieteicams kartēt visas izmantotās sistēmas (tostarp trešo pušu mākslīgo intelektu un apakšuzņēmējus) un novērtēt to riska līmeni, lai pielāgotu atbilstību.

Francijā

Francija ir pirmā Eiropas valsts, kas pieņēmusi likumu, kas aizliedz nepilngadīgajiem, kas jaunāki par 15 gadiem, piekļuvi sociālajiem tīkliem.

Parlamentā 21. jūlijā pieņemtais kompromisa teksts uzliek pakalpojumu sniedzējiem pienākumu ieviest uzticamu vecuma pārbaudes sistēmu, neuzspiežot konkrētu mehānismu.

No 2026. gada 1. septembra nepilngadīgie, kas jaunāki par piecpadsmit gadiem, vairs nevarēs veidot jaunus kontus šajās platformās.

Esošajiem kontiem aizliegums stāsies spēkā pēc četriem mēnešiem, t. i., 2027. gada 1. janvārī. ARCOM būs atbildīgs par šī aizlieguma ievērošanas nodrošināšanu.

Jāņem vērā, ka teksts rada jautājumus par samērīgumu, jo tas pieprasa visiem sociālo tīklu lietotājiem pierādīt savu vecumu, un mehānisma efektivitāti apšauba tā kritiķi, kuri min Austrālijas neviennozīmīgos rezultātus šajā jomā.

Divas parlamenta deputātu grupas ir lūgušas Konstitucionālajai padomei pārskatīt tekstu. Turklāt Eiropas Komisija plāno šoruden iesniegt priekšlikumu par šo tēmu, vienlaikus prioritāri izvirzot vecuma pārbaudes mehānismus, kas saglabā anonimitāti.

No 11. augusta un saskaņā ar 23. jūlija dekrētu, atšķirībā no Bloctel sistēmas, kas prasa aktīvu atteikšanos, telefona zvans principā būs aizliegts uzņēmumiem visās darbības nozarēs, izņemot ārkārtas gadījumus:

• Ja zvans ir saistīts ar līgumu, kas noslēgts ar uzņēmumu, lai piedāvātu, piemēram, papildinošus produktus vai pakalpojumus, vai piedāvājumu, kura mērķis ir uzlabot sniegto pakalpojumu vai tā veiktspēju.
• Ja attiecīgais uzņēmums ir saņēmis iepriekšēju piekrišanu saziņai mārketinga nolūkos, šai piekrišanai ir jābūt izteiktai «brīvi» un «informēti», kā arī «ar skaidru apstiprinošu darbību».

Neievērošana pakļauj uzņēmumus naudas sodiem līdz pat 375 000 eiro juridiskām personām, kā arī līgumu atzīšanu par spēkā neesošiem, kas noslēgti pēc nelikumīgas uzaicināšanas.

Pagājušā gada aprīlī CNIL ieņēma stingru nostāju attiecībā uz izsekošanas pikseļiem e-pastos, dodot uzņēmumiem trīs mēnešus, lai nodrošinātu atbilstību tiesību aktiem, kas aizsargā elektronisko komunikāciju.

Kopš tā laika ikviena pastkastītē ir nonākušas daudzas ziņas ar lūgumu piekrist izsekot pasta atvēršanas brīdi. 22. jūlijā CNIL (Francijas Datu aizsardzības iestāde) publicēja virkni jautājumu un atbilžu, lai precizētu ieteikuma ieviešanas nosacījumus.

CNIL un CIANum (Mākslīgā intelekta un digitālā padome) ir veikušas kopīgu pārdomu darbu un publicējušas izpētes piezīmi par jautājumiem, ko aģentūru mākslīgais intelekts rada personas datu aizsardzības jomā.

Šis darbs atspoguļo diskusijas, ko CNIL par šo tēmu ir veikusi ar saviem starptautiskajiem partneriem, jo īpaši datu aizsardzības iestāžu G7 ietvaros.

Dokumentā ir atzīmētas izmaiņas mākslīgā intelekta izmantošanas apjomā, kas kļūst arvien plašāk izplatīts, un tiek radīti jautājumi par atbildību un kontroles zaudēšanu pār personas datiem. Lai gan pašreizējais tiesiskais regulējums attiecas uz šīm sistēmām, CNIL uzsver izaicinājumu tā ieviešanas metožu pielāgošanā.

Jūlija sākumā Doctolib e-pastā saviem 60 miljoniem lietotāju paziņoja, ka no augusta, ja vien viņi neiebildīs, tā izmantos daļu no viņu veselības datiem, lai apmācītu un uzlabotu savus mākslīgā intelekta rīkus pētniecības projektu ietvaros sadarbībā ar Inria, Inserm un Parīzes Cité Université.

Uzņēmums norāda, ka attiecīgie dati ir pseidonimizēti un ka to izmantošanu regulē CNIL noteikumi.

Šis pētniecības projekts ir izraisījis vairākas reakcijas, tostarp Cilvēktiesību līgas reakciju, kas 16. jūlija preses relīzē kritizē lietotāju noklusējuma reģistrāciju pētniecības projektā un to, ka to veic privāts uzņēmums (kura datus glabā uzņēmums, uz kuru attiecas ASV likumi), nevis valsts iestāde.

Eiropā

Eiropas iestādes un struktūras

Eiropas Parlaments 9. jūlijā nobalsoja par shēmas "Chat Control 1.0" pagarināšanu, kas ļauj digitālajiem uzņēmumiem brīvprātīgi analizēt privātās ziņas bez mandāta.

Šī "pagaidu atkāpe" no noteikumiem par privātumu un elektronisko komunikāciju, kas paredzēta, lai atklātu bērnu seksuālu izmantošanu tiešsaistē, paliktu spēkā līdz 2028. gada 3. aprīlim.

Šis teksts, ko parlaments noraidīja martā, tika atkārtoti iekļauts darba kārtībā otrajā lasījumā, kurā priekšlikuma noraidīšanai ir nepieciešams visu deputātu absolūtais balsu vairākums.

Tikmēr likumdevēji risina sarunas par atjauninātu sistēmu "Chat Control 2.0", kas varētu ļaut piekļūt šifrētu saziņu saturam – projektu, ko vairāk nekā 800 kiberdrošības pētnieku uzskata par draudu saziņas šifrēšanai un konfidencialitātei.

7. jūlijā Eiropas Komisija iepazīstināja ar rīcības plānu kiberdrošības un mākslīgā intelekta jomā, kura mērķis ir "veicināt drošu un atbildīgu mākslīgā intelekta izmantošanu, vienlaikus stiprinot Eiropas kiberdrošību".

Rīcības plāns papildina spēkā esošo ES tiesisko regulējumu mākslīgā intelekta un kiberdrošības jomā, tostarp mākslīgā intelekta regulu, kibernoturības regulu, NIS2 direktīvu, digitālās operacionālās noturības (DORA) regulu un kibersolidaritātes regulu.

23. jūlijā Eiropas Komisija pieņēma divus lēmumus, kuros konstatēja, ka Google ir pārkāpis Digitālā tirgus regulu (DMA), dodot priekšroku saviem pakalpojumiem Google meklēšanā un nosakot uzņēmumiem ierobežojumus, lai tie nevarētu novirzīt Google Play lietotājus uz citiem, bieži vien lētākiem, pirkšanas kanāliem. Tā piesprieda Google attiecīgi 460 miljonu eiro un 430 miljonu eiro sodu.

8. jūlijā Eiropas Datu aizsardzības kolēģija (EDPB) publicēja jaunas vadlīnijas, kuru mērķis ir precizēt GDPR piemērošanu diviem svarīgiem jautājumiem:

• Datu anonimizācija
• Tīmekļa datu ieguve ģeneratīvā mākslīgā intelekta kontekstā.

Attiecībā uz anonimizāciju komiteja norāda, ka datus var uzskatīt par patiesi anonimiem tikai tad, ja nav pamatoti iespējama atkārtota identifikācija, pamatojoties uz trim kritērijiem: izolācijas, sasaistes un dedukcijas neesamību.

Vadlīnijās jo īpaši ņemts vērā Eiropas Savienības Tiesas 2025. gada 4. septembra spriedums lietā C-413/23 P, EDPB pret VNV.

Attiecībā uz tīmekļa datu ieguvi (web scraping) EDAK norāda, ka automatizēta personas datu vākšana mākslīgā intelekta modeļu apmācībai joprojām ir pakļauta VDAR, jo īpaši juridiskā pamata, pārredzamības un mērķa ierobežojuma prasībām.

Šie divi vadlīniju projekti ir atvērti publiskai apspriešanai līdz 2026. gada 30. oktobrim. Turklāt blokķēdes vadlīnijas ir pieņemtas to galīgajā versijā.

2026. gada 31. jūlijā EDAK arī nosūtīja vēstuli Eiropas Komisijai, lūdzot tai izskatīt, vai ASV Augstākās tiesas nolēmums lietā Trump pret Slaughter varētu ietekmēt ES un ASV datu aizsardzības regulējuma spēkā esamību.

Eiropas Savienības Tiesa (EST) 16. jūlijā lēma, ka profesionālie e-pasti ir saziņa, ko aizsargā Eiropas Savienības Pamattiesību hartas 7. un 8. pants, taču konkurences iestāde tos var konfiscēt izmeklēšanas ietvaros bez iepriekšējas tiesas atļaujas, ja vien ir ieviests stingrs tiesiskais regulējums un atbilstoši drošības pasākumi pret ļaunprātīgu izmantošanu un patvaļīgu rīcību (apvienotās lietas no C-258/23 līdz C-260/23).

Savā 14. jūlija spriedumā (C 474/24 – NADA Austria un citi) tā uzskatīja, ka profesionālo sportistu vārdu, kuri pārkāpuši antidopinga noteikumus, publicēšana var būt likumīga.

Tomēr par publicēšanu atbildīgajai struktūrai ir jāspēj līdzsvarot konkurējošās intereses, lai ievērotu samērīguma principu. Tā arī atzina, ka sūdzību var iesniegt kā preventīvu pasākumu.

EST 9. jūlija spriedumā (C-199/24 ND pret Legal Newsdesk Sweden AB) beidzot lēma, ka informācijas par notiesājošiem spriedumiem publicēšana publiski pieejamās datubāzēs nav žurnālistiska darbība un uz to nevar attiecināt VDAR paredzēto atbrīvojumu, pamatojoties uz valsts tiesību aktiem, ar kuriem transponēta 85. panta 2. daļa.

Ziņas no Eiropas Savienības dalībvalstīm.

Austrijā pēc septiņus gadus ilgas tiesvedības Augstākā Administratīvā tiesa atstāja spēkā Austrijas pastam piespriesto 13 miljonu eiro sodu.

Uzņēmums bija apkopojis datus par vairāk nekā divu miljonu cilvēku politiskajām pārliecībām un pārdevis šo informāciju trešo pušu uzņēmumiem tiešā mārketinga nolūkos.

Lai gan uzņēmums argumentēja labticīgi un citēja konsultantu atzinumus, kuri bija apstiprinājuši tā praksi, Augstākā tiesa šos argumentus noraidīja, norādot, ka "juridiskai personai nav nepieciešama nekāda rīcība vai zināšanas no pārvaldes institūciju puses, lai sodītu". Tiesa arī lēma, ka "neattaisnojami" juridiskie atzinumi nav jāuzskata par atbildību mīkstinošu apstākli vai pat par attaisnojošu faktoru.

14. jūlijā EDAK pieņēma lēmumu, ar kuru Beļģijas Datu aizsardzības iestādei (APD) tika uzdots izskatīt NVO Noyb iesniegto sūdzību, kuru APD bija atzinusi par nepieņemamu. Saistošā lēmumā komiteja izskatīja, vai sūdzība būtu jānoraida tiesību ļaunprātīgas izmantošanas dēļ, un apstiprināja, ka bezpeļņas struktūras, organizācijas vai asociācijas pilnvarošana iesniegt sūdzību sūdzības iesniedzēja vārdā atbilst VDAR.

Spānijas Datu aizsardzības iestāde (APD) ir sodījusi genomikas un biotehnoloģiju uzņēmumu ar 2,4 miljonu eiro sodu par ģenētisko un veselības datu nepietiekamu aizsardzību un par personas datu pārkāpuma ziņošanu datu aizsardzības iestādei pēc 72 stundu termiņa.

APD arī piesprieda Vodafone 1 050 000 eiro sodu par nepietiekamiem datu aizsardzības pasākumiem.

Itālijas Datu aizsardzības iestāde (APD) ir sodījusi enerģijas piegādātāju ar 5,8 miljonu eiro sodu par kredītreitingu neizpaušanu vai to aprēķināšanas metodes nepaskaidrošanu, par parādu datu nelikumīgu apmaiņu grupas ietvaros, kredītinformācijas glabāšanu desmit gadus bez pietiekama pamatojuma un par to atkārtotu izmantošanu nesaderīgiem mērķiem.

Itālijas Datu aizsardzības iestāde ir piespriedusi 2 miljonu eiro sodu amerikāņu datu brokerim Lusha Systems Inc., kas savā platformā par maksu sniedz "bagātinātu" informāciju par personām, piemēram, viņu profesionālo stāvokli, e-pasta adreses un tālruņu numurus.

Lusha vāc šos datus no vairākiem avotiem (datu ieguve no sociālajiem tīkliem, pirkumi no citiem datu brokeriem utt.) un padara tos pieejamus saviem klientiem komerciāliem mērķiem vai krāpšanas apkarošanai.

Uzņēmums veic arī atjauninājumus, kas ietver attiecīgo personu uzvedības uzraudzību tiešsaistē, kas ietilpst GDPR darbības jomā. Itālijas Datu aizsardzības iestāde (APD) ir aizliegusi apstrādāt datus, kas attiecas uz personām, kuras atrodas Itālijā, un ir likusi tos dzēst.

APD arī sodīja telekomunikāciju operatoru TIM par daudziem privātuma un telemārketinga noteikumu pārkāpumiem.

Vairāki tā zvanu centri, darbojoties kā apakšuzņēmēji, veica reklāmas zvanus uzņēmuma vārdā, izmantojot numurus, kas nepieder oficiālajam pārdošanas tīklam, lai nelikumīgi apkopotu lietotāju datus.

Iestāde norāda, ka rīcības kodeksa ievērošana neatbrīvo atbildīgo personu no pienākuma uzraudzīt savu apakšuzņēmēju darbības un pārbaudīt datu aizsardzības pasākumu efektīvu piemērošanu visā telemārketinga ķēdē.

Starptautiski

Kanādā 15. jūnija likumprojekts ierosina atņemt Datu aizsardzības aģentūras (DPA) pilnvaras uzraudzīt privāto sektoru un izveidot vienotu iestādi, kas būtu atbildīga par tiešsaistes kaitējuma, sociālo tīklu, mākslīgā intelekta tērzēšanas robotu un privātuma aizsardzības regulēšanu privātajā sektorā.

Amerikas Savienotajās Valstīs jūnijā beidzās Ārvalstu izlūkošanas uzraudzības likuma (FISA) 702. panta termiņš.

Kopš 2008. gada šis noteikums ļāva ASV izlūkdienestiem bez ordera vākt saziņu no ārvalstu pilsoņiem ārpus Amerikas Savienotajām Valstīm.

Vairākus gadus arvien vairāk parlamentāriešu 702. panta atjaunošanai bija izvirzījuši nosacījumu par obligātu mandātu. Viņi beidzot ieguva nepieciešamās balsis, lai paustu savu nostāju.

Tomēr Ārvalstu izlūkošanas uzraudzības tiesas (FISC) martā atjaunotās atļaujas 702. panta programmai paliek spēkā un "turpinās būt spēkā bez izmaiņām vismaz līdz 2027. gada 17. martam", paziņoja parlamenta deputāts Džeimijs Raskins.

Daži operatori privāti brīdinājuši, ka pārtrauks sadarbību, tiklīdz likums zaudēs spēku, baidoties no juridiskas atbildības, ja nebūs spēkā esoša likuma, kas atbalstītu valdības prasības.

Tādējādi izlūkdienesti un telekomunikāciju uzņēmumi saskaras ar nenoteiktību par to, kuras datu vākšanas darbības var likumīgi turpināt.

Arī Amerikas Savienotajās Valstīs ASV tiesa ir galīgi apstiprinājusi mierizlīgumu, kas panākts ar uzņēmumu 23andMe pēc 2023. gada kiberuzbrukuma, kas skāra aptuveni 6,4 miljonus klientu.

Tomēr kompensācija vēl nav izmaksāta amerikāņu upuriem, kuru ģenētiskie dati tika apdraudēti, uzņēmuma bankrota procedūras dēļ.

Kompensācijas fonda apjoms ir 46,75 miljoni ASV dolāru, taču lielākā daļa saņēmēju saņems tikai ierobežotu kompensāciju, un lielākās summas tiks rezervētas cietušajiem, kuri var pierādīt būtisku kaitējumu.

Ceturtdien, 16. jūlijā, Romas Kapitolija kalnā tika parakstīta "Romas deklarācija par mieru bez ieročiem un atbruņošanos mākslīgā intelekta, kodolieroču un autonomo ieroču, jauno digitālo protokolu un jauno digitālās attīstības modeļu laikmetā", iezīmējot Nobela prēmijas laureātu Pasaules asamblejas par mākslīgo intelektu un kodolkaru kulmināciju.