Uredba (EU) 2024/1689, poznatija kao EU AI Act ili Akt o veštačkoj inteligenciji, prvi je sveobuhvatni pravni okvir za veštačku inteligenciju u svetu. Objavljena je u Službenom listu EU 12. jula 2024, a na snagu je stupila 1. avgusta 2024. Primenjuje se postepeno, u fazama koje traju do 2028. godine.
Česta zabluda je da se Uredba tiče samo kompanija registrovanih u Evropskoj uniji. U ovom vodiču objašnjavamo zašto to nije tačno, kako da odredite svoju ulogu i nivo rizika i šta je potrebno uraditi da biste bili spremni.
Ukratko
- AI Act se primenjuje i na kompanije van EU kada se njihov AI sistem ili njegov rezultat koristi u Uniji.
- Obaveze zavise od uloge (pružalac ili korisnik sistema) i od nivoa rizika sistema.
- Zabrane i obaveza AI pismenosti važe od 2. februara 2025. Pravila za modele opšte namene važe od 2. avgusta 2025.
- Kazne idu do 35 miliona evra ili 7% ukupnog godišnjeg prometa na svetskom nivou.
Zašto se AI Act tiče kompanija iz Srbije
Član 2 Uredbe određuje njeno teritorijalno polje primene široko. Pravila važe za:
- pružaoce koji AI sistem ili model opšte namene stavljaju na tržište EU, bez obzira na to gde su osnovani;
- korisnike sistema (u Uredbi: deployers) koji su osnovani u EU;
- pružaoce i korisnike iz trećih zemalja, kada se rezultat AI sistema koristi u Uniji.
Za srpsku kompaniju to praktično znači sledeće. Ako razvijate softver sa AI funkcijama za klijente iz EU, imate četbot na sajtu namenjenom evropskim kupcima ili generišete sadržaj za evropsko tržište, verovatno ste obveznik. Sedište u Beogradu ili Novom Sadu ne menja tu procenu.
Postoji i dugoročni razlog za pažnju. Srbija je kandidat za članstvo u EU i usklađuje propise sa pravnim tekovinama Unije. U januaru 2025. usvojena je nova Strategija razvoja veštačke inteligencije za period 2025–2030. Kompanije koje danas izgrade dobre prakse biće spremne i za domaći okvir koji tek dolazi.
Pružalac ili korisnik: odredite svoju ulogu
Gotovo sve obaveze iz Uredbe vezane su za ulogu koju imate u lancu.
- Pružalac (provider, član 3 tačka 3) je lice koje razvija AI sistem ili model, ili ga naručuje, i stavlja ga na tržište pod svojim imenom ili žigom, uz naknadu ili besplatno.
- Korisnik sistema (deployer, član 3 tačka 4) je lice koje koristi AI sistem pod svojom kontrolom u profesionalnoj delatnosti.
Kompanija koja zaposlenima omogući upotrebu alata kao što su ChatGPT ili Claude najčešće je korisnik sistema. Kompanija koja na osnovu takvog modela napravi sopstveni proizvod i ponudi ga tržištu pod svojim imenom postaje pružalac tog proizvoda. Uloga pružaoca nosi znatno više obaveza.
Uredba poznaje i uvoznike, distributere i ovlašćene zastupnike. Pružalac iz treće zemlje koji nudi visokorizični sistem na tržištu EU mora da imenuje ovlašćenog zastupnika sa sedištem u Uniji.
Četiri nivoa rizika
AI Act ne reguliše tehnologiju kao takvu, već način na koji se koristi. Sistemi su razvrstani prema riziku koji nose.
| Nivo rizika | Primeri | Posledica |
|---|---|---|
| Neprihvatljiv | Društveno bodovanje, prepoznavanje emocija na radnom mestu, manipulativne tehnike | Zabranjeno (član 5) |
| Visok | Selekcija kandidata za posao, procena kreditne sposobnosti, obrazovanje, kritična infrastruktura | Stroge obaveze pre i tokom upotrebe |
| Ograničen | Četbotovi, generisanje teksta, slika i videa, dipfejk sadržaj | Obaveze transparentnosti (član 50) |
| Minimalan | Filteri za neželjenu poštu, preporuke u video igrama | Bez posebnih obaveza |
Pored ovih kategorija, Uredba posebno uređuje AI modele opšte namene (general-purpose AI), poput velikih jezičkih modela na kojima rade popularni asistenti.
Zabranjene AI prakse
Od 2. februara 2025. u EU je zabranjeno osam kategorija AI praksi. Među njima su manipulativne tehnike koje nanose značajnu štetu, iskorišćavanje ranjivosti zbog godina ili socijalnog položaja, društveno bodovanje i prepoznavanje emocija na radnom mestu i u obrazovanju. Zabranjeno je i masovno prikupljanje fotografija lica sa interneta radi pravljenja baza za prepoznavanje.
Za kršenje zabrana predviđene su najviše kazne. Detaljan pregled sa praktičnim primerima dali smo u tekstu Zabranjene AI prakse: šta EU AI Act ne dozvoljava.
Visokorizični AI sistemi
Sistem je visokorizičan u dva slučaja. Prvi je kada je bezbednosna komponenta proizvoda koji je već regulisan propisima EU, kao što su medicinska sredstva, mašine ili igračke (Aneks I). Drugi je kada se koristi u nekoj od osam oblasti iz Aneksa III:
- biometrija;
- kritična infrastruktura;
- obrazovanje i stručno osposobljavanje;
- zapošljavanje, upravljanje radnicima i pristup samozapošljavanju;
- pristup osnovnim privatnim i javnim uslugama, uključujući procenu kreditne sposobnosti i osiguranje;
- sprovođenje zakona;
- migracije, azil i upravljanje granicama;
- pravosuđe i demokratski procesi.
Sistem iz Aneksa III ne mora se smatrati visokorizičnim ako ne predstavlja značajan rizik, na primer kada obavlja usku proceduralnu radnju. Izuzetak ne važi za sisteme koji vrše profilisanje fizičkih lica. Oni su uvek visokorizični.
Obaveze pružalaca
Pružalac visokorizičnog sistema mora da uspostavi sistem upravljanja rizikom i da obezbedi kvalitet podataka za treniranje. Mora da vodi tehničku dokumentaciju i automatske zapise o radu sistema i da omogući ljudski nadzor. Sistem mora da bude tačan, robustan i bezbedan. Pre stavljanja na tržište sprovodi se ocena usaglašenosti, sistem dobija CE oznaku i upisuje se u bazu podataka EU.
Obaveze korisnika sistema
Korisnik visokorizičnog sistema, prema članu 26:
- koristi sistem u skladu sa uputstvima pružaoca;
- poverava ljudski nadzor osobama koje imaju potrebna znanja i ovlašćenja;
- prati rad sistema i prijavljuje ozbiljne incidente;
- čuva automatski generisane zapise najmanje šest meseci;
- pre uvođenja sistema na radnom mestu obaveštava zaposlene i njihove predstavnike.
Oblast zapošljavanja posebno je važna za domaće kompanije. Više o tome pišemo u tekstu AI u zapošljavanju i HR-u.
Transparentnost: četbotovi, dipfejk i AI sadržaj
Član 50 uvodi obaveze transparentnosti bez obzira na nivo rizika. Korisnici moraju znati da razgovaraju sa četbotom. Sadržaj koji generiše AI mora biti označen u mašinski čitljivom formatu. Dipfejk sadržaj i AI tekstovi o pitanjima od javnog interesa moraju biti jasno označeni. Ove obaveze se primenjuju od 2. avgusta 2026. Detalje smo objasnili u tekstu Obaveze transparentnosti iz člana 50.
Modeli opšte namene
Od 2. avgusta 2025. pružaoci modela opšte namene imaju posebne obaveze. Moraju da vode tehničku dokumentaciju i da daju informacije kompanijama koje grade proizvode na njihovim modelima. Moraju da imaju politiku poštovanja autorskih prava EU i da objave sažetak sadržaja korišćenog za treniranje. Najmoćniji modeli, koji nose sistemski rizik, imaju i dodatne obaveze procene i ublažavanja rizika.
Za kompanije koje te modele koriste, ova pravila su važna jer određuju koje informacije mogu da traže od dobavljača. Pitanja autorskih prava obradili smo u tekstu Autorska prava i AI sadržaj.
AI pismenost je obaveza za sve
Član 4 obavezuje sve pružaoce i korisnike sistema da preduzmu mere kako bi zaposleni koji rade sa AI sistemima imali dovoljan nivo AI pismenosti. Mere treba prilagoditi tehničkom znanju, iskustvu i obrazovanju zaposlenih, kao i kontekstu upotrebe. Obaveza važi od 2. februara 2025. i odnosi se i na kompanije koje koriste samo standardne AI alate.
U praksi to znači interna pravila o korišćenju AI alata, obuke prilagođene radnim mestima i jasnu odgovornost za proveru rezultata.
Kazne
| Povreda | Najviši iznos kazne |
|---|---|
| Zabranjene prakse (član 5) | 35 miliona evra ili 7% ukupnog godišnjeg prometa na svetskom nivou, šta je veće |
| Druge obaveze, uključujući visokorizične sisteme i transparentnost | 15 miliona evra ili 3% prometa, šta je veće |
| Netačne ili obmanjujuće informacije organima | 7,5 miliona evra ili 1% prometa, šta je veće |
Za mala i srednja preduzeća, uključujući startape, primenjuje se niži od dva iznosa. Kazne izriču nadležni nacionalni organi država članica.
Rokovi primene
| Datum | Šta počinje da važi |
|---|---|
| 1. 8. 2024. | Uredba stupa na snagu |
| 2. 2. 2025. | Zabranjene prakse i obaveza AI pismenosti |
| 2. 8. 2025. | Pravila za modele opšte namene, nadležni organi i kazne |
| 2. 8. 2026. | Većina ostalih odredbi, uključujući obaveze transparentnosti |
| 2. 12. 2027. | Visokorizični sistemi iz Aneksa III (prvobitno avgust 2026) |
| 2. 8. 2028. | Visokorizični sistemi u proizvodima iz Aneksa I (prvobitno avgust 2027) |
Rokovi za visokorizične sisteme pomereni su paketom izmena poznatim kao Digitalni omnibus. Šta to znači u praksi objasnili smo u tekstu Digitalni omnibus: odloženi rokovi.
Kako da počnete: sedam koraka
- Napravite popis AI alata. Zabeležite sve sisteme koje koristite ili razvijate, uključujući funkcije ugrađene u postojeći softver.
- Odredite svoju ulogu. Za svaki sistem utvrdite da li ste pružalac, korisnik ili oboje.
- Procenite nivo rizika. Proverite da li se neki sistem nalazi u oblastima iz Aneksa III ili blizu zabranjenih praksi.
- Uvedite interna pravila. Definišite koji alati su dozvoljeni, koji podaci se u njih smeju unositi i ko odgovara za proveru rezultata.
- Organizujte obuke. Obaveza AI pismenosti već važi, a dokumentovana obuka je najbolji dokaz da je ispunjena.
- Proverite ugovore. Ugovori sa dobavljačima AI rešenja treba da urede odgovornost, zaštitu podataka, poslovnu tajnu i informacije potrebne za usklađivanje.
- Uskladite zaštitu podataka. AI sistemi gotovo uvek obrađuju podatke o ličnosti, pa važe i pravila Zakona o zaštiti podataka o ličnosti, odnosno GDPR-a.
Usklađivanje sa AI Act-om nije jednokratan projekat. Ono je deo upravljanja rizicima, ugovorne prakse i odnosa prema zaposlenima. Zato ga je najlakše sprovesti u okviru redovne pravne podrške, a ne u poslednjem trenutku pred rok.
