Umjetna inteligencija u poslovanju: pravni rizici i osnovne obveze

Organizacije umjetnu inteligenciju najčešće uvode na dva načina. Prvi je svjesna nabava posebnog AI sustava. Drugi je postupno uključivanje AI funkcija u alate koji se već koriste, primjerice uredske pakete, sustave za upravljanje dokumentima, videokonferencije, nadzor, računovodstvo ili korisničku podršku.

Zaposlenici istodobno mogu samostalno koristiti javno dostupne generativne alate za sastavljanje tekstova, sažimanje dokumenata, prijevod, analizu podataka ili izradu programskog koda. Takva uporaba može ubrzati rad, ali i izložiti organizaciju riziku ako se u alat unesu osobni podaci, poslovne tajne, povjerljiva dokumentacija ili sadržaj zaštićen pravima trećih osoba.

Početna procjena zato obuhvaća sustave, licence i dobavljače, ali i stvarne radne navike. Tek nakon toga moguće je odrediti koje uporabe treba dopustiti, ograničiti, dodatno provjeriti ili organizacijski urediti.

Europski Akt o umjetnoj inteligenciji razlikuje zabranjene prakse, visokorizične sustave, sustave s posebnim obvezama transparentnosti te druge uporabe s manjim regulatornim opterećenjem. Klasifikacija se provodi prema konkretnoj namjeni i okolnostima uporabe, a ne samo prema nazivu ili općem opisu proizvoda.

Pravila se primjenjuju fazno. Obveze povezane s AI pismenošću i većina izvornih zabrana primjenjuju se od 2. veljače 2025., a većina ostalih odredbi od 2. kolovoza 2026. Nakon izmjena iz srpnja 2026., zahtjevi i obveze za visokorizične sustave iz Priloga III. primjenjuju se od 2. prosinca 2027., a za visokorizične sustave povezane s proizvodima iz Priloga I. od 2. kolovoza 2028. Za pojedine nove zabrane i obveze označavanja vrijede posebni prijelazni rokovi, uključujući 2. prosinca 2026. Datume uvijek treba provjeriti prema vrsti sustava i ulozi organizacije.

Uloga organizacije

Organizacija može biti samo korisnik sustava, odnosno subjekt koji ga primjenjuje, ali u određenim okolnostima može preuzeti i obveze pružatelja. To se može dogoditi kada sustav stavlja na tržište pod svojim imenom, bitno ga mijenja ili mu promijeni namjenu.

Prije uvođenja treba utvrditi svrhu sustava, osobe na koje utječe, podatke koje obrađuje, način donošenja odluka te pravni položaj organizacije i dobavljača. Marketinška oznaka da je proizvod usklađen predstavlja tek jedan od podataka za procjenu.

Generativni alati mogu sastavljati tekst, slike, zvuk, programski kod i druge sadržaje. Njihov izlaz može sadržavati netočnosti, izmišljene činjenice, pristranosti ili dijelove sadržaja koji nalikuju zaštićenim djelima. Rezultat se zato provjerava prije uporabe u pravnom, poslovnom ili javnom komuniciranju.

Povjerljivi i osobni podaci unose se samo u odobrene alate, uz poznate postavke obrade i odgovarajući ugovorni okvir. Posebno treba provjeriti koristi li dobavljač unesene podatke za treniranje modela, koliko ih čuva, gdje se obrađuju, tko im pristupa i kako se brišu.

Kada se obrađuju osobni podaci, primjenjuju se pravila zaštite podataka neovisno o klasifikaciji sustava prema Aktu o umjetnoj inteligenciji. Potrebno je utvrditi svrhu i pravnu osnovu obrade, opseg podataka, rok čuvanja, prava ispitanika, sigurnosne mjere i eventualni prijenos podataka izvan Europskoga gospodarskog prostora.

Posebna pažnja potrebna je kada AI sustav ocjenjuje, rangira ili profilira ljude, utječe na zapošljavanje i radne odnose, pristup obrazovanju, kreditu, osiguranju, javnoj usluzi ili ostvarivanju prava. U tim se slučajevima, uz Akt o umjetnoj inteligenciji, procjenjuju propisi o zaštiti osobnih podataka, radu, jednakom postupanju, upravnom postupanju i zaštiti potrošača.

Kod odluka koje proizvode pravne ili usporedivo značajne učinke treba utvrditi stvarnu ulogu automatizacije i mogućnost ljudske intervencije. Ljudski nadzor ima smisla kada odgovorna osoba razumije ograničenja sustava, može provjeriti relevantne podatke i obrazloženo promijeniti ili zaustaviti rezultat.

Određeni sustavi moraju osobu obavijestiti da komunicira s umjetnom inteligencijom, a za sintetički ili manipulirani sadržaj mogu vrijediti obveze označavanja. Točan opseg obveze ovisi o vrsti sustava, sadržaju, načinu objave i ulozi organizacije.

Većina organizacija AI sustav nabavlja kao uslugu ili kao dio većega informacijskog rješenja. Prije ugovaranja treba zatražiti razumljiv opis namjene, ograničenja, izvora i tokova podataka, sigurnosnih mjera, podugovaratelja, načina nadzora te dokumentacije potrebne za ispunjavanje vlastitih obveza.

Ugovorom se uređuju dopuštena uporaba, razine usluge, povjerljivost, obrada i čuvanje podataka, prava intelektualnog vlasništva, prijava incidenata, suradnja pri nadzoru, izmjene sustava, revizijska prava, odgovornost te povrat ili brisanje podataka po prestanku usluge.

Odgovornosti se raspoređuju između dobavljača i korisnika prema njihovim stvarnim ulogama. Organizacija zadržava odgovornost za vlastiti izbor svrhe, podataka, korisnika i načina uključivanja sustava u poslovni proces.

Dokumenti trebaju biti povezani sa stvarnim postupcima. Registar bez odgovorne osobe, pravilo bez postupka odobravanja ili edukacija bez jasnih uputa daju ograničen učinak. Praktičan sustav omogućuje zaposleniku da zna koji alat smije koristiti, koje podatke smije unijeti, kada treba provjeru i kome prijavljuje problem.

• evidenciju AI sustava, njihovih namjena, dobavljača, korisnika i ključnih podataka
• pravila dopuštene i ograničene uporabe, osobito za generativne alate
• postupak provjere i odobravanja novoga sustava ili značajne promjene postojećega sustava
• jasno određene odgovornosti za nabavu, pravnu procjenu, informatičku sigurnost, zaštitu podataka i poslovnu uporabu
• pravila ljudskog nadzora, provjere rezultata i informiranja osoba na koje sustav utječe
• postupak prijave pogreške, incidenta, nepravilnog rezultata ili sumnje na nedopuštenu uporabu
• edukaciju prilagođenu ulozi zaposlenika i rizicima alata koje stvarno koriste
• redovitu provjeru dobavljača, postavki, namjene i regulatornih promjena

Detaljnija pravna, organizacijska i tehnička procjena osobito je važna kada sustav obrađuje osjetljive ili opsežne skupove osobnih podataka, biometrijske podatke, prati ponašanje, profilira pojedince ili sudjeluje u odluci o njihovim pravima i mogućnostima.

Dodatnu provjeru traže osobito

Pojava jednoga od tih elemenata predstavlja signal za dublju analizu. Konačna klasifikacija i potrebne mjere ovise o stvarnoj funkciji sustava, podacima, pravnom učinku i kontekstu uporabe.

• sustavi povezani sa zapošljavanjem, ocjenjivanjem rada ili prestankom radnog odnosa
• biometrijska identifikacija, kategorizacija osoba ili napredna analiza videonadzora
• sustavi koji utječu na pristup javnim uslugama, obrazovanju, kreditima, osiguranju ili drugim važnim pravima
• automatizirano donošenje odluka s pravnim ili usporedivo značajnim učinkom
• treniranje ili prilagodba modela na internim, povjerljivim ili osobnim podacima organizacije
• javno objavljivanje sintetičkog sadržaja i sustavi koji izravno komuniciraju s korisnicima
• povezivanje AI sustava s ključnim poslovnim, sigurnosnim ili infrastrukturnim procesom
• prijenos podataka trećim osobama ili u države izvan Europskoga gospodarskog prostora