Što uređuje Akt o umjetnoj inteligenciji
Akt o umjetnoj inteligenciji (Uredba (EU) 2024/1689) uređuje razvoj, stavljanje na tržište i uporabu sustava umjetne inteligencije u Europskoj uniji. Budući da je riječ o uredbi, izravno se primjenjuje u svim državama članicama i ne treba je prenositi u nacionalno zakonodavstvo. Države članice moraju odrediti nacionalna tijela za nadzor i propisati pravila o sankcijama. Aktualne informacije za Hrvatsku pratite u Narodnim novinama i na stranicama nadležnih tijela državne uprave.
Uredba se temelji na riziku: što sustav više može utjecati na zdravlje, sigurnost i temeljna prava ljudi, to za njega vrijedi više obveza. Primjenjuje se na dobavljače i subjekte koji uvode sustave u EU-u, ali i na dobavljače izvan EU-a ako se rezultati njihovih sustava koriste u EU-u. Izuzete su, među ostalim, vojna i obrambena uporaba, znanstvena istraživanja te isključivo osobna, neprofesionalna uporaba. Razinu rizika svog sustava provjerite alatom na ovoj stranici.
Četiri razine rizika
| Razina | Primjeri | Posljedica |
|---|---|---|
| Zabranjene prakse (članak 5.) | Društveno vrednovanje, manipulativne tehnike, prepoznavanje emocija zaposlenika, neciljano prikupljanje fotografija lica | Uporaba nije dopuštena |
| Visokorizični sustavi (članak 6., prilozi I. i III.) | Rangiranje kandidata za zapošljavanje, procjena kreditne sposobnosti, sigurnosne komponente medicinskih proizvoda ili strojeva | Opsežni zahtjevi za dobavljače i subjekte koji uvode sustav |
| Ograničeni rizik: transparentnost (članak 50.) | Chatbotovi, generiranje slika i teksta, uvjerljivi krivotvoreni sadržaji (deepfake) | Obavještavanje korisnika i označivanje sadržaja |
| Minimalni rizik | Filtri neželjene pošte, predviđanje zaliha, preporuke proizvoda | Bez posebnih obveza, osim pismenosti u području UI-ja |
Visokorizični sustavi iz Priloga III. oni su koji se koriste u područjima biometrije, kritične infrastrukture, obrazovanja, zapošljavanja i upravljanja radnicima, pristupa osnovnim javnim i privatnim uslugama (primjerice procjena kreditne sposobnosti te procjena rizika i određivanje cijena kod životnog i zdravstvenog osiguranja), kaznenog progona, migracija i nadzora granica te pravosuđa i demokratskih procesa.
Sustav iz područja Priloga III. nije visokorizičan ako ne predstavlja znatan rizik, primjerice zato što obavlja samo usku proceduralnu ili pripremnu zadaću. Ta iznimka ne vrijedi ako sustav provodi izradu profila fizičkih osoba. Dobavljač takvu procjenu mora dokumentirati.
Dobavljač ili subjekt koji uvodi sustav: tko za što odgovara
Obveze ovise o ulozi. Dobavljač razvija UI sustav ili ga stavlja na tržište odnosno u uporabu pod svojim imenom ili žigom. Subjekt koji uvodi sustav koristi ga u okviru svoje profesionalne djelatnosti. Većina hrvatskih tvrtki bit će u ulozi subjekta koji uvodi sustav, primjerice kod korištenja alata za zapošljavanje koji je razvio drugi dobavljač.
| Visokorizični sustav | Dobavljač | Subjekt koji uvodi sustav |
|---|---|---|
| Upravljanje rizicima i kvaliteta podataka | da | primjerenost ulaznih podataka koje kontrolira |
| Tehnička dokumentacija i zapisi | priprema dokumentaciju, omogućuje bilježenje | čuva zapise, u pravilu najmanje šest mjeseci |
| Ljudski nadzor | dizajn koji ga omogućuje | provode ga osposobljene osobe |
| Ocjenjivanje sukladnosti, oznaka CE, registracija | da | tijela javne vlasti registriraju uporabu |
| Obavještavanje | upute za uporabu | obavještava zaposlenike i osobe o kojima sustav pomaže odlučivati |
| Procjena učinka na temeljna prava | ne | tijela javne vlasti, pružatelji javnih usluga, procjena kreditne sposobnosti i osiguranje |
Subjekt koji uvodi sustav postaje dobavljač ako visokorizični sustav označi svojim imenom ili žigom, bitno ga izmijeni ili mu promijeni namjenu tako da postane visokorizičan. To je važno pri prilagodbi postojećih rješenja vlastitim potrebama.
Primjeri iz prakse
- Chatbot za korisničku podršku temeljen na velikom jezičnom modelu: u pravilu ograničeni rizik. Korisnike morate obavijestiti da komuniciraju s UI-jem, osim ako je to očito.
- Alat za rangiranje životopisa ili ocjenjivanje kandidata: visokorizični sustav iz područja zapošljavanja. Tvrtka kao subjekt koji uvodi sustav mora osigurati ljudski nadzor, čuvanje zapisa te obavještavanje kandidata i predstavnika radnika.
- Predviđanje kvarova strojeva iz podataka senzora: u pravilu minimalni rizik, osim ako je sustav sigurnosna komponenta stroja na koji se primjenjuje zakonodavstvo iz Priloga I.
- Procjena kreditne sposobnosti fizičkih osoba: visokorizični sustav. Otkrivanje financijskih prijevara pritom je izričito izuzeto.
- Analiza emocija zaposlenika iz videopoziva ili glasovnih poziva: zabranjena praksa na radnom mjestu, osim iz zdravstvenih ili sigurnosnih razloga.
Modeli UI-ja opće namjene
Veliki jezični modeli i drugi modeli opće namjene (GPAI) imaju posebna pravila koja vrijede od 2. kolovoza 2025. Dobavljači modela moraju pripremiti tehničku dokumentaciju, pružiti informacije dobavljačima koji model ugrađuju u svoje sustave, imati politiku poštovanja autorskog prava i objaviti sažetak sadržaja korištenog za treniranje. Za najsposobnije modele sa sistemskim rizikom vrijede dodatni zahtjevi.
Tvrtka koja postojeći model koristi putem API-ja ili ga ugrađuje u svoju aplikaciju u pravilu nije dobavljač modela opće namjene. Može, međutim, biti dobavljač ili subjekt koji uvodi UI sustav izgrađen na tom modelu, a razina rizika tog sustava ovisi o njegovoj namjeni. U praksi to vrijedi i za AI agente koji samostalno obavljaju zadatke u poslovnim sustavima: procjenjuje se ono što agent radi, a ne model na kojem se temelji.
Rokovi i kazne
| Datum | Što se počinje primjenjivati |
|---|---|
| 1. kolovoza 2024. | Uredba stupa na snagu |
| 2. veljače 2025. | Zabranjene prakse i obveza pismenosti u području UI-ja |
| 2. kolovoza 2025. | Pravila za modele UI-ja opće namjene, upravljanje i sankcije |
| 2. kolovoza 2026. | Većina odredbi, uključujući visokorizične sustave iz Priloga III. i obveze transparentnosti |
| 2. kolovoza 2027. | Visokorizični sustavi kao sigurnosne komponente proizvoda iz Priloga I. |
Europska komisija je paketom nazvanim digitalni omnibus predložila odgodu nekih rokova za visokorizične sustave. Budući da zakonodavni postupak još traje ili je možda već završen, prije planiranja provjerite aktualno stanje na stranicama Europske komisije.
Kazne iznose do 35 milijuna eura ili 7 % ukupnog svjetskog godišnjeg prometa za zabranjene prakse, do 15 milijuna eura ili 3 % za kršenje drugih obveza i do 7,5 milijuna eura ili 1 % za netočne informacije tijelima. Za MSP-ove i start-upove primjenjuje se niži od dvaju iznosa.
Kako se pripremiti
- Popis UI sustava. Prikupite sve sustave i alate s UI-jem koje razvijate ili koristite, uključujući one koje su odjeli uveli samostalno.
- Razvrstavanje. Svaki sustav razvrstajte alatom iznad i dokumentirajte rezultat.
- Pismenost. Pripremite osposobljavanje za zaposlenike koji koriste UI i internu politiku korištenja.
- Visokorizični sustavi. Od dobavljača zatražite dokumentaciju o sukladnosti, odredite odgovorne za ljudski nadzor i uredite čuvanje zapisa.
- Upravljanje. Povežite zahtjeve uredbe s postojećim procesima zaštite podataka i informacijske sigurnosti, primjerice s mjerama prema Zakonu o kibernetičkoj sigurnosti.
Humanfrog tvrtkama pomaže u planiranju i uvođenju UI rješenja koja su od početka osmišljena u skladu s uredbom, uz odgovarajuću sigurnost, kontrolu pristupa i bilježenje. Ako želite provjeriti konkretan slučaj uporabe, razgovarajte s nama.
