ISO standardi za veštačku inteligenciju: šta ISO/IEC 42001, 27001 i EU AI Act znače za firme u Srbiji i regionu

2

Ključne poruke (Key takeaways) – šta kompanije treba odmah da znaju

Ako celu temu treba svesti na najvažnije činjenice, one glase:

• ISO/IEC 42001:2023 je prvi međunarodni standard za sistem upravljanja veštačkom inteligencijom u organizaciji (Artificial Intelligence Management System – AIMS). Namenjen je podjednako kompanijama koje razvijaju AI rešenja i onima koje ih primenjuju u poslovanju.

• U Srbiji je već usvojen kao SRPS ISO/IEC 42001:2025, u potpunosti identičan međunarodnom standardu ISO/IEC 42001:2023.

• ISO/IEC 27001:2022 nije primarno AI standard, već standard za sistem upravljanja informacionom bezbednošću (Information Security Management System – ISMS). Ipak, on je nezaobilazan jer ozbiljno upravljanje veštačkom inteligencijom (AI governance) bez kontrole pristupa, zaštite podataka, upravljanja dobavljačima, kontrole cloud servisa i evidencije incidenata u praksi nije izvodljivo.

• ISO/IEC 23894:2023 pruža smernice za upravljanje rizicima u vezi sa veštačkom inteligencijom (AI Risk Management), dok ISO/IEC 42005:2025 postavlja metodološki okvir za procenu uticaja AI sistema (AI System Impact Assessment) na pojedince, društvene grupe i društvo u celini.

• ISO/IEC 38507:2022 bavi se korporativnim upravljanjem (governance) i odgovornošću upravljačkih struktura preduzeća za primenu veštačke inteligencije.

• ISO/IEC 27701:2025 predstavlja standard za upravljanje informacijama o privatnosti (Privacy Information Management System – PIMS) i direktno je relevantan za sve kompanije koje putem AI modela obrađuju lične podatke.

• ISO 9001:2026 ostaje temeljni standard za sisteme upravljanja kvalitetom (Quality Management System – QMS) i pruža izvrsnu osnovu za integraciju sa sistemima upravljanja veštačkom inteligencijom.

• EN 18286:2026 je prvi evropski harmonizovani standard kreiran kao podrška EU AI Act-u. Njegova referenca objavljena je u Službenom listu Evropske unije (Official Journal of the EU) u oktobru 2026. godine, čime obezbeđuje pretpostavku usklađenosti sa zahtevima člana 17 AI Act-a koji se odnose na sistem upravljanja kvalitetom za visokorizične (high-risk) AI sisteme u delu koji standard pokriva.

• Posedovanje ISO sertifikata samo po sebi ne garantuje automatsku usklađenost sa EU AI Act-om, jer tehnički standardi i zakonski akti imaju različite pravne uloge i funkcije.

• EU AI Act se direktno može odnositi na preduzeća iz Srbije, Bosne i Hercegovine, Crne Gore, Severne Makedonije ili Albanije ukoliko ona plasiraju AI sistem na tržište Evropske unije ili ako se rezultati (output) njihovog AI sistema koriste unutar EU.

• Preduzeće koje koristi ChatGPT isključivo za potrebe marketinga nema identičan obim obaveza kao kompanija koja razvija visokorizične AI modele za regrutaciju kadrova, medicinsku dijagnostiku ili upravljanje kritičnom infrastrukturom.

• Standardizacija nije isključivo regulatorno pitanje. Ona sve brže prerasta u prodajni uslov: korporativni klijenti, bankarski sektor, enterprise sistemi, javni tenderi i strani partneri traže proverljiv dokaz da dobavljač poseduje standardizovane procese za bezbednost, privatnost i upravljanje veštačkom inteligencijom.

• U Joombooz-u, kao kompaniji koja sarađuje sa domaćim i stranim klijentima (uključujući tržište Evropske unije), upravo iz ovih razloga radimo na uspostavljanju odgovarajućih sistema upravljanja i pripremi za sertifikaciju prema standardima za koje postoji sertifikaciona šema, uz doslednu primenu pratećih standarda za bezbednost, privatnost, rizik i upravljanje.

Najvažnija poruka ne glasi „sakupite što više sertifikata“. Poruka je znatno konkretnija: preduzeće mora tačno da zna koje AI sisteme koristi, sa kojom svrhom, koje im podatke poverava, kakve rizike time stvara, ko snosi odgovornost i kako pred klijentom ili revizorom može dokazati da nad tim procesima ima punu kontrolu. ISO standardi omogućavaju da odgovori na ova pitanja prestanu da zavise od improvizacije i dobre volje pojedinaca.

Zašto se odjednom toliko govori o ISO standardima za veštačku inteligenciju?

Glavni razlog leži u tome što je veštačka inteligencija iz faze sporadičnog eksperimenta prešla direktno u kritičnu poslovnu infrastrukturu.

Pre samo nekoliko godina zaposleni je samoinicijativno otvarao ChatGPT kako bi formulisao imejl ili skratio tekst. Danas su AI modeli duboko integrisani u:

• CRM platforme,

• HR sisteme i regrutaciju,

• korisničku podršku (customer support i chatbot rešenja),

• ERP sisteme,

• marketinšku automatizaciju,

• razvoj i kontrolu programskog koda,

• finansijske analize i procene kreditne sposobnosti,

• analizu i procenu rizika,

• automatsku obradu i klasifikaciju poslovne dokumentacije.

Sa takvim stepenom integracije menja se i karakter odgovornosti. Ukoliko zaposleni u javni AI servis unese bazu klijenata, interni finansijski izveštaj ili poverljivi ugovor, više se ne postavlja pitanje „da li je model ponudio dobar odgovor“. Reč je o direktnom ugrožavanju informacione bezbednosti, kršenju propisa o zaštiti privatnosti, nepoštovanju ugovorne poverljivosti (NDA), regulatornim prekršajima i potencijalno trajnom narušavanju poslovnog ugleda. AI governance zato postaje nezaobilazna disciplina modernog poslovanja.

ISO/IEC 42001 – centralni standard za upravljanje veštačkom inteligencijom

ISO/IEC 42001:2023 predstavlja temeljni međunarodni standard kada je reč o sistemskom upravljanju veštačkom inteligencijom na nivou organizacije.

Međunarodna organizacija za standardizaciju (ISO) definiše ga kao standard koji postavlja zahteve za uspostavljanje, primenu, održavanje i stalno unapređivanje sistema upravljanja veštačkom inteligencijom (AIMS). Namenjen je podjednako subjektima koji razvijaju AI proizvode i organizacijama koje AI rešenja primenjuju u svom radu.

Važno je istaći: ne morate biti OpenAI niti samostalno razvijati velike jezičke modele (LLM) da bi vam ovaj standard bio potreban. ISO/IEC 42001 je podjednako namenjen kompanijama koje:

• primenjuju AI alate za automatizaciju internih procesa,

• implementiraju softverska AI rešenja trećih strana,

• integrišu eksterne modele u sopstvene proizvode i usluge,

• razvijaju komunikacione botove za potrebe klijenata,

• koriste analitičke AI modele u procesu donošenja poslovnih odluka.

Standard sistemski rešava ključna organizaciona pitanja:

• Ko u kompaniji upravlja procesima veštačke inteligencije (AI governance)?

• Kroz kakvu proceduru se odobrava uvođenje novog AI alata?

• Na koji način se identifikuju i mere rizici?

• Koji podaci se smeju unositi u AI sisteme?

• Kako se prate performanse i pouzdanost modela u produkciji?

• Koji se koraci preduzimaju ako AI ponudi netačan ili diskriminatoran rezultat?

• Kako se evidentiraju i rešavaju bezbednosni incidenti?

• Kako se vrši procena pouzdanosti AI dobavljača?

• Na koji način se obezbeđuje i dokazuje ljudski nadzor (Human-in-the-Loop)?

Ova pitanja odavno nisu samo u nadležnosti IT odeljenja – ona čine sastavni deo celokupnog sistema upravljanja kompanijom.

Šta ISO/IEC 42001 konkretno uvodi u firmu?

Uvođenjem ovog standarda kompanija prelazi sa improvizovanih rešenja na formalno definisane procedure. To u praksi obuhvata:

• AI politiku (AI Policy): jasan interni pravilnik o prihvatljivom i zabranjenom korišćenju AI servisa;

• Registar AI sistema (AI Inventory): popis svih AI modela, servisa i alata koji se koriste u firmi;

• Jasno definisane uloge i odgovornosti: imenovanje lica zaduženih za odobravanje, kontrolu i reviziju;

• Metodologiju procene rizika: definisanje pragova prihvatljivog rizika za svaki use-case;

• Kontrolu životnog ciklusa sistema: od planiranja i nabavke, preko testiranja, do primene i povlačenja;

• Upravljanje podacima: definisanje porekla, kvaliteta i dozvoljenog nivoa obrade podataka;

• Upravljanje dobavljačima: bezbednosna i regulatorna procena spoljnih AI vendora;

• Praćenje i merenje (monitoring): stalni nadzor nad radom i tačnošću sistema;

• Upravljanje incidentima: definisan put eskalacije u slučaju greške, curenja podataka ili pristrasnosti;

• Internu proveru (internal audit): redovnu proveru usklađenosti procesa sa definisanim pravilima;

• Preispitivanje od strane rukovodstva (management review): formalnu evaluaciju efikasnosti sistema od strane uprave;

• Kontinuirano unapređivanje: otklanjanje uočenih nedostataka i prilagođavanje novim okolnostima.

Time veštačka inteligencija prestaje da bude neformalni alat koji svaki zaposleni koristi prema sopstvenom nahođenju i postaje formalno kontrolisan resurs organizacije.

Da li ISO/IEC 42001 može da se sertifikuje?

Da. Organizacija može angažovati nezavisno sertifikaciono telo koje će sprovesti eksternu proveru (audit) i izdati sertifikat koji potvrđuje da je njen AIMS usklađen sa svim zahtevima standarda.

Važno je podsetiti na osnovno pravilo: sam ISO ne vrši sertifikaciju preduzeća. Sertifikaciju sprovode nezavisna sertifikaciona tela (certification bodies), a verodostojnost njihovog rada garantuje akreditacija dobijena od nadležnih nacionalnih ili međunarodnih akreditacionih tela.

Ova razlika je ključna u poslovnoj komunikaciji. Nije dovoljno navesti opštu marketinšku tvrdnju „ISO certified“. Klijent i revizor uvek proveravaju:

• koji je standard u pitanju,

• koji je tačan opseg (scope) sertifikacije,

• koje sertifikaciono telo je izvršilo proveru,

• koje akreditaciono telo garantuje validnost sertifikata.

ISO/IEC 42006 – ko ima ovlašćenje da proverava ISO/IEC 42001?

Standard koji se često zanemaruje u široj javnosti jeste ISO/IEC 42006:2025. On propisuje specifične zahteve za tela koja obavljaju audit i sertifikaciju sistema upravljanja veštačkom inteligencijom prema standardu ISO/IEC 42001.

Za preduzeće koje se bavi razvojem softvera ili pružanjem digitalnih usluga, ovo nije standard koji interno implementira u svoje procese. Njegovi primarni korisnici su:

• sertifikaciona tela,

• auditori koji vode proveru,

• akreditaciona tela koja kontrolišu rad sertifikacionih kuća.

Za naručioca usluga ovaj standard ima veliku indirektnu vrednost. Kako na tržištu raste broj preduzeća koja žele da istaknu „AI ISO“ znak na prezentacijama, standard ISO/IEC 42006 predstavlja filter koji garantuje da provera nije bila formalna, već da ju je sprovelo stručno i kompetentno telo.

ISO/IEC 27001 – zašto upravljanje AI-jem bez informacione bezbednosti nema uporište

Standard ISO/IEC 27001:2022 predstavlja globalno prihvaćen okvir za uspostavljanje sistema upravljanja informacionom bezbednošću (ISMS). Njegova svrha je prepoznavanje, procena i sistematsko smanjenje bezbednosnih rizika koji prete informacijama.

Povezanost ovog standarda sa veštačkom inteligencijom je direktna. Savremeni AI sistem po svojoj prirodi zahteva pristup:

• internim poslovnim dokumentima,

• bazama podataka o klijentima i partnerima,

• izvornom kodu aplikacija (source code),

• bezbednosnim API ključevima i tokenima,

• cloud infrastrukturi i bazama znanja,

• finansijskim transakcijama i izveštajima,

• poverljivim ličnim podacima zaposlenih.

Zbog toga sama deklarativna primena „AI politike“ nema praktičnu vrednost ako u pozadini ne postoje čvrsti temelji informacione bezbednosti:

• definisana prava pristupa (Access Control),

• pouzdana autentifikacija i autorizacija,

• kontrola tokova i lokacije čuvanja podataka,

• definisani rokovi zadržavanja informacija (retention policies),

• procena bezbednosti spoljnih pružalaca cloud usluga,

• plan reagovanja na bezbednosne incidente (Incident Response).

Bez rešenih bezbednosnih osnova, svaki sistem upravljanja veštačkom inteligencijom ostaje izložen ozbiljnim propustima.

Zašto je za IT kompanije i digitalne agencije kombinacija 27001 + 42001 logičan izbor?

Najjednostavnije rečeno:

• ISO/IEC 27001 postavlja pitanje: da li bezbedno i pouzdano čuvate i obrađujete informacije?

• ISO/IEC 42001 postavlja pitanje: da li odgovorno, transparentno i kontrolisano upravljate AI sistemima?

Iako se pojedine oblasti preklapaju, reč je o dva različita fokusna polja. Preduzeće može imati savršeno uređen sistem informacione bezbednosti, a da pritom uopšte nema kontrolu nad time kako njeni zaposleni koriste AI alate ili kakvu pristrasnost generiše njihov algoritam. Važi i obrnuto.

Za preduzeća koja pružaju usluge:

• razvoja softvera po meri,

• AI konsaltinga i implementacije,

• poslovne i marketinške automatizacije,

• razvoja i održavanja digitalnih platformi,

• napredne analitike i obrade podataka klijenata,

integracija standarda ISO/IEC 27001 i ISO/IEC 42001 pruža najviši nivo profesionalne sigurnosti i kredibiliteta pred klijentima.

ISO/IEC 23894 – upravljanje rizicima u sistemima veštačke inteligencije

Rizici povezani sa veštačkom inteligencijom nisu uniformni. AI model koji kreira predloge naslova za marketinšku objavu ne nosi isti nivo odgovornosti kao sistem koji:

• automatski boduje i filtrira kandidate za zaposlenje,

• donosi odluke o odobravanju bankarskih kredita,

• analizira osetljive medicinske nalaze pacijenata,

• upravlja industrijskim postrojenjima ili energetskom mrežom.

Standard ISO/IEC 23894:2023 donosi smernice za integraciju upravljanja specifičnim AI rizicima u opšte procese organizacije. To obuhvata strukturiranu procenu:

• verovatnoće pojave grešaka i halucinacija u modelima,

• materijalnih i pravnih posledica netačnog rezultata,

• sistemske pristrasnosti i diskriminacije (bias),

• otpornosti i stabilnosti modela pod opterećenjem (robustness),

• ranjivosti na sajber-napade i manipulaciju podacima (prompt injection, data poisoning),

• rizika od zloupotrebe i neovlašćenog korišćenja,

• direktnog i indirektnog uticaja na prava pojedinaca.

Ovaj standard služi kao metodološki vodič koji popunjava zahteve za procenu rizika propisane standardom ISO/IEC 42001.

ISO/IEC 42005 – procena uticaja, a ne samo tehničkog rizika

Standard ISO/IEC 42005:2025 ide korak dalje od klasične analize tehničkih kvarova. Njegov primarni fokus je procena uticaja AI sistema (AI System Impact Assessment).

Fokus ovog standarda nije samo pitanje da li sistem tehnički radi bez prekida, već:

• kakve posledice rad ovog algoritma ostavlja na ljude, marginalizovane grupe i društveno okruženje?

Standard propisuje procenu uticaja kroz sve faze životnog ciklusa sistema – od početnog planiranja i dizajna, preko obuke i testiranja, do primene u produkciji i post-market monitoringa.

Ova metodologija je posebno značajna za sisteme koji utiču na:

• zapošljavanje i napredovanje u karijeri,

• pristup obrazovanju i ocenjivanje,

• finansijske i osiguravajuće usluge,

• pristup javnim uslugama i socijalnim davanjima,

• pravosudne i administrativne odluke,

• biometrijsku identifikaciju i kategorizaciju lica.

AI sistem može biti potpuno stabilan sa inženjerske tačke gledišta, ali istovremeno duboko nepravedan ili društveno štetan. Upravo taj sloj odgovornosti reguliše ISO/IEC 42005.

ISO/IEC 38507 – pitanje za upravni odbor, a ne samo za IT sektor

Standard ISO/IEC 38507:2022 bavi se implikacijama korišćenja veštačke inteligencije na nivou korporativnog upravljanja (governance).

Njegova ciljna grupa nisu samo inženjeri i programeri. Naprotiv, standard je napisan za:

• upravne i nadzorne odbore,

• izvršne direktore i najviše rukovodstvo,

• rukovodioce u javnom sektoru,

• eksterne konsultante i revizore.

Poruka ovog standarda je jasna: rukovodstvo organizacije ne može prebaciti odgovornost za AI isključivo na IT tim. Ukoliko veštačka inteligencija utiče na poslovne prihode, upravljanje ljudskim resursima, odnose sa kupcima, pravne rizike i poštovanje propisa, strategija i nadzor moraju postojati na najvišem upravljačkom nivou preduzeća.

ISO/IEC 27701 – kada veštačka inteligencija obrađuje lične podatke

Standard ISO/IEC 27701:2025 predstavlja međunarodni okvir za uspostavljanje sistema upravljanja informacijama o privatnosti (PIMS), kao nadogradnju na ISO/IEC 27001. Namenjen je organizacijama koje imaju ulogu rukovaoca (data controller) ili obrađivača (data processor) ličnih podataka (PII).

U primeni veštačke inteligencije ova oblast se svakodnevno prepliće sa poslovanjem:

• HR sektor obrađuje radne biografije kandidata pomoću AI alata;

• korisnička podrška prosleđuje istoriju prepiske i reklamacija jezičkom modelu;

• marketinški tim analizira navike i profile ponašanja kupaca;

• AI asistent obrađuje imena, adrese, imejlove i zahteve posetilaca sajta.

U svim ovim situacijama upravljanje veštačkom inteligencijom direktno zadire u oblast zaštite privatnosti. ISO/IEC 27701 omogućava da se ti procesi postave na sigurne osnove. Ipak, mora se podvući: ISO/IEC 27701 nije zamena za zakonske propise poput GDPR-a ili domaćeg Zakona o zaštiti podataka o ličnosti, baš kao što ni ISO/IEC 42001 nije zamena za EU AI Act.

ISO 9001:2026 – kontinuitet upravljanja kvalitetom u novom kontekstu

Standard ISO 9001 ima znatno širu primenu od tehnološkog sektora – to je najpoznatiji i najrasprostranjeniji svetski standard za sisteme upravljanja kvalitetom (QMS).

Zašto je važno pomenuti ga u kontekstu veštačke inteligencije? Zato što AI rešenje nije samo matematički model u izolovanom okruženju, već je komercijalni proizvod ili usluga. Zahtevi koji se odnose na:

• definisanje specifikacija naručioca,

• praćenje stabilnosti procesa,

• merenje nivoa kvaliteta isporučenih usluga,

• rešavanje primedbi i reklamacija,

• stalno unapređivanje performansi,

podjednako važe i za softverske proizvode koji sadrže veštačku inteligenciju. Kompanije koje već imaju izgrađen i sertifikovan sistem prema standardu ISO 9001 poseduju stabilnu procesnu osnovu na koju se zahtevi standarda ISO/IEC 42001 mogu prirodno nadovezati.

Zabluda o nepostojećem standardu „ISO 43001“

U razgovorima o veštačkoj inteligenciji povremeno se može čuti pogrešna oznaka „ISO 43001“.

Vodeći, međunarodno priznati standard za sistem upravljanja veštačkom inteligencijom nosi oznaku ISO/IEC 42001. Pored njega, relevantnu porodicu čine prateći standardi 42005, 42006 i srodni dokumenti. Ukoliko vam neko na tržištu ponudi implementaciju ili obuku za nepostojeći „ISO 43001 AI sertifikat“, to je pouzdan znak da ponudu treba detaljno i oprezno proveriti.

EU AI Act menja značaj standarda na tržištu

Potrebno je precizno razgraničiti dve kategorije:

• ISO standard je dobrovoljni tehnički ili upravljački okvir koji postavlja struka;

• EU AI Act (Uredba EU 2024/1689) jeste obavezujući zakon koji propisuje Evropska unija.

AI Act uvodi stroge zahteve zasnovane na kategorizaciji rizika koji AI sistemi mogu proizvesti. Za pružaoce visokorizičnih (high-risk) AI sistema, član 17 ove Uredbe propisuje obavezu uspostavljanja formalnog sistema upravljanja kvalitetom (QMS) koji mora obuhvatiti:

• strategiju usklađenosti sa propisima,

• tehnike projektovanja, razvoja i kontrole kvaliteta sistema,

• procedure ispitivanja, validacije i provere tačnosti,

• upravljanje podacima koji se koriste za obuku i testiranje,

• sistemsko upravljanje rizicima,

• post-market monitoring i evidentiranje incidenata.

Pored toga, propisani su striktni zahtevi u pogledu transparentnosti, detaljne tehničke dokumentacije, automatskog beleženja rada (logging), sajber-bezbednosti i neprekidnog ljudskog nadzora. Upravo na ovom mestu primena standarda dobija punu praktičnu ulogu.

Harmonizovani standardi donose pretpostavku usklađenosti sa zakonom

Član 40 EU AI Act-a predviđa suštinski pravni mehanizam:

• ukoliko je AI sistem usklađen sa evropskim harmonizovanim standardom (čija je referenca objavljena u Službenom listu EU), automatski važi pretpostavka usklađenosti (presumption of conformity) sa onim zakonskim zahtevima iz Uredbe koje taj standard pokriva.

Zakonodavac kroz Uredbu propisuje šta se mora postići u pogledu bezbednosti i pravne zaštite, dok harmonizovani standard inženjerima i rukovodiocima daje jasna uputstva kako da te zahteve ispune u praksi.

EN 18286:2026 – prvi harmonizovani most ka EU AI Act-u

Evropska komisija je 19. oktobra 2026. godine u Službenom listu EU objavila referencu na EN 18286:2026 (Artificial intelligence – Quality management system for EU AI Act regulatory purposes).

Ovim je EN 18286:2026 postao prvi zvanično priznati harmonizovani standard koji podržava sprovođenje EU AI Act-a. On je direktno vezan za član 17 Uredbe i reguliše zahteve za sistem upravljanja kvalitetom kod pružalaca visokorizičnih AI rešenja.

Zvanični stav Evropske komisije je jasan: ovaj harmonizovani standard nije napisan da zameni etablirane okvire kao što su ISO/IEC 42001, ISO 9001 ili specifične sektorske QMS standarde, već da se na njih direktno nadoveže. To znači da kompanije ne moraju da razvijaju višestruke, međusobno izolovane sisteme upravljanja, već mogu da uspostave jedan integrisani sistem (Integrated Management System – IMS).

Da li posedovanje ISO/IEC 42001 znači automatsku usklađenost sa EU AI Act-om?

Ne. Ovo je jedna od najopasnijih zabluda u poslovnoj praksi.

Kompanija može uspešno implementirati i sertifikovati ISO/IEC 42001, a da istovremeno propusti neku od specifičnih, strogo definisanih zakonskih obaveza koje propisuje EU AI Act (poput specifičnih procedura registracije u evropsku bazu podataka, posebnih zahteva za označavanje veštački generisanog sadržaja ili specifičnih obaveza izveštavanja organa nadzora).

Ispravna profesionalna podela glasi:

• ISO/IEC 42001: pruža međunarodno priznat organizacioni i procesni temelj za odgovorno upravljanje veštačkom inteligencijom;

• EU AI Act: predstavlja zakonsku obavezu na svim tržištima i u svim situacijama na koje se Uredba primenjuje;

• Harmonizovani EN standardi (poput EN 18286): predstavljaju operativni put za dokazivanje pravne usklađenosti pred regulatornim organima i telima za ocenjivanje usaglašenosti.

Šta ako preduzeće samo koristi ChatGPT u svakodnevnom radu?

Ovo pitanje postavlja najveći broj kompanija iz uslužnog i proizvodnog sektora.

Uzmimo za primer računovodstvenu agenciju, turističko preduzeće, advokatsku kancelariju ili trgovačku firmu čiji zaposleni u radu povremeno koriste servise poput ChatGPT-a, Google Gemini-ja ili Microsoft Copilot-a. Da li takvo preduzeće mora da prolazi kroz kompleksne i skupe sertifikacione procese?

Naravno da ne. Bilo bi operativno i finansijski neracionalno tumačiti propise na taj način. Ipak, takva firma je dužna da uspostavi bazična interna pravila:

• koji su AI alati zvanično dozvoljeni za korišćenje u radu;

• koji zaposleni imaju pravo pristupa i u koje poslovne svrhe;

• koje vrste podataka (posebno lični podaci i poslovne tajne) ni pod kojim uslovima ne smeju biti unete u javne AI modele;

• koji rezultati (output) obavezno prolaze kroz proveru zaposlenog pre nego što budu poslati klijentu ili objavljeni;

• koje su aktivnosti i načini primene izričito zabranjeni internim pravilnikom.

Ove mere čine elementarni higijenski nivo upravljanja veštačkom inteligencijom u svakoj organizaciji.

Registar AI sistema (AI Inventory) – prvi korak u svakoj organizaciji

Pre angažovanja eksternih konsultanata i pre pokretanja sertifikacionih audita, prvi konkretan korak koji svaka organizacija treba da preduzme jeste izrada internog registra AI alata i sistema.

Ovakav pregled može se jednostavno strukturirati kroz tabelu:

Kada se popuni ovakav registar, uprava kompanije po prvi put stiče realan uvid u stepen prisutnosti veštačke inteligencije u svojim procesima. Mnoge organizacije se tek u ovoj fazi iznenade brojem servisa koji njihovi zaposleni svakodnevno koriste bez formalnog odobrenja.

Kome je standard ISO/IEC 42001 zaista potreban?

Ne postoji unificiran pravni propis koji nalaže primenu ovog standarda svim privrednim subjektima bez razlike. Ipak, na tržištu postoje kategorije preduzeća kojima je ovaj okvir praktično neophodan:

• Razvojnim AI kompanijama (AI Vendors): Preduzeća koja razvijaju i plasiraju sopstvene SaaS AI proizvode, automatizovane agente, rešenja za kompjuterski vid (computer vision) ili modele za analitiku podataka moraju posedovati strukturiran governance kako bi osigurala poverenje tržišta.

• Softverskim kućama koje integrišu AI u rešenja klijenata: Klijenti koji naručuju razvoj aplikacija sa ugrađenim AI modulima sve češće postavljaju precizna pitanja: kako upravljate modelima, preko kojih vendora prolaze naši podaci, kako se vrši testiranje i koje su mere zaštite od curenja poverljivih informacija.

• Digitalnim agencijama sa naprednim uslugama: Ukoliko agencija nudi izradu naprednih četbotova, automatizovanih marketinških sistema, analizu korisničkih podataka ili AI produkciju sadržaja, standard pruža garanciju profesionalnosti i odgovornosti.

• Dobavljačima korporativnih sistema (Enterprise Vendors): Velike međunarodne korporacije, telekomi i finansijske institucije u svojim procesima javnih i zatvorenih nabavki (procurement) redovno zahtevaju ispunjenost standarda kao eliminatorni uslov za učešće.

Kada ISO/IEC 27001 postaje faktički obavezan?

Čak i kada zakon eksplicitno ne propisuje obavezu posedovanja sertifikata ISO/IEC 27001, tržišna realnost često nameće drugačija pravila.

Ukoliko kompanija želi da proda svoje digitalne ili softverske usluge banci, osiguravajućem društvu, međunarodnoj korporaciji, javnom preduzeću ili stranom partneru, u ranoj fazi pregovora suočiće se sa bezbednosnim upitnikom (security questionnaire). Pitanja redovno obuhvataju:

• Da li kompanija poseduje sertifikovan sistem upravljanja informacionom bezbednošću (ISMS)?

• Na koji način su uređene procedure reagovanja na bezbednosne incidente?

• Kako je rešeno upravljanje privilegovanim pristupima sistemima?

• Kako se proverava bezbednost podizvođača i eksternih dobavljača?

• Da li se redovno sprovode penetracioni testovi i provere ranjivosti?

• Kakve su procedure za kontinuitet poslovanja (Business Continuity)?

Posedovanje sertifikata ISO/IEC 27001 pruža jasan i proverljiv dokaz da organizacija primenjuje standardizovane bezbednosne mere. Time se skraćuju procesi bezbednosnih provera i otvaraju vrata za saradnju sa zahtevnim klijentima.

Pitanja koja klijenti danas treba da postave dobavljačima

Pitanje „da li vaša kompanija koristi veštačku inteligenciju“ postalo je previše uopšteno i ne daje korisne informacije.

Zrele kompanije svojim dobavljačima danas postavljaju znatno preciznija pitanja:

• Koje konkretne AI sisteme koristite prilikom obrade naših poslovnih podataka?

• Da li se podaci koje vam dostavljamo koriste za treniranje ili fino podešavanje javnih ili privatnih AI modela?

• Na kojim se fizičkim lokacijama i u kojim cloud data-centrima podaci obrađuju i čuvaju?

• Koja lica unutar vaše organizacije imaju pristup našim podacima i unetim promptovima?

• Na koji način proveravate tačnost i bezbednost rezultata koje AI generiše?

• Da li u radnom procesu postoji obavezan ljudski nadzor (Human-in-the-Loop)?

• Kakva je vaša interna procedura u slučaju bezbednosnog ili operativnog AI incidenta?

• Da li posedujete sertifikat ISO/IEC 27001 i koji je tačan opseg njegove primene?

• Da li posedujete sertifikat ISO/IEC 42001 ili primenjujete srodne okvire za upravljanje veštačkom inteligencijom?

• Koje sertifikaciono i akreditaciono telo je izvršilo proveru vaših sistema?

Ovakav pristup jasno razdvaja preduzeća koja samo površno eksperimentišu sa novim alatima od onih koja veštačkom inteligencijom upravljaju odgovorno i profesionalno.

Značaj standardizacije za klijente Joombooz-a

Digitalna agencija danas u svakodnevnom radu ostvaruje pristup kritičnim resursima svojih klijenata:

• web sajtovima i internet prodavnicama,

• Google Ads i analitičkim nalozima,

• CRM bazama i podacima o kupcima,

• nalozima na društvenim mrežama,

• platformama za imejl marketing,

• poverljivoj internoj poslovnoj dokumentaciji,

• integrisanim AI servisima.

U takvom poslovnom okruženju poverenje se više ne može graditi isključivo na usmenim uveravanjima o dugogodišnjem iskustvu. Neophodno je postojanje jasnog i dokazivog procesnog okvira.

U Joombooz-u ovu oblast ne posmatramo kao formalnost niti kao puki marketinški detalj za prezentaciju. Kao preduzeće koje sarađuje sa domaćim i međunarodnim klijentima, aktivno radimo na formalizaciji procesa kroz odgovarajuće sisteme upravljanja i pripremi za sertifikaciju prema relevantnim standardima.

Cilj ovog procesa jeste da svakom klijentu pružimo transparentan dokaz o tome:

• kako štitimo bezbednost poverenih podataka,

• na koji način koristimo AI u radnim procesima,

• ko odobrava primenu softverskih alata,

• kako identifikujemo i umanjujemo rizike,

• koje korake preduzimamo u slučaju incidenta,

• ko i na koji način proverava kvalitet konačnog rezultata.

Upravo to čini suštinsku razliku između stihijske primene alata i odgovornog usvajanja veštačke inteligencije (Responsible AI adoption).

Različiti tipovi standarda zahtevaju različit pristup sertifikaciji

U stručnoj komunikaciji važno je izbegavati paušalne tvrdnje o sertifikaciji svih postojećih standarda. Standardi se međusobno razlikuju po svojoj prirodi i nameni:

• ISO/IEC 42001 i ISO/IEC 27001 su standardi sistema upravljanja (management system standards) koji sadrže izričite zahteve prema kojima se organizacija može formalno proveriti i sertifikovati od strane nezavisnog tela.

• ISO/IEC 23894 predstavlja standard sa smernicama (guidance standard) za upravljanje rizicima.

• ISO/IEC 42005 daje smernice za sprovođenje procene uticaja sistema.

• ISO/IEC 38507 donosi preporuke za korporativno upravljanje namenjene rukovodstvu.

Prema tome, profesionalno ispravna formulacija glasi: „naš sistem upravljanja je uspostavljen i sertifikovan prema relevantnim međunarodnim standardima, dok u svakodnevnom radu primenjujemo smernice i metodologije pratećih standarda za rizik, uticaj i upravljanje“.

Stanje standardizacije u Republici Srbiji

Srbija se aktivno uključila u procese uređenja ove oblasti kroz Strategiju razvoja veštačke inteligencije za period 2025–2030. godine, koja predviđa unapređenje zakonodavnog okvira, razvoj infrastrukture, edukaciju kadrova i podsticanje primene u privredi.

Paralelno sa tim, Institut za standardizaciju Srbije (ISS) doneo je odgovarajuće nacionalne standarde:

• SRPS ISO/IEC 27001:2022,

• SRPS ISO/IEC 42001:2025.

Standardizaciona infrastruktura u zemlji već postoji i u potpunosti prati međunarodne tokove. Domaća preduzeća već danas imaju pristup usvojenim standardima na maternjem jeziku.

Eksteritorijalno dejstvo EU AI Act-a na preduzeća van Evropske unije

Rasprostranjeno uverenje da se propisi Evropske unije ne tiču firmi koje posluju van njenih granica u slučaju veštačke inteligencije predstavlja ozbiljnu poslovnu zabludu.

Član 2 EU AI Act-a jasno definiše eksteritorijalni domet Uredbe:

• propisi se primenjuju na pružaoce (providers) i korisnike (deployers) AI sistema sa sedištem u trećim zemljama ukoliko oni plasiraju AI sistem na tržište Evropske unije ili ukoliko se rezultati (output) koje sistem generiše koriste unutar teritorije Evropske unije.

Ukoliko preduzeće iz Srbije, Bosne i Hercegovine, Crne Gore, Severne Makedonije ili Albanije razvije AI sistem koji primenjuje klijent iz Nemačke, Austrije ili Francuske, status treće zemlje ne oslobađa to preduzeće zakonskih obaveza propisanih AI Act-om. Izvozne softverske kompanije iz regiona ovo pravilo moraju uzeti u obzir prilikom ugovaranja poslova sa partnerima iz EU.

Položaj zemalja članica EU u našem neposrednom okruženju

Za preduzeća koja posluju u zemljama članicama Evropske unije u našem regionu (Hrvatska, Slovenija, Bugarska, Rumunija, Grčka), EU AI Act predstavlja direktno primenjivo pravo.

Primena Uredbe odvija se u definisanim fazama:

• od 2. februara 2025. počela je primena zabrana koje se odnose na AI sisteme sa neprihvatljivim rizikom, kao i odredbe o AI pismenosti;

• od 2. avgusta 2025. primenjuju se pravila koja se odnose na notifikaciona tela i modele veštačke inteligencije opšte namene (GPAI);

• od 2. avgusta 2026. stupa na snagu najveći deo obaveza, uključujući zahteve transparentnosti i mehanizme nadzora;

• rokovi za primenu pojedinih visokorizičnih AI sistema pomereni su na decembar 2027. godine, odnosno na avgust 2028. godine za sisteme ugrađene u određene industrijske proizvode koji podležu ranijem zakonodavstvu EU o bezbednosti proizvoda.

Kompanije moraju pažljivo pratiti zvanične izvore i rokove, jer se regulatorna praksa u ovoj oblasti razvija velikom brzinom.

Pravac razvoja na Zapadnom Balkanu

Na Digitalnom samitu Zapadnog Balkana održanom u oktobru 2026. godine usvojena je regionalna mapa puta za veštačku inteligenciju (Western Balkans Artificial Intelligence Roadmap 2030). Ovaj dokument definiše zajednički okvir za bezbednu, odgovornu i etičku primenu tehnologije uz postepeno usklađivanje sa evropskim principima.

Kako je Evropska unija glavni spoljnotrgovinski partner zemalja Zapadnog Balkana, procesi digitalne saradnje i harmonizacije sa evropskim tehničkim i pravnim pravilima predstavljaju očekivan pravac razvoja.

Crna Gora

Tokom 2026. godine Crna Gora privodi kraju izradu nacionalne Strategije veštačke inteligencije za period 2026–2030. godine, uz jasno oslanjanje na međunarodne standarde i praksu EU. Za preduzeća iz sektora turizma, bankarstva, telekomunikacija i IT-ja ovo je jasan signal da upravljanje veštačkom inteligencijom treba blagovremeno urediti.

Severna Makedonija

U okviru nacionalne strategije SMART/MK 2030, veštačka inteligencija i napredne tehnologije prepoznate su kao ključni stubovi modernizacije, uz puno usklađivanje sa ciljevima evropske Digitalne dekade (EU Digital Decade). Regionalna politika se sve čvršće vezuje za principe bezbednosti, interoperabilnosti i standardizovanog upravljanja.

Bosna i Hercegovina i Albanija

Iako dinamika institucionalnih reformi varira od zemlje do zemlje, za privredne subjekte koji izvoze softver i digitalne usluge to ne menja suštinu. Zahtevi koje postavlja inostrani naručilac, banka ili korporativni partner redovno stižu znatno pre nego što domaći zakonodavac donese odgovarajući zakon.

Pravilo poslovanja je jasno: zahtevi za usklađenošću najčešće dolaze kroz komercijalni ugovor sa klijentom, a ne isključivo kroz lokalne propise.

Zašto se ne vredi oslanjati na izgovor „klijent nam ovo još uvek ne traži“?

Mnoge kompanije odlažu uređenje procesa uz obrazloženje da im inostrani partneri još uvek ne traže formalne dokaze o upravljanju veštačkom inteligencijom.

Međutim, praksa korporativnih nabavki pokazuje da se ovakvi zahtevi u pravilu pojavljuju iznenada:

• „Dostavite važeći sertifikat ISO/IEC 27001.“

• „Priložite internu politiku upravljanja veštačkom inteligencijom (AI Policy).“

• „Navedite sve eksterne podobrađivače i cloud servise koji imaju pristup podacima.“

• „Opišite način na koji je obezbeđen ljudski nadzor nad radom algoritma.“

• „Dostavite izveštaj o sprovedenoj proceni rizika (AI Risk Assessment).“

Kada ovakav zahtev stigne sa rokom za dostavljanje ponude od nekoliko dana, prekasno je za početak rada na uspostavljanju procesa. Sistem upravljanja se ne može stvoriti tokom vikenda – on zahteva vreme, analizu, edukaciju zaposlenih i proveru u praksi.

Preporučeni koraci prema veličini i tipu organizacije

Realan minimum za mala preduzeća

Mala preduzeća ne treba opterećivati komplikovanim birokratskim procedurama niti im nametati potrebu za hitnim sticanjem sertifikata. Racionalan početni model obuhvata sledeće tačke:

1. Registar AI sistema (AI Inventory): popis svih alata koji se koriste u firmi;

2. Pravilnik o prihvatljivom korišćenju (AI Acceptable Use Policy): definisanje dozvoljenih alata i načina rada;

3. Pravila o zaštiti podataka: jasna zabrana unosa poverljivih podataka, koda i ličnih informacija u javne servise;

4. Imenovanje odgovornog lica: određivanje osobe zadužene za odobravanje novih alata i praćenje njihove primene;

5. Registar spoljnih dobavljača: evidencija servisa koji obrađuju podatke;

6. Obavezan ljudski pregled (Human Review): pravilo da svaki generisani rezultat mora pregledati stručno lice;

7. Procedura za incidente: definisan postupak reagovanja u slučaju unosa pogrešnih podataka ili generisanja netačnih informacija;

8. Obuka zaposlenih: upoznavanje tima sa osnovnim bezbednosnim pravilima i rizicima;

9. Usklađenost sa zaštitom privatnosti: analiza tokova podataka u skladu sa Zakonom o zaštiti podataka o ličnosti / GDPR-om;

10. Evidencija izmena: periodično ažuriranje pravila i evidencije alata.

Ovih deset koraka stvara stabilan temelj koji firmu odvaja od nesavesnog poslovanja.

Koraci za srednja preduzeća

Preduzeća srednje veličine navedeni okvir treba da nadograde:

• formalnom metodologijom procene rizika,

• klasifikacijom podataka prema stepenu poverljivosti,

• procedurama za proveru pouzdanosti eksternih dobavljača,

• periodičnim revizijama korišćenih AI modela,

• implementacijom tehničkih i organizacionih kontrola bezbednosti,

• vođenjem evidencije o sprovedenim obukama osoblja,

• formalnim preispitivanjem efikasnosti od strane uprave,

• sprovođenjem redovnih internih provera (internal audit).

U ovoj fazi uvođenje standarda ISO/IEC 27001 i ISO/IEC 42001 postaje logičan poslovni korak.

Zahteve za AI kompanije koje izvoze na tržište EU

Za firme koje razvijaju AI softver namenjen tržištu Evropske unije improvizacija nije opcija. Neophodno je precizno definisati:

• ulogu organizacije u smislu AI Act-a (provider, deployer, importer, distributor),

• klasifikaciju rizika konkretnog AI sistema,

• pripremu kompletne tehničke dokumentacije,

• upravljanje podacima za treniranje i testiranje (data governance),

• sistematsko upravljanje rizicima tokom čitavog veka trajanja proizvoda,

• tehnička rešenja za neprekidan ljudski nadzor,

• automatsko beleženje događaja i rada sistema (logging),

• sajber-bezbednost i zaštitu od manipulacije modelom,

• plan post-market monitoringa i upravljanja incidentima,

• formalno uspostavljen sistem upravljanja kvalitetom (QMS), uz primenu standarda EN 18286 za visokorizične sisteme.

Posebni zahtevi za regulisane sektore

U oblastima kao što su bankarstvo, osiguranje, zdravstvo, upravljanje ljudskim resursima i javna uprava, pravila moraju biti znatno stroža. Razlog leži u težini mogućih posledica.

Greška algoritma koji predlaže raspored elemenata na stranici sajta ima zanemarljiv uticaj. Sa druge strane, greška sistema koji odbija prijavu za posao, uskraćuje kredit ili postavlja pogrešnu medicinsku sumnju direktno ugrožava prava i interese pojedinca. Stepen autonomije sistema i nivo kontrolnih mehanizama moraju biti direktno proporcionalni potencijalnom riziku.

Klijent treba da traži dokaz, a ne marketinški logo

Prilikom izbora partnera za razvoj ili implementaciju AI rešenja, nije dovoljno zadovoljiti se vizuelnim znakom sertifikata. Potrebno je postaviti suštinska pitanja:

• Za koji tačno standard je izdat sertifikat?

• Koji je zvaničan opseg (scope) sertifikacije i da li on obuhvata uslugu koju ugovarate?

• Koje akreditovano sertifikaciono telo je sprovelo audit?

• Da li je sertifikat u važećem statusu?

• Koji su konkretni AI sistemi uključeni u sistem upravljanja?

• Kako u praksi izgleda postupak reagovanja na bezbednosni incident?

• Na koji način dobavljač procenjuje bezbednost svojih podizvođača?

• Kakve se mere primenjuju za sprečavanje neovlašćenog pristupa podacima klijenta?

Sertifikat treba da posluži kao polazna tačka za razgovor o bezbednosti, a ne kao razlog za izostanak provere.

ISO 42001 unapređuje unutrašnju organizaciju preduzeća

Uspostavljanje sistema upravljanja prema standardu ISO/IEC 42001 donosi značajne koristi za unutrašnju efikasnost organizacije, nezavisno od eksternih regulatornih zahteva.

Ovaj okvir primorava preduzeće da jasno odredi:

• ko donosi odluke o novim tehnologijama,

• kako teku procesi rada,

• koje se metrike prate i ocenjuju,

• kakve se mere preduzimaju kada rezultati odstupe od očekivanih.

U praksi se često dešava da kompanija paralelno koristi petnaest različitih AI servisa: niko nema tačan uvid u ukupne troškove pretplata, ne zna se gde završavaju uneti podaci, a više različitih alata obavlja potpuno identičan zadatak. Implementacija sistema upravljanja brzo identifikuje ove propuste, omogućava eliminaciju suvišnih troškova i uspostavlja red u svakodnevnom radu.

Neraskidiva veza između informacione bezbednosti i veštačke inteligencije

Savremeni AI agenti dobijaju sve veći nivo operativne samostalnosti: ostvaruju pristup elektronskoj pošti, CRM platformama, bazama podataka, repozitorijumima koda na GitHub-u i ERP sistemima.

Kako stepen autonomije sistema raste, bezbednosni rizici postaju izraženiji. Zbog toga se principi standarda ISO/IEC 27001 i procesi upravljanja veštačkom inteligencijom neminovno spajaju:

• AI rizik: model može samostalno preduzeti pogrešnu radnju ili doneti netačan zaključak.

• Bezbednosni rizik: ko je sistemu dodelio administratorska ovlašćenja i pristup bazi?

• Rizik privatnosti: koje je lične podatke model obradio i gde ih je prosledio?

• Upravljački rizik: ko je u kompaniji formalno odobrio uvođenje takvog sistema?

Bezbednost informacija i upravljanje veštačkom inteligencijom čine dve strane iste medalje.

GDPR, AI Act i ISO standardi – tri komplementarna sloja

Odnos između ova tri okvira može se jednostavno prikazati:

• GDPR (i nacionalni zakoni o zaštiti podataka o ličnosti): definiše pravila i uslove pod kojima se mogu prikupljati i obrađivati lični podaci građana;

• EU AI Act: propisuje regulatorne uslove pod kojima se specifični sistemi veštačke inteligencije smeju razvijati, stavljati na tržište i koristiti;

• ISO standardi: daju praktične, međunarodno priznate inženjerske i organizacione modele za uspostavljanje procesa kojima se zahtevi poslovanja, bezbednosti i zakona ispunjavaju na dokaziv način.

Jedan okvir ne može zameniti drugi. Preduzeće može biti potpuno usklađeno sa propisima o zaštiti podataka o ličnosti, a da istovremeno ima haotičan pristup primeni veštačke inteligencije. Podjednako, kompanija može posedovati sertifikat ISO/IEC 27001, a da krši zahteve transparentnosti koje propisuje EU AI Act. Usklađenost se mora posmatrati kao jedinstven, povezan sistem.

Obaveza podizanja AI pismenosti zaposlenih (AI Literacy)

Evropski propisi u okviru EU AI Act-a koji se odnose na obavezu podizanja nivoa pismenosti u oblasti veštačke inteligencije počeli su da se primenjuju od februara 2025. godine.

Ovo pravilo ne znači da svaki zaposleni mora posedovati duboko tehničko znanje o funkcionisanju neuronskih mreža. Suština je u tome da organizacija mora obezbediti odgovarajući nivo edukacije onim radnicima koji u svom poslu koriste, razvijaju ili nadziru rad AI sistema.

Ovakav pristup ima puno praktično opravdanje. Kompanija može imati formalno usvojene najstrože bezbednosne pravilnike, ali ako zaposleni ne razume zbog čega poverljivi ugovor klijenta ne sme kopirati u javni, besplatni internet servis, pravilnik ostaje mrtvo slovo na papiru.

Pristup kompanije Joombooz sistemskom uređenju procesa

Za Joombooz ova tema ne predstavlja teorijsku raspravu. Naše svakodnevne aktivnosti obuhvataju:

• izradu složenih web rešenja i platformi,

• upravljanje digitalnim marketingom i analitikom,

• automatizaciju poslovnih procesa,

• AI konsalting i prilagođavanje naprednih alata,

• razvoj namenskih rešenja i produkciju sadržaja,

• stalnu saradnju sa klijentima iz različitih pravnih jurisdikcija.

U takvim poslovnim procesima neizbežno dolazi do presecanja tokova podataka, softverskih modula, marketinških baza, bezbednosnih protokola i regulatornih zahteva.

Upravo zato smo opredeljeni za sistematsko uspostavljanje internih procedura i pripremu za sertifikaciju prema ključnim standardima za koje postoji međunarodna sertifikaciona šema, uz oslanjanje na prateće stručne smernice kao metodološki vodič.

Naš pristup konsaltingu u oblasti veštačke inteligencije obuhvata:

• detaljan audit postojećeg stanja i upotrebe alata,

• formulisanje interne politike korišćenja veštačke inteligencije,

• implementaciju bezbednosnih protokola pri radu sa podacima,

• usklađivanje procesa sa načelima zaštite privatnosti i GDPR-om,

• namensku obuku timova za bezbedno korišćenje alata,

• pravilan izbor i konfiguraciju odgovarajućih softverskih sistema.

Kroz ranije stručne analize detaljno smo obradili praktične obaveze koje primena EU AI Act-a donosi kompanijama koje koriste četbotove, generativne servise i automatizovane sisteme. Dalje usklađivanje sa ISO standardima predstavlja logičan nastavak te prakse.

Za naručioca usluga to znači poslovnu predvidljivost. Kada klijent angažuje agenciju, on mora imati nedvosmislen uvid u to:

• ko ima pristup njegovim sistemima i bazama,

• gde se i na koji način skladište njegovi podaci,

• koji AI servisi učestvuju u obradi informacija,

• kakva je procedura opoziva pristupa kada saradnik napusti kompaniju,

• koji se koraci preduzimaju u vanrednim okolnostima,

• ko snosi odgovornost za proveru i tačnost isporučenog rezultata.

Zreo sistem upravljanja pruža jasne odgovore na svako od ovih pitanja.

Šta ako smatrate da vaše preduzeće uopšte ne koristi veštačku inteligenciju?

U savremenom digitalnom okruženju verovatnoća da organizacija ne koristi nijedan element veštačke inteligencije izuzetno je mala.

AI funkcionalnosti su ugrađene u standardne poslovne pakete:

• Microsoft 365 i Google Workspace alate,

• profesionalne programe za grafičku obradu (poput Adobe paketa),

• savremene CRM platforme,

• analitičke sisteme i alate za praćenje poseta,

• servise za automatizaciju marketinga i slanje imejlova,

• sisteme za zaštitu mreža i otkrivanje pretnji,

• korisničke portale i tiketing sisteme.

U narednom periodu ključno pitanje neće glasiti „da li vaša firma koristi veštačku inteligenciju“, već: „u kojim se sve poslovnim procesima i softverima unutar vaše firme veštačka inteligencija već nalazi?“.

Praktičan plan pripreme za kompanije u deset koraka

Uspostavljanje kontrole nad primenom veštačke inteligencije preporučljivo je sprovesti kroz deset logičnih faza:

1. Popis (Inventory): izrada registra svih AI alata, modela, dodataka i integracija koji se koriste u poslovanju;

2. Opseg (Scope): precizno definisanje granica i procesa koji ulaze u sistem upravljanja;

3. Analiza jaza (Gap Analysis): poređenje postojećih internih procedura sa zahtevima relevantnih standarda;

4. Klasifikacija rizika (Risk Classification): kategorizacija pojedinačnih AI use-case scenarija prema stepenu rizika;

5. Definisanje politika (Policies): usvajanje pravila o korišćenju AI-ja, bezbednosti informacija, zaštiti podataka i upravljanju dobavljačima;

6. Implementacija kontrola (Controls): uspostavljanje prava pristupa, logovanja aktivnosti, procedura odobravanja i ljudskog nadzora;

7. Dokumentovanje procesa (Documentation): postavljanje jasnih i proverljivih pisanih dokaza o funkcionisanju sistema;

8. Edukacija osoblja (Training): sprovođenje ciljanih obuka zaposlenih o pravilima rada i bezbednosnim procedurama;

9. Interna provera (Internal Audit): samostalna provera funkcionisanja sistema pre dolaska spoljnih proveravača;

10. Sertifikacija / Ocenjivanje usaglašenosti (Certification / Conformity): sprovođenje nezavisne sertifikacije ili zakonom propisane provere usaglašenosti tamo gde je to primenjivo.

Preporučeni standardi prema profilu organizacije

Ovaj pregled predstavlja praktičan orijentir za postavljanje prioriteta, dok konačne obaveze uvek zavise od pravne uloge preduzeća, prirode podataka koje obrađuje i regulative tržišta na koje plasira usluge.

Zašto će tržišta Zapadnog Balkana osetiti uticaj standarda pre usvajanja lokalnih zakona?

Glavni prenosilac standardizacije u privredi jeste lanac snabdevanja (supply chain).

U praksi se redovno događa sledeći scenario: velika korporacija iz Nemačke donese odluku da od 2027. godine svi njeni softverski dobavljači moraju posedovati formalno uspostavljen sistem upravljanja veštačkom inteligencijom (AIMS). Domaća softverska kuća koja želi da zadrži ugovor prilagođava svoje procese bez obzira na to šta u tom trenutku piše u lokalnom zakonodavstvu. Na isti način banke zahtevaju ispunjenost standarda ISO/IEC 27001 od svojih outsourcing partnera.

Standardi se kroz ugovorne zahteve globalnog tržišta šire znatno brže nego kroz rad zakonodavnih tela. Zbog visoke ekonomske upućenosti IT sektora Zapadnog Balkana na tržište Evropske unije, ovaj efekat će u našem regionu biti posebno izražen.

Vremenska prednost za kompanije u regionu

Značajan broj privrednih subjekata u regionu još uvek nije upoznat sa standardom ISO/IEC 42001. To stvara prostor za blagovremenu pripremu.

Preduzeće koje već sada izradi registar AI alata, uredi tokove podataka, postavi pravila upravljanja i obuči svoje zaposlene, izbeći će situaciju da 2027. godine u žurbi pokušava da rekonstruiše i opravda višegodišnju neuređenu upotrebu tehnologije. Pravovremeno usklađivanje procesa donosi direktnu prednost na tenderima i u pregovorima sa velikim klijentima.

Izbegavanje administrativnih zamki

Jedna od opasnosti pri implementaciji jeste stvaranje preobimne i nefunkcionalne dokumentacije.

Ukoliko kompanija kreira na desetine formalnih pravilnika koje zaposleni ne čitaju niti razumeju, a na dan audita se samo simulira usklađenost, sistem gubi svaku svrhu. Standard mora biti primenljiv u praksi.

Ukoliko pravilo propisuje da novi softverski alat mora proći bezbednosnu proveru, mora postojati jednostavan i brz način za njeno sprovođenje. Ukoliko je propisana obaveza prijave incidenata, mora postojati jasan i dostupan kanal za komunikaciju. Smisao procesa nije zaustavljanje primene novih tehnologija, već njihovo bezbedno i predvidljivo korišćenje.

FAQ – često postavljana pitanja o ISO standardima, AI Act-u i sertifikaciji

Šta je ISO/IEC 42001?

ISO/IEC 42001 je međunarodni standard koji propisuje zahteve za uspostavljanje, primenu, održavanje i stalno unapređivanje sistema upravljanja veštačkom inteligencijom (AIMS) unutar organizacije.

Da li je standard ISO/IEC 42001 dostupan u Srbiji?

Da. Institut za standardizaciju Srbije (ISS) usvojio je i objavio identičan nacionalni standard pod oznakom SRPS ISO/IEC 42001:2025.

Da li je primena standarda ISO/IEC 42001 zakonski obavezna?

Sam ISO standard nije opšte zakonski obavezan. Njegova primena je dobrovoljna, ali može postati obavezujući ugovorni uslov od strane inostranih naručilaca, banaka ili tenderskih procedura.

Da li sertifikat ISO/IEC 42001 garantuje usklađenost sa EU AI Act-om?

Ne automatski. Standard pruža izuzetno snažnu procesnu i organizacionu osnovu, ali ne oslobađa preduzeće specifičnih zakonskih obaveza propisanih samom Uredbom EU.

Šta predstavlja standard ISO/IEC 27001?

To je međunarodni standard koji postavlja zahteve za sistem upravljanja informacionom bezbednošću (ISMS), obezbeđujući zaštitu poverljivosti, integriteta i dostupnosti podataka.

Zašto je ISO/IEC 27001 važan u radu sa veštačkom inteligencijom?

Zato što savremeni AI sistemi ostvaruju direktan pristup bazama podataka, cloud servisima, kodu i poverljivim informacijama, pa bez osnovnih bezbednosnih kontrola nije moguće zaštititi sisteme od curenja podataka i neovlašćenog pristupa.

Šta je ISO/IEC 23894?

To je međunarodni standard koji pruža stručne smernice za upravljanje specifičnim rizicima koje veštačka inteligencija može proizvesti u radu organizacije.

Čime se bavi ISO/IEC 42005?

Ovaj standard donosi metodološki okvir za procenu uticaja AI sistema (AI System Impact Assessment) na pojedince, društvo i specifične korisničke grupe.

Koja je svrha standarda ISO/IEC 38507?

Standard pruža smernice najvišem rukovodstvu i upravnim strukturama organizacije o njihovim ulogama, odgovornostima i strategiji prilikom uvođenja veštačke inteligencije.

Šta je ISO/IEC 27701?

To je međunarodni standard za upravljanje informacijama o privatnosti (PIMS), koji proširuje zahteve standarda ISO/IEC 27001 na oblast obrade ličnih podataka. Aktuelna verzija nosi oznaku ISO/IEC 27701:2025.

Koja je uloga standarda ISO/IEC 42006?

ISO/IEC 42006:2025 postavlja tehničke zahteve i kriterijume kompetentnosti za akreditovana tela koja obavljaju proveru i sertifikaciju sistema prema standardu ISO/IEC 42001.

Da li postoji standard „ISO 43001“ za veštačku inteligenciju?

Ne. Reč je o čestoj grešci u navođenju broja; tačna oznaka centralnog međunarodnog standarda za upravljanje AI-jem glasi ISO/IEC 42001.

Šta je EN 18286:2026?

To je prvi evropski harmonizovani standard izrađen kao podrška EU AI Act-u. Njegova primena pruža pretpostavku usklađenosti sa zahtevima člana 17 AI Act-a koji se odnose na sistem upravljanja kvalitetom za pružaoce visokorizičnih AI sistema.

Šta u praksi donosi harmonizovani standard?

Objavljivanjem reference u Službenom listu EU, harmonizovani standard organizacijama nudi proveren inženjerski i procesni model kojim pred nadležnim organima dokazuju ispunjenost zakonskih zahteva.

Da li se EU AI Act može primenjivati na firme iz Srbije?

Da. Propis ima eksteritorijalno dejstvo i odnosi se na preduzeća iz trećih zemalja ukoliko plasiraju AI sisteme na tržište Evropske unije ili ako se rezultati rada njihovih sistema koriste unutar EU.

Da li je maloj firmi koja koristi ChatGPT potreban sertifikat ISO/IEC 42001?

Nije neophodno sticanje sertifikata, ali je neophodno uspostaviti osnovne interne mere: definisati dozvoljene alate, zabraniti unos osetljivih podataka, osigurati ljudski nadzor nad rezultatima i sprovesti osnovnu obuku zaposlenih.

Koje organizacije treba prve da razmotre uvođenje ISO/IEC 42001?

Preduzeća koja razvijaju AI softver, integratori rešenja, IT agencije koje rade za inostrana tržišta, enterprise dobavljači, kao i kompanije iz finansijskog, osiguravajućeg i zdravstvenog sektora.

Da li sertifikat rešava sva pravna i bezbednosna pitanja?

Ne. Sertifikat predstavlja dokaz da kompanija ima postavljen i proveren procesni sistem u okviru definisanog opsega, ali ne pruža apsolutnu garanciju da pojedinačni generisani rezultat neće sadržati grešku ili da neće doći do kršenja drugih specifičnih zakonskih propisa.

Koji je prvi praktičan korak u pripremi preduzeća?

Izrada registra AI alata (AI Inventory), kroz koji se popisuju svi servisi koji se koriste u firmi, njihova svrha, podaci koje obrađuju, nivo rizika i način vršenja ljudske provere.

Kakav je status standarda u Republici Srbiji?

Institut za standardizaciju Srbije već je usvojio relevantne međunarodne standarde pod oznakama SRPS ISO/IEC 27001:2022 i SRPS ISO/IEC 42001:2025.

Koji procesi se odvijaju u zemljama Zapadnog Balkana?

Zemlje regiona usvojile su zajedničku mapu puta (Western Balkans AI Roadmap 2030) na Digitalnom samitu 2026. godine, čime su definisale strateško usklađivanje svojih politika sa evropskim standardima bezbedne i odgovorne primene tehnologije.

Zbog čega će pritisak standardizacije rasti na našim prostorima?

Glavni pokretač biće zahtevi inostranih korporativnih klijenata, međunarodni tenderi i bezbednosne provere unutar globalnih lanaca snabdevanja u kojima IT sektor iz našeg regiona aktivno učestvuje.

U periodu koji dolazi ključno pitanje pred rukovodstvom svake organizacije više neće biti koji novi softverski alat treba isprobati. Glavno pitanje glasi: koje podatke taj sistem obrađuje, ko kontroliše njegov rad, koje posledice mogu nastati u slučaju greške i na koji način pred klijentom, revizorom ili poslovnim partnerom možete dokazati da nad tim procesima imate potpunu kontrolu. Standardi ISO/IEC 42001, 27001 i prateći evropski propisi pružaju operativni okvir koji omogućava da se ta kontrola postavi na stabilne i dugoročno održive osnove.