Kako odabrati konzultanta za usklađenost s EU AI Actom

Većina organizacija koje traže pomoć oko EU AI Acta već zna da bi se Uredba mogla odnositi na njih. Ono što ne znaju jest kakva im pomoć zapravo treba: odvjetnik koji će tumačiti tekst, inženjering koji će dokaze uopće stvoriti, softverski alat koji će ih pratiti ili tim koji može raditi više toga odjednom. Angažirati pogrešnu vrstu podrške najskuplja je pogreška u cijelom programu, jer proizvodi mjesece aktivnosti i nijedan upotrebljiv dokaz.

Ovaj je vodič namijenjen CTO-ovima, voditeljima AI-a, odgovornima za usklađenost i rukovoditeljima koji se spremaju kupiti takvu podršku. Nakon čitanja trebali biste moći odlučiti trebate li uopće vanjsku pomoć, napisati opseg posla koji pružatelj može procijeniti, usporediti konzultanta s odvjetničkim društvom, alatom ili vlastitim timom te prepoznati slabu ponudu prije potpisa. Ovo su opće informacije, a ne pravni savjet: službene ocjene za konkretan sustav pripadaju vašem pravnom savjetniku.

Što radi konzultant za usklađenost s EU AI Actom?

Konzultant za usklađenost s EU AI Actom pretvara obveze iz Uredbe (EU) 2024/1689 u sliku vašeg vlastitog položaja i plan za zatvaranje nedostataka. U praksi posao obuhvaća sedam aktivnosti:

• Primjenjivost i uloga: obuhvaća li Akt svaki sustav te djelujete li prema članku 3. kao dobavljač, subjekt koji uvodi sustav, uvoznik ili distributer.
• Inventar: izrada ili provjera popisa AI sustava u opsegu, uključujući one ugrađene u softver dobavljača.
• Klasifikacija rizika: razvrstavanje svakog sustava prema članku 5., članku 6. s prilozima I. i III. te članku 50., uz zabilježeno obrazloženje.
• Nedostaci u dokazima i kontrolama: usporedba onoga što primjenjivi članci zahtijevaju s onim što zaista možete predočiti.
• Tehnički pregled: upravljanje podacima, logging, monitoring i ljudski nadzor onako kako postoje u sustavu koji radi.
• Odgovornosti: povezivanje svake obveze s imenovanom osobom i konkretnim zadatkom provedbe.
• Plan: prioritizirani plan otklanjanja nedostataka, poredan prema roku i vremenu potrebnom za provedbu.

Savjetovanje o EU AI Actu nalazi se između dviju drugih disciplina. Pravno tumačenje odlučuje što sporna odredba znači za vas. Inženjerska provedba gradi logging, validaciju i dokumentaciju koje zakon traži. Neki angažmani trebaju samo jedno od toga; sustav visokog rizika obično treba oboje.

Kada bi tvrtka trebala angažirati vanjsku podršku za EU AI Act?

Tvrtka bi trebala angažirati vanjsku podršku za EU AI Act kada interni tim ne može pouzdano odgovoriti na pitanja o ulozi, klasifikaciji i dokazima prije stvarnog roka ili provjere. Uobičajeni povodi su:

• nesigurnost jeste li za određeni sustav dobavljač, subjekt koji uvodi sustav, uvoznik ili distributer, osobito nakon fine-tuninga, promjene naziva ili promjene namjene kupljenog alata (okidači iz članka 25.);
• jedan ili više sustava koji jesu ili bi mogli biti visokorizični prema prilogu I. ili prilogu III.;
• tehnička dokumentacija koja je nepotpuna ili nikada nije izrađena prema standardu iz priloga IV.;
• dokazi razasuti po pravnom, produktnom, podatkovnom i inženjerskom timu, a nitko nema cjelovitu sliku;
• predstojeći sigurnosni upitnik kupca, dubinska analiza investitora, javna nabava ili pregled uprave koji će tražiti dokaze;
• tvrtka izvan EU-a koja ulazi na tržište EU-a i kojoj bi prema članku 22. mogao trebati ovlašteni predstavnik;
• nitko u organizaciji tko ima iskustvo i u AI inženjeringu i u upravljanju.

Vanjska podrška često nije potrebna za uzak, jasno minimalno rizičan slučaj uporabe, poput internog filtra neželjene pošte ili asistenta za pisanje koda, kada tvrtka već ima sposobne nositelje u pravnom i inženjerskom dijelu. Tada su obično dovoljni dokumentirana klasifikacija i interni popis provjera, poput našeg popisa dokaza za analizu nedostataka.

Što bi trebala obuhvatiti procjena nedostataka prema EU AI Actu?

Procjena nedostataka prema EU AI Actu trebala bi obuhvatiti deset područja, a ponuda koja neko od njih izostavlja trebala bi objasniti zašto. Točne obveze iza svakog područja ovise o vašoj ulozi i klasifikaciji svakog sustava, pa će subjekt koji uvodi alat minimalnog rizika većinu područja vidjeti označenu kao neprimjenjivu.

1. Opseg i inventar sustava: koji su sustavi, pravni subjekti i tržišta obuhvaćeni.
2. Uloga i primjenjivost: dobavljač, subjekt koji uvodi sustav, uvoznik ili distributer, za svaki sustav, s obrazloženjem.
3. Klasifikacija rizika: razina, upućivanje na prilog i eventualna procjena prema članku 6. stavku 3.
4. Upravljanje podacima: pitanja iz članka 10. o podrijetlu, pripremi, reprezentativnosti i pristranosti podataka.
5. Tehnička dokumentacija: dokumentacija prema članku 11. i prilogu IV. ili razlika između postojećeg i potrebnog.
6. Logging i vođenje evidencije: automatski zapisi događaja prema članku 12. i njihovo čuvanje, za subjekte koji uvode sustav najmanje šest mjeseci prema članku 26. stavku 6.
7. Ljudski nadzor: mjere iz članka 14. ugrađene u dizajn i kompetentna osoba imenovana da ih primjenjuje.
8. Točnost, otpornost i kibernetička sigurnost: dokazi prema članku 15., uključujući deklarirane metrike točnosti i uvjete testiranja.
9. Praćenje nakon stavljanja na tržište i incidenti: plan praćenja prema članku 72. i postupak za ozbiljne incidente prema članku 73.
10. Prioriteti i nositelji: što zatvara svaki nedostatak, tko to radi i do kada.

Metoda korak po korak za svako područje nalazi se u našem popisu za analizu nedostataka. Za kupca je pitanje uže: seže li opseg pružatelja do sustava koji radi ili staje kod vaših politika?

Koje rezultate treba isporučiti konzultant za EU AI Act?

Konzultant za EU AI Act treba predati konkretne radne dokumente, a ne „strateške savjete“. Vjerodostojan skup rezultata uključuje:

• Matricu primjenjivosti i uloga: svaki sustav naspram svake uloge, s pravnom osnovom zaključka.
• Inventar AI sustava ili pregled vašeg inventara s dodanim sustavima koji nedostaju.
• Matricu obveza i dokaza: svaki primjenjivi članak povezan s dokumentom, logom ili testom koji ga dokazuje, uz status.
• Registar rizika i nedostataka: svaki nedostatak s ozbiljnošću, obvezom koju krši i datumom od kojeg se ta obveza primjenjuje.
• Prioritizirani plan otklanjanja: mjere poredane prema roku, ozbiljnosti i vremenu provedbe.
• Popis za tehničku dokumentaciju prema prilogu IV. za svaki sustav kod kojeg ste dobavljač sustava visokog rizika.
• Raspodjelu odgovornosti i RACI matricu za pravni, inženjerski, produktni i sigurnosni tim te poslovni dio.
• Backlog provedbe: plan razložen na zadatke koje vaš inženjerski tim može procijeniti.
• Sažetak za upravu s izloženošću, potrebnim odlukama i pretpostavkama.

Svaka stavka u registru i backlogu treba sadržavati upućivanje na dokaz, nositelja, rok i ovisnosti. Koristan test: ako bi konzultant sutra otišao, bi li vaš tim u ponedjeljak mogao početi zatvarati nedostatke bez da ga zove?

Kako se konzultant za EU AI Act uspoređuje s odvjetničkim društvom, softverskim alatom ili internim timom?

Konzultant za EU AI Act, odvjetničko društvo, softverski alat za usklađenost i interni tim pokrivaju različite dijelove posla, a zreli programi obično kombiniraju dva ili tri od njih. Tablica ih uspoređuje prema šest sposobnosti koje program treba. Opisuje tipične snage, a ne nekog konkretnog pružatelja.

Sposobnost	Tehnički konzultant	Odvjetničko društvo	Softverski alat	Interni tim
Pravno tumačenje	Ograničeno; treba pitanja proslijediti pravnom savjetniku	Snažno; može izdati službeno mišljenje	Nema; ugrađuje nečije tumačenje	Ovisi o internom pravnom timu
Tehnički pregled sustava	Snažan ako u timu ima inženjera	Obično ograničen	Na temelju upitnika	Snažan za poznate sustave
Inženjerska provedba	Moguća ako se nudi	Rijetko	Nema	Snažna ako ima kapaciteta
Upravljanje dokazima	Osmišljava model dokaza	Pregledava dokaze	Snažan za pohranu i praćenje	Dugoročno ga posjeduje
Organizacijska promjena	Umjereno; vodi radionice	Ograničeno	Samo tijek rada	Snažno, ali sporo
Kontinuirano praćenje u većem opsegu	Povremeni pregledi	Na zahtjev	Snažno	Snažno nakon uspostave

Česta je kombinacija tehnički konzultant za procjenu nedostataka i osmišljavanje dokaza, pravni savjetnik za sporne klasifikacije i ugovore te alat kada inventar preraste proračunsku tablicu.

Koliko traje procjena nedostataka prema EU AI Actu?

Procjena nedostataka prema EU AI Actu obično prolazi kroz šest faza, a njezino trajanje više ovisi o vašoj dokumentaciji i dostupnosti nego o pružatelju. Ilustrativni slijed:

1. Određivanje opsega i zahtjev za dokumentima: dogovor o sustavima i subjektima te zahtjev za postojećim politikama, dijagramima arhitekture, model cardovima, ugovorima s dobavljačima i logovima.
2. Razgovori i pregled sustava: razgovor s vlasnicima sustava i pregled stvarnih pipelinea, logova i monitoringa.
3. Analiza nedostataka: povezivanje dokaza s obvezama i ocjena svake od njih.
4. Radionica s nalazima: provjera zaključaka s ljudima koji su odgovorni za sustave.
5. Plan otklanjanja: redoslijed popravaka i dodjela nositelja.
6. Neobvezna podrška u provedbi: pomoć u izgradnji onoga što nedostaje.

Varijable koje mijenjaju trajanje su broj sustava, koliko ih je visokog rizika, koliko je dokumentacija već zrela, broj pravnih subjekata i tržišta, koliko su brzo dionici dostupni i je li provedba uključena. Naša procjena spremnosti predviđena je za jedan do dva tjedna za definirani skup sustava; grupi s desecima sustava u više zemalja trebat će dulje kod bilo kojeg pružatelja. Svaka ponuda koja navodi trajanje treba reći na kojim se od ovih pretpostavki temelji.

Koliko košta savjetovanje o EU AI Actu?

Trošak savjetovanja o EU AI Actu određuje opseg, a ne sama Uredba, zbog čega objavljene „prosječne cijene“ malo pomažu. Glavni pokretači troška su:

• Model angažmana: dijagnostika unaprijed određenog opsega s definiranim rezultatima ili otvoreno savjetovanje prema utrošenom vremenu.
• Broj i složenost AI sustava, uključujući one u proizvodima dobavljača.
• Složenost uloge: subjekt koji uvodi kupljene alate jednostavniji je slučaj od dobavljača koji uz to mijenja tuđe modele i aktivira članak 25.
• Obveze za visoki rizik: dobavljač sustava visokog rizika podliježe člancima 9. do 17. u cijelosti, uključujući sustav upravljanja kvalitetom prema članku 17.
• Kvaliteta dokaza: logovi koji nedostaju i nedokumentirani podaci za treniranje traže više vremena od urednog model registryja.
• Podrška u provedbi i dokumentaciji, ako želite pomoć pri pisanju dokumentacije prema prilogu IV. ili izgradnji logginga.
• Kontinuirano upravljanje: povremeni pregledi, monitoring i podrška kod incidenata nakon prve procjene.

Da biste pošteno usporedili ponude, pošaljite svakom pružatelju isti kratki opis: popis sustava, vašu pretpostavljenu ulogu za svaki, obuhvaćene pravne subjekte i tržišta, postojeću dokumentaciju i rezultate koje očekujete. Zatražite od svakoga da dijagnostiku unaprijed određenog opsega ponudi odvojeno od bilo kakvog posla provedbe. Ponude koje se ne odnose na isti opseg nisu jeftinije ili skuplje; one odgovaraju na različita pitanja.

Kako procijeniti konzultanta za usklađenost s EU AI Actom?

Procjena konzultanta za usklađenost s EU AI Actom svodi se na to može li raditi na vašim stvarnim sustavima, a ne samo na vašim politikama. Provjerite osam stvari:

• Razlikuje uloge dobavljača, subjekta koji uvodi sustav, uvoznika i distributera te razine rizika za svaki sustav, a ne za tvrtku u cjelini.
• Pregledat će tehnički sustav: pipelineove, logove, nadzorne ploče i model registryje.
• Netko u timu razumije machine learning, data engineering i MLOps dovoljno dobro da ocijeni dokaze iz članaka 10., 12. i 15.
• Rezultati su konkretni dokumenti s upućivanjem na dokaze, nositeljima i rokovima.
• Otvoreno navodi pretpostavke i kaže gdje je potrebna neovisna pravna provjera.
• Ima iskustva u vašem sektoru, primjerice medicinskim proizvodima, zapošljavanju ili financijskim uslugama.
• Može raditi s pravnim, inženjerskim, produktnim i sigurnosnim timom te upravom za istim stolom.
• Ponuda ima jasan opseg, isključenja i definiciju završetka posla.

Ilustrativni primjer, dobavljač: HR-tech tvrtka prodaje model za probir životopisa poslodavcima u EU-u. Uporabe u području zapošljavanja navedene su u prilogu III., pa je tvrtka vjerojatno dobavljač sustava visokog rizika. Koristan konzultant tražit će podrijetlo podataka za treniranje, testove pristranosti i shemu logova, a ne samo politiku privatnosti.

Ilustrativni primjer, subjekt koji uvodi sustav: zajmodavac koristi model kreditnog bodovanja dobavljača. Procjena kreditne sposobnosti također je u prilogu III., a zajmodavac je subjekt koji uvodi sustav s obvezama iz članka 26. i, prema članku 27., procjenom učinka na temeljna prava. Koristan konzultant provjerit će daje li ugovor s dobavljačem zajmodavcu pristup logovima tijekom šest mjeseci i obavijest o promjenama modela. Naš vodič o obvezama dobavljača i subjekata koji uvode sustav pokriva cijelu podjelu.

Koji su znakovi upozorenja pri odabiru konzultanta za EU AI Act?

Znakovi upozorenja u ponudama za savjetovanje o EU AI Actu uglavnom su obećanja koja Uredba nikome ne dopušta. Budite oprezni kod:

• „Certifikacije prema EU AI Actu“ ponuđene bez objašnjenja postupka ocjenjivanja sukladnosti. Akt ne poznaje opći certifikat. Sustavi visokog rizika prolaze ocjenjivanje sukladnosti prema članku 43., koje je za većinu sustava iz priloga III. unutarnja kontrola koju provodi dobavljač; prijavljeno tijelo uključuje se samo u određenim slučajevima. Certifikacija prema normi ISO/IEC 42001 odnosi se na sustav upravljanja i nije isto.
• Jednog generičkog popisa provjera koji se primjenjuje na svaku organizaciju bez obzira na ulogu i klasifikaciju.
• Nerazlikovanja obveza dobavljača i subjekata koji uvode sustav.
• Nedostatka tehničke AI stručnosti u timu koji će pregledavati vaše sustave.
• Savjeta bez modela dokaza ili plana provedbe iza njih.
• Nejasnih rezultata, opisanih kao „uvidi“ ili „preporuke“ umjesto kao imenovani dokumenti.
• Tvrdnji o rokovima koje plaše. Aktualni datumi za visoki rizik, izmijenjeni Uredbom (EU) 2026/1744, jesu 2. prosinca 2027. za sustave iz priloga III. i 2. kolovoza 2028. za AI u proizvodima iz priloga I.; treba ih provjeriti u službenom tekstu, a ne u prodajnoj prezentaciji.
• Jamstava da je sustav potpuno usklađen. Nitko ne može jamčiti ishod provjere tijela za nadzor tržišta.

Ondje gdje se tumačenje još razvija, primjerice oko usklađenih normi ili smjernica Komisije, dobar pružatelj kaže koji se zaključci oslanjaju na utvrđeni tekst, a koji su stvar procjene.

Koja pitanja postaviti konzultantu za EU AI Act prije potpisa?

Postavite konzultantu za EU AI Act ovih deset pitanja prije potpisa i tražite odgovore u ponudi, a ne samo u razgovoru:

1. Koji su sustavi i pravni subjekti obuhvaćeni?
2. Kako ćete odrediti našu ulogu i klasifikaciju rizika svakog sustava?
3. Koje ćete dokumente, kontrole i tehničke artefakte pregledati?
4. Koje ćemo točno rezultate dobiti i u kojem obliku?
5. Tko mora sudjelovati s naše strane i koliko sati?
6. Što je isključeno?
7. Kako nalazi postaju backlog provedbe koji naši inženjeri mogu procijeniti?
8. Gdje je potrebna neovisna pravna provjera i tko je osigurava?
9. Kako će se postupati s osjetljivim informacijama o modelima, podacima i poslovanju, kako će se pohranjivati i brisati?
10. Što slijedi nakon procjene: podrška u provedbi, povremeni pregledi ili primopredaja?

Evidencija je važna i nakon same procjene: dobavljači čuvaju tehničku dokumentaciju deset godina prema članku 18., a subjekti koji uvode sustav čuvaju logove najmanje šest mjeseci. Naš vodič o čuvanju dokumentacije prema GDPR-u i EU AI Actu objašnjava kako te rokove uskladiti s načelom smanjenja količine podataka.

Koji je pravi prvi korak s konzultantom za EU AI Act?

Pravi prvi korak s konzultantom za EU AI Act jest procjena nedostataka unaprijed određenog opsega, a ne otvoreni ugovor bez kraja. Ograničena dijagnostika povezuje obveze koje vrijede za svaki sustav s vašim postojećim dokazima, kontrolama koje nedostaju, odgovornim osobama i prioritiziranim planom otklanjanja. Daje vam definiran skup dokumenata, osnovu za usporedbu pružatelja na istom opsegu i jasan trenutak za odluku o nastavku: zatvoriti nedostatke interno, uključiti pravnog savjetnika za određena pitanja ili nastaviti s podrškom u provedbi.

Sitnik AI je konzultantska tvrtka za AI inženjering, a ne odvjetničko društvo, prijavljeno tijelo ili regulator. Naša usluga usklađivanja s EU AI Actom povezuje regulatorne zahtjeve sa stvarnim sustavom (podacima, modelima, logovima, monitoringom, dokumentacijom i arhitekturom implementacije) i pretvara nalaze u provedivi tehnički plan. Kada je pitanje pravno, a ne tehničko, ono ide vašem pravnom savjetniku. Ne certificiramo sustave i ne jamčimo usklađenost.

Gdje možete sami provjeriti izvore o EU AI Actu?

Primarni izvori o EU AI Actu dovoljno su kratki da se svaka tvrdnja konzultanta može provjeriti u njima. Počnite s ovim službenim tekstovima:

• Uredba (EU) 2024/1689 (AI Act), cjeloviti tekst na EUR-Lexu: članak 3. za definicije, članci 9. do 27. za obveze kod visokog rizika, članak 43. za ocjenjivanje sukladnosti.
• Uredba (EU) 2026/1744 (Digital Omnibus o AI-u) na EUR-Lexu, kojom su određeni aktualni datumi primjene za visoki rizik.
• Europska komisija: regulatorni okvir za AI, uključujući smjernice i novosti o provedbi.

Ovaj članak donosi opće informacije o EU AI Actu prema stanju u listopadu 2026. i nije pravni savjet. Klasifikacije i obveze ovise o činjenicama svakog sustava; ocjene za svoju organizaciju potvrdite s kvalificiranim pravnim savjetnikom.

Česta pitanja

Trebamo li odvjetnika ili konzultanta za EU AI Act?

Mnoge organizacije trebaju oboje, za različite dijelove posla. Odvjetnik tumači sporne odredbe, sastavlja ugovore i zastupa vas pred regulatorima. Tehnički konzultant za EU AI Act pregledava sustav koji radi, osmišljava dokaze i izrađuje plan otklanjanja nedostataka. Ako je vaša glavna nedoumica pravno značenje, počnite s odvjetnikom; ako nedostaju dokazi i kontrole, počnite s tehničkom procjenom nedostataka.

Može li softverski alat zamijeniti konzultanta za EU AI Act?

Softverski alat za usklađenost može voditi inventar, pohranjivati dokaze i upravljati tijekovima rada, ali ne može odrediti vašu ulogu, klasificirati granični sustav ni provjeriti mogu li vaši logovi zaista rekonstruirati odluku. Alati su najkorisniji nakon što procjena nedostataka utvrdi što treba pratiti. Mnogi programi koriste konzultanta za prvu procjenu, a alat za kontinuirano praćenje.

Postoji li službena certifikacija prema EU AI Actu?

Ne. EU AI Act ne poznaje opći certifikat. Sustavi visokog rizika prolaze ocjenjivanje sukladnosti prema članku 43., koje je za većinu sustava iz priloga III. unutarnja kontrola koju provodi dobavljač; prijavljeno tijelo uključuje se samo u određenim slučajevima. Dobavljač zatim izdaje EU izjavu o sukladnosti i stavlja oznaku CE. Prema svakoj ponudi „certifikacije prema AI Actu“ budite oprezni.

Što pripremiti prije kontakta s konzultantom za EU AI Act?

Pripremite popis AI sustava koje razvijate ili koristite, svoju najbolju procjenu uloge za svaki od njih, uključene pravne subjekte i tržišta te postojeću dokumentaciju poput dijagrama arhitekture, model cardova, ugovora s dobavljačima i primjera logova. Čak i nepotpun popis omogućuje pružatelju da točno procijeni dijagnostiku unaprijed određenog opsega i čini ponude različitih pružatelja usporedivima.

Treba li subjektu koji uvodi kupljene AI alate procjena nedostataka?

Subjektu koji uvodi kupljene AI alate možda treba samo sažeta procjena. Ako nijedan alat nije visokog rizika, posao je uglavnom inventar, klasifikacija i eventualne obveze transparentnosti iz članka 50. Ako alat potpada pod prilog III., primjerice u zapošljavanju ili kreditnom bodovanju, subjekt ima obveze iz članka 26. o nadzoru, praćenju i čuvanju logova te mu može trebati procjena učinka na temeljna prava prema članku 27.