Ukratko

Najvažnije iz članka

  • Europska unija donosi "AI Act", prvi sveobuhvatni zakonski okvir za umjetnu inteligenciju u svijetu, s ciljem osiguravanja sigurnosti, transparentnosti i poštivanja temeljnih prava.
  • Regulativa se temelji na pristupu klasifikacije rizika (minimalni, transparentni, visoki, neprihvatljivi), pri čemu sustavi visokog rizika (npr. u zdravstvu, zapošljavanju) podliježu strogim obvezama transparentnosti, upravljanja podacima, ljudskog nadzora i kibernetičke sigurnosti.
  • AI Act nadopunjuje GDPR, pojačavajući zahtjeve za zaštitu privatnosti osobnih podataka; tvrtke će morati provoditi opsežnije DPIA, osigurati kvalitetu podataka za obuku AI modela te poštivati prava ispitanika poput prava na informaciju i ljudski nadzor nad automatiziranim odlukama.
  • Do 2026. tvrtke u EU, uključujući Hrvatsku, moraju implementirati sustave upravljanja rizikom, poboljšati upravljanje podacima, osigurati detaljnu dokumentaciju i transparentnost AI sustava te uspostaviti ljudski nadzor nad visokorizičnim AI-om kako bi izbjegle značajne kazne i iskoristile konkurentsku prednost.
Sadržaj članka
  1. Kontekst i ciljevi AI Acta
  2. Klasifikacija rizika i privatnost
  3. Preklapanje s GDPR-om: Nova razina usklađenosti
  4. Načela obrade podataka
  5. Procjene učinka na zaštitu podataka (DPIA) i AI Act
  6. Prava ispitanika
  7. Implikacije za tvrtke u Hrvatskoj i EU do 2026.
  8. 1. Sveobuhvatna procjena rizika i klasifikacija AI sustava
  9. 2. Implementacija sustava upravljanja kvalitetom i rizikom
  10. 3. Pojačani zahtjevi za upravljanje podacima
  11. 4. Transparentnost i dokumentacija
  12. 5. Ljudski nadzor i Etički Odbori
  13. 6. Uska suradnja između timova
  14. 7. Obuka i podizanje svijesti
  15. Izazovi i prilike
  16. Zaključak

Europska unija ponovno se pozicionira kao globalni lider u regulaciji novih tehnologija, ovoga puta s ambicioznim nastojanjem da se uhvati u koštac s izazovima i prilikama koje donosi umjetna inteligencija (AI). S donošenjem "AI Acta", prvog sveobuhvatnog zakonskog okvira za AI na svijetu, EU ne samo da postavlja standarde za razvoj i implementaciju AI sustava, već i duboko utječe na zaštitu privatnosti osobnih podataka. Ovaj članak detaljno analizira ključne odredbe AI Acta, s posebnim naglaskom na njegov utjecaj na privatnost osobnih podataka u 2026. godini i dalje, te predstavlja implikacije za tvrtke koje posluju unutar Europske unije, uključujući i Hrvatsku.

Kontekst i ciljevi AI Acta

AI Act, čiji se puni utjecaj očekuje tijekom 2025. i 2026. godine, proizlazi iz potrebe za uspostavom povjerenja u umjetnu inteligenciju. Cilj je osigurati da AI sustavi razvijeni i korišteni unutar EU budu sigurni, transparentni, nediskriminatorni i da poštuju temeljna prava, uključujući pravo na privatnost i zaštitu osobnih podataka. Regulativa ne nastoji zaustaviti inovacije, već ih usmjeriti u etički i legalno prihvatljivom smjeru. Pristup se temelji na procjeni rizika, klasificirajući AI sustave u različite kategorije – od minimalnog rizika do visokog rizika i neprihvatljivog rizika – ovisno o potencijalnoj šteti koju mogu prouzročiti ljudima.

Klasifikacija rizika i privatnost

Srce AI Acta leži u njegovom pristupu temeljenom na riziku. Sustavi "neprihvatljivog rizika" bit će zabranjeni. To uključuje, na primjer, sustave koji provode socijalno bodovanje od strane vlada ili biometrijsku identifikaciju u stvarnom vremenu u javnim prostorima od strane tijela za provedbu zakona (osim u vrlo specifičnim i strogo reguliranim slučajevima). Takve zabrane izravno štite privatnost sprječavajući masovne nadzorne prakse koje bi mogle dovesti do diskriminacije i kršenja sloboda.

Sustavi "visokog rizika" su oni koji predstavljaju značajnu prijetnju sigurnosti ili temeljnim pravima. U ovu kategoriju spadaju AI sustavi korišteni u kritičnim infrastrukturama, obrazovanju, zapošljavanju, pristupu osnovnim privatnim i javnim uslugama, provedbi zakona, upravljanju migracijama i biometrijskoj identifikaciji (osim zabranjene). Za ove sustave predviđene su stroge obveze prije stavljanja na tržište i tijekom cijelog životnog ciklusa, uključujući:

  • Sustave upravljanja rizikom: Identifikacija, analiza i smanjenje rizika, uključujući rizike za privatnost.
  • Upravljanje podacima: Strogi zahtjevi za kvalitetu podataka (trening, validacijski i testni setovi) kako bi se smanjila diskriminacija i osigurala točnost. To je ključno za privatnost jer nekvalitetni podaci mogu dovesti do pogrešnih zaključaka o pojedincima.
  • Tehnička dokumentacija i pohranjivanje zapisa: Detaljna dokumentacija o dizajnu, razvoju i performansama sustava, kao i automatsko bilježenje događaja ("log-ovi") kako bi se omogućila sljedivost i revizija, što je vitalno za dokazivanje usklađenosti s GDPR-om i AI Actom.
  • Transparentnost i informacije za korisnike: Jasne informacije o svrsi, mogućnostima i ograničenjima AI sustava, omogućujući pojedincima da razumiju kako se njihovi podaci obrađuju i kako AI sustav funkcionira.
  • Ljudski nadzor: Osiguravanje smislenog ljudskog nadzora nad AI sustavima kako bi se spriječile nepoželjne autonomne odluke koje bi mogle utjecati na prava pojedinaca.
  • Točnost, robusnost i kibernetička sigurnost: Robustni sustavi otporni na pogreške i napade, što je indirektno povezano s privatnošću jer sigurnosni propusti mogu dovesti do izlaganja osobnih podataka.

Ostali AI sustavi spadaju u kategorije "transparentnosti" (npr. chatbotovi, deepfakes) ili "minimalnog rizika", za koje su obveze manje stroge, ali se i dalje preporučuje primjena dobrovoljnih kodeksa ponašanja.

Preklapanje s GDPR-om: Nova razina usklađenosti

AI Act ne zamjenjuje Opću uredbu o zaštiti podataka (GDPR), već je nadopunjuje, stvarajući složeniji, ali i sveobuhvatniji regulatorni krajolik. Velik dio AI sustava, pogotovo onih visokog rizika, obrađivat će osobne podatke, što znači da će morati biti usklađeni s obje regulative. Ovo preklapanje postavlja nove izazove i obveze za tvrtke.

Načela obrade podataka

Sva načela GDPR-a – zakonitost, poštenost i transparentnost; ograničenje svrhe; smanjenje količine podataka; točnost; ograničenje pohrane; integritet i povjerljivost; odgovornost – ostaju u potpunosti primjenjiva. Međutim, AI Act pojačava njihovu primjenu. Na primjer, zahtjevi za kvalitetu podataka u AI Actu izravno podupiru načelo točnosti i smanjenja količine podataka. Sustavi umjetne inteligencije moraju biti dizajnirani na način da minimiziraju obradu osobnih podataka kad god je to moguće (privatnost po dizajnu) i da osiguraju da su podaci korišteni za obuku relevantni, točni i reprezentativni kako bi se izbjegla diskriminacija i nepravedne odluke.

Procjene učinka na zaštitu podataka (DPIA) i AI Act

Prema GDPR-u, obvezna je provedba Procjene učinka na zaštitu podataka (DPIA) za obrade koje vjerojatno predstavljaju visok rizik za prava i slobode pojedinaca. AI Act će efektivno učiniti DPIA gotovo obveznom za sve AI sustave visokog rizika koji obrađuju osobne podatke. Štoviše, DPIA će morati biti opsežnija, uzimajući u obzir specifične rizike koje AI sustavi donose, poput automatiziranog donošenja odluka, mogućnosti diskriminacije ili neprozirnosti algoritama. Tvrtke će morati demonstrirati kako su procijenile i ublažile ove rizike.

Prava ispitanika

AI Act jača prava ispitanika definirana GDPR-om. Uz pravo na pristup, ispravak, brisanje i ograničenje obrade, AI Act naglašava važnost prava na informaciju, pojašnjavajući da korisnici AI sustava, a posljedično i ispitanici, moraju biti jasno informirani o tome kako AI radi, koje podatke obrađuje i kakve odluke donosi. Za AI sustave visokog rizika, ljudski nadzor osigurava mehanizam za osporavanje automatiziranih odluka, što je ključno za pravo na objašnjenje i pravo na prigovor na automatiziranu obradu.

Implikacije za tvrtke u Hrvatskoj i EU do 2026.

Tvrtke koje razvijaju, implementiraju ili koriste AI sustave unutar EU suočavaju se s značajnim promjenama. Iako AI Act dolazi s prijelaznim razdobljem, očekuje se da će ključne odredbe za sustave visokog rizika postati primjenjive krajem 2025. ili početkom 2026. godine. Evo ključnih implikacija:

1. Sveobuhvatna procjena rizika i klasifikacija AI sustava

Svaka tvrtka koja koristi AI mora identificirati i klasificirati svoje AI sustave prema razini rizika. Ovo će zahtijevati detaljnu analizu svrhe, konteksta i potencijalnih utjecaja svakog AI rješenja. Pogrešna klasifikacija može dovesti do neusklađenosti i značajnih kazni.

2. Implementacija sustava upravljanja kvalitetom i rizikom

Za AI sustave visokog rizika, tvrtke će morati uspostaviti robusne sustave upravljanja kvalitetom i rizikom koji pokrivaju cijeli životni ciklus AI-a – od dizajna i razvoja do implementacije, nadzora i dekomisioniranja. To podrazumijeva definiranje jasnih politika, procedura i odgovornosti.

3. Pojačani zahtjevi za upravljanje podacima

Kvaliteta, reprezentativnost i zakonitost podataka korištenih za obuku AI modela postaju kritični. Tvrtke će morati uložiti u procese prikupljanja, anonimizacije/pseudonimizacije, čišćenja i dokumentiranja podataka kako bi osigurale usklađenost s AI Actom i GDPR-om. Ovo posebno vrijedi za osjetljive osobne podatke.

4. Transparentnost i dokumentacija

Potreba za detaljnom tehničkom dokumentacijom i automatskim bilježenjem ("logging") performansi i odluka AI sustava bit će izuzetno važna. Tvrtke će morati biti sposobne objasniti kako njihovi AI sustavi donose odluke, posebno kada te odluke utječu na pojedince. Ovo je ključno za reviziju i ispunjavanje zahtjeva za objašnjenjem.

5. Ljudski nadzor i Etički Odbori

Za visokorizične sustave, nužan je smislen ljudski nadzor. To znači da se ne može sve prepustiti algoritmima; ljudi moraju imati mogućnost intervenirati, ispraviti i poništiti odluke AI-a. Neke tvrtke će možda morati uspostaviti interne etičke odbore za AI koji će nadzirati usklađenost i etička pitanja.

6. Uska suradnja između timova

Pravnici, data znanstvenici, inženjeri i etičari morat će raditi ruku pod ruku kako bi osigurali da su AI sustavi razvijeni i implementirani na usklađen i odgovoran način. Silosi između odjela postat će neodrživi.

7. Obuka i podizanje svijesti

S obzirom na složenost novih pravila, ključno je educirati zaposlenike o zahtjevima AI Acta i GDPR-a. Od developera do menadžmenta, svi moraju razumjeti svoje uloge i odgovornosti u osiguravanju usklađenosti.

Izazovi i prilike

Iako AI Act donosi značajne izazove i povećava administrativno opterećenje, on također otvara prilike. Tvrtke koje prve usklade svoje AI sustave s ovim standardima mogu se pozicionirati kao pouzdani i etički akteri na tržištu. Usklađenost može postati konkurentska prednost, posebno u kontekstu rasta svijesti potrošača o zaštiti podataka. Za mala i srednja poduzeća (MSP) u Hrvatskoj, usklađenost može biti posebno izazovna zbog ograničenih resursa, no postoje inicijative EU za podršku MSP-ima u ovom procesu.

Zaključak

Regulativa EU o AI predstavljat će značajan korak naprijed u zaštiti privatnosti osobnih podataka u digitalnom dobu. Do 2026. godine, tvrtke će morati u potpunosti integrirati zahtjeve AI Acta s postojećim obvezama prema GDPR-u. To će zahtijevati proaktivni pristup, značajna ulaganja u procese, tehnologiju i ljude. Usklađenost s ovim regulativama neće biti samo zakonska obveza, već i temelj za izgradnju povjerenja u inovativne AI tehnologije, osiguravajući da AI služi društvu na siguran i etički odgovoran način. Hrvatska, kao članica EU, bit će izravno pogođena ovim promjenama, a uspješna implementacija zahtijevat će aktivno sudjelovanje svih dionika – od regulatora do gospodarstva i civilnog društva.

Izvori i dodatno čitanje

  1. EUR-Lex - Uredba Europskog parlamenta i Vijeća o utvrđivanju usklađenih pravila o umjetnoj inteligenciji (Akt o umjetnoj inteligenciji)
  2. Europska komisija - Umjetna inteligencija
  3. Agencija za zaštitu osobnih podataka (AZOP) - GDPR
  4. European Data Protection Board (EDPB) - Guidance on Artificial Intelligence
#AI Act#EU regulativa#GDPR#Kibernetička sigurnost#Privatnost
B
Uredništvo portala

BAJT

Službeni autorski profil redakcije portala BAJT. Sadržaj priprema i provjerava uredništvo portala.