EU AI Akt 2026: što tvrtke izvan EU trebaju znati

Uredba Europske unije o umjetnoj inteligenciji, poznata kao EU AI Akt, prva sveobuhvatna regulativa za AI na svijetu, službeno je stupila na snagu 1. kolovoza 2024. Mnoge tvrtke izvan Europe smatraju to „europskim problemom”, no stvarnost je bitno drukčija. Ako vaš AI sustav koriste ljudi u EU ili ako njegovi rezultati utječu na građane EU, EU AI Akt odnosi se i na vas, bez obzira na to gdje vaša tvrtka ima sjedište.

Ovaj članak objašnjava što EU AI Akt znači za tvrtke izvan EU, koji su ključni rokovi za usklađivanje, kako funkcionira sustav klasifikacije rizika i koje praktične korake trebate poduzeti već sada.

Što je EU AI Akt?

EU AI Akt je regulatorni okvir koji propisuje pravila za razvoj, uvođenje i korištenje sustava umjetne inteligencije u Europskoj uniji. Možete ga shvatiti kao AI ekvivalent GDPR-a: sveobuhvatnu regulativu s izvanteritorijalnim dosegom koja postavlja globalni standard.

Akt počiva na pristupu temeljenom na riziku: što je veći rizik koji AI sustav predstavlja za zdravlje, sigurnost ili temeljna prava, to su zahtjevi stroži. To znači da svi AI sustavi ne podliježu istoj razini regulacije, pa je filtar za neželjenu poštu pod znatno manjim nadzorom od sustava koji donosi odluke o zapošljavanju ili medicinske dijagnoze.

Ključni ciljevi

• Zaštita temeljnih prava: osigurati da AI sustavi ne diskriminiraju, ne manipuliraju i ne narušavaju ljudsko dostojanstvo.
• Poticanje pouzdanog AI-ja: uspostaviti zahtjeve za transparentnost, odgovornost i ljudski nadzor.
• Pravna sigurnost: jasna pravila za tvrtke koje razvijaju i uvode AI te manja regulatorna rascjepkanost među državama članicama EU.
• Poticanje inovacija: regulatorni sandboxi i razmjerni zahtjevi za sustave niskog rizika trebaju održati konkurentnost Europe u razvoju AI-ja.

Zašto je to važno tvrtkama izvan EU

EU AI Akt ima izvanteritorijalni doseg, što znači da se primjenjuje na:

• dobavljače (razvojne tvrtke) AI sustava koji se stavljaju na tržište ili u uporabu u EU, bez obzira na to gdje dobavljač ima poslovni nastan;
• korisnike AI sustava koji se nalaze u EU;
• dobavljače i korisnike izvan EU kada se rezultat koji AI sustav proizvodi koristi u EU.

U praksi to znači sljedeće:

• SaaS tvrtka iz SAD-a čije AI funkcije koriste europski klijenti mora biti usklađena.
• Japanski proizvođač koji primjenjuje AI kontrolu kvalitete na proizvodima koji se prodaju u Europi je obuhvaćen.
• Indijska IT tvrtka koja uvodi AI sustave za klijente iz EU mora ispuniti zahtjeve.
• Svaka tvrtka koja AI-jem obrađuje podatke o stanovnicima EU ili donosi odluke koje na njih utječu ulazi u područje primjene Akta.

Presedan GDPR-a je poučan: kad je 2018. stupio na snagu, mnoge tvrtke izvan EU isprva su ga odbacile. One koje se nisu pripremile suočile su se s visokim kaznama i poremećajima u poslovanju. EU AI Akt slijedi isti obrazac, a rana priprema je znatno jeftinija od reaktivnog usklađivanja.

Ključni rokovi: što se događa i kada

EU AI Akt ne primjenjuje se odmah u cijelosti. Provedba je postupna i tvrtkama daje vrijeme za pripremu:

2. veljače 2025. - Zabranjene AI prakse

Prve odredbe zabranjuju AI prakse koje se smatraju neprihvatljivim rizikom:

• Društveno bodovanje od strane vlasti (sustavi bodovanja građana po kineskom uzoru).
• Biometrijska identifikacija na daljinu u stvarnom vremenu na javnim mjestima za potrebe tijela za provedbu zakona (uz usko određene iznimke).
• Prepoznavanje emocija na radnom mjestu i u obrazovnim ustanovama.
• Manipulativni AI sustavi koji iskorištavaju ranjivosti (dob, invaliditet, socijalni položaj) kako bi štetno usmjeravali ponašanje.
• Neciljano prikupljanje slika lica s interneta ili s videonadzora radi izgradnje baza za prepoznavanje lica.
• Biometrijska kategorizacija koja zaključuje o osjetljivim obilježjima (rasa, politička uvjerenja, spolna orijentacija).

Što učiniti: provjerite svoje AI sustave odmah. Ako neki od njih spada u te kategorije, mora se ukinuti prije tog roka.

2. kolovoza 2025. - Pravila za AI opće namjene (GPAI)

Na snagu stupaju pravila za GPAI modele, primjerice large language modele:

• Obveze transparentnosti: dobavljači GPAI modela moraju voditi tehničku dokumentaciju, davati informacije dobavljačima nizvodno i poštovati autorsko pravo EU.
• Odredbe o sistemskom riziku: GPAI modeli sa „sistemskim rizikom” (trenirani s >10²⁵ FLOPs) imaju dodatne obveze, uključujući evaluacije modela, adversarijalno testiranje, prijavu incidenata i mjere kibernetičke sigurnosti.

Koga se tiče: tvrtki koje grade ili fino podešavaju foundation modele, large language modele ili multimodalne AI sustave namijenjene tržištu EU.

2. kolovoza 2026. - Obveze transparentnosti

Obveze transparentnosti iz članka 50. stupile su na snagu prema planu: ljudima se mora reći kada komuniciraju s AI sustavom, a sadržaj koji je AI generirao ili izmijenio, bilo zvuk, slika, video ili tekst, mora biti označen. Sustavi koji su već bili na tržištu imali su rok do 2. prosinca 2026. za vodene žigove.

2. prosinca 2027. - AI sustavi visokog rizika

Najvažniji rok, pomaknut s kolovoza 2026. Digital Omnibusom o AI-ju. Na snagu stupaju svi zahtjevi za samostalne AI sustave visokog rizika iz Priloga III.:

• Sustavi upravljanja rizikom: kontinuirano prepoznavanje, analiza i ublažavanje rizika.
• Upravljanje podacima: podaci za treniranje moraju biti relevantni, reprezentativni i bez pogrešaka. Nužna je provjera i ublažavanje pristranosti.
• Tehnička dokumentacija: detaljni zapisi o dizajnu, razvoju i sposobnostima sustava.
• Vođenje evidencije: automatsko bilježenje rada sustava radi sljedivosti.
• Transparentnost: jasne informacije korisnicima o sposobnostima i ograničenjima sustava.
• Ljudski nadzor: sustavi moraju biti oblikovani tako da je djelotvoran ljudski nadzor moguć.
• Točnost, otpornost, kibernetička sigurnost: sustavi moraju postići primjerenu razinu točnosti i biti otporni na pogreške i napade.
• Ocjenjivanje sukladnosti: mnogi sustavi visokog rizika prije stavljanja na tržište traže ocjenu treće strane.

2. kolovoza 2028. - AI u reguliranim proizvodima

Stupaju na snagu obveze za AI sustave visokog rizika koji jesu proizvodi ili su sigurnosne komponente proizvoda obuhvaćenih postojećim propisima EU o sigurnosti proizvoda (medicinski proizvodi, strojevi, igračke, zrakoplovstvo, automobilska industrija i drugo). Digital Omnibus suzio je i pojam sigurnosne komponente, pa AI koji se koristi isključivo u nesigurnosne svrhe više ne postaje visokorizičan samo zato što se nalazi u reguliranom proizvodu, a AI u strojevima sada se uglavnom rješava kroz Uredbu o strojevima.

Sustav klasifikacije rizika

EU AI Akt razvrstava AI sustave u četiri kategorije rizika. Razumjeti gdje vaši sustavi pripadaju prvi je korak prema usklađenosti, a naš vodič za klasifikaciju korak po korak razrađuje teže procjene.

Neprihvatljiv rizik (zabranjeno)

AI prakse koje predstavljaju očitu prijetnju sigurnosti, izvorima prihoda ili pravima. One su u potpunosti zabranjene (vidi rok iz veljače 2025. gore).

Visoki rizik

AI sustavi koji bitno utječu na zdravlje, sigurnost ili temeljna prava. Za njih vrijede najstroži zahtjevi. Primjeri:

• Biometrijska identifikacija (sustavi za biometrijsku identifikaciju na daljinu).
• Kritična infrastruktura: AI u upravljanju energijom, vodom, plinom, grijanjem i digitalnom infrastrukturom.
• Obrazovanje: AI sustavi koji odlučuju o pristupu obrazovanju ili ocjenjuju učenike.
• Zapošljavanje: AI za regrutiranje, predodabir, odluke o zapošljavanju, napredovanju ili otkazu.
• Ključne usluge: AI koji procjenjuje kreditnu sposobnost, cijene osiguranja ili pravo na socijalna davanja.
• Provedba zakona: AI za procjenu rizika, alternative poligrafu, ocjenu dokaza.
• Migracije i nadzor granica: AI za obradu viza, zahtjeve za azil, nadzor granica.
• Pravosuđe i demokracija: AI koji pomaže u sudskim odlukama ili utječe na izborne rezultate.

Ograničen rizik

AI sustavi s obvezama transparentnosti. Korisnici moraju biti obaviješteni da komuniciraju s AI-jem. To uključuje:

• Chatbotove: moraju otkriti da ih pokreće AI.
• Deepfakeove: sadržaj koji je AI generirao ili izmijenio mora biti označen.
• Prepoznavanje emocija: sustavi moraju obavijestiti korisnike kada se prepoznavanje emocija primjenjuje, ondje gdje nije zabranjeno.

Minimalan rizik

Ovdje pripada većina AI sustava, primjerice filtri za neželjenu poštu, videoigre s AI elementima i sustavi za upravljanje zalihama. Nema posebnih obveza izvan postojećih propisa, no dobrovoljni kodeksi ponašanja se potiču.

Kazne za neusklađenost

EU AI Akt predviđa visoke kazne, po uzoru na model GDPR-a:

• Zabranjene AI prakse: do 35 milijuna eura ili 7% globalnog godišnjeg prometa, ovisno o tome što je više.
• Obveze za AI visokog rizika: do 15 milijuna eura ili 3% globalnog godišnjeg prometa.
• Davanje netočnih informacija tijelima: do 7,5 milijuna eura ili 1,5% globalnog godišnjeg prometa.

Za usporedbu, 7% globalnog prometa tvrtke s milijardu dolara prihoda značilo bi kaznu od 70 milijuna dolara. To nisu simbolične kazne.

Što tvrtke izvan EU trebaju učiniti sada

Usklađenost se ne postiže preko noći. Evo praktičnog plana:

1. Napravite inventar AI sustava (sada)

Popišite sve AI sustave koje vaša organizacija razvija, uvodi ili koristi. Za svaki sustav dokumentirajte:

• Što radi i kako funkcionira.
• Koje podatke koristi i odakle ti podaci dolaze.
• Na koga utječe (utječe li na građane ili stanovnike EU?).
• Koje odluke donosi ili na koje odluke utječe.

2. Odredite razinu rizika

Svaki AI sustav pridružite kategorijama rizika iz EU AI Akta. Krenite od sustava koji bi mogli biti visokog rizika jer oni imaju najzahtjevnije obveze i rok u prosincu 2027.

3. Imenujte ovlaštenog predstavnika u EU

Dobavljači AI sustava visokog rizika izvan EU moraju imenovati ovlaštenog predstavnika s poslovnim nastanom u EU. On je kontaktna točka za usklađenost prema tijelima EU.

4. Uspostavite okvire usklađenosti

Za sustave visokog rizika počnite graditi potrebnu infrastrukturu usklađenosti, koju pet koraka do usklađenosti za visoki rizik redom razlaže:

• Procesi upravljanja rizikom.
• Postupci za upravljanje podacima i kvalitetu podataka.
• Predlošci tehničke dokumentacije.
• Sustavi praćenja i bilježenja.
• Mehanizmi ljudskog nadzora.

5. Educirajte timove (kontinuirano)

EU AI Akt izrijekom traži AI pismenost. Organizacije moraju osigurati da njihovi zaposlenici dovoljno razumiju AI sustave kako bi ih odgovorno uvodili i nadzirali. To vrijedi i za tehničko i za netehničko osoblje uključeno u odluke povezane s AI-jem.

6. Uključite pravnu i compliance ekspertizu

EU AI Akt isprepleten je s GDPR-om, direktivama o sigurnosti proizvoda i propisima pojedinih sektora. Već samo preklapanje s GDPR-om otvara stvarne napetosti, o čemu piše GDPR i EU AI Akt, a o čuvanju dokumentacije posebno čuvanje dokumentacije za AI sustave. Snalaženje u tom okruženju traži specijaliziranu ekspertizu, internu ili preko kvalificiranih savjetnika.

Kako Sitnik AI može pomoći

U Sitnik AI-ju gradimo AI sustave s usklađenošću na umu od prvog dana. Sa sjedištem u Münchenu u Njemačkoj, regulatorno okruženje EU poznajemo iz prve ruke. Naš pristup uključuje:

• Procjene spremnosti za EU AI Akt: pomažemo vam klasificirati AI sustave, uočiti praznine u usklađenosti i izraditi praktičan plan.
• Razvoj po načelu compliance by design: novi AI sustavi u kojima su dokumentacija, transparentnost i nadzor ugrađeni od početka, a ne naknadno dodani.
• Okviri za upravljanje rizikom: kontinuirani procesi prepoznavanja i ublažavanja rizika usklađeni sa zahtjevima Akta.
• Tehnička dokumentacija: cjeloviti paketi dokumentacije koji zadovoljavaju regulatorne zahtjeve, a ostaju korisni inženjerskim timovima.

EU AI Akt znači bitnu promjenu u tome kako se AI regulira na globalnoj razini. Tvrtke koje se pripreme sada neće samo izbjeći kazne, nego će izgraditi pouzdanije i otpornije AI sustave koji ulijevaju povjerenje klijentima, partnerima i regulatorima.

Ne dopustite da odgoda postane mirovanje. Tvrtke koje krenu danas imat će prednost pred onima koje se usklađuju u posljednji čas. Javite nam se kako bismo porazgovarali o vašoj strategiji za EU AI Act Compliance.

Česta pitanja

Primjenjuje li se EU AI Akt ako nemamo subjekt ni ured u EU?

Može se primjenjivati. Opseg prati mjesto stavljanja sustava na tržište ili mjesto gdje se njegovi izlazi koriste, a ne mjesto registracije tvrtke. Dobavljač iz SAD-a ili Azije čije AI izlaze koriste ljudi u EU ulazi u opseg i bez prisutnosti u Europi.

Što je ovlašteni predstavnik u EU i trebamo li ga?

Osoba ili subjekt s poslovnim nastanom u EU koji je kontakt za usklađenost prema tijelima. Dobavljači sustava visokog rizika izvan EU moraju ga imenovati. To treba urediti rano jer traje i ne može se improvizirati kada se tijelo javi.

Kako se AI Akt u praksi odnosi prema GDPR-u?

Slična struktura, drugi predmet. GDPR uređuje osobne podatke, AI Akt sustav i njegov rizik, a oboje se može primjenjivati istodobno. Timovi koji su već proveli GDPR program prepoznat će mehaniku: evidencije, procjene, odgovornost i kazne vezane uz globalni promet.

Ako koristimo samo tuđe AI alate, jesmo li i dalje u opsegu?

Obično kao korisnik, a ne dobavljač, što je lakši ali stvaran skup obveza oko namjene, ljudskog nadzora, zapisa i obavještavanja pogođenih. Imajte na umu da dotreniravanje dobavljačevog modela na vlastitim podacima ili njegovo rebrendiranje može donijeti obveze dobavljača.