Veštačka inteligencija je već duže vreme goruća tema koja privlači pažnju javnosti, kako zbog njenih potencijala, tako i zbog pitanja prava i zaštite građana u vezi sa njenom primenom. U skladu sa tim, bilo je pitanje vremena kada će biti usvojena pravna regulativa koja će urediti ovu oblast na sveobuhvatan način, a čekanju je konačno došao kraj jer je Zakon o veštačkoj inteligenciji Evropske unije (AI Act) usvojen!
Nakon dugoročnih pregovora, u decembu 2023. godine postignut je dogovor između Evropskog parlamenta i Saveta Evrope o Nacrtu Zakona o veštačkoj inteligenciji (AI Act), a njegova finalna verzija je usvojena 21. maja 2024. godine od strane Saveta Evropske unije.
Realizacija ovog projekta Evropske unije je uveliko u toku, te je u januaru ove godine Evropska Komisija formirala Kancelariju za veštačku inteligenciju, a kreiran je i zvanični sajt povodom Zakona o veštačkoj inteligenciji (u daljem tekstu: Zakon) gde se možete detaljnije upoznati sa ovom „revolucionarnom“ regulativom.
Očekuje se da će tekst Zakona biti objavljen narednih dana putem Službenog lista EU, a stupiće na snagu dvadeset dana nakon objavljivanja. Prvi set zakonskih obaveza bi trebalo da počne sa primenom već krajem 2024. godine. Imajući to u vidu, izvesno je da bi organizacije koje koriste ili planiraju da koriste sisteme veštačke inteligencije trebalo da počnu da se upoznaju sa novinama i obavezama koje Zakon o veštačkoj inteligenciji uvodi, kao i da sprovedu procenu nivoa usklađenosti svojih sistema veštačke inteligencije sa novim pravilima, kako bi spremno dočekali njegovu primenu.
Šta su sistemi veštačke inteligencije?
Zakon o veštačkoj inteligenciji uspostavlja pravila za upotrebu AI sistema (sistema veštačke inteligencije), uvodi zabrane ili specifične zahteve vezane za pojedine vrste ovakvih sistema, kao i mere za podršku inovacijama sa posebnim fokusom na mala i srednja preduzeća.
U skladu sa tim, pre svega je neophodno utvrditi šta su AI sistemi, kako bi se uopšte moglo zaključiti koji je obim primene Zakona. Umesto da Vas zamaramo dugačkom zakonskom definicijom „AI sistema“ u nastavku nabrajamo nekoliko primera sistema veštačke inteligencije:
- Sistemi za preporuke: Kao oni koje koriste streaming servisi poput Netflixa ili Spotifya, koji predlažu filmove, TV emisije ili muziku na osnovu korisničkih preferencija i prethodnog ponašanja;
- Autonomna vozila: Samovozeći automobili koji interpretiraju podatke sa senzora kako bi donosili odluke o navigaciji, brzini i izbegavanju prepreka;
- Chatbotovi i virtuelni asistenti: AI vođeni konverzacioni agenti poput Siri, Alexe ili chatbota za korisničku podršku koji pružaju odgovore i preporuke na osnovu korisničkog unosa;
- Alati za generisanje sadržaja: sistemi koji generišu tekst, slike ili video zapise, kao što je GPT-3 za generisanje teksta ili alati koji kreiraju umetnička dela ili muziku;
- Uređaji za pametne domove: Uređaji poput pametnih termostata ili sigurnosnih kamera koji uče ponašanje korisnika i donose odluke kako bi optimizovali postavke doma ili upozorili vlasnike na neuobičajene aktivnosti;
- Sistemi za biometrijsku kategorizaciju: koriste lične karakteristike (direktno povezane sa onim ko ste) za autentifikaciju ili identifikaciju osobe;
- AI sistemi korišćeni za regrutaciju ili selekciju kandidata za zaposlenje, analizu i filtriranje prijava.
Napominjemo da su ovo samo neke od mnogobrojnih vrsta AI sistema, kao i da se konstantno razvijaju novi načini primene veštačke inteligencije.
Na koga se primenjuje Zakon o veštačkoj inteligenciji?
Zakon o veštačkoj inteligenciji uvodi širok krug kategorija subjekata na koje se primenjuje, kao što su:
- AI provajderi – subjekti koji samostalno ili uz pomoć drugih razvijaju AI sisteme;
- Korisnici AI (deployers) – subjekti koji koriste AI sisteme (osim upotrebe u lične svrhe);
- Uvoznici i distributeri AI;
- Proizvođači AI;
- Lica iz EU koja su predmet primene AI sistema.
Dakle, ukoliko određeno lice ili kompanija spada u jednu od gore pomenutih kategorija, podleže primeni Zakona i obavezama koje ovaj propis uvodi.
Pored toga, slično kao i GDPR, Zakon ima kako teritorijalnu, tako i eksteritorijalnu primenu. Drugim rečima, iako je u pitanju akt Evropske unije, njegove odredbe će se pod određenim okolnostima primenjivati i na lica, odnosno kompanije iz država koje nisu članice EU.
Naime, pored provajdera i korisnika veštačke inteligencije koji se nalaze u Evropskoj uniji, Zakon se primenjuje i na:
- Provajdere u trećoj zemlji koji stavljaju na tržište ili u upotrebu sisteme veštačke inteligencije u Evropskoj Uniji;
- Provajdere i korisnike sistema veštačke inteligencije koji imaju svoje mesto osnivanja ili se nalaze u trećoj zemlji, gde se output nastao upotrebom sistema veštačke inteligencije koristi u Evropskoj Uniji.
Primer: IT kompanija koja ima sedište u Srbiji (ili bilo kojoj državi van EU) razvija softversko rešenje za HR regrutovanje kandidata zasnovan na AI sistemima. Proizvod će biti dostupan i nudiće se kompanijama i korisnicima u EU. Navedena IT kompanija iz Srbije će biti u obavezi da uskladi svoje poslovanje sa Zakonom o veštačkoj inteligenciji, a stepen obaveza će zavisiti od nivoa rizika AI sistema (kako je dole objašnjeno).
Prema tome, uz pojedine izuzetke (npr. sistemi koji se koriste isključivo u vojne, odbrambene i istraživačke svrhe), Zakon se primenjuje:
- I na privatni i na javni sektor;
- Na subjekte iz EU i van EU;
te uspostavlja čitav niz obaveza za sve aktere uključene u razvoj, primenu i upotrebu veštačke inteligencije, od provajdera, preko uvoznika i distributera, do korisnika sistema veštačke inteligencije.
Osnovni pristup veštačkoj inteligenciji
Zakon o veštačkoj inteligenciji usvaja strategiju zasnovanu na proceni rizika upotrebe veštačke inteligencije. To praktično znači da su obaveze i pravne mere usklađene sa stepenom rizika koji određeni sistem veštačke inteligencije ima po prava i slobode pojedinca i društvo uopšte.
Pristup Zakona o veštačkoj inteligenciji zasniva se na identifikaciji 4 nivoa rizika i obaveza prilagođenih tim nivoima. Rizici se mogu klasifikovati kao (1) neprihvatljivi, (2) visoki, (3) ograničeni i (4) minimalni (koji nisu predmet regulacije).
(1) Za sisteme veštačke inteligencije za koje je zaključeno da imaju neprihvatljiv rizik, Zakon propisuje njihovu zabranu. Kao primere neprihvatljivih sistema AI, Evropski Parlament[1] navodi:
- Igračke koje se aktiviraju glasom koje podstiču opasno ponašanje kod dece;
- Sisteme za klasifikovanje ljudi na osnovu ponašanja, socio-ekonomskog statusa ili ličnih karakteristika;
- Sistemi biometrijske identifikacije u realnom vremenu i daljinski, kao što je prepoznavanje lica (dozvoljeno samo uz određene izuzetke).
(2) Za visokorizične sisteme, Zakon uvodi uslove koje ti sistemi moraju da ispune, kao što su upravljanje rizikom, kvalitet i bezbednost podataka, transparentnost, dokumentovanje performansi, održavanja i ažuriranja sistema, ljudski nadzor i tačnost. Organizacije koje obezbeđuju ili primenjuju te sisteme suočiće se sa obavezama poput registracije, upravljanje kvalitetom, testiranje sistema, praćenje, vođenje evidencije i izveštavanje o incidentima. Primeri visokorizičnih sistema su sistemi koji se koriste u obrazovanju, zapošljavanju, osnovnim privatnim i javnim uslugama, sprovođenju zakona, upravljanju graničnom kontrolom i sprovođenju pravde.
(3) Kao treću kategoriju regulisanih sistema veštačke inteligencije Zakon prepoznaje sisteme ograničenog rizika za koje nameće obaveze u vidu obezbeđivanja transparentnosti. U ovu kategoriju spadaju, na primer, chat-botovi za korisničku podršku koji pružaju automatizovane odgovore na upite korisnika.
(4) Na kraju, za ostale sisteme veštačke inteligencije koje Zakon posebno ne reguliše se smatra da imaju nizak rizik, te se Zakonom ne nameću posebne obaveze prilikom njihovog razvijanja, testiranja ili upotrebe. U ovu kategoriju spadaju, na primer, email filteri koji razdvajaju spam mejlove. Ipak, organi EU ohrabruju dobrovoljno usklađivanje AI sistema koji nisu visoko rizični sa propisima i merama propisanim Zakonom.
Zaključak: Što je veći rizik, to su veće obaveze i posledice u slučaju nepoštovanja tih obaveza.
Pored navedenog, Zakon posebno reguliše modele veštačke inteligencije opšte namene (General Purpose AI – GPAI), odnosno modele veštačke inteligencije koji su sposobni da kompetentno obavljaju širok spektar različitih zadataka bez obzira na način na koji se model plasira na tržište i koji se može integrisati u različite sisteme ili aplikacije (kao što je široko korišćen ChatGPT). Za ovu vrstu modela veštačke inteligencije Zakon uvodi posebne obaveze za njihove provajdere i korisnike, koje obuhvataju:
- Kreiranje i dostavljanje detaljne tehničke dokumentacije modela nadzornom organu na njegov zahtev;
- Pružanje informacija korisnicima radi razumevanja sposobnosti, ograničenja i izrade modela i obaveza da učine javno dostupnim dovoljno detaljan sažetak o sadržaju korišćenom za obuku modela;
- Dodatno održavanje adekvatne sajber sigurnosne zaštite, sprovođenje evaluacije modela;
- Imenovanje predstavnika u EU ako se radi o provajderima iz trećih zemalja koji svoje AI sisteme stavljaju na tržište Evropske unije.
Više o klasifikaciji sistema veštačke inteligencije shodno rizicima, obavezama i merama kojima će ti sistemi biti podložni pročitajte u našem blogu Razmatranje Zakona EU o veštačkoj inteligenciji.
Koji je vremenski rok za usaglašavanje sa Zakonom o veštačkoj inteligenciji?
Zakon o veštačkoj inteligenciji će stupiti na snagu 20 dana nakon objavljivanja u službenom glasniku Evropske Unije, a njegovo objavljivanje se očekuje u junu ove godine.
Puna primena Zakona o veštačkoj inteligenciji počinje 24 meseca nakon stupanja na snagu Zakona, osim pojedinih odredbi. Predviđeni vremenski sled primene Zakona:
Zakonska obaveza | Rok | Očekivani datum početka primene |
| 6 meseci | Kraj 2024./početak 2025. |
| 12 meseci | Sredina 2025. |
| 24 meseca | Sredina 2026. |
| 36 meseci | Sredina 2027. |
| Do kraja 2030. | |
Kako se pripremiti za primenu Zakona o veštačkoj inteligenciji?
S obzirom na složenost Zakona i brojne novine i obaveze koje uvodi, preporučuje se proaktivan pristup subjekata i organizacija u pogledu usklađivanja, kao i blagovremeno preduzimanje odgovarajućih mera kako bi spremni dočekali primenu novog Zakona.
Radi usklađivanja, preporučujemo da sprovedete sledeće korake:
1) Mapiranje sistema veštačke inteligencije
Kako biste utvrdili da li ćete uopšte podleći primeni Zakona o veštačkoj inteligenciji, potrebno je da uradite detaljno mapiranje svih sistema veštačke inteligencije koje trenutno razvijate, nudite na tržište ili koristite, odnosno ukoliko to planirate u budućnosti.
Prilikom mapiranja bi trebalo utvrditi kome su namenjeni ti sistemi, koje su njihove mogućnosti i koja je uloga Vaše organizacije u vezi sa tim sistemima veštačke inteligencije (da li razvijate isti, koristite, planirate da izvozite na tržište Evropske Unije i slično).
Dodatno, da biste utvrdili da li će se na Vašu organizaciju primenjivati Zakon o veštačkoj inteligenciji, potrebno je da razumete u koju kategoriju rizika će spadati ti sistemi.
2) Utvrđivanje obaveza koje imate po Zakonu
Nakon što ste utvrdili da će se na sve ili pojedine sisteme veštačke inteligencije Vaše organizacije primenjivati Zakon, kako biste uopšte mogli da pređete na naredne korake morate da se upoznate sa obavezama iz Zakona i ustanovite koje se obaveze odnose na Vas. Kako je prethodno pojašnjeno, obim obaveza će zavisiti od Vaše uloge i procenjenog rizika AI sistema.
3) Procena usaglašenosti
Sledeći korak koji bi trebalo da sprovedete u pripremi za predstojeći Zakon o veštačkoj inteligenciji, jeste da izvršite detaljnu analizu oblasti u kojima Vaši trenutni sistemi, procesi i kontrole ne ispunjavaju zahteve Zakona i koje korake bi trebalo preduzeti kako biste otklonili bilo kakvu neusaglašenost.
Navedena procena bi trebalo da uključuje:
- Utvrđivanje razlika između vašeg trenutnog načina poslovanja i novih zakonskih zahteva;
- Utvrđivanje praznina i nedostataka u Vašoj organizaciji, odnosno oblastima poslovanja, delova sistema koje će biti potrebno dopuniti, unaprediti ili izmeniti;
- Plan usklađivanja koji će sadržati procenu rizika i predloge mera za umanjenje tih rizika, uključujući i usvajanje spiska dokumentacije koje bi trebalo doneti, kao i sve strateške promene koje bi trebalo izvršiti sa rokovima njihovog izvođenja (npr. prilagođavanje sistema vištačke inteligencije kako bi bili prihvatljivi za upotrebu, povlačenje ili redizajniranje određenih alata i sl.);
- Obim resursa koje ćete eventualno morati da odvojite za sprovođenje plana usklađivanja;
- Razvijanje pravnog okvira za upravljanje veštačkom inteligencijom koji odgovara Vašem poslovnom okruženju.
4) Primena mera zaštite
Nakon što ste utvrdili nedostatke i doneli plan usklađivanja, naredni korak je sprovođenje plana i uvođenje osnovnih mera za ublažavanje uticaja na sve identifikovane rizike.
Za sisteme koji spadaju u kategoriju visokog rizika, ove mere mogu uključivati:
- Obezbeđivanje mehanizma ljudskog nadzora;
- Uspostavljanje zahteva transparentnosti kako bi se korisnici upoznali sa načinom na koji se odluke donose putem sistema veštačke inteligencije;
- Uspostavljanje procedura za upravljanje rizikom, uključujući testiranje i dokumentovanje kvaliteta podataka;
- Sprovođenje mera bezbednosti za zaštitu sistema od potencijalnih napada i uspostavljanje procedura u slučaju povrede bezbednosti sistema;
- Uspostavljanje programa edukacije i podizanje svesti kako bi se zaposleni u Vašoj organizaciji upoznali sa zahtevima i implikacijama Zakona;
- Ulaganje u stručnost i sticanje znanja u oblasti usklađenosti sa propisima veštačke inteligencije.
Navedene mere ne doprinose samo ispunjenju regulatornih zahteva, već služe i očuvanju bezbednosti Vaših sistema i poslovanja, a podstiču i dobru reputaciju i gradi poverenje među korisnicima i zainteresovanim stranama.
5) Usvajanje odgovarajućih politika i pravilnika o AI
Sada je pravi trenutak da uspostavite sveobuhvatne smernice i pravila relevantna za integraciju AI u različite funkcije unutar vaše organizacije, bez obzira na industriju i vašu ulogu u primeni ili plasiranju AI sistema.
Interne konsultacije sa sektorima poput IT, bezbednosti, pravnog sektora, kao i ljudskih resursa su ključne za razvoj internih politika i pravilnika. Takođe, verovatno će biti neophodno i prilagođavanje postojećih politika radi usklađivanja sa novim zahtevima AI propisa.
Prilikom formulisanja AI politika, razmislite o integraciji ljudi, procesa i tehnologije, adresirajući aspekte kao što su:
- Sistem rola za pristup AI sistemima ili njihovo korišćenje unutar vaše organizacije;
- Regulisanje pitanja vlasništva nad ulaznim podacima i prava intelektualne svojine;
- Regulisanje poverljivosti i mera za zaštitu poverljivosti prilikom korišćenja ili razvijanja AI sistema;
- Uređivanje pitanja zaštite podataka o ličnosti ukoliko dolazi do njihove obrade putem AI sistema;
- Definisanje postupaka za osiguranje tačnosti, kvaliteta i zakonitosti sistema AI.
- Definisanje odgovornosti i posledica nepoštovanja politika i procedura.
6) Praćenje razvoja propisa i prakse u oblasti veštačke inteligencije
Kako biste mogli da se pravilno pripremite za primenu Zakona o veštačkoj inteligenciji, nije dovoljno da ste upoznati sa odredbama samog Zakona, već je potrebno da budete informisani i o najnovijim dešavanjima vezanim za usvajanje propisa i pratećih akata, smernica i uputstva koje nadzorni organi i stručna javnost objavljuje po tom pitanju, uključujući njihove izmene i ažuriranja.
Ukoliko ste u toku sa novostima i razvojem propisa i prakse koji se tiču veštačke inteligencije, možete proaktivno prilagoditi svoju strategiju i osigurati usklađenost sa propisima koji se razvijaju i time dobiti kompetativnu prednost u odnosu na druge učesnike na tržištu.
Ukoliko želite da budete u toku sa svim novinama u pravnom svetu, uključujući novine povodom regulative veštačke inteligencije, možeet se pretplatiti na Newsletter Advokatske kancelarije Žunić.
Koje su posledice kršenja Zakona o veštačkoj inteligenciji?
Posledice kršenja, odnosno neusklađivanja sa Zakonom o veštačkoj inteligenciji prete da nadmaše i zasene kazne izrečene zbog kršenja GDPRa.
Kazne u slučaju nepoštovanja Zakona o veštačkoj inteligenciji mogu da variraju u zavisnosti od vrste prekršaja. Naime, najstrože kazne su predviđene za nepoštovanje zabrane upotrebe određenih sistema veštačke inteligencije i one iznose čak do 35 miliona EUR ili do 7% ukupnog svetskog godišnjeg prihoda ukoliko je taj procenat veći.
Za neusaglašenost sa većinom ostalih odredbi, Zakon propisuje kazne do 15 miliona EUR ili do 3% ukupnog svetskog godišnjeg prihoda ukoliko je taj procenat veći.
Budući da su države članice već počele da osnivaju nadzorna tela (među kojima je prvi korak napravila Španija), te da je osnovana Kancelarija EU za veštačku inteligenciju, očigledno je da se nadležni organi već spremaju za primenu i sprovođenje Zakona.
Prema tome, neophodno je pripremiti se i postarati se na vreme da Vaše poslovanje i praksa po pitanju razvoja, testiranja, primene i upotrebe veštačke inteligencije bude u skladu sa Zakonom o veštačkoj inteligenciji. U suprotnom, nakon početke primene Zakona možete snositi sve posledice koje proističu iz neusaglašenosti sa propisima, uključujući visoke novčane kazne i narušavanje reputacije.
