EU AI Act i srpske IT kompanije: šta znači za AI proizvode koji se koriste u EU

Vaš razvojni tim iz Beograda ili Niša napravio je modul za automatsko rangiranje kandidata koji je ugrađen u sistem za regrutaciju koji koristi kadrovska agencija u Nemačkoj, ili modul za detekciju grešaka na proizvodnoj liniji koji isporučujete kooperantu vezanom za EU proizvođača automobila. Proizvod je nastao u Srbiji, ceo tim je ovde, a Srbija nema svoj zakon o veštačkoj inteligenciji koji bi to regulisao. Zaključak da to znači da nemate obaveze prema evropskim propisima je pogrešan koliko god delovao logično — jer pitanje nije gde je Vaša firma registrovana, nego gde se koristi ono što proizvodite.

Srbija nema domaći Akt o VI — i to nije razlog za mirnu savest

Za razliku od zaštite podataka, gde Srbija ima Zakon o zaštiti podataka o ličnosti modelovan po GDPR-u, u oblasti veštačke inteligencije ne postoji poseban domaći zakon koji bi paralelno regulisao AI sisteme. To ne znači da srpske IT firme posluju u pravnom vakuumu čim je reč o AI proizvodima koji dotiču EU tržište. Evropski Akt o veštačkoj inteligenciji, formalno Uredba (EU) 2024/1689, sam po sebi predviđa prekogranično dejstvo prema trećim zemljama, nezavisno od toga da li ta zemlja ima svoj ekvivalentan propis. Domaći zakon o VI Srbiji jednostavno nije potreban da bi se Akt o VI primenio na srpsku firmu — dovoljno je da su ispunjeni uslovi iz samog Akta.

Član 2. stav 1. tačka (c): kada se Akt o VI primenjuje na firmu iz Srbije

Akt o VI u članu 2. stavu 1. tački (c) izričito predviđa da se primenjuje na dobavljače i uvoznike AI sistema sa sedištem ili boravištem u trećoj zemlji, kada se rezultat (output) koji taj sistem proizvodi koristi u Evropskoj uniji. To je odvojen test od pitanja da li je sistem uopšte stavljen na tržište EU ili pušten u rad u EU — čak i ako srpska firma sistem nikad formalno ne plasira u EU, sama činjenica da se njegov izlazni rezultat koristi od strane lica u EU može aktivirati primenu Akta. Konkretno za srpski IT sektor: alat za skrining CV-jeva koji Vaša firma isporučuje agenciji u Poljskoj, sistem za bodovanje kreditnog rizika ugrađen u proizvod banke u Hrvatskoj, ili modul za kontrolu kvaliteta čiji nalazi direktno utiču na odluke o prihvatanju delova kod automobilskog OEM-a u EU — sve su to slučajevi u kojima se Akt o VI po svemu sudeći primenjuje na srpskog dobavljača, nezavisno od toga što je razvoj, hosting i tim u potpunosti u Srbiji.

Klasifikacija rizika ne pita gde je firma registrovana

Akt o VI deli sisteme veštačke inteligencije prema riziku, i ta klasifikacija je ista bez obzira na sedište dobavljača. Na vrhu su zabranjene prakse iz člana 5, potom sistemi visokog rizika nabrojani u Prilogu III (uključujući zapošljavanje, ocenjivanje zaposlenih, kreditnu sposobnost i pristup ključnim uslugama), zatim sistemi ograničenog rizika sa obavezama transparentnosti, i posebna kategorija za modele opšte namene (GPAI). Za srpsku IT firmu koja gradi AI funkcionalnost ugrađenu u proizvod za EU klijenta, prvo pitanje nije 'da li smo dobavljač ili implementator' uopšteno, nego za svaki konkretan AI modul posebno — jer isti proizvod može istovremeno sadržati komponentu ograničenog rizika i komponentu koja upada u Prilog III.

Ovlašćeni zastupnik prema članu 22. Akta o VI

Dobavljač visokorizičnog AI sistema sa sedištem van EU, koji svoj sistem stavlja na tržište EU, po pravilu mora pre toga da odredi ovlašćenog zastupnika sa sedištem u Uniji prema članu 22. Akta o VI — pisanim ovlašćenjem koje zastupniku daje konkretne obaveze prema nadzornim telima. Ovo je posebna, samostalna obaveza, različita od predstavnika koji se eventualno određuje prema članu 27. GDPR-a za lične podatke: reč je o dva različita propisa, sa dva različita testa primenljivosti, i srpska firma koja upada u oba može morati da odredi zastupnike za svaki režim posebno, čak i ako u praksi angažuje istog partnera za obe uloge. Za dobavljače modela opšte namene (GPAI) postoji analogna, ali posebna obaveza određivanja ovlašćenog zastupnika prema članu 54. Akta o VI, sa sopstvenim uslovima koje treba proveriti odvojeno od člana 22.

Ko nadzire primenu kad je dobavljač iz Srbije

Pošto Srbija nije članica EU, u Srbiji nema, niti se očekuje, domaće telo za nadzor tržišta određeno prema Aktu o VI — to je uloga rezervisana za organe koje imenuju države članice EU. Za srpsku firmu koja upada u primenu Akta, nadzor u praksi vrši nadležno telo za nadzor tržišta u državi članici u kojoj je određen ovlašćeni zastupnik, ili u kojoj se sistem stavlja na tržište odnosno koristi njegov rezultat, zavisno od konkretnih okolnosti. Tačna procesna pravila za dobavljače iz trećih zemalja i dalje se u pojedinim segmentima usklađuju na nivou EU, pa ovu tačku svakako proverite kroz aktuelne izvore pre nego što donesete konačnu odluku o tome kog zastupnika i u kojoj državi članici angažovati.

Šta proveriti za svaki AI proizvod ili modul posebno

• Koristi li rezultat (output) Vašeg AI sistema bilo koje lice u Evropskoj uniji, nezavisno od toga da li je sistem formalno stavljen na tržište EU?
• Da li je sistem ili modul stavljen na tržište EU ili pušten u rad u EU direktno, npr. kroz ugovor sa EU klijentom koji ga dalje koristi prema svojim korisnicima?
• Da li funkcija sistema (zapošljavanje, kreditna sposobnost, kontrola kvaliteta sa uticajem na bezbednost, pristup uslugama) odgovara nekoj od kategorija visokog rizika iz Priloga III, ili nekoj od zabranjenih praksi iz člana 5?
• Ako ste dobavljač visokorizičnog sistema ili modela opšte namene bez sedišta u EU, imate li određenog ovlašćenog zastupnika prema članu 22. ili članu 54. Akta o VI, zavisno od slučaja?
• Da li ste ovo pitanje proverili odvojeno od GDPR pitanja o predstavniku prema članu 27 — jer se radi o dva različita propisa sa dva različita testa?

Ovaj tekst predstavlja opštu informaciju, a ne pravni savet prilagođen Vašoj konkretnoj situaciji. Tačna primena Akta o VI zavisi od funkcije koju konkretan AI modul obavlja, od toga ko je krajnji korisnik njegovog rezultata i od procesnih pravila koja se za dobavljače iz trećih zemalja i dalje usaglašavaju — detalje koje nijedan opšti tekst ne može u potpunosti obuhvatiti. Komplya u svom sadržaju jasno razlikuje ono što je pravno provereno od onoga što je radni materijal, kako biste znali sa kolikom sigurnošću se na pojedini deo teksta možete osloniti.

Kad AI proizvod Vaše firme već koristi neko u EU, opšta slika više nije dovoljna — treba Vam pisana politika korišćenja veštačke inteligencije zasnovana na tome šta taj proizvod stvarno radi. Generišite politiku korišćenja VI kod Komplya, sastavljenu uz pomoć VI na osnovu Vaših konkretnih obaveza, a ne generički šablon.