Pravni „Terminator“: Da li EU AI Akt sahranjuje inovacije ili spašava digitalnu dušu?

Poslednjih nekoliko godina živimo u „kambrijskoj eksploziji“ veštačke inteligencije. Alati kao što su ChatGPT, Midjourney i Sora prešli su put od naučne fantastike do svakodnevnog alata u rekordnom roku. Generativna AI (GenAI) stvara kod, piše marketinške planove, dizajnira i komponuje. „Magija“ je postala stvarna i, što je još važnije, komercijalno dostupna.

Ali, kao i posle svake dobre žurke, dolazi mamurluk.

Brzo smo otkrili i mračnu stranu ove „magije“. AI alati za regrutovanje koji su „naučili“ da budu seksisti. Algoritmi za kreditni skoring koji su „naučili“ da budu rasisti. Deepfake (duboki lažnjaci) koji postaju toliko dobri da prete da unište izbore, reputacije i istinu kao koncept. Otkrili smo problem „crne kutije“ (black box) – moćni AI modeli donose odluke o našim životima (posao, kredit, zdravlje), a ni njihovi kreatori često ne mogu da objasne kako su tačno doneli tu odluku.

„Divlji zapad“ AI-ja, gde je jedino pravilo bilo „brže, jače, više parametara“, očigledno je postao opasan.

I dok su SAD i Kina izabrale put inovacije po svaku cenu, Evropska unija je uradila ono što Evropska unija uvek radi: odlučila je da napiše Pravila.

Dobrodošli u eru EU AI Akta (EU AI Act).

Ovo nije samo još jedna dosadna birokratska direktiva u nizu. Ovo je najambiciozniji, najsveobuhvatniji i potencijalno najvažniji pravni tekst o tehnologiji koji je ikada napisan. To je prvi pokušaj čovečanstva da na nivou kontinenta stavi uzde na tehnologiju koja preti da postane pametnija od nas.

A sada, ono što vi, kao IT profesionalac u Srbiji, verovatno mislite: „Kakve to veze ima sa mnom? To je tamo neki Brisel…“

E, tu počinje naša priča. I ona je, da budemo oštri i direktni, kako i priliči za portal ITNetwork.rs, priča o opstanku. Jer taj zakon, napisan hiljadama kilometara daleko, uskoro će postati najvažniji dokument za vašu IT kompaniju u Beogradu, Novom Sadu ili Nišu. I ako ga ignorišete, propašćete.

Ovo je analiza tog „pravnog Terminatora“ – šta on jeste, koga će „sahraniti“, a kome će, ironično, stvoriti najveću poslovnu priliku u poslednjoj deceniji.

Poglavlje 1: Zašto uopšte stavljati „lisice“ na AI?

Pre nego što uđemo u birokratski pakao zakona, moramo da budemo brutalno iskreni o problemima koji su do njega doveli. Regulativa ne nastaje u vakuumu. Ona nastaje iz straha i štete. A AI je počeo da proizvodi oboje.

Regulatori nisu zabrinuti za ChatGPT koji piše pesme. Zabrinuti su za vrlo konkretne, već viđene slučajeve:

1. Automatizacija predrasuda (Algorithmic Bias): Najpoznatiji slučaj je Amazonov AI alat za regrutovanje. Kompanija ga je nahranila CV-jevima iz prethodnih 10 godina kako bi „naučio“ kako izgleda idealan kandidat. Pošto je u tih 10 godina Amazon dominantno zapošljavao muškarce u tehničkim ulogama, AI je „naučio“ da su muškarci bolji. Počeo je sistematski da penalizuje CV-jeve koji sadrže reč „ženski“ (npr. „kapiten ženskog odbojkaškog tima“). Amazon je morao da ugasi projekat. AI nije bio „zao“ – on je samo bio savršeno ogledalo naših sopstvenih, istorijskih predrasuda.
2. Problem „Crne kutije“ (The Black Box Problem): Koristite Deep Learning (duboko učenje) u banci da odobravate kredite. Model je 99% precizan. Ali onda odbije kredit Peri Periću. Pera Perić, po zakonu (poput GDPR-a), ima „pravo na objašnjenje“. Ali vi ne možete da mu ga date. Model je „crna kutija“. Odluku je doneo na osnovu hiljada nelinearnih veza u svojim „neuronima“. Ne možete objasniti zašto. „Kompjuter je rekao ne“ prestaje da bude lenj izgovor i postaje ozbiljan pravni problem.
3. Manipulacija i Dezinformacije: Deepfake tehnologija. AI koji generiše lažne vesti koje su ubedljivije od pravih. Algoritmi na društvenim mrežama koji su optimizovani ne da vas informišu, već da vas naprave zavisnim ili ljutim (jer je bes najlakši put do engagement-a).

EU je videla ovaj požar i odlučila da ne čeka, već da izgradi protivpožarni zid. Taj zid je EU AI Akt.

Poglavlje 2: Hirurška disekcija „zveri“ – AI Akt u popularnom prevodu

Da biste razumeli Akt, zaboravite na stotine stranica pravnog teksta. Zamislite ga kao piramidu rizika. EU je shvatila da ne možete istim pravilima regulisati AI u video igri i AI u nuklearnom reaktoru.

Zato su sve AI sisteme podelili u četiri kategorije.

Nivo 1 (Vrh piramide): Neprihvatljiv rizik (Unacceptable Risk) – ZABRANJENO

Ovo je „lista za odstrel“. Stvari koje su toliko distopijske da je EU rekla „Ovo ne može. Nikada.“ Šta je tu?

• Sistemi za „socijalno bodovanje“ (Social Scoring): Poput onoga što Kina radi. AI koji vam daje „bodove“ kao građaninu na osnovu vašeg ponašanja, i na osnovu toga vam daje (ili uskraćuje) prava. ZABRANJENO.
• Manipulativni AI: Sistemi koji koriste vaše slabosti (npr. zavisnost, mentalno stanje) da vas nateraju da uradite nešto protiv vaše volje.
• Masovna, neselektivna biometrijska identifikacija u realnom vremenu: Prepoznavanje lica svake osobe koja šeta Trgom Republike u realnom vremenu. Postoje veoma uski izuzeci (npr. potraga za nestalom decom, terorizam), ali je generalno ZABRANJENO.

Nivo 2 (Ključni nivo): Visok rizik (High Risk) – BIROKRATSKI PAKAO

OVO JE NAJVAŽNIJI DEO ZA SVAKU IT KOMPANIJU. Ovo je mesto gde će se 99% pravne borbe voditi.

Ovo su AI sistemi koji nisu zabranjeni, ali se smatraju toliko osetljivim da pre puštanja na tržište moraju da prođu rigorozan proces usaglašavanja (compliance).

Šta spada u „visok rizik“?

• Zapošljavanje (HR Tech): Bilo koji AI koji sortira CV-jeve, skoruje kandidate ili se koristi u intervjuima.
• Bankarstvo i Finansije (FinTech): Bilo koji AI koji odlučuje o vašem kreditnom skoringu (da li dobijate kredit).
• Zdravstvo: AI za medicinsku dijagnostiku, AI u hirurškim robotima.
• Pravosuđe i Policija: AI za predviđanje „verovatnoće“ da li će neko ponoviti krivično delo.
• Kritična infrastruktura: Upravljanje saobraćajem, električnom mrežom, vodosnabdevanjem.

Ako vaša IT kompanija pravi softver koji radi bilo šta od ovoga, vi ste u kategoriji „visokog rizika“. A to znači da morate da ispunite listu zahteva koja ledi krv u žilama prosečnog startup osnivača:

1. Robusna procena rizika (Risk Assessment): Morate da dokumentujete svaki mogući rizik.
2. Upravljanje podacima (Data Governance): Morate da dokažete da su podaci kojima ste trenirali model visoko-kvalitetni, reprezentativni i nepristrasni. (Srećno s tim.)
3. Tehnička dokumentacija: Morate da imate savršenu dokumentaciju koju regulator može da proveri… pre nego što izbacite proizvod.
4. Transparentnost i „Explainability“ (Objašnjivost): Korisnik mora da zna da interaguje sa AI-jem, a vi morate biti u stanju da (u određenoj meri) objasnite kako je AI doneo odluku.
5. Ljudski nadzor (Human Oversight): Ključno. Mora da postoji „dugme za gašenje“. Mora postojati čovek koji može da preispita i poništi odluku AI-ja.

Nivo 3: Ograničen rizik (Limited Risk) – OBAVEZA TRANSPARENTNOSTI

Ovo je kategorija u kojoj je većina Generative AI alata.

• Chatbotovi: Pravilo je jednostavno. Morate jasno i nedvosmisleno reći korisniku da priča sa mašinom. Nema više pretvaranja da je „Ana“ iz korisničke podrške stvarna osoba.
• Deepfakes: Bilo koji AI-generisan audio, video ili slika mora biti jasno označen kao „veštački generisan“. Kraj „skrivenim“ deepfake-ovima.

Nivo 4 (Baza piramide): Minimalan rizik (Minimal Risk) – SLOBODNO POLJE

Ovo je 90% AI aplikacija. AI u spam filterima, AI protivnici u video igrama, preporuke na Spotify-u. Za njih se ne primenjuju nikakva nova pravila. Nastavite da radite šta ste radili.

Poglavlje 3: „Problem ChatGPT“ – Regulisanje nečega što radi sve

Akt je bio u pripremi godinama. I taman kada su mislili da su sve definisali, desio se ChatGPT krajem 2022. Regulatori su shvatili da im je ceo koncept „piramide rizika“ ugrožen.

Zašto? Zato što su razmišljali o namenskim AI sistemima (AI za kredit, AI za HR…). A šta je ChatGPT (i slični Foundation Models)? To je AI opšte namene (General Purpose AI – GPAI).

To je alat koji može da se koristi za:

• Pisanje pesme (minimalan rizik)
• Pisanje koda za spam filter (minimalan rizik)
• Kao chatbot (ograničen rizik)
• Da pomogne doktoru da postavi dijagnozu (visok rizik)
• Da napiše phishing mejl (kriminal)

Kako regulisati alat koji je istovremeno i čekić (za gradnju) i oružje (za napad)?

Ovo je dovelo do ogromnih svađa u Briselu. Rezultat (koji je usvojen 2024.) je kompromis: sami kreatori tih fundamentalnih modela (OpenAI, Google, Meta…) imaju poseban set obaveza. Oni moraju da budu transparentni oko toga čime su trenirali svoje modele, moraju da sprovode rigorozno testiranje bezbednosti i da sarađuju sa regulatorima.

Poglavlje 4: Surova istina – Šta klijent iz Frankfurta očekuje od vas u Nišu?

E, sada dolazimo do dela koji se tiče nas. Zašto bi bilo koju IT kompaniju u Srbiji, koja je registrovana u Srbiji i plaća porez Srbiji, bilo briga za zakon Evropske Unije?

Odgovor je bolno jednostavan i ima tri reči: TRŽIŠTE, KLIJENTI i IZVOZ.

Hajde da razbijemo iluzije. Srpski IT sektor je, uz časne izuzetke, dominantno izvozna industrija. Mi nismo Silicon Valley koji stvara inovacije za sebe. Mi smo (uglavnom) high-end outsourcing i product-development partneri za Zapadnu Evropu i Ameriku. Naši najveći klijenti sede u Frankfurtu, Minhenu, Amsterdamu i Beču.

Sada, zamislite ovaj scenario (koji se već dešava od kako je GDPR stupio na snagu):

1. Vaš klijent je velika Nemačka banka (nazovimo je „Deutsche FinTech“).
2. Oni žele da naprave novi, „pametni“ AI credit scoring sistem.
3. Po EU AI Aktu, ovo je sistem VISOKOG RIZIKA.
4. Nemačka banka mora da prođe ceo birokratski pakao (audit, dokumentacija, procena rizika…).
5. Nemačka banka nema dovoljno svojih developera. Angažuju vas – IT firmu iz Novog Sada – da napravite ključni AI engine za njih.
6. Šta mislite da će biti prvo pitanje koje će vam postaviti njihov pravni tim?

Neće biti „Koliko brzo možete ovo da uradite?“. Biće: „Dokažite nam da je svaka linija koda koju pišete u potpunosti usaglašena sa EU AI Aktom.“

„Briselski efekat“ (The Brussels Effect) je realan fenomen. EU koristi veličinu svog tržišta (450 miliona bogatih potrošača) da de facto nameće svoje standarde ostatku sveta. Ako želite da prodajete automobile u EU, moraju da prođu EU standarde. Ako želite da prodajete softver u EU, moraće da prođe EU AI Akt.

Za srpske IT kompanije, ovo znači dve stvari:

• Pretnja (Birokratska Noćna Mora): Vaši klijenti će početi da vam „zavrću ruku“. Tražiće od vas da potpišete nove anekse ugovora, da popunjavate beskrajne upitnike o etici, da vodite logove svake odluke modela. Vaš cost of delivery (trošak pružanja usluge) će porasti. Moraćete da zaposlite (ili obučite) ljude koji razumeju i AI i pravo.
• Prilika (Zlatna Karta): Zamislite dve IT firme u Beogradu. Obe se takmiče za istog nemačkog klijenta. Firma A kaže „Mi pravimo super AI“. Firma B kaže „Mi pravimo AI koji je Certified EU AI Act Compliant. Evo našeg internog procesa audita i dokumentacije.“ Koga će nemačka banka izabrati?

Prve srpske IT kompanije koje ovladaju ovom birokratijom i koje mogu da marketinški prodaju svoju usaglašenost kao feature (karakteristiku), a ne kao teret, osvojiće tržište. „Kupite od nas, mi smo sigurni. Nećete imati pravnih problema.“ To postaje najjača prodajna poruka.

Poglavlje 5: Svet protiv EU – Rat filozofija i trošak inovacija

EU AI Akt ne postoji u vakuumu. On je direktan „šamar“ filozofiji koja dolazi iz SAD i Kine.

• Kineski model: AI je alat za državnu kontrolu. Etika je ono što Komunistička Partija kaže da jeste. Cilj je brzina i dominacija, bez obzira na građanske slobode (vidi: Social Scoring).
• Američki model: AI je alat za korporativni profit. Inovacija je na prvom mestu, predvođena sa 5 Big Tech giganata. Etika je (uglavnom) stvar interne debate, PR-a i samoregulacije (koja retko funkcioniše). Zakoni kasne godinama.
• Evropski model: AI mora biti „Human-Centric“ (čovekocentričan). Prava građana su na prvom mestu, čak i ako to znači da će inovacija biti sporija.

I tu dolazimo do najveće, i najopasnije, nenamerne posledice EU AI Akta.

Zakon je napisan sa dobrim namerama. Ali u praksi, koga on najviše pogađa? Ne pogađa Google, Meta ili OpenAI. Oni imaju armije advokata i milijarde dolara da plate compliance. Oni će lobirati, prilagoditi se i nastaviti dalje, možda čak i zadovoljni što su „barijere za ulazak“ podignute.

Ovaj zakon ubija malog igrača.

On ubija onog startup osnivača u garaži u Berlinu, ili u coworking prostoru u Novom Sadu, koji ima briljantnu ideju za AI u zdravstvu („visok rizik“). Taj osnivač nema 100.000 evra za pravnike i compliance audite pre nego što je i napisao prvu liniju koda.

Paradoksalno, u pokušaju da reguliše Big Tech, EU AI Akt možda upravo cementira dominaciju Big Tech-a. Oni postaju jedini koji mogu da priušte igru po novim, skupim pravilima. Ovo je oštra istina koju birokrate u Briselu ne vole da čuju, ali je realnost za svakog osnivača.

Poglavlje 6: Šta ovo znači za budućnost IT-ja u Srbiji?

Kao i GDPR pre njega, EU AI Akt nije „opcija“. On je nova realnost poslovanja. (Zakon je usvojen 2024., a periodi primene teku – od 2025. kreću prve obaveze, a pune primene do 2026/2027). Panika je već počela.

Šta srpske IT kompanije moraju da urade danas?

1. Obrazovanje (Odmah!): Vaši direktori, projektni menadžeri i senior developeri moraju da pročitaju bar sažetke ovog teksta (ili Akta). Moraju da razumeju „piramidu rizika“. Ignorisanje nije opcija.
2. Audit portfolija (Danas): Morate da sednete i pogledate sve svoje klijente i proizvode. Postavite pitanje: „Da li ijedan naš softver spada u ‘visok rizik’ po EU definiciji?“ Ako je odgovor „da“ ili „možda“, imate problem (ili priliku).
3. Stvaranje novih uloga: Baš kao što je GDPR stvorio poziciju DPO (Data Protection Officer), AI Akt će stvoriti potrebu za AI Compliance Officer-om ili AI Ethicist-om. Ovo je ogromna prilika za ljude iz IT-ja sa afinitetom ka pravu i etici. To će biti jedno od najplaćenijih zanimanja.
4. Promena u razvoju (DevOps -> MLOps -> ???): Nije više dovoljno samo „napisati kod koji radi“. Vaši timovi moraju da usvoje AI Governance procese. To znači logovanje svake odluke modela, verzionisanje setova podataka (zbog pristrasnosti), testiranje na rubnim slučajevima. Ovo su novi tehnički zahtevi.

Birokratija kao „Barijera ulaska“

EU AI Akt je nesavršen. On je birokratski, spor i možda će ugušiti neke inovacije. Ali on je i neizbežan.

On signalizira kraj „divljeg zapada“. Era „move fast and break things“ (kreći se brzo i lomi stvari) je zvanično mrtva, bar na evropskom kontinentu.

Za srpske IT kompanije, ovo je trenutak otrežnjenja. One koje nastave da se ponašaju kao „jeftini koderi“ i ignorišu regulativu, izgubiće svoje evropske klijente u narednih 24 meseca. Nestaće sa tržišta, zamenjeni rumunskim ili poljskim firmama koje su se brže prilagodile.

Ali one kompanije koje su pametne… one će uraditi nešto drugo. One će ovu birokratsku noćnu moru pretvoriti u svoje najjače oružje. One će investirati u compliance. One će se sertifikovati. One će prodavati poverenje.

Jer u novom svetu, gde AI može da lažira sve, jedina preostala valuta nije kod, nije brzina, pa čak ni inovacija. Jedina valuta je poverenje. A EU AI Akt, sa svim svojim manama, upravo je postavio cenu za to poverenje. I ona je visoka.