EU AI Act, razložen za lastnike spletnih strani

AI Act velja za vsakogar, ki sistem umetne inteligence da na trg EU ali ga začne uporabljati v EU, ne glede na to, kje ima podjetje sedež — enaka izvenozemeljska logika kot pri GDPR. Tako SaaS podjetje s sedežem v ZDA s strankami iz EU kot slovenska spletna trgovina, ki uporablja klepetalnega robota AI, sta v obsegu.

Obseg je odvisen od uporabe, ne od velikosti podjetja ali namena razvijati umetno inteligenco. Če vaša spletna stran upravlja klepetalnega robota na osnovi umetne inteligence, uporablja umetno inteligenco za ustvarjanje ali moderiranje vsebine, prikazane obiskovalcem, ali vgradi funkcijo AI zunanjega ponudnika (priporočilni sistem, iskalno polje na osnovi AI, samodejnega pomočnika za podporo), ste po uredbi uvajalec.

Uredba razvrsti sisteme AI v štiri stopnje tveganja: nesprejemljivo tveganje (popolnoma prepovedano — npr. socialno točkovanje), visoko tveganje (stroge obveznosti — npr. AI pri zaposlovanju, kreditnem ocenjevanju ali zdravstvenih odločitvah), omejeno tveganje (obveznosti preglednosti — npr. klepetalni roboti, vsebina, ustvarjena z umetno inteligenco) in minimalno tveganje (brez posebnih obveznosti).

Večina spletnih strani spada v stopnjo omejenega tveganja: klepetalni robot za podporo strankam ali blog vsebina, napisana z AI, običajno sproži obveznosti razkritja, ne veliko strožjega režima za visoko tveganje. Obveznosti za visoko tveganje postanejo relevantne predvsem za strani, ki uporabljajo AI za sprejemanje ali bistveno vplivanje na odločitve o posameznikih — presejanje kandidatov za zaposlitev, ocenjevanje kreditne sposobnosti ali podobno.

Na splošno da, za vsebino, ki bi jo lahko zamenjali za pristno človeško vsebino ali komunikacijo — to je ena od ključnih obveznosti preglednosti uredbe za sisteme z omejenim tveganjem. Praktično to pomeni: označite besedilo, slike, zvok ali video, ustvarjene z AI, ki so objavljeni ali prikazani obiskovalcem, in obiskovalce obvestite, kadar govorijo s klepetalnim robotom in ne z osebo.

Uredba je začela veljati avgusta 2024, obveznosti pa se uvajajo postopoma več let. Najprej so veljala pravila o prepovedanih praksah in obveznosti glede pismenosti na področju AI. Obveznosti preglednosti za sisteme z omejenim tveganjem — tiste, ki so najbolj relevantne za klepetalnega robota ali vsebino, ustvarjeno z AI, na tipični spletni strani — že veljajo. Obveznosti za uvajalce visoko tveganih sistemov AI v celoti veljajo od avgusta 2026, kar je rok, ki se najpogosteje navaja za pripravo podjetij.

GDPR in AI Act se dopolnjujeta, ne prekrivata kot nadomestka. GDPR ureja obdelavo osebnih podatkov — njegovo vprašanje je "ali se ti podatki obdelujejo zakonito?" AI Act ureja varnost in preglednost sistemov AI — njegovo vprašanje je "ali se tveganje tega sistema AI pravilno upravlja in razkriva?" Ena sama funkcija AI, na primer klepetalni robot, ki obdeluje sporočila obiskovalcev, lahko sproži obveznosti po obeh: GDPR, ker obdeluje osebne podatke, in AI Act, ker gre za sistem AI, ki komunicira z osebo, ki mora to vedeti.

Formalne kazni za kršitve AI Act so lahko znatne, z najvišjimi zneski, ki so v nekaterih kategorijah višji od tistih pri GDPR. V praksi je za večino malih in srednjih podjetij, ki uporabljajo vnaprej pripravljena orodja AI, neposredno tveganje nižje, kot nakazujejo najvišje kazni — izvrševanje se še vzpostavlja, ko nacionalni organi za nadzor trga vzpostavljajo svoje procese. Bolj konkretno kratkoročno tveganje je ugled: obiskovalci vse pogosteje opazijo nerazkrito uporabo AI, postopki naročanja pa začenjajo spraševati o upravljanju AI na način, kot že sprašujejo o skladnosti z GDPR.

Ker so obveznosti AI Act močno odvisne od tega, kako se AI uporablja interno — politike upravljanja, ocene tveganja, človeški nadzor — in ne od tega, kar je vidno v upodobljeni HTML kodi strani, je to bolje primerno za vprašalnik za samooceno kot za pregled na osnovi brskalnika. Brezplačna ocena GetGDPRScan pokriva profil podjetja, uporabo AI, vpliv na odločanje, prakse preglednosti in upravljanje ter vrne oceno tveganja in prednostni seznam ukrepov.