Įmonė įsidiegia programą, kuri per kelias sekundes surikiuoja gautus CV, o vadovams pasiūlo, kurį darbuotoją paaukštinti. DI įrankiai personalo valdyme yra patogūs, tačiau ES dirbtinio intelekto aktas (Reglamentas (ES) 2024/1689) atrankos ir darbuotojų valdymo sistemas priskiria didelės rizikos kategorijai. Dalis taisyklių galioja jau dabar: draudžiama numanyti darbuotojų emocijas (išskyrus medicinos ar saugos tikslus) ir privaloma imtis priemonių raštingumui DI srityje ugdyti. Pagrindinės didelės rizikos sistemų pareigos darbdaviams bus taikomos nuo 2027 m. gruodžio 2 d.
Kas draudžiama jau dabar?
Dirbtinio intelekto aktas įsigaliojo 2024 m. rugpjūčio 1 d. ir taikomas etapais. Draudžiamos praktikos galioja nuo 2025 m. vasario 2 d., ir dvi iš jų tiesiogiai liečia darbovietes. Pirma, draudžiama naudoti DI sistemas fizinio asmens emocijoms darbo srityje numanyti. Vienintelė išimtis yra sistemos, diegiamos dėl medicininių ar saugos priežasčių. Antra, draudžiama pagal biometrinius duomenis (pavyzdžiui, veido atvaizdą) skirstyti žmones į kategorijas, kad būtų nustatyta ar numanyta jų rasė, politinės pažiūros, narystė profesinėje sąjungoje, religiniai ar filosofiniai įsitikinimai, lytinis gyvenimas ar seksualinė orientacija.
Praktikoje draudimas pataiko į įrankius, kurie iš veido išraiškų, balso ar gestų „skaito“ darbuotojo pyktį, nuobodulį ar pasitenkinimą per pokalbį ar vaizdo skambutį. Reglamento konstatuojamojoje dalyje paaiškinta, kad emocijomis nelaikomos fizinės būklės, tokios kaip skausmas ar nuovargis. Todėl, pavyzdžiui, vairuotojo nuovargio nustatymo sistema, skirta nelaimingiems atsitikimams išvengti, į šį draudimą nepatenka. Tiekėjo reklama čia nieko nelemia: vertinama, ką sistema realiai daro.
Nuo 2025 m. vasario 2 d. galioja ir pareiga rūpintis raštingumu DI srityje. Diegėju reglamentas vadina kiekvieną, kas DI sistemą naudoja ne asmeninei neprofesinei veiklai, taigi ir darbdavį. Iki 2026 m. liepos 26 d. tiekėjai ir diegėjai turėjo imtis priemonių kuo geriau užtikrinti pakankamą savo darbuotojų ir kitų jų vardu su DI dirbančių asmenų raštingumo lygį. Nuo 2026 m. liepos 27 d., kai įsigaliojo reglamento pakeitimai, jie imasi priemonių, kad padėtų šį raštingumą ugdyti. Konkretaus kiekvieno žmogaus žinių lygio garantuoti nebereikia. Priemones parenkant atsižvelgiama į darbuotojų technines žinias, patirtį, išsilavinimą ir į tai, kokiame kontekste bei kurių asmenų atžvilgiu sistema naudojama.
Nuo 2026 m. rugpjūčio 2 d. taikomos ir skaidrumo pareigos. Personalo srityje aktualiausios dvi. Tiekėjas turi sukurti pokalbių robotą ar kitą su žmonėmis tiesiogiai sąveikaujančią sistemą taip, kad žmogus būtų informuotas, jog bendrauja su DI, nebent tai akivaizdu iš aplinkybių. Darbdavys, naudojantis leidžiamą emocijų atpažinimo ar biometrinio kategorizavimo sistemą, turi informuoti žmones apie jos veikimą.
Kurie DI įrankiai personalo valdyme yra didelės rizikos?
Didelės rizikos kategoriją lemia ne programos pavadinimas, o naudojimo tikslas. Reglamento III priedo 4 punktas į ją įtraukia dvi personalo valdymo sistemų grupes:
- įdarbinimas ir atranka: sistemos tiksliniams darbo skelbimams teikti, darbo prašymams analizuoti ir filtruoti, kandidatams vertinti;
- darbo santykiai: sistemos, naudojamos priimant sprendimus dėl darbo santykių sąlygų, paaukštinimo ar darbo santykių nutraukimo, skirstant užduotis pagal individualų elgesį ar asmenybės bruožus, stebint ir vertinant darbuotojų rezultatus ir elgesį.
Tas pats pokalbių robotas, kuriuo rašomas laiškas klientui, didelės rizikos sistema nėra. Jei juo vertinami kandidatų CV ar analizuojamas darbuotojų produktyvumas, jis patenka į III priedo sritį. Reglamentas numato ir išimtį: tokia sistema nelaikoma didelės rizikos, jei nekelia didelės rizikos žmonių sveikatai, saugai ar pagrindinėms teisėms ir reikšmingai neveikia sprendimų rezultato. Tai galioja, kai sistema skirta atlikti siaurą procedūrinę užduotį, pagerinti anksčiau žmogaus atliktos veiklos rezultatą, nustatyti sprendimų modelius ar nukrypimus nuo jų nekeičiant žmogaus vertinimo be tinkamos peržiūros arba atlikti parengiamąją vertinimo užduotį. Sistema, kuri profiliuoja žmones, visada laikoma didelės rizikos, net jei atitinka kurią nors iš šių sąlygų. BDAR profiliavimu laiko ir automatizuotą asmens darbo rezultatų, patikimumo ar elgesio vertinimą, todėl šia išimtimi personalo įrankiai remtis gali retai. Tiekėjas, manantis, kad jo sistema nėra didelės rizikos, privalo šį vertinimą dokumentuoti ir sistemą įregistruoti ES duomenų bazėje.
Kokias pareigas turės darbdavys ir nuo kada?
Darbdavys, naudojantis didelės rizikos sistemą, reglamente vadinamas diegėju. Jo pareigos yra šios:
- naudoti sistemą pagal tiekėjo pateiktą naudojimo instrukciją;
- žmogaus atliekamą priežiūrą pavesti asmenims, turintiems reikiamą kompetenciją, kvalifikaciją, įgaliojimus ir paramą;
- jei darbdavys kontroliuoja įvesties duomenis, užtikrinti, kad jie būtų aktualūs ir pakankamai reprezentatyvūs;
- stebėti sistemos veikimą, o kilus rizikai nedelsiant informuoti tiekėją ar platintoją ir rinkos priežiūros instituciją bei sustabdyti naudojimą; apie rimtą incidentą pirmiausia informuoti tiekėją, o tada importuotoją ar platintoją ir rinkos priežiūros institucijas;
- saugoti automatiškai generuojamus sistemos žurnalus, jei jie darbdavio žinioje, ne trumpiau kaip šešis mėnesius, nebent kiti teisės aktai, ypač asmens duomenų apsaugos, numato kitaip;
- prieš pradedant naudoti sistemą darbo vietoje, informuoti darbuotojų atstovus ir paveiktus darbuotojus, kad jų atžvilgiu ji bus naudojama;
- informuoti kandidatus ir kitus asmenis, kad sprendimams dėl jų priimti ar padėti priimti naudojama didelės rizikos sistema;
- atliekant poveikio duomenų apsaugai vertinimą pagal BDAR, pasinaudoti tiekėjo pateikta informacija;
- bendradarbiauti su kompetentingomis institucijomis.
Viešojo sektoriaus institucijos papildomai vykdo registravimo pareigas ir nenaudoja sistemos, kuri neįregistruota ES duomenų bazėje. Viešosios teisės reglamentuojamos įstaigos ir viešąsias paslaugas teikiantys privatūs subjektai prieš diegdami tokią sistemą atlieka ir poveikio pagrindinėms teisėms vertinimą.
Reglamente įtvirtinta ir asmens teisė gauti paaiškinimą. Ją turi žmogus, kuriam diegėjo sprendimas, priimtas remiantis didelės rizikos sistemos rezultatu, sukelia teisinių padarinių ar panašų didelį poveikį ir, jo nuomone, neigiamai veikia jo sveikatą, saugą ar pagrindines teises. Toks asmuo gali reikalauti aiškiai paaiškinti, kokį vaidmenį sprendime atliko DI, ir nurodyti pagrindinius sprendimo elementus. Ši teisė netaikoma, kai ES ar nacionalinė teisė numato jos išimčių ar apribojimų arba kai ji jau įtvirtinta kitame ES teisės akte. Ji įtvirtinta ne tarp atidėtų didelės rizikos sistemų pareigų, tačiau kaip ji derės su pereinamąja taisykle, kol kas paaiškinta nėra.
Kas atidėta iki 2027 m. gruodžio 2 d.?
Pradžioje III priede nurodytų didelės rizikos sistemų taisyklės turėjo būti taikomos nuo 2026 m. rugpjūčio 2 d. Reglamentu (ES) 2026/1744, vadinamuoju skaitmeniniu omnibusu, terminas pakeistas. Jam Europos Parlamentas pritarė 2026 m. birželio 16 d., Taryba 2026 m. birželio 29 d., o pakeitimai įsigaliojo 2026 m. liepos 27 d. Dabar III priede nurodytoms sistemoms, taigi ir personalo valdymo įrankiams, didelės rizikos reikalavimai ir diegėjų pareigos taikomi nuo 2027 m. gruodžio 2 d.
Svarbi ir pereinamoji taisyklė. Sistemoms, kurios rinkai pateiktos ar pradėtos naudoti iki šios datos, reglamentas taikomas tik tada, kai po jos reikšmingai pakeičiamas jų projektas. Valdžios institucijų naudojamos sistemos turi atitikti reikalavimus ne vėliau kaip 2030 m. rugpjūčio 2 d. Draudžiamoms praktikoms pereinamasis laikotarpis netaikomas. Personalo programos atnaujinamos dažnai, todėl verta iš tiekėjo raštu gauti informaciją, ar ir kada sistema keičiama.
Kokios baudos gresia?
Už draudžiamų praktikų naudojimą reglamentas numato administracines baudas iki 35 mln. eurų arba iki 7 procentų bendros pasaulinės metinės apyvartos, taikant didesnę sumą. Už diegėjo pareigų ar skaidrumo reikalavimų pažeidimą baudos siekia iki 15 mln. eurų arba iki 3 procentų apyvartos.
Konkrečias sankcijų taisykles nustato valstybės narės, o reglamente nurodytos didžiausios ribos. Labai mažoms, mažosioms ir vidutinėms įmonėms taikoma mažesnioji iš dviejų ribų. Mažoms vidutinės kapitalizacijos įmonėms ši lengvata taikoma baudoms už diegėjo ir kitų pareigų pažeidimus, bet ne už draudžiamas praktikas. Lietuvoje rinkos priežiūros institucijos funkcijas pagal dirbtinio intelekto aktą atlieka Ryšių reguliavimo tarnyba.
Ką darbdaviui daryti jau dabar?
Laukti 2027 metų nereikia, nes dalis pareigų jau galioja ir nepriklauso nuo dirbtinio intelekto akto. Pradėti verta nuo keturių žingsnių:
- Inventorizacija. Surašyti visus DI įrankius, naudojamus atrankoje, vertinime, užduočių skirstyme ir stebėsenoje, įskaitant tuos, kuriuos naudoja pasitelkta atrankos agentūra.
- Patikra dėl draudimų. Įsitikinti, kad nė vienas įrankis nenumano emocijų ir neskirsto žmonių pagal biometrinius duomenis. Tokių funkcijų pasitaiko vaizdo interviu ir stebėsenos programose.
- Raštingumo priemonės. Parengti mokymus ar aiškias gaires tiems, kas atrankose ir vertinimuose remiasi DI rezultatais.
- Vidaus tvarka ir informavimas. Aprašyti, kokie įrankiai ir kokiems tikslams naudojami, kas tikrina jų rezultatus ir kaip apie tai informuojami darbuotojai.
Ko jau dabar reikalauja Darbo kodeksas?
Ketvirtasis žingsnis susijęs su jau galiojančiu Darbo kodeksu. DK 206 straipsnis įpareigoja darbdavį, įdarbinantį vidutiniškai dvidešimt ir daugiau darbuotojų, informuoti darbo tarybą ir su ja konsultuotis, kai tvirtinami ar keičiami vietiniai norminiai teisės aktai. Tarp dešimties ten išvardytų sričių yra naujų technologinių procesų įvedimo tvarka, informacinių technologijų naudojimo ir darbuotojų stebėsenos tvarka, privatumą galinčios pažeisti priemonės ir asmens duomenų saugojimo politika. Darbo taryba informuojama prieš dešimt darbo dienų iki planuojamo patvirtinimo. Ji per tris darbo dienas gali pareikalauti konsultacijų, kurios pradedamos per tris darbo dienas ir trunka ne trumpiau kaip penkias darbo dienas, nebent darbuotojų atstovai sutinka su kitokiu terminu. Kai nėra nei darbo tarybos, nei darbuotojų patikėtinio, informacija pateikiama darbdavio lygmeniu veikiančiai profesinei sąjungai, kuri gali pareikšti nuomonę.
Ši tvarka nesikeičia ir po 2026 m. lapkričio 1 d. įsigaliojančių Darbo kodekso pakeitimų. Kokių dokumentų darbdavys privalo turėti, apžvelgėme straipsnyje apie privalomus įmonės dokumentus, o tvarką galima parengti kartu su darbo teisės dokumentų rengimo paslauga.
Ko jau dabar reikalauja BDAR?
Jau dabar galioja ir Bendrasis duomenų apsaugos reglamentas. Jis suteikia žmogui teisę, kad jam nebūtų taikomas sprendimas, grindžiamas tik automatizuotu duomenų tvarkymu, kai dėl jo kyla teisinės pasekmės ar panašus didelis poveikis. Toks sprendimas galimas tik trimis atvejais: kai būtinas sutarčiai sudaryti ar vykdyti, kai leidžiamas teisės akto su tinkamomis apsaugos priemonėmis arba kai asmuo aiškiai sutiko. Sutarties ir sutikimo atvejais žmogus turi bent teisę reikalauti žmogaus įsikišimo, pareikšti savo nuomonę ir ginčyti sprendimą. Specialių kategorijų duomenimis, pavyzdžiui, sveikatos ar narystės profesinėje sąjungoje, tokie sprendimai grindžiami tik tada, kai asmuo aiškiai sutiko arba tai būtina dėl svarbaus viešojo intereso pagal teisės aktą, ir taikomos tinkamos apsaugos priemonės.
DI įrankiai personalo valdyme neatleidžia darbdavio nuo bendrųjų darbo teisės reikalavimų. Sprendimas atleisti ar nepaaukštinti turi turėti teisėtą pagrindą ir būti įrodytas, nesvarbu, ar jį pasiūlė algoritmas. Kaip darbdavio surinkta techninė informacija vertinama ginče dėl atleidimo, aptarėme straipsnyje apie atleidimą dėl privačių žinučių. Algoritminio valdymo taisyklės platformų darbui aptartos straipsnyje apie platforminio darbo direktyvą.
Ar taisyklės taikomos mažoms įmonėms?
Taip. Diegėjo pareigos priklauso ne nuo įmonės dydžio, o nuo to, kokia sistema ir kokiu tikslu naudojama. Nuo įmonės dydžio daugiausia priklauso baudų ribos, o ne pačios pareigos.
Mažai įmonei paprasčiausias kelias dažnai yra atsisakyti rizikingiausių funkcijų, pavyzdžiui, automatinio kandidatų reitingavimo. Vien tai, kad galutinį sprendimą priima žmogus, sistemos iš didelės rizikos kategorijos neišima, jei ji vertina ar profiliuoja kandidatus ar darbuotojus. Darbo pokalbių tvarką plačiau aptarėme straipsnyje apie tai, ar darbdavys gali klausti apie ankstesnį atlyginimą.
Ar būtina laukti 2027 metų?
Ne. Emocijų atpažinimo draudimas ir pareiga ugdyti raštingumą DI srityje galioja nuo 2025 m. vasario 2 d., skaidrumo pareigos nuo 2026 m. rugpjūčio 2 d., o Darbo kodekso ir BDAR reikalavimai taikomi jau dabar.
Didelės rizikos sistemų reikalavimams pasiruošti per kelis mėnesius sudėtinga. Todėl inventorizaciją, sutarčių su tiekėjais peržiūrą ir informavimo tvarką verta pradėti iš anksto. Kuo anksčiau DI įrankiai personalo valdyme aprašomi, tuo lengviau įvertinti, kurie iš jų pateks į didelės rizikos kategoriją.
