Usklađenost sa EU Aktom o veštačkoj inteligenciji: tehnička dokumentacija, logovanje, nadzor i upravljanje podacima

Gotovo sve što je napisano o EU Aktu o veštačkoj inteligenciji tiče se opsega: u koji nivo rizika spadate, da li ste pružalac ili subjekt koji sistem primenjuje, da li vas hvata Aneks III. Na to odgovaraju vaši pravni savetnici.

Ono o čemu skoro niko ne govori jeste šta sledi posle tog odgovora. Ako je vaš sistem visokorizičan, propis traži sistem upravljanja rizikom koji radi kroz ceo životni ciklus, upravljanje podacima koje možete da dokažete, automatsko logovanje sa definisanim rokom čuvanja, tehničku dokumentaciju u propisanoj strukturi, ljudski nadzor koji je projektovan a ne samo izjavljen, i praćenje posle stavljanja na tržište koje zaista nešto prikuplja. To su inženjerske isporuke. Taj deo mi gradimo.

Gde stoje rokovi

Akt o veštačkoj inteligenciji (Uredba (EU) 2024/1689) stupio je na snagu u avgustu 2024. i primenjuje se u fazama. Raspored faza promenjen je 2026, i vredi biti precizan, jer je ta promena pomerila i novac i pažnju.

• 2. februar 2025: počela je primena zabranjenih praksi i obaveza u vezi sa AI pismenošću.
• 2. avgust 2025: počela je primena obaveza za modele veštačke inteligencije opšte namene.
• 2. avgust 2026: počela je primena obaveza transparentnosti iz člana 50: obaveštavanje korisnika da komunicira sa AI sistemom, označavanje sintetičkog sadržaja, obaveštavanje o prepoznavanju emocija i biometrijskoj kategorizaciji, i označavanje deep fake sadržaja.
• 2. decembar 2027: obaveze za visokorizične samostalne sisteme, nakon Digital Omnibusa. Savet i Parlament su odlaganje dogovorili u maju 2026, a konačna potvrda usledila je u junu 2026.
• 2. avgust 2028: obaveze za visokorizične AI sisteme ugrađene u regulisane proizvode.

Ako ste pružalac visokorizičnog sistema, odlaganje vam je kupilo otprilike šesnaest meseci. Nije smanjilo obim posla i nije pomerilo dve obaveze koje su već na snazi: transparentnost po članu 50 i AI pismenost zaposlenih koji te sisteme koriste.

Šta gradimo

Tehnička dokumentacija kao artefakt koji nastaje iz pipeline-a

Aneks IV propisuje šta tehnička dokumentacija mora da sadrži: opis sistema, projektne odluke, arhitekturu, zahteve u pogledu podataka, metodologiju obuke gde je primenjiva, postupke validacije i testiranja, metrike, mere upravljanja rizikom i izmene tokom životnog ciklusa.

Pisan ručno, takav dokument zastari nedelju dana pošto je potpisan. Mi ga gradimo kao nešto što vaš pipeline proizvodi: model karte i data sheet-ove generisane iz stvarnih obuka i evaluacija, opise arhitekture i toka podataka koji se održavaju uz kod, rezultate evaluacije zakačene za verziju koju opisuju, i istoriju izmena koja dolazi iz sistema za verzionisanje, a ne iz nečijeg sećanja. Dokument postaje izlaz build procesa.

Automatsko logovanje po članu 12

Visokorizični sistemi moraju automatski da beleže događaje tokom svog veka, na nivou koji omogućava praćenje rada i nadzor posle stavljanja na tržište, sa rokom čuvanja primerenim svrsi, a u pojedinim slučajevima najmanje šest meseci.

U praksi to znači odlučiti šta je „događaj" za vaš sistem, zabeležiti ulaze, izlaze, verziju modela, put donošenja odluke i identitet uključenog čoveka, i sve to čuvati u obliku koji se može pretraživati godinama kasnije, a da se pritom ne gomilaju lični podaci za koje nemate osnov. Ta zategnutost, logovati dovoljno za Akt o veštačkoj inteligenciji i zadržati dovoljno malo za GDPR, jeste stvarni projektantski problem, i njega izričito rešavamo zajedno sa vašim ljudima za zaštitu podataka.

Upravljanje podacima po članu 10

Skupovi podataka za obuku, validaciju i testiranje moraju biti relevantni, dovoljno reprezentativni i, u meri u kojoj je to moguće, bez grešaka i potpuni, uz proveru pristrasnosti. Da bi se to ispunilo, potrebno je poreklo podataka koje možete da pokažete, dokumentovana provenijencija, metodologija procene pristrasnosti sa rezultatima i sposobnost da reprodukujete koji podaci su dali koju verziju modela.

Gradimo pipeline koji te tvrdnje čini proverljivim umesto deklarativnim: verzionisani skupovi podataka, ponovljive podele, automatske provere kvaliteta podataka i evaluacija pristrasnosti po karakteristikama koje su relevantne za vašu primenu.

Ljudski nadzor, izgrađen a ne deklarisan

Član 14 traži da visokorizični sistemi budu projektovani tako da čovek može da razume izlaz, ostane svestan automatizacijske pristrasnosti, ispravno protumači rezultat, odluči da ga ne koristi i da interveniše ili zaustavi sistem.

To je specifikacija korisničkog interfejsa. Nadzor ugrađujemo u proizvod: pouzdanost i nesigurnost prikazane pošteno, faktori koji stoje iza izlaza učinjeni vidljivim, poništavanje odluke koje je jednako lako kao prihvatanje, kontrola za zaustavljanje koja stvarno radi, i logovanje svakog poništavanja, da bi nadzor posle stavljanja na tržište imao iz čega da uči.

Praćenje posle stavljanja na tržište i prijava incidenata

Plan praćenja je obavezan, kao i prijavljivanje ozbiljnih incidenata nadležnom organu. Gradimo telemetriju koja to hrani: praćenje performansi u odnosu na metrike iz vaše dokumentacije, detekciju drifta na ulazima i izlazima, kanal za probleme koje prijave korisnici a koji zaista stiže do inženjeringa, i tok obrade incidenata sa ugrađenim rokovima, umesto da se ti rokovi otkrivaju tokom prvog incidenta.

Obaveze transparentnosti po članu 50

Već na snazi. Obaveštavanje da korisnik komunicira sa AI sistemom, mašinski čitljivo označavanje sintetičkog audio, slikovnog, video i tekstualnog sadržaja, označavanje deep fake sadržaja i obaveštavanje kod prepoznavanja emocija. Implementiramo površine za obaveštavanje i označavanje porekla sadržaja (C2PA content credentials tamo gde je to pravi mehanizam), i pravimo ih tako da prežive izvoz i ponovno kodiranje, koji ih inače obično obrišu.

Podrška registraciji i oceni usaglašenosti

Visokorizični sistemi iz oblasti Aneksa III moraju biti registrovani u bazi podataka EU pre stavljanja na tržište, a pružaoci moraju da sprovedu ocenu usaglašenosti. Pripremamo tehničke ulaze (dokumentaciju, paket dokaza, artefakte sistema upravljanja kvalitetom na inženjerskoj strani), i radimo uz vaše prijavljeno telo ili interni postupak ocene.

Šta ovo nije

Ne pružamo pravne savete i ne govorimo vam u koji nivo rizika spada vaš sistem. To je pravna odluka sa stvarnim posledicama i pripada advokatu ili kvalifikovanom savetniku za usklađenost.

Ne prodajemo ni platformu za AI governance. Takvih ima mnogo, i ako vam treba registar AI sistema i tok odobravanja politika, neka od njih će vas poslužiti bolje nego mi. Mi radimo inženjering unutar samih sistema.

Kome je ovo namenjeno

Pružaocima visokorizičnih AI sistema iz Aneksa III (zapošljavanje i upravljanje radnicima, kreditni skoring, određivanje cene osiguranja, ocenjivanje u obrazovanju, pristup osnovnim uslugama, biometrijski sistemi), koji sada imaju rok do decembra 2027. i mnogo toga da izgrade.

Proizvođačima koji ugrađuju AI u regulisane proizvode (medicinska sredstva, mašine, vozila), gde Akt o veštačkoj inteligenciji dolazi povrh postojećeg režima ocene usaglašenosti, pa dva seta dokumentacije moraju da se slažu.

Firmama koje primenjuju visokorizične sisteme kupljene od nekog drugog, jer i one nose svoje obaveze: ljudski nadzor, relevantnost ulaznih podataka, praćenje i čuvanje logova.

Svima koji generativne funkcije isporučuju korisnicima u EU, gde transparentnost po članu 50 važi već danas, bez obzira na nivo rizika.

Kako teče saradnja

Tehnička gap procena, dve do četiri nedelje. Uzimamo klasifikaciju do koje je došao vaš pravni tim i procenjujemo vaše sisteme prema inženjerskim obavezama koje iz nje slede. Isporuka je registar odstupanja (obaveza, trenutno stanje, šta treba izgraditi, procena rada) iz koga mogu da rade i vaši ljudi za usklađenost i vaši inženjeri.

Izrada, u fazama, obično počev od logovanja i generisanja dokumentacije, jer sve ostalo proizvodi dokaze koji negde moraju da se slegnu.

Pregled spremnosti pred ocenu usaglašenosti, sa sastavljenim paketom dokaza i pošteno imenovanim odstupanjima koja su ostala.

Standardi i okviri

Uredba (EU) 2024/1689 sa aneksima III i IV; harmonizovani standardi koji nastaju u okviru CEN/CENELEC JTC 21; ISO/IEC 42001 za sisteme upravljanja veštačkom inteligencijom i ISO/IEC 23894 za upravljanje AI rizikom; NIST AI Risk Management Framework tamo gde je potrebno usklađivanje sa američkom matičnom kompanijom; i GDPR, koji nigde ne odlazi i koji ograničava većinu odluka o logovanju.

Česta pitanja

Da li je Akt o veštačkoj inteligenciji odložen?

Delimično. Digital Omnibus je obaveze za visokorizične sisteme odložio na 2. decembar 2027. za samostalne sisteme i 2. avgust 2028. za AI ugrađenu u regulisane proizvode. Zabranjene prakse, AI pismenost, obaveze za modele opšte namene i pravila transparentnosti iz člana 50 nisu odloženi i na snazi su.

Mi samo koristimo AI sisteme koje je napravio neko drugi. Imamo li obaveze?

Da, kao subjekt koji sistem primenjuje. Tu spadaju korišćenje sistema u skladu sa uputstvom, dodeljivanje ljudskog nadzora osobama koje imaju stručnost i ovlašćenje da ga sprovode, obezbeđivanje da su ulazni podaci relevantni za predviđenu namenu, praćenje rada i čuvanje logova. Lakše od obaveza pružaoca, ali stvarno, a treba znati i da vas suštinska izmena sistema ili stavljanje sopstvenog imena na njega može učiniti pružaocem.

Naš sistem nije visokorizičan. Ima li ipak šta da se radi?

Verovatno dve stvari. Transparentnost po članu 50 važi za određene sisteme bez obzira na nivo rizika, uključujući chatbotove i generisanje sintetičkog sadržaja. AI pismenost po članu 4 važi za pružaoce i za one koji sisteme primenjuju uopšte. Pored toga, sposobnost da dokažete kako ste došli do klasifikacije vredi imati ako regulator ikada pita.

Može li tehnička dokumentacija zaista da se generiše?

Najveći deo, da. Arhitektura, opisi skupova podataka, rezultati evaluacije, metrike, verzije modela i istorija izmena već postoje u vašim sistemima; posao je da se uhvate u stabilnoj strukturi u trenutku build-a. Delovi koji su zaista tekstualni (predviđena namena, analiza rizika, obrazloženje projektnih odluka) pišu ljudi, a zatim se drže u istom repozitorijumu, da se verzionišu zajedno sa svim ostalim.

Kako se Akt o veštačkoj inteligenciji odnosi prema GDPR-u?

Preklapaju se i ponekad vuku na suprotne strane, posebno oko logovanja. Akt traži sledljivost; GDPR traži minimizaciju i brisanje. Rešenje je obično pseudonimizacija, pažljivo određivanje šta se loguje i definisan rok čuvanja vezan za dokumentovanu svrhu. To je projektantska odluka, doneta jednom i namerno.

Da li korišćenje tuđeg modela od nas pravi pružaoca tog modela?

Ne, ali izgradnja AI sistema nad tim modelom može od vas napraviti pružaoca tog sistema, sa obavezama koje uz to idu. Gde tačno pada granica zavisi od toga šta gradite i kako to predstavljate, što je pravno pitanje, ali inženjerska posledica je da treba da računate na to da će vam trebati dokumentacija sopstvenog sistema u svakom slučaju.

Kako da počnete

Recite nam šta vaši sistemi rade i do čega su vaši pravni savetnici došli u pogledu klasifikacije. Procenićemo šta obaveze znače u kodu i dati vam registar odstupanja sa procenom rada uz svaku stavku.

Kontaktirajte nas da zakažete tehničku gap procenu po Aktu o veštačkoj inteligenciji.

Povezane usluge

• Razvoj AI agenata i MCP integracija: izgradnja sistema koje ovaj režim uređuje
• Razvoj za Ulazak na EU Tržište: širi skup EU digitalnih obaveza
• Otklanjanje grešaka u pristupačnosti veba: druga EU obaveza koja se ispostavi kao inženjerski projekat