Akt o umjetnoj inteligenciji (AI Act): vodič za tvrtke

Akt o umjetnoj inteligenciji (AI Act, Uredba (EU) 2024/1689) prvi je sveobuhvatni propis o umjetnoj inteligenciji na svijetu i izravno se primjenjuje u Hrvatskoj. Obveze tvrtke ovise o ulozi koju ima prema svakom AI sustavu i o namjeni tog sustava. Uredba koristi pristup temeljen na riziku, od zabranjenih praksi do minimalnog rizika, a kazne za zabranjene prakse dosežu 35 milijuna eura ili 7% ukupnog svjetskog godišnjeg prometa.

Stanje u rujnu 2026.: zabrane iz 2025., obveza AI pismenosti, pravila za modele opće namjene (GPAI) i većina obveza transparentnosti iz članka 50. već se primjenjuju. Uredba (EU) 2026/1744 u srpnju 2026. odgodila je posebne zahtjeve za većinu visokorizičnih sustava na 2. prosinca 2027. (Prilog III.) i 2. kolovoza 2028. (Prilog I.). Ta izmjena odgađa samo navedene dijelove, a ostatak Akta primjenjuje se prema rasporedu.

Za svaki sustav treba analizirati činjenice. Naziv proizvoda ili tvrdnja dobavljača nije dovoljna pravna klasifikacija.

Ključne poruke

• AI Act je prvi sveobuhvatni propis o umjetnoj inteligenciji i izravno se primjenjuje u svim državama članicama EU-a, bez nacionalnog zakona o prenošenju.
• Koristi pristup temeljen na riziku: zabranjene prakse, visok rizik, obveze transparentnosti i minimalan rizik, uz posebna pravila za modele opće namjene.
• Zabrane (npr. društvenog bodovanja i neciljanog prikupljanja slika lica) primjenjuju se od 2. veljače 2025., a nove zabrane iz izmjene 2026. od 2. prosinca 2026.
• Kazne dosežu do 35 milijuna eura ili 7% ukupnog svjetskog godišnjeg prometa za zabranjene prakse.
• Obveze imaju i organizacije koje u poslovanju koriste tuđe AI sustave (npr. ChatGPT ili Copilot).

Odredite svoju ulogu

Obveze prema AI Actu ovise o ulozi u lancu vrijednosti i o namjeni sustava. Djelatnost tvrtke sama po sebi ne određuje obveze. Ista organizacija može imati različite uloge za različite sustave, pa krenite od poglavlja koje odgovara vašoj situaciji:

Interna uporaba ne znači automatski samo ulogu subjekta koji uvodi sustav. Ako je društvo razvilo ili naručilo razvoj sustava i prvi ga put uporabi pod svojim imenom, činjenice mogu upućivati na ulogu dobavljača. Obveze dobavljača preuzimate i kada na tuđi visokorizični sustav stavite svoje ime ili žig, kada ga bitno izmijenite ili kada sustavu promijenite namjenu tako da postane visokorizičan (članak 25.). Uporaba neizmijenjenog alata treće strane u pravilu ne čini korisnika dobavljačem.

Ako AI koristite za odluke o ljudima u područjima poput zapošljavanja i odabira kandidata, procjene kreditne sposobnosti, životnog i zdravstvenog osiguranja, biometrije, obrazovanja ili pristupa ključnim uslugama, sustav je vrlo vjerojatno visokorizičan. Popis područja nalazi se u poglavlju Visokorizični AI sustavi, a koraci do usklađenosti u poglavlju Kako postići usklađenost.

Ako ulogu ili razinu rizika ne možete jednoznačno odrediti, potrebna je stručna klasifikacija sustava. Zatražite AI Act procjenu opsega i spremnosti.

Sadržaj

• Što je Akt o umjetnoj inteligenciji?
• Pristup temeljen na riziku (4 razine)
• Ključni datumi primjene
• Zabranjene prakse umjetne inteligencije
• Visokorizični AI sustavi
• AI modeli opće namjene (GPAI)
• Obveze transparentnosti
• Kazne i sankcije
• Kako postići usklađenost: 7 koraka
• Nadležna tijela u Hrvatskoj
• AI Act i GDPR
• Česta pitanja
• Zaključak

Što je Akt o umjetnoj inteligenciji?

Akt o umjetnoj inteligenciji (Uredba (EU) 2024/1689) europska je uredba o usklađenim pravilima za umjetnu inteligenciju, objavljena u Službenom listu EU-a 12. srpnja 2024. Stupila je na snagu 1. kolovoza 2024. Kao uredba izravno se primjenjuje u svim državama članicama, uključujući Hrvatsku, bez nacionalne transpozicije. Utvrđuje pravila za razvoj, stavljanje na tržište, stavljanje u uporabu i korištenje AI sustava.

U službenom hrvatskom tekstu koristi se kratica UI (umjetna inteligencija), pa se u praksi susreću nazivi Akt o UI, AI akt i AI Act. Uredba (EU) 2026/1744, koja je stupila na snagu 27. srpnja 2026., izmijenila je dio rokova i provedbenog okvira. Izvorni tekst i izmjenu zato treba čitati zajedno.

Službena definicija AI sustava

Članak 3. točka 1. definira sustav UI kao strojni sustav izrađen za rad s različitim razinama autonomije, koji nakon uvođenja može pokazivati prilagodljivost. Za eksplicitne ili implicitne ciljeve takav sustav iz ulaznih podataka zaključuje kako generirati izlazne podatke, primjerice predviđanja, sadržaj, preporuke ili odluke koji mogu utjecati na fizička ili virtualna okruženja.

Ključni element je sposobnost zaključivanja. Programi koji samo automatski izvršavaju pravila koja je u cijelosti odredio čovjek u pravilu ne ulaze u tu definiciju.

Na koga se primjenjuje?

• dobavljače koji AI sustave ili modele opće namjene stavljaju na tržište ili u uporabu u EU-u, bez obzira na to gdje imaju sjedište
• subjekte koji uvode AI sustave i imaju poslovni nastan ili se nalaze u EU-u (poduzeća i javna tijela koja AI koriste u radu)
• dobavljače i subjekte koji uvode sustave izvan EU-a kada se izlazni rezultati njihovih sustava upotrebljavaju u EU-u
• uvoznike i distributere AI sustava
• proizvođače proizvoda koji AI sustav stavljaju na tržište zajedno sa svojim proizvodom i pod svojim imenom
• ovlaštene zastupnike dobavljača iz trećih zemalja.

Uredba se ne primjenjuje na osobnu neprofesionalnu uporabu, na sustave isključivo za vojne, obrambene ili nacionalne sigurnosne svrhe ni na AI sustave i modele razvijene i stavljene u uporabu isključivo radi znanstvenog istraživanja i razvoja.

Ključna činjenica: AI Act se primjenjuje i na organizacije koje AI sustave samo koriste. Ako vaša tvrtka u poslovanju koristi bilo koji AI alat (od ChatGPT-a za korisničku podršku do algoritma za odabir kandidata), ima obveze prema ovoj Uredbi, najmanje one vezane uz AI pismenost iz članka 4.

Pristup temeljen na riziku

AI Act razvrstava AI sustave prema riziku: što je rizik veći, to su obveze strože. Europska komisija taj pristup opisuje kroz četiri razine rizika:

Razine se ne isključuju: visokorizični sustav može imati i obveze transparentnosti. Modeli opće namjene imaju zasebna pravila u poglavlju V., neovisno o toj podjeli.

Stručni savjet: Većina poduzeća koja koriste AI alate nalazi se u kategoriji minimalnog ili ograničenog rizika. Ako AI koristite za donošenje ili pripremu odluka o ljudima (zapošljavanje, kreditne odluke, pristup uslugama), vrlo vjerojatno ste u visokorizičnoj kategoriji sa znatno strožim zahtjevima. Klasifikaciju radite prema namjeni sustava i obrazložite je pisano.

Ključni datumi primjene

Uredba se primjenjuje u fazama. Tablica prikazuje raspored nakon izmjene Uredbom (EU) 2026/1744, prema stanju u rujnu 2026.:

Važeći članak 4. od 27. srpnja 2026. traži da dobavljači i subjekti koji uvode AI sustave poduzimaju mjere za potporu razvoju AI pismenosti osoblja i drugih osoba koje rade u njihovo ime. Ne moraju jamčiti konkretnu razinu pismenosti svakog pojedinca.

Prijelaz iz članka 111. stavka 4. uzak je: odnosi se na obvezu dobavljača iz članka 50. stavka 2. za sustave koji stvaraju sintetički zvuk, sliku, video ili tekst i koji su stavljeni na tržište prije 2. kolovoza 2026. Obveze subjekata koji uvode sustav iz članka 50. stavaka 3. i 4. nisu odgođene.

Ključni pokazatelji

2. veljače 2025.: od tog datuma primjenjuju se zabrane iz članka 5., a odredbe o kaznama od 2. kolovoza 2025.

35 milijuna eura: gornja granica kazne za zabranjene prakse

7%: gornja granica kazne za najteže povrede, izražena kao udio u ukupnom svjetskom godišnjem prometu

4: razine rizika u regulatornom okviru

2. prosinca 2027.: datum primjene zahtjeva za većinu visokorizičnih sustava iz Priloga III.

Zabranjene prakse umjetne inteligencije

Članak 5. (poglavlje II.) zabranjuje prakse koje se smatraju neprihvatljivim rizikom za temeljna prava. Te se zabrane primjenjuju od 2. veljače 2025., a odredbe o kaznama za njihovo kršenje od 2. kolovoza 2025. Svaka zabrana ima precizne elemente, a neke imaju i iznimke u samom tekstu. Sustav zato provjerite prema svakom elementu odredbe, a kratki naziv zabrane koristite samo kao orijentir.

Zabranjeno je:

1. Podsvjesna i manipulativna tehnika: korištenje podsvjesnih, namjerno manipulativnih ili obmanjujućih tehnika radi bitnog narušavanja ponašanja osobe, koje uzrokuje ili će vjerojatno uzrokovati znatnu štetu

2. Iskorištavanje ranjivosti: iskorištavanje ranjivosti osoba zbog dobi, invaliditeta ili posebne socijalne ili gospodarske situacije, s istim štetnim učinkom

3. Društveno bodovanje: vrednovanje ili klasifikacija osoba na temelju društvenog ponašanja ili osobina ličnosti koje dovodi do štetnog ili nepovoljnog postupanja u nepovezanim kontekstima ili do nerazmjernog postupanja

4. Predviđanje kaznenih djela: procjena rizika da će osoba počiniti kazneno djelo isključivo na temelju profiliranja ili procjene osobina ličnosti

5. Neciljano prikupljanje slika lica: izrada ili proširivanje baza za prepoznavanje lica neciljanim prikupljanjem slika s interneta ili snimki videonadzora

6. Prepoznavanje emocija: na radnom mjestu i u obrazovnim ustanovama, osim iz medicinskih ili sigurnosnih razloga

7. Biometrijska kategorizacija: razvrstavanje osoba na temelju biometrijskih podataka radi zaključivanja o rasi, političkim stavovima, članstvu u sindikatu, vjerskim ili filozofskim uvjerenjima, spolnom životu ili spolnoj orijentaciji

8. Daljinska biometrijska identifikacija u stvarnom vremenu: na javno dostupnim mjestima za potrebe kaznenog progona, uz stroge i usko određene iznimke

Uredba (EU) 2026/1744 dodala je nove zabrane koje se primjenjuju od 2. prosinca 2026. Do tog datuma provjerite ulaze li u njih sustavi koje razvijate ili koristite.

Ako kamere i videonadzor povezujete s analitikom lica ili ponašanja, uz članak 5. provjerite i pravila o videonadzoru prema GDPR-u.

Upozorenje: Ove zabrane već vrijede. Ako vaša organizacija koristi AI sustav koji bi mogao ulaziti u navedene kategorije (primjerice alat za prepoznavanje emocija zaposlenika ili sustav za biometrijsku kategorizaciju), sustav odmah provjerite i prekinite zabranjenu uporabu.

Visokorizični AI sustavi

Poglavlje III. uređuje visokorizične AI sustave i obveze njihovih dobavljača i subjekata koji ih uvode. Nakon izmjene iz 2026. odjeljci 1. do 3. tog poglavlja primjenjuju se od 2. prosinca 2027. za sustave iz Priloga III. i od 2. kolovoza 2028. za sustave iz Priloga I.

Postoje dvije glavne ulazne točke:

1. sustav je sigurnosna komponenta proizvoda ili sam proizvod obuhvaćen zakonodavstvom iz Priloga I. (primjerice strojevi, igračke, dizala, medicinski proizvodi) i podliježe ocjenjivanju sukladnosti koje provodi treća strana
2. sustav ima namjenu iz Priloga III.

Koja područja obuhvaća Prilog III.?

Za sustave iz Priloga III. članak 6. stavak 3. predviđa izuzeće kada sustav ne predstavlja značajan rizik za zdravlje, sigurnost ili temeljna prava, primjerice kada obavlja usku postupovnu zadaću. Sustav koji profilira fizičke osobe u tim područjima ipak se uvijek smatra visokorizičnim. Zaključak i obrazloženje treba dokumentirati.

Obveze dobavljača visokorizičnih sustava

1. Sustav upravljanja rizicima: utvrditi, analizirati, procijeniti i ublažiti rizike tijekom cijelog životnog ciklusa (članak 9.)
2. Upravljanje podacima: osigurati kvalitetu, reprezentativnost i relevantnost podataka za treniranje, validaciju i testiranje (članak 10.)
3. Tehnička dokumentacija: detaljno dokumentirati sustav prije stavljanja na tržište (članak 11.)
4. Vođenje evidencije: automatsko bilježenje događaja (zapisi) tijekom rada sustava (članak 12.)
5. Transparentnost i upute: subjektu koji uvodi sustav dati jasne i razumljive upute za uporabu (članak 13.)
6. Ljudski nadzor: omogućiti učinkovit nadzor osoba s potrebnim znanjem i ovlastima (članak 14.)
7. Točnost, otpornost i kibernetička sigurnost: osigurati primjerenu razinu tijekom cijelog životnog ciklusa (članak 15.)
8. Registracija: registrirati sustav u bazi podataka EU-a prije stavljanja na tržište ili u uporabu (članci 49. i 71.)

Dobavljač uz to uspostavlja sustav upravljanja kvalitetom (članak 17.), provodi postupak ocjenjivanja sukladnosti (članak 43.), sastavlja EU izjavu o sukladnosti (članak 47.), stavlja oznaku CE i prati sustav nakon stavljanja na tržište (članak 72.). Datumi primjene tih zahtjeva ovise o tome je li sustav obuhvaćen Prilogom I. ili Prilogom III.

Obveze subjekta koji uvodi visokorizični sustav

Obveze dobavljača i subjekta koji uvodi sustav razlikuju se. Subjekt koji uvodi sustav slijedi upute za uporabu, osigurava kompetentan ljudski nadzor, nadzire ulazne podatke pod svojom kontrolom, čuva zapise pod svojom kontrolom u propisanom razdoblju i postupa kada otkrije rizik ili ozbiljan incident. Poslodavac prije uvođenja visokorizičnog sustava na radnom mjestu obavještava predstavnike radnika i radnike na koje se sustav odnosi. Osobe o kojima sustav iz Priloga III. donosi ili pomaže donositi odluke moraju biti obaviještene o tome. Nabava proizvoda koji dobavljač opisuje kao „usklađen” ne prenosi odgovornost za način uporabe.

Određena javna tijela i privatni subjekti koji pružaju javne usluge morat će prije prve uporabe nekih visokorizičnih sustava provesti procjenu učinka na temeljna prava (FRIA). Obveza iz članka 27. slijedi odgođeni datum poglavlja III. za odgovarajuću visokorizičnu kategoriju i nije postala primjenjiva samo zbog općeg datuma 2. kolovoza 2026. FRIA i DPIA prema GDPR-u zasebne su procjene, iako se mogu provoditi usklađeno.

Za visokorizične sustave stavljene na tržište ili u uporabu prije relevantnog datuma poglavlja III. članak 111. stavak 2. u pravilu veže primjenu uz značajnu promjenu dizajna nakon tog datuma. Dobavljači i subjekti koji uvode visokorizične sustave namijenjene javnim tijelima u svakom ih slučaju moraju uskladiti do 2. kolovoza 2030.

Stručni savjet: Ako koristite AI za odabir kandidata pri zapošljavanju ili procjenu kreditne sposobnosti, riječ je o tipičnim visokorizičnim sustavima iz Priloga III. I kada koristite tuđi alat (npr. SaaS rješenje), kao subjekt koji uvodi sustav od 2. prosinca 2027. morate osigurati ljudski nadzor, pratiti rad sustava, čuvati zapise i obavijestiti osobe o kojima sustav odlučuje. Razdoblje do tog datuma iskoristite za dokumentaciju, ugovore s dobavljačem i obuku osoba koje će nadzirati sustav.

AI modeli opće namjene (GPAI)

Poglavlje V. uređuje modele opće namjene, poput velikih jezičnih modela (GPT, Claude, Gemini i slični). Pravila se primjenjuju od 2. kolovoza 2025. Dobavljači modela stavljenih na tržište prije tog datuma moraju ih uskladiti do 2. kolovoza 2027. Nadzor nad dobavljačima GPAI modela provodi Europska komisija preko Ureda za umjetnu inteligenciju.

Obveze dobavljača modela opće namjene

• izraditi i ažurirati tehničku dokumentaciju modela
• dati informacije i dokumentaciju dobavljačima AI sustava koji model ugrađuju u svoje sustave
• uspostaviti politiku poštovanja autorskog prava EU-a
• objaviti dovoljno detaljan sažetak sadržaja korištenog za treniranje modela.

Za modele objavljene pod besplatnom licencom otvorenog koda s javno dostupnim parametrima prve dvije obveze u pravilu ne vrijede, osim ako model ima sistemski rizik.

Modeli sa sistemskim rizikom

Modeli trenirani uz vrlo veliku računalnu snagu (pretpostavka vrijedi iznad 10^25 FLOP-ova) smatraju se modelima sa sistemskim rizikom i imaju dodatne obveze:

• evaluacija modela prema najnovijim protokolima, uključujući kontradiktorno testiranje
• procjena i ublažavanje sistemskih rizika na razini EU-a
• praćenje i prijava ozbiljnih incidenata Uredu za umjetnu inteligenciju
• odgovarajuća razina kibernetičke zaštite modela i njegove infrastrukture

Važno: Tvrtka koja GPAI model samo koristi preko aplikacije ili sučelja za programiranje (API) nije dobavljač modela. Ako model ugradi u vlastiti AI sustav koji stavlja na tržište ili u uporabu pod svojim imenom, postaje dobavljač tog AI sustava i preuzima obveze koje za taj sustav vrijede.

Obveze transparentnosti

Članak 50. propisuje obveze transparentnosti za određene AI sustave, neovisno o tome jesu li visokorizični. Većina tih obveza primjenjuje se od 2. kolovoza 2026. Obveze su raspoređene između dobavljača i subjekta koji uvodi sustav:

Za sustave za sintetički sadržaj stavljene na tržište prije 2. kolovoza 2026. dobavljač ima prijelaz do 2. prosinca 2026., i to samo za označavanje iz stavka 2. Sustav koji nije visokorizičan i dalje može imati obveze iz članka 50. ili drugog propisa.

Važno: Ako vaša tvrtka koristi chatbot za korisničku podršku pokretan AI-jem, korisnici moraju biti jasno obaviješteni da komuniciraju s automatiziranim sustavom. Ako ste chatbot izradili sami na temelju tuđeg modela i koristite ga pod svojim imenom, vi ste dobavljač tog sustava i ta je obveza vaša. Ako koristite gotov proizvod, provjerite da vaša konfiguracija i sučelje tu obavijest ne skrivaju.

Kazne i sankcije

Članak 99. propisuje gornje granice kazni u tri razine. Za poduzeća se primjenjuje viši od dvaju iznosa:

Za mala i srednja poduzeća, uključujući start-up poduzeća, gornja granica je niži od dvaju iznosa (članak 99. stavak 6.). Izmjena iz 2026. uvela je nižu granicu i za mala poduzeća srednje tržišne kapitalizacije, ali samo za kazne iz članka 99. stavaka 4. i 5. Za zabranjene prakse iz stavka 3. za ta poduzeća vrijedi viši od dvaju iznosa.

Konkretnu kaznu određuje nadležno tijelo prema okolnostima slučaja, uključujući prirodu, težinu i trajanje povrede te suradnju s tijelom. Za dobavljače GPAI modela Europska komisija prema članku 101. može izreći kaznu do 15 milijuna eura ili 3% ukupnog svjetskog godišnjeg prometa, ovisno o tome koji je iznos viši.

Ključna statistika: Kazna od 35 milijuna eura ili 7% prometa za zabranjene prakse viša je od najviše kazne prema GDPR-u (20 milijuna eura ili 4% prometa).

Kako postići usklađenost: 7 koraka

Korak 1: Provedite inventuru AI sustava

Popišite sve AI sustave, modele i funkcije koje vaša organizacija razvija, koristi ili nabavlja, uključujući pilot-projekte i alate koje su timovi nabavili bez središnje evidencije. Za svaki unos zabilježite:

• što sustav radi i koja mu je namjena
• tko je dobavljač i tko je odgovorna osoba u vašoj organizaciji
• tko su krajnji korisnici i pogođene osobe
• koja područja, sektore i zemlje uporabe obuhvaća
• koji se podaci koriste za treniranje i rad, uključujući osobne podatke.

Korak 2: Utvrdite ulogu za svaki sustav

Za svaki sustav odredite jeste li dobavljač, subjekt koji uvodi sustav, uvoznik ili distributer. Provjerite jeste li izmjenom, stavljanjem svojeg imena ili promjenom namjene preuzeli obveze dobavljača.

Korak 3: Klasificirajte prema razini rizika

Za svaki sustav provjerite članak 5., članak 6. s prilozima I. i III. te članak 50. i obrazložite zaključak:

• Zabranjeno: odmah prekinuti uporabu
• Visok rizik: pripremiti obveze iz poglavlja III. do datuma koji vrijedi za tu kategoriju
• Ograničen rizik: primijeniti obveze transparentnosti (članak 50.)
• Minimalan rizik: AI pismenost te dobrovoljne mjere i kodeksi ponašanja

Korak 4: Zatvorite obveze koje već vrijede

Zabrane iz članka 5., AI pismenost, pravila za modele opće namjene i većina obveza transparentnosti već se primjenjuju. Zabranjene prakse uklonite, osigurajte edukaciju o AI pismenosti za zaposlenike koji rade s AI sustavima i uskladite obavijesti i označavanje sadržaja s člankom 50.

Korak 5: Pripremite dokumentaciju za visokorizične sustave

Za odgođene visokorizične zahtjeve izradite plan do stvarnog datuma primjene. Razdoblje do tog datuma iskoristite za prikupljanje dokaza i dovršetak dokumentacije. Dobavljači pripremaju:

• tehničku dokumentaciju prema članku 11.
• zapise o radu sustava prema članku 12.
• upute za uporabu prema članku 13.
• EU izjavu o sukladnosti prema članku 47.

Subjekti koji uvode sustav od dobavljača traže upute, informacije o ograničenjima sustava i ugovorne obveze za suradnju, a po potrebi pripremaju FRIA-u.

Korak 6: Uspostavite ljudski nadzor

• imenujte odgovorne osobe za nadzor svakog visokorizičnog sustava
• odredite postupke za intervenciju i prekid rada
• osigurajte tehničku mogućnost prekida rada sustava u svakom trenutku
• dokumentirajte ljudske intervencije i njihove razloge.

Korak 7: Registrirajte sustave i pratite promjene

• registrirajte visokorizične sustave u bazi podataka EU-a (članci 49. i 71.)
• uspostavite praćenje rada sustava nakon stavljanja na tržište ili u uporabu
• povežite AI registar s nabavom, upravljanjem rizikom dobavljača, sigurnošću, GDPR evidencijama, DPIA-ama i upravljanjem incidentima
• pratite izmjene Uredbe, delegirane i provedbene akte te smjernice Europske komisije i Ureda za umjetnu inteligenciju.

Ako trebate neovisnu klasifikaciju uloge, rizika i rokova, pogledajte uslugu AI usklađenosti.

Nadležna tijela u Hrvatskoj

Države članice morale su do 2. kolovoza 2025. odrediti nacionalna nadležna tijela za provedbu Akta o umjetnoj inteligenciji (članak 70.). Popis tijela i kontaktnih točaka objavljuje Europska komisija, pa prije komunikacije s tijelom provjerite aktualni popis.

Postojeća tijela zadržavaju svoje nadležnosti. AZOP ostaje nadležan za obradu osobnih podataka u AI sustavima (više u vodiču o AZOP-u). Za financijske institucije Akt predviđa da nadzor tržišta visokorizičnih sustava u pravilu provodi tijelo nadležno za financijski nadzor tih institucija, u Hrvatskoj HNB ili HANFA, ovisno o subjektu. Sektorski regulatori poput HAKOM-a i tijela za kibernetičku sigurnost i dalje nadziru svoja područja. Ako je vaša organizacija obveznik NIS2 pravila, sigurnost AI sustava ulazi i u taj okvir.

AI Act i GDPR

Ove se dvije uredbe nadopunjuju i često primjenjuju istodobno:

AI sustav koji obrađuje osobne podatke podliježe objema uredbama. AI Act ne zamjenjuje GDPR, pa organizacija i dalje treba:

• odrediti svrhu i pravni temelj obrade
• dati informacije iz članaka 13. ili 14. GDPR-a
• urediti odnose voditelja i izvršitelja obrade, uključujući ugovore s dobavljačima AI alata
• provjeriti prijenose izvan EGP-a
• provesti DPIA-u kada je vjerojatan visok rizik za prava i slobode
• poštovati ograničenja automatiziranog odlučivanja iz članka 22. GDPR-a.

Visokorizična klasifikacija prema AI Actu ne znači automatski da je DPIA obvezna, niti dovršena DPIA zamjenjuje dokumentaciju prema AI Actu. Procjene se mogu organizacijski povezati, ali njihove pravne svrhe ostaju odvojene. Ako organizacija ima službenika za zaštitu podataka, uključite ga u izradu AI registra i u procjenu sustava koji obrađuju osobne podatke.

Stručni savjet: Ako vaš AI sustav obrađuje osobne podatke, što je čest slučaj, primjenjuju se oba propisa istodobno. Uz obveze iz AI Acta morate osigurati i GDPR usklađenost: pravni temelj obrade, transparentnost, prava ispitanika i, kada je potrebno, procjenu učinka na zaštitu podataka (DPIA).

Česta pitanja

Na koga se odnosi EU AI Act?+

AI Act se odnosi na dobavljače, subjekte koji uvode AI sustave, uvoznike i distributere na tržištu EU-a, neovisno o sjedištu. Obuhvaća i dobavljače izvan EU-a čiji se izlazni rezultati koriste u EU-u. Obveze ovise o ulozi i razini rizika sustava, a najviše obveza nose visokorizični sustavi. Provjerite razinu rizika svojih sustava.

Otkad se primjenjuje AI Act?+

AI Act stupio je na snagu 1. kolovoza 2024. i primjenjuje se u fazama. Zabrane i AI pismenost primjenjuju se od 2. veljače 2025., pravila za modele opće namjene od 2. kolovoza 2025., a opća primjena i većina obveza transparentnosti od 2. kolovoza 2026. Nakon izmjene Uredbom (EU) 2026/1744 zahtjevi za visokorizične sustave primjenjuju se od 2. prosinca 2027. (Prilog III.) i 2. kolovoza 2028. (Prilog I.).

Što ako koristimo AI alate drugih dobavljača?+

I subjekti koji uvode tuđe sustave imaju obveze: AI pismenost zaposlenika, uporabu u skladu s uputama, obveze transparentnosti te, za visokorizične sustave, ljudski nadzor i čuvanje zapisa. Dobavljač odgovara za izradu i dokumentaciju sustava, a vi za način na koji ga koristite. Prvi korak je popis AI sustava. Popišite svoje AI sustave.

Primjenjuje li se AI Act na moje poduzeće?+

Da, ako u EU-u razvijate AI sustav, stavljate ga na tržište ili ga koristite u poslovanju. Uredba se ne primjenjuje na osobnu neprofesionalnu uporabu, na sustave isključivo za vojne, obrambene ili nacionalne sigurnosne svrhe ni na znanstveno istraživanje i razvoj kao jedinu svrhu. Opseg obveza zatim ovisi o ulozi i namjeni sustava.

Primjenjuje li se AI Act na korištenje ChatGPT-a ili Copilota?+

Može. Organizacija je najčešće subjekt koji uvodi sustav, a konkretne obveze ovise o namjeni, podacima, konfiguraciji i tome stavlja li sustav u uporabu pod vlastitim imenom. Za opću uredsku uporabu to je u pravilu AI pismenost, a za objavljeni sadržaj i obveze iz članka 50. Ako alat koristite za namjenu iz Priloga III., primjerice za odabir kandidata, provjerite jeste li time preuzeli obveze dobavljača (članak 25.). Poslovna uporaba nije izuzeta samo zato što je alat generički.

Jesu li visokorizične obveze već na snazi?+

Ne sve. Izmjena iz srpnja 2026. odgodila je odjeljke 1. do 3. poglavlja III., uz iznimku članka 6. stavka 5., na 2. prosinca 2027. za sustave iz članka 6. stavka 2. i Priloga III. te na 2. kolovoza 2028. za sustave iz članka 6. stavka 1. i Priloga I. Druge odredbe, poput zabrana, AI pismenosti i transparentnosti, već se primjenjuju.

Moramo li označiti AI sadržaj?+

Članak 50. raspoređuje različite dužnosti između dobavljača i subjekta koji uvodi sustav. Potrebno je utvrditi vrstu sadržaja, ulogu i primjenjivu iznimku. Za određene sustave stavljene na tržište prije 2. kolovoza 2026. postoji prijelaz do 2. prosinca 2026. samo za članak 50. stavak 2.

Koje su kazne za neusklađenost?+

Do 35 milijuna eura ili 7% ukupnog svjetskog godišnjeg prometa za zabranjene prakse, do 15 milijuna eura ili 3% za većinu drugih obveza i do 7,5 milijuna eura ili 1% za netočne informacije tijelima. Za poduzeća vrijedi viši od dvaju iznosa, a za mala i srednja poduzeća niži. To su gornje granice, a konkretnu kaznu tijelo određuje prema okolnostima slučaja.

Koji je službeni naziv na hrvatskom?+

Akt o umjetnoj inteligenciji, puni naziv (skraćeno): Uredba (EU) 2024/1689 Europskog parlamenta i Vijeća od 13. lipnja 2024. o utvrđivanju usklađenih pravila o umjetnoj inteligenciji i o izmjeni određenih uredaba i direktiva (Akt o umjetnoj inteligenciji). U službenom tekstu koristi se kratica UI. Izmjene iz 2026. donesene su Uredbom (EU) 2026/1744.

Kako se AI Act odnosi na GDPR?+

Nadopunjuju se. Ako AI sustav obrađuje osobne podatke, primjenjuju se oba propisa. GDPR štiti osobne podatke, a AI Act uređuje sam sustav: njegov razvoj, stavljanje na tržište i uporabu. Procjena prema AI Actu ne zamjenjuje DPIA-u, a DPIA ne zamjenjuje dokumentaciju prema AI Actu.

Tko provodi nadzor u Hrvatskoj?+

Nadzor tržišta AI sustava provode nacionalna tijela koja je Hrvatska dužna odrediti prema članku 70. Nad dobavljačima modela opće namjene nadzor provodi Europska komisija preko Ureda za umjetnu inteligenciju. AZOP ostaje nadležan za obradu osobnih podataka u AI sustavima, a za financijske institucije nadzor visokorizičnih sustava u pravilu provodi tijelo za financijski nadzor.

Zaključak

Akt o umjetnoj inteligenciji uvodi obveze za sve organizacije koje u EU-u razvijaju ili koriste AI sustave. Za hrvatska poduzeća, bez obzira na to razvijaju li vlastite AI sustave ili koriste tuđe, usklađivanje počinje popisom sustava i određivanjem uloga. Odgoda visokorizičnih rokova daje više vremena za dokumentaciju i ljudski nadzor, a zabrane, AI pismenost i transparentnost već se primjenjuju.

Ključni zaključci za 2026.

• Zabrane se primjenjuju od 2. veljače 2025. Revidirajte postojeće AI sustave sada. Nove zabrane iz izmjene 2026. primjenjuju se od 2. prosinca 2026.
• Transparentnost vrijedi od 2. kolovoza 2026. Chatbotovi, sintetički i deepfake sadržaj moraju ispunjavati zahtjeve članka 50.
• Visokorizični rokovi pomaknuti su na 2. prosinca 2027. i 2. kolovoza 2028. Odgodu iskoristite za dokumentaciju, ugovore s dobavljačima i ljudski nadzor.
• Obveze imaju i organizacije koje koriste tuđe alate. Uporaba ChatGPT-a, Copilota ili SaaS rješenja u poslovanju donosi regulatorne obveze.
• Inventura je prvi korak. Bez popisa svih AI sustava u organizaciji ne možete procijeniti rizike i obveze.
• Ljudski nadzor obvezan je za visokorizične sustave: potrebna je osoba sa znanjem i ovlastima za intervenciju.
• AI Act i GDPR primjenjuju se zajedno. Većina AI sustava obrađuje osobne podatke, pa usklađenost s oba propisa planirajte usporedno.

Povezani članci

• Što je GDPR? Značenje, zakon i kompletni vodič: temelji zaštite osobnih podataka u AI sustavima
• DPIA procjena učinka po GDPR-u: kada je procjena obvezna i kako je povezati s AI sustavima
• GDPR usklađenost za tvrtke u Hrvatskoj: koraci usklađivanja za obradu osobnih podataka
• EU compliance playbook za SaaS: EU obveze za softverske tvrtke koje ulaze na europsko tržište

Trebate pomoć s AI Act usklađivanjem?

Vision Compliance savjetuje tvrtke u pripremi za Akt o umjetnoj inteligenciji:

• Klasifikacija AI sustava: inventura, određivanje uloge i procjena razine rizika
• Izrada dokumentacije: tehnička dokumentacija, zapisi, upute i izjave o sukladnosti
• Uspostava ljudskog nadzora: postupci, imenovanja i obuka odgovornih osoba
• Edukacija o AI pismenosti: programi za zaposlenike i upravu prema članku 4.
• GDPR i AI Act usklađenost: zajednička procjena za sustave koji obrađuju osobne podatke

Zakažite konzultaciju

Izvori i pregled

Pravni sadržaj pregledan je 8. kolovoza 2026. prema sljedećim primarnim izvorima:

• Uredba (EU) 2024/1689: Akt o umjetnoj inteligenciji
• Uredba (EU) 2026/1744: izmjene rokova i provedbenog okvira
• Europska komisija: aktualni regulatorni okvir za AI

Ovaj vodič daje opće informacije i ne zamjenjuje procjenu konkretnog sustava, ugovora i namjene.