Da li je vaš AI alat zabranjen, rizičan ili dozvoljen? Kratak vodič za kompanije

Recimo da vodite firmu od tridesetak ljudi. HR koristi alat koji automatski pregleda biografije kandidata i izbacuje uži izbor. Nije kupljen kao „AI projekat", nego kao običan dodatak HR platformi. Radi posao, štedi vreme i niko se oko toga posebno ne uzbuđuje.

Princip EU AI Actaje da reguliše način na koji primenjujete tehnologiju. Isti algoritam u pozadini, može da bude potpuno bezopasan u jednoj situaciji i ozbiljan rizik u drugoj. Sistem koji vam preporučuje sledeću seriju za gledanje i sistem koji odlučuje hoćete li dobiti kredit nisu, pravno gledano, ista stvar. Iako su, tehnički, često vrlo slični.

Zato AI Act praktično uvodi četiri nivoa rizika. Radi lakšeg razumevanja, možemo ih posmatrati kao četiri grupe.

Prva grupa: zabranjene prakse

Postoji grupa AI praksi koje u EU jednostavno ne smeju da postoje. Ne uz dozvolu, ne uz nadzor, ne uz papirologiju. Tu spada ono što se popularno zove „društveno bodovanje" građana, sistemi koji ciljaju decu ili osobe sa invaliditetom kako bi ih naveli na nešto što im šteti, masovno skupljanje fotografija sa interneta da bi se pravile baze za prepoznavanje lica, pa i prepoznavanje emocija na radnom mestu i u školama.

Većina firmi nikad neće ni okrznuti ovu zonu. Ali korisno je znati gde je crvena linija. Ako praksa spada ovde, dodatna dokumentacija ne pomaže. Ne postoji verzija sistema koja prolazi kroz formalnu proceduru.

Druga grupa: visok rizik

Ovo je deo koji je dosta važan za firme.

Ako vaš AI ima bilo kakve veze sa zapošljavanjem, kreditnim odlukama, osiguranjem, obrazovanjem, kritičnom infrastrukturom ili medicinskim uređajima treba da obratite pažnju. Tu su i alati za filtriranje CV-jeva, sistemi za rangiranje kandidata, kreditni skoring, automatska procena rizika za osiguranje, pa čak i alati koji pomažu u proceni učenika.

Ono što firme često ne shvataju jeste da nisu morale ništa „radikalno" da urade da bi upale ovamo. Dovoljno je da su licencirale gotov softver od stranog dobavljača i pustile ga u proces zapošljavanja. To ne znači da ste automatski odgovorni za sve što je dobavljač napravio jer AI Act razlikuje uloge provajdera, korisnika koji uvodi sistem u rad, uvoznika i distributera, i obaveze nisu iste. Tako da ne možete prebaciti odgovornost, morate znati šta koristite. Ako ga koristite u osetljivom procesu, morate znati šta radi, na osnovu čega radi i ko u firmi nad njim ima nadzor.

U praksi to znači da podaci za treniranje koji moraju biti kvalitetni i bez sistemskih pristrasnosti. Neophodno je da postoji jasan nadzor od strane čoveka, tj. neko ko može da kaže „ne" odluci mašine. Mere tačnosti, mere sajber-bezbednost i sposobnost da sve to prikažete u slučaju provera

Drugim rečima, neće više biti dovoljno da dobavljač kaže da je sistem bezbedan. Firma će morati da jasno dokumentuje šta koristi, gde koristi, ko nadzire i šta se radi ako sistem pogreši.

Treća grupa: ograničen rizik, ili pravo korisnika da zna

Ovde stvari postaju lakše. U najvećem broju slučajeva, suština je transparentnost: korisnik mora da zna da komunicira sa AI sistemom ili da je sadržaj generisan ili izmenjen pomoću AI. Ako koristite četbot u korisničkoj podršci, korisnik mora znati da razgovara sa mašinom. Ako objavljujete sliku, video ili audio koji je generisao AI, mora biti jasno označeno.

To je pravilo koje bi svaka firma koja drži do sebe i ovako trebalo da poštuje, jer sve češće korisnici primećuju razliku.

Četvrta grupa: minimalan rizik

Ovde imamo primere poput spam filtera, AI u video-igrama, optimizacija zaliha, nabavki, preporuke proizvoda u online prodavnici. Ogromna većina svakodnevnih primena AI završi upravo ovde, i tu Brisel ne propisuje posebne obaveze, mada ohrabruje firme da i tu dobrovoljno usvoje dobre prakse.

ChatGPT, Claude, Gemini

Pitanje je šta je sa velikim AI kompanijama i njihovim servisima.

Sama pravila za velike opšte modele uglavnom pogađaju one koji ih razvijaju i stavljaju na tržište. Ali firma koja ih koristi je isto važna. Čim se takav model ugradi u konkretan poslovni proces, kao na primer kreditiranje, zapošljavanje ili procenu zaposlenih, onda se gleda ta konkretna upotreba, i sistem može pasti u kategoriju visokog rizika bez obzira što je „samo" zasnovan na opštem modelu.

ChatGPT za pisanje marketinških postova nije isti slučaj kao ChatGPT ugrađen u sistem koji procenjuje da li ćete nekome odobriti zajam. Isti alat, dva potpuno različita sveta po pravilima.

Najvažniji koraci za kompanije

Najgori način da se priđe AI Act-u je da se čeka i onda paniči. Najbolji način je nešto što vam ne treba ni advokat ni konsultant da biste počeli je popis.

Sednite, napravite spisak svih AI alata koje koristite i koje koriste vaši zaposleni, to uključite i one za koje niste ni svesni da ih imate, često su uvučeni u softver koji ste licencirali za nešto sasvim drugo. ERP sistem, CRM, HR platforma, čak i alat za marketing, u svemu tome danas u sebi često ima neki AI sloj.

Za svaki od njih, tri pitanja: šta tačno radi, na koga utiče (na zaposlene, klijente, kandidate, pacijente), i šta se dešava ako pogreši.

Kad date odgovor na ova tri pitanja, već imate dobru predstavu o tome u kojoj ste grupi. Ostalo je tehnika.
Ono što često govorim firmama jeste da AI Act ne treba čitati kao listu kazni, nego kao mapu. Mapu odgovornosti, ali i mapu prilike. Jer one firme koje prve shvate gde mogu da rade brzo, a gde moraju pažljivo, neće samo izbeći probleme. Imaće ozbiljnu prednost u odnosu na one koje će u poslednjem trenutku trčati za papirima.

A takvih firmi će biti mnogo, posebno među onima koje danas misle da se AI Act odnosi samo na velike tehnološke kompanije. Ovo je posebno važno i za kompanije u Srbiji, i za one koje dosta posluju sa EU, ali i zbog najava nove regulative u Srbiji.