Kdo nadzoruje Akt o umetni inteligenci v Sloveniji?

Predstavljajte si, da nekaj gre narobe. Orodje, ki ste ga lani uvedli za vrednotenje dobaviteljev, nekoga izloči na način, ki se zdi sporen. Ali orodje za predizbor kandidatov za zaposlitev zavrne prijavitelja, ta pa se pritoži. Komu naj pošlje pritožbo? Kdo bo v Sloveniji dejansko preveril, ali je vaš sistem UI skladen z aktom, in kdo ima pooblastilo, da vam naloži popravni ukrep ali globo po členu 99? Odgovor je manj enoznačen, kot bi si marsikdo želel – in prav to velja razumeti, preden se zadeva sploh zaplete.

Kaj člen 70 akta o UI zahteva od vsake države članice

Člen 70 Akta o umetni inteligenci (Uredba EU 2024/1689) vsaki državi članici nalaga, da imenuje vsaj en priglasitveni organ in vsaj en organ za nadzor trga, in sicer do 2. avgusta 2025. Organ za nadzor trga v praksi pomeni telo, ki lahko od podjetij zahteva dokumentacijo, preiskuje pritožbe posameznikov, odreja popravne ukrepe (na primer umik ali prilagoditev sistema) in izreka globe po členu 99. Uredba pri tem ne predpisuje enotnega modela – država lahko ustanovi nov organ, nalogo razdeli med obstoječe sektorske regulatorje ali oboje kombinira. Prav ta odprtost je razlog, da se ureditev med državami članicami precej razlikuje in da marsikje, tudi v Sloveniji, postopek še ni povsem zaključen.

Kje trenutno stoji slovenski postopek imenovanja

Zakon, ki bo v Sloveniji dokončno določil, kateri organ (ali organi) prevzame vlogo iz člena 70, je bil ob nastanku tega članka še v pripravi. Najverjetnejši kandidat za osrednjo vlogo je Informacijski pooblaščenec, saj že danes nadzoruje varstvo osebnih podatkov in ima vzpostavljeno infrastrukturo za obravnavo pritožb posameznikov – zraven pa se lahko za posamezna področja (na primer varnost proizvodov ali trg dela) pridružijo tudi drugi, sektorsko pristojni organi. To ni dokončna informacija, temveč trenutno najverjetnejši scenarij. Pred sklepanjem odločitev na podlagi tega članka preverite aktualno stanje neposredno na spletni strani Informacijskega pooblaščenca.

Informacijski pooblaščenec kot stalna točka: vloga po GDPR se ne spreminja

Ne glede na to, kako se bo imenovanje po členu 70 dokončno izteklo, ostaja ena stvar nespremenjena: vloga Informacijskega pooblaščenca po GDPR. Večina sistemov UI, s katerimi se srečujejo slovenska MSP – od kadrovskih orodij do sistemov za profiliranje strank – obdeluje osebne podatke, kar Informacijskega pooblaščenca postavlja v vlogo najverjetnejše prve kontaktne točke, ne glede na to, kako se bo organ za nadzor trga po aktu o UI dokončno poimenoval. Zanimivo je tudi, da Informacijski pooblaščenec v Sloveniji nima le vloge nadzornega organa za varstvo osebnih podatkov, temveč hkrati odloča tudi o pritožbah v zvezi z dostopom do informacij javnega značaja – dvojna pristojnost, ki je v evropskem prostoru razmeroma redka in kaže, da gre za institucijo z že uveljavljeno prakso obravnave pritožb posameznikov proti javnim in zasebnim subjektom.

Sektorski regulatorji, ki se lahko pridružijo

• Banka Slovenije – za sisteme UI, uporabljene pri kreditnem točkovanju, ocenjevanju tveganj ali drugih finančnih storitvah.
• Javna agencija RS za zdravila in medicinske pripomočke (JAZMP) – za sisteme UI, vgrajene v medicinske pripomočke ali povezane z zdravstveno regulacijo.
• Inšpektorat RS za delo – za orodja, ki razporejajo delo, ocenjujejo produktivnost ali kako drugače odločajo o zaposlenih.
• Tržni inšpektorat RS – za vidike, povezane z varstvom potrošnikov, na primer preglednost pri UI v trženju ali oblikovanju cen.
• Organ, pristojen za nadzor trga proizvodov – za visokotvegane sisteme UI, vgrajene v že regulirane izdelke iz Priloge I (na primer industrijske stroje ali komponente vozil), kar je posebej relevantno za slovensko proizvodno in logistično gospodarstvo, ki mu je posvečen ločen članek na tem blogu.
• Če nič od naštetega ne velja za vaše podjetje, je Informacijski pooblaščenec najverjetnejša prva kontaktna točka.

Kaj to pomeni za vaše podjetje že zdaj

Nedokončana ureditev nadzora ni razlog za čakanje. Faze uveljavitve akta, razvrstitev v stopnje tveganja in sankcije po členu 99 veljajo ne glede na to, kateri organ bo formalno pristojen za posamezen primer. Za večino MSP, ki UI kupujejo pri zunanjih ponudnikih namesto da bi jo razvijala sama, končna razdelitev pristojnosti med organi predvsem vpliva na to, kam boste poslali dokumentacijo, ne pa na to, katere obveznosti imate.

Praktičen nasvet: notranje delo – popis, kje vse se UI v podjetju dejansko uporablja, razvrstitev posameznih rab po stopnji tveganja in razjasnitev, ali ste pri vsakem orodju ponudnik ali uvajalec – opravite zdaj. Ko se struktura nadzora dokončno umiri, bo šlo le še za to, da že pripravljeno dokumentacijo posredujete pravemu organu.

Kontrolni seznam za orientacijo

• Ali kateri od vaših sistemov UI obdeluje osebne podatke – če da, je Informacijski pooblaščenec skoraj zagotovo v igri.
• Ali poslujete v reguliranem sektorju (finance, zdravstvo, proizvodnja, trg dela) – pričakujte, da se bo pridružil ustrezen sektorski regulator.
• Ali katera od vaših rab UI sodi med visokotvegane iz Priloge III – v tem primeru pričakujte strožji nadzor ne glede na to, kateri organ ga bo dokončno izvajal.
• Če še vedno niste prepričani, kam se obrniti – Informacijski pooblaščenec je najbolj naravna prva kontaktna točka.
• Ali ste pred kratkim preverili trenutno stanje imenovanja neposredno na strani Informacijskega pooblaščenca, preden ste ukrepali na podlagi tega članka.

Splošne informacije, ne pravni nasvet

Ta članek podaja splošne informacije in ne predstavlja pravnega nasveta za vaš konkreten primer. Postopek imenovanja organa po členu 70 v Sloveniji ob nastanku tega besedila še ni bil dokončan in se lahko spremeni. Pri Komplyi ločimo vsebino, ki je bila pravno pregledana, od osnutkov, ki še čakajo na potrditev, tako da vedno veste, na kaj se lahko zanesete.

Najhitrejša pot od vprašanja 'kdo nas bo dejansko preverjal' do konkretnega odgovora je, da rabe UI v podjetju pregledate eno po eno, namesto da ugibate. Izpolnite kratek vprašalnik in v nekaj minutah dobite jasno sliko, katera od vaših orodij zahtevajo pozornost in kje ste že skladni.