Akt o umjetnoj inteligenciji, što traži i od koga
Uredba (EU) 2024/1689 primjenjuje se izravno, bez prenošenja u hrvatsko pravo. Obveze ovise o ulozi i o kategoriji rizika, a rokovi teku u nekoliko koraka.
Što Akt jest i kako je posložen
Uredba se primjenjuje izravno, a opseg obveza slijedi iz uloge i iz kategorije rizika.
Akt o umjetnoj inteligenciji, Uredba (EU) 2024/1689, donesen je 13. lipnja 2024., objavljen 12. srpnja 2024. i stupio na snagu 1. kolovoza 2024. Kao uredba primjenjuje se izravno i ne prenosi se u hrvatsko pravo. Nacionalni zakon potreban je samo za ono što je Uredba prepustila državama, a to su nadležna tijela, prekršajni okvir i regulatorno okruženje za testiranje.
Pristup je utemeljen na riziku, s četiri kategorije. Neprihvatljiv rizik znači zabranu, iz članka 5. Visoki rizik nosi najveći dio obveza. Ograničeni rizik nosi obveze transparentnosti iz članka 50. Minimalni rizik ne nosi posebne obveze iz Akta.
Do visokog rizika vode dva puta. Prvi je članak 6. stavak 1.: sustav je sigurnosna komponenta proizvoda obuhvaćenog usklađenim zakonodavstvom iz Priloga I., primjerice medicinskog proizvoda, i taj proizvod podliježe ocjenjivanju sukladnosti treće strane. Drugi je članak 6. stavak 2. i Prilog III., koji nabraja osam područja, među njima biometriju, kritičnu infrastrukturu, obrazovanje, zapošljavanje, pristup osnovnim uslugama uključujući zdravstvene, kazneni progon, migracije i pravosuđe.
Postoji i izlaz. Prema članku 6. stavku 3. sustav iz Priloga III. nije visokorizičan ako ne predstavlja znatan rizik za zdravlje, sigurnost ili temeljna prava, primjerice zato što obavlja usku postupovnu zadaću ili pripremnu zadaću za procjenu. Iznimka od te iznimke je jasna: sustav koji provodi profiliranje fizičkih osoba uvijek je visokorizičan. Dobavljač koji se poziva na izlaz mora procjenu dokumentirati i sustav registrirati u europskoj bazi.
Uz to teku zasebna pravila za opće modele umjetne inteligencije, iz članaka 51. do 56. Model se smatra modelom sa sistemskim rizikom kad ima sposobnosti visokog učinka, uz pretpostavku vezanu uz količinu izračuna za treniranje. Nadzor nad tim dobavljačima ne provodi nacionalno tijelo nego Europska komisija.
Četiri kategorije rizika
Kategorija određuje opseg obveza, a ne veličina organizacije.
Znanstveno istraživanje i razvoj kao isključiva svrha izvan su područja primjene Akta, kao i nacionalna sigurnost, obrana i vojne svrhe te fizičke osobe u isključivo osobnoj neprofesionalnoj djelatnosti, prema članku 2.
Tko je što, i što ga obvezuje
Prvo pitanje nije je li sustav visokorizičan, nego u kojoj ste Vi ulozi.
Uloga se može promijeniti. Subjekt koji uvodi sustav postaje dobavljač ako na visokorizični sustav stavi svoje ime, ako ga bitno izmijeni ili ako ga prenamijeni tako da postane visokorizičan, prema članku 25. Uz to, procjenu učinka na temeljna prava prije prvoga korištenja provode tijela javnog prava i privatni subjekti koji pružaju javne usluge, te subjekti koji uvode sustave za procjenu kreditne sposobnosti i za procjenu rizika i cijena u životnom i zdravstvenom osiguranju, prema članku 27. Obveza se ne odnosi na sustave za upravljanje kritičnom infrastrukturom iz točke 2. Priloga III.
Rokovi primjene
Akt je na snazi od 1. kolovoza 2024., ali se ne primjenjuje odjednom nego u koracima, a dio ih je pomaknut.
Izmjene poznate kao Digital Omnibus više nisu prijedlog. Donesene su kao Uredba (EU) 2026/1744, koja je objavljena u Službenom listu Europske unije i na snazi je od 27. srpnja 2026., pa su pomaknuti datumi obvezujući. Obveze transparentnosti iz članka 50. tim izmjenama nisu pomaknute i primjenjuju se od 2. kolovoza 2026.
Kazne
Tri praga, a unutar svakoga se primjenjuje veći od dva iznosa.
Za mala i srednja poduzeća te novoosnovana poduzeća primjenjuje se niži od dva iznosa, a Uredba (EU) 2026/1744 dio je tih olakšica proširila i na manja poduzeća srednje tržišne kapitalizacije. Kazne institucijama Europske unije izriče Europski nadzornik za zaštitu podataka, prema članku 100. Države članice same uređuju pravila o kaznama i smiju propisati kažnjavanje tijela javne vlasti, prema članku 99. stavku 8.; u Hrvatskoj to ovisi o provedbenom zakonu, koji još nije donesen.
Tko nadzire, i što je u Hrvatskoj još otvoreno
Dio nadzora je europski i već radi, a dio je nacionalan i još nije ustrojen.
Na europskoj razini nadzor nad dobavljačima općih modela umjetne inteligencije provodi Europska komisija preko Ureda za umjetnu inteligenciju. Uz njega djeluju Europsko vijeće za umjetnu inteligenciju, savjetodavni forum i znanstveno povjerenstvo neovisnih stručnjaka.
Nacionalna razina je drukčija. Svaka je država članica trebala odrediti tijelo za prijavljivanje i tijelo za nadzor tržišta. U Hrvatskoj to još nije učinjeno: provedbeni zakon, koji bi odredio nadležna tijela, regulatorno okruženje za testiranje i prekršajni okvir, prema javno dostupnim podacima još nije donesen. Zato na ovoj stranici ne imenujemo hrvatsko tijelo za nadzor tržišta, jer ga zakon nije odredio.
Ono što jest utvrđeno su tijela za zaštitu temeljnih prava, koja je Hrvatska priopćila Komisiji prema članku 77. stavku 2.: Agencija za zaštitu osobnih podataka, pučka pravobraniteljica, pravobraniteljica za djecu, pravobraniteljica za ravnopravnost spolova, pravobraniteljica za osobe s invaliditetom, Državno izborno povjerenstvo i Agencija za elektroničke medije. Ta tijela smiju zatražiti i dobiti dokumentaciju izrađenu po Aktu kad im je potrebna za obavljanje njihovih zadaća.
Akt uz to daje prava pojedincima. Prema članku 85. svatko tko smatra da je došlo do povrede može podnijeti pritužbu tijelu za nadzor tržišta. Prema članku 86. osoba na koju se odnosi odluka donesena na temelju izlaza visokorizičnog sustava iz Priloga III., a koja proizvodi pravne učinke ili na nju slično znatno utječe, ima pravo od subjekta koji sustav uvodi dobiti jasno i smisleno objašnjenje o ulozi sustava u odlučivanju. Ni to se pravo ne odnosi na sustave iz točke 2. Priloga III.
Česta pitanja
Pitanja o samom Aktu, na koja odgovor ne stoji već gore.
Primjenjuje li se Akt i na nas ako koristimo samo gotove alate?
Primjenjuje. Tko alat koristi u okviru svoje djelatnosti subjekt je koji uvodi sustav i nosi obveze iz članka 26. Uz to, članak 4. o pismenosti o umjetnoj inteligenciji vrijedi bez obzira na kategoriju rizika, u obliku koji je Uredba (EU) 2026/1744 pojednostavnila.Primjenjuje li se Akt i na tvrtke izvan Europske unije?
Primjenjuje se na dobavljače koji sustave stavljaju na tržište Unije bez obzira na sjedište, te na dobavljače i subjekte koji uvode sustav sa sjedištem u trećoj zemlji ako se izlaz sustava koristi u Uniji. Dobavljač visokorizičnog sustava sa sjedištem izvan Unije mora imenovati ovlaštenog zastupnika u Uniji, prema članku 22.; ista obveza vrijedi za dobavljače općih modela umjetne inteligencije, prema članku 54.Moramo li označiti sadržaj koji je stvorio stroj?
Morate, prema članku 50. Izlazi koji su umjetno stvoreni ili izmijenjeni označavaju se strojno čitljivom oznakom, a osobe koje komuniciraju sa sustavom moraju znati da razgovaraju sa strojem, osim ako je to očito. Za sadržaj koji je duboko lažiran obvezu otkrivanja ima subjekt koji sustav uvodi.Kad se prijavljuje ozbiljan incident?
Dobavljač visokorizičnog sustava prijavljuje ga tijelu za nadzor tržišta bez odgode, najkasnije u 15 dana od saznanja. Rok je 10 dana ako je nastupila smrt osobe, a 2 dana kod raširene povrede ili ozbiljnog i nepovratnog poremećaja kritične infrastrukture. Subjekt koji sustav uvodi o incidentu odmah obavještava dobavljača, prema članku 26.Zamjenjuje li Akt Opću uredbu o zaštiti podataka?
Ne zamjenjuje. Primjenjuju se usporedno. Ako sustav obrađuje osobne podatke, i dalje trebate pravnu osnovu, obavijest ispitaniku i, kad je potrebno, procjenu učinka na zaštitu podataka. Procjena učinka na temeljna prava iz članka 27. smije se osloniti na već provedenu procjenu učinka na zaštitu podataka i dopuniti je.Kako Vam možemo pomoći
Ova stranica govori o propisu. Ovo su četiri posla koja iz njega najčešće slijede.
Iz bloga: umjetna inteligencija
Tri najnovija teksta o prijetnjama i uređivanju umjetne inteligencije.
Provjerimo u kojoj ste ulozi i što od Akta zaista vrijedi za Vas.
Pola sata, bez obveze. Prođemo koje alate koristite, u kojoj ulozi i u kojoj kategoriji rizika.