Europska regulacija umjetne inteligencije

Europska unija učinila je nešto što nijedna druga jurisdikcija na svijetu do sada nije uspjela.

Donijela je prvi sveobuhvatni zakon koji regulira razvoj, primjenu i korištenje sustava umjetne inteligencije.

Taj zakon nosi naziv AI Act (službeno: Uredba (EU) 2024/1689 o utvrđivanju usklađenih pravila o umjetnoj inteligenciji).

Njegova službena objava 2024. godine označila je početak nove ere u kojoj se razvoj umjetne inteligencije mora odvijati unutar jasno definiranog pravnog okvira.

No ono što čini ovaj vodič posebno relevantnim upravo sada, u listopadu 2026., jest činjenica da je EU AI Act ušao u svoju odlučujuću fazu provedbe.

Provedba EU AI Acta započela je 2. kolovoza 2026., zahtijevajući od chatbotova da se identificiraju korisnicima te od AI-generiranog sadržaja da nosi jasne oznake.

Istovremeno, takozvani Digital Omnibus donio je značajne promjene u vremenskim rokovima za visokorizične sustave, što je stvorilo složenu regulatornu sliku koju svaka organizacija mora razumjeti.

Značaj ovog zakonodavnog akta teško je precijeniti.

Dok se cijeli svijet ubrzano susreće s izazovima koje donosi umjetna inteligencija, Europa je prva ponudila konkretan regulatorni odgovor koji postavlja standarde za desetljeća koja dolaze.

AI Act nije samo europska priča.

Baš kao što je Opća uredba o zaštiti podataka (GDPR) transformirala globalni pristup privatnosti podataka, tako AI Act ima potencijal oblikovati svjetsku regulaciju umjetne inteligencije.

Svaka tvrtka koja razvija ili koristi AI sustave i posluje na europskom tržištu mora razumjeti što ovaj zakon zahtijeva, koji rokovi vrijede i kako se pripremiti za usklađivanje.

Posebno je važno za područje kibernetičke sigurnosti u Hrvatskoj, gdje rastu i broj incidenata i složenost prijetnji koje koriste upravo umjetnu inteligenciju.

Detalji o AI Act-u

AI Act (Uredba o umjetnoj inteligenciji) službeni je zakonodavni akt Europske unije koji uspostavlja usklađena pravila za razvoj, stavljanje na tržište, puštanje u rad i korištenje sustava umjetne inteligencije unutar Europske unije.

EU Akt o umjetnoj inteligenciji je uredba, što znači da se izravno primjenjuje u svim državama članicama EU, uključujući Hrvatsku, bez potrebe za prijenosom u nacionalno zakonodavstvo.

Zakonodavni put i ključni datumi

Razvoj AI Acta bio je dugotrajan i složen proces koji je trajao gotovo četiri godine:

• Travanj 2021. – Europska komisija predstavlja prvi prijedlog Uredbe o umjetnoj inteligenciji.
• Prosinac 2022. – Vijeće Europske unije usvaja opći pristup prijedlogu.
• Lipanj 2023. – Europski parlament usvaja svoju pregovaračku poziciju.
• Prosinac 2023. – Postignuti politički dogovor između Parlamenta, Vijeća i Komisije.
• Ožujak 2024. – Europski parlament službeno usvaja AI Act.
• Srpanj 2024. – Uredba objavljena u Službenom listu EU-a.
• Kolovoz 2024. – Uredba stupa na snagu s postupnim razdobljima primjene.

Svrha AI Acta jest osigurati da se sustavi umjetne inteligencije koji se koriste u EU-u budu sigurni, transparentni, sljedivi, nediskriminirajući i ekološki prihvatljivi. Zakon istovremeno teži očuvati inovacijski potencijal Europe i zaštititi temeljna prava građana.

Važno je napomenuti da AI Act definira sustav umjetne inteligencije kao strojno utemeljeni sustav dizajniran za rad s različitim razinama autonomije.

Može pokazati prilagodljivost nakon implementacije i koji za eksplicitne ili implicitne ciljeve generira izlaze poput predviđanja, preporuka ili odluka koje mogu utjecati na fizičko ili virtualno okruženje.

Zašto je AI Act stvoren?

Europska unija prepoznala je da se umjetna inteligencija razvija brzinom koja nadmašuje sposobnost postojećih regulatornih okvira da adekvatno odgovore na nove izazove.

Motivacija za donošenje AI Acta proizlazi iz nekoliko ključnih čimbenika, a brojke iz područja cyber sigurnosti u Hrvatskoj samo potvrđuju hitnost regulacije.

Zabrinutost za temeljna prava

Sustavi umjetne inteligencije mogu izravno utjecati na temeljna prava građana i prava na pravično suđenje.

Bez regulacije, postoji realna opasnost da AI sustavi donose odluke koje su pristrane, netransparentne ili štetne za pojedince i društvo u cjelini.

Rastuće kibernetičke prijetnje

Informacijska sigurnost u Hrvatskoj suočava se s alarmantnim trendovima koji su izravno povezani s ubrzanim razvojem AI-ja.

Prema podacima Nacionalnog CERT-a, od početka 2026. godine do kraja rujna zabilježena su 1.203 kibernetička incidenta, od kojih se 439 (36%) odnosi na phishing napade, 289 (24%) na neželjene poruke, a 224 (19%) na ostale vrste financijski motiviranih prijevara.

Hrvatski nacionalni CERT lani je obradio 1.513 kibernetičkih incidenata, što je 35,9 posto više nego godinu ranije.

Ove brojke jasno pokazuju zašto je regulacija AI sustava neophodna: kibernetičke prijetnje u 2026. godini sve su raznovrsnije, a napadači koriste sve uvjerljivije metode kako bi došli do osobnih podataka, novca i pristupa informacijskim sustavima.

Prema podacima Ministarstva unutarnjih poslova, materijalna šteta uzrokovana kibernetičkim kriminalom premašila je 16 milijuna eura u prvih šest mjeseci 2026. godine.

Ravnoteža između inovacije i zaštite

EU je nastojao pronaći ravnotežu između dva naizgled suprotstavljena cilja: poticanja inovacija u području umjetne inteligencije i zaštite građana od potencijalnih rizika.

AI Act stoga ne zabranjuje umjetnu inteligenciju niti pretjerano ograničava njezin razvoj, već uspostavlja proporcionalan okvir u kojem se rizičniji sustavi podvrgavaju strožim zahtjevima, dok se za sustave minimalnog rizika gotovo nikakva posebna pravila ne primjenjuju.

Fragmentacija tržišta

Bez jedinstvenog EU okvira, postojala je opasnost da svaka država članica donese vlastite, potencijalno proturječne propise o umjetnoj inteligenciji. AI Act osigurava jednako tržište i jednaka pravila za sve koji posluju na području Europske unije.

Ključna načela AI Acta

AI Act temelji se na pet temeljnih načela koja prožimaju cijeli zakonodavni tekst i oblikuju sve specifične zahtjeve.

1. Pristup utemeljen na riziku

Na tome počiva cijeli AI Act. Zakon dijeli sve sustave umjetne inteligencije u četiri skupine, ovisno o tome koliko mogu ugroziti zdravlje, sigurnost i temeljna prava ljudi.

Raspon ide od zabranjenih praksi do sustava s minimalnim rizikom. Logika je jednostavna: veći rizik znači i stroža pravila.

2. Zahtjev za ljudskim nadzorom

AI Act inzistira na tome da sustavi umjetne inteligencije moraju biti dizajnirani tako da ih ljudi mogu učinkovito nadzirati.

Krajnji korisnici i operateri moraju moći razumjeti mogućnosti i ograničenja AI sustava, pratiti njihov rad, intervenirati kada je potrebno te, u određenim situacijama, poništiti odluke koje je sustav donio autonomno.

3. Obveze transparentnosti

Transparentnost je ključna za izgradnju povjerenja u sustave umjetne inteligencije.

Novi zahtjevi transparentnosti zahtijevaju da određeni AI sustavi obavijeste korisnike kada komuniciraju s AI-jem i kada je sadržaj generiran ili izmijenjen pomoću AI-ja.

Chatbotovi i drugi interaktivni AI sustavi moraju korisnicima jasno reći da imaju posla s AI-jem, a ne s čovjekom.

4. Okvir odgovornosti

AI Act uspostavlja jasan lanac odgovornosti koji obuhvaća pružatelje, implementatore i korisnike AI sustava.

Svaki sudionik u životnom ciklusu AI sustava ima jasno definirane obveze, a za nepoštivanje predviđene su značajne sankcije.

5. Zaštita temeljnih prava

AI Act izričito štiti temeljna prava zajamčena Poveljom Europske unije o temeljnim pravima.

Tu spadaju zaštita od diskriminacije, pravo na privatnost, sloboda izražavanja, pravo na djelotvoran pravni lijek i prava djece.

Kategorije rizika AI sustava

Srce AI Acta čini klasifikacija sustava umjetne inteligencije u četiri razine rizika.

Svaka razina nosi različite obveze i zahtjeve.

Zabranjeni AI sustavi

Na vrhu piramide rizika nalaze se AI sustavi koji predstavljaju neprihvatljivu prijetnju temeljnim pravima i sigurnosti građana.

Ovi sustavi su u potpunosti zabranjeni i ne smiju se razvijati, stavljati na tržište niti koristiti unutar EU-a.

Zabranjene AI prakse provode se od 2. veljače 2025.

Zabranjeni sustavi uključuju sustave za socijalno bodovanje (social scoring), manipulativne AI sustave, biometrijsko prepoznavanje u stvarnom vremenu u javnim prostorima za potrebe kaznenog progona (uz strogo ograničene iznimke).

Zatim, sustave za prepoznavanje emocija na radnom mjestu i u obrazovnim institucijama, AI sustave koji stvaraju baze podataka za prepoznavanje lica putem neselektivnog prikupljanja slika te sustave za biometrijsku kategorizaciju koji koriste osjetljive karakteristike.

Važna novost

Od prosinca 2026. na snagu stupa nova zabrana koju je donio Digital Omnibus.

Članak 5 sada zabranjuje AI sustave dizajnirane za generiranje nekonsensualne intimne slike (tzv. nudifier aplikacije) uz materijale seksualnog zlostavljanja djece.

Parlament je inzistirao na ovome tijekom trijaloga, a nove zabranjene prakse primjenjuju se od 2. prosinca 2026.

Visoki rizik

Visokorizični AI sustavi čine najdetaljnije reguliranu kategoriju unutar AI Acta.

Riječ je o sustavima koji mogu značajno utjecati na zdravlje, sigurnost ili temeljna prava pojedinaca, ali čije korištenje nije zabranjeno ako zadovoljavaju stroge uvjete.


Visokorizični sustavi obuhvaćaju:

• biometrijsku identifikaciju i kategorizaciju,

• upravljanje kritičnom infrastrukturom, obrazovanje

• stručno osposobljavanje, zapošljavanje i upravljanje ljudskim resursima,

• pristup osnovnim javnim i privatnim uslugama,

• kazneni progon,

• upravljanje migracijama i graničnom kontrolom

• te pravosuđe i demokratske procese.

Za tvrtke koje se u Hrvatskoj i regiji bave cyber sigurnošću ovo je posebno važno.

AI sustavi u kritičnoj infrastrukturi, poput energetskih mreža, telekomunikacijskih sustava i prometne infrastrukture, spadaju upravo u ovu kategoriju i podliježu najstrožim zahtjevima.

Ograničeni rizik

Sustavi ograničenog rizika podliježu primarno obvezama transparentnosti.

Korisnici moraju biti obaviješteni da su u interakciji s AI sustavom.

Ova kategorija uključuje chatbotove i konverzacijske AI sustave, generatore deepfake sadržaja, sustave za prepoznavanje emocija i sustave za biometrijsku kategorizaciju izvan zabranjenih primjena.

Minimalni rizik

Velika većina AI sustava na tržištu spada u kategoriju minimalnog ili nikakavog rizika.

Europska komisija procjenjuje da oko 85% svih AI sustava koji se trenutno koriste spadaju u ovu kategoriju, što znači da ih AI Act ne opterećuje dodatnim regulatornim zahtjevima.

Primjeri uključuju AI u videoigrama, filtre za neželjenu poštu, automatske prevoditelje i sustave za preporuku sadržaja.

Digital Omnibus, najveća promjena

Jedna od najvažnijih vijesti za sve koji prate EU AI Act u 2026. jest donošenje takozvanog Digital Omnibusa, koji je značajno izmijenio rokove i neke odredbe izvornog zakona.

Svaka tvrtka koja se u Hrvatskoj i EU-u bavi informacijskom sigurnošću mora znati ovu informaciju.

Što je Digital Omnibus?

Ovaj zakonodavni prijedlog (poznat kao “AI Omnibus”) usvojen je 19. studenoga 2025., politički dogovor postignut je 7. svibnja 2026., a stupio je na snagu 27. srpnja 2026.

Digital Omnibus o umjetnoj inteligenciji objavljen je u Službenom listu kao Uredba (EU) 2026/1744.

Ključne promjene

Obveze za visokorizične AI sustave označene prema Članku 6(2) i Aneksu III AI Acta sada stupaju na snagu 2. prosinca 2027. umjesto 2. kolovoza 2026. To je produljenje od 16 mjeseci u odnosu na izvorni rok.

Visokorizični AI sustavi ugrađeni u regulirane proizvode, poput medicinskih uređaja i strojeva, dobivaju paralelno 12-mjesečno produljenje, pomičući rok s 2. kolovoza 2027. na 2. kolovoza 2028.

Ono što se NIJE promijenilo jednako je važno: Obveze transparentnosti iz Članka 50 (obavještavanje korisnika da razgovaraju s chatbotom, označavanje deepfakeova) ostaju nepromijenjene i primjenjuju se od 2. kolovoza 2026.

Zašto je odgoda bila potrebna?

Tijekom 2025. postalo je sve jasnije da će objava ključnih smjernica, standarda i druge relevantne dokumentacije kasniti, ostavljajući organizacijama malo ili nimalo vremena za pripremu za rok usklađivanja 2. kolovoza 2026.

Povrh toga, niz država članica EU-a zaostao je s implementacijom AI Acta u nacionalno zakonodavstvo.

Među zemljama koje nisu donijele relevantno zakonodavstvo bile su Francuska, Njemačka i Irska. Ukupno je najmanje 12 država članica propustilo rok za imenovanje nadležnih tijela, a 19 ih nije imenovalo jedinstvene kontaktne točke.

Provedba je započela

Unatoč odgodi za visokorizične sustave, provedba AI Acta je daleko od teoretske. Europska borba za regulaciju AI modela prešla je s papira u praksu 2. kolovoza 2026., kada su Europska komisija i EU AI Office te nacionalna tijela započeli s provođenjem AI Acta.

Što je aktivno upravo sada?

Od 2. kolovoza 2026. aktivirane su provedbene ovlasti GPAI-ja i obveze transparentnosti iz Članka 50, dok je Digital Omnibus pomaknuo obveze za visokorizične sustave na prosinac 2027.

Konkretno, aktivne su sljedeće obveze:

• Zabrane iz Članka 5 – na snazi od veljače 2025.

• Obveze AI pismenosti – na snazi od kolovoza 2025.

• GPAI obveze – na snazi od kolovoza 2025., s provođenjem od kolovoza 2026.

• Obveze transparentnosti (Članak 50) – na snazi od kolovoza 2026.

• Provedbene ovlasti i kazne – aktivirane od kolovoza 2026.

Provedbene ovlasti AI Officea pokrivaju pružatelje modela umjetne inteligencije opće namjene (GPAI).

Komisija je izjavila da pružatelji najnaprednijih GPAI modela moraju adresirati rizike velikih šteta, uključujući kemijske, biološke, radiološke i nuklearne incidente, gubitak kontrole, kibernetičke napade, štetnu manipulaciju i prijetnje temeljnim pravima.

Komisija je najavila početak provedbe 31. srpnja 2026. i pokrenula alat za pritužbe na AI Act (AI Act Complaint Tool) te alat za zviždače (Whistleblower Tool).

Modeli opće namjene (GPAI)

Jedna od najznačajnijih inovacija AI Acta jest poseban regulatorni režim za modele umjetne inteligencije opće namjene (GPAI). Ova kategorija obuhvaća modele poput GPT-4, Claude, Gemini, LLaMA i sličnih velikih jezičnih modela.

Svi pružatelji GPAI modela moraju dokumentirati određene informacije i pružiti ih nadležnim tijelima ili nizvodnim pružateljima.

Također moraju uspostaviti politiku poštivanja autorskih prava i objaviti dovoljno detaljan sažetak sadržaja korištenog za treniranje modela.

GPAI modeli koji predstavljaju sistemski rizik podliježu dodatnim, strožim zahtjevima.

Model se automatski klasificira kao sistemski rizičan ako je za njegovo treniranje korištena ukupna računalna snaga veća od 10^25 FLOPS-a.

Od 2. kolovoza 2026. EU AI Office dobio je formalne ovlasti za istraživanje i provođenje obveza AI Acta za pružatelje GPAI modela, kao i za pravila o zabranjenim AI praksama.

Te ovlasti uključuju zahtijevanje informacija i dokumentacije, pristup modelima za evaluaciju, zahtijevanje korektivnih mjera i mjera za ublažavanje rizika te izricanje kazni do 15 milijuna eura ili 3% globalnog godišnjeg prometa, ovisno o tome koji je iznos viši.

Za tvrtke iz područja cyber sigurnosti to je vrlo važno. GPAI modeli sve se češće ugrađuju u sigurnosne alate.

Vremenski okvir (listopad 2026.)

Na temelju izvornog AI Acta i izmjena koje je donio Digital Omnibus, evo potpunog i ažuriranog vremenskog okvira:

• 2. veljače 2025. (PROŠLO): Primjena odredbi o zabranjenim AI praksama.

• 2. kolovoza 2025. (PROŠLO): Obveze za GPAI modele i AI pismenost.

• 2. kolovoza 2026. (PROŠLO): Obveze transparentnosti iz Članka 50 primjenjuju se od 2. kolovoza 2026. Aktivirane provedbene ovlasti i kazne za GPAI.

• 2. prosinca 2026. (USKORO): Zabrane AI sustava koji generiraju nekonsensualne intimne slike i materijale seksualnog zlostavljanja djece stupaju na snagu.

Pružatelji AI sustava koji generiraju sintetički sadržaj, a koji su stavljeni na tržište prije 2. kolovoza 2026., moraju do tog datuma poduzeti potrebne korake za usklađivanje s Člankom 50(2).

• 2. prosinca 2027.: Pravila za sustave koji se koriste u određenim visokorizičnim područjima – uključujući biometriju, kritičnu infrastrukturu, obrazovanje, zapošljavanje, migracije, azil i graničnu kontrolu – primjenjuju se od 2. prosinca 2027.

• 2. kolovoza 2028.: Za sustave integrirane u proizvode kao što su dizala ili igračke, pravila se primjenjuju od 2. kolovoza 2028.

Kazne i provedba

AI Act predviđa značajne financijske sankcije za nepoštivanje, strukturirane u tri razine ovisno o težini prekršaja.

Za korištenje zabranjenih AI sustava kazna iznosi do 35 milijuna eura ili 7% globalnog godišnjeg prihoda (viši iznos).

Za nepoštivanje zahtjeva za visokorizične sustave predviđena je kazna do 15 milijuna eura ili 3% globalnog godišnjeg prihoda.

Za pružanje netočnih informacija tijelima kazna može doseći 7,5 milijuna eura ili 1% globalnog godišnjeg prihoda.

Odgovornost za provedbu podijeljena je između nekoliko tijela.

AI Office izravno nadzire modele opće namjene, s ovlašću za zahtijevanje tehničke dokumentacije, provođenje evaluacija, zahtijevanje korektivnih koraka i izricanje kazni.

Specifičnosti i izazovi

Situacija u Hrvatskoj posebno je zanimljiva i zabrinjavajuća istovremeno. Dok se rokovi AI Acta približavaju, Hrvatska se suočava s nizom specifičnih izazova.

Problem imenovanja nadležnih tijela

Jedan od izazova je što Hrvatska još nije odredila instituciju koja će provoditi AI Act. Rok za imenovanje nacionalnih tijela bio je kolovoz 2025., ali polovica država EU tada još nije donijela odluku. Hrvatska je među njima.

Postoji mogućnost da nekoliko institucija dijeli nadležnosti, primjerice HAKOM, AZOP ili HANFA.

U Hrvatskoj nadzor provodi Ministarstvo gospodarstva u suradnji s AZOP-om (za zaključke koji uključuju osobne podatke).

Prema Deloitteovu istraživanju, Danska, Italija, Mađarska, Malta i Slovenija već su donijele nacionalne zakone i imenovale tijela koja će nadzirati provedbu AI akta. Hrvatska, nažalost, zaostaje za tim zemljama.

Kazneni zakon i AI

Dodatnu kompleksnost u Hrvatskoj stvara i izmjena Kaznenog zakona.

Nova odredba u Kaznenom zakonu propisuje da osoba koja tijekom razvoja, testiranja ili uporabe AI sustava izazove opasnost za život ljudi ili veliku materijalnu štetu može dobiti zatvorsku kaznu od šest mjeseci do pet godina.

Takva situacija stavlja hrvatske developere u posebno osjetljiv položaj.

Na koga se AI Act primjenjuje?

Teritorijalni opseg AI Acta znatno je širi nego što mnogi očekuju.

Uredba se ne primjenjuje samo na europske tvrtke, već obuhvaća širok krug subjekata bez obzira na njihovo sjedište.

Subjekti obuhvaćeni regulacijom uključuju:

• pružatelje AI sustava koji ih stavljaju na tržište u EU-u (neovisno o sjedištu),

• implementatore AI sustava koji se nalaze u EU-u,

• pružatelje i implementatore u trećim zemljama ako se izlaz AI sustava koristi na teritoriju EU-a

• te uvoznike, distributere i proizvođače proizvoda koji integriraju AI sustave.

Iznimke se odnose na AI sustave za vojne svrhe i nacionalnu sigurnost, istraživanje i razvoj prije stavljanja na tržište, privatne neprofesionalne korisnike te AI sustave otvorenog koda uz značajna ograničenja.

Globalni utjecaj AI Acta

Europska unija započela je s provođenjem velikih odredbi svog sveobuhvatnog Akta o umjetnoj inteligenciji, označavajući novu fazu u nastojanju Bruxellesa da regulira razvoj i korištenje umjetne inteligencije diljem svijeta.

Takozvani “Bruxelleški učinak” (Brussels Effect) već se očituje. Globalne tehnološke tvrtke od Applea i Googlea do Mete i Microsofta moraju svoja AI rješenja uskladiti s AI Actom ako žele pristupiti europskom tržištu od gotovo 450 milijuna potrošača.

Brazil, Kanada, Japan i Južna Koreja razmatraju regulatorne okvire inspirirane europskim pristupom.

Usklađivanje s AI Actom

Bez obzira na to u kojoj fazi digitalne transformacije se vaša organizacija nalazi, proaktivan pristup usklađivanju s AI Actom donosi konkurentsku prednost i smanjuje rizik od značajnih kazni.

S obzirom na rastuće cyber napade u Hrvatskoj, usklađivanje s AI Actom ujedno jača i ukupnu kibernetičku otpornost organizacije.

1. Provedite inventuru AI sustava

Prvi korak je identificirati sve AI sustave koje vaša organizacija razvija, koristi ili nabavlja.

Uključite sve odjele u proces.

2. Klasificirajte prema kategorijama rizika

Za svaki identificirani AI sustav odredite u koju kategoriju rizika spada.

Angažirajte pravne stručnjake specijalizirane za AI regulaciju ako ste u nedoumici.

3. Uspostavite okvir upravljanja AI-jem

Razvijte internu politiku upravljanja umjetnom inteligencijom koja definira uloge, odgovornosti i procese.

4. Ispunite dokumentacijske zahtjeve

Započnite s pripremom tehničke dokumentacije za visokorizične sustave. Iako je rok za visokorizične sustave sada prosinac 2027., priprema zahtijeva vrijeme.

5. Implementirajte obveze transparentnosti

Obveze transparentnosti iz Članka 50 već su na snazi. Ako vaša organizacija koristi chatbotove ili generira AI sadržaj, morate osigurati jasno označavanje i obavještavanje korisnika.

6. Upravljajte dobavljačima

Ako koristite AI sustave trećih strana, revidirajte ugovorne odnose s dobavljačima.

Osigurajte da ugovori definiraju odgovornosti u pogledu usklađenosti s AI Actom.

7. Educirajte zaposlenike

Organizirajte programe obuke o AI Actu za sve relevantne zaposlenike.

Prema trackeru Future of Life Institutea za nacionalnu implementaciju, od 17. lipnja 2026. samo je 9 od 27 država članica EU-a u potpunosti odredilo i tijelo za nadzor tržišta i tijelo za prijavljivanje.