Regulacija umetne inteligence: kaj se spremeni v začetku avgusta.

Čeprav je evropska uredba o umetni inteligenci (UI) začela veljati 1. avgusta 2024, prihajamo do ključne faze njenega izvajanja.

Koristen opomnik o časovnici za uporabo določb uredbe, ki upošteva nedavne spremembe, ki jih je uvedel "Digital Omnibus", je na voljo na spletni strani Evropske komisije.

• Splošne določbe uredbe (opredelitve in kultura umetne inteligence) in prepoved sistemov umetne inteligence, ki predstavljajo nesprejemljiva tveganja, veljajo od 2. februarja 2025.
• Od 2. avgusta je začela veljati večina določb: pravila o preglednosti in ukrepi za podporo inovacijam so zdaj v uporabi, spremljanje izvajanja pa se lahko izvaja v zvezi s splošnimi modeli umetne inteligence, prepovedmi, pravili o preglednosti in kulturo umetne inteligence. Za to bo odgovoren Urad za umetno inteligenco Evropske komisije v sodelovanju z nacionalnimi organi.
• Od 2. decembra bodo regulirani sistemi umetne inteligence, ki ustvarjajo spolne "deepfake" brez privolitve in otroško pornografijo, od konca leta 2027 oziroma sredine leta 2028 pa bodo visoko tvegani sistemi umetne inteligence vključeni v Prilogo III (občutljiva področja, kot sta zaposlovanje in policijsko delo) oziroma Prilogo I (izdelki, kot so medicinski pripomočki).

Natančneje, nova pravila o preglednosti iz člena 50 od tega poletja zahtevajo, da nekateri sistemi umetne inteligence, kot so klepetalni roboti, uporabnike obvestijo, kdaj komunicirajo z umetno inteligenco in kdaj je ta ustvarila ali spremenila vsebino.

Poleg tega bo treba ponudnike vsebin, urejenih ali ustvarjenih z umetno inteligenco, identificirati kot take.

Ta vsebina mora imeti tudi strojno berljive oznake, da jo je lažje zaznati.

V kazenskem kontekstu in za besedila, katerih vsebino nadzoruje človek, so bile določene določene izjeme, za umetniške stvaritve pa obstajajo prilagoditve.

Komisija je predlagala tudi tri ikone za prepoznavanje vsebin, ki so bile v celoti ali delno ustvarjene z uporabo umetne inteligence.

Da bi podjetjem pomagala pri izpolnjevanju teh obveznosti, je Evropska komisija 20. julija objavila smernice, v katerih je pojasnila, na koga se ta pravila nanašajo in katero vsebino je treba razkriti.

"Kodeks dobre prakse o preglednosti vsebin, ki jih ustvarja umetna inteligenca", ki ga je že podpisalo več kot 180 organizacij, vključno z OpenAI in Googlom, naj bi podjetjem pomagal dokazati njihovo skladnost z uredbo.

Kdo je v Franciji odgovoren za izvajanje in spremljanje skladnosti z uredbo?

Nadzor je razporejen med številne subjekte pod vodstvom DGE in DGCCRF, ki bosta nadzorovala splošne obveznosti glede informacij in sledljivosti.

• CNIL ima osrednjo vlogo v sistemih umetne inteligence, ki vključujejo obdelavo osebnih podatkov, vključno z občutljivimi podatki in biometričnimi podatki. Organ ponuja praktične vodnike in orodje za samoocenjevanje, ki podjetjem pomagajo preveriti njihovo skladnost z zakonskimi zahtevami, ter svetuje malim in srednje velikim podjetjem ter zelo majhnim podjetjem.
• ARCOM posega v digitalne in avdiovizualne vsebine, vključno z "deepfakes".
• ANSSI bo posredoval pri vidikih kibernetske varnosti.
• HAS bo pristojen za sisteme umetne inteligence, ki se uporabljajo v medicini.

Ta konstelacija odgovornosti, ki bo neizogibno vodila do prekrivanja, zahteva okrepljeno sodelovanje med deležniki. DGCCRF ima vlogo enotne kontaktne točke na operativni ravni.

Tveganja v primeru prekrška so lahko precejšnja.

Sankcije se razlikujejo glede na stopnjo tveganja: do 35 milijonov evrov ali 71 TP4T svetovnega prometa za prepovedano umetno inteligenco, 15 milijonov evrov ali 31 TP4T za visoko tvegano umetno inteligenco, ki ni v skladu s predpisi, in 7,5 milijona evrov ali 11 TP4T zaradi pomanjkanja preglednosti.

Za mala in srednje velika podjetja ter zelo mala podjetja so kazni omejene na nižjo od absolutnega praga in odstotka prometa.

Uredba se modulirano uporablja za vsak sistem umetne inteligence, ki ga uporablja organizacija, in ne za organizacijo kot celoto.

Zato je priporočljivo, da se kartirajo vsi uporabljeni sistemi (vključno z umetno inteligenco tretjih oseb in podizvajalci) in oceni njihova raven tveganja, da se prilagodi skladnost.

V Franciji

Francija je prva evropska država, ki je sprejela zakon, ki prepoveduje dostop do družbenih omrežij mladoletnikom, mlajšim od 15 let.

Kompromisno besedilo, ki ga je parlament sprejel 21. julija, nalaga ponudnikom storitev obveznost uvedbe zanesljivega sistema za preverjanje starosti, ne da bi pri tem uvedel poseben mehanizem.

Od 1. septembra 2026 mladoletniki, mlajši od petnajst let, ne bodo mogli več ustvarjati novih računov na teh platformah.

Za obstoječe račune bo prepoved veljala po štirih mesecih, tj. 1. januarja 2027. ARCOM bo odgovoren za zagotavljanje skladnosti s to prepovedjo.

Upoštevajte, da besedilo sproža vprašanja sorazmernosti, ker od vseh uporabnikov družbenih omrežij zahteva, da dokažejo svojo starost, učinkovitost mehanizma pa dvomijo njegovi kritiki, ki navajajo mešane rezultate, ki jih je Avstralija dosegla na tem področju.

Dve skupini poslancev sta zaprosili Ustavni svet, naj pregleda besedilo. Poleg tega namerava Evropska komisija to jesen predstaviti predlog o tej temi, pri čemer bo dala prednost mehanizmom za preverjanje starosti, ki ohranjajo anonimnost.

Od 11. avgusta in na podlagi odloka z dne 23. julija bo za razliko od sistema Bloctel, ki zahteva aktivno zavrnitev, telefonsko nagovarjanje načeloma prepovedano za podjetja v vseh sektorjih dejavnosti, razen v izjemnih okoliščinah:

• Kadar se klic nanaša na pogodbo, sklenjeno s podjetjem, na primer z namenom ponudbe dopolnilnih izdelkov ali storitev, ali na ponudbo, katere cilj je izboljšanje opravljene storitve ali njenega delovanja.
• Ko je zadevno podjetje pridobilo predhodno soglasje za stik v trženjske namene, mora biti to soglasje izraženo "svobodno" in "informirano" ter "z jasnim pritrdilnim dejanjem".

Neupoštevanje predpisov se podjetjem kaznuje z globami do 375.000 evrov za pravne osebe, poleg tega pa so pogodbe, sklenjene na podlagi nepravilnega nagovarjanja, nične.

Aprila lani je CNIL zavzel odločno stališče glede sledilnih slikovnih pik v e-poštnih sporočilih in podjetjem dal tri mesece časa, da uskladijo svoje delovanje z zakonskimi določbami, ki ščitijo elektronske komunikacije.

Od takrat so v poštne nabiralnike vseh prispela številna sporočila z zahtevo po soglasju za sledenje odpiranja pošte. CNIL (francoski organ za varstvo podatkov) je 22. julija objavil vrsto vprašanj in odgovorov, da bi pojasnil pogoje za izvajanje svojega priporočila.

CNIL in CIANum (Svet za umetno inteligenco in digitalno inteligenco) sta izvedla skupno razpravo in objavila raziskovalno beležko o vprašanjih, ki jih agentna umetna inteligenca odpira za varstvo osebnih podatkov.

To delo odraža razprave, ki jih je CNIL o tej temi vodil s svojimi mednarodnimi kolegi, zlasti v okviru organov za varstvo podatkov skupine G7.

Dokument ugotavlja spremembo obsega uporabe umetne inteligence, ki postaja vse bolj razširjena, in odpira vprašanja o odgovornosti in izgubi nadzora nad osebnimi podatki. Čeprav se za te sisteme uporablja veljavni pravni okvir, CNIL poudarja izziv pri prilagajanju metod njegovega izvajanja.

Doctolib je v začetku julija v elektronskem sporočilu svojim 60 milijonom uporabnikov sporočil, da bo od avgusta naprej, razen če bodo nasprotovali, nekatere njihove zdravstvene podatke uporabljal za usposabljanje in izboljšanje svojih orodij umetne inteligence v okviru raziskovalnih projektov v sodelovanju z Inrio, Inserm in Univerzo Paris Cité.

Družba navaja, da so zadevni podatki psevdonimizirani in da njihovo uporabo urejajo pravila CNIL.

Ta raziskovalni projekt je sprožil številne odzive, vključno z odzivom Lige za človekove pravice, ki je v sporočilu za javnost z dne 16. julija kritizirala privzeto vpisovanje uporabnikov v raziskovalni projekt in dejstvo, da ga izvaja zasebno podjetje (katerega podatke hrani podjetje, za katero velja ameriška zakonodaja) in ne javni organ.

V Evropi

Evropske institucije in organi

Evropski parlament je 9. julija glasoval o podaljšanju sheme "Nadzor klepeta 1.0", ki digitalnim podjetjem omogoča prostovoljno analizo zasebnih sporočil brez mandata.

To "začasno odstopanje" od pravil o zasebnosti in elektronskih komunikacijah, namenjeno odkrivanju spletne spolne zlorabe otrok, bi ostalo v veljavi do 3. aprila 2028.

To besedilo, ki ga je parlament marca zavrnil, je bilo ponovno uvrščeno na dnevni red med drugo obravnavo, v kateri je za zavrnitev predloga potrebna absolutna večina vseh poslancev.

Medtem se zakonodajalci pogajajo o posodobljenem okviru «Nadzor klepeta 2.0», ki bi lahko omogočil dostop do vsebine šifriranih komunikacij, projekta, ki ga več kot 800 raziskovalcev kibernetske varnosti smatra za grožnjo šifriranju in zaupnosti komunikacij.

Evropska komisija je 7. julija predstavila akcijski načrt za kibernetsko varnost in umetno inteligenco, katerega cilj je "spodbujati varno in odgovorno uporabo umetne inteligence ter hkrati krepiti kibernetsko varnost v Evropi".

Akcijski načrt dopolnjuje obstoječi pravni okvir EU o umetni inteligenci in kibernetski varnosti, vključno z uredbo o umetni inteligenci, uredbo o kibernetski odpornosti, direktivo NIS2, uredbo o digitalni operativni odpornosti (DORA) in uredbo o kibernetski solidarnosti.

Evropska komisija je 23. julija izdala dve odločbi, v katerih je ugotovila, da je Google kršil uredbo o digitalnih trgih (DMA), ker je v Iskanju Google dajal prednost lastnim storitvam in podjetjem uvedel omejitve, s katerimi bi jim preprečil usmerjanje uporabnikov trgovine Google Play k drugim, pogosto cenejšim nakupovalnim kanalom. Googlu je naložila globo v višini 460 milijonov evrov oziroma 430 milijonov evrov.

Evropski odbor za varstvo podatkov (EDPB) je 8. julija objavil nove smernice, katerih namen je pojasniti uporabo GDPR pri dveh pomembnih vprašanjih:

• Anonimizacija podatkov
• Spletno strganje v kontekstu generativne umetne inteligence.

Glede anonimizacije odbor določa, da se podatki lahko štejejo za resnično anonimne le, če ni razumno možne ponovne identifikacije, zlasti na podlagi treh meril: odsotnosti izolacije, povezovanja in sklepanja.

Smernice upoštevajo zlasti sodbo Sodišča Evropske unije v zadevi C-413/23 P, EDPB proti SRB, z dne 4. septembra 2025.

Glede spletnega strganja podatkov EOVP poudarja, da avtomatizirano zbiranje osebnih podatkov za učenje modelov umetne inteligence ostaja predmet GDPR, zlasti zahtev glede pravne podlage, preglednosti in omejitve namena.

Ta dva osnutka smernic sta odprta za javno razpravo do 30. oktobra 2026. Poleg tega so bile smernice za tehnologijo veriženja blokov sprejete v svoji končni različici.

EOVP je 31. julija 2026 poslal tudi pismo Evropski komisiji, v katerem jo je pozval, naj preuči, ali bi odločitev vrhovnega sodišča ZDA v zadevi Trump proti Slaughterju verjetno vplivala na veljavnost okvira za varstvo podatkov med EU in ZDA.

Sodišče Evropske unije (CJEU) je 16. julija razsodilo, da poslovna elektronska sporočila predstavljajo komunikacijo, zaščiteno v skladu s členoma 7 in 8 Listine Evropske unije o temeljnih pravicah, vendar jih lahko organ za konkurenco zaseže v okviru preiskave brez predhodnega sodnega dovoljenja, če je vzpostavljen strog pravni okvir in ustrezni zaščitni ukrepi pred zlorabo in arbitrarnostjo (združene zadeve C-258/23 do C-260/23).

V sodbi z dne 14. julija (C 474/24 – NADA Austria in drugi) je menilo, da je objava imen profesionalnih športnikov, ki so kršili protidopinška pravila, lahko zakonita.

Vendar pa mora biti subjekt, odgovoren za objavo, sposoben uravnotežiti nasprotujoče si interese, da bi spoštoval načelo sorazmernosti. Prav tako je priznal, da se lahko pritožba vloži kot preventivni ukrep.

Sodišče EU je v sodbi z dne 9. julija (C-199/24 ND proti Legal Newsdesk Sweden AB) končno razsodilo, da objava informacij v zvezi s kazenskimi obsodbami v javno dostopnih podatkovnih zbirkah ne predstavlja novinarske dejavnosti in da na podlagi nacionalnih zakonov, ki prenašajo člen 85(2), ne more biti upravičena do izjeme v skladu s Splošno uredbo o varstvu podatkov.

Novice iz držav članic Evropske unije.

V Avstriji je vrhovno upravno sodišče po sedmih letih postopka potrdilo globo v višini 13 milijonov evrov, ki je bila naložena avstrijski pošti.

Podjetje je zbiralo podatke o politični pripadnosti več kot dveh milijonov ljudi in te podatke prodajalo tretjim osebam za namene neposrednega trženja.

Čeprav je podjetje trdilo v dobri veri in se sklicevalo na mnenja svetovalcev, ki so potrdili njegove prakse, je vrhovno sodišče te argumente zavrnilo in navedlo, da «za sankcioniranje pravne osebe ni potrebno nobeno dejanje ali vedenje upravnih organov». Sodišče je nadalje razsodilo, da se «neobvladljiva» pravna mnenja ne smejo šteti za olajševalno okoliščino niti za razbremenilni dejavnik.

Odbor za varstvo podatkov (EDPB) je 14. julija izdal sklep, s katerim je belgijskemu organu za varstvo podatkov (APD) naložil obravnavo pritožbe, ki jo je vložila nevladna organizacija Noyb, pritožbe, ki jo je APD ocenil kot nedopustno. V zavezujočem sklepu je odbor preučil, ali je treba pritožbo zavreči zaradi zlorabe pravic, in potrdil, da je pooblastilo neprofitnemu organu, organizaciji ali združenju za vložitev pritožbe v imenu pritožnika skladno z GDPR.

Španski organ za varstvo podatkov (APD) je podjetju za genomiko in biotehnologijo naložil globo v višini 2,4 milijona evrov, ker ni ustrezno zaščitilo genetskih in zdravstvenih podatkov ter ker je organu za varstvo podatkov po 72-urnem roku prijavilo kršitev varnosti osebnih podatkov.

APD je Vodafonu zaradi nezadostnih ukrepov za varstvo podatkov naložil tudi globo v višini 1.050.000 evrov.

Italijanski organ za varstvo podatkov (APD) je dobavitelju energije naložil 5,8 milijona evrov globe, ker ni razkril bonitetnih ocen ali pojasnil, kako so bile izračunane, ker je nezakonito delil podatke o dolgu znotraj svoje skupine, ker je deset let hranil kreditne podatke brez zadostne utemeljitve in ker jih je ponovno uporabil za nezdružljive namene.

Italijanski organ za varstvo podatkov je naložil globo v višini dveh milijonov evrov podjetju Lusha Systems Inc., ameriškemu posredniku podatkov, ki prek svoje platforme za plačilo zagotavlja "obogatene" informacije o posameznikih, kot so njihov poklicni položaj, e-poštni naslovi in telefonske številke.

Lusha te podatke zbira iz več virov (pridobivanje podatkov iz družbenih omrežij, nakupi pri drugih posrednikih podatkov itd.) in jih daje na voljo svojim strankam v komercialne namene ali za boj proti goljufijam.

Podjetje izvaja tudi posodobitve, ki vključujejo spletno spremljanje vedenja zadevnih posameznikov, kar spada pod GDPR. Italijanski organ za varstvo podatkov (APD) je prepovedal obdelavo podatkov, ki se nanašajo na posameznike, ki se nahajajo v Italiji, in odredil njihov izbris.

APD je sankcioniral tudi telekomunikacijskega operaterja TIM zaradi številnih kršitev predpisov v zvezi z zasebnostjo in telemarketingom.

Več njegovih klicnih centrov je kot podizvajalci v imenu podjetja opravljalo promocijske klice, pri čemer je uporabljalo številke, ki niso pripadale uradni prodajni mreži, da bi nezakonito zbirali uporabniške podatke.

Organ poudarja, da upoštevanje kodeksa ravnanja odgovorne osebe ne odvezuje od obveznosti spremljanja dejavnosti svojih podizvajalcev in preverjanja učinkovite uporabe ukrepov za varstvo podatkov v celotni verigi telemarketinga.

Mednarodno

V Kanadi zakon z dne 15. junija predlaga odvzem pooblastil organa za varstvo podatkov (DPA) za spremljanje zasebnega sektorja in ustanovitev enotnega organa, odgovornega za urejanje spletne škode, družbenih omrežij, klepetalnih robotov na osnovi umetne inteligence in varstva zasebnosti v zasebnem sektorju.

V Združenih državah Amerike je junija prenehal veljati 702. člen Zakona o nadzoru tujih obveščevalnih služb (FISA).

Od leta 2008 je ta določba ameriškim obveščevalnim agencijam dovoljevala zbiranje komunikacij tujih državljanov zunaj Združenih držav brez naloga.

Vse več poslancev je več let podaljšanje 702. člena pogojevalo z zahtevo po obveznem mandatu. Končno so pridobili potrebne glasove, da se je njihovo stališče slišalo.

Vendar pa dovoljenja Sodišča za nadzor tujih obveščevalnih služb (FISC), ki so bila marca obnovljena za program iz oddelka 702, ostajajo v veljavi in "se bodo še naprej uporabljala brez sprememb vsaj do 17. marca 2027," je dejal poslanec Jamie Raskin.

Nekateri operaterji so zasebno opozorili, da bodo prenehali sodelovati takoj, ko bo zakon potekel, saj se bojijo pravne odgovornosti, če ne bo obstoječega zakona, ki bi podpiral vladne zahteve.

Obveščevalne agencije in telekomunikacijska podjetja se tako soočajo z negotovostjo glede tega, katere dejavnosti zbiranja podatkov se lahko zakonito nadaljujejo.

Tudi v Združenih državah Amerike je ameriško sodišče dokončno odobrilo sporazumno poravnavo, doseženo s podjetjem 23andMe po kibernetskem napadu leta 2023, ki je prizadel približno 6,4 milijona strank.

Vendar pa ameriškim žrtvam, katerih genetski podatki so bili ogroženi, odškodnina še ni bila izplačana zaradi stečajnega postopka podjetja.

Odškodninski sklad znaša 46,75 milijona dolarjev, vendar bo večina upravičencev prejela le omejeno odškodnino, najvišji zneski pa so rezervirani za žrtve, ki lahko dokažejo znatno škodo.

V četrtek, 16. julija, je bila na Kapitolu v Rimu podpisana «Rimska deklaracija za mir brez orožja in na podlagi razorožitve v dobi umetne inteligence, jedrskega in avtonomnega orožja, novih digitalnih protokolov in nastajajočih vzorcev digitalnega razvoja», ki je zaznamovala vrhunec svetovne skupščine Nobelovih nagrajencev za umetno inteligenco in jedrsko vojskovanje.