AI Act (Akt o umjetnoj inteligenciji): rokovi i obveze

AI Act, službeno Akt o umjetnoj inteligenciji (Uredba (EU) 2024/1689), europska je uredba koja uređuje razvoj, stavljanje na tržište i korištenje sustava umjetne inteligencije. Izravno se primjenjuje u Hrvatskoj, bez nacionalnog prenošenja. Obveze ovise o ulozi tvrtke prema svakom sustavu i o njegovoj namjeni: od zabranjenih praksi do sustava bez posebnih obveza. Za zabranjene prakse kazna doseže 35 milijuna eura ili 7 % ukupnog svjetskog godišnjeg prometa.

Ovaj vodič prikazuje stanje na 4. studenoga 2026. Zabrane, AI pismenost, pravila za modele opće namjene i obveze transparentnosti već se primjenjuju. Uredba (EU) 2026/1744 od 8. srpnja 2026. pomaknula je zahtjeve za visokorizične sustave na 2. prosinca 2027. (Prilog III.) i 2. kolovoza 2028. (Prilog I.) te dodala dvije nove zabrane od 2. prosinca 2026.

Ukratko

• Primjenjuje se i na tvrtke koje AI samo koriste, na primjer ChatGPT, Copilot ili alat za odabir kandidata.
• Zabranjene prakse vrijede od 2. veljače 2025. Nove zabrane intimnih deepfake sadržaja bez privole i materijala sa seksualnim zlostavljanjem djece vrijede od 2. prosinca 2026.
• AI pismenost: dobavljači i subjekti koji uvode sustave poduzimaju mjere za potporu AI pismenosti osoblja (čl. 4.).
• Transparentnost (čl. 50.) vrijedi od 2. kolovoza 2026.: obavijest da osoba razgovara s AI-jem, oznaka deepfake sadržaja, strojno čitljivo označavanje sintetičkog sadržaja.
• Visokorizični sustavi iz Priloga III. (zapošljavanje, krediti, obrazovanje, biometrija) imaju stroge obveze od 2. prosinca 2027.
• U Hrvatskoj su određena tijela za zaštitu temeljnih prava, a zakon kojim se određuje tijelo za nadzor tržišta još nije donesen.

Odredite svoju ulogu

Ista tvrtka može imati različite uloge za različite sustave. Obveze se određuju za svaki sustav posebno.

Obveze dobavljača preuzimate i kada na tuđi visokorizični sustav stavite svoje ime ili žig, kada ga bitno izmijenite ili kada mu promijenite namjenu tako da postane visokorizičan (čl. 25.). Korištenje neizmijenjenog tuđeg alata u pravilu ne čini tvrtku dobavljačem.

Što je AI sustav

AI sustav (u službenom hrvatskom tekstu UI sustav) je strojni sustav koji radi s različitim razinama autonomije i iz ulaznih podataka zaključuje kako generirati izlazne podatke: predviđanja, sadržaj, preporuke ili odluke (čl. 3. t. 1.). Ključna je sposobnost zaključivanja. Program koji samo izvršava pravila koja je u potpunosti odredio čovjek u pravilu nije AI sustav.

Uredba se primjenjuje na:

• dobavljače koji AI sustave ili modele opće namjene stavljaju na tržište EU-a, bez obzira na sjedište;
• subjekte koji uvode AI sustave i imaju sjedište ili se nalaze u EU-u;
• dobavljače i subjekte izvan EU-a kada se izlazni rezultati sustava koriste u EU-u;
• uvoznike, distributere, proizvođače proizvoda i ovlaštene zastupnike.

Ne primjenjuje se na osobnu neprofesionalnu upotrebu, na sustave isključivo za vojne, obrambene i nacionalne sigurnosne svrhe ni na sustave razvijene isključivo za znanstveno istraživanje.

Četiri razine rizika

Razine se mogu preklapati: visokorizični sustav može imati i obveze transparentnosti. Modeli opće namjene imaju zasebna pravila u poglavlju V.

Rokovi primjene

Što je donijela Uredba 2026/1744

Uredba (EU) 2026/1744, dio paketa "Digitalni omnibus", stupila je na snagu 27. srpnja 2026. Najvažnije promjene za tvrtke:

1. Odgoda za visokorizične sustave: Prilog III. od 2. prosinca 2027., Prilog I. od 2. kolovoza 2028.
2. Nove zabrane od 2. prosinca 2026.: AI sustavi koji stvaraju realistične intimne prikaze prepoznatljive osobe bez njezine privole i materijal sa seksualnim zlostavljanjem djece (čl. 5. st. 1. (ba) i (bb)).
3. AI pismenost: obveza je preoblikovana u mjere za potporu razvoju pismenosti osoblja. Komisija objavljuje praktične primjere (čl. 4.).
4. Pristranost: dobavljači visokorizičnih sustava smiju iznimno obrađivati posebne kategorije osobnih podataka radi otkrivanja i ispravljanja pristranosti, uz stroge zaštitne mjere (čl. 4.a).
5. Mala poduzeća srednje tržišne kapitalizacije (MPS) dobila su olakšice koje su prije imala samo mala i srednja poduzeća, uključujući niže gornje granice kazni iz čl. 99. st. 4. i 5.
6. Procjena učinka na temeljna prava: Ured za umjetnu inteligenciju izrađuje predložak upitnika, a dijelovi već provedene procjene učinka na zaštitu podataka (DPIA) mogu se koristiti (čl. 27.).
7. Kibernetička sigurnost: visokorizični sustav koji ispunjava uvjete Akta o kibernetičkoj otpornosti smatra se usklađenim s čl. 15. (čl. 42. st. 3.).

Zabranjene prakse

Članak 5. zabranjuje:

1. podsvjesne, manipulativne ili obmanjujuće tehnike koje bitno narušavaju ponašanje osobe i uzrokuju znatnu štetu;
2. iskorištavanje ranjivosti zbog dobi, invaliditeta ili socijalne i gospodarske situacije;
3. društveno bodovanje koje dovodi do štetnog ili nerazmjernog postupanja;
4. procjenu rizika da će osoba počiniti kazneno djelo isključivo na temelju profiliranja ili osobina ličnosti;
5. neciljano prikupljanje slika lica s interneta ili snimki videonadzora za baze prepoznavanja lica;
6. prepoznavanje emocija na radnom mjestu i u obrazovnim ustanovama, osim iz medicinskih ili sigurnosnih razloga;
7. biometrijsku kategorizaciju radi zaključivanja o rasi, političkim stavovima, članstvu u sindikatu, vjeri, spolnom životu ili orijentaciji;
8. daljinsku biometrijsku identifikaciju u stvarnom vremenu na javnim mjestima za kazneni progon, uz uske iznimke;
9. od 2. prosinca 2026.: sustave koji stvaraju ili mijenjaju realističan intimni ili seksualno eksplicitan prikaz prepoznatljive osobe bez njezine privole;
10. od 2. prosinca 2026.: sustave koji stvaraju materijal sa seksualnim zlostavljanjem djece.

Za točke 9. i 10. stavljanje sustava na tržište zabranjeno je kada je takav sadržaj namjena sustava ili razumno predvidljiv ishod bez dovoljnih zaštitnih mjera (čl. 5. st. 1.a). Ako kamere povezujete s analizom lica ili ponašanja, provjerite i pravila o videonadzoru.

Visokorizični AI sustavi

Sustav je visokorizičan na dva načina (čl. 6.):

1. kao sigurnosna komponenta proizvoda iz Priloga I. (na primjer dizala, igračke, radijska oprema, medicinski proizvodi) koji prolazi ocjenjivanje sukladnosti treće strane;
2. kada ima namjenu iz Priloga III.

Sustav iz Priloga III. nije visokorizičan kada ne predstavlja značajan rizik, na primjer kada obavlja usku postupovnu zadaću (čl. 6. st. 3.). Sustav koji profilira fizičke osobe uvijek je visokorizičan. Zaključak treba dokumentirati.

Obveze dobavljača

Obveze subjekta koji uvodi sustav

Tvrtka koja koristi tuđi visokorizični sustav mora (čl. 26.):

• koristiti sustav prema uputama dobavljača;
• dodijeliti ljudski nadzor osobama s potrebnim znanjem i ovlastima;
• osigurati da su ulazni podaci pod njezinom kontrolom relevantni i reprezentativni;
• pratiti rad sustava i obavijestiti dobavljača o rizicima i ozbiljnim incidentima;
• čuvati automatski generiranu evidenciju najmanje šest mjeseci;
• prije uvođenja na radnom mjestu obavijestiti predstavnike radnika i radnike;
• obavijestiti osobe o kojima sustav iz Priloga III. donosi ili pomaže donositi odluke.

Javna tijela, privatni subjekti koji pružaju javne usluge te subjekti koji procjenjuju kreditnu sposobnost ili određuju cijenu životnog i zdravstvenog osiguranja provode procjenu učinka na temeljna prava prije prve upotrebe (čl. 27.). Ta obveza slijedi odgođeni datum za visokorizične sustave. Procjena se može povezati s DPIA-om prema GDPR-u, ali ostaje zasebna procjena.

Primjeri po djelatnostima

Tablica je polazište. Konačna klasifikacija ovisi o namjeni koju je odredio dobavljač i o načinu na koji tvrtka sustav stvarno koristi.

Modeli opće namjene

Pravila za modele opće namjene, na primjer velike jezične modele, primjenjuju se od 2. kolovoza 2025. Dobavljač modela (čl. 53.):

• izrađuje i ažurira tehničku dokumentaciju;
• daje informacije dobavljačima koji model ugrađuju u svoje sustave;
• ima politiku poštovanja autorskog prava EU-a;
• objavljuje sažetak sadržaja korištenog za treniranje.

Model treniran uz kumulativno računanje veće od 10^25 operacija s pomičnim zarezom pretpostavlja se modelom sa sistemskim rizikom (čl. 51. st. 2.). Takav dobavljač dodatno evaluira model, procjenjuje i ublažava sistemske rizike, prijavljuje ozbiljne incidente i osigurava kibernetičku zaštitu. Nadzor provodi Ured za umjetnu inteligenciju Europske komisije.

Tvrtka koja model samo koristi preko aplikacije ili API-ja nije dobavljač modela. Ako model ugradi u vlastiti AI sustav koji stavlja na tržište pod svojim imenom, postaje dobavljač tog sustava.

Obveze transparentnosti

Obveze iz čl. 50. primjenjuju se od 2. kolovoza 2026. Dobavljači sustava za sintetički sadržaj stavljenih na tržište prije tog datuma imaju rok za označavanje do 2. prosinca 2026. (čl. 111. st. 4.). Obveze subjekata koji uvode sustav nisu odgođene.

AI pismenost

Od 27. srpnja 2026. članak 4. glasi: dobavljači i subjekti koji uvode AI sustave poduzimaju mjere za potporu razvoju AI pismenosti osoblja i drugih osoba koje rade sa sustavima u njihovo ime. Pritom uzimaju u obzir njihovo znanje, iskustvo i obrazovanje te kontekst u kojem se sustav koristi.

U praksi to znači: popis tko koristi koje AI alate, pravila korištenja (koje podatke smijete unositi, što provjeravate, tko odobrava), kratka edukacija prema ulozi i evidencija provedenih mjera. Komisija na jedinstvenoj informacijskoj platformi objavljuje praktične primjere.

AI politika tvrtke

AI politika je interni akt koji zaposlenicima kaže kako smiju koristiti AI alate. Uredba je izričito ne propisuje, ali pokazuje da tvrtka poduzima mjere AI pismenosti iz čl. 4. i olakšava ispunjavanje obveza transparentnosti. Dobra AI politika sadrži:

1. popis odobrenih alata i tko ih odobrava;
2. podatke koji se ne smiju unositi: osobne podatke klijenata i zaposlenika, poslovne tajne, povjerljive ugovore;
3. pravilo da rezultat AI alata uvijek provjerava čovjek prije upotrebe;
4. kada se sadržaj označava kao AI generiran;
5. zabranjene namjene, prema čl. 5.;
6. postupak za uvođenje novog AI alata: provjera uloge, rizika, ugovora i zaštite podataka;
7. prijavu problema i incidenata;
8. edukaciju prema ulozi i evidenciju provedenih mjera.

Ugovori s dobavljačima AI alata

Prije uvođenja tuđeg AI alata od dobavljača tražite i u ugovor unesite:

• namjenu sustava i upute za korištenje;
• poznata ograničenja i razinu točnosti;
• koristi li dobavljač vaše podatke za treniranje modela i možete li to isključiti;
• gdje se podaci obrađuju i čuvaju, uključujući prijenose izvan EU-a;
• ugovor o obradi osobnih podataka iz čl. 28. GDPR-a;
• obavještavanje o incidentima i promjenama sustava;
• za visokorizične sustave: informacije potrebne za ljudski nadzor, evidenciju i procjenu učinka.

Dobavljač visokorizičnog sustava i treće strane koje mu isporučuju modele, alate ili komponente pisanim dogovorom utvrđuju informacije, tehnički pristup i pomoć koje dobavljač treba za ispunjavanje Uredbe (čl. 25. st. 4.).

ISO/IEC 42001

ISO/IEC 42001:2023 je međunarodna norma za sustav upravljanja umjetnom inteligencijom. Nije obvezna i ne zamjenjuje AI Act, ali daje strukturu za politike, procjenu rizika, odgovornosti i nadzor AI sustava koje Uredba traži. Tvrtkama koje već imaju ISO 27001 olakšava povezivanje informacijske sigurnosti i upravljanja AI sustavima.

Kazne

Za poduzeća vrijedi viši od dvaju iznosa. Za mala i srednja poduzeća, uključujući start-upove, vrijedi niži (čl. 99. st. 6.). Za mala poduzeća srednje tržišne kapitalizacije niži iznos vrijedi za kazne iz st. 4. i 5. (čl. 99. st. 6.a). Države članice same propisuju sankcije u okviru tih granica.

Nadležna tijela u Hrvatskoj

Hrvatska je Europskoj komisiji dostavila popis tijela nadležnih za zaštitu temeljnih prava pri korištenju visokorizičnih AI sustava (čl. 77.):

• Agencija za zaštitu osobnih podataka (AZOP);
• Pučka pravobraniteljica;
• Pravobraniteljica za djecu;
• Pravobraniteljica za ravnopravnost spolova;
• Pravobraniteljica za osobe s invaliditetom;
• Državno izborno povjerenstvo;
• Agencija za elektroničke medije.

Ta tijela mogu od tijela za nadzor tržišta tražiti dokumentaciju o AI sustavima. Zakon o provedbi Akta, kojim se određuju tijelo za nadzor tržišta i tijelo za prijavljivanje, nalazi se u Vladinom planu zakonodavnih aktivnosti za 2026. Na dan pregleda nije objavljen u Narodnim novinama.

Postojeća tijela zadržavaju svoje nadležnosti: AZOP za osobne podatke, a HNB i HANFA za financijske institucije. Za modele opće namjene nadležan je Ured za umjetnu inteligenciju Europske komisije.

AI Act i GDPR

Kada AI sustav obrađuje osobne podatke, vrijede obje uredbe. Uz AI Act i dalje trebate pravni temelj obrade, obavijest iz čl. 13. GDPR-a, ugovor s dobavljačem kao izvršiteljem obrade, provjeru prijenosa izvan EU-a, DPIA kada je vjerojatan visok rizik i poštovanje pravila o automatiziranom odlučivanju iz čl. 22. GDPR-a. Uključite službenika za zaštitu podataka u AI registar.

Usklađivanje u sedam koraka

1. Inventura: popišite sve AI sustave, modele i funkcije koje razvijate, koristite ili nabavljate, uključujući pilot-projekte i alate koje su timovi uveli sami.
2. Uloga: za svaki sustav odredite jeste li dobavljač, subjekt koji uvodi sustav, uvoznik ili distributer.
3. Rizik: provjerite čl. 5., čl. 6. s prilozima I. i III. i čl. 50. te zapišite zaključak.
4. Obveze koje već vrijede: uklonite zabranjene prakse, uvedite mjere AI pismenosti i transparentnost iz čl. 50.
5. Visokorizični sustavi: do 2. prosinca 2027. pripremite dokumentaciju, ugovore s dobavljačem, ljudski nadzor i evidenciju.
6. Ljudski nadzor: imenujte odgovorne osobe, odredite kada i kako se sustav zaustavlja i zapisujte intervencije.
7. Praćenje: registrirajte visokorizične sustave, povežite AI registar s nabavom, upravljanjem rizikom dobavljača, GDPR evidencijama i upravljanjem incidentima.

Česta pitanja

Sljedeći korak

Inventuru AI sustava, klasifikaciju rizika, AI politiku i dokumentaciju za visokorizične sustave radimo u sklopu AI Act savjetovanja. Mjere AI pismenosti za zaposlenike i upravu provodimo kroz edukaciju o AI usklađenosti.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:

• Uredba (EU) 2024/1689: Akt o umjetnoj inteligenciji
• Uredba (EU) 2026/1744 o izmjeni Akta o umjetnoj inteligenciji
• AZOP: popis nadležnih tijela prema Uredbi o umjetnoj inteligenciji
• Europska komisija: regulatorni okvir za umjetnu inteligenciju
• Europska komisija: Ured za umjetnu inteligenciju

Vodič daje opće informacije prema stanju na datum pregleda. Klasifikacija konkretnog sustava ovisi o njegovoj namjeni, načinu korištenja i ulozi tvrtke.