U strahu su velike oči – je li UI kojeg razvijate, prodajete ili koristite doista pravno visokorizičan?

Uvod

Akt o umjetnoj inteligenciji (dalje u tekstu: „Akt o UI-ju”)¹ objavljen je 12. srpnja 2024. u „Službenom listu Europske unije”. Dio odredbi je već stupio na snagu, no velika većina njegovih odredbi primjenjivat će se od 2. kolovoza 2026., uključujući ključne obveze koje se odnose na visokorizične sustave umjetne inteligencije, dok će se preostale odredbe početi primjenjivati 2. kolovoza 2027.

Na te iste datume dio poduzetnika, lobista, pravnika, akademika, inženjera i drugih gleda s nelagodom i dozom jeze te poziva na pauziranje implementacije i odgodu stupanja na snagu preostalih odredbi Akta o UI-ju.

Tako je, primjerice, Mario Draghi, bivši talijanski premijer i bivši predsjednik Europske središnje banke, u rujnu 2025. pozvao na pauziranje primjene dijelova Uredbe koji se odnose na visokorizične UI sustave, ističući da je Akt o UI-ju „izvor pravne nesigurnosti“ te da bi implementacija trebala biti proporcionalna i poticajna za inovacije.²

U sličnom tonu brojni predstavnici industrije i lobističkih skupina upozoravaju da bi prekomjerno regulatorno opterećenje moglo ugušiti inovacije i natjerati europske startupove da se presele izvan EU-a (op.a. kao da gledamo déjà vu iz vremena neposredno prije stupanja na snagu GDPR-a – a svijet se, unatoč svemu, ipak nije srušio).

Tako npr. Organizacija Consumer Choice Center tvrdi da će Akt o UI-ju „ugušiti sposobnost privatnog sektora da inovira“.³ Udruženje CCIA koje okuplja velike IT kompanije pozvalo je na odgodu implementacije, upozoravajući da pravila stvaraju “kočnički učinak” (na eng. chilling effect) na industriju.⁴ Časopis Time piše da tehnološke korporacije već lobiraju da se zakon ublaži, uz tvrdnju da troškovi usklađivanja obeshrabruju razvoj novih rješenja.⁵ Istraživačka organizacija Corporate Europe Observatory otkriva kako su se i pojedini europski startupovi udružili s Big Tech-om u pokušajima da „razvodne“ regulaciju, pri čemu se argument da će „Akt o UI-ju ubiti inovaciju“ koristi kao glavni narativni alat.⁶

S druge strane, u međunarodnom kontekstu, administracija Donalda Trumpa zaprijetila je uvođenjem tarifa i trgovinskih mjera protiv država koje donose stroge digitalne i UI regulacije. Predsjednik Trump je izjavio da će SAD “uvesti značajne dodatne tarife” i ograničiti izvoz visoke tehnologije prema državama koje, prema njegovim riječima, „diskriminiraju američka društva digitalnim propisima”.⁷

Gdje ima dima, ima i vatre, zar ne?! Akt o UI-ju zasigurno će mnogima zadati glavobolju — svima koji razvijaju, prodaju ili koriste UI alate, usluge i proizvode?!

Ne ako pitate Europsku komisiju!

Prema službenoj i formalnoj procjeni učinaka Europske komisije, samo 5% do 15 % svih aplikacija umjetne inteligencije moglo bi biti obuhvaćeno najstrožim obvezama Akta o UI-ju, tj. svrstano u kategoriju „visokorizičnih sustava”.⁸ Stoga bi većina UI aplikacija, ako je vjerovati Europskoj komisiji (?!), koje nemaju takve učinke, bile klasificirane kao niskorizične ili bi potpale pod blaži režim usklađivanja.

Ipak, svrha ovoga članka nije ulaziti u procjene javnih politika ili političke ocjene ispravnosti Akta o UI-ju. Cilj je, naprotiv, jasno pojasniti kako ispravno utvrditi koristi li, razvija li ili prodaje vaša organizacija umjetnu inteligenciju koja se uopće smatra visokorizičnom u smislu Akta o UI-ju.

Ako je odgovor ne – cijela se drama oko „smaka svijeta”, regulatornog opterećenja i golemih troškova usklađivanja Vas osobno (ili vaše društvo, odnosno poslodavca) uopće ne tiče.

Naime, Akt o UI-ju temelji se na pristupu razmjernom razini rizika – (eng. risk-based approach). Što je veći potencijalni rizik koji AI sustav nosi za zdravlje, sigurnost ili temeljna prava ljudi, to su i njegove obveze strože. Uredba tako razlikuje četiri razine rizika:

a) zabranjene sustave (primjerice one koji manipuliraju ponašanjem ljudi ili provode socijalno bodovanje), zatim

b) visokorizične sustave (koji se koriste u područjima poput obrazovanja, migracija, zapošljavanja ili sigurnosti proizvoda i medicinskih uređaja), potom

c) sustave ograničenog rizika (poput chat-botova i generativnih alata koji moraju jasno naznačiti da je sadržaj umjetno generiran) te naposljetku

d) sustave minimalnog rizika, poput onih koji se koriste u videoigrama ili za filtriranje neželjene pošte.

Najveći regulatorni teret i trošak usklađivanja pada, dakako, na one koji razvijaju, stavljaju na tržište ili koriste visokorizične AI sustave. Oni moraju, inter alia, uspostaviti sustav upravljanja rizicima, osigurati kvalitetne i reprezentativne skupove podataka, voditi tehničku dokumentaciju, zapise o praćenju sustava, osigurati ljudski nadzor nad automatiziranim odlukama, registrirati sustav u europskoj bazi visokorizičnih UI sustava, itd.

Za sve ostale UI sustave — one koji spadaju u kategorije ograničenog ili minimalnog rizika — nema opsežnih regulatornih zahtjeva. Njihove su obveze praktički svedene na osnovnu transparentnost: primjerice, informiranje korisnika da komunicira s UI-jem ili da je određeni sadržaj generiran umjetnom inteligencijom.

Kako utvrditi je li UI sustav visokorizičan po Aktu o UI-ju – dva ključna kriterija

Da biste utvrdili pripada li vaš sustav prethodno navedenoj visokorizičnoj kategoriji treba provjeriti dva osnovna kriterija iz članka 6. Akta o UI-ju. Prvo, koristi li se u jednom od područja s visokim utjecajem navedenih u Prilogu III Akta o UI-ju i drugo, je li UI sustav sigurnosna komponenta proizvoda koji spada pod poseban EU propis naveden u Prilogu I Akta o UI-ju.

Prvi kriterij: UI primjene u osam područja iz Priloga III. Akta o UI-ju

Neovisno o proizvodima, UI sustavi koji se koriste u određenim područjima s visokim utjecajem na zdravlje, sigurnost i temeljna prava ljudi uvijek su visokorizični. Prilog III navodi osam skupina primjena:

1. Biometrija – Sustavi za udaljenu biometrijsku identifikaciju, biometrijsku kategorizaciju prema osjetljivim značajkama ili prepoznavanje emocija.

Primjer: sustav za prepoznavanje lica koji automatski identificira osobe u javnom prostoru.

2. Kritična infrastruktura – UI koji se koristi kao sigurnosna komponenta u upravljanju digitalnom infrastrukturom, prometnim sustavima ili opskrbom vodom, plinom i električnom energijom.

Primjer: algoritam koji optimizira signalizaciju na željezničkoj mreži ili upravlja elektroenergetskom mrežom.

3. Obrazovanje i strukovno osposobljavanje – UI sustavi koji odlučuju o upisu u škole ili fakultete, ocjenjuju rezultate učenja, određuju razinu obrazovanja ili nadziru ponašanje studenata tijekom testova.

Primjer: softver koji automatski dodjeljuje kandidate na sveučilišne studije ili ocjenjuje testove i upravlja nadzorom nad ispitom.

4. Zapošljavanje i upravljanje radnicima – Sustavi koji objavljuju ciljane oglase za posao, filtriraju prijave, rangiraju kandidate, donose odluke o zapošljavanju ili otkazu, raspoređuju radne zadatke ili nadziru performanse zaposlenika.

Primjer: UI koji rangira životopise kandidata te odlučuje koga pozvati na intervju.

5. Pristup osnovnim privatnim i javnim uslugama i beneficijama – UI sustavi koje javna tijela koriste za odlučivanje o pomoći i socijalnim beneficijama, kao i sustavi koji procjenjuju kreditnu sposobnost, određuju premije životnog ili zdravstvenog osiguranja te prioritet hitnih intervencija.

Primjer: kreditni algoritam koji automatski odobrava ili odbija zahtjeve građana.

6. Provođenje kaznenog zakona – UI sustavi koje koristi policija ili druge službe za procjenu rizika od kriminala (žrtava ili počinitelja), analizu pouzdanosti dokaza ili procjenu rizika recidiva, uključujući poligrafske alate.

Primjer: prediktivni sustav koji ocjenjuje tko će najvjerojatnije počiniti kazneno djelo.

7. Migracije, azil i upravljanje granicama – Sustavi za procjenu sigurnosnog rizika ili rizika nepravilne migracije, koji pomažu pri obradi zahtjeva za azil, vizu ili boravišnu dozvolu ili detektiraju osobe na granicama.

Primjer: UI koji ocjenjuje vjerodostojnost zahtjeva za azil.

8. Pravosuđe i demokratski procesi – UI koji se koristi za asistiranje sudovima pri istraživanju i tumačenju prava ili utjecanje na ishode izbora i referenduma.

Primjer: sustav za analizu sudske prakse koji predlaže presude ili program koji segmentira birače i personalizira političke poruke.

Ako UI sustav ulazi u jednu od ovih kategorija smatra se visokorizičnim, osim ako obavlja usku proceduralnu zadaću, poboljšava već donesenu ljudsku odluku, detektira obrasce bez utjecaja na ishod ili priprema podatke. U takvim slučajevima sustav se može izuzeti, ali pružatelj mora dokazati da ne postoji značajan rizik po zdravlje, sigurnost ili temeljna prava (čl. 6., st. 3. Akta o UI-ju).

Drugi kriterij: UI kao sigurnosna komponenta proizvoda iz Priloga I. Akta o UI-ju

UI sustav je visokorizičan ako je sigurnosna komponenta nekog proizvoda (ili čini sam proizvod) koji je uređen jednim od dvadeset EU propisa navedenih u Prilogu I⁹ Akta o UI-ju i za koji je potrebna ocjena sukladnosti (npr. CE oznaka). Zvuči komplicirano, ali primjeri slijede ispod.

Trenutačno (u skladu s Prilogom I Akta o UI-ju) je riječ o proizvodima obuhvaćenima legislativom o strojevima, igračkama, dizalima, radio-opremi, tlačnoj opremi, instalacijama žičara, uređajima na plin, medicinskim uređajima i in vitro dijagnostičkim uređajima, motornim vozilima, zrakoplovnoj opremi i drugim proizvodima. Ako se UI sustav koristi za upravljanje sigurnosnom funkcijom jednog takvog proizvoda, smatra se visokorizičnim.

Primjeri:

• Automobilski sustav automatskog kočenja – UI koji upravlja kočenjem vozila reguliranog Uredbom (EU) 2018/858 o homologaciji motornih vozila mora proći ocjenu sukladnosti i smatra se visokorizičnim.
• Kirurški robot ili UI inzulinska pumpa – UI koji dozira lijek u medicinskom uređaju obuhvaćenom Uredbom (EU) 2017/745 o medicinskim uređajima ulazi u kategoriju visokog rizika.
• UI za upravljanje dizalima – AI sustav koji nadzire sigurnost dizala ili žičara, pokriven Direktivom o dizalima, klasificira se kao visokorizičan.

Zaključak

Da biste utvrdili je li UI sustav visokorizičan, slijedite dva koraka:

1. Analizirajte koristi li se sustav u jednom od osam područja iz Priloga III. te utječe li na pristup obrazovanju, zaposlenju, osnovnim uslugama, pravosuđu, migracijama, izborima ili drugim osjetljivim sektorima.
2. Provjerite odnosi li se vaš sustav na proizvod obuhvaćen Prilogom I. (popisom EU propisa o sigurnosti) i je li sigurnosna komponenta tog proizvoda ili je proizvod kao takav.

Samo kada je ispunjen barem jedan od tih kriterija UI sustav se smatra visokorizičnim i podliježe dodatnim obvezama – upravljanju rizicima, transparentnosti, registraciji, itd. U suprotnom, UI sustav spada u kategoriju ograničenog ili minimalnog rizika i neće Vam “zadavati glavobolju”.

Odvjetnik Stefan Martinić, Odvjetnički ured Stefan Martinić

LL.M. Harvard Law School

LL.M. London School of Economics and Political Science

Certified Information Privacy Professional / Europe (CIPP/E)

Mag. iur. Pravni fakultet u Zagrebu

Zanima Vas više o umjetnoj inteligenciji, regulativi, praksi i stvarnosti?

Pozivamo Vas da nam se pridružite na konferenciji „Umjetna inteligencija: regulativa, praksa i stvarnost”, koja će se održati 24. listopada 2025. u Zagrebu.

Raspravljat ćemo o praktičnim aspektima provedbe Akta o umjetnoj inteligenciji, njegovim učincima na gospodarstvo i pravnu praksu te o stvarnim izazovima s kojima se susreću poduzetnici, inženjeri i pravnici u usklađivanju s novim propisima Europske unije.

Više informacija i prijava dostupni su na poveznici:

https://dogadaji.lexpera.hr/event/umjetna-inteligencija-regulativa-praksa-i-stvarnost/