A prek Akti i BE-së për IA-në bizneset shqiptare?

Ekipi i mbështetjes së klientit në një kompani BPO në Tiranë përdor prej muajsh një mjet IA që kategorizon dhe prioritizon automatikisht biletat hyrëse nga klientë italianë dhe gjermanë. Zhvilluesit e së njëjtës kompani janë mësuar me asistentë IA për shkrimin e kodit, ndërsa ekipi i shitjeve teston një chatbot që përgjigjet në pyetje fillestare në anglisht dhe italisht. Askush nuk e ka menduar këtë si diçka më shumë se softuer i rehatshëm — deri në momentin kur departamenti i sigurisë i një klienti të madh evropian dërgon një pyetësor standard due diligence, me një pjesë të veçantë «AI Act compliance», dhe pyet drejtpërdrejt nëse furnizuesi ka një politikë të dokumentuar për sistemet e IA-së që përpunojnë të dhëna të klientit.

Ky skenar nuk është përjashtim, por realitet i përditshëm për mijëra biznese shqiptare — në sektorin IT dhe BPO që shërben kryesisht klientë italianë dhe evropianë, në platformat e-commerce, remitancë dhe fintech që shërbejnë diasporën dhe klientë me bazë në BE, dhe në sektorin e turizmit që synon udhëtarë evropianë. Shqipëria nuk ka ende asnjë ligj kombëtar specifik për inteligjencën artificiale, gjë që e bën të natyrshëm supozimin «nuk ka ligj vendas, pra nuk na prek asgjë». Ky supozim është i gabuar: Akti i BE-së për IA-në ka fushëveprimin e vet jashtterritorial, i pavarur nga çfarë ligjesh ka apo s'ka Shqipëria.

Çfarë është Akti për IA-në dhe kur zbatohet praktikisht jashtë BE-së

Akti për IA-në është Rregullorja (BE) 2024/1689 — një rregullore, jo direktivë, që zbatohet drejtpërdrejt brenda BE-së pa pasur nevojë për ligj kombëtar përkatës në secilin vend anëtar. Fushëveprimi i tij jashtterritorial parashikon që rregullorja zbatohet edhe për një furnizues ose vendosës (deployer) të vendosur jashtë BE-së — pra edhe në Shqipëri — kur sistemi i tij i IA-së vendoset në tregun e BE-së, vihet në përdorim në BE, ose kur rezultatet e prodhuara nga sistemi përdoren nga persona në BE. Testi është ku përfundon rezultati i sistemit, jo ku është regjistruar kompania juaj apo çfarë ligjesh vendase ndjek.

Për shumicën e bizneseve shqiptare IT/BPO, e-commerce apo turizmi, roli sipas rregullores zakonisht nuk është «furnizues» (provider) që zhvillon një sistem IA nga zero, por «vendosës» (deployer) — një organizatë që blen ose përdor një mjet të gatshëm, zhvilluar nga dikush tjetër: asistent IA për kod, mjet kategorizimi biletash, chatbot i ndërtuar mbi një model të palës së tretë. Roli i vendosësit sjell detyrime më të lehta, por jo zero — përdorim sipas udhëzimeve të prodhuesit, mbikëqyrje njerëzore, dhe në disa kategori sistemesh, informim i personave të prekur.

• 2 shkurt 2025 — hyjnë në fuqi ndalimet për praktika me rrezik të papranueshëm (p.sh. vlerësim social, manipulim i personave vulnerabël).
• 2 gusht 2025 — hyjnë në fuqi detyrimet për modelet me qëllim të përgjithshëm (GPAI) dhe skadon afati për shtetet anëtare të BE-së të caktojnë autoritetet kompetente — një afat që lidhet me vendet anëtare, jo me Shqipërinë, por që prek drejtpërdrejt klientët tuaj evropianë.
• 2 gusht 2026 — ishte afati fillestar për shumicën e detyrimeve për sistemet me rrezik të lartë, por paketa e ashtuquajtur Digital Omnibus, hyrë në fuqi më 27 korrik 2026, e shtyu këtë afat deri më 2 dhjetor 2027.
• Gusht 2028 — afati i ri, i zgjatur, për sisteme IA të ngulitura në produkte tashmë të rregulluara (p.sh. makineri, pajisje mjekësore) — rrallë i zbatueshëm për një veprimtari tipike IT/BPO, e-commerce apo turizmi.

Pse s'ka autoritet shqiptar — dhe pse kjo s'ju mbron

Neni 70 i Aktit për IA-në kërkon që çdo shtet anëtar i BE-së të caktojë të paktën një autoritet njoftues dhe një autoritet mbikëqyrjeje tregu për sistemet e IA-së. Shqipëria nuk është shtet anëtar i BE-së, kështu që ky detyrim nuk aplikohet për të, dhe vendi nuk ka asnjë ligj apo autoritet kombëtar specifik për IA-në — as si zëvendësim, as si plotësim i Aktit të BE-së. Kjo mungesë, megjithatë, nuk do të thotë mungesë mbikëqyrjeje për veprimtarinë tuaj drejt BE-së: kur Akti për IA-në zbatohet për ju sipas fushëveprimit të tij jashtterritorial, kompetenca për ta zbatuar i takon autoritetit përkatës të BE-së — atij të vendit ku sistemi vendoset në treg ose ku ndodhen personat e prekur nga rezultatet e tij — jo ndonjë autoriteti shqiptar.

Nëse kompania juaj nuk ka asnjë vendosje në BE dhe funksionon si furnizues i një sistemi me rrezik të lartë ose i një modeli GPAI që hyn në tregun e BE-së, Akti për IA-në kërkon në parim caktimin e një përfaqësuesi të autorizuar në BE sipas nenit 22 — një pikë kontakti zyrtare me autoritetet evropiane, paralel me atë që neni 27 i GDPR-së kërkon për mbrojtjen e të dhënave.

Sa kushton gabimi: gjobat sipas nenit 99

• Deri në 35 milionë euro ose 7% të xhiros vjetore globale (më e larta nga të dyja) — për praktika të ndaluara.
• Deri në 15 milionë euro ose 3% të xhiros globale — për shumicën e shkeljeve të tjera, përfshirë ato të furnizuesve dhe vendosësve të sistemeve me rrezik të lartë.
• Deri në 7,5 milionë euro ose 1% të xhiros globale — për dhënie informacioni të pasaktë ose mashtrues autoriteteve.

Për një biznes tipik shqiptar, rreziku real në praktikë nuk është gjoba maksimale — ajo rrallë kërcënon një kompani të vogël në vitet e para të zbatimit të rregullores. Rreziku real është tregtar: klientë evropianë, veçanërisht italianë në sektorin BPO, po shtojnë tashmë klauza për pajtueshmëri me Aktin për IA-në në kontrata dhe në pyetësorë sigurie/prokurimi — dhe paaftësia për t'u përgjigjur qartë mund t'ju kushtojë rinovimin e një kontrate, shumë kohë përpara se ndonjë autoritet të vendosë gjobën e parë.

Boshllëku është specifik te BE-ja, jo mosnjohja e ligjit

Vlen të theksohet: Shqipëria nuk është një «terren bosh» rregullator. Ligji Nr. 124/2024 për mbrojtjen e të dhënave personale tregon një përafrim serioz dhe të fundit me standardet evropiane — më i freskët se kuadrot e vjetra ende në fuqi diku tjetër në rajon. Boshllëku këtu nuk është mosnjohje e përgjithshme e së drejtës për mbrojtjen e të dhënave apo IA-në; është specifik: mungesa e një ligji shqiptar për IA-në, kombinuar me faktin që Akti i BE-së për IA-në zbatohet gjithsesi, në mënyrë të pavarur, sapo rezultatet e sistemit tuaj përdoren nga persona në BE.

Çfarë të kontrolloni tani

• Bëni listën e të gjitha mjeteve IA që kompania përdor realisht — përfshirë funksione të ngulitura në CRM, helpdesk apo mjediset e zhvillimit.
• Për secilin mjet, përcaktoni nëse jeni furnizues apo thjesht vendosës (deployer) — për shumicën e bizneseve IT/BPO, e-commerce apo turizmi, përgjigja është e dyta.
• Kontrolloni nëse ndonjë mjet bie në kategoritë me rrezik të lartë sipas Aneksit III (p.sh. vlerësim krediti, rekrutim, ose sisteme që ndikojnë vendime ndaj konsumatorëve evropianë).
• Shqyrtoni çfarë dokumentacioni pajtueshmërie ofron tashmë furnizuesi i secilit mjet IA.
• Verifikoni nëse klientë aktualë ose të mundshëm në BE kanë shtuar klauza për Aktin e IA-në në kontrata ose pyetësorë sigurie.
• Nëse funksiononi si furnizues drejt tregut të BE-së, kontrolloni nëse ju nevojitet një përfaqësues i autorizuar sipas nenit 22.

Informacioni më sipër është i përgjithshëm dhe nuk përbën këshillë ligjore — situata konkrete e çdo kompanie varet nga mjetet, furnizuesit dhe kontratat specifike me të cilat punon. Në platformën e Komplya-s, dallojmë qartë përmbajtjen e rishikuar nga specialistë nga materiali që ende është draft, që të dini gjithmonë sa mund t'i besoni.

Pika më e thjeshtë e nisjes nuk është një auditim i plotë pajtueshmërie, por një hartëzim i sinqertë i mjeteve IA që kompania juaj përdor tashmë — nga asistenti i shkrimit të kodit te chatbot-i i mbështetjes së klientit. Plotësoni pyetësorin tonë të shkurtër të zbatueshmërisë për të parë cilat nga mjetet tuaja bien ndoshta nën Aktin për IA-në dhe çfarë ia vlen të kontrolloni së pari.