Djeca već koriste AI chatbotove, a europska regulatorna tijela sada očekuju da ih ti proizvodi štite u praksi, a ne samo u politici privatnosti. Ako vaša tvrtka upravlja chatbotom, AI asistentom ili bilo kojom AI značajkom do koje mogu doći mladi, ovo se odnosi na vas, čak i ako djeca nisu vaša ciljna skupina.
Tri događaja iz 2026. daju ton. U srpnju je talijansko tijelo za zaštitu podataka kaznilo tvrtku koja stoji iza Character.AI-ja zbog slabih provjera dobi i javnih profila maloljetnika prema zadanim postavkama, među ostalim propustima. U rujnu je njemački sud presudio protiv načina na koji je Snapchatov AI chatbot koristio podatke iz razgovora za oglašavanje. A 17. rujna Europska komisija predložila je EU Zakon o djeci na internetu (KIDS Act), koji bi AI suputnike i opće chatbotove prvi put stavio pod pravila o sigurnosti djece. Zajednička nit: ako maloljetnici mogu doći do vašeg chatbota, tehnička i integrirana zaštita podataka mora funkcionirati u praksi. Ovaj je članak samo opće informativne naravi i nije pravni savjet.
Što su učinili regulatori i sudovi
Italija je do sada kaznila dva chatbota za društvo, njemački je sud zauzeo stav, a Bruxelles želi posebna pravila.
- Talijanski Garante, svibanj 2025.: Luka Inc. (Replika). Kazna od 5 milijuna eura. Tvrtka do veljače 2023. nije imala provjeru dobi, iako su maloljetnici navodno bili isključeni.
- Talijanski Garante, 3. srpnja 2026.: Character Technologies (Character.AI). Kazna od 158.000 eura (Odluka br. 487, objavljena 9. srpnja). Utvrđeni su, među ostalim, slabe provjere dobi, javni profili maloljetnika prema zadanim postavkama, zakašnjela procjena učinka (DPIA) i nedostaci u transparentnosti.
- Regionalni sud u Kölnu, 17. rujna 2026.: Snap (chatbot My AI). Sud je presudio protiv Snapa u sporu koji je pokrenuo Savez njemačkih organizacija potrošača (vzbv), broj predmeta 33 O 120/24, objavljeno 15. listopada. Presuda još nije pravomoćna, a Snap se prema navodima žali.
- Europska komisija, 17. rujna 2026.: EU KIDS Act. Prijedlog, još nije zakon. Obuhvaća društvene mreže, video platforme, online igre, trgovine aplikacijama, AI suputnike i opće chatbotove.
- Ofcom (UK), siječanj 2026.: Novi Ltd (AI usluga suputnika). Istraga o provjerama dobi prema Zakonu o online sigurnosti, otvorena 15. siječnja i zatvorena 31. srpnja nakon što je tvrtka uvela provjeru dobi, bez utvrđenih nalaza. Britansko pravo, ali koristan signal.
Četiri lekcije za svakoga tko vodi chatbot
1. Polje za datum rođenja nije provjera dobi
Character.AI tvrdio je da GDPR ne zahtijeva određenu tehnologiju provjere dobi. Garante je to prihvatio, ali je naveo da članci 24. i 25. i dalje zahtijevaju mjere koje su primjerene i učinkovite s obzirom na rizike, uključujući ranjivost maloljetnika.
Ulaz u Character.AI oslanjao se na to da korisnici sami upišu datum rođenja. Tehnički test 8. travnja 2025. pokazao je da se korisnik koji je naveo dob od 15 godina ipak mogao registrirati, a računi samoprijavljenih maloljetnika bili su prema zadanim postavkama javni. Garante je naložio tvrtki da provjere dobi učini djelotvornima, da učinkovito provodi razdoblje čekanja za odbijene maloljetnike te da profile maloljetnika postavi na privatno prema zadanim postavkama. Tvrtka ima 120 dana za izvješće.
Garante je kasnije novi sustav tvrtke ocijenio primjerenim. Kombinira provjeru dobi s ograničenim iskustvom za maloljetnike, a uveden je od studenoga 2025.
2. DPIA dolazi prije lansiranja
Prva procjena učinka na zaštitu podataka (DPIA) tvrtke Character.AI datirana je 14. studenoga 2024. Usluga je pokrenuta u rujnu 2022. Garante je rekao da je trebala biti provedena prije lansiranja i naveo tri čimbenika od kojih je svaki sam po sebi dovoljan da je zahtijeva: generativna umjetna inteligencija, obrada velikih razmjera i uključenost maloljetnika. Dodao je i da neformalne, nedokumentirane interne procjene rizika ne mogu zamijeniti formalnu DPIA prema članku 35.
Praktični zaključak: ako vaš chatbot koristi generativnu umjetnu inteligenciju i djeca ga realno mogu koristiti, pretpostavite da je DPIA obvezna i dovršite je prije izlaska. Pogledajte naš vodič o DPIA-i za AI chatbotove.
3. Jasno recite ljudima što se događa s njihovim razgovorima i podacima za treniranje
Ovi se nalazi odnose na svaki AI proizvod, ne samo na one namijenjene mladima.
- Jezik je važan. Obavijest o privatnosti bila je samo na engleskom više od godinu dana nakon pokretanja usluge na talijanskom.
- Nejasne izjave o treniranju zavaravaju. Jedna rečenica da se podaci korisnika „mogu koristiti za treniranje i poboljšanje“ modela nije razlikovala predtreniranje od treniranja na stvarnim razgovorima, pa su korisnici mogli vjerovati da se njihovi razgovori već koriste, iako nije bilo tako.
- Jedna svrha, jedna pravna osnova. Navođenje i privole i legitimnog interesa za istu svrhu ostavilo je korisnike bez jasnoće vrijedi li pravo na prigovor ili povlačenje privole.
- I osobe koje nisu korisnici imaju prava. Model je predtreniran uglavnom na podacima prikupljenima s interneta. Prema članku 14. trebalo je obavijestiti osobe čiji su podaci korišteni, uključujući one koje nikada nisu koristile uslugu.
- Predstavnik u EU-u. Tvrtka je predstavnika prema članku 27. imenovala tek u svibnju 2025., a Garante je odbio njezin argument da je obrada samo „povremena“.
4. Podaci iz razgovora nisu besplatno gorivo za oglašavanje
Slučaj Snapchata ide u istom smjeru. Prema izvješćima o presudi, sud u Kölnu utvrdio je da Snapovi uvjeti za AI chatbot ne zadovoljavaju osnovne zahtjeve zakonite obrade. Od korisnika se tražila privola unaprijed označenim okvirima, uključujući za ciljano oglašavanje, a Snap je rekao da koristi sve podatke iz razgovora za generiranje relevantnih oglasa. Sud je rekao da bi obrada ostala nezakonita i uz obavijest o podacima prije prve upotrebe te da je legitimni interes ne može opravdati. Komentatori također navode da je sud mogućnost osjetljivih podataka smatrao stvarnom jer korisnici u chatbot mogu upisati gotovo sve te da se usprotivio oglasima za alkohol i kockanje usmjerenima na maloljetnike.
Unaprijed označeni okviri godinama nisu valjana privola prema pravu EU-a. Novo je to što se načelo primjenjuje na chatbot, u kojem korisnici mogu podijeliti mnogo više nego u tražilici.
Što zakon već zahtijeva i što bi dodao KIDS Act
Nijedna od ovih odluka ne počiva na novom pravu: GDPR od početka obuhvaća podatke djece.
- Uvodna izjava 38.: djeca zaslužuju posebnu zaštitu, osobito u marketingu i izradi profila.
- Članak 8.: kada se internetska usluga oslanja na privolu i izravno je ponuđena djetetu, potrebna je privola roditelja ispod 16 godina. Države članice mogu tu dob sniziti do 13 godina.
- Članak 25.: tehnička i integrirana zaštita podataka. Garante ga je primijenio na javne profile prema zadanim postavkama.
- Akt o umjetnoj inteligenciji, članak 5. stavak 1. točka (b): od 2. veljače 2025. zabranjeni su AI sustavi koji iskorištavaju ranjivosti povezane, među ostalim, s dobi na način koji bitno narušava ponašanje i uzrokuje ili će vjerojatno uzrokovati znatnu štetu.
Provjere dobi nose vlastiti rizik za privatnost. Izjava 1/2025 EDPB-a o provjeri dobi (veljača 2025.) postavlja deset načela: metoda mora biti utemeljena na riziku, razmjerna i najmanje invazivna koja je još uvijek učinkovita te mora izbjegavati nepotrebno prikupljanje podataka, izradu profila i praćenje. EDPB napominje da provjera dobi često sama po sebi nosi visok rizik, pa DPIA treba doći prvo.
Predloženi KIDS Act
KIDS Act je prijedlog pa se može promijeniti prije nego postane zakon. Prema FAQ-u Komisije, AI suputnici i chatbotovi dostupni maloljetnicima:
- ne bi smjeli koristiti dizajn koji simulira ljudske odnose na način koji vjerojatno stvara emocionalnu ovisnost;
- prema zadanim postavkama ne bi smjeli prenositi ranije razgovore djeteta u kasnije;
- morali bi biti testirani na rizike za djecu prije lansiranja i praćeni zbog štete nakon toga;
- bili bi dostupni mlađima od 13 godina samo putem alata za roditeljski nadzor;
- kada su ugrađeni u društvenu mrežu, video platformu ili igru, ne bi se smjeli uključivati automatski, nametati djeci i morali bi se lako isključiti.
Procjena učinka Komisije kaže da se obveze testiranja i praćenja ne bi primjenjivale na sustave mikro i malih poduzeća. Šire gledano, prijedlog kaže da samoprijavljena dob ne bi bila dovoljna: dob bi se provjeravala certificiranim alatima, poput EU aplikacije za provjeru dobi, koji usluzi govore samo je li korisnik iznad ili ispod određene dobi. Provedba za AI suputnike i chatbotove oslanjala bi se na strukture Akta o umjetnoj inteligenciji, uz kazne do 6 % ukupnog svjetskog godišnjeg prometa.
Što to znači za malu tvrtku
Dosadašnje kazne pogodile su aplikacije za društvo, ali se obrazloženje odnosi na svaku tvrtku koja stavlja chatbot pred javnost. Do chatbota za podršku korisnicima, asistenta za rezervacije ili AI značajke u vašoj aplikaciji mogu doći i tinejdžeri.
- Sudi vam se prema tome tko može doći do proizvoda, a ne samo prema ciljnoj skupini. Iskreno se upitajte mogu li maloljetnici koristiti vaš chatbot.
- Zadane postavke vašeg dobavljača postaju vaš problem. Ako ugrađujete chatbot treće strane, provjerite što radi s poviješću razgovora, koristi li razgovore za treniranje i dijeli li podatke iz razgovora za oglašavanje.
- Vaša obavijest o privatnosti mora odgovarati stvarnosti. Na jeziku korisnika recite što se događa s razgovorima, razdvojite predtreniranje od treniranja na stvarnim razgovorima i navedite jednu pravnu osnovu po svrsi.
- Mala veličina pomaže, ali samo djelomično. Procjena učinka Komisije izuzela bi mikro i mala poduzeća od obveza testiranja i praćenja iz KIDS Acta. Gore navedene obveze iz GDPR-a, poput DPIA-e i zadane privatnosti, tim izuzećem nisu obuhvaćene.
- Izvan EU-a? Ako uslugu nudite ovdje, provjerite trebate li predstavnika u EU-u prema članku 27.
Kontrolni popis za timove koji vode chatbotove
- Iskreno procijenite mogu li maloljetnici doći do vašeg proizvoda, a ne samo jesu li vaša ciljna skupina.
- Provedite DPIA prije lansiranja, uključujući maloljetnike, podatke za treniranje i provjeru dobi.
- Zamijenite samoprijavljenu dob razmjernom metodom provjere dobi i testirajte radi li, uključujući ponovljene pokušaje zaobilaženja.
- Profile i razgovore maloljetnika postavite na privatno prema zadanim postavkama.
- Za maloljetnike prema zadanim postavkama isključite trajnu memoriju razgovora i odredite jasne rokove čuvanja.
- Podatke iz razgovora maloljetnika držite izvan oglašavanja i izrade profila i nikada se ne oslanjajte na unaprijed označene okvire.
- Napišite obavijest o privatnosti na jeziku korisnika koja razdvaja predtreniranje od treniranja na stvarnim razgovorima i navodi jednu pravnu osnovu po svrsi.
- Obavijestite osobe koje nisu korisnici, a čiji su podaci prikupljeni za treniranje, kako zahtijeva članak 14.
- Imenujte predstavnika u EU-u prema članku 27. ako imate sjedište izvan EU-a i ovdje nudite uslugu.
- Preispitajte značajke dizajna koje potiču emocionalnu ovisnost ili kompulzivno korištenje.
- Pratite KIDS Act i pošaljite povratne informacije ako vas se tiče. Stranica Komisije navodi 26. studenoga 2026. kao krajnji rok, a spominje i 3. prosinca, pa ciljajte na raniji datum. Ako koristite i agente, pogledajte što regulatori očekuju od AI agenata.
Zaključak
Mnogi su chatbotovi građeni uz pretpostavku da su korisnici odrasli koji mogu pročitati politiku privatnosti i brinuti se o sebi. Regulatori i sudovi tu pretpostavku provjeravaju i nalaze je manjkavom. Koraci su jasni: procijenite rizike prije lansiranja, provjeravajte dob na način koji radi bez prekomjernog prikupljanja podataka, podatke maloljetnika držite privatnima prema zadanim postavkama, držite razgovore izvan oglašavanja i budite iskreni o treniranju. Timovi koji to naprave sada bit će spremni za KIDS Act i steći će povjerenje roditelja koji odlučuju koje aplikacije ostaju na telefonima njihove djece. Niste sigurni gdje stoje vaši AI alati? GDPRGardov alat za AI reviziju dobra je polazna točka. Za dio o obavijesti da se radi o AI-ju pogledajte naš vodič o članku 50. Akta o umjetnoj inteligenciji.
Izvori
- Garante: Character.AI measure, press release and decision No. 487 of 3 July 2026 (9 Jul 2026)
- regulations.ai: Garante v Character Technologies, enforcement entry (3 Jul 2026)
- EDPB: Italian authority fines company behind chatbot Replika
- vzbv: Urteil, Snapchat-KI nutzt rechtswidrig Daten von Minderjährigen für Werbung (15 Oct 2026)
- MTR Legal: Landgericht Köln prohibits Snapchat's unlawful data processing
- beck-aktuell: LG Köln, 33 O 120/24, Snapchat AI chatbot and personalised advertising (15 Oct 2026)
- European Commission: Commission seeks feedback on the EU KIDS Act
- European Commission: Proposal for the EU KIDS Act, COM(2026) 681 final (17 Sep 2026)
- McCann FitzGerald: KIDS Act proposal
- Davis Wright Tremaine: European Commission proposes EU KIDS Act (Sep 2026)
- Ofcom: Ofcom investigates AI companion chatbot service (15 Jan 2026)
- Ofcom: Investigation into Novi Ltd, closed 31 Jul 2026
- EDPB: Statement 1/2025 on Age Assurance (11 Feb 2025)
- GDPR, Regulation (EU) 2016/679, EUR-Lex
- AI Act, Regulation (EU) 2024/1689, EUR-Lex
Stavovi navedeni gore sažeti su iz navedenih izvora; izvješća o presudama i prijedlogu KIDS Acta sekundarna su i treba ih provjeriti u samoj presudi i prijedlogu. Analiza njihova međusobnog odnosa je naša.
Pročitajte i:
- Vaš AI chatbot ništa ne anonimizira
- Članak 50. Akta o UI: što konačne smjernice znače za vaš chatbot i AI sadržaj
- Vaš AI agent može djelovati sam. Zakon o privatnosti i dalje očekuje da vi vodite