ES DI aktas pagal sektorius — Konkrečių pramonės šakų atitikties vadovas

Konkrečių sektorių ES DI akto atitikties vadovai sveikatos priežiūros, žmogiškųjų išteklių, viešojo sektoriaus, transporto, draudimo, mažmeninės prekybos, MVĮ ir švietimo srityse.

Kaip sektorius lemia ES DI akto rizikos pobūdį

ES DI aktas yra horizontalusis teisės aktas — jis taikomas DI sistemoms, pateikiamoms rinkai arba pradedamoms naudoti visuose Europos Sąjungos ekonomikos sektoriuose. Tačiau praktinė atitikties našta nėra vienoda. Sektorius lemia, kurios Annex III aukštos rizikos kategorijos yra aktualios, kurie jau egzistuojantys reguliaciniai susitarimai sukuria persidengiančias prievoles ir kurios nacionalinės ar ES lygmens priežiūros institucijos turės jurisdikciją DI diegimams.

Aktas nustato daugiapakopę rizikos architektūrą: uždraustos praktikos pagal Art. 5, aukštos rizikos DI pagal Art. 6 ir Annex III, Bendrosios paskirties DI (BPDI) prievolės pagal Art. 51–Art. 55 ir skaidrumo prievolės pagal Art. 50. Visiems sektoriams taikomas uždraustos praktikos draudimas ir Art. 50 skaidrumo lygmuo. Annex III aukštos rizikos prievolės taikomos selektyviai — priklausomai nuo to, kokią DI organizacija diegia ir kokiu tikslu.

Sektoriaus rizikos analizė pradedama nuo operatyvinių DI naudojimo atvejų sugretinimo su Annex III kategorijomis. Organizacijos taip pat turi įvertinti, ar diegiama DI yra BPDI modelis pagal Art. 3(63), ir ar kurie nors tiekėjų santykiai sukuria prievoles kaip BPDI diegėjui arba tiekėjui.

Annex III supratimas pagal sektorius

ES DI akto Annex III apibrėžia 8 savarankiško aukštos rizikos DI kategorijas. Kiekviena kategorija siejama su konkrečiomis pramonės šakomis ir DI naudojimo atvejais.

1 kategorija — Biometrika (visų sektorių)

Art. 6 kartu su Annex III 1 punktu apima DI sistemas, skirtas fizinių asmenų biometriniam identifikavimui ir biometrinei kategorizacijai. Teisėsaugos institucijų vykdomas realaus laiko nuotolinis biometrinis identifikavimas viešai prieinamose vietose yra uždraustas pagal Art. 5(1)(h) — ne tik priskiriamas aukštos rizikos kategorijai. Vėlesnio biometrinio identifikavimo ir biometrinės kategorizacijos sistemos, naudojamos įdarbinimo, sienų kontrolės, teisėsaugos (leidžiamose ribose) ir prieigos kontrolės srityse, išlieka aukštos rizikos kategorijoje. Visos organizacijos, diegiančios veido atpažinimą, pirštų atspaudų atitikties tikrinimą, balso atpažinimą ar panašias sistemas reikšmingiems sprendimams priimti, patenka į šios nuostatos taikymo sritį.

2 kategorija — Ypatingos svarbos infrastruktūra (transportas, energetika, vandentiekis)

Annex III 2 punktas apima DI, naudojamą kaip saugos komponentą ypatingos svarbos skaitmeninės infrastruktūros, kelių eismo, vandens tiekimo, dujų, šilumos ir elektros valdyme bei eksploatavime. Transporto operatoriai, energetikos tinklo valdytojai, vandens komunalinės įmonės ir skaitmeninės infrastruktūros teikėjai turi įvertinti, ar jų DI sistemos atitinka šiuos kriterijus. Annex I DI akto taip pat susijęs su šia kategorija: DI saugos komponentai, integruoti į Annex I reguliuojamus produktus (mašinas, transporto priemones, civilinės aviacijos įrangą, geležinkelių sistemas), priskiriami aukštos rizikos kategorijai pagal Art. 6(1), o ne Annex III.

3 kategorija — Švietimas ir profesinis mokymas

Annex III 3 punktas apima DI, kuri nustato prieigą prie švietimo įstaigų, paskirsto studentus į švietimo kelius, vertina egzaminų ar testų rezultatus, įvertina mokymosi pasiekimus, kurie iš esmės veikia būsimas galimybes, ir stebi studentų elgesį vertinimų metu. Švietimo technologijų platformos, universitetai, profesinio mokymo teikėjai ir egzaminų institucijos turi įvertinti savo DI grindžiamas priemones pagal šiuos kriterijus.

4 kategorija — Užimtumas ir personalo valdymas

Annex III 4 punktas apima DI, naudojamą įdarbinimo ir atrankos procese (CV tikrinimas, kandidatų reitingavimas, automatinė pokalbio analizė), sprendimuose dėl paaukštinimo, atleidimo iš darbo, užduočių paskirstymo platformų darbuotojams, darbuotojų elgesio stebėsenos ir veiklos vertinimo. Ši kategorija yra viena plačiausių pagal taikymo sritį — praktiškai kiekviena organizacija, naudojanti DI pagalbą personalo procesuose, turi įvertinti atitiktį. Prievolė taikoma DI, naudojamoms darbdavių, įdarbinimo agentūrų ir dalies ekonomikos platformų.

5 kategorija — Esminės privačios ir viešosios paslaugos (finansai, draudimas, su sveikatos priežiūra susijusios paslaugos, išmokos)

Annex III 5 punktas yra plačiausia kategorija, apimanti DI, naudojamą fizinių asmenų kreditingumo vertinimui ir kredito vertinimui, draudimo rizikos vertinimui ir kainodarai, teisės į viešąsias išmokas ir socialines paslaugas vertinimui bei skubios pagalbos dispečerizavimo sprendimams. Ši kategorija tiesiogiai veikia bankus, draudikius, viešąsias administracijas ir socialinių paslaugų teikėjus. Su sveikata susijusi DI, kuri vertina asmenis draudimo tinkamumo požiūriu, taip pat patenka į šią kategoriją, sukurdama finansinių paslaugų ir sveikatos priežiūros prievolių persidengimą.

6, 7 ir 8 kategorijos — Teisėsauga, migracija, teisingumo vykdymas

Annex III 6, 7 ir 8 punktai skirti viešojo sektoriaus institucijoms ir jų technologijų tiekėjams. Teisėsaugos DI (rizikos vertinimas, recidyvizmo prognozavimas, nusikaltimų prognozavimas, įrodymų vertinimas), migracijos ir sienų kontrolės DI (prieglobsčio rizikos vertinimas, dokumentų tikrinimas, paraiškų nagrinėjimas) bei teisingumo ir demokratinių procesų DI (teisminiai tyrimo įrankiai, su rinkimais susijusi DI) — visa tai priskiriama aukštos rizikos kategorijai. Šios kategorijos pirmiausia veikia policijos institucijas, sienų apsaugos agentūras, imigracijos tribunolus, teismus ir jų DI tiekėjus pagal sutartis.

Sektorių vadovai

Kiekvienas iš toliau pateiktų specialiųjų vadovų susieja ES DI akto prievoles su konkrečiu reguliaciniu kontekstu, tipiniais DI naudojimo atvejais ir sektoriaus vykdymo užtikrinimo architektūra.

Sveikatos priežiūra ir gyvybės mokslai

Sveikatos priežiūros DI veikia ES DI akto, Reglamento dėl medicinos prietaisų (MDR) ir Reglamento dėl in vitro diagnostikos prietaisų (IVDR) sankirtoje. DI sistemos, kvalifikuojamos kaip medicinos prietaisai, reguliuojamos pirmiausia pagal MDR/IVDR, tačiau joms toliau taikomos DI akto pagrindinių teisių ir skaidrumo prievolės. Annex III 5 punktas apima DI, naudojamą sveikatos rizikos vertinimui draudimo ir viešųjų išmokų tinkamumo kontekste. Klinikinės sprendimų paramos, diagnostinė DI, pacientų triažo įrankiai ir vaistų atradimo DI — kiekvienam iš jų taikomos konkrečios prievolės, priklausomai nuo reguliacinės klasifikacijos.

Personalo valdymas ir įdarbinimas

Annex III 4 punktas praktiškai visus DI pagalbos personalo procesus priskiria aukštos rizikos kategorijai. CV tikrinimo įrankiai, psichometrinių vertinimų platformos, automatinė pokalbio vaizdo įrašų analizė, veiklos valdymo sistemos ir darbo jėgos planavimo DI turi atitikti tiekėjų ir diegėjų prievoles. Šis vadovas nagrinėja darbdavių kaip diegėjų prievoles pagal Art. 26, duomenų valdymo reikalavimus pagal Art. 10 ir sąveiką su GDPR profiliavimo apribojimais.

Viešasis sektorius ir teisingumo vykdymas

Viešosios institucijos yra tuo pačiu metu aukštos rizikos DI diegėjos ir subjektai, kuriuos nacionalinės kompetentingos institucijos tikrins labiausiai. Annex III 5–8 punktai bendrai apima didelę dalį viešojo sektoriaus DI: išmokų tinkamumo nustatymą, skubios pagalbos tarnybų DI, teisėsaugos priemones, sienų valdymo sistemas ir teisminę DI. Šis vadovas nagrinėja konkrečias viešųjų diegėjų prievoles, skaidrumo reikalavimus dėl automatizuotų sprendimų, darančių poveikį piliečiams, ir sąveiką su GDPR bei Teisėsaugos direktyva.

Transportas ir ypatingos svarbos infrastruktūra

Transporto operatoriai turi vadovautis tiek Annex III 2 punktu (saugos komponentai ypatingos svarbos infrastruktūroje), tiek Annex I produktų saugos reglamentavimu. DI autonominių transporto priemonių sistemose, geležinkelių eismo valdyme, oro eismo valdyme, uostų eksploatavime ir logistikos maršrutų planavime gali būti priskirta aukštos rizikos kategorijai pagal kelis kriterijus. Šis vadovas nagrinėja sąveiką su EASA reglamentais, Geležinkelių saugos direktyva ir notifikuotųjų įstaigų vaidmenį atitikties vertinime.

MVĮ

Mažosios ir vidutinės įmonės patiria tokias pačias ES DI akto prievoles kaip ir didelės organizacijos, kai yra aukštos rizikos DI tiekėjos arba diegėjos, naudojančios aukštos rizikos DI. Tačiau Aktas numato proporcingumo mechanizmus. Šis vadovas paaiškina supaprastintų techninių dokumentų galimybes, prieigą prie reguliacinių smėlio dėžių pagal Art. 57–Art. 63 ir tai, kaip sukurti minimalią, tačiau teisiškai pakankamą atitikties programą. Jame taip pat nagrinėjama MVĮ rizika kaip trečiųjų šalių DI įrankių diegėjoms.

Draudimas

Draudimo DI yra reguliuojama pagal Annex III 5(b) punktą (fizinių asmenų gyvybės ir sveikatos draudimo rizikos vertinimas ir kainodara) ir kertasi su Mokumas II reikalavimais modelių valdymui ir vidinių modelių naudojimui. Motorinių transporto priemonių, sveikatos, turto ir gyvybės draudimo kainodaros DI, draudimo sutarčių sudarymo sprendimų įrankiai ir automatizuotų draudžiamųjų įvykių likvidavimo sistemos — visos jos reikalauja vertinimo. Šis vadovas nagrinėja EPDPĮ ir nacionalinių draudimo priežiūros institucijų vaidmenis kartu su DI akto NKI sistema.

Mažmeninė prekyba ir skambučių centrai

Mažmeninė prekyba ir klientų aptarnavimo operacijos pirmiausia paveikiamos Art. 50 skaidrumo prievolių — DI sugeneruoto turinio atskleidimo, pokalbių robotų identifikavimo ir giluminių klastočių ženklinimo — bei su užimtumu susijusios DI pagal Annex III 4 punktą. Emocijų atpažinimo sistemos, naudojamos klientų aptarnavimo kontekste, yra aiškiai reguliuojamos. Šis vadovas nagrinėja internetinės mažmeninės prekybos DI, rekomendacijų variklius, automatizuotą klientų aptarnavimą ir darbo jėgos valdymą kontaktiniuose centruose.

Švietimas ir švietimo technologijos

Annex III 3 punktas priskiria švietimo DI aukštos rizikos kategorijai, kai ji nustato arba iš esmės įtakoja prieigą prie švietimo kelių arba vertina pasiekimus. Šis vadovas nagrinėja švietimo technologijų teikėjų, universitetų, profesinio mokymo įstaigų ir viešųjų egzaminų institucijų prievoles. Jame aptariamos adaptyviojo mokymosi platformos, proctoringo programinė įranga, automatizuotas rašinių vertinimas ir studentų rizikos prognozavimo įrankiai.

Finansų sektorius (bankininkystė)

Bankininkystės sektoriaus vadovas nagrinėja Annex III 5(b) punkto kredito vertinimą ir kreditingumo vertinimą, sukčiavimo aptikimo DI, algoritminės prekybos sistemas, KPP/KYP priemones ir robo-patariamąsias platformas. Jame analizuojamas ES DI akto prievolių sluoksniavimasis ant DORA, MiFID II, MKR/PKD ir EBI gairių. Sąveika tarp DI akto modelių valdymo reikalavimų ir esamos modelių rizikos valdymo sistemos pagal EBI gaires yra pagrindinis dėmesio objektas.

Bendrojo pobūdžio prievolės

Kelios ES DI akto prievolės taikomos nepriklausomai nuo sektoriaus. Kiekviena ES veikianti organizacija turi suprasti šiuos bazinius reikalavimus.

Uždraustos praktikos — Art. 5

Art. 5 nustato absoliučius draudimus, galiojančius nuo 2025 m. vasario 2 d. Jie taikomi kiekvienam sektoriui be išimčių: poįsąmoninės manipuliavimo technikos, darančios žalą, pažeidžiamų fizinių asmenų išnaudojimas, socialinis vertinimas viešųjų institucijų vykdomas, teisėsaugos vykdomas realaus laiko nuotolinis biometrinis identifikavimas viešose vietose (su siauromis išimtimis), emocijų atpažinimas darbo vietose ir švietimo įstaigose (ne nurodytoms paskirties reikmėms), biometrinė kategorizacija naudojant jautrias charakteristikas ir prognozinis nusikalstamumo prevencija, pagrįsta vien tik profiliavimo metodais. Jokia sektoriui būdinga išimtis nepanaikina šių draudimų.

Skaidrumo prievolės — Art. 50

Art. 50 reikalauja, kad DI sistemų, sąveikaujančių su fiziniais asmenimis, tiekėjai ir diegėjai atskleistų sąveikos DI pobūdį. Tai taikoma pokalbių robotams, virtualiems asistentams, automatizuotoms skambučių centrų sistemoms ir bet kuriai DI sistemai, sukurtai atrodyti kaip žmogus. DI sugeneruotas turinys — sintetinė medija, giluminės klastotės, tekstas — turi būti žymimas mašiniškai skaitomu būdu. Šios prievolės taikomos mažmeninei prekybai, finansinėms paslaugoms, sveikatos priežiūros pacientams skirtoms priemonėms, viešojo sektoriaus piliečių paslaugoms ir kiekvienam kitam sektoriui, diegiančiam pokalbio ar generatyvinę DI.

BPDI modelių prievolės — Art. 51–Art. 55

Organizacijos, diegiančios BPDI modelius — didelius kalbos modelius, pagrindinius modelius, multimodalinę DI — turi įvertinti, ar jos yra trečiosios šalies BPDI modelio diegėjos ar BPDI integruotos sistemos tiekėjos. BPDI tiekėjai prisiima prievoles pagal Art. 53 (skaidrumas tolesnio grandinės tiekėjams, autorių teisių politika, mokymo duomenų santrauka). BPDI modeliai, keliantys sisteminę riziką, prisiima papildomas prievoles pagal Art. 55. Kiekvienas sektorius, naudojantis komercinius pagrindinių modelių API arba savarankiškai talpinamus pagrindinius modelius, turi įvertinti šias prievoles.

MVĮ ir proporcingos prievolės

MVĮ sudaro daugumą ES įmonių ir vis didesnę DI sistemų tiekėjų bei diegėjų dalį. ES DI aktas nenustato bendros MVĮ išimties, tačiau Art. 9(5), Art. 11 ir Art. 16 reikalauja, kad tiekėjų prievolės būtų proporcingos organizacijos dydžiui ir pajėgumams.

Reguliacinių smėlio dėžių sistema (Art. 57–Art. 63) yra specialiai sukurta tam, kad MVĮ ir startuoliams būtų suteiktos prižiūrimos kūrimo aplinkos, sumažintas reguliacinis neapibrėžtumas ir tiesioginė prieiga prie nacionalinių kompetentingų institucijų gairių. Dalyvavimas negarantuoja atitikties patvirtinimo, tačiau suteikia struktūrizuotą kelią į rinką naujoviškiems DI produktams.

MVĮ, veikiančioms kaip trečiosios šalies teikiamo aukštos rizikos DI diegėjos, taikomos Art. 26 prievolės — naudojimo atvejo vertinimas, žmogaus priežiūros įgyvendinimas, pagrindinių teisių poveikio vertinimas. Reikalaujamos dokumentacijos ir stebėsenos mastas yra proporcingas, tačiau teisinės prievolės nėra atleistos.

Specialusis MVĮ vadovas pateikia atitikties veiksmų planą, pritaikytą mažesnėms organizacijoms, apimantį prioritetų nustatymą, minimalią reikiamą dokumentaciją, tiekėjų išsamų patikrinimą ir prieigos prie smėlio dėžių procedūras.

Vykdymo užtikrinimas

ES DI aktas sukuria daugiasluoksnę vykdymo užtikrinimo architektūrą su reikšmingais sektoriui būdingais aspektais.

Nacionalinės kompetentingos institucijos

Kiekviena ES valstybė narė paskiria vieną ar kelias nacionalines kompetentingas institucijas (NKI) pagal Art. 70. NKI yra atsakingos už reguliacinių smėlio dėžių autorizavimą, rinkos priežiūrą, poprekybinio stebėjimo duomenų gavimą iš tiekėjų, įtariamų pažeidimų tyrimą ir administracinių baudų skyrymą pagal Art. 99–Art. 101. Didžiausios baudos siekia 35 milijonus eurų arba 7 % metinės pasaulinės apyvartos už Art. 5 uždraustos praktikos pažeidimus.

Sektorių reguliuotojai kaip rinkos priežiūros institucijos

Art. 74(8) ir Art. 74(9) numato, kad sektorių reguliuotojai gali veikti kaip rinkos priežiūros institucijos DI savo srityse. Europos bankininkystės institucija (EBI), Europos draudimo ir profesinių pensijų institucija (EPDPĮ), Europos vertybinių popierių ir rinkų institucija (ESMA), Europos vaistų agentūra (EMA) ir Europos Sąjungos aviacijos saugos agentūra (EASA) turi vaidmenis prižiūrint DI jų reguliacinėse ribose. Tai sukuria dvigubo kelio vykdymo užtikrinimo riziką: banko kredito vertinimo DI gali tikrinti tiek nacionalinis finansų reguliuotojas, taikantis Annex III prievoles, tiek NKI, atliekanti DI akto rinkos priežiūrą.

Europos DI tarnyba

Europos DI tarnyba, įsteigta pagal Art. 64–Art. 70, turi tiesioginius vykdymo užtikrinimo įgaliojimus BPDI modelių tiekėjų atžvilgiu. Organizacijoms, diegiančioms sisteminę riziką keliančius BPDI modelius, DI tarnyba yra pagrindinis reguliacinis partneris — ne nacionalinė NKI. Sektorių reguliuotojai neturi tiesioginės jurisdikcijos BPDI modeliams kaip tokiems, nors tolesnio grandinės DI sistemos, integruojančios BPDI, išlieka nacionalinės ir sektorinės priežiūros objektu.

Vykdymo užtikrinimo laiko grafikas

Praktikų draudimas pagal Art. 5 taikomas nuo 2025 m. vasario 2 d. BPDI prievolės pagal Art. 51–Art. 55 įsigaliojo 2025 m. rugpjūčio 2 d. Visos Annex III aukštos rizikos DI sistemų prievolės — apimančios visas aštuonias kategorijas ir visas tiekėjų bei diegėjų pareigas — taikomos nuo 2027 m. gruodžio 2 d. (pratęstas nuo pradinio 2026 m. rugpjūčio 2 d. termino 2025 m. Skaitmeninio omnibuso pakeitimu). Visų sektorių organizacijos turėtų traktuoti laikotarpį iki 2027 m. gruodžio kaip aktyvų atitikties langą, o ne malonės periodą.