Akt o umjetnoj inteligenciji: klasificirajte slučajeve upotrebe i planirajte dokaze

Upravljanje umjetnom inteligencijom počinje znanjem o tome koje sustave organizacija stavlja na raspolaganje, uvodi ili na drugi način čini dostupnima. Popis naziva modela nije dovoljan: namjena, okruženje uvođenja i vaša uloga određuju koje obveze treba ispitati.

Za vodstvo klasifikacija je odluka o raspodjeli resursa, a ne samo pravna procjena. Ona određuje koji projekti trebaju stručni pregled, što dobavljači moraju dokazati i koji dokazi moraju postojati prije puštanja u rad. Alat za zapošljavanje i interni pomoćnik za pisanje mogu koristiti isti model, a ipak zahtijevati vrlo različite procjene.

Koristan rezultat je pregledani registar slučajeva upotrebe povezan s vlasnicima, zahtjevima, dokazima i odlukama o promjenama, a ne oznaka „UI niskog rizika“ za cijelu tvrtku.

Utvrdite opseg i odgovornost prije dodjele rizika

Akt o umjetnoj inteligenciji EU-a uredba je čije obveze ovise o djelatnosti, sustavu i operateru. Njezino teritorijalno područje primjene obuhvaća dobavljače koji sustave stavljaju na tržište EU-a ili u upotrebu, subjekte koji uvode sustave s poslovnim nastanom ili lokacijom u EU-u te određene dobavljače i subjekte koji uvode sustave izvan EU-a kada se izlazni rezultati sustava koriste u EU-u. Samo državljanstvo nije kriterij.

Neka pravni i tehnički recenzenti utvrde ispunjava li aplikacija definiciju UI sustava iz Akta i primjenjuju li se relevantna isključenja iz područja primjene. Ne pretpostavljajte da je svaka skripta za automatizaciju umjetna inteligencija ni da usluga smještena kod vanjskog pružatelja pada izvan vaših odgovornosti.

Zatim zabilježite svoju ulogu:

• Dobavljač: razvija sustav ili ga daje razviti te ga stavlja na tržište ili u upotrebu pod vlastitim imenom ili žigom.
• Subjekt koji uvodi sustav: koristi sustav u okviru svoje nadležnosti u profesionalnom kontekstu.
• Uvoznik ili distributer: unosi relevantne sustave na tržište EU-a ili ih čini dostupnima kroz lanac opskrbe, s pripadajućim dužnostima provjere.
• Proizvođač proizvoda ili ovlašteni zastupnik: ima odgovornosti koje proizlaze iz određenog aranžmana za proizvod ili pisanog ovlaštenja.

Organizacija može imati različite uloge u svojem portfelju. Kupnja API-ja ne određuje ulogu gotove aplikacije. Promjena robne marke, bitna izmjena ili promjena namjene mogu pod primjenjivim uvjetima pokrenuti odgovornosti dobavljača. Fino podešavanje (fine-tuning) stoga je okidač za pregled, a ne automatski pravni zaključak.

Razlikujte UI model opće namjene od sustava izgrađenog oko njega. Obveze dobavljača modela i obveze za sustave u nastavku lanca povezane su, ali nisu međusobno zamjenjive.

Izgradite popis slučajeva upotrebe koji podupire odluke

Popišite poslovne funkcije, a ne samo dobavljače. Razgovarajte s nabavom, kadrovskom službom, razvojem proizvoda, operacijama i IT-om: umjetna inteligencija može stići kao nova značajka postojećeg dobavljača, a ne kao zasebna nabava.

Za svaki slučaj upotrebe zabilježite:

Uz namjenu zabilježite i stvarne tijekove rada. Alat opisan kao „pomoć regruterima“ može u praksi isključivati kandidate ako zaposlenici pregledavaju samo njegov uži izbor. Pisana politika koja zahtijeva ljudski pregled ne dokazuje da se pregled i provodi.

Rezultat je verzionirani zapis po slučaju upotrebe. Neriješene klasifikacije trebaju ostati vidljivo neriješene, s vlasnikom i rokom za odluku, umjesto da se prema zadanim postavkama svrstaju u najmanje zahtjevnu kategoriju.

Zasebno procijenite zabrane, putove do visokog rizika i transparentnost

Poznati opis u četiri razine – zabranjeno, visokorizično, povezano s transparentnošću i niži rizik – koristan je uvod. To nije potpuno stablo odlučivanja. Dužnosti transparentnosti mogu se preklapati s obvezama za visokorizične sustave, a dužnosti pismenosti u području umjetne inteligencije nisu ograničene na visokorizične sustave.

Najprije provjerite zabranjene prakse

Članak 5. zabranjuje određene prakse, podložno detaljnim uvjetima i iznimkama iz te odredbe. Relevantna pitanja za provjeru uključuju koristi li sustav štetnu manipulaciju ili iskorištava ranjivosti, provodi li zabranjeno društveno vrednovanje, stvara li baze podataka za prepoznavanje lica neciljanim prikupljanjem slika ili provodi li zabranjenu biometrijsku kategorizaciju.

Zaključivanje o emocijama na temelju biometrijskih podataka s pomoću umjetne inteligencije na radnom mjestu i u obrazovnim ustanovama također je zabranjeno, osim iz određenih medicinskih ili sigurnosnih razloga. Analiza sentimenta samo na temelju teksta ne potpada pod tu zabranu samo zato što procjenjuje emocionalni ton. Za određene biometrijske upotrebe u svrhu kaznenog progona vrijede strogo ograničena pravila; „svako prepoznavanje lica je zabranjeno“ nije točna zamjena za procjenu.

Moguću zabranjenu praksu eskalirajte prije nabave ili uvođenja. Dokazi trebaju opisivati funkcionalnost i pravno obrazloženje, a ne samo ponavljati dobavljačevu izjavu o „etičnoj umjetnoj inteligenciji“.

Testirajte oba puta do klasifikacije visokog rizika

Put reguliranih proizvoda, članak 6. stavak 1.: ispitajte je li UI sam po sebi proizvod ili sigurnosna komponenta proizvoda obuhvaćenog relevantnim zakonodavstvom iz Priloga I. te zahtijeva li taj proizvod ocjenjivanje sukladnosti koje provodi treća strana. Oba su uvjeta važna. Za određeni režim proizvoda koristite izmijenjeni pravni tekst; samo ugrađivanje umjetne inteligencije ne utvrđuje status visokog rizika.

Put Priloga III., članak 6. stavak 2.: ispitajte odgovara li namjeravana funkcija navedenom slučaju upotrebe. Osam područja široki su naslovi, a ne pravila prema kojima svaka primjena u nekoj industriji postaje visokorizična.

Pročitajte detaljne stavke i isključenja. Primjerice, otkrivanje financijskih prijevara razlikuje se od navedene upotrebe za kreditnu sposobnost, a provjera putnih isprava isključena je iz relevantne stavke o identifikaciji u području migracija. Administrativna organizacija kampanje nije isto što i utjecanje na birače.

Procijenite transparentnost i kada se pravila za visoki rizik ne primjenjuju

Članak 50. odnosi se na određene interakcije i izlazne rezultate. Ovisno o ulozi i okolnostima, obveze se odnose na obavješćivanje ljudi da su u interakciji s umjetnom inteligencijom, strojno čitljivo označavanje sintetičkih izlaznih rezultata, otkrivanje uvjerljivih krivotvorina (deepfake) i određeni tekst generiran umjetnom inteligencijom o pitanjima od javnog interesa. Upotrebe za prepoznavanje emocija i biometrijsku kategorizaciju, ako su dopuštene, također imaju odredbe o otkrivanju.

Ne svodite to na „označite svaki dokument izrađen uz pomoć umjetne inteligencije“. Utvrdite koja se odredba primjenjuje, tko mora postupiti i je li neka iznimka relevantna. Formulacije obavijesti, njihov smještaj, aranžmane za označavanje izlaznih rezultata i rezultate testova čuvajte kao dokaze.

Iznimku iz članka 6. stavka 3. tretirajte kao dokumentiranu procjenu

Neki sustavi iz Priloga III. mogu prema članku 6. stavku 3. pasti izvan klasifikacije visokog rizika. To nije opće izuzeće za alate u čijem procesu negdje sudjeluje čovjek.

Procjena mora odgovoriti predstavlja li sustav znatan rizik od štete za zdravlje, sigurnost ili temeljna prava, uključujući utječe li bitno na ishod odluka. Odredba navodi okolnosti koje uključuju uske postupovne zadatke, poboljšanje rezultata prethodno dovršene ljudske aktivnosti, otkrivanje obrazaca ili odstupanja uz određene uvjete pregleda te pripremne zadatke. Oslanjanje na iznimku zahtijeva ispunjenje barem jednog od tih uvjeta i utvrđivanje da sustav ne predstavlja navedeni znatan rizik.

Dobavljač koji se oslanja na tu iznimku mora dokumentirati procjenu prije stavljanja sustava na tržište ili u upotrebu te ispuniti primjenjivu obvezu registracije. Ključno je da sustav iz Priloga III. koji provodi izradu profila fizičkih osoba ostaje visokorizičan; to ne znači da svaki sustav za izradu profila u svakom kontekstu automatski postaje visokorizičan.

Dokazi trebaju objasniti koje informacije sustav koristi, kako izlazni rezultati utječu na recenzente i određuje li navodno pripremni zadatak tko će dobiti suštinsko razmatranje. Uključite zapažanja o tijeku rada i reprezentativne izlazne rezultate. Rečenica „čovjek donosi konačnu odluku“ nije dovoljna ako rangiranje, filtriranje ili preporuke u praksi određuju tu odluku.

Planirajte prema aktualnim datumima primjene

Prema provjeri od 7. listopada 2026. aktualni pregled i vremenski okvir Akta o umjetnoj inteligenciji Europske komisije navodi sljedeće prekretnice:

Provjerite izmijenjeni pravni tekst i prijelazne odredbe koje se odnose na vas. Postojeći sustavi, datumi stavljanja modela na tržište, promjene i posebni aranžmani operatera mogu zahtijevati dodatnu analizu. Stariji vodiči možda još prikazuju ranije datume za visokorizične sustave.

Ažurirani raspored za visokorizične sustave ne tumačite kao odgodu cijelog Akta. Zasebno budžetirajte dužnosti koje se već primjenjuju i pripremu za relevantni režim visokog rizika. Vaš registar treba navesti primjenjivu prekretnicu i izvor korišten za njezino utvrđivanje.

Pretvorite klasifikaciju u plan dokaza

Odgovornosti dobavljača i subjekta koji uvodi sustav različite su. Vodstvo bi trebalo zahtijevati plan specifičan za ulogu umjesto da svaku obvezu dodijeli svakom timu.

Ako ste dobavljač visokorizičnog sustava

Zahtjevi za visokorizične sustave i dužnosti dobavljača obuhvaćaju upravljanje rizikom, upravljanje podacima, tehničku dokumentaciju, vođenje evidencije, informacije za subjekte koji uvode sustav, ljudski nadzor, točnost, otpornost, kibernetičku sigurnost i upravljanje kvalitetom. Planiranje zahtijevaju i primjenjivo ocjenjivanje sukladnosti, izjava, označivanje, registracija, praćenje nakon stavljanja na tržište i procesi za incidente.

Pretvorite ih u rezultate:

• Procjenu rizika tijekom životnog ciklusa s mjerama ublažavanja, preostalim rizicima i odlukama o odobrenju.
• Zapise o podrijetlu, prikladnosti i kvaliteti podataka gdje su relevantni za sustav.
• Tehničku dokumentaciju koja navodi namjenu, dizajn, ovisnosti, ograničenja i metode evaluacije.
• Rezultate testova povezane s kriterijima prihvaćanja i kontekstom uvođenja.
• Upute za nadzor koje objašnjavaju intervenciju, poništavanje i eskalaciju.
• Specifikacije bilježenja zapisnika, aranžmane za praćenje i postupke za incidente.
• Plan rada za sukladnost koji navodi primjenjivi put i potrebne zapise.

Ne prolazi svaki visokorizični sustav isti put ocjenjivanja. Ne budžetirajte univerzalni audit treće strane i ne tretirajte sigurnosnu certifikaciju kao dokaz sukladnosti s Aktom o umjetnoj inteligenciji.

Ako uvodite visokorizični sustav

Usredotočite se na rad sustava u skladu s uputama, dodjelu kompetentnog nadzora, praćenje njegove upotrebe i vođenje potrebne evidencije. Riješite prikladnost ulaznih podataka ako ih kontrolirate te primjenjive zahtjeve za informiranje radnika ili pogođenih osoba.

Od dobavljača zatražite relevantne upute, ograničenja, zahtjeve za nadzor i informacije o sukladnosti. Utvrdite što ne mogu pružiti i tko će riješiti taj nedostatak. Dobavljačeva izjava o jamstvu ne utvrđuje da je vaša lokalna konfiguracija primjerena.

Procijenite je li za vašu kategoriju subjekta koji uvodi sustav i slučaj upotrebe potrebna procjena učinka na temeljna prava. Ona nije univerzalna za sva uvođenja. Ako su uključeni osobni podaci, zasebno procijenite zahtjeve Opće uredbe o zaštiti podataka (GDPR); procjena učinka na zaštitu podataka i procjena prema Aktu o umjetnoj inteligenciji služe različitim pravnim svrhama, čak i kada se dokazi preklapaju.

Za svaki rezultat navedite vlasnika, recenzenta, rok, lokaciju izvora i kriterij prihvaćanja. „Politika učitana“ nije isto što i „kontrola dokazana“.

Razrađeni primjer: jedan model, dvije poslovne odluke

Ilustrativne pretpostavke: poslodavac u EU-u koristi jezični model treće strane za interni pomoćnik za pisanje i zasebnu aplikaciju za zapošljavanje. Aplikacija za zapošljavanje boduje kandidate prema kriterijima za radno mjesto i prikazuje rangirani uži izbor. Poslodavac oba sustava koristi interno; njegove točne uloge operatera zahtijevaju pregled.

Za pomoćnik za pisanje zabilježite dopuštene zadatke izrade nacrta, ograničenja podataka, pregled izlaznih rezultata i sve primjenjive zahtjeve transparentnosti. Uobičajena interna izrada nacrta ne postaje visokorizična samo zato što koristi umjetnu inteligenciju. Proširenje na ocjenjivanje u radnom odnosu pokrenulo bi ponovnu procjenu.

Za zapošljavanje izravno je relevantna stavka iz Priloga III. o zapošljavanju. Pregledajte bodovanje kandidata i izradu profila, a ne samo opis sučelja. Ako regruteri razmatraju samo kandidate s užeg izbora, sustav bitno oblikuje pristup zaposlenju. Ljudsko odobrenje konačnog zapošljavanja ne uklanja taj utjecaj.

Odluka vodstva stoga je različita za svaku aplikaciju. Pomoćnik za pisanje nakon pregleda može nastaviti s razmjernim kontrolama. Projekt zapošljavanja treba plan spremnosti za visoki rizik, dokaze dobavljača, osposobljeni nadzor, evaluaciju lokalne upotrebe i dokumentiranu odluku o puštanju u rad.

Ako tim predloži da se funkcija zapošljavanja promijeni u zakazivanje termina razgovora, iznova procijenite tu novu namjenu i tijek rada. Zakazivanje može biti uzak postupovni zadatak, ali zadržavanje bodovanja kandidata u pozadini potkopalo bi revidirano obrazloženje. Verzionirajte odluku umjesto da prebrišete izvorni zapis.

Učinite odgovornost vidljivom u operativnim odlukama

Dodijelite poslovnog vlasnika koji može objasniti svrhu i odobriti resurse, tehničkog vlasnika koji može potkrijepiti ponašanje sustava te pravnog recenzenta ili recenzenta za usklađenost koji može osporiti klasifikaciju. Odobrenje uprave treba riješiti financiranje, ograničenja puštanja u rad i neriješene rizike, a ne zamijeniti stručnu analizu.

Kao praktičnu preporuku, klasifikaciju preispitajte kada se promijene namjena, korisnici, podaci, integracije, autonomija ili utjecaj na odluke s posljedicama. Povežite taj pregled s obnavljanjem nabave i izdanjima proizvoda. Samo ažuriranje modela možda neće promijeniti klasifikaciju, ali može poništiti dokaze evaluacije ili operativne pretpostavke.

Česte pogreške uključuju prihvaćanje klasifikacija dobavljača za sve slučajeve, pretpostavku da ljudski pregled automatski stvara izuzeće, previđanje dužnosti pismenosti i transparentnosti koje se već primjenjuju te prikupljanje dokumenata bez testiranja lokalnog rada. Sustav upravljanja prema ISO/IEC 42001 može podupirati upravljanje, ali certifikacija ne utvrđuje automatski usklađenost s Aktom o umjetnoj inteligenciji.

Secani može podupirati tijek rada s dokazima povezivanjem zahtjeva, kontrola, izvornog materijala, vlasnika, zadataka i pregledanih odluka. Počnite s jednim procesom, povežite dokaze s onim što dokazuju i uz značajne zaključke čuvajte komentare, odobrenja i vremenske oznake. Prijedloge izrađene uz pomoć umjetne inteligencije tretirajte kao nacrte za ljudski pregled, a ne kao pravne odluke. Naš vodič za upravljanje UI agentima daje praktične kontrole za ovlasti i pregled.

Sljedeći koristan korak je usmjerena radionica o klasifikaciji: odaberite slučajeve upotrebe u radu s najvećim posljedicama, okupite njihove poslovne i tehničke vlasnike i izradite pregledane zapise s otvorenim pitanjima i zadacima za dokaze. Time vodstvo dobiva obranjivu osnovu za odluku o tome što može nastaviti, što zahtijeva uvjete, a što daljnju procjenu.