Što je Akt o umjetnoj inteligenciji
Akt o umjetnoj inteligenciji uredba je Europske unije kojom se uređuju razvoj, stavljanje na tržište i uporaba sustava umjetne inteligencije (UI). Cilj mu je zaštititi zdravlje, sigurnost i temeljna prava ljudi, a da se pritom ne zakoči razvoj novih tehnologija.
Budući da je riječ o uredbi, a ne direktivi, Akt se u Hrvatskoj primjenjuje izravno, bez posebnog nacionalnog zakona o njegovu prijenosu. Države članice ipak moraju odrediti tijela nadležna za nadzor i propisati pravila o kaznama za povrede Akta, pri čemu Akt određuje najviše iznose upravnih novčanih kazni.
Akt se primjenjuje na nekoliko skupina sudionika:
- dobavljače, koji razvijaju sustav UI ili ga daju razviti te ga stavljaju na tržište ili u upotrebu pod svojim imenom ili žigom
- subjekte koji uvode sustav UI, odnosno tvrtke i ustanove koje se sustavom služe u svom poslovanju
- uvoznike i distributere sustava UI.
Većina hrvatskih tvrtaka spada u drugu skupinu. Tvrtka koja zaposlenicima omogući rad s alatima poput ChatGPT-a, Copilota ili Geminija, uvede chatbot na mrežnu stranicu ili koristi alat za odabir kandidata, subjekt je koji uvodi sustav UI i ima obveze prema Aktu.
Pristup temeljen na riziku
Akt razvrstava sustave UI prema riziku koji predstavljaju. Što je rizik veći, obveze su strože.
| Razina rizika | Primjeri | Što vrijedi |
|---|---|---|
| Neprihvatljiv rizik | društveno vrednovanje, prepoznavanje emocija na radnom mjestu, manipulativne tehnike | zabranjeno od 2. veljače 2025. |
| Visok rizik | odabir kandidata za posao, procjena kreditne sposobnosti, pristup obrazovanju, sigurnosne komponente proizvoda | stroge obveze od 2. prosinca 2027. odnosno 2. kolovoza 2028. |
| Ograničen rizik (transparentnost) | chatbotovi, umjetno stvoreni ili izmijenjeni sadržaj, uvjerljivi krivotvoreni sadržaj (deepfake) | obveze transparentnosti od 2. kolovoza 2026. |
| Minimalan rizik | filtri neželjene pošte, sustavi preporuka, umjetna inteligencija u videoigrama | nema posebnih obveza osim pismenosti u području UI |
Zabranjene prakse
Od 2. veljače 2025. članak 5. Akta zabranjuje sustave UI koji:
- koriste subliminalne, manipulativne ili obmanjujuće tehnike kojima se bitno iskrivljuje ponašanje osobe na način koji toj ili drugoj osobi uzrokuje ili bi vjerojatno mogao uzrokovati znatnu štetu
- iskorištavaju ranjivost osoba zbog dobi, invaliditeta ili posebne socijalne ili ekonomske situacije
- vrednuju ili razvrstavaju ljude prema društvenom ponašanju ili osobinama ličnosti, ako to dovodi do nepovoljnog postupanja (društveno vrednovanje)
- procjenjuju rizik da će osoba počiniti kazneno djelo isključivo na temelju profiliranja ili osobina ličnosti
- stvaraju baze podataka za prepoznavanje lica neciljanim prikupljanjem slika s interneta ili snimki videonadzora
- prepoznaju emocije na radnom mjestu i u obrazovnim ustanovama, osim iz medicinskih ili sigurnosnih razloga
- na temelju biometrijskih podataka razvrstavaju ljude prema rasi, političkom mišljenju, članstvu u sindikatu, vjerskim uvjerenjima ili spolnoj orijentaciji
- služe za daljinsku biometrijsku identifikaciju u stvarnom vremenu na javnim mjestima u svrhu kaznenog progona, osim u strogo propisanim iznimkama.
Za tvrtke je najvažnija zabrana prepoznavanja emocija zaposlenika. Alat koji, primjerice, analizira izraze lica ili glas zaposlenika na videosastancima kako bi zaključio o njihovu raspoloženju ili zadovoljstvu, na radnom mjestu je zabranjen. Europska komisija objavila je smjernice o zabranjenim praksama, dostupne i na hrvatskom jeziku.
Pismenost u području umjetne inteligencije
Članak 4. Akta primjenjuje se od 2. veljače 2025. i odnosi se na sve dobavljače i subjekte koji uvode sustave UI, neovisno o razini rizika sustava. To znači da obveza vrijedi i za tvrtku koja zaposlenicima samo omogući rad s alatima opće namjene.
U izvornom tekstu članak 4. tražio je da tvrtke u najvećoj mogućoj mjeri osiguraju dostatnu razinu pismenosti svojih zaposlenika i drugih osoba koje se sustavima služe u njihovo ime. Izmjenama koje su stupile na snagu 27. srpnja 2026. (Uredba (EU) 2026/1744) obveza je preoblikovana: dobavljači i subjekti koji uvode sustave UI moraju poduzimati mjere kojima se podupire razvoj pismenosti u području UI, a ne jamčiti određenu razinu znanja svakog pojedinca. Europska komisija i države članice pritom trebaju podupirati tvrtke, posebno mala i srednja poduzeća.
Obveza je time postala obveza truda, a ne rezultata, ali nije ukinuta. Tvrtka i dalje mora moći pokazati da je poduzela mjere, primjerice da su zaposlenici prošli edukaciju prilagođenu svojoj ulozi.
Što pismenost u području UI obuhvaća
Prema članku 3. točki 56. Akta, pismenost obuhvaća znanja i vještine potrebne da se sustavi UI koriste informirano, uz svijest o njihovim mogućnostima i rizicima. U praksi edukacija obično pokriva:
- osnove rada sustava UI i razliku između njih i klasičnog softvera
- mogućnosti i ograničenja, primjerice izmišljene odgovore i pristranost
- zaštitu poslovnih tajni i osobnih podataka pri unosu podataka u alate UI
- interna pravila tvrtke o tome koji se alati smiju koristiti i za što
- provjeru rezultata i ljudsku odgovornost za odluke.
Edukaciju treba prilagoditi ulozi. Zaposlenik koji alat koristi za pisanje e-pošte treba drukčije znanje od zaposlenika u kadrovskoj službi koji koristi alat za odabir kandidata ili od uprave koja odlučuje o uvođenju sustava.
Akt ne propisuje posebnu novčanu kaznu za povredu članka 4., ali države članice mogu propisati sankcije, a nedostatak edukacije otežava obranu ako sustav UI prouzroči štetu.
Visokorizični sustavi umjetne inteligencije
Akt razlikuje dvije skupine visokorizičnih sustava:
- sustave UI koji su sigurnosna komponenta ili sam proizvod obuhvaćen propisima EU-a iz Priloga I. Akta, ako taj proizvod mora proći ocjenu sukladnosti koju provodi treća strana, primjerice medicinski proizvodi, strojevi ili igračke
- samostalne sustave UI u osjetljivim područjima iz Priloga III. Akta.
| Područje iz Priloga III. | Primjeri |
|---|---|
| Zapošljavanje i upravljanje radnicima | odabir i rangiranje kandidata, odlučivanje o napredovanju i otkazu, praćenje i ocjenjivanje radnika |
| Obrazovanje | odlučivanje o upisu, ocjenjivanje, nadzor ispita |
| Pristup osnovnim uslugama | procjena kreditne sposobnosti, određivanje cijene životnog i zdravstvenog osiguranja, pristup socijalnim naknadama |
| Biometrija | daljinska biometrijska identifikacija, prepoznavanje emocija izvan zabranjenih slučajeva |
| Kritična infrastruktura | sigurnosne komponente u upravljanju prometom, opskrbom vodom, plinom ili električnom energijom |
| Kazneni progon, migracije i pravosuđe | procjena dokaza, procjena rizika, potpora sudovima |
Novi rokovi nakon izmjena iz 2026.
Prema izvornom tekstu, obveze za samostalne visokorizične sustave trebale su se primjenjivati od 2. kolovoza 2026. Uredbom (EU) 2026/1744, objavljenom u srpnju 2026. kao dio paketa za pojednostavnjenje digitalnih propisa, rokovi su pomaknuti:
| Vrsta sustava | Izvorni rok | Novi rok |
|---|---|---|
| Samostalni visokorizični sustavi (Prilog III.) | 2. kolovoza 2026. | 2. prosinca 2027. |
| Sustavi ugrađeni u regulirane proizvode (Prilog I.) | 2. kolovoza 2027. | 2. kolovoza 2028. |
Odgoda ne znači da se tvrtke ne trebaju pripremati. Inventura sustava, procjena rizika i dogovori s dobavljačima traju mjesecima.
Obveze dobavljača
Dobavljač visokorizičnog sustava mora, među ostalim, uspostaviti sustav upravljanja rizicima, osigurati kvalitetu podataka, izraditi tehničku dokumentaciju, omogućiti automatsko bilježenje događaja, dati jasne upute za uporabu, omogućiti ljudski nadzor, osigurati točnost, otpornost i kibernetičku sigurnost te provesti ocjenu sukladnosti prije stavljanja sustava na tržište.
Obveze subjekata koji uvode visokorizični sustav
Tvrtka koja se služi visokorizičnim sustavom, primjerice alatom za odabir kandidata, mora, među ostalim:
- koristiti sustav u skladu s uputama dobavljača
- povjeriti ljudski nadzor osobama koje imaju potrebno znanje, osposobljenost i ovlasti
- osigurati da su ulazni podaci koje sama kontrolira relevantni za svrhu sustava
- pratiti rad sustava i obavijestiti dobavljača i nadležno tijelo o ozbiljnim incidentima
- čuvati automatski stvorene zapise najmanje šest mjeseci
- prije uvođenja sustava na radnom mjestu obavijestiti predstavnike radnika i radnike na koje će se sustav primjenjivati
- obavijestiti osobe o kojima sustav donosi odluke ili pomaže u njihovu donošenju, primjerice kandidate, da se na njih primjenjuje visokorizični sustav.
Procjenu učinka na temeljna prava prije uvođenja visokorizičnog sustava iz Priloga III., osim sustava za kritičnu infrastrukturu, moraju provesti tijela javnog prava, privatni subjekti koji pružaju javne usluge te subjekti koji uvode sustave za procjenu kreditne sposobnosti ili za procjenu rizika i određivanje cijena životnog i zdravstvenog osiguranja.
Modeli umjetne inteligencije opće namjene
Od 2. kolovoza 2025. posebne obveze imaju dobavljači modela opće namjene, poput velikih jezičnih modela na kojima rade ChatGPT, Gemini ili Claude: tehnička dokumentacija, informacije za tvrtke koje model ugrađuju u svoje proizvode, politika poštovanja autorskih prava i sažetak podataka korištenih za učenje modela. Za najmoćnije modele, one sa sistemskim rizikom, vrijede dodatne obveze. Nadzor nad tim modelima provodi Ured za umjetnu inteligenciju pri Europskoj komisiji.
Tvrtka koja se takvim alatima samo služi nije dobavljač modela opće namjene. Ima obvezu pismenosti, a ako alat opće namjene koristi u visokorizičnoj svrsi, primjerice za odabir kandidata, može se smatrati dobavljačem visokorizičnog sustava (čl. 25.) i imati obveze dobavljača.
Obveze transparentnosti
Od 2. kolovoza 2026. vrijede obveze transparentnosti iz članka 50.:
- osobe koje komuniciraju sa sustavom UI, primjerice s chatbotom, moraju znati da ne razgovaraju s čovjekom, osim ako je to očito
- sadržaj koji su stvorili sustavi UI mora biti strojno označen kao umjetno stvoren, a za sustave koji su već bili na tržištu predviđen je dodatni rok do 2. prosinca 2026.
- tko objavljuje uvjerljivi krivotvoreni sadržaj (deepfake), mora navesti da je sadržaj umjetno stvoren ili izmijenjen
- subjekti koji uvode sustave za prepoznavanje emocija ili biometrijsko razvrstavanje moraju o tome obavijestiti osobe na koje se sustav odnosi.
Kazne
| Povreda | Najviša kazna |
|---|---|
| Zabranjene prakse (čl. 5.) | 35 milijuna eura ili 7 % ukupnog godišnjeg prometa na svjetskoj razini |
| Većina drugih obveza dobavljača i subjekata koji uvode sustav, uključujući obveze transparentnosti | 15 milijuna eura ili 3 % prometa |
| Netočne, nepotpune ili obmanjujuće informacije tijelima | 7,5 milijuna eura ili 1 % prometa |
Primjenjuje se viši od dvaju iznosa, a za mala i srednja poduzeća, uključujući novoosnovana, niži od dvaju iznosa.
Nadzor u Hrvatskoj
Nadzor nad primjenom Akta provode tijela za nadzor tržišta koja određuje svaka država članica, a na razini EU-a Ured za umjetnu inteligenciju nadzire modele opće namjene. Kad sustav UI obrađuje osobne podatke, i dalje se u cijelosti primjenjuje GDPR, a njegovu provedbu u Hrvatskoj nadzire AZOP.
Kako se pripremiti
| Korak | Što napraviti |
|---|---|
| 1. Inventura | Popisati sve sustave UI koje tvrtka koristi ili razvija, uključujući alate koje su zaposlenici sami počeli koristiti |
| 2. Razvrstavanje | Za svaki sustav utvrditi razinu rizika i ulogu tvrtke (dobavljač ili subjekt koji uvodi sustav) |
| 3. Zabranjene prakse | Provjeriti da se nijedan sustav ne koristi na zabranjen način, primjerice za prepoznavanje emocija zaposlenika |
| 4. Interna pravila | Donijeti pravila o dopuštenim alatima, unosu podataka i provjeri rezultata |
| 5. Pismenost | Provesti edukaciju prilagođenu ulogama i voditi evidenciju |
| 6. Transparentnost | Označiti chatbotove i umjetno stvoren sadržaj |
| 7. Visokorizični sustavi | Pripremiti ljudski nadzor, zapise, obavještavanje radnika i, kad je potrebno, procjenu učinka na temeljna prava |
| 8. Dobavljači | Od dobavljača zatražiti dokumentaciju i ugovorom urediti odgovornosti |
Akt o umjetnoj inteligenciji i drugi propisi
- GDPR. Ako sustav UI obrađuje osobne podatke, primjenjuju se oba propisa. Pravo ispitanika da ne podliježe odluci temeljenoj isključivo na automatiziranoj obradi (čl. 22. GDPR-a) ostaje na snazi.
- Zakon o kibernetičkoj sigurnosti. Obveznici moraju upravljati rizicima svih mrežnih i informacijskih sustava, pa i onih koji uključuju umjetnu inteligenciju.
- DORA. Financijski subjekti moraju rizike povezane sa sustavima UI uključiti u upravljanje rizicima informacijske i komunikacijske tehnologije.
- Zakon o radu. Uvođenje sustava UI za praćenje ili ocjenjivanje radnika mora poštovati i pravila o savjetovanju s radničkim vijećem i zaštiti dostojanstva radnika.
Često postavljana pitanja
Odnosi li se Akt o umjetnoj inteligenciji na tvrtku koja samo koristi ChatGPT?
Da. Tvrtka koja zaposlenicima omogući rad s takvim alatima subjekt je koji uvodi sustav UI i mora poduzimati mjere kojima se podupire pismenost zaposlenika u području umjetne inteligencije. Ako alat koristi u visokorizičnoj svrsi, primjerice za odabir kandidata, ima i dodatne obveze.
Od kada se primjenjuje Akt o umjetnoj inteligenciji?
Stupio je na snagu 1. kolovoza 2024. Zabranjene prakse i pismenost u području UI primjenjuju se od 2. veljače 2025., obveze za modele opće namjene od 2. kolovoza 2025., obveze transparentnosti od 2. kolovoza 2026., a obveze za visokorizične sustave od 2. prosinca 2027. odnosno 2. kolovoza 2028.
Jesu li rokovi za visokorizične sustave odgođeni?
Jesu. Uredbom (EU) 2026/1744, koja je stupila na snagu 27. srpnja 2026., rok za samostalne visokorizične sustave pomaknut je s 2. kolovoza 2026. na 2. prosinca 2027., a za sustave ugrađene u regulirane proizvode s 2. kolovoza 2027. na 2. kolovoza 2028.
Je li edukacija o umjetnoj inteligenciji obvezna?
Članak 4. obvezuje dobavljače i subjekte koji uvode sustave UI da poduzimaju mjere kojima se podupire pismenost zaposlenika u području umjetne inteligencije. Od srpnja 2026. riječ je o obvezi truda, a ne o jamstvu određene razine znanja, ali tvrtka mora moći pokazati da je mjere poduzela. Edukacija prilagođena ulogama najčešći je način.
Je li alat za odabir kandidata visokorizičan sustav?
U pravilu jest. Sustavi UI za zapošljavanje, odabir i rangiranje kandidata te za odlučivanje o radnicima navedeni su u Prilogu III. Akta kao visokorizični.
Smije li poslodavac koristiti umjetnu inteligenciju za praćenje raspoloženja zaposlenika?
Ne. Sustavi UI za prepoznavanje emocija na radnom mjestu zabranjeni su od 2. veljače 2025., osim iz medicinskih ili sigurnosnih razloga.
Koje su kazne?
Do 35 milijuna eura ili 7 % ukupnog godišnjeg prometa za zabranjene prakse, do 15 milijuna eura ili 3 % za većinu drugih obveza te do 7,5 milijuna eura ili 1 % za netočne informacije tijelima. Za mala i srednja poduzeća primjenjuje se niži od dvaju iznosa.
Kakav je odnos Akta i GDPR-a?
Nadopunjuju se. GDPR štiti osobne podatke, a Akt uređuje sustave umjetne inteligencije. Ako sustav obrađuje osobne podatke, primjenjuju se oba propisa.
Povezani članci
- Što je GDPR? Vodič za hrvatske tvrtke
- NIS2 direktiva u Hrvatskoj: što tvrtke moraju znati
- DPIA, procjena učinka na zaštitu podataka
Izvori
- Uredba (EU) 2024/1689, Akt o umjetnoj inteligenciji (EUR-Lex)
- Europska komisija: smjernice o zabranjenim praksama umjetne inteligencije, na hrvatskom (AZOP)
- AZOP: Uredba o umjetnoj inteligenciji
- Europska komisija: Ured za umjetnu inteligenciju
Ovaj je članak informativne naravi i nije pravni savjet.