Ako vaša organizacija razvija, uvodi ili se oslanja na umjetnu inteligenciju u zapošljavanju, kreditnom bodovanju, kritičnoj infrastrukturi ili u kontekstu granica i kaznenog progona, 2. kolovoza 2026. bio je rok koji niste smjeli propustiti. Tog su datuma obveze Akta o umjetnoj inteligenciji za visokorizične AI sustave postale u cijelosti provedive — a GDPR više nije jedini propis o podacima koji vam može uništiti proračun za usklađenost.
Prvi put se dva odvojena europska kaznena režima primjenjuju usporedno na istu temeljnu aktivnost: obradu osobnih podataka putem AI sustava. Razumjeti gdje se preklapaju, gdje se razilaze i gdje vas oba mogu pogoditi istodobno pitanje je usklađenosti za drugu polovicu 2026.
Što se promijenilo 2. kolovoza
Visokorizični AI sustavi — kako su definirani u Prilogu III. Akta, uz primjene poput zapošljavanja, procjene kreditne sposobnosti, upravljanja kritičnom digitalnom infrastrukturom i granične kontrole — sada moraju imati, među ostalim:
- Sustav upravljanja rizicima koji se održava kroz cijeli životni ciklus sustava
- Standarde upravljanja podacima za skupove za treniranje i validaciju, uključujući otkrivanje pristranosti
- Tehničku dokumentaciju dovoljno temeljitu da izdrži regulatornu reviziju
- Automatsko bilježenje rada sustava
- Odredbe o transparentnosti koje korisnicima sustava i pogođenim osobama omogućuju da razumiju što sustav radi
- Mehanizme ljudskog nadzora koji osobi omogućuju intervenciju ili zaustavljanje sustava u svakom trenutku
- Standarde točnosti, otpornosti i kibernetičke sigurnosti primjerene svrsi sustava
Od dobavljača se očekivalo da su do roka dovršili ocjenjivanje sukladnosti, finalizirali tehničku dokumentaciju, stavili oznaku CE i obavili registraciju u bazi podataka EU-a.
Ako vam nekoliko tih obveza zvuči poznato, tako i treba. GDPR je već zahtijevao procjene učinka na zaštitu podataka, dokumentiranu analizu rizika, transparentnost prema ispitanicima i zaštitne mjere oko automatiziranog odlučivanja. Akt o umjetnoj inteligenciji ništa od toga ne zamjenjuje — dolazi povrh toga, s vlastitom pravnom osnovom, vlastitim zahtjevima za dokumentaciju i vlastitim kaznama.
Gdje se dva propisa zaista preklapaju
Najjasnije točke sudara:
Upravljanje podacima. Članak 10. Akta o umjetnoj inteligenciji traži upravljanje skupovima podataka za treniranje i validaciju — relevantnost, reprezentativnost, otkrivanje pristranosti. GDPR-ova načela smanjenja količine podataka i točnosti (članak 5.) već uređuju osobne podatke unutar tih istih skupova. Manjkav skup za treniranje sada može istodobno biti povreda oba okvira, ocijenjena prema dva različita testa.
Procjene učinka. GDPR traži procjenu učinka na zaštitu podataka (DPIA) za obrade visokog rizika. Akt o umjetnoj inteligenciji traži procjenu učinka na temeljna prava (FRIA) za određene visokorizične primjene, osobito kod javnih tijela i u osjetljivim sektorima. To nisu isti dokumenti, ali se uvelike oslanjaju na istu temeljnu analizu rizika — što znači da loše postavljena DPIA sada ima drugi propis koji čeka da uhvati ono što joj promakne.
Transparentnost. Članci 12. do 14. GDPR-a traže jasne informacije ispitanicima o obradi. Akt o umjetnoj inteligenciji zasebno traži da dobavljači korisnicima sustava daju upute za sigurnu uporabu te informacije o točnosti i ograničenjima sustava, i zahtijeva da se ljudima kaže kada komuniciraju s AI sustavom. Dva režima transparentnosti, dvije publike, dva skupa obveza informiranja.
Ljudski nadzor i automatizirano odlučivanje. Članak 22. GDPR-a ograničava isključivo automatizirane odluke s pravnim ili slično značajnim učinkom. Zahtjev za ljudskim nadzorom iz Akta o umjetnoj inteligenciji širi je i primjenjuje se bez obzira je li odluka „isključivo" automatizirana — sustav koji prelazi prag članka 22. jer čovjek formalno pregledava rezultate i dalje može pasti na višem pragu Akta za ono što je djelotvoran nadzor.
Računica kazni
Ovdje stvar postaje oštrija. Članak 99. Akta o umjetnoj inteligenciji postavlja trorazinsku strukturu:
- Do 35 milijuna eura ili 7 % godišnjeg prometa na svjetskoj razini za povrede zabranjenih praksi (članak 5.)
- Do 15 milijuna eura ili 3 % prometa za povrede u vezi s visokorizičnim sustavima
- Do 7,5 milijuna eura ili 1 % prometa za davanje netočnih ili obmanjujućih informacija regulatorima
Najviša razina sada premašuje GDPR-ov vlastiti maksimum od 20 milijuna eura ili 4 % globalnog prometa, čime Akt o umjetnoj inteligenciji na gornjoj granici postaje stroži od dva režima.
Ključno je da članak 99. stavak 8. sadrži pravilo „isto ponašanje, jedna kazna": ako jedan činjenični prekršaj krši i Akt o umjetnoj inteligenciji i drugi propis EU-a poput GDPR-a, regulatori izriču samo višu od dviju primjenjivih kazni. No ta je zaštita uža nego što zvuči. Ako AI sustav krši pravila upravljanja podacima iz Akta zbog pristranog skupa za treniranje, a zasebno krši GDPR-ova načela točnosti ili smanjenja količine podataka zbog načina na koji su ti isti podaci prikupljeni ili čuvani, to se tretira kao odvojene povrede — i mogu se kazniti odvojeno.
Pravno, ovo nije „ne bis in idem" u smislu u kojem to mnogi timovi za usklađenost pretpostavljaju. To je ocjena koja se donosi povreda po povredu — i što su podatkovne prakse vašeg AI sustava više isprepletene s osobnim podacima koje uređuje GDPR, to je veća površina na kojoj ta podjela može raditi protiv vas.
Što to znači u praksi
Instinkt da se Akt o umjetnoj inteligenciji i GDPR tretiraju kao dvije kontrolne liste koje se prolaze jedna za drugom trenutačno je najskuplja dostupna pogreška. Nekoliko stvari koje se umjesto toga isplati napraviti:
- Uskladite svoje DPIA-e i FRIA-e jedne s drugima umjesto da ih naručujete odvojeno. Ako sustav treba oboje, temeljna analiza rizika treba biti zajednički temelj, a ne dvije nepovezane vježbe koje si tiho proturječe. Ako uopće nemate DPIA proces, krenite od toga — FRIA-u je znatno teže graditi ni na čemu.
- Provjerite postojeće GDPR obavijesti o transparentnosti u odnosu na zahtjeve za informiranjem iz Akta o umjetnoj inteligenciji. Pokrivaju različite informacije, ali obavijest napravljena samo za GDPR vjerojatno neće sadržavati ono što Akt sada zasebno traži — a to dolazi baš u trenutku kada je EDPB transparentnost iz članaka 12. do 14. odredio kao svoj prioritet koordinirane provedbe za 2026. Obje strane ove godine gledaju iste obavijesti, iz različitih razloga.
- Tretirajte ljudski nadzor kao zahtjev dizajna, a ne kao izjavu o politici. Pod oba režima regulatori će tražiti dokaz da čovjek može smisleno intervenirati, a ne samo da je netko formalno u petlji. Naša kontrolna lista za nadzor AI-a pokazuje kako taj dokaz izgleda u praksi.
- Neka pravni timovi i timovi za tehničku dokumentaciju odmah počnu razgovarati. Zahtjevi Akta za tehničkom dokumentacijom i bilježenjem sve će više biti dokazna osnova na kojoj regulatori ocjenjuju i usklađenost s GDPR-om, jer oba počivaju na tome da možete pokazati — a ne samo tvrditi — kako sustav zaista obrađuje osobne podatke.
Kontekst provedbe ovo čini hitnim, a ne teoretskim
Ovo ne pada u mirno provedbeno okruženje.
GDPR kazne već su prešle 7,1 milijardu eura ukupno, od čega je više od 600 milijuna izrečeno samo u prvoj polovici 2026. Dnevne prijave povreda porasle su 22 % na godišnjoj razini, na 443 dnevno — prvi put da ta brojka prelazi 400 otkako se GDPR primjenjuje od 2018. A provedba se odlučno pomaknula dalje od velikih tehnoloških tvrtki: od siječnja 2023. izrečeno je više kazni malim i srednjim poduzećima nego u prethodnih pet godina zajedno.
Dodajte na tu putanju drugi kazneni režim s višom gornjom granicom i poruka je za timove za usklađenost jednostavna: Akt o umjetnoj inteligenciji nije samo dodao još jedan propis za praćenje. Dodao je drugog regulatora s vlastitim shvaćanjem onoga što vaš AI sustav duguje ljudima čije podatke dodiruje — u isto vrijeme, na istim sustavima, često oko istih činjenica.
Ako niste sigurni s koje strane granice visokog rizika vaši sustavi padaju, to je prvo pitanje na koje treba odgovoriti: gornje obveze grizu tek unutar Priloga III., ali se očekuje da samu klasifikaciju imate dokumentiranu. Rezervirajte besplatne konzultacije s GDPRGardom →
Izvori
- Akt EU-a o umjetnoj inteligenciji — članak 99., kazne
- Akt EU-a o umjetnoj inteligenciji — Prilog III., visokorizični AI sustavi
- Europska komisija — vremenski okvir primjene Akta o umjetnoj inteligenciji
- CMS GDPR Enforcement Tracker
- Europski odbor za zaštitu podataka — okvir koordinirane provedbe
Pročitajte i:
- Odgoda Akta o umjetnoj inteligenciji ne pokriva vaš chatbot
- Zašto svaka SaaS tvrtka treba DPIA-u prije lansiranja AI značajki
- AI vijesti i uvidi: što zaista pokreće poslovni rast temeljen na AI-u