DI ir BDAR: ką reikia žinoti Lietuvos verslui

Dirbtinis intelektas keičia, kaip Lietuvos verslai aptarnauja klientus. AI balso agentai atsako į skambučius, registruoja vizitus, siunčia priminimus. Bet kiekvienas skambutis, kurį apdoroja AI, apima asmens duomenis - vardą, telefono numerį, vizito detales, kartais sveikatos informaciją.

BDAR (Bendrasis duomenų apsaugos reglamentas) galioja nepriklausomai nuo to, ar skambučius aptarnauja žmogus, ar dirbtinis intelektas. Šis straipsnis paaiškina, ką konkrečiai Lietuvos verslas turi žinoti apie BDAR, kai naudoja AI technologijas.

Kodėl BDAR svarbu AI naudotojams

BDAR reglamentuoja, kaip organizacijos renka, tvarko, saugo ir trina ES gyventojų asmens duomenis. Kai AI balso agentas atsako į Jūsų verslo telefoną, jis tampa duomenų tvarkymo įrankiu, o Jūsų verslas lieka duomenų valdytoju, atsakingu už viską, kas nutinka su skambintojo duomenimis.

Rizika yra reali ir konkreti:

• Baudos. Iki 4% metinės pasaulinės apyvartos arba 20 milijonų eurų - priklausomai nuo to, kas didesnė. Lietuvos VDAI (Valstybinė duomenų apsaugos inspekcija) jau skiria baudas - ne tik didelėms korporacijoms.
• Reputacinė žala. Duomenų pažeidimas, susijęs su klientų skambučių įrašais, gali sunaikinti pasitikėjimą, kuris buvo kuriamas metų metus.
• Verslo praradimas. Vis daugiau klientų klausia, kaip tvarkomi jų duomenys. B2B sektoriuje BDAR atitiktis tampa būtina sąlyga bendradarbiavimui.

Gera žinia: tinkamai sukonfigūruota AI sistema gali pagerinti Jūsų duomenų apsaugos poziciją. AI tvarko duomenis nuosekliai pagal apibrėžtas taisykles, nerašo informacijos ant lapelių, nepalieka ekranų atvirų ir kuria audituojamus žurnalus.

Kokius asmens duomenis tvarko AI balso agentas

Pirmas žingsnis link atitikties - žinoti, kokius duomenis Jūsų AI sistema tvarko.

Skambučio metu surinkti duomenys

• Balso duomenys: pokalbio garso įrašas (jei įrašymas įjungtas), įskaitant balso modelius ir kalbą.
• Identifikuojanti informacija: vardas, telefono numeris, el. paštas, adresas - kai skambintojas juos pateikia.
• Paslaugų duomenys: vizitų datos, laikai, pageidavimai, specialūs prašymai.
• Jautrūs duomenys (priklausomai nuo industrijos): sveikatos informacija medicinos klinikoms, finansiniai duomenys apskaitos įmonėms.

Sistemos sugeneruoti duomenys

• Transkripcijos: tekstinės pokalbių versijos, sugeneruotos kalbos atpažinimo technologija.
• Metaduomenys: laiko žyma, trukmė, skambučio rezultatas, atpažinta kalba.
• Veiksmo žurnalai: ką AI padarė skambučio metu (sukūrė rezervaciją, perdavė žmogui, atsakė į klausimą).

Duomenų rezidavimas: kur saugomi Jūsų klientų duomenys

Duomenų rezidavimas - tai vieta, kur fiziškai saugomi ir apdorojami duomenys. BDAR požiūriu tai vienas svarbiausių klausimų.

ES/EEE vs trečiosios šalys

BDAR leidžia laisvai perduoti duomenis ES/EEE ribose. Perdavimui už ES ribų reikia papildomų apsaugos priemonių:

• Tinkamumo sprendimas. Europos Komisija nusprendė, kad tam tikros šalys užtikrina pakankamą apsaugos lygį.
• Standartinės sutarčių sąlygos (SSS). Europos Komisijos patvirtintos sutarčių sąlygos duomenų perdavimui.
• Privalomosios korporatyvinės taisyklės. Tarptautinių organizacijų vidaus taisyklės duomenų perdavimui.

Sutikimo reikalavimai: skambučių įrašymas ir AI pranešimas

Sutikimas yra vienas jautriausių BDAR aspektų AI balso sistemoms. Yra du atskiri aspektai, kuriuos reikia tvarkyti:

1. Pranešimas apie AI

ES Dirbtinio intelekto aktas reikalauja, kad asmenys būtų informuoti, kai bendrauja su AI sistema. Skambučio pradžioje AI turėtų prisistatyti - pavyzdžiui: "Sveiki, esu dirbtinio intelekto asistentė. Kaip galiu padėti?" Tai ne tik teisinis reikalavimas, bet ir gera praktika, didinanti skaidrumą.

2. Skambučių įrašymo sutikimas

Jei Jūsų AI sistema įrašo skambučius (kokybės užtikrinimui, ginčų sprendimui ar mokymo tikslais), skambintojas turi būti informuotas prieš įrašymo pradžią. VDAI patvirtino, kad šis pranešimas yra privalomas.

• Minimalus reikalavimas: informuoti, kad skambutis gali būti įrašomas, ir nurodyti tikslą.
• Geriausia praktika: pasiūlyti galimybę tęsti be įrašymo. AI gali pasakyti: "Jei pageidaujate, kad pokalbis nebūtų įrašomas, prašau pasakyti."
• Dokumentavimas: fiksuoti, kad sutikimas buvo gautas (arba atsisakytas), su laiko žyma.

Teisinis duomenų tvarkymo pagrindas

BDAR reikalauja teisėto pagrindo asmens duomenims tvarkyti. AI balso agentams dažniausiai taikomi:

• Sutarties vykdymas (6 str. 1 d. b p.): kai skambintojas nori paslaugos - rezervacijos, konsultacijos. Jo duomenų tvarkymas būtinas sutarčiai vykdyti.
• Teisėtas interesas (6 str. 1 d. f p.): skambučių įrašymas kokybės užtikrinimui, žurnalų palaikymas ginčų sprendimui. Reikia balansavimo testo.
• Sutikimas (6 str. 1 d. a p.): skambučių įrašymui ir duomenų naudojimui AI modelio tobulinimui. Sutikimas turi būti laisvai duotas ir atšaukiamas.

VDAI vykdymas: Lietuvos specifika

VDAI (Valstybinė duomenų apsaugos inspekcija) yra Lietuvos priežiūros institucija, atsakinga už BDAR vykdymą. Ką Lietuvos verslas turėtų žinoti:

VDAI veikla

• Aktyvus vykdymas. VDAI ne tik reaguoja į skundus, bet ir atlieka proaktyvinius patikrinimus. 2025 metais buvo atlikta keletas patikrinimų, susijusių su automatinėmis komunikacijos sistemomis.
• Baudos Lietuvoje. VDAI skiria baudas tiek didelėms, tiek mažoms organizacijoms. Baudos svyruoja nuo kelių tūkstančių iki šimtų tūkstančių eurų, priklausomai nuo pažeidimo masto.
• Konsultacijos. VDAI teikia konsultacijas ir gaires verslams. Jei kyla klausimų dėl BDAR taikymo AI sistemoms, verta kreiptis.

Ką VDAI tikrina

• Ar yra dokumentuotas teisinis pagrindas duomenų tvarkymui
• Ar skambintojai tinkamai informuojami apie duomenų tvarkymą ir įrašymą
• Ar yra duomenų tvarkymo sutartys su AI tiekėjais
• Ar laikomasi duomenų minimizavimo principo
• Ar yra duomenų saugojimo ir trynimo politika
• Ar užtikrinamos duomenų subjektų teisės (prieiga, taisymas, trynimas)

Praktiniai žingsniai BDAR atitikčiai

Štai konkretūs veiksmai, kuriuos Lietuvos verslas turėtų atlikti prieš diegiant AI balso agentą ir jo veikimo metu:

Klausimai, kuriuos reikia užduoti AI tiekėjui

Prieš pasirašydami sutartį su AI balso agento tiekėju, užduokite šiuos klausimus. Jei tiekėjas negali aiškiai atsakyti - tai rimtas perspėjantis ženklas.

Kaip AI gali pagerinti BDAR atitiktį

Paradoksalu, bet tinkamai sukonfigūruotas AI balso agentas gali pagerinti Jūsų duomenų apsaugos poziciją, palyginti su vien žmogišku skambučių aptarnavimu:

• Nuoseklus duomenų tvarkymas. AI visada tvarko duomenis pagal tas pačias taisykles. Žmogus gali užrašyti kliento telefono numerį ant lapelio ar persiųsti informaciją per asmeninį messengerį.
• Automatiniai žurnalai. Kiekvienas veiksmas su duomenimis yra fiksuojamas ir audituojamas. Žmogaus veiksmai dažnai nefiksuojami.
• Automatinis trynimas. AI sistema gali automatiškai trinti duomenis pasibaigus saugojimo terminui. Žmogus dažnai pamiršta.
• Prieigos kontrolė. AI sistema turi aiškias prieigos taisykles. Žmogus gali dalintis informacija netyčia.
• Nuoseklus sutikimo surinkimas. AI visada praneša apie įrašymą ir pasiūlo atsisakymo galimybę. Žmogus gali pamiršti.

Plačiau apie tai, kaip AI balso agentai atitinka BDAR reikalavimus techniniame lygmenyje, rasite mūsų straipsnyje AI balso agentai ir BDAR atitiktis: techninis vadovas.