Supraskite savo teisinę situaciją — pagrįstai.

[ESMĖ] DI naudojimo riba nuo 2026 m. rugpjūčio 2 d. persikelia iš techninio diegimo į įrodomą organizacinę kontrolę. Lietuvos įmonei klausimas bus ne ar ji pati sukūrė DI sistemą, o ar jos naudojimas paliečia asmens informavimą, duomenų apsaugą, vartotojų teises ar prižiūrimas sistemas. Naujienos faktas: nuo 2026 m. rugpjūčio 2 d. taikomas naujas DI akto etapas, įskaitant skaidrumo pareigas pagal minimą DI akto 50 straipsnį. Vertinimas pagal pateiktus šaltinius remiasi BDAR 39 straipsniu, BDAR 58 straipsniu, BDAR 99 straipsniu, Vartotojų teisių apsaugos įstatymo 40 straipsniu, Vartotojų teisių apsaugos įstatymo 51 straipsniu, taip pat sektoriškai – Finansinių priemonių rinkų įstatymo 21 straipsniu ir Kibernetinio saugumo įstatymo 12 straipsniu. [VERTINIMAS] Jeigu DI pokalbių robotas, emocijų analizė ar realų asmenį imituojantis turinys apima asmens duomenų tvarkymą, organizacijoje atsiranda duomenų apsaugos valdymo pareigos pagal BDAR 39 straipsnį. Duomenų apsaugos pareigūnas turi ne tik konsultuoti, bet ir stebėti atitiktį, darbuotojų informuotumą, mokymą, auditą ir bendradarbiauti su priežiūros institucija. - BDAR 39 straipsnio 1 dalies a punktas: pareiga informuoti valdytoją, tvarkytoją ir darbuotojus apie prievoles. - BDAR 39 straipsnio 1 dalies b punktas: pareiga stebėti atitiktį, politiką, pareigų paskirstymą, mokymą ir auditus. - BDAR 39 straipsnio 1 dalies d–e punktai: pareiga bendradarbiauti ir veikti kaip kontaktinis asmuo priežiūros institucijai. DI skaidrumo pažeidimas praktikoje gali tapti ir vartotojų teisių klausimu, jeigu verslas vartotojui neatskleidžia reikšmingos informacijos apie sąveiką ar turinį. Tokiu atveju Vartotojų teisių apsaugos įstatymo 51 straipsnis leidžia kompetentingoms institucijoms rinkti dokumentus, duomenis ir informaciją, saugant komercines, profesines bei banko paslaptis. Institucija gali atlikti ir patikrinimus vietoje, kai įgyvendina Reglamento (ES) 2017/2394 įgaliojimus. | Režimas | Dydis arba terminas | BDAR 99 straipsnis — taikomas nuo 2018 m. gegužės 25 d. Vartotojų teisių apsaugos įstatymo 40 straipsnis — bauda nuo 500 iki 5 000 eurų Vartotojų teisių apsaugos įstatymo 40 straipsnis — bauda nuo 250 iki 2 500 eurų Naujienoje nurodytas aukštos rizikos DI etapas — nuo 2027 m. gruodžio 2 d. — Sankcijų lygis pagal pateiktus šaltinius tiesiogiai nesusietas su DI aktu, tačiau vartotojų apsaugos pažeidimams nurodyti konkretūs rėžiai. Vartotojų teisių apsaugos įstatymo 40 straipsnis leidžia skirti įspėjimą, kai pažeidimu nepadaroma esminės žalos saugomiems vartotojų interesams. Finansų sektoriuje DI ar algoritminiai sprendimai turi būti vertinami griežčiau, nes Finansinių priemonių rinkų įstatymo 21 straipsnis reikalauja veiksmingų sistemų, rizikos kontrolės, verslo tęstinumo, testavimo ir priežiūros. Algoritmine prekyba užsiimanti finansų maklerio įmonė privalo pranešti priežiūros institucijai apie tokią veiklą ir prekybos vietą. Jei DI įrankis naudojamas prekybos sistemoje, atitikties klausimas neapsiriboja pranešimu vartotojui; jis persikelia į atsparumo, klaidingų pavedimų ir rinkos sumaišties prevencijos lygmenį. Kibernetinio saugumo subjektams vidaus procesų klausimas taip pat nėra formalumas. Kibernetinio saugumo įstatymo 12 straipsnis ypatingos svarbos informacinės infrastruktūros valdytojams nustato incidentų planus, kasmetinį priemonių bandymą ir rezultatų pateikimą Nacionaliniam kibernetinio saugumo centrui. DI priemonė, integruota į tokią infrastruktūrą, turi būti valdoma per incidentų, bandymų ir techninių priemonių režimą. Aštriausia šios situacijos formuluotė yra tokia: nuo 2026 m. rugpjūčio 2 d. nepažymėtas DI turinys įmonei tampa ne rinkodaros klaida, o atitikties spraga, kurią reikia pagrįsti dokumentais. Pateiktuose šaltiniuose nėra teismų praktikos, todėl precedento taisyklė šiai analizei netaikoma. [PASEKMĖS] Praktiškai verslui svarbiausias pirmas scenarijus yra savikontrolė prieš priežiūros veiksmus. Įmonė turi susieti DI naudojimo aprašą su duomenų apsaugos, vartotojų informavimo, kibernetinio saugumo ir sektoriaus rizikos valdymo dokumentais. - inventorizuoti DI sistemas ir jų paskirtį; - nustatyti, ar tvarkomi asmens duomenys; - paskirti atsakomybes ir mokymo tvarką pagal BDAR 39 straipsnį; - parengti vartotojui matomą informavimo mechanizmą; - išsaugoti įrodymus, kad skaidrumo pareiga įgyvendinta. Antras scenarijus yra institucinis patikrinimas, kai prašoma dokumentų, duomenų ar informacijos pagal Vartotojų teisių apsaugos įstatymo 51 straipsnį. Tokiu atveju verslas gali prašyti saugoti komercinę, profesinę ar banko paslaptį, tačiau turi aiškiai nurodyti saugotiną informaciją. Trečias scenarijus aktualus reguliuojamiems sektoriams: finansų maklerio įmonėms, kibernetinio saugumo subjektams ir elektroninės atpažinties paslaugų teikėjams. Jų DI sprendimai bus tikrinami ne vien pagal skaidrumą, bet ir pagal sistemų atsparumą, priežiūros institucijų funkcijas ir veiklos tęstinumo pareigas. Toliau procedūriškai lauktinas įmonių vidaus DI inventorizacijos, informavimo tekstų ir atsakomybės paskirstymo dokumentų atnaujinimas iki 2026 m. rugpjūčio 2 d., o aukštos rizikos DI sistemoms – pasirengimo dokumentai prieš 2027 m. gruodžio 2 d. [CITATA] - nuo 2026 m. rugpjūčio 2 d. nepažymėtas DI turinys įmonei tampa ne rinkodaros klaida, o atitikties spraga, kurią reikia pagrįsti dokumentais. - Lietuvos įmonei klausimas bus ne ar ji pati sukūrė DI sistemą, o ar jos naudojimas paliečia asmens informavimą, duomenų apsaugą, vartotojų teises ar prižiūrimas sistemas.

[ESMĖ] Lietuviškas klausimas nėra vien „ar reikia žymėti DI turinį“, o kas Lietuvoje turės aiškią kompetenciją prižiūrėti šią pareigą. Jis spręstinas pagal Reglamentą (ES) 2024/1689, nurodytą šaltinyje dėl įgyvendinančio įstatymo, taip pat pagal BDAR 4 straipsnio 2 punktą, BDAR 58 straipsnio 4–5 dalis, BDAR 65 straipsnio 1 dalį ir nacionalinės sąrangos dokumentus. Naujienos faktas: nuo sekmadienio profesiniais tikslais sukurtas DI turinys turės būti pažymėtas, o esamos sistemos derinamos iki gruodžio 2 d. Lietuvos teisėkūros ašis dabar yra ne pats ženklas, bet kompetencijų paskirstymas: šaltinis nurodo, kad rengiamas atskiras įstatymo projektas dėl Reglamento (ES) 2024/1689 įgyvendinančių institucijų kompetencijos, subjektų teisių ir pareigų. | Klausimas | Šaltinyje matomas teisinis atramos taškas | Kas prižiūrės DI taisykles Lietuvoje — Atskiro įstatymo projektas dėl Reglamento (ES) 2024/1689 įgyvendinimo Kada turi atsirasti institucinė sąranga — 2026 m. IV ketv. pagal Vyriausybės plano 1.1.19 punktą Kada derinamos esamos sistemos — Iki gruodžio 2 d. pagal naujienoje pateiktą terminą — [VERTINIMAS] - Profesiniams subjektams praktinė pareiga pagal naujienoje nurodytą režimą yra ne vien techninė žyma, bet naudotojui suprantamas atskleidimas. - Jei naudojami pokalbių robotai, naudotojui turi būti aiškiai nurodyta, kad jis bendrauja su DI sistema. - Jei DI sukurtas vaizdas ar tekstas skleidžiamas profesiniais tikslais, turinys turi būti pažymėtas. - Viešojo intereso informavimo tekstas turi būti pažymėtas, kai jis sukurtas DI ir neperžiūrėtas žmogaus. Ši pareiga tampa ypač griežta ten, kur DI turinys pateikiamas kaip tikroviškas tekstas, vaizdas, garso ar vaizdo įrašas. Profesinis skleidėjas, kuris slepia DI kilmę, rizikuoja ne dėl kūrybos būdo, o dėl neatlikto atskleidimo naudotojui. Jeigu DI turinys apima asmens duomenų naudojimą, įsijungia BDAR 4 straipsnio 2 punktas: duomenų tvarkymas apima rinkimą, įrašymą, saugojimą, adaptavimą, keitimą, atskleidimą ir platinimą. Tokiu atveju DI turinio sukūrimas, keitimas ir paskelbimas gali būti vertinami per duomenų tvarkymo operacijų grandinę. BDAR 12 straipsnio 8 dalis papildomai rodo, kad standartizuotos piktogramos gali būti naudojamos informacijai pateikti aiškiai ir kompiuterio skaitomu būdu. Institucijų kompetencija Lietuvoje dar dėliojama nacionaliniu lygiu. Šaltinis dėl įstatymo projekto Nr. XVP-925 tiesiai nurodo, kad Ekonomikos ir inovacijų ministerija rengia atskirą įstatymo projektą dėl Reglamento (ES) 2024/1689 įgyvendinančių institucijų kompetencijos ir subjektų teisių bei pareigų. Tas pats šaltinis kritikuoja deklaratyvų reguliavimą, kuris nenustato konkrečių viešojo administravimo subjektų teisių ir pareigų. - 2026 m. Valstybės skaitmeninių sprendimų agentūra numatyta kaip metodinės ir ekspertinės pagalbos viešojo administravimo subjektams centras. - 2026 m. IV ketv. Vyriausybės plano 1.1.19 punkte numatyta sukurti institucinę sąrangą DI akto įgyvendinimui. - Ta pačia kryptimi numatyta DI bandomoji aplinka, skirta plėtrai ir praktiniam taikymui. Duomenų apsaugos aspektu priežiūros institucijos veiksmai negali būti savavališki: BDAR 58 straipsnio 4 dalis reikalauja apsaugos priemonių, veiksmingo apskundimo teismine tvarka ir tinkamo proceso. BDAR 58 straipsnio 5 dalis leidžia priežiūros institucijai kreiptis į teismus ar dalyvauti procese dėl reglamento vykdymo. Tarpvalstybiniuose ginčuose BDAR 65 straipsnio 1 dalis suteikia Europos duomenų apsaugos valdybai galią priimti privalomą sprendimą dėl tinkamo ir nuoseklaus taikymo. [PASEKMĖS] Pirmasis scenarijus: didžiosios platformos diegia ženklinimą iš anksto ir mažina sankcijų riziką per standartizuotus žymėjimo įrankius. Antrasis scenarijus: profesiniai turinio skleidėjai laukia nacionalinės kompetencijų schemos, bet iki gruodžio 2 d. vis tiek turi suderinti esamas sistemas pagal naujienoje nurodytą terminą. Trečiasis scenarijus: ginčas persikelia į duomenų apsaugos plotmę, jei DI turinio kūrimas ar platinimas apima identifikuojamų asmenų duomenis. Praktiškai tai svarbu platformoms, žiniasklaidai, reklamos agentūroms, viešojo administravimo subjektams ir DI paslaugų teikėjams. Jiems reikia atskirti asmeninį DI naudojimą nuo profesinio turinio sklaidos, nes naujienoje nurodyta išimtis taikoma asmeninėms reikmėms. Viešojo intereso tekstams rizika didžiausia tada, kai DI parengtas tekstas paskelbiamas be žmogaus peržiūros ir be aiškaus žymėjimo. Procedūriškai artimiausias sekimo taškas yra nacionalinis įgyvendinimo įstatymo projektas dėl Reglamento (ES) 2024/1689 institucijų kompetencijos. Pagal Vyriausybės plano 1.1.19 punktą institucinės sąrangos ir DI bandomosios aplinkos reikia laukti 2026 m. IV ketvirtį, o pagal naujienoje nurodytą terminą esamų sistemų suderinimo riba yra gruodžio 2 d. [CITATA] - Profesinis skleidėjas, kuris slepia DI kilmę, rizikuoja ne dėl kūrybos būdo, o dėl neatlikto atskleidimo naudotojui. - Lietuviškas klausimas nėra vien „ar reikia žymėti DI turinį“, o kas Lietuvoje turės aiškią kompetenciją prižiūrėti šią pareigą.

[ESMĖ] Fintech ir kredito biurų integracijos teisinė ašis yra ne technologija, o leistinas duomenų tikslas ir jo riba. Kai duomenys naudojami ir paskolos kainodarai, ir vėlavimo scenarijams, sprendimas remiasi Asmens duomenų teisinės apsaugos įstatymo 22 straipsniu, Vartojimo kredito įstatymo 8 straipsniu ir Su nekilnojamuoju turtu susijusio kredito įstatymo 15 straipsniu. Naujienos faktas telpa į vieną norminį klausimą: kada finansų įstaiga gali gauti, jungti ir nuolat naudoti kredito duomenis. Pagal Asmens duomenų teisinės apsaugos įstatymo 22 straipsnio 1 dalį tai leidžiama asmens mokumo, finansinės rizikos vertinimo ir įsiskolinimo valdymo tikslais, jeigu duomenų subjektas duoda sutikimą. [VERTINIMAS] Vartojimo kredito įstatymo 8 straipsnio 1 dalis nustato ne teisę, o pareigą prieš sutartį įvertinti kreditingumą. Kredito davėjas turi remtis pakankama vartotojo informacija ir atlikti patikrinimą registruose bei informacinėse sistemose arba pagrįsti informaciją kitais įrodymais. - prieš sutartį vertinamas konkretus finansinis įsipareigojimas; - prieš svarbesnį bendros kredito sumos padidinimą informacija atnaujinama; - vartotojas pagal Vartojimo kredito įstatymo 8 straipsnio 5 dalį privalo pateikti prašomą mokumui reikalingą informaciją; - asmens duomenys pagal Vartojimo kredito įstatymo 8 straipsnio 3 dalį tvarkomi Asmens duomenų teisinės apsaugos įstatymo nustatyta tvarka. Duomenų naudojimo plėtra teisėta tiek, kiek ji lieka pririšta prie mokumo, finansinės rizikos arba įsiskolinimo valdymo. Fintech rizikos modelis tampa neteisėtas ne dėl automatizavimo, o dėl tikslo išsiplėtimo už Asmens duomenų teisinės apsaugos įstatymo 22 straipsnio 1 dalies ribų. Skolų administravimo stadijoje taikoma atskira logika. Pagal Asmens duomenų teisinės apsaugos įstatymo 21 straipsnio 1 dalį skolininkų duomenys, įskaitant asmens kodą, gali būti tvarkomi ir teikiami teisėtą interesą turintiems tretiesiems asmenims mokumui vertinti ir įsiskolinimui valdyti. - duomenų valdytojas turi raštu priminti apie įsipareigojimų neįvykdymą; - pagal Asmens duomenų teisinės apsaugos įstatymo 21 straipsnio 3 dalį turi praeiti 30 kalendorinių dienų; - per šį terminą skola turi likti nepadengta arba mokėjimo terminas neatidėtas; - duomenų subjektas neturi būti pagrįstai užginčijęs įsiskolinimo; - pagal 21 straipsnio 4 dalį negalima tvarkyti ypatingų asmens duomenų. | Klausimas | Taikoma riba | Skolininko duomenų perdavimas — 30 kalendorinių dienų po rašytinio priminimo Nekilnojamojo turto kredito LTV — ne daugiau kaip 85 procentai DSTI — ne daugiau kaip 40 procentų Testinis DSTI su 5 procentų palūkanomis — ne daugiau kaip 50 procentų Maksimali paskolos trukmė — 30 metų — Jungtinės skolininkų rinkmenos nėra laisvas duomenų sandėlis. Pagal Asmens duomenų teisinės apsaugos įstatymo 21 straipsnio 2 dalį jų tvarkytojas turi pranešti Valstybinei duomenų apsaugos inspekcijai, kuri privalo atlikti išankstinę patikrą. Nekilnojamojo turto kredito atveju duomenų stebėsena aiškiai įrašyta į įstatymą. Su nekilnojamuoju turtu susijusio kredito įstatymo 15 straipsnio 1 dalis leidžia teikti duomenis ne tik kreditingumo vertinimui, bet ir stebėti įsipareigojimų vykdymą sutarties galiojimo laikotarpiu. Lietuvos banko kompetencija kyla iš kelių pateiktų šaltinių. Pagal Vartojimo kredito įstatymo 23 straipsnio 1 dalį vartojimo kredito davėjai ne rečiau kaip kartą per metus teikia priežiūros institucijai informaciją apie kreditų mastą, kainą ir pradelstus mokėjimus. LVAT praktika, paskelbta LVAT administracinės teisės praktikos biuletenyje Nr. 31, pabrėžia atsakingojo skolinimo taisyklių norminę funkciją. Ji reiškia, kad kreditingumo vertinimo taisyklės nėra vidaus patogumo dokumentas, o kriterijai, kuriais turi būti vadovaujamasi vertinant vartojimo kredito gavėją. [PASEKMĖS] Praktiškai klientui tai reiškia greitesnį sprendimą, bet siauresnę klaidos toleranciją vėluojant mokėti. Geresnė istorija gali veikti kainą ir limitą, tačiau pavėluota įmoka gali greičiau pereiti į įsiskolinimo valdymo režimą. Fintech įmonei svarbiausi tampa trys procedūriniai saugikliai. Jie lemia, ar kredito biuro integracija bus priežiūros institucijai pagrindžiama. - gauti sutikimą, kai duomenys imami pagal Asmens duomenų teisinės apsaugos įstatymo 22 straipsnio 1 dalį; - prieš kreditą atlikti kreditingumo vertinimą pagal Vartojimo kredito įstatymo 8 straipsnio 1 dalį; - prieš skolininko duomenų perdavimą išlaukti Asmens duomenų teisinės apsaugos įstatymo 21 straipsnio 3 dalies 30 kalendorinių dienų procedūrą. Kredito biurams ir jungtinių rinkmenų tvarkytojams svarbiausia ne duomenų kiekis, o teisėtas tikslas ir išankstinė patikra. Be šios grandies skolos valdymo automatizavimas gali prarasti teisinį pagrindą dar prieš vertinant algoritmų turinį. Toliau procedūriškai reikšmingiausias taškas bus konkretus duomenų perdavimo momentas: po rašytinio priminimo reikia laukti 30 kalendorinių dienų ir tik tada spręsti, ar perduoti skolininko duomenis jungtinei rinkmenai arba teisėtą interesą turinčiam trečiajam asmeniui. [CITATA] - Fintech rizikos modelis tampa neteisėtas ne dėl automatizavimo, o dėl tikslo išsiplėtimo už Asmens duomenų teisinės apsaugos įstatymo 22 straipsnio 1 dalies ribų. - Jungtinės skolininkų rinkmenos nėra laisvas duomenų sandėlis.