Radije slušate? Kliknite play za AI naraciju

Chatbot odgovara na pitanja. AI agent obavlja poslove. Čita vaš sandučić e-pošte, pretražuje web, otvara datoteke, ažurira zapis u CRM-u, zakazuje sastanak, šalje e-poruku ili obavlja kupnju, često u nizu koraka koje nijedna osoba ne odobrava pojedinačno. Svaki od tih koraka može uključivati osobne podatke.

Regulatori zaštite podataka to su primijetili. Dana 8. listopada 2026. britanski Ured povjerenika za informiranje (ICO) otvorio je javni poziv za dostavu dokaza o agentnoj umjetnoj inteligenciji i potvrdio upite o nedavnom testiranju agenata u nekoliko vodećih laboratorija. U srpnju je francuski CNIL zajedno s francuskim Vijećem za umjetnu inteligenciju i digitalno objavio istraživačku bilješku o agentnoj umjetnoj inteligenciji. Španjolska AEPD izdala je vlastite smjernice u veljači. Njihova je poruka dosljedna, a ICO ju je sažeo u jednoj rečenici: „the fact AI agents act with autonomy is not an excuse for poor compliance“ (to što AI agenti djeluju autonomno nije izlika za lošu usklađenost). Ovaj je članak samo opća informacija i nije pravni savjet.

Zašto su agenti sada na radaru regulatora

Što agente čini drukčijima

Agenti ne ruše logiku GDPR-a, ali je razvlače. Regulatori ističu četiri obilježja.

Šest pitanja koja postavljaju regulatori

Javni poziv ICO-a izgrađen je oko šest tema. CNIL i AEPD pokrivaju isto područje, pa zajedno čine praktičnu kartu.

1. Sigurnost: je li autonomija promišljena?

ICO očekuje da razina autonomije dana agentu bude promišljen izbor dizajna, potkrijepljen zaštitnim mjerama, dopuštenjima i pragovima odobrenja razmjernima onome što agent može činiti s osobnim podacima. Među novim mjerama navodi pristup s najmanjim ovlastima, ograničenja uporabe alata i ljudsko odobrenje za radnje visokog rizika. Predlaže i da se svaki agent registrira na imenovanog vlasnika, s određenom svrhom i skupom dopuštenja. AEPD dodaje popise dopuštenih vanjskih usluga i „prekidače“ koji automatski zaustavljaju agenta kad otkriju neobičnu aktivnost.

2. Transparentnost: je li obavijest na početku dovoljna?

Budući da se obrada agenta može promijeniti usred zadatka, ICO dovodi u pitanje zadovoljava li opće objašnjenje prije početka tijeka rada obveze transparentnosti. Priznaje da upiti, obavijesti i koraci odobravanja usput dodaju „trenje“, ali smatra da bi mogli biti potrebni. Ističe i da, ako agent pohranjuje ili čita informacije na uređaju osobe, britanska pravila o elektroničkim komunikacijama (PECR) mogu zahtijevati jasne informacije i, u nekim slučajevima, privolu. U EU-u članak 5. stavak 3. Direktive o e-privatnosti (2002/58/EZ) postavlja sličnu odredbu za pohranu informacija ili pristup informacijama na uređaju korisnika.

3. Odgovornost: tko je voditelj obrade?

Agentni opskrbni lanci uključuju pružatelje modela, graditelje agenata, dobavljače alata i korisnike. ICO kaže da je vidio razvojne programere koji se proglašavaju voditeljima obrade samo za razvoj, održavanje i sigurnost, prebacujući odgovornost nizvodno. Njegov je odgovor da pojam voditelja obrade treba tumačiti široko te da onaj tko odlučuje o protokolima, dopuštenjima i kontrolama pristupa može određivati sredstva obrade, pa stoga može biti voditelj obrade. AEPD navodi srodnu točku: svaki alat treće strane koji agent poziva može unijeti nove izvršitelje obrade, neovisne voditelje obrade, zajedničko voditeljstvo, međunarodne prijenose i nove ugovorne obveze ili obveze informiranja.

4. Automatizirane odluke: gledajte cijeli tijek rada

Prema članku 22. GDPR-a, pojedinci imaju pravo da se na njih ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi i koja ima pravne ili slične znatne učinke. ICO kaže da organizacije to moraju procjenjivati na cijelom agentnom tijeku rada, a ne odluku po odluku: ljudski doprinos na jednoj točki lanca strojnih odluka nije nužno smislen. Osobe koje provjeravaju trebaju imati ovlast promijeniti ishod i dovoljno obuke da razumiju logiku, izlaze, ograničenja i rizike sustava. CNIL iznosi istu poantu citirajući presudu Suda EU-a u predmetu SCHUFA (C-634/21): ljudska intervencija na izlaznoj fazi nije automatski dovoljna; mora biti stvarna i učinkovita.

5. Ograničenje svrhe: nove uporabe treba opravdati

Agenti mogu poduzeti međukorake koje nitko nije tražio i ponovno upotrijebiti podatke iz jednog zadatka u drugom. ICO je jasan: sposobnost agenta da uoči novu uporabu osobnih podataka ne čini tu uporabu spojivom s izvornom svrhom. Upozorava i da nazivanje razvoja proizvoda „istraživanjem“ taj razvoj nužno ne stavlja pod odredbe o znanstvenom istraživanju; obrada isključivo za interni, komercijalni razvoj proizvoda vjerojatno se neće kvalificirati.

6. Pravna osnova: jedan klik ne pokriva sve

Prema ICO-u, ni uvjeti usluge ni korisnikova uputa agentu ne daju pravnu osnovu za svu obradu koja slijedi. Ugovor kao osnova pokriva samo ono što je objektivno nužno za pružanje usluge koju je korisnik zatražio, a različite faze tijeka rada mogu zahtijevati različite osnove. Legitimni interes može biti dostupan, primjerice za treniranje modela orkestratora, ali samo uz dokumentiranu procjenu legitimnog interesa.

Prava ispitanika u svijetu agenata

Zahtjevi za ostvarivanje prava mjesto su gdje agenti uzrokuju najviše praktičnih poteškoća. CNIL ističe da osobi može biti teško saznati koji je agent prikupio njezine podatke, gdje su pohranjeni, jesu li proslijeđeni i kojem se voditelju obrade obratiti. To otežava potpuno provođenje ispravka i brisanja.

Odgovor AEPD-a je granularna sljedivost. Da bi odgovorila na zahtjev za pristup, ispravak, brisanje, ograničenje, prigovor ili prenosivost, organizacija mora moći pronaći svaki relevantan element, uključujući naredbe i međuizlaze kad sadrže osobne podatke. Preporučene kontrole memorije idu u istom smjeru: odvojiti memoriju po postupku obrade, slučaju ili korisniku; držati memoriju organizacije odvojeno od korisnikove; odrediti stroge rokove čuvanja; i redovito čistiti trajnu memoriju. CNIL dodaje memoriju podijeljenu po agentu i po procesu, s ograničenjima veličine i automatskim istekom.

Gdje se uklapa Akt o umjetnoj inteligenciji

Akt o umjetnoj inteligenciji (Uredba (EU) 2024/1689) primjenjuje se na agentne sustave kao i na svaki drugi sustav umjetne inteligencije. Jedna je obveza već na snazi: od 2. kolovoza 2026. članak 50. stavak 1. zahtijeva da pružatelji sustave umjetne inteligencije koji izravno komuniciraju s ljudima oblikuju tako da su ti ljudi obaviješteni da imaju posla s umjetnom inteligencijom, osim ako je to očito. Prema litavskoj službi za zaštitu podataka Duomenų apsaugos tarnyba, Digitalni omnibus o umjetnoj inteligenciji (Uredba (EU) 2026/1744) nije promijenio tu odredbu. Ako vaš agent piše klijentima ljudskim glasom, postavlja se pitanje obavještavanja. Pogledajte naš vodič kroz članak 50. Akta o umjetnoj inteligenciji.

Stiže još. Prema bilješci CNIL-a, EDPB i Europska komisija pripremaju smjernice o međudjelovanju GDPR-a i Akta o umjetnoj inteligenciji, očekivane do kraja 2026. CNIL je također predložio da EDPB svoj rad na modelima umjetne inteligencije i web scrapingu nastavi preporukama posebno o agentnoj umjetnoj inteligenciji.

Praktični kontrolni popis za organizacije koje uvode AI agente

Napomena za čitatelje iz Brazila

Brazilski regulator također se priprema baviti agentima. U srpnju 2026. ANPD i Razvojni program Ujedinjenih naroda otvorili su pozive savjetnicima za izradu tehničkih studija, od kojih je jedna o „AI agentima u kontekstu zaštite osobnih podataka“. Prema Capital Digitalu, studija će mapirati koliko su te tehnologije razvijene i dati tehnički doprinos budućim regulatornim inicijativama ANPD-a. Do tada već vrijedi LGPD (Zakon 13.709/2018): njegov članak 20. daje ljudima pravo zatražiti preispitivanje odluka donesenih isključivo na temelju automatizirane obrade, a to pravo ne nestaje zato što je odluku donio agent, a ne jedan model.

Zaključak

AI agenti su korisni upravo zato što djeluju bez da im se diktira svaki korak. Zato im regulatori i posvećuju pozornost: što sustav ima više autonomije, to organizacija više mora znati čemu može pristupiti, čega se sjeća, s kim razgovara i tko za njega odgovara. Ništa od toga ne zahtijeva novi zakon. Poznata načela GDPR-a, zakonitost, transparentnost, smanjenje količine podataka, sigurnost i pouzdanost, već se primjenjuju. Mijenja se inženjerstvo potrebno za njihovo poštovanje. Rezervirajte besplatnu konzultaciju s GDPRGardom → i pomoći ćemo vam mapirati dopuštenja, memoriju i tokove podataka vaših agenata prije nego stignu smjernice.

Izvori

Stajališta ICO-a, CNIL-a i AEPD-a iznesena gore sažeta su iz navedenih izvora. Tvrdnje o tome što ICO „očekuje“ ili „predlaže“ odražavaju njegov javni poziv i nisu obvezujuća pravila. Analiza njihova međusobnog uklapanja naša je.

Podijeli ovaj članak

Pročitajte i:

⚠️ Ovaj članak služi isključivo u informativne svrhe i ne predstavlja pravni savjet. Za složene situacije usklađenosti obratite se kvalificiranom stručnjaku za zaštitu podataka. Zahtjevi GDPR-a i EU Akta o umjetnoj inteligenciji podliježu smjernicama koje se razvijaju — svoje aktualne obveze provjerite sa svojim pravnim savjetnikom.