Visoke kazne za povrede obveza iz EU uredbi postale su već standard, a AI Akt tu nimalo ne zaostaje. Za povredu obveza transparentnosti propisana je novčana kazna do 15 milijuna eura ili do 3 posto ukupnog godišnjeg svjetskog prometa poduzetnika, ovisno o tome što je veće. Jedino ako su u pitanju mali i srednji poduzetnici gledat će se koji je od ta dva iznosa manji.
Tko će tu kaznu u Hrvatskoj izricati, još nije posve jasno.
Hrvatska je odredila sedam tijela nadležnih za nadzor temeljnih prava kod visokorizičnih AI sustava, uključujući AZOP i Agenciju za medije, no opće nacionalno tijelo za tržišni nadzor nad AI Aktom, koje bi pokrivalo i povrede članka 50., nije imenovala, niti je do danas donijela zakon o provedbi Uredbe koji bi to riješio.
U odnosu na medije, spomenula sam već da oni imaju dodatne obveze označavanja AI sadržaja po Zakonu o provedbi Europskog akta o slobodi medija, dakle, po hrvatskom propisu, ne samom AI Aktu. Iako još nije sasvim jasno na što se te obveze odnose, kazne su propisane i one su: od 13.270,00 do 132.720,00 eura za trgovačko društvo, od 1320,00 do 6630,00 eura za odgovornu osobu i od 2650,00 do 13.270,00 eura za obrtnika. Nadzor provodi Agencija za medije, koja može izdati prekršajni nalog, a ako se na njega prigovori, vodi se postupak pred prekršajnim sudom u Zagrebu. Krajnji rok za prilagodbu po Zakonu o provedbi Europskog akta o slobodi medija je 26. studeni 2026. pa dok taj rok ne protekne, ni odredbe o kaznama ne bi se trebale primjenjivati.
Kako se uskladiti?
Poduzetnici često pristupaju usklađivanju s AI Aktom tako što gledaju jesu li na neku fotografiju ili oglas stavili odgovarajuću oznaku.
Koliko god je korisno provjeriti sve oznake prije objave, kontrola u toj fazi nije ono što se preporuča. Takvim postupkom se, naime, ne adresira osnovni rizik koji postoji u ovom slučaju, a to je da se stvara ili koristi sadržaj za kojeg se ne zna kako je nastao i tko je za njega odgovoran.
Kodeks dobre prakse o transparentnosti AI generiranog sadržaja svoje potpisnike zato obvezuje na niz internih mjera, koje bi, po mišljenju stručnjaka koji su Kodeks sastavljali, ali i Europske komisije, bile dostatne da osiguraju sukladnost s obvezama transparentnosti iz AI Akta. Konkretne mjere se razlikuju za dobavljače AI sustava i za korisnike odnosno deployere, no suštinski obje se svode na dokumentiranje internih procesa, testiranje, monitoring i edukaciju.
Za korisnike (deployere) konkretne interne obveze po Kodeksu su sljedeće:
-dokumentirati načine označavanja i obavještavanja,
-obavještavati i educirati radnike (i vanjske suradnike) koji su uključeni u izradu, objavu ili označavanje sadržaja
-provjeravati poštuju li se interne procedure i obveze
-ako se često izrađuju AI tekstovi za koje postoji obveza označavanja, tada je dodatno potrebno: 1) imenovati fizičku ili pravnu osobu koja snosi odgovornost za objavljen i pregledan AI sadržaj, 2) javno objaviti tko je ta osoba (npr. na svojoj web-stranici) te 3) popisati interne organizacijske mjere za kontrolu tih AI tekstova.
Podsjećam da Kodeks nije opće primjenjiv, niti obvezatan, jer obvezuje samo one koji su mu dobrovoljno pristupili. Također, samo potpisnici imaju beneficiju da se smatraju usklađenima, ako se drže mjera Kodeksa. Neovisno o tome, smatram dokument korisnim i za sve ostale, jer je trenutno jedini službeni dokument koji razlaže konkretne mjere za postizanje usklađenosti s člankom 50. AI Akta pa ga kao takvog svakako vrijedi proučiti.
Gdje onda početi?
Ako ste se prepoznali kao netko tko koristi ili razvija neke od AI sustava iz članka 50. AI Akta, a da oni nisu ujedno i visokorizični, tj. ne koriste se niti su namijenjeni za neke od izrijekom spomenutih visokorizičnih svrha iz Aneksa III. AI Akta (proces zapošljavanja, procjena kreditne sposobnosti, prepoznavanje emocija i dr.), prvi razumni koraci vjerojatno bi bili sljedeći:
-provjeriti sve upotrebe AI-a pod Vašom kontrolom i detektirati one koji su u dometu članka 50.
-vidjeti jeste li u svim situacijama korisnici AI rješenja (deployeri) ili bi ipak u nekim situacijama mogli biti i dobavljači odnosno provideri (npr. interno razvijena AI rješenja, koja su „samo“ interno stavljena u upotrebu) ili možda niste ništa od toga (jer radite, npr. po tuđim uputama)
-provjeriti ima li korištenja osobnih podataka uz upotrebu tih tehnologija i ako ima, povesti računa o GDPR-u
-ako su obuhvaćeni chatboti/agenti/voiceboti koji izravno komuniciraju s drugim fizičkim osobama, provjeriti jesu li odgovarajuće označeni
-uspostaviti procedure za preispitivanje i označavanje AI generiranog ili modificiranog sadržaja (tko je u organizaciji za to zadužen, u kojem trenutku, gdje se to bilježi i sl.)
-ako se koriste AI tekstovi, tko je zadužen za njihovu provjeru, a tko je odgovoran za tekst koji se objavi (preporučam uspostaviti za sve AI tekstove, čak i one koje ne treba označavati)
-kako su raspodijeljene (i jesu li uopće) obveze za označavanje u ugovorima s dobavljačima, agencijama i vanjskim suradnicima, koji također proizvode AI sadržaje za Vaše društvo
-educirati osoblje koje radi s AI sadržajem tako da razumije i bude spremno za dosljednu primjenu obveza iz AI Acta i Vaših internih procedura.
Moglo bi se ovom popisu još podosta nadodati, a ako nema nekih upotreba, moglo bi se nešto i oduzeti. Bilo kako bilo, ignoriranje situacije nije za preporučiti.
Obveze su tek stupile na snagu, no tu i vrijede. Ako još niste poveli računa o usklađenju, najbolje vrijeme za početi je upravo sada.
Foto:
