BDAR ir AI skambučiai: ką privalo žinoti Lietuvos verslas 2026 m.

Vis daugiau Lietuvos įmonių svarsto AI balso agentą telefonu — ir beveik visos užduoda tą patį pirmą klausimą: „O ar tai apskritai legalu pagal BDAR?“ Klausimas pagrįstas, ypač klinikoms ir kitoms įstaigoms, dirbančioms su jautriais duomenimis.

Šiame straipsnyje išdėstome, ką apie AI skambučius ir BDAR verta žinoti prieš priimant sprendimą: koks teisinis pagrindas reikalingas, kokia skaidrumo pareiga įsigalioja 2026 m. rugpjūtį, ką daryti su įrašais ir ko konkrečiai reikalauti iš tiekėjo.

Ar AI skambučiai apskritai legalūs?

Taip — pagal galiojantį reguliavimą AI balso agentas gali ir atsiliepti į skambučius, ir skambinti pats, jei turite teisinį pagrindą tvarkyti asmens duomenis ir vykdote informavimo pareigas. BDAR nedraudžia automatizuoto pokalbio; jis reguliuoja, kaip tvarkomi duomenys pokalbio metu.

Praktikoje svarbiausia atskirti tris situacijas pagal BDAR 6 straipsnio pagrindus:

• Klientas skambina jums. Žmogus nori užsiregistruoti vizitui ar pasiteirauti dėl paslaugos — duomenų tvarkymas remiasi sutartimi arba veiksmais prieš ją sudarant. Atskiro sutikimo, kad atsilieptų AI, nereikia, tačiau informuoti apie tai privalote.
• Jūs skambinate esamam klientui. Priminimas apie jo paties užsakytą vizitą ar pranešimas apie užsakymo būseną paprastai vertinamas kaip sutarties vykdymas arba teisėtas interesas. Teisėtu interesu remdamiesi turėtumėte atlikti ir dokumentuoti interesų balanso vertinimą.
• Jūs skambinate šaltam kontaktui rinkodaros tikslais. Čia taisyklės griežčiausios: tiesioginei rinkodarai elektroninių ryšių priemonėmis pagal galiojantį reguliavimą reikalingas išankstinis sutikimas. AI agentas šios taisyklės nepakeičia nei į vieną pusę.

Trumpai: klausimas ne „ar AI skambučiai legalūs“, o „koks jūsų konkretaus skambučio tikslas ir teisinis pagrindas“. Dauguma verslo scenarijų — registracija, priminimai, aptarnavimas — turi aiškų pagrindą be jokio sutikimų rinkimo.

Ar agentas privalo prisistatyti, kad jis AI?

Taip. ES dirbtinio intelekto akto 50 straipsnis numato skaidrumo pareigą: žmogus turi būti informuotas, kad bendrauja su AI sistema, nebent tai akivaizdu iš aplinkybių. Ši pareiga taikoma nuo 2026 m. rugpjūčio 2 d.

Telefoninis pokalbis — būtent ta situacija, kur „akivaizdumu“ remtis rizikinga: sintezuotas balsas gali skambėti natūraliai, o skambinantysis neturi jokio vizualinio konteksto. Todėl saugi praktika viena — agentas prisistato pirmame sakinyje.

Iliustracinis pokalbio pavyzdys:

— Laba diena, čia klinikos „Pavyzdys“ virtualus asistentas. Galiu užregistruoti vizitui arba atsakyti į klausimus. Kuo galiu padėti?

Mes tokį prisistatymą įjungiame standartiškai kiekvienam agentui — tai ne pasirenkama funkcija, o numatytoji konfigūracija. Rinkoje ši pareiga kol kas aptariama retai, nors iki jos taikymo pradžios liko nedaug laiko. Jei tiekėjas apie AI akto 50 straipsnį negali pasakyti nieko konkretaus, tai signalas apie jo pasirengimą ir kitais klausimais.

Prisistatymas turi ir praktinę naudą: klientas, žinantis, kad kalba su sistema, formuluoja užklausas paprasčiau, o nesusipratimų kyla mažiau.

Ką daryti su pokalbių įrašais?

Trys dalykai: atskleisti įrašymą pokalbio pradžioje, apibrėžti aiškų tikslą ir nustatyti saugojimo terminą, kurio realiai laikomasi.

Atskiras klausimas — ar įrašai naudojami AI modelių mokymui. Tai savarankiškas tvarkymo tikslas, kuriam reikia savarankiško pagrindo ir aiškaus susitarimo su tiekėju. Apie tai — kitame skyriuje.

Kur keliauja duomenys?

Priklauso nuo tiekėjo architektūros — ir būtent čia atsakymai rinkoje skiriasi labiausiai. Klauskite atskirai apie du srautus: balso duomenis ir teksto duomenis.

Mūsų architektūra atrodo taip. Balso duomenys — garso srautas, kalbos atpažinimas (STT) ir kalbos sintezė (TTS) — apdorojami mūsų valdomoje ES infrastruktūroje, nes šias technologijas treniruojame ir eksploatuojame patys. Teksto apdorojimui naudojamas LLM API su duomenų tvarkymo sutartimi.

Kas yra ta duomenų tvarkymo sutartis (DPA — data processing agreement)? Tai BDAR 28 straipsnyje numatyta privaloma sutartis tarp duomenų valdytojo (jūsų) ir tvarkytojo (tiekėjo bei jo subtvarkytojų). Joje apibrėžiama, kokie duomenys tvarkomi, kokiu tikslu, kiek laiko, kokios saugumo priemonės taikomos ir ką tvarkytojas privalo daryti duomenų saugumo pažeidimo atveju.

DPA — ne formalumas, o pagrindinis jūsų kontrolės įrankis: be jos perduoti asmens duomenis tvarkytojui apskritai negalima. Jei tiekėjas negali pateikti DPA arba negali paaiškinti, kuris komponentas kur fiziškai apdoroja duomenis, rizika tenka jums — nes atsakomybė prieš klientus ir priežiūros instituciją lieka duomenų valdytojui.

Ko reikalauti iš AI tiekėjo?

Mažiausiai penkių dalykų — ir visų raštu. Šis sąrašas tinka bet kuriam AI skambučių tiekėjui, ne tik mums.

• 1. Duomenų tvarkymo sutartis (DPA). Pasirašyta, su konkrečiais įsipareigojimais, ne bendro pobūdžio „mes laikomės BDAR“ deklaracija. Turi apimti ir pranešimo apie pažeidimus tvarką.
• 2. Duomenų žemėlapis. Aiškus atsakymas, kur fiziškai apdorojamas kiekvienas duomenų tipas: garso srautas, transkripcija, tekstas, kalendoriaus įrašai, santraukos. Jei atsakymas — „debesyje“, klauskite, kieno debesyje ir kurioje jurisdikcijoje.
• 3. Saugojimo terminai. Konkretūs terminai kiekvienam duomenų tipui ir techninis patvirtinimas, kad pasibaigus terminui duomenys ištrinami automatiškai.
• 4. Subtvarkytojų sąrašas. Kokie tretieji paslaugų teikėjai dalyvauja grandinėje ir kokiu pagrindu. Sąrašas turi būti atnaujinamas, o apie pakeitimus — informuojama iš anksto.
• 5. Audito galimybė. Teisė patikrinti, kaip tiekėjas laikosi įsipareigojimų — pačiam arba per nepriklausomą auditorių. BDAR 28 straipsnis šią teisę numato tiesiogiai.

Papildomas klausimas, kurį verta užduoti kiekvienam: „Ar mūsų klientų pokalbiai naudojami jūsų modelių mokymui?“ Atsakymas turi būti vienareikšmis ir įrašytas sutartyje.

Ką daryti sveikatos sektoriui?

Sveikatos duomenys yra ypatingų kategorijų asmens duomenys pagal BDAR 9 straipsnį, todėl AI agentas klinikoje turi būti suprojektuotas taip, kad registruotų vizitą nerinkdamas diagnozių. Tai projektavimo, ne draudimo klausimas.

Praktikoje riba brėžiama taip: registracijai pakanka vardo, kontakto, pageidaujamo laiko ir paslaugos tipo („odontologo konsultacija“, „profilaktinis patikrinimas“). Šie duomenys patys savaime nėra sveikatos duomenys. Agentas neklausinėja simptomų, negretina nusiskundimų ir nesiūlo „papasakoti plačiau apie problemą“.

Ką daryti, jei pacientas diagnozę pasako pats? Sistema turi būti sukonfigūruota pagal duomenų minimizavimo principą: tokia informacija neįtraukiama į struktūrizuotus įrašus ir santraukas, o pokalbis, kai to reikia, perduodamas darbuotojui. Tai vienas iš scenarijų, kuriuos verta aprašyti dar prieš diegimą.

Papildomai klinikoms verta įvertinti, ar naujam tvarkymo procesui nereikalingas poveikio duomenų apsaugai vertinimas (DPIA) pagal BDAR 35 straipsnį — sisteminis didelės apimties ypatingų kategorijų duomenų tvarkymas yra vienas iš kriterijų, kada jis privalomas. Rimtas tiekėjas šiame vertinime dalyvauja ir pateikia reikiamą techninę informaciją, o ne palieka jus vienus.

Daugiau apie darbą su klinikomis — puslapyje klinikoms ir odontologijai.

Kaip mes tai sprendžiame?

Inovita AI balso agentą kūrėme laikydami BDAR ne kliūtimi, o projektavimo sąlyga. Konkrečiai:

• Balso duomenys apdorojami mūsų valdomoje ES infrastruktūroje — kalbos atpažinimą ir sintezę treniruojame patys, todėl balso srautas nekeliauja per trečiųjų šalių balso paslaugas.
• Teksto apdorojimui naudojame LLM API su duomenų tvarkymo sutartimi ir dokumentuotu subtvarkytojų sąrašu.
• Agentas standartiškai prisistato kaip AI — atitiktis ES AI akto 50 straipsniui numatyta iš anksto, ne „kai įsigalios“.
• Saugojimo terminus, įrašų atskleidimą ir duomenų žemėlapį suderiname diegimo metu ir įforminame DPA.
• Sveikatos sektoriui agentą konfigūruojame pagal minimizavimo principą: registracija — taip, diagnozių klausinėjimas — ne.

Jei norite pamatyti, kaip tai veikia gyvai — registruokitės į demo. Jei jau turite konkretų scenarijų ir norite įvertinti atitiktį bei apimtį — gaukite pasiūlymą per 24 val.

DUK

• Ar reikia kliento sutikimo, kad į jo skambutį atsilieptų AI agentas?

  +

  Ne. Kai klientas pats skambina dėl paslaugos, tvarkymas paprastai remiasi sutartimi arba teisėtu interesu, ne sutikimu. Tačiau informavimo pareiga lieka: pokalbio pradžioje klientas turi sužinoti, kad kalba su AI, ir ar pokalbis įrašomas.

• Ar AI agentas gali skambinti klientams priminti apie vizitą?

  +

  Taip. Priminimas apie kliento paties užsakytą vizitą pagal galiojantį reguliavimą paprastai laikomas sutarties vykdymu arba teisėtu interesu. Kitaip yra su rinkodaros skambučiais šaltiems kontaktams — jiems reikalingas išankstinis sutikimas.

• Kiek laiko galima saugoti pokalbių įrašus?

  +

  BDAR konkretaus termino nenustato — jį apibrėžiate patys pagal tikslą ir užfiksuojate dokumentuose. Esminiai reikalavimai: terminas turi būti pagrįstas, o jam pasibaigus įrašai realiai ištrinami, ne tiesiog paliekami serveryje neribotam laikui.

• Ar pokalbių duomenys naudojami AI modelių mokymui?

  +

  Mūsų atveju — ne be atskiro rašytinio susitarimo su klientu. Rinkoje praktikos skiriasi, todėl šį klausimą užduokite kiekvienam tiekėjui tiesiai ir reikalaukite atsakymo raštu, duomenų tvarkymo sutartyje.

Daugiau atsakymų apie agento veikimą — DUK puslapyje.