AI актот на ЕУ и македонски IT компании: што значи за производи што се користат во ЕУ

Тим за поддршка на клиенти во една скопска аутсорсинг компанија веќе речиси една година користи алатка со вештачка интелигенција што автоматски ги категоризира и приоритизира тикетите пристигнати од нидерландски и германски клиенти. Развивачите во истата компанија секојдневно користат AI асистенти за пишување код, а тимот за продажба тестира чет-бот што одговара на почетни прашања на англиски и германски јазик. Никој не го гледал тоа како нешто повеќе од удобен софтвер — сè до моментот кога тимот за безбедност на голем нидерландски клиент испратил стандарден процедурален прашалник (due diligence questionnaire), во кој имало посебен дел „AI Act compliance“, со директно прашање дали добавувачот има документирана политика за системите со вештачка интелигенција што ги обработуваат податоците на клиентот.

Овој сценарио не е исклучок, туку секојдневие за илјадници мали и средни претпријатија во македонскиот ИТ и аутсорсинг сектор, концентриран најмногу околу Скопје, кој претежно работи како подизведувач за компании од Германија, Нидерландија, Австрија и скандинавските земји. Токму затоа што секторот работи главно за западноевропски клиенти, свеста за Регулативата (ЕУ) 2024/1689 кај македонските МСП честопати заостанува зад свеста на самите тие клиенти — додека тие веќе градат внатрешни процеси за темата, добавувачот во Северна Македонија нередовно дознава за своите обврски дури кога клиентот директно ќе праша.

Северна Македонија нема свој Акт за ВИ — и тоа не е важно

За разлика од ГДПР, каде ЗЗЛП постои како домашен пандан моделиран според европската регулатива, Северна Македонија моментално нема сопствен закон за вештачка интелигенција — и тоа е сосема очекувано, бидејќи земјата не е членка на ЕУ и не мора да носи ваков закон. Проблемот е логичка грешка што некои компании ја прават: „немаме домашен закон за ВИ, значи немаме обврски кон ЕУ“. Тоа не е точно. Регулативата (ЕУ) 2024/1689 (Актот за вештачка интелигенција) е регулатива, а не директива — важи директно во земјите-членки без потреба од национален закон за да произведе правно дејство. Таа содржи и сопствен тест за екстратериторијална примена, во член 2, став 1, точка в) — целосно независен од тоа дали земјата на потекло на компанијата има свое домашно законодавство за ВИ.

Тестот по член 2(1)(в): кога системот „допира“ пазар на ЕУ

Актот за вештачка интелигенција важи за македонска компанија кога таа пушта систем со ВИ на пазарот на ЕУ, го става во употреба во ЕУ, или кога резултатите (output) што системот ги произведува се користат од лица во ЕУ — дури и кога ниту компанијата, ниту самиот систем немаат никакво деловно присуство во Унијата.

• ИТ-компанија во Скопје развива алатка за автоматска категоризација на тикети што ја користи тим за поддршка во Хамбург — резултатот од системот се користи од лица во ЕУ.
• Софтверска компанија продава готов производ со вградена ВИ-компонента директно на клиенти на пазарот на ЕУ.
• Стартап развива модел со општа намена (GPAI) и го дистрибуира преку API достапно за развивачи во ЕУ.
• Аутсорсинг компанија прилагодува готов чет-бот на трета страна толку длабоко за конкретен ЕУ клиент — со сопствени податоци за тренирање и нова намена — што фактички почнува да игра улога на доставчик, а не само на внедрувач на туѓ систем.

Улогата: доставчик или внедрувач?

За повеќето ИТ и аутсорсинг компании во Северна Македонија улогата по регулативата не е на „доставчик“ (provider), кој развива систем со ВИ од нула, туку на „внедрувач“ (deployer) — организација што купува или користи готова алатка развиена од друг: AI асистент за код, алатка за категоризација на тикети, чет-бот изграден врз модел на трета страна. Улогата на внедрувач носи помали, но не нулти обврски — пред сè користење на алатката согласно упатствата на производителот, обезбедување човечки надзор и, кај одредени категории системи, информирање на засегнатите физички лица. Ризикот што вреди посебно да се провери е кога „прилагодувањето“ на туѓ производ за конкретен клиент оди толку длабоко — сопствени податоци, нова намена, значителна модификација — што компанијата фактички премине во улога на доставчик, со многу поголем обем обврски, без притоа договорот со клиентот експлицитно да го именува тој премин.

• 2 февруари 2025 г. — стапуваат на сила забраните за практики со неприфатлив ризик (на пр. социјално оценување, манипулација на ранливи лица).
• 2 август 2025 г. — стапуваат на сила обврските за модели со општа намена (GPAI) и истекува рокот државите-членки да ги определат надлежните надзорни органи.
• 2 август 2026 г. — ова беше првобитниот рок за поголемиот дел од обврските за системи со висок ризик, но пакетот Digital Omnibus, во сила од 27 јули 2026 г., го одложи овој рок до 2 декември 2027 г.
• Август 2028 г. — новиот, продолжен рок за системи со ВИ вградени во производи веќе регулирани на друг начин (на пр. машини, медицински помагала) — поретко применливо за типична ИТ или аутсорсинг дејност.

Кој надгледува кога нема домашен закон

Бидејќи Северна Македонија нема сопствен Акт за ВИ, во земјата нема ниту национален орган за надзор на пазарот назначен според член 70 од европската регулатива — тоа е обврска само на земјите-членки на ЕУ. Тоа не значи дека македонска компанија е надвор од дофат: кога нејзината активност спаѓа под член 2(1)(в), надзорот го врши надлежниот орган во земјата-членка каде системот е пуштен на пазарот или каде резултатите се користат. АЗЛП, иако е надлежен орган за ЗЗЛП, нема мандат над Актот за вештачка интелигенција — тоа е одделна регулатива со сопствени надзорни органи, а не продолжение на надзорот над личните податоци.

Дали ви треба овластен претставник во ЕУ?

Член 22 од Актот за вештачка интелигенција бара доставчиците на високоризични системи со ВИ или на модели со општа намена, кои немаат деловно седиште во ЕУ, а сепак пуштаат таков систем на пазарот на Унијата, да назначат овластен претставник со седиште во земја-членка. Ова е паралелна, но одделна обврска од претставникот по член 27 од ГДПР — една компанија може да треба и двете, а исполнувањето на едната не ја покрива автоматски другата.

Цената на грешката на практика

Регулативата предвидува глоби до 35 милиони евра или 7% од глобалниот годишен промет за забранети практики, до 15 милиони евра или 3% за повеќето други прекршувања поврзани со високоризични системи, и до 7,5 милиони евра или 1% за давање неточни информации на органите. За типично македонско ИТ или аутсорсинг МСП, реалниот ризик во раните години од примената на регулативата ретко е максималната глоба. Реалниот ризик е комерцијален: западните клиенти веќе вклучуваат клаузули за усогласеност со Актот за ВИ во договорите и во security/procurement прашалниците, а неможноста јасно да одговорите може да чини продолжување на договорот или добивање нов клиент — многу пред кој било орган да изрече прва глоба.

Што да проверите сега

• Направете список на сите алатки со ВИ што компанијата фактички ги користи — вклучително вградени функции во CRM, helpdesk или средините за развој.
• За секоја алатка утврдете дали сте доставчик или само внедрувач — за повеќето аутсорсинг компании одговорот е второто, освен кога прилагодувањето оди подлабоко.
• Проверете дали некоја алатка спаѓа во категориите со висок ризик по Прилог III (на пр. системи поврзани со подбор на кадри или оценување на вработени, ако нудите такви услуги на клиенти).
• Прегледајте какви документи и информации за усогласеност веќе обезбедува добавувачот на секоја алатка.
• Забележете каде користењето на ВИ се вкрстува со обработка на лични податоци на клиенти или вработени на ваши клиенти — таму Актот за ВИ и ГДПР/ЗЗЛП се дополнуваат, а не се заменуваат.
• Проверете дали тековни или потенцијални западни клиенти веќе имаат додадено клаузули за усогласеност со Актот за ВИ во договори или security прашалници.

Информациите погоре се од општ карактер и не претставуваат правен совет — конкретната положба на секоја компанија зависи од точните алатки, добавувачи и договори со кои работи. На платформата на Komplya јасно разграничуваме содржина што е правно прегледана од материјал што сè уште е во работна верзија, за да знаете секогаш на што можете со сигурност да се потпрете.

Следен чекор

Наједноставната почетна точка не е целосна ревизија за усогласеност, туку чесно мапирање на алатките со ВИ што компанијата веќе ги користи — од асистентот за пишување код до чет-ботот за прва линија поддршка. Пополнете го нашиот краток прашалник за применливост за да видите кои од користените алатки веројатно спаѓаат во опфатот на Актот за вештачка интелигенција и што вреди прво да се провери — пред тоа да го побара следниот клиентски одит.