Godinama je usklađenost s GDPR-om uglavnom značila trake za kolačiće, ugovore o obradi podataka i popise za provjeru prijave povreda podataka. U 2026. sve više znači nešto drugo: utvrditi jesu li vaši UI modeli trenirani zakonito, ima li vaš chatbot pravnu osnovu za obradu onoga što mu korisnici povjere, te jesu li "anonimizirani" podaci za treniranje to zaista.

Regulatori nisu ponovno napisali temeljna načela GDPR-a, ali aktivno mijenjaju kako se ta načela primjenjuju na UI — a brojke pokazuju da provedba u međuvremenu nije usporila.

Provedba nije popustila

Kumulativne GDPR kazne od 2018. sada iznose između 6,1 i 7,1 milijardu eura, ovisno o tracker izvoru, s otprilike 1,2 milijarde eura izrečenih samo u posljednjih dvanaest mjeseci — tempo provedbe ostaje postojan, a ne opada. Irska i dalje nosi najveći udio u vrijednosti kazni (oko 4 milijarde eura, uglavnom iz predmeta protiv velikih tehnoloških platformi zbog pravne osnove i međunarodnih prijenosa), dok Španjolska prednjači po broju kazni, objavljujući preko tisuću kazni sedmu godinu zaredom. Ta podjela je važna: rekordne kazne protiv velikih tehnoloških tvrtki privlače naslove, ali češća stvarnost su srednje i male organizacije kažnjene zbog osnovnih propusta u zakonitosti.

6,1–7,1 mlrd. €
Kumulativne GDPR kazne od 2018.
1,2 mlrd. €
Izrečeno u posljednjih 12 mjeseci
443/dan
Prosječan broj prijava povreda u EU
+22%
Godišnji rast broja prijava

Prijave povreda podataka također rastu. Prijavljene povrede diljem Europe sada u prosjeku iznose 443 dnevno, što je 22% više na godišnjoj razini — prvi put da je taj broj prešao 400. A sve veći udio kazni odnosi se na nedostatak procjene učinka na zaštitu podataka (DPIA), koja se tretira kao samostalan prekršaj, a ne samo administrativni propust. Reddit je 2026. kažnjen s 14,47 milijuna funti od strane britanskog ICO-a upravo zbog te kombinacije: nije postojala pravna osnova za obradu podataka korisnika mlađih od 13 godina, i nije provedena DPIA prije toga. IQVIA Operations France dobila je kaznu od 5 milijuna eura zbog suptilnije, ali sve češće pogreške — tretiranja pseudonimiziranih zdravstvenih podataka kao da su potpuno anonimizirani, i odgovarajućeg (odnosno neadekvatnog) osiguravanja.

Pseudonimizirani podaci prema GDPR-u i dalje su osobni podaci — mogu se ponovno identificirati uz pravi ključ. Anonimizirani podaci ne mogu se ponovno identificirati ni od koga, ni na koji način. Tretirati jedno kao drugo upravo je pogreška koja je IQVIA-u koštala 5 milijuna eura, a ista je pogreška koju mnogi timovi za UI mogu počiniti udaljeni tek jedan "deidentificirani" skup podataka za treniranje.

Vrijednost GDPR kazni po tijelu, 2018.–2026. Irska nosi oko 4 milijarde eura od 6,1–7,1 milijarde eura izrečenih diljem EU-a od 2018.; ostatak EU-a nosi preostali dio, dok Španjolska zasebno prednjači po broju izrečenih kazni. VRIJEDNOST KAZNI, 2018.–2026. (KUMULATIVNO) Irska ≈ 4,0 mlrd. € Ostatak EU-a ≈ 2,1–3,1 mlrd. € Španjolska zasebno prednjači po volumenu — preko 1.000 pojedinačnih kazni u 2026., 7. godinu zaredom. Izvor: CMS GDPR Enforcement Tracker · brojke zaokružene, sredina raspona trackera
Irski udio odražava velike predmete protiv tehnoloških platformi zbog pravne osnove i međunarodnih prijenosa — no širi obrazac provedbe sada seže daleko izvan velikih tehnoloških tvrtki.

Digital Omnibus: prva prava izmjena GDPR-a za eru umjetne inteligencije

Glavna regulatorna priča 2026. je paket Digital Omnibus Europske komisije, predložen u studenom 2025. i još uvijek u pregovorima. To je prva strukturna izmjena GDPR-a od njegova stupanja na snagu 2018., a velik dio nje izravno je usmjeren na razvoj umjetne inteligencije.

Najznačajniji prijedlog izričito priznaje "legitimni interes" kao valjanu pravnu osnovu za obradu osobnih podataka — uključujući posebne kategorije podataka — za treniranje UI modela i njihovo testiranje na pristranost. To bi bila značajna promjena: dala bi UI razvijateljima jasniji, obranjiviji pravni temelj za korištenje osobnih podataka u pipelineovima za treniranje, što je bila trajna siva zona otkako je GDPR napisan godinama prije nego što je generativna UI uopće postojala.

PodručjeDanasPrijedlog u Digital Omnibusu
Podaci za treniranje UI-jaNema izričito navedene pravne osnove za treniranje/testiranje pristranosti na osobnim podacima, uključujući posebne kategorije"Legitimni interes" formalno priznat kao valjana osnova za treniranje UI modela i njihovo testiranje na pristranost
Osobni podaciOpćenito, svaki podatak kojim bi netko mogao identificirati osobuSuženo kako bi se isključili podaci za koje tvrtka nema razumna sredstva identifikacije osobe
Prijava povredeRok od 72 sata za prijavu nadzornom tijeluProduljen na 96 sati; prag podignut na "visok rizik" tako da manje povreda niže ozbiljnosti pokreće formalnu prijavu
Pristanak na kolačićePristanak potreban za praktički sve neophodne kolačićeGumbi za prihvat/odbijanje jednake istaknutosti, šestomjesečni moratorij na ponovno traženje odbijenog pristanka, signali pristanka na razini preglednika — iako je tekst Vijeća iz lipnja 2026. izbacio nekoliko tih odredbi

Na strani Akta o umjetnoj inteligenciji, rokovi za obveze visokog rizika pretvoreni su iz datuma ovisnih o odluci Komisije u fiksne kalendarske prekretnice.

Rokovi obveza visokog rizika prema EU Aktu o umjetnoj inteligenciji Vremenska crta koja prikazuje danas u kolovozu 2026., obveze za samostalne UI sustave visokog rizika od 2. prosinca 2027., i obveze za UI ugrađen u već regulirane proizvode od 2. kolovoza 2028. AI ACT · ROKOVI VISOKOG RIZIKA DANAS Kolovoz 2026. SAMOSTALNI SUSTAVI VISOKOG RIZIKA 2. pro. 2027. UI UGRAĐEN U REGULIRANE PROIZVODE 2. kol. 2028. Fiksne kalendarske prekretnice, više ne ovise o odluci Komisije · AI-Omnibus dio usvojen 29. lipnja 2026.
Data Omnibus dio usmjeren na GDPR i dalje je u pregovorima, s usvajanjem prije kraja 2026. koje se čini malo vjerojatnim — pratite ga, ali ne gradite usklađenost oko teksta koji se još može promijeniti.
🧭
GDPRGard alat
Je li ljudski nadzor nad vašim UI-jem zaista dokumentiran?

Sami procijenite ispunjava li vaš UI ili automatizirano odlučivanje standard ljudskog nadzora koji se očekuje prema čl. 22. GDPR-a i smjernicama EDPS-a — besplatno, 5 minuta.

Pokreni provjeru →

Zašto je ovo važno sada, a ne kasnije

Ništa od ovoga nije konačno, i upravo je to poanta za timove za usklađenost: pravna osnova za podatke za treniranje UI-ja aktivno se ponovno pregovara dok se provedba trenutnih pravila nastavlja punim tempom. Čekanje da se Digital Omnibus slegne prije revizije UI podatkovnih pipelinea znači graditi na pretpostavkama koje se mogu promijeniti pod vama — i to dok regulatori već kažnjavaju tvrtke zbog praznina u pravnoj osnovi i nedostatka DPIA koje vrlo nalikuju onome što mnogi UI projekti imaju danas.

Postoji i tržišni signal vrijedan pažnje. Ciscova studija o privatnosti za 2026. pokazala je da potrošači i tvrtke dolaze do istog zaključka s dva suprotna kraja: povjerenje pokreće prihvaćanje, a ulaganje u privatnost se isplati.

95% POTROŠAČA
kaže da je privatnost ključna za povjerenje u usluge pokretane UI-jem
99% TVRTKI
prijavljuje mjerljivu poslovnu korist od ulaganja u privatnost
Izvor: Cisco 2026 Data Privacy Benchmark Study. Regulatorni pritisak na stranu, tretiranje upravljanja UI podacima kao naknadne misli u usklađenosti sve više postaje konkurentski nedostatak, a ne samo pravni rizik.

Što zapravo učiniti odmah

Praktičan zaključak za 2026. ne ovisi o tome kako će završiti pregovori o Digital Omnibusu. Svodi se na tri navike, dosljedno primijenjene, počevši od UI sustava koji ste najnovije lansirali:

  1. Dokumentirajte odmah pravnu osnovu za svaki skup podataka koji hrani UI sustav. Nemojte čekati da "legitimni interes" postane formalna opcija pod Digital Omnibusom — zapišite na kojoj se osnovi danas oslanjate za svaki skup podataka za treniranje i fino podešavanje, i budite spremni je obraniti.
  2. Provodite DPIA prije uvođenja, a ne nakon incidenta. Slučaj Reddita pokazuje točno što se događa kada se DPIA tretira kao neobavezni papirologija umjesto kao barijera prije lansiranja značajke koja se dotiče podataka djece ili druge obrade višeg rizika.
  3. Ne pretpostavljajte da je pseudonimizacija zamjena za anonimizaciju. Ako se vaši "deidentificirani" podaci za treniranje mogu ponovno povezati s osobom od strane bilo koga tko ima pravi ključ, i dalje su osobni podaci — i trebaju sigurnost i pravnu osnovu koja odgovara tom statusu, što IQVIA-i nije nedostajalo.
  4. Pratite Digital Omnibus bez da oko njega gradite. Reagirajte na konačni tekst kada se Vijeće i Parlament stvarno oko njega usuglase — prijedlog koji je već jednom izgubio odredbe u pregovorima nije temelj na kojem treba planirati usklađenost.

Zaključak

Pravila oko UI-ja i GDPR-a se mijenjaju, ali provedbena praksa jasno pokazuje da "pravila još nisu konačna" u međuvremenu nije obrana koju regulatori prihvaćaju. Usklađenost s GDPR-om kakav je danas — a ne kockanje na to gdje će Digital Omnibus završiti — jest ono što štiti UI projekt kroz ostatak 2026.

Rezervirajte besplatne konzultacije s GDPRGardom →

Izvori

Podijeli ovaj članak

Pročitajte i:

⚠️ Ovaj članak služi isključivo informativno i ne predstavlja pravni savjet. Za složene situacije usklađenosti obratite se kvalificiranom stručnjaku za zaštitu podataka. Zahtjevi GDPR-a i EU AI Acta podložni su stalnim regulatornim smjernicama — provjerite trenutne obveze sa svojim pravnim savjetnikom.