Donošenje Uredbe (EU) 2024/1689 o umjetnoj inteligenciji (AI Act) predstavlja najznačajniju regulatornu intervenciju Europske unije u području novih tehnologija od donošenja Opće uredbe o zaštiti podataka (GDPR). Opća primjena Uredbe započinje 2. kolovoza 2026., dok su određene obveze počele vrijediti i ranije. Tako se od 2. veljače 2025. primjenjuju odredbe o zabranjenim praksama umjetne inteligencije i obvezi osiguravanja AI pismenosti, dok se od 2. kolovoza 2025. primjenjuju pravila za modele umjetne inteligencije opće namjene (GPAI, General-Purpose AI) te dio odredbi o upravljanju i nadzoru.
Smjernice za subjekte koji razvijaju modele i sustave umjetne inteligencije
Razumijevanju odnosa između zaštite osobnih podataka i umjetne inteligencije u Republici Hrvatskoj predstavljaju Smjernice „Zaštita osobnih podataka i umjetna inteligencija“, koje je 7. svibnja 2026. godine objavila Agencija za zaštitu osobnih podataka kao nacionalno nadzorno tijelo za zaštitu osobnih podataka. Smjernice su objavljene u razdoblju neposredno nakon početka primjene prvih odredbi AI Acta te u razdoblju kada organizacije sve intenzivnije uvode sustave umjetne inteligencije u svoje poslovne procese, a istodobno traže odgovore na pitanja kako osigurati usklađenost s GDPR-om tijekom cijelog životnog ciklusa AI sustava. Smjernice su namijenjene organizacijama koje razvijaju, treniraju, testiraju, integriraju ili koriste sustave umjetne inteligencije te obrađuju osobne podatke u tom kontekstu.
Pravna osnova za donošenje takvih smjernica proizlazi iz regulatorne i savjetodavne uloge AZOP-a kao nadzornog tijela u smislu članka 57. GDPR-a te odredbi nacionalnog Zakona o provedbi Opće uredbe o zaštiti podataka. Zakonska zadaća nadzornih tijela jest promicanje svijesti o rizicima, pravilima i zaštitnim mjerama povezanim s obradom osobnih podataka te pružanje stručnih smjernica voditeljima i izvršiteljima obrade. Iako navedene Smjernice ne stvaraju nove pravne obveze izvan onih koje proizlaze iz GDPR-a i AI Acta, one predstavljaju službeno stajalište hrvatskog nadzornog tijela o načinu na koji postojeće obveze treba tumačiti i primjenjivati u kontekstu sustava umjetne inteligencije. Njihova važnost proizlazi iz činjenice da tumače opća načela GDPR-a kroz konkretne AI scenarije te daju praktične smjernice za određivanje regulatornih uloga, odabir pravne osnove obrade, provedbu procjene učinka na zaštitu podataka (DPIA), primjenu načela zaštite podataka po dizajnu i po defaultu te upravljanje sigurnosnim rizicima specifičnima za sustave umjetne inteligencije.
Iz perspektive compliancea i upravljanja rizicima, ove Smjernice mogu se promatrati kao svojevrsna poveznica između GDPR-a i AI Acta. One organizacijama pružaju strukturirani nacionalni okvir za tumačenje postojećih obveza u okruženju umjetne inteligencije te ujedno predstavljaju pokazatelj regulatornih očekivanja koja će nadzorna tijela uzimati u obzir prilikom procjene usklađenosti konkretnih AI projekata. Takav pristup osobito dolazi do izražaja u situacijama kada sustavi umjetne inteligencije obrađuju osobne podatke. Tada se AI Act i GDPR primjenjuju kumulativno. Organizacija koja koristi umjetnu inteligenciju mora istodobno zadovoljiti zahtjeve oba regulatorna režima te dokazati da razumije rizike koje tehnologija stvara za pojedince, ali i za vlastito poslovanje. U tom smislu AI Act zapravo predstavlja logičan nastavak regulatorne filozofije GDPR-a. Dok je GDPR fokusiran na rizike za privatnost i zaštitu osobnih podataka, AI Act isti pristup proširuje na diskriminaciju, netočne rezultate, sigurnosne prijetnje, manipulaciju korisnicima i druge učinke koje umjetna inteligencija može proizvesti. Za compliance funkcije to znači da procjena rizika više ne može biti ograničena samo na obradu osobnih podataka. Potrebno je promatrati širi regulatorni kontekst i učinke koje algoritamsko odlučivanje može imati na pojedince i organizaciju.
Određivanje odgovornosti kao temelj usklađenosti s AI Actom
Jedno od prvih i najvažnijih pitanja koje se pojavljuje kod primjene AI Acta odnosi se na pravilno određivanje uloga odgovornosti. AI Act razlikuje više kategorija subjekata, među kojima posebno mjesto zauzimaju pružatelji sustava umjetne inteligencije (providers) i subjekti koji uvode sustav u uporabu (deployers). Sukladno članku 3. AI Acta, pružatelj je fizička ili pravna osoba koja razvija AI sustav ili ga stavlja na tržište pod svojim imenom ili žigom, dok je deployer osoba ili organizacija koja koristi AI sustav u okviru svoje profesionalne djelatnosti.
Posebna važnost deployera proizlazi iz činjenice da AI Act upravo njemu nameće niz samostalnih obveza. Člankom 26. AI Acta propisano je da deployeri visokorizičnih AI sustava moraju poduzeti odgovarajuće tehničke i organizacijske mjere kako bi osigurali korištenje sustava u skladu s njegovom namjenom i uputama pružatelja. Također su dužni osigurati odgovarajući ljudski nadzor nad sustavom, pratiti njegov rad te poduzimati mjere u slučaju uočenih nepravilnosti ili rizika. Pritom je u smjernicama naglašeno da se regulatorna odgovornost ne može u cijelosti prenijeti na dobavljača tehnologije ugovornim odredbama. Iako ugovori mogu urediti međusobnu raspodjelu obveza između pružatelja i korisnika sustava, prema regulatorima će za zakonitost konkretne uporabe AI sustava i dalje odgovarati organizacija koja ga koristi u svom poslovanju i na temelju njegovih rezultata donosi odluke. To je posebno vidljivo kod sustava koji sudjeluju u donošenju odluka o zapošljavanju, kreditnoj sposobnosti, pristupu zdravstvenim uslugama ili ostvarivanju određenih prava građana. U takvim slučajevima organizacija ne može izbjeći odgovornost pozivanjem na činjenicu da je algoritam razvila treća strana. Upravo suprotno, AI Act kroz zahtjeve za ljudskim nadzorom iz članka 14. polazi od pretpostavke da odgovornost za konačnu odluku mora ostati pod stvarnom kontrolom čovjeka.
Takav pristup u velikoj je mjeri usklađen s konceptom odgovornosti iz GDPR-a. Načelo odgovornosti iz članka 5. stavka 2. GDPR-a zahtijeva od voditelja obrade ne samo usklađenost s propisima nego i sposobnost dokazivanja te usklađenosti. Slično tome, AI Act od organizacija zahtijeva da mogu dokazati kako razumiju način rada sustava umjetne inteligencije, rizike koje on proizvodi te mjere koje su poduzele radi njihova ublažavanja. Iz perspektive upravljanja rizicima to znači da je pravilno određivanje regulatorne uloge prvi korak svake AI governance strategije. Tek nakon što organizacija utvrdi nastupa li kao pružatelj, deployer ili eventualno kao subjekt koji modificira postojeći sustav umjetne inteligencije, moguće je pravilno odrediti opseg njezinih regulatornih obveza, odgovornosti i potencijalne izloženosti sankcijama.
AI pismenost kao nova dimenzija odgovornosti
Jedna od zanimljivijih novosti AI Acta nalazi se u članku 4., koji uvodi obvezu osiguravanja odgovarajuće razine AI pismenosti osoba uključenih u razvoj i korištenje sustava umjetne inteligencije. Usporedno, dok je GDPR organizacijama nametnuo obvezu razumijevanja osobnih podataka, AI Act od njih zahtijeva razumijevanje tehnologije koju koriste. Time se prvi put regulatorno priznaje činjenica da nedostatak znanja predstavlja samostalan izvor rizika. U praksi to znači da će organizacije morati dokazati ne samo da imaju interne politike i procedure nego i da osobe koje koriste umjetnu inteligenciju razumiju njezina ograničenja, mogućnosti i rizike.
Zaključak
Promatrani zajedno, AI Act i GDPR stvaraju novi model regulatorne odgovornosti u kojem više nije dovoljno dokazati da je sustav funkcionalan. Organizacija mora moći dokazati da razumije njegove posljedice, da njima upravlja i da može preuzeti odgovornost za odluke koje se donose uz njegovu pomoć. Upravo će sposobnost uspostave takvog sustava upravljanja rizicima predstavljati ključnu razliku između organizacija koje umjetnu inteligenciju koriste odgovorno i onih koje će se suočiti s regulatornim, financijskim i reputacijskim posljedicama njezine nekontrolirane primjene.
Smjernice su dostupne na poveznici: https://azop.hr/wp-content/uploads/2026/05/AZOP-Smjernice-za-razvoj-AI-sustava.pdf
Ana Paštrović, mag. iur.
