EU AI Act i crnogorske firme: kada se primjenjuje van EU

IT kompanija iz Podgorice, koja godinama razvija softver po narudžbi za klijente iz Njemačke i Austrije, dobije od jednog od tih klijenata upitnik prije potpisivanja novog ugovora — pitanja o tome da li alat za automatsku procjenu kandidata koji su zajedno razvili ispunjava zahtjeve evropskog Akta o vještačkoj inteligenciji. U isto vrijeme, hotelski lanac u Kotoru uvodi sistem dinamičnog određivanja cijena zasnovan na vještačkoj inteligenciji za onlajn rezervacije, koje koriste gosti iz cijele Evrope. Nijedna od ove dvije firme nema poslovnu jedinicu u EU. Obje se pitaju da li ih se evropski AI Act uopšte tiče, s obzirom da Crna Gora nema sopstveni zakon o vještačkoj inteligenciji. Tiče ih se — za tu konkretnu aktivnost — i vrijedi razumjeti tačno kako.

Crna Gora nema domaći zakon o VI — i to mijenja polaznu tačku

Za razliku od zaštite podataka, gdje Crna Gora ima sopstveni, GDPR-usklađen Zakon o zaštiti podataka o ličnosti u primjeni od jula 2023. godine, u oblasti vještačke inteligencije ne postoji analogni domaći zakon. Uredba (EU) 2024/1689, poznata kao AI Act ili Akt o vještačkoj inteligenciji, je pravo Evropske unije i ne predstavlja dio crnogorskog pravnog sistema — ne mora se transponovati, niti postoji obaveza da to Crna Gora učini kao zemlja koja nije članica EU. Prva reakcija — „mi nismo u EU, to se nas ne tiče” — zvuči logično na prvi pogled.

Ono što tu intuiciju razbija jeste član 2 Akta, koji definiše teritorijalni domet uredbe na način sličan onome što je GDPR već popularizovao u svom članu 3(2): uredba se primjenjuje i na dobavljače i korisnike sistema VI koji nemaju sjedište u EU, ako se sistem stavlja na tržište EU ili u upotrebu u EU, ili ako se rezultat (output) tog sistema koristi u EU. Crnogorska firma može potpasti pod domet ovog akta za konkretnu aktivnost, a da nikad nije imala sjedište, ogranak ili fizičko prisustvo ni u jednoj državi članici.

Ko je u crnogorskoj privredi najviše izložen

U praksi, izloženost zavisi od konkretne aktivnosti, ne od zastave na firmi. Turistički i ugostiteljski sektor duž crnogorskog primorja — hoteli, platforme za rezervacije, marine — sve više uvodi alate zasnovane na VI za dinamično određivanje cijena, čet-botove za korisničku podršku ili personalizovane preporuke, usmjerene ka gostima koji rezervišu iz cijele Evropske unije; ako rezultat takvog sistema koristi neko ko se nalazi u EU, aktivnost potencijalno potpada pod akt. Rastući IT-outsourcing i nearshore sektor razvija ili integriše alate VI po narudžbi evropskih klijenata — sisteme za skrining kandidata, alate za analizu ugovora, modele za detekciju prevara — koji se onda stavljaju na tržište EU preko tog klijenta ili se koriste unutar EU. Izvozno orijentisani proizvođači, uključujući proizvođače aluminijuma i druge industrijske izvoznike, sve češće koriste VI za kontrolu kvaliteta ili predviđanje potražnje u saradnji sa kupcima iz EU, a rezultati tih sistema mogu ulaziti u lance odlučivanja evropskih partnera. E-trgovci koji prodaju robu kupcima u EU koriste alate VI za personalizaciju ponuda ili automatizovanu korisničku podršku usmjerenu upravo ka tim kupcima.

Nasuprot tome, isključivo interni alat VI, koji koriste samo zaposleni u Crnoj Gori za potrebe koje nikad ne izlaze iz zemlje i čiji rezultat nikad ne koristi niko u EU, ostaje van dometa akta. Ono što pokreće analizu jeste stvarna veza sa tržištem EU, ne mjesto registracije firme.

Ovlašćeni predstavnik po članu 22: obaveza za dobavljače visokorizičnih sistema i GPAI modela

Kada crnogorska firma nastupa kao dobavljač visokorizičnog sistema VI ili modela opšte namjene (GPAI) koji se stavlja na tržište EU, a nema poslovnu jedinicu u Uniji, član 22 AI Acta zahtijeva imenovanje ovlašćenog predstavnika sa sjedištem u EU, pismeno ovlašćenog da postupa u njeno ime pred evropskim nadzornim organima. Ovo je odvojena obaveza od predstavnika po članu 27 GDPR-a — čak i ako se u praksi ista firma nekad obraća istom evropskom partneru za obje uloge, riječ je o dva pravno različita mandata, sa različitim opsegom odgovornosti.

Šta neusklađenost može koštati

AI Act predviđa stepenovan sistem sankcija. Za zabranjene prakse — kratku listu zabranjenih upotreba, poput generalizovanog društvenog bodovanja (social scoring) ili određenih tehnika suptilne manipulacije — kazne mogu doseći do 35 miliona evra ili 7% globalnog godišnjeg prihoda, zavisno od toga šta je veće. Ostale ozbiljne povrede, uključujući one vezane za obaveze visokorizičnih sistema, ograničene su na 15 miliona evra ili 3% globalnog prihoda. Član 99, stav 6 predviđa da nadzorni organi za mala i srednja preduzeća i startape primjenjuju proporcionalno niže gornje granice — nijansa koju malo crnogorskih firmi zna dok se ne uplaše pogrešnim brojem. To ne mijenja da li se obaveza primjenjuje, samo gornju granicu potencijalne kazne. Treba biti iskren i po jednom pitanju: konkretni mehanizmi kojima bi EU sprovela ovakvu kaznu prema crnogorskoj firmi bez prisustva u Uniji, prema onome što je danas poznato, još nisu u potpunosti ustaljeni u praksi — to nije razlog da se akt ignoriše, već razlog da se dobro razumije gdje je izloženost stvarna.

Šta provjeriti u sopstvenoj firmi

• Da li neki alat VI koji koristite proizvodi rezultat — cijenu, ocjenu, odluku, sadržaj — koji koristi klijent, partner ili korisnik u Evropskoj uniji?
• Prodajete li, nudite li ili integrišete li sistem VI koji, direktno ili preko partnera, dospijeva na tržište EU?
• Da li vam je evropski klijent ili partner već postavio pitanje o usklađenosti sa AI Actom, u upitniku za dobavljače ili prilikom revizije ugovora?
• Ako konkretna upotreba ima vezu sa EU, spada li u visokorizičnu oblast prema Aneksu III — na primjer skrining kandidata, ocjena kreditne sposobnosti ili detekcija prevara?
• Umijete li da razdvojite, među alatima VI koje koristite, one koji su strogo interni od onih koji imaju stvarnu vezu sa EU?

Opšta informacija, ne pravni savjet

Sve navedeno je opšta informacija namijenjena orijentaciji, a ne pravni savjet prilagođen konkretnoj situaciji vaše firme — naročito u dijelovima gdje praksa još nije ustaljena, poput stvarnog sprovođenja akta prema firmama bez prisustva u EU. Kada Komplya objavljuje ovakav sadržaj, jasno razlikujemo ono što je pravno provjereno od onoga što je radni materijal, kako biste znali na šta se možete osloniti.

Najbrži način da provjerite da li vaša firma potpada pod AI Act jeste da pregledate, sistem po sistem, svoje stvarne primjene VI i njihove korisnike u EU. Odgovorite na kratak upitnik o korišćenju VI u vašoj firmi i dobićete pregled na razumljivom jeziku vaše vjerovatne izloženosti.