EU AI Act Usklađenost 2026: Što Svaka Tvrtka Koja Koristi AI Mora Znati

Razine rizika, zabranjene prakse, ključni rokovi — i praktični popis za timove koji koriste Claude, GPT ili drugi LLM u produkciji.

EU AI Act — prvi sveobuhvatni pravni okvir za umjetnu inteligenciju na svijetu — stupio je na snagu u kolovozu 2024. godine, a njegove odredbe primjenjuju se postupno do 2026. i 2027. Ako vaša tvrtka koristi AI u bilo kakvom kontekstu koji se tiče korisnika ili donošenja odluka, gotovo sigurno ste obuhvaćeni propisom.

Ovaj post preskače pravni žargon i daje vam ono što vam stvarno treba: koja pravila se primjenjuju na vas, do kada, i što poduzeti.

Četverostupanjski Okvir Rizika

EU AI Act klasificira AI sustave u četiri razine rizika. Vaše obveze rastu s razinom rizika.

Većina tvrtki koje koriste Claude ili slične LLM-ove za internu produktivnost, stvaranje sadržaja ili chatbotove za korisničku podršku spada u kategoriju Ograničenog rizika. Ključna obveza: jasno obavijestiti korisnike da komuniciraju s AI sustavom.

Što Se Promijenilo u 2026.

GPAI Modeli: Što Pružatelji Poput Anthropica Moraju Učiniti

Modeli opće namjene s dovoljnom sposobnošću (mjereno u FLOP-ovima korištenim za treniranje, s trenutnim pragom od 10²⁵ FLOP-ova) podliježu dodatnim obvezama:

• Tehnička dokumentacija — objaviti dovoljno detaljnu model karticu koja pokriva podatke za treniranje, arhitekturu i namijenjenu upotrebu.
• Usklađenost s autorskim pravima — dokumentirati da podaci za treniranje poštuju EU zakon o autorskim pravima, uključujući iznimku za rudarenje tekstom i podacima.
• Protivničko testiranje — provoditi red-teaming prije postavljanja i dijeliti rezultate s Uredom EU-a za AI na zahtjev.
• Modeli sa sistemskim rizikom — modeli iznad višeg praga sposobnosti suočavaju se s dodatnim protivničkim testiranjem, izvješćivanjem o incidentima i obvezama kibernetičke sigurnosti.

Anthropic je surađivao s Uredom EU-a za AI i sudjeluje u procesu GPAI Kodeksa prakse. Claude modeli koji se koriste putem Anthropic API-ja imaju koristi od Anthropicovog rada na usklađenosti na razini pružatelja — ali implementatori (to ste vi) još uvijek imaju vlastite obveze.

Što Implementatori Claudea Moraju Učiniti

Čak i ako samo pozivate Claude API, vi ste implementator prema Zakonu. U praksi to znači:

Za implementacije Ograničenog rizika (Chatbot)

• Dodajte jasnu obavijest da korisnici komuniciraju s AI sustavom prije početka razgovora.
• Ne dizajnirajte sustav da obmanjuje korisnike da misle da razgovaraju s čovjekom.
• Ako generirate sintetički audio, video ili slike, označite ih kao AI-generirane.

Za implementacije Visokog rizika

• Provedite Procjenu utjecaja na temeljna prava prije postavljanja.
• Implementirajte sustav upravljanja rizicima s dokumentiranim postupcima ljudskog nadzora.
• Čuvajte zapise dovoljne za naknadnu reviziju (minimum 6 mjeseci za većinu slučajeva upotrebe).
• Odredite osobu odgovornu za usklađenost s AI-jem (Zakon ne zahtijeva namjensku ulogu, ali odgovornost mora biti dokumentirana).
• Registrirajte sustav u bazi podataka EU-a prije postavljanja krajnjim korisnicima.
• Prijavite incident nadležnom nacionalnom tijelu u roku od 15 radnih dana od svakog ozbiljnog incidenta.

Obveza Transparentnosti u Praksi

Najneposredniji zahtjev za većinu malih i srednjih poduzeća ujedno je i najjednostavniji: recite ljudima da razgovaraju s AI-jem. Jedna rečenica na početku chat widgeta — "Ovaj asistent pokreće AI. Za složena pitanja možete kontaktirati čovjeka na [e-mail]." — ispunjava temeljnu obvezu.

Što ne smijete raditi:

• Dati AI-ju ljudsko ime i personu bez ikakve obavijesti da je pokrenut AI-jem.
• Dizajnirati sustav da negira da je AI kada ga iskreno pitaju.
• Koristiti AI za prepoznavanje emocija zaposlenika ili korisnika bez obavijesti i, u mnogim slučajevima, pristanka.

Praktični Popis za Usklađenost u 2026.

Evo minimalnog popisa za malo ili srednje poduzeće koje koristi Claude ili sličan LLM u kontekstu prema korisnicima:

1. Klasificirajte svoj slučaj upotrebe — Je li to korisnička podrška (Ograničeni rizik)? Odabir životopisa (Visoki rizik)? Interno pretraživanje (Minimalni rizik)? Znajte svoju razinu rizika prije svega ostalog.
2. Dodajte obavijest o AI-ju — Ažurirajte poruku dobrodošlice chatbota, podnožje e-pošte ili korisničko sučelje aplikacije da otkrijete uključenost AI-ja.
3. Pregledajte prakse s podacima — Osigurajte da se podaci koje unosite u upite (evidencija korisnika, podaci zaposlenika) tretiraju u skladu s GDPR-om. AI Act i GDPR se ovdje u velikoj mjeri preklapaju.
4. Dokumentirajte svoj sustav — Napišite opis od jedne stranice što AI radi, koje podatke obrađuje i kakav je ljudski nadzor na snazi. To je vaša osnovna tehnička dokumentacija.
5. Uspostavite put eskalacije — Odluke s visokim ulozima (kredit, zapošljavanje, medicinske) moraju imati opciju ljudskog pregleda. Dokumentirajte je.
6. Pratite i bilježite — Omogućite bilježenje u vašim LLM pozivima dovoljno za istraživanje pritužbi ili anomalnih izlaza.
7. Ostanite u toku — Ured EU-a za AI redovito objavljuje smjernice. Pretplatite se na njihov bilten i preispitajte svoju poziciju usklađenosti svakih šest mjeseci.

Kazne i Provedba

Zakon daje nacionalnim tijelima za nadzor tržišta ovlasti za istraživanje, naređivanje ispravaka i izricanje kazni. Struktura kazni:

• Zabranjene prakse: do 35 milijuna € ili 7% globalnog godišnjeg prometa (što je više).
• Nesukladnost s visokorizičnim AI-jem: do 15 milijuna € ili 3% globalnog prometa.
• Dostavljanje netočnih informacija vlastima: do 7,5 milijuna € ili 1,5% prometa.
• Proporcionalnost za MSP: Zakon zahtijeva od tijela da uzmu u obzir veličinu tvrtke i financijsku sposobnost. Razvijaju se specifične smjernice EU-a za MSP.

Provedba u 2026. usredotočena je prvenstveno na slučajeve visokog rizika i zabranjenih praksi. Ured EU-a za AI naznačio je da će prioritizirati sistemske GPAI modele prije nego se okrene MSP implementatorima u razinama nižeg rizika. Proaktivna usklađenost ipak je daleko jeftinija od reaktivnog saniranja.

Kako Ovo Utječe na AI Strategiju

EU AI Act nije samo kutija za označavanje — mijenja način na koji poduzeća dizajniraju AI sustave. Obrasci koje vidimo kod klijenata:

• Čovjek u petlji kao zadano — Timovi koji su dizajnirali agentni AI s punom automatizacijom dodaju prolaze za ljudski pregled za konsekvente odluke.
• Revizijski tragovi od prvog dana — Bilježenje unosa i izlaza upita sada je standardni zahtjev dizajna, a ne naknadna misao.
• Provjera dobavljača — Nabavni timovi traže od AI dobavljača tehničku dokumentaciju i pridržavanje GPAI Kodeksa prakse prije potpisivanja ugovora.
• Konvergencija privatnosti i AI-ja — Službenici za zaštitu podataka i voditelji za usklađenost s AI-jem počinju surađivati. Načela minimizacije podataka prema GDPR-u izravno se primjenjuju na cjevovode treniranja i fine-tuninga.

Resursi

• Europska komisija — pregled EU AI Acta
• euaiact.com — Neslužbeni anotirani tekst i članci
• Anthropicov pristup sigurnosti AI-ja i politici