AI Act: odlog za visoko tvegane sisteme ni oddih

V izvirnem koledarju AI Act naj bi 2. avgust 2026 pomenil začetek uporabe večine obveznosti za visoko tvegane sisteme: dokumentirano obvladovanje tveganj, upravljanje učnih podatkov, tehnična dokumentacija, nadzor s strani človeka, vpis v evropsko bazo podatkov. Sankcije bi lahko dosegle do 15 milijonov evrov ali 3 % svetovnega prometa.

Nato je sveženj poenostavitev Digital Omnibus iz politične dogovorjenosti prešel v veljavno pravo: Uredba (EU) 2026/1744, objavljena v Uradnem listu 24. julija in veljavna od 27. julija 2026, te obveznosti za sisteme iz Priloge III prestavlja na 2. december 2027, za visoko tvegane sisteme, vgrajene v regulirane proizvode, pa na avgust 2028.

Nedavna regulativna zgodovina je to že odigrala. GDPR je med sprejetjem in začetkom uporabe pustil dve leti; del organizacij je ta čas izkoristil za vzpostavitev sistema, drugi so ga samo opazovali. Maja 2018 so bili prvi pripravljeni, drugi so improvizirali pod časovnim pritiskom, nekateri improvizirajo še danes.

Regulativni odlog nikoli ni pridobljen čas, temveč dodeljen čas. Vprašanje ni »kdaj bo rok«, temveč »kaj mora biti do takrat zgrajeno«, saj se vsebina obveznosti ne spreminja: popis sistemov, opredelitev tveganj, upravljanje, dokumentacija, dokazi.

Priloga III zajema rabe, ki jih številne organizacije izvajajo, ne da bi se tega zavedale: izbor kandidatov in kadrovske odločitve, kreditno ocenjevanje, dostop do izobraževanja, biometrijo, upravljanje kritične infrastrukture, bistvene javne storitve. Obveznosti pa ne bremenijo zgolj ponudnikov teh sistemov: uvajalci, torej organizacije, ki jih uporabljajo, imajo svoje obveznosti, od nadzora s strani človeka do spremljanja delovanja.

Mnoga podjetja so tako uvajalci visoko tveganih sistemov, ne da bi to vedela, prek kadrovskega orodja ali modula za ocenjevanje, kupljenega kot standardna rešitev. Prvo vprašanje ni pravno, temveč dejansko: kateri sistemi, kupljeni ali razviti, pri nas dejansko delujejo in za katere namene?

Razprava o odlogu ne sme zakriti bistvenega: del uredbe že velja. Prepovedane prakse, od socialnega točkovanja do nekaterih biometričnih identifikacij, veljajo že od februarja 2025. Obveznosti preglednosti za modele za splošne namene veljajo od avgusta 2025. Zahteva po pismenosti na področju umetne inteligence za zaposlene pa že zadeva vsakega delodajalca, ki te sisteme uvaja. Kar zadeva preglednost po členu 50, ki velja od 2. avgusta 2026, je Komisija 20. julija sprejela končne smernice: pogovorni sistemi se morajo razkriti že ob prvi interakciji, generirana vsebina mora biti označena v strojno berljivi obliki, brez retroaktivnosti za predhodno vsebino.

Povedano drugače, obravnavani odlog zadeva le sklop visoko tveganih sistemov; temeljna ureditev pa velja. Organizacija, ki čaka na »razjasnitev koledarja«, preden začne ukrepati, je že v zamudi z delom besedila, ki je stabiliziran.

Smiselni pristop se torej ne spremeni niti za dan: popisati rabo umetne inteligence, vključno s tisto, ki vstopa prek orodij s trga; izmeriti zrelost svojega upravljanja na podlagi strukturiranega referenčnega okvira; in vrzeli pretvoriti v datiran akcijski načrt, usklajen s koledarjem, ki bo na koncu sprejet. Tisti, ki merijo že danes, bodo izbrali svoj ritem; tisti, ki čakajo na končno besedilo, bodo prevzeli tujega.

Naš katalog vsebuje 19 referenčnih okvirov za podatke in umetno inteligenco, ki podpirajo to pot, od okvira upravljanja do specifičnih regulativnih zahtev. Koledar se bo morda še premaknil; vaše izhodiščno stanje pa je mogoče poznati že zdaj.