Regulacija umjetne inteligencije: što se mijenja početkom kolovoza.

Iako je europska uredba o umjetnoj inteligenciji (AI) stupila na snagu 1. kolovoza 2024., dolazimo do ključne faze u njezinoj provedbi.

Koristan podsjetnik na vremenski okvir za primjenu odredbi Uredbe, koji uzima u obzir nedavne izmjene koje je uveo «Digital Omnibus», može se pronaći na mrežnim stranicama Europske komisije.

• Opće odredbe uredbe (definicije i kultura umjetne inteligencije) i zabrana sustava umjetne inteligencije koji predstavljaju neprihvatljive rizike na snazi su od 2. veljače 2025.
• Od 2. kolovoza stupila je na snagu većina odredbi: pravila transparentnosti i mjere za potporu inovacijama sada se primjenjuju, a praćenje provedbe može se provoditi u vezi s modelima umjetne inteligencije opće namjene, zabranama, pravilima transparentnosti i kulturom umjetne inteligencije. Za to će biti odgovoran Ured za umjetnu inteligenciju Europske komisije, u suradnji s nacionalnim tijelima.
• Od 2. prosinca, sustavi umjetne inteligencije koji generiraju seksualne "deepfakeove" bez pristanka i dječju pornografiju bit će regulirani, a od kraja 2027. i sredine 2028. visokorizični sustavi umjetne inteligencije bit će uključeni u Prilog III. (osjetljiva područja poput zapošljavanja i policije) odnosno Prilog I. (proizvodi poput medicinskih uređaja).

Točnije, od ovog ljeta nova pravila o transparentnosti iz članka 50. zahtijevaju od određenih sustava umjetne inteligencije, poput chatbotova, da obavještavaju korisnike kada komuniciraju s umjetnom inteligencijom i kada je sadržaj generiran ili izmijenjen njome.

Osim toga, pružatelji sadržaja uređenog ili generiranog pomoću umjetne inteligencije morat će biti identificirani kao takvi.

Ovaj sadržaj također mora imati strojno čitljive oznake kako bi se lakše otkrio.

Određene iznimke predviđene su u kontekstu kaznenog djela, kao i za tekstove čijim sadržajem upravlja čovjek, a postoje i prilagodbe za umjetnička djela.

Komisija je također predložila tri ikone za identifikaciju sadržaja generiranog u cijelosti ili djelomično pomoću umjetne inteligencije.

Kako bi pomogla tvrtkama da ispune te obveze, Europska komisija je 20. srpnja objavila smjernice u kojima se pojašnjava na koga se odnose ta pravila i koji sadržaj mora biti objavljen.

"Kodeks dobre prakse o transparentnosti sadržaja generiranog umjetnom inteligencijom", koji je već potpisalo više od 180 organizacija, uključujući OpenAI i Google, ima za cilj pomoći tvrtkama da dokažu svoju usklađenost s Uredbom.

Tko je u Francuskoj odgovoran za provedbu i praćenje usklađenosti s uredbom?

Nadzor je raspoređen na brojne subjekte, pod vodstvom DGE-a i DGCCRF-a, koji će nadzirati opće obveze informiranja i sljedivosti.

• CNIL igra središnju ulogu u sustavima umjetne inteligencije koji uključuju obradu osobnih podataka, uključujući osjetljive podatke i biometriju. Tijelo nudi praktične vodiče i alat za samoprocjenu kako bi pomoglo tvrtkama da provjere svoju usklađenost sa zakonskim zahtjevima te pruža savjete malim i srednjim poduzećima te vrlo malim poduzećima.
• ARCOM intervenira u digitalnom i audiovizualnom sadržaju, uključujući "deepfakeove".
• ANSSI će intervenirati u aspektima kibernetičke sigurnosti.
• HAS će biti kompetentan za AI sustave koji se koriste u medicinskom području.

Ova konstelacija odgovornosti, koja će neizbježno dovesti do preklapanja, zahtijeva poboljšanu suradnju između dionika. DGCCRF igra ulogu jedinstvene kontaktne točke na operativnoj razini.

Rizici u slučaju prekršaja mogu biti značajni.

Sankcije se razlikuju ovisno o razini rizika: do 35 milijuna eura ili 7% globalnog prometa za zabranjenu umjetnu inteligenciju, 15 milijuna eura ili 3% za visokorizičnu umjetnu inteligenciju koja nije u skladu s propisima te 7,5 milijuna eura ili 1% za nedostatak transparentnosti.

Za mala i srednja poduzeća, kazne su ograničene na niži iznos od apsolutnog praga i postotka prometa.

Uredba se primjenjuje modulirano na svaki sustav umjetne inteligencije koji koristi organizacija, a ne na organizaciju u cjelini.

Stoga se preporučuje mapiranje svih korištenih sustava (uključujući umjetnu inteligenciju trećih strana i podugovaranje) te procjena njihove razine rizika kako bi se prilagodila usklađenost.

U Francuskoj

Francuska je prva europska zemlja koja je usvojila zakon kojim se maloljetnicima mlađima od 15 godina zabranjuje pristup društvenim mrežama.

Kompromisni tekst koji je parlament usvojio 21. srpnja obvezuje pružatelje usluga da provedu pouzdan sustav provjere dobi, bez nametanja specifičnog mehanizma.

Od 1. rujna 2026. maloljetnici mlađi od petnaest godina više neće moći stvarati nove račune na tim platformama.

Za postojeće račune, zabrana će se primjenjivati nakon razdoblja od četiri mjeseca, tj. 1. siječnja 2027. ARCOM će biti odgovoran za osiguravanje poštivanja ove zabrane.

Treba napomenuti da tekst postavlja pitanja proporcionalnosti jer zahtijeva od svih korisnika društvenih mreža da dokažu svoju dob, a učinkovitost mehanizma dovode u pitanje njegovi kritičari koji navode mješovite rezultate koje je Australija postigla u ovom području.

Dvije skupine članova parlamenta zatražile su od Ustavnog vijeća da pregleda tekst. Nadalje, Europska komisija namjerava ove jeseni predstaviti prijedlog o toj temi, a prioritet će dati mehanizmima provjere dobi koji čuvaju anonimnost.

Od 11. kolovoza i na temelju uredbe od 23. srpnja, za razliku od Bloctel sustava koji zahtijeva aktivno isključivanje, telefonsko nuđenje usluga bit će u načelu zabranjeno tvrtkama u svim sektorima djelatnosti osim u iznimnim okolnostima:

• Kada se poziv odnosi na ugovor sklopljen s tvrtkom radi ponude, na primjer, komplementarnih proizvoda ili usluga ili ponude usmjerene na poboljšanje pružene usluge ili njezine učinkovitosti.
• Kada je dotična tvrtka prethodno dobila suglasnost za kontaktiranje u marketinške svrhe, ta suglasnost mora biti izražena «slobodno» i «informirano» te «jasnom potvrdom radnjom».

Nepoštivanje propisa izlaže tvrtke kaznama do 375.000 eura za pravne osobe, kao i ništavnosti ugovora sklopljenih nakon nepravilnog nadmetanja.

Prošlog travnja, CNIL je zauzeo čvrst stav u vezi s pikselima za praćenje u e-porukama, dajući tvrtkama tri mjeseca da se pridržavaju zakonskih odredbi koje štite elektroničke komunikacije.

Brojne poruke su od tada stigle u svačije poštanske sandučiće, tražeći privolu za praćenje otvaranja pošte. Dana 22. srpnja, CNIL (Francusko tijelo za zaštitu podataka) objavilo je niz pitanja i odgovora kako bi razjasnilo uvjete za provedbu svoje preporuke.

CNIL i CIANum (Vijeće za umjetnu inteligenciju i digitalnu tehnologiju) proveli su zajedničku refleksiju i objavili istraživačku bilješku o pitanjima koja je pokrenula agentska umjetna inteligencija za zaštitu osobnih podataka.

Ovaj rad odražava rasprave koje je o toj temi vodio CNIL sa svojim međunarodnim kolegama, posebno u okviru tijela za zaštitu podataka G7.

U dokumentu se navodi promjena u opsegu korištenja umjetne inteligencije, koja postaje sve raširenija, te se postavljaju pitanja odgovornosti i gubitka kontrole nad osobnim podacima. Iako se trenutni pravni okvir primjenjuje na ove sustave, CNIL ističe izazov u prilagodbi metoda njegove provedbe.

Doctolib je početkom srpnja u e-poruci upućenoj svojim 60 milijuna korisnika najavio da će od kolovoza nadalje, osim ako se ne usprotive, koristiti neke od njihovih zdravstvenih podataka za obuku i poboljšanje svojih alata umjetne inteligencije, kao dio istraživačkih projekata u suradnji s Inriom, Insermom i Sveučilištem Paris Cité.

Tvrtka navodi da su predmetni podaci pseudonimizirani i da je njihova upotreba regulirana pravilima CNIL-a.

Ovaj istraživački projekt izazvao je niz reakcija, uključujući i onu Lige za ljudska prava, koja u priopćenju za javnost od 16. srpnja kritizira zadano upisivanje korisnika u istraživački projekt i činjenicu da ga provodi privatna tvrtka (čije podatke pohranjuje tvrtka koja podliježe zakonima SAD-a), a ne javno tijelo.

U Europi

Europske institucije i tijela

Europski parlament je 9. srpnja glasao o produljenju sheme "Chat Control 1.0", koja digitalnim tvrtkama omogućuje dobrovoljnu analizu privatnih poruka, bez mandata.

Ovo "privremeno odstupanje" od pravila koja se odnose na privatnost i elektroničke komunikacije, namijenjeno otkrivanju seksualnog zlostavljanja djece na internetu, ostalo bi na snazi do 3. travnja 2028.

Ovaj tekst, koji je parlament odbacio u ožujku, vraćen je na dnevni red tijekom drugog čitanja u kojem je za odbacivanje prijedloga potrebna apsolutna većina svih zastupnika.

U međuvremenu, zakonodavci pregovaraju o ažuriranom okviru, "Chat Control 2.0", koji bi mogao omogućiti pristup sadržaju šifriranih komunikacija, projektu koji više od 800 istraživača kibernetičke sigurnosti smatra prijetnjom šifriranju i povjerljivosti komunikacija.

Europska komisija je 7. srpnja predstavila akcijski plan o kibernetičkoj sigurnosti i umjetnoj inteligenciji usmjeren na "promicanje sigurne i odgovorne upotrebe umjetne inteligencije uz istovremeno jačanje europske kibernetičke sigurnosti".

Akcijski plan nadopunjuje postojeći pravni okvir EU-a o umjetnoj inteligenciji i kibernetičkoj sigurnosti, uključujući Uredbu o umjetnoj inteligenciji, Uredbu o kibernetičkoj otpornosti, Direktivu NIS2, Uredbu o digitalnoj operativnoj otpornosti (DORA) i Uredbu o kibernetičkoj solidarnosti.

Europska komisija je 23. srpnja donijela dvije odluke kojima je utvrdila da je Google prekršio Uredbu o digitalnim tržištima (DMA) favoriziranjem vlastitih usluga na Google pretraživanju i nametanjem ograničenja tvrtkama kako bi ih spriječila da usmjeravaju korisnike Google Playa na druge, često jeftinije kanale kupnje. Kaznila je Google s 460 milijuna eura, odnosno 430 milijuna eura.

Europski odbor za zaštitu podataka (EDPB) objavio je 8. srpnja nove smjernice kojima je cilj pojasniti primjenu GDPR-a na dva glavna pitanja:

• Anonimizacija podataka
• Web scraping u kontekstu generativne umjetne inteligencije.

Što se tiče anonimizacije, odbor navodi da se podaci mogu smatrati uistinu anonimnima samo ako ne postoji razumno moguća ponovna identifikacija, posebno na temelju tri kriterija: odsutnosti izolacije, povezivanja i dedukcije.

Smjernice posebno uzimaju u obzir presudu Suda Europske unije u predmetu C-413/23 P, EDPB protiv SRB-a od 4. rujna 2025.

Što se tiče web scrapinga, EDPB ističe da automatizirano prikupljanje osobnih podataka za obuku modela umjetne inteligencije i dalje podliježe GDPR-u, posebno zahtjevima pravne osnove, transparentnosti i ograničenja svrhe.

Ova dva nacrta smjernica otvorena su za javne konzultacije do 30. listopada 2026. Osim toga, smjernice o blockchainu usvojene su u svojoj konačnoj verziji.

Dana 31. srpnja 2026. EDPB je također poslao pismo Europskoj komisiji tražeći od nje da ispita hoće li presuda Vrhovnog suda SAD-a u slučaju Trump protiv Slaughtera vjerojatno utjecati na valjanost okvira zaštite podataka između EU i SAD-a.

Sud Europske unije (CJEU) presudio je 16. srpnja da profesionalne e-poruke predstavljaju komunikaciju zaštićenu člancima 7. i 8. Povelje o temeljnim pravima Europske unije, ali da ih tijelo za zaštitu tržišnog natjecanja može zaplijeniti u kontekstu istrage bez prethodnog sudskog odobrenja, pod uvjetom da su na snazi strogi pravni okvir i odgovarajuće zaštitne mjere protiv zlouporabe i arbitrarnosti (spojeni predmeti C-258/23 do C-260/23).

U svojoj presudi od 14. srpnja (C 474/24 – NADA Austria i drugi), smatrao je da objavljivanje imena profesionalnih sportaša koji su prekršili antidopinška pravila može biti zakonito.

Međutim, subjekt odgovoran za objavu mora biti u stanju uravnotežiti suprotstavljene interese kako bi poštovao načelo proporcionalnosti. Također je priznao da se pritužba može podnijeti kao preventivna mjera.

Sud EU-a je konačno u presudi od 9. srpnja (C-199/24 ND protiv Legal Newsdesk Sweden AB) presudio da objavljivanje informacija koje se odnose na kaznene osude u javno dostupnim bazama podataka ne predstavlja novinarsku aktivnost i ne može se koristiti izuzećem prema GDPR-u na temelju nacionalnih zakona kojima se prenosi članak 85(2).

Vijesti iz zemalja članica Europske unije.

U Austriji je, nakon sedam godina postupka, Vrhovni upravni sud potvrdio kaznu od 13 milijuna eura izrečenu Austrijskoj pošti.

Tvrtka je prikupljala podatke o političkim afinitetima više od dva milijuna ljudi i prodavala te informacije trećim stranama u svrhu izravnog marketinga.

Iako je tvrtka argumentirala u dobroj vjeri i navela mišljenja konzultanata koji su potvrdili njezine prakse, Vrhovni sud je odbacio te argumente, navodeći da "nije potrebna nikakva akcija ili znanje upravnih tijela da bi se pravnoj osobi izreklo sankcije". Sud je nadalje utvrdio da se "neobranjiva" pravna mišljenja ne bi trebala smatrati olakotnom okolnošću, niti čak oslobađajućom okolnosti.

Dana 14. srpnja, EDPB je donio odluku kojom se nalaže Belgijskoj agenciji za zaštitu podataka (APD) da obradi pritužbu koju je podnijela nevladina organizacija Noyb, a koju je APD smatrao nedopuštenom. U obvezujućoj odluci, Odbor je ispitao treba li pritužbu odbaciti zbog zlouporabe prava i potvrdio da je ovlastiti neprofitno tijelo, organizaciju ili udrugu da podnese pritužbu u ime podnositelja pritužbe u skladu s GDPR-om.

Španjolska agencija za zaštitu podataka (APD) kaznila je tvrtku za genomiku i biotehnologiju s 2,4 milijuna eura zbog toga što nije adekvatno zaštitila genetske i zdravstvene podatke te zbog prijavljivanja povrede osobnih podataka tijelu za zaštitu podataka nakon isteka roka od 72 sata.

APD je također kaznio Vodafone s 1.050.000 eura zbog nedovoljnih mjera zaštite podataka.

Talijanska agencija za zaštitu podataka (APD) kaznila je dobavljača energije s 5,8 milijuna eura zbog neobjavljivanja kreditnih rejtinga ili neobjašnjenja načina njihova izračuna, zbog nezakonitog dijeljenja podataka o dugu unutar svoje grupe, zbog zadržavanja kreditnih podataka deset godina bez dovoljnog opravdanja i zbog njihove ponovne upotrebe u nekompatibilne svrhe.

Talijanska agencija za zaštitu podataka izrekla je kaznu od 2 milijuna eura tvrtki Lusha Systems Inc., američkom posredniku podataka koji putem svoje platforme pruža "obogaćene" informacije o pojedincima, poput njihove profesionalne situacije, adresa e-pošte i telefonskih brojeva, uz naknadu.

Lusha prikuplja ove podatke iz nekoliko izvora (ekstrakcija podataka s društvenih mreža, kupnja od drugih posrednika podataka itd.) i stavlja ih na raspolaganje svojim klijentima u komercijalne svrhe ili za borbu protiv prijevara.

Tvrtka također provodi ažuriranja koja uključuju online praćenje ponašanja dotičnih pojedinaca, što spada pod GDPR. Talijanska agencija za zaštitu podataka (APD) zabranila je obradu podataka koji se odnose na pojedince koji se nalaze u Italiji i naložila njihovo brisanje.

APD je također sankcionirao telekomunikacijskog operatera TIM zbog brojnih kršenja propisa koji se odnose na privatnost i telemarketing.

Nekoliko njegovih pozivnih centara, djelujući kao podizvođači, obavljalo je promotivne pozive u ime tvrtke, koristeći brojeve koji ne pripadaju službenoj prodajnoj mreži, kako bi nezakonito prikupljali korisničke podatke.

Tijelo ističe da pridržavanje kodeksa ponašanja ne oslobađa odgovornu stranu od obveze praćenja aktivnosti svojih podizvođača i provjere učinkovite primjene mjera zaštite podataka u cijelom telemarketinškom lancu.

Međunarodno

U Kanadi, zakon od 15. lipnja predlaže ukidanje ovlasti DPA-a za praćenje privatnog sektora i stvaranje jedinstvenog tijela odgovornog za regulaciju online štete, društvenih mreža, chatbotova temeljenih na umjetnoj inteligenciji i zaštite privatnosti u privatnom sektoru.

U Sjedinjenim Državama, članak 702. Zakona o nadzoru stranih obavještajnih službi (FISA) istekao je u lipnju.

Od 2008. godine ova je odredba omogućila američkim obavještajnim agencijama prikupljanje komunikacija od stranih državljana izvan Sjedinjenih Država bez naloga.

Već nekoliko godina sve veći broj parlamentaraca uvjetovao je obnovu članka 702. zahtjevom za obveznim mandatom. Konačno su dobili potrebne glasove kako bi se njihov stav čuo.

Međutim, ovlaštenja Suda za nadzor stranih obavještajnih službi (FISC) obnovljena u ožujku za program iz članka 702 ostaju na snazi i "nastavit će se primjenjivati bez promjena, barem do 17. ožujka 2027.", prema riječima zastupnika Jamieja Raskina.

Neki operateri privatno su upozorili da će prestati surađivati čim zakon istekne, bojeći se pravne odgovornosti u nedostatku postojećeg zakona koji bi podržao vladine zahtjeve.

Obavještajne agencije i telekomunikacijske tvrtke stoga se suočavaju s neizvjesnošću u pogledu toga koje aktivnosti prikupljanja podataka mogu legalno nastaviti.

Također u Sjedinjenim Državama, američki sud je konačno odobrio sporazumnu nagodbu postignutu s tvrtkom 23andMe nakon kibernetičkog napada iz 2023. godine, koji je pogodio otprilike 6,4 milijuna korisnika.

Međutim, odšteta još nije isplaćena američkim žrtvama čiji su genetski podaci bili kompromitirani zbog stečajnog postupka tvrtke.

Fond za odštetu iznosi 46,75 milijuna dolara, ali većina korisnika primit će samo ograničenu odštetu, a najviši iznosi rezervirani su za žrtve koje mogu dokazati značajnu štetu.

U četvrtak, 16. srpnja, na Kapitolu u Rimu potpisana je "Rimska deklaracija za mir bez oružja i temeljen na razoružanju u doba umjetne inteligencije, nuklearnog i autonomnog oružja, novih digitalnih protokola i novih obrazaca digitalnog razvoja", čime je obilježen vrhunac Svjetske skupštine dobitnika Nobelove nagrade za umjetnu inteligenciju i nuklearno ratovanje.