EU AI Act: kaj Akt o umetni inteligenci pomeni za vaše podjetje

EU AI Act oziroma Akt o umetni inteligenci zadeva tudi slovenska podjetja, ki umetne inteligence ne razvijajo, ampak jo uporabljajo za pisanje, podporo strankam, zaposlovanje ali analizo dokumentov. Ključno vprašanje ni samo, katero orodje imate, temveč za kaj ga uporabljate in kako njegovi rezultati vplivajo na ljudi.

Za računovodski servis, ki pripravlja osnutke dopisov, veljajo drugačna tveganja kot za kadrovsko agencijo, ki z AI razvršča kandidate. Nakup poslovne licence zato še ne pomeni, da ste uredili vse obveznosti. Potrebujete pregled uporab, odgovorne osebe in pravila, ki jih zaposleni lahko izvajajo.

Ta vodnik pojasnjuje osnovno razvrščanje in praktične ukrepe. Ne nadomešča pravnega nasveta; zlasti roke uporabe in morebitne zakonodajne spremembe preverite v uradnih virih, ne samo na straneh ponudnikov.

Kaj EU AI Act ureja in katere uporabe so tvegane?

EU AI Act je uredba EU, ki obveznosti prilagaja tveganjem in vlogam sodelujočih. Vsaka uporaba generativne AI ni visokotvegana, vendar lahko tudi običajno orodje postane del občutljivega poslovnega procesa.

Za začetni pregled pomaga naslednja poenostavitev. Kategorije niso povsem ločeni predali: zahteve glede preglednosti se lahko prekrivajo z drugimi obveznostmi.

Visokotvegane uporabe vključujejo določene sisteme na področjih zaposlovanja, izobraževanja, kreditne sposobnosti fizičnih oseb in drugih občutljivih odločitev. Posebna pravila veljajo tudi za AI, povezano z določenimi reguliranimi proizvodi.

Človeški podpis sam po sebi ne spremeni razvrstitve. Če vodja kadrovske službe zgolj potrjuje seznam kandidatov, ki ga je oblikoval sistem, ne morete predpostaviti, da visokega tveganja ni. Pomembna sta dejanska funkcija sistema in vpliv na odločitev.

Izjeme pri razvrstitvi nekaterih sistemov iz Priloge III zahtevajo konkretno presojo. Splošna trditev »AI samo pomaga« ni zadostna podlaga zanjo.

Kdo je uvajalec AI in kdaj postanete ponudnik?

Uvajalec AI je praviloma organizacija, ki sistem uporablja pod svojo pristojnostjo pri poslovanju. Ponudnik pa sistem razvije ali naroči njegov razvoj in ga pod svojim imenom oziroma znamko da na trg ali v uporabo.

Slovensko izvozno podjetje, ki zaposlenim omogoči uporabo kupljenega pomočnika za pripravo ponudb, je običajno uvajalec. Razvijalec osnovnega modela ima drugačno vlogo; njegove obveznosti se ne prenesejo samodejno na vsakega poslovnega uporabnika.

Vendar vloga ni trajno določena z računom za licenco. Podjetje lahko prevzame obveznosti ponudnika, denimo če pod pogoji uredbe:

• visokotvegani sistem trži pod svojim imenom;
• bistveno spremeni visokotvegani sistem;
• spremeni namen prvotno nevisokotveganega sistema tako, da postane visokotvegan.

Primer: uporaba splošnega pomočnika za jezikovno izboljšavo oglasa za zaposlitev ni isto kot izdelava aplikacije, ki ocenjuje kandidate in predlaga zavrnitve. Druga uporaba zahteva novo presojo sistema, vloge podjetja in morebitnih dodatnih obveznosti.

Za vsako uporabo zato zapišite lastnika procesa, namen, dobavitelja, uporabnike in osebe, na katere rezultat vpliva. Če šele vzpostavljate osnovni proces, uporabite tudi vodnik za uvedbo umetne inteligence v podjetju.

Kdaj se začnejo uporabljati posamezne obveznosti?

Akt o umetni inteligenci se uporablja postopoma, ne z enim samim datumom za vse. Ločiti morate začetek veljavnosti uredbe, začetek uporabe posameznih določb in prehodne režime.

Izhodiščni časovni okvir Uredbe (EU) 2024/1689 določa:

• 1. avgust 2024: začetek veljavnosti uredbe;
• 2. februar 2025: začetek uporabe določb o AI pismenosti in prepovedanih praksah;
• 2. avgust 2025: začetek uporabe dela pravil, med drugim za modele AI za splošne namene, ob upoštevanju prehodnih določb;
• 2. avgust 2026: splošni datum uporabe večine določb, vključno s pravili o preglednosti iz 50. člena.

Pri visokotveganih sistemih posebej preverite veljavno časovnico za ustrezno kategorijo, prehodne določbe za obstoječe sisteme in morebitne poznejše spremembe uredbe. Napovedan odlog ali zakonodajni predlog ni isto kot sprejeta in objavljena sprememba. Tudi datum nakupa sistema sam zase ne odgovori na vprašanje, katere obveznosti veljajo.

Pravno izhodišče poiščite v besedilu uredbe na EUR-Lexu, kjer preverite tudi povezane spremembe. Razlago izvajanja spremljajte na uradni strani Evropske komisije o regulativnem okviru AI.

Za podjetje je najvarneje, da priprave ne veže samo na zadnji rok. Popis uporab, usposabljanje in ureditev podatkov potrebujete že za odgovorno vsakodnevno delo.

Katere AI Act obveznosti morate urediti v praksi?

Najprej uredite AI pismenost in preverite prepovedane prakse, nato dodajte zahteve za konkretno uporabo. Obveznosti uvajalcev visokotveganih sistemov iz 26. člena niso avtomatično obveznosti vsakega uporabnika klepetalnika.

AI pismenost mora ustrezati delu zaposlenih

Četrti člen od ponudnikov in uvajalcev zahteva ukrepe za zadostno AI pismenost oseb, ki v njihovem imenu uporabljajo sisteme. Upoštevati morate njihovo znanje, izkušnje, kontekst uporabe in osebe, na katere uporaba vpliva.

Za prodajno ekipo naj usposabljanje vključuje izmišljene navedbe in varovanje podatkov strank. Za kadrovsko službo dodajte pristranskost, razvrščanje kandidatov in omejitve avtomatiziranih odločitev. Za upravo je pomembno razumevanje odgovornosti in omejitev nadzornih poročil.

Uredba ne predpisuje enega univerzalnega tečaja za vse. Kot dokaz izvedenih ukrepov hranite program, gradiva, evidenco udeležbe in kratko preverjanje razumevanja. To so smiselna dokazila, ne predpisan enoten obrazec.

Pri visokotveganih sistemih potrebujete operativni nadzor

Kadar za vašo uporabo veljajo ustrezne določbe, preverite predvsem:

• uporabo sistema skladno z navodili ponudnika;
• določitev oseb z znanjem, usposobljenostjo in pooblastili za človeški nadzor;
• ustreznost in reprezentativnost vhodnih podatkov, kolikor jih nadzorujete;
• spremljanje delovanja in postopek ob tveganjih ali resnih incidentih;
• hrambo samodejno ustvarjenih dnevnikov pod vašim nadzorom;
• zahtevana obvestila zaposlenim, njihovim predstavnikom ali prizadetim osebam.

Za dnevnike 26. člen praviloma določa najmanj šestmesečno hrambo, razen če veljavno pravo določa drugače. To ni splošna zahteva, da mora vsako podjetje šest mesecev hraniti vse pogovore z AI.

Pri nekaterih uvajalcih in uporabah je potrebna tudi ocena učinka na temeljne pravice po 27. členu. Ta ni enaka oceni učinka na varstvo podatkov po GDPR, čeprav je mogoče pripravo povezati.

Kdaj morate razkriti uporabo AI in kako je povezana z GDPR?

Preglednost ne pomeni, da morate vsak interni osnutek označiti z »ustvarjeno z AI«. Obveznosti so odvisne od vrste sistema, vsebine, načina uporabe in vaše vloge.

Pri sistemih za neposredno interakcijo z ljudmi mora ponudnik praviloma zagotoviti, da so ljudje obveščeni o interakciji z AI, razen kadar je to očitno glede na okoliščine. Kot podjetje, ki klepetalnik uvede na spletno stran, preverite, ali je obvestilo pri dejanski uporabi vidno in razumljivo.

Uvajalci morajo pri vsebinah, ki pomenijo globoke ponaredke, razkriti umetni izvor oziroma manipulacijo, ob upoštevanju zakonskih posebnosti. Za določena umetniška ali satirična dela je način razkritja prilagojen; to ni splošna izjema za vsako oglaševanje.

Posebno pravilo velja za AI ustvarjeno ali prirejeno besedilo, objavljeno z namenom obveščanja javnosti o zadevah javnega interesa. Uredba predvideva tudi izjemo, kadar je bila vsebina predmet človeškega pregleda ali uredniškega nadzora in fizična ali pravna oseba prevzame uredniško odgovornost. Strojno berljivo označevanje sintetičnih vsebin je ločena obveznost ponudnikov v predpisanem obsegu.

GDPR ostaja samostojen sklop pravil. Pri obdelavi osebnih podatkov preverite pravno podlago, namen, najmanjši obseg podatkov, pogodbeno razmerje z obdelovalcem, roke hrambe in morebitne prenose v tretje države.

Računovodski servis zato ne sme sklepati, da lahko poljubno nalaga plačilne liste zgolj zato, ker ima orodje oznako »AI Act«. Obdelava v EU in odsotnost učenja na podatkih sta pomembni lastnosti, vendar ne nadomestita pravne podlage ali upravljanja dostopov.

Kako v 30 dneh pripravite izvedljiv načrt?

V prvem mesecu lahko vzpostavite osnovni nadzor, ne morete pa vnaprej obljubiti popolne skladnosti vsake uporabe. Prednost dajte procesom, ki vplivajo na ljudi ali vključujejo občutljive podatke.

1. Popišite dejanske uporabe. Poleg kupljenih licenc vključite brezplačna orodja, razširitve brskalnikov, API-je in avtomatizacije. Zaposlene vprašajte po nalogah, ne samo po imenih aplikacij.
2. Razvrstite namene in podatke. Ločite pripravo osnutkov od ocenjevanja ljudi. Zabeležite osebne podatke, poslovne skrivnosti in zunanje prejemnike informacij.
3. Določite odgovornosti. Vsak pomemben proces naj ima poslovnega lastnika. IT naj ne ostane sam odgovoren za kadrovske ali pravne posledice uporabe.
4. Sprejmite kratka pravila. Določite dovoljena orodja, prepovedane podatke, obvezen pregled rezultatov in postopek prijave napak. Pravila ponazorite s primeri.
5. Izvedite ciljno usposabljanje. Uporabite naloge iz svojega podjetja in pokažite tudi napačne rezultate, ne zgolj uspešnih predstavitev.
6. Preizkusite nadzor. Preverite dostop do dokumentov, delovanje omejitev in možnost ustavitve uporabe. Ugotovitve zapišite in določite rok za odpravo pomanjkljivosti.

Ljubljanska kadrovska agencija lahko na primer dovoli jezikovno urejanje oglasov, uporabo AI za razvrščanje kandidatov pa začasno ustavi do dokumentirane presoje. S tem ne prepove vse AI, temveč omeji uporabo z večjim vplivom na ljudi.

Za vsako uporabo vzpostavite kratko evidenco: namen, lastnik, ponudnik, podatki, ocenjena tveganja, veljavne zahteve, ukrepi in datum naslednjega pregleda. Presojo ponovite ob spremembi namena, modela ali avtomatizacije. Dobro urejen začetni popis hitro zastara, če ga nihče ne vzdržuje.

Kako lahko nadzorovano AI okolje podpre skladnost?

Tehnična platforma pomaga izvajati pravila in zbirati dokazila, ne more pa namesto vas določiti zakonitosti poslovnega procesa. Njeno vrednost presojajte po dejanskih kontrolah in njihovem obsegu.

WorkenAI po priloženem opisu združuje modele, dokumentne vire, uporabniške vloge, varovala, proračune in revizijsko sled v enem delovnem okolju. Za upravljanje uporabe so pomembni predvsem:

• dostopi po vlogah, ekipah in projektih, ki pomagajo omejiti uporabo in dostop do znanja;
• varovala, ki podpirajo zaznavanje in anonimizacijo osebnih podatkov ter zaznavanje poskusov obhoda pravil;
• evidenca klicev in izvoz CSV, ki omogočata pregled uporabnikov, modelov, porabe in sproženih varoval;
• različni načini namestitve, s katerimi lahko arhitekturo prilagodite zahtevam glede podatkov.

Pri tem ohranite jasne meje. Stroškovni dnevnik ni nujno celotna dokumentacija, zahtevana za visokotvegani sistem. Samodejno opozorilo ne nadomesti pristojnega človeka. Platforma prav tako ne nadzoruje samodejno uporabe zunanjih orodij, ki poteka mimo nje.

Posebej preverite podatkovni tok. Tudi če izvorni dokument ostane v vašem omrežju, lahko poziv vsebuje njegove odlomke ali osebne podatke. Pri zunanjem modelu zato presojajte vsebino dejansko poslanega poziva, ne samo lokacije shranjene datoteke. BYOK pomeni uporabo lastnega ključa, ne samodejno lokalne obdelave.

Načine namestitve in zaščitne mehanizme preverite na strani varnost WorkenAI, praktične podrobnosti v pogostih vprašanjih, razlago izrazov pa v slovarju AI. Zahtevajte tudi dokazila in pogodbene pogoje, ki ustrezajo vaši uporabi.

Zaključek

Najboljši prvi korak za EU AI Act je pregled dejanske uporabe, ne nakup oznake »skladno«. Ugotovite svojo vlogo, razvrstite namene, usposobite zaposlene ter določite, kdo preverja rezultate in ukrepa ob težavah.

Začnite pri enem procesu in preverite, ali lahko pojasnite njegovo delovanje, podatkovne tokove in odgovornosti. Nato enak pristop razširite na druge ekipe. Tako gradite upravljanje, ki ostane uporabno tudi ob spremembah orodij in zakonodaje.

Če potrebujete skupno okolje za izvajanje teh pravil, si oglejte WorkenAI in možnosti paketov. Pri izbiri naj bodo v ospredju vaše zahteve in preverljive kontrole, ne obljuba, da bo ena platforma rešila vse pravne obveznosti.