AI Act, CRA, prenova CEMAC: en sam akcijski načrt namesto kupa predpisov

Regulativni koledar julija 2026 spominja na strnjen izvleček desetletja. 2. avgusta začne veljati nova faza evropske uredbe o umetni inteligenci: obveznosti preglednosti iz člena 50 (označevanje generirane vsebine, pogovorni sistemi, globoki ponaredki) in pooblastila Komisije za sankcioniranje modelov za splošne namene, z globami do 15 milijonov evrov ali 3 % svetovnega prometa.

Tri tedne prej, 13. julija, je ENISA objavila model samoocenjevanja zrelosti kibernetske odpornosti za MSP-je, usklajen z aktom o kibernetski odpornosti (CRA): pet ocenjevanih področij, od upravljanja do življenjskega cikla izdelka, prenosljivo orodje, razvrstitev v osnovno, srednjo ali napredno raven zrelosti. V Libreville pa je COBAC odprl ponudbe za mednarodni razpis za revizijo svojih organskih aktov in pripravo enotnega bančnega zakona za šest držav CEMAC, ki naj bi nadomestil okvir iz konvencij 1990 in 1992.

Agencija je medtem natančneje opredelila sam mehanizem prijavljanja: list z informacijami in dva vodnika po korakih za svojo enotno platformo, objavljena julija 2026 in posodobljena 31. julija, čeprav platforma še ni odprta. Odprta naj bi bila 11. septembra, isti dan, ko začne veljati obveznost. Praktična posledica za proizvajalca je v enem stavku: račun EU Login, ki omogoča dostop, si je mogoče ustvariti že zdaj, testnega obdobja pa si ni mogoče naročiti.

Trije regulatorji, tri geografska območja, tri teme. Z vidika uprave so to trije novi projekti, ki se dodajo že obstoječim: NIS2, CSRD, EUDR, odvisno od sektorja. Temu vodje skladnosti z vse večjo utrujenostjo pravijo kup predpisov.

Ob vsakem novem aktu je institucionalni refleks vedno enak: poseben projekt, posebej zadolžena oseba, posebna svetovalna hiša, posebna preglednica. Ta refleks ima svojo logiko, saj ima vsak akt svojega regulatorja in svoje sankcije. Predvsem pa ima ceno, ki jo malokatera organizacija izmeri.

Prvi strošek je podvajanje: iste ekipe trikrat odgovarjajo na ista vprašanja, le malo drugače formulirana. Kdo je odgovoren za ta sistem? Kje je popis? Kako upravljate incidente? Vodja informacijske varnosti v industrijskem MSP-ju lahko precejšen del leta porabi za izpolnjevanje vprašalnikov, ki se v dveh tretjinah prekrivajo.

Drugi strošek je neskladnost: trije ločeni projekti proizvedejo tri ločena stanja, ki hitro razidejo. Uprava prejme tri stopnje resnosti, tri proračune, tri koledarje, brez možnosti, da bi jih med seboj uskladila. Tretji strošek pa je strateški: ker organizacija ves čas lovi posamezne roke, nikoli ne zgradi osnove, ki bi ji omogočila lažje obvladovanje naslednjega.

Vendarle preberimo tri julijske signale z očmi praktika. AI Act najprej zahteva popis sistemov umetne inteligence in njihovih rab, jasno upravljanje, dokazljivo dokumentacijo. CRA, kot ga razčlenjuje model ENISA, ocenjuje upravljanje, obvladovanje tveganj, obravnavo ranljivosti, življenjski cikel izdelkov, usposobljenost. Prihodnji bonitetni okvir CEMAC bo tako kot vsi baselski okviri zahteval upravljanje tveganj, dokumentirane postopke, dokazljiv notranji nadzor.

Z drugimi besedami: pod različnim besednjakom se velik del zahtev prekriva. Vedeti, kaj upravljate (popis sistemov, izdelkov, procesov). Vedeti, kdo odloča (upravljanje, odgovornosti). Vedeti, kaj lahko gre narobe (obvladovanje tveganj). Znati se odzvati (incidenti, ranljivosti, neprekinjeno poslovanje). Znati to dokazati (dokumentacija, sledljivost). Pet temeljnih zmožnosti, ki jih nato vsak akt razčleni na svojem področju.

Prav zato, ker je ta osnova skupna, je obravnava v silosih potrata: vsak ločen projekt na svoje stroške znova gradi popis, zemljevid tveganj in upravljanje, ki ga je sosednji projekt pravkar že plačal.

Rešitev ni združiti skladnosti v en sam dosje, kar bi regulatorji tako ali tako preprečili. Rešitev je ločiti dve stvari, ki ju refleks silosov zamenjuje: osnovo, ki se izmeri enkrat, in regulativne poglede, ki se razčlenijo po posameznih aktih.

Konkretno: en sam diagnostični pregled zrelosti oceni temeljne zmožnosti, popis, upravljanje, tveganja, incidente, dokumentacijo. Vsako ocenjeno merilo je povezano z akti, ki jim služi: določen kontrolni ukrep popisa napaja hkrati AI Act in CRA; določena zahteva glede upravljanja tveganj služi CRA in prihodnjemu okviru CEMAC. Meritev tako razkrije, kar silosi skrivajo: prekrivanja, torej posamezna dejanja, ki hkrati izboljšajo dve ali tri skladnosti.

To je načelo navzkrižnih presoj: namesto kopičenja ocenjevanj jih povežemo med seboj. Organizacija, ki se meri po treh referenčnih okvirih s skupno osnovo, skoraj vedno ugotovi, da njen pravi zaostanek tiči v peščici medsektorskih zmožnosti, ne v tristotih posameznih zahtevah.

Ostane še razvrstitev akcijskega načrta. Zadostujeta dve merili, če ju povežemo. Najprej rok: 2. avgust 2026 je mimo ali neposredno pred vrati, odvisno od branja, glavne obveznosti CRA prihajajo konec leta 2027, prihodnji akt CEMAC bo sledil svojemu postopku sprejetja. Nato učinek: dejanje, ki služi trem aktom, je pri enakem naporu vredno trikrat toliko kot dejanje, ki služi le enemu.

Povezava teh dveh meril da naraven vrstni red. Na vrhu so temeljne zmožnosti z visokim učinkom: popis sistemov umetne inteligence in programskih izdelkov, upravljanje tveganj, mehanizem za obravnavo incidentov. Sledijo specifične vrzeli glede na posamezen rok: označevanje preglednosti po členu 50 za umetno inteligenco, zahteve glede izdelkov iz CRA, bonitetne prilagoditve, ko bo akt CEMAC objavljen. Na koncu je tisto, kar lahko počaka brez tveganja, dokumentirano kot tako.

Ta vrstni red ima politično vrednost prav toliko kot tehnično: upravi omogoči eno samo proračunsko odločitev, eno samo pot, namesto treh tekmujočih zahtevkov, od katerih vsak trdi, da je prednostna.

Tako voden kup predpisov spremeni svojo naravo. Diagnoza osnove postane ponovno uporaben vir: ko bo prišel naslednji akt, in prišel bo, organizacija ne bo začela znova od začetka, ampak bo izmerila vrzel. Predstavitve rezultatov se iz istih podatkov razčlenijo po posameznem sogovorniku: pogled AI Act za pristojnega regulatorja, pogled CRA za kupce, ki ga bodo zahtevali, bonitetni pogled za nadzornika, zbirni pogled za upravni odbor.

Ponovljeno merjenje skozi čas spremeni skladnost v pot: ne reče se več »smo skladni«, kar je trditev, ki je ni mogoče preveriti in hitro zastara, ampak »to je naša raven zrelosti, njen napredek in naš načrt«, torej datirana in dokazljiva predstavitev.

Regulativni kup je realnost, ki se ne bo upočasnila; razdrobljenost odgovorov pa je izbira. Organizacije, ki izberejo nasprotno pot, izmerjeno osnovo, poglede po posameznih aktih, en sam prioritiziran načrt, niso deležne manj predpisov kot druge. Le bolje in ceneje jih obvladujejo.