Закон на ЕУ за вештачка интелигенција: што важи сега, а што е одложено

Законот на ЕУ за вештачка интелигенција, Регулатива (ЕУ) 2024/1689, се применува во фази откако стапи на сила на 1 август 2024 година: забраните, правилата за моделите на вештачка интелигенција за општа намена и обврските за транспарентност за чет-ботови и содржина генерирана од вештачка интелигенција веќе важат. Најстрогиот режим, за вештачка интелигенција со висок ризик, е одложен со Омнибусот за вештачка интелигенција до 2 декември 2027 година за системите наведени во Анекс III и до 2 август 2028 година за вештачката интелигенција во регулирани производи.

Регулативата (ЕУ) 2026/1744 за омнибусот за вештачка интелигенција беше објавена во Службениот весник во јули 2026 година и сега е во сила. Затоа, одложените датуми се утврден закон, а не претпоставка за планирање. Подолу објаснуваме што бара Законот за вештачка интелигенција, кого обврзува, што важи денес и како можете да се подготвите.

Што е Законот за вештачка интелигенција на ЕУ?

Законот за вештачка интелигенција е регулатива на ЕУ базирана на ризик: колку е поголем ризикот што го претставува системот за вештачка интелигенција, толку се потешки обврските. Се применува директно во Холандија, без потреба од холандско законодавство за спроведување на основните правила.

Целта е двојна. Законот ги штити здравјето, безбедноста и основните права, а им дава и правна сигурност на бизнисите, така што доверлива вештачка интелигенција може да се развива и користи на целиот единствен пазар.

Законот го дефинира системот за вештачка интелигенција широко, во согласност со пристапот на OECD. Тоа е систем базиран на машина кој работи со одреден степен на автономија, може да се адаптира откако ќе се распореди и, од влезните податоци што ги прима, заклучува како да генерира излезни податоци како што се предвидувања, содржина, препораки или одлуки што можат да влијаат на физичките или виртуелните средини. Оваа широка дефиниција ги опфаќа современите модели на машинско учење, вклучувајќи генеративна и општа намена на вештачката интелигенција. Едноставниот софтвер базиран на правила што следи само упатства напишани од луѓе генерално спаѓа надвор од неа.

Дали Законот за вештачка интелигенција се однесува на вашата организација?

Веројатно, ако развивате, продавате или користите системи за вештачка интелигенција во професионален контекст во ЕУ. Законот, исто така, допира до компании надвор од ЕУ кога нивниот систем ќе се пласира на пазарот на ЕУ или неговиот производ ќе се користи во ЕУ.

Затоа, компанија од САД или Велика Британија што им служи на европски клиенти може да спаѓа во опфатот. Законот разликува неколку улоги, секоја со свои должности:

• Доставувачите развиваат систем за вештачка интелигенција или модел на вештачка интелигенција за општа намена и го пласираат на пазарот или го ставаат во употреба под свое име или трговска марка. Тие ги носат најтешките обврски.
• Работодавачите користат систем со вештачка интелигенција под нивна надлежност во професионален контекст, на пример, работодавач кој користи алатка со вештачка интелигенција за проверка на кандидатите за работа. Чисто личната, непрофесионална употреба спаѓа надвор од овие должности.
• Увозниците и дистрибутерите внесуваат систем од трета страна на пазарот на ЕУ или го прават достапен понатаму во синџирот на снабдување и мора да проверат дали добавувачот ги исполнил своите обврски.
• Производителите на производи, а во некои случаи и овластените претставници на добавувачи кои не се од ЕУ, можат да преземат обврски кон добавувачите.

Вашата улога може да се промени. Имплементатор кој значително модифицира систем со висок ризик или го пласира на пазарот под свое име, станува добавувач и ги презема построгите должности. Проверете го ова пред да прилагодите систем купен од добавувач.

Како Законот за вештачка интелигенција го класифицира ризикот?

Законот работи со четири нивоа на ризик: забранети практики, висок ризик, ограничен ризик со обврски за транспарентност и минимален ризик. Нивото зависи од целта за која го користите системот, а не од технологијата што стои зад него.

Забранети практики

Некои употреби се целосно забранети според Член 5, а тие забрани се применуваат од 2 февруари 2025 година. Тие вклучуваат манипулативни или измамнички техники кои материјално го нарушуваат однесувањето и предизвикуваат значителна штета, како и искористување на ранливостите поврзани со возраста, попреченоста или социо-економската состојба. Исто така, забранети се социјалното бодување, нецелното собирање слики од лицето за градење бази на податоци за препознавање, препознавањето емоции на работното место и во образованието (освен од медицински или безбедносни причини) и биометриската категоризација што подразбира чувствителни карактеристики како што се религијата или сексуалната ориентација.

Далечната биометриска идентификација во реално време на јавни места за спроведување на законот е забранета, со одредени исклучоци со заштитни мерки. AI Omnibus додава нова забрана за AI системи кои генерираат материјал за сексуална злоупотреба на деца или интимни слики од лица што можат да се идентификуваат без согласност.

Висок ризик

Системите со висок ризик се дозволени, но строго регулирани. Постојат две групи. Анекс I опфаќа вештачка интелигенција која е безбедносна компонента на, или самата по себе е, производ кој веќе е регулиран со законодавството на ЕУ за производи, како што се медицински помагала, машини, лифтови и играчки. Анекс III ги наведува самостојните употреби во чувствителни области: биометрија, критична инфраструктура, образование, вработување и управување со работници, пристап до основни јавни и приватни услуги како што се кредити и осигурување, спроведување на законот, миграција и гранична контрола и спроведување на правдата и демократските процеси.

Систем наведен во Анекс III не е со висок ризик ако извршува само тесна процедурална или подготвителна задача и не влијае материјално врз исходот од одлуката. Тој исклучок е прецизно наведен, а давателот на услуги што се потпира на него мора да ја документира својата проценка.

Ограничен ризик: транспарентност

Некои системи не се со висок ризик, но можат да ги доведат луѓето во заблуда. Тие имаат обврски за транспарентност согласно Член 50. Луѓето мора да бидат информирани кога комуницираат со чет-бот, содржината генерирана од вештачка интелигенција или манипулирана содржина мора да биде откриена и обележана, а луѓето мора да бидат информирани кога се изложени на дозволено препознавање емоции или биометриска категоризација.

Минимален ризик

Поголемиот дел од вештачката интелигенција, како што се филтрите за спам, пребарувачите за препораки и вештачката интелигенција во видео игрите, спаѓаат во оваа категорија. Законот не наметнува никакви специфични обврски овде, иако се охрабруваат доброволни кодекси на однесување, а општата обврска за писменост за вештачка интелигенција од Член 4 сè уште важи.

Кога важат обврските?

Законот се применува во фази. Забраните, обврската за писменост за вештачка интелигенција, правилата за вештачка интелигенција со општа намена и должностите за транспарентност веќе важат; правилата за висок ризик следат во декември 2027 и август 2028 година.

Следуваат две практични точки. Прво, обврските за транспарентност не се грижа за иднината: тие се применуваат од 2 август 2026 година. Само добавувачите на генеративни системи за вештачка интелигенција кои веќе биле на пазарот пред тој датум имаат рок до 2 декември 2026 година да го исполнат барањето за означување читливо од машина. Системите пуштени на пазарот од 2 август 2026 година па наваму немаат грејс период.

Второ, дополнителното време за вештачка интелигенција со висок ризик е одложување, а не ослободување. Суштинските обврски не се променети, а изработката на техничко досие, систем за управување со ризици и човечки надзор трае со месеци. Има смисла да се започне сега.

Што мора да направат добавувачите, имплементаторите и увозниците?

Доставувачите на системи со висок ризик го носат главниот товар и мора да докажат сообразност пред системот да се појави на пазарот. Имплементаторите мора правилно да го користат системот, да го надгледуваат и да ги информираат засегнатите лица.

Давателите на системи со висок ризик мора да воспостават систем за управување со ризици што го опфаќа целиот животен циклус, да применуваат управување со податоци за обука, валидација и податоци за тестирање, како и да изготвуваат и одржуваат техничка документација. Тие мора да го дизајнираат системот за автоматско евидентирање, да дадат јасни упатства за употреба, да овозможат ефикасен човечки надзор и да постигнат соодветна точност, робусност и сајбер безбедност. Пред да го пласираат системот на пазарот, тие вршат проценка на сообразноста, изготвуваат декларација за сообразност на ЕУ, ја ставаат ознаката CE и го регистрираат системот во базата на податоци на ЕУ. После тоа, тие го следат системот на пазарот и пријавуваат сериозни инциденти.

Имплементаторите на системи со висок ризик мора да го користат системот во согласност со упатствата на давателот на услуги, да им доделат човечки надзор на компетентен персонал, да се осигурат дека внесените податоци се релевантни, да го следат работењето и да ги водат логовите. Доколку е потребно, тие мора да ги информираат засегнатите лица. Јавните тела и одредени приватни имплементатори, на пример во кредитното бодување и одредувањето цени на осигурувањето, мора да спроведат проценка на влијанието врз основните права. Работодавците мора да ги информираат работниците и нивните претставници пред да пуштат во употреба систем со висок ризик на работното место.

Увозниците и дистрибутерите мора да проверат дали добавувачот ја завршил проценката на сообразноста, документацијата и CE ознаката пред да го стават системот на располагање. Доколку сметаат дека системот не е во согласност, тие не смеат да го достават и мора да го известат добавувачот и, каде што е релевантно, властите.

Обврската за писменост за вештачка интелигенција во Член 4 се однесува на сите даватели на услуги и имплементатори. Омнибусот за вештачка интелигенција ја омекна формулацијата: организациите сега мора да преземат мерки за поддршка на доволно ниво на писменост за вештачка интелигенција кај нивниот персонал. Очекувањето дека луѓето кои работат со вештачка интелигенција разбираат што прави таа и каде може да тргне наопаку останува.

Кои технички барања важат за вештачка интелигенција со висок ризик?

Давателот на услуги мора да биде способен да покаже седум работи: управување со ризици, квалитет на податоци, техничка документација, евидентирање, транспарентност, човечки надзор и точност, робусност и сајбер безбедност. Заедно тие го формираат доказот за проценка на сообразноста.

Управувањето со ризици мора да биде документиран и повторувачки процес, а не еднократна вежба. Користените податоци мора да бидат соодветни за наменетата цел, со внимание на пристрасноста и репрезентативноста. Техничката документација мора да биде доволно детална за надлежниот орган да ја процени усогласеноста. Настаните мора автоматски да се евидентираат за да може да се следи работењето на системот.

Упатствата за употреба мора да му овозможат на распоредувачот правилно да го разбере и користи системот. Човечкиот надзор мора да биде дизајниран во системот, така што лицето може да го разбере излезот, да интервенира и да го запре системот. Конечно, давателот на услуги мора да покаже соодветно ниво на точност, робусност и сајбер безбедност. Во пракса, ова е материјалот што регулаторот ќе побара прво да го види.

Што важи за моделите на вештачка интелигенција за општа намена?

Давателите на модели за вештачка интелигенција за општа намена (GPAI) имаат свои обврски од 2 август 2025 година. Моделите со системски ризик се соочуваат со дополнителни должности.

Според членовите 53 до 55, сите даватели на GPAI мора да водат техничка документација, да објават доволно детален резиме на содржината што се користи за обука, да имаат политика за усогласување со законот за авторски права на ЕУ и да им даваат информации на компаниите што го градат моделот. Давателите на модели со системски ризик мораат исто така да ги евалуираат своите модели, вклучително и контрадикторно тестирање, да ги проценат и ублажат системските ризици, да ги следат и пријавуваат сериозните инциденти и да обезбедат силна сајбер безбедност. Следењето на официјалниот Кодекс на пракса за општа намена за вештачка интелигенција е признат начин за покажување усогласеност. Канцеларијата за вештачка интелигенција на Европската комисија директно ги надгледува овие даватели.

Кои обврски за транспарентност важат сега?

Од 2 август 2026 година, Член 50 бара луѓето да знаат кога имаат работа со вештачка интелигенција. Ова се однесува на чет-ботови, содржина генерирана од вештачка интелигенција и длабоки лаги, како и на препознавање емоции и биометриска категоризација.

Давателите на чет-ботови и агенти за разговор мора јасно да стават до знаење дека корисникот комуницира со машина, освен ако тоа не е очигледно. Давателите на системи што генерираат синтетички аудио, слики, видео или текст мора да го означат излезот во машински читлив формат за да може да се открие како вештачки. Имплементаторите што објавуваат длабоки фалсификати мора да откријат дека содржината е вештачки генерирана или манипулирана, а имплементаторите што објавуваат текст генериран од вештачка интелигенција за прашања од јавен интерес мора да го откријат ова, освен ако некое лице не го прегледало и не сноси уредничка одговорност. Имплементаторите на дозволено препознавање емоции или биометриска категоризација мора да ги информираат луѓето што се изложени на тоа.

Доколку веќе нудите функции за генеративна вештачка интелигенција, сметајте го 2 декември 2026 година како строг рок за обележување на резултатите од системите што беа на пазарот пред 2 август 2026 година.

Кои се казните според Законот за вештачка интелигенција?

Според член 99, казните достигнуваат до 35 милиони евра или 7% од светскиот годишен промет за забранети практики. За малите и средните претпријатија се применува понискиот од двата износа.

• Забранети практики (член 5): до 35 милиони евра или 7% од светскиот годишен промет, кое од двете е поголемо.
• Прекршувања на повеќето други обврски, вклучувајќи ги барањата за висок ризик и обврските за транспарентност: до 15 милиони евра или 3% од светскиот годишен промет.
• Доставување неточни, нецелосни или погрешни информации до овластени тела или органи: до 7.5 милиони евра или 1% од светскиот годишен промет.

За малите и средни претпријатија и стартап компаниите, казната е ограничена на пониската вредност од фиксниот износ и процентот. AI Omnibus проширува голем број од овие олеснувања на мали компании со средна капитализација. Казните не се единствениот инструмент: органите за надзор на пазарот можат да бараат корективни мерки, да го ограничат или забранат ставањето на системот во употреба и да наложат негово повлекување или повлекување.

Како се поврзува Законот за вештачка интелигенција со GDPR и Законот за сајбер-безбедност?

Законот за вештачка интелигенција доаѓа дополнување на постојниот закон. Доколку вашиот систем за вештачка интелигенција обработува лични податоци, GDPR се применува во целост, а доколку обезбедувате основни или важни услуги, се применува и холандскиот закон за сајбер безбедност.

Според GDPR, потребна ви е законска основа, мора да ги почитувате ограничувањето на целта и правата на субјектите на податоци, а честопати мора да спроведете и проценка на влијанието врз заштитата на податоците (DPIA). Проценката на влијанието врз основните права според Законот за вештачка интелигенција и DPIA се преклопуваат, па затоа е ефикасно да се спроведуваат заедно.

Законот за сајбер безбедност (Cyberbeveiligingswet), кој ја спроведува Директивата на ЕУ за NIS2, се применува во Холандија од 15 август 2026 година. Тој додава обврски за управување со ризици и известување за инциденти за суштински и важни субјекти, што ги зајакнува барањата на Законот за вештачка интелигенција за робусност и безбедност. Третирајте ги овие режими како една програма за усогласеност, а не како три одделни проекти: тоа заштедува напор и избегнува контрадикторни контроли.

Кој го спроведува Законот за вештачка интелигенција во Холандија?

Моделите за вештачка интелигенција со општа намена се надгледуваат од Канцеларијата за вештачка интелигенција во Брисел; сè друго го спроведуваат националните органи за надзор на пазарот. Во Холандија, законот за назначување на тие органи сè уште е во процес на донесување закони.

На ниво на ЕУ, Канцеларијата за вештачка интелигенција во рамките на Европската комисија директно ги надгледува моделите за вештачка интелигенција со општа намена и развива упатства и кодекси на пракса. Соработува со Европскиот одбор за вештачка интелигенција, во кој се претставени земјите-членки, и со независен научен панел. Омнибусот за вештачка интелигенција ги прошири овластувањата на Канцеларијата за вештачка интелигенција на системи за вештачка интелигенција базирани на сопствен модел на GPAI на давателот на услуги и на вештачка интелигенција интегрирана во многу големи онлајн платформи и пребарувачи. Овластените тела вршат проценки на сообразност од трети страни каде што Законот ги бара.

Законот за вештачка интелигенција се применува директно, така што бизнисите веќе се обврзани од деловите што се применуваат. Сепак, холандскиот закон што ги назначува супервизорите и нивните овластувања сè уште не стапил во сила, а конечната распределба сè уште може да се промени. Моделот што е предложен досега е хибриден. Постојните секторски регулатори стануваат органи за надзор на пазарот во своите области, така што вештачката интелигенција во здравството му припаѓа на инспекторатот за здравствена заштита, а вештачката интелигенција на работното место на инспекторатот за труд. Холандскиот орган за заштита на податоци (Autoriteit Persoonsgegevens, AP) и Холандскиот орган за дигитална инфраструктура (Rijksinspectie Digitale Infrastructuur, RDI) имаат координативни улоги, при што AP дејствува како преостанат супервизор за системи со висок ризик кои немаат очигледен секторски регулатор.

За бизнисите, практичното прашање не е само дали системот е со висок ризик, туку и кој регулатор ќе го разгледа.

Кои заблуди треба да ги избегнувате?

Пет недоразбирања се појавуваат во речиси секој прв разговор за Законот за вештачка интелигенција. Секое од нив ги наведува организациите да трошат труд на погрешно место.

Првото е дека Законот забранува или лиценцира вештачка интелигенција воопшто. Не го прави ниту едното ниту другото. Она што го активира строгиот режим е целта на која системот и служи, а не технологијата што стои зад него.

Втората е дека човечки потпис ја отстранува етикетата со висок ризик. Не го прави тоа. Исклучокот за тесни процедурални или подготвителни задачи е прецизно наведен. Алатка што ги рангира кандидатите за работа или избира досиеја за подетален преглед влијае на одлуката дури и ако лицето се откаже. Гумениот печат не е човечки надзор и не го отстранува системот од Анекс III.

Третото е дека само програмерите се регулирани. Обврските на распоредувачот се реални и извршливи против организацијата што го користи системот. Неколку од нив, како што се информирање на работниците и нивните претставници, доделување компетентен надзор и водење логови, не можат да се пренесат на продавачот.

Четвртото е дека сè што веќе е во употреба е ослободено. Според член 111, системите со висок ризик што се пласираат на пазарот пред да се применат правилата за висок ризик, во принцип се опфатени само ако нивниот дизајн значително се промени подоцна. Тој исклучок е потесен отколку што звучи: ажурирањата, преквалификацијата и новите употреби се токму видот на промени што го враќаат системот во опфат. Системите што ги користат јавните власти мора да се усогласат до 2 август 2030 година, без оглед на тоа. Ако планирате да се потпрете на преодното правило, документирајте ја тековната конфигурација сега.

Петтото е дека Законот за вештачка интелигенција го заменува постојниот закон. Тој стои врз него. Заштитата на податоците, законот за еднаков третман, законот за потрошувачи, секторската регулатива, законот за вработување и правата на работничкиот совет (ondernemingsraad) продолжуваат да се применуваат во целост. Во Холандија, обично еден од нив, а не самиот Закон за вештачка интелигенција, е тој што ја произведува првата конкретна жалба. Според член 27(1)(l) од Законот за работнички совети (Wet op de ondernemingsraden), на пример, воведувањето систем за следење на персоналот бара согласност од работничкиот совет.

Како се подготвувате за Законот за вештачка интелигенција?

Започнете со попис на вештачката интелигенција што ја обезбедувате или користите и утврдете го нивото на ризик и вашата улога по систем. Потоа прво справете се со забранетите употреби и транспарентноста, бидејќи тие правила веќе важат.

• Наведете го секој систем за вештачка интелигенција што го обезбедувате или користите, вклучувајќи ја и вештачката интелигенција вградена во софтвер од трети страни.
• Класифицирајте го секој систем: забранет, висок ризик, обврска за транспарентност или минимален ризик.
• Определете ја вашата улога за секој систем: добавувач, распоредувач, увозник или дистрибутер.
• Запрете ја секоја употреба што спаѓа под забраните од Член 5.
• Применете ги мерките за транспарентност за чет-ботови, длабоки фејкови и содржина генерирана од вештачка интелигенција и планирајте го означувањето на излезните резултати пред 2 декември 2026 година.
• За системи со висок ризик, изградете го техничкото досие, управувањето со ризици и човечкиот надзор пред декември 2027 година.
• Проверете ги обврските од GPAI ако развивате или значително менувате модели за општа намена.
• Преземете мерки за поддршка на писменоста за вештачка интелигенција кај засегнатиот персонал.
• Усогласете ги вашите Проценки за влијание врз основните права (DPIA), проценките на влијанието врз основните права и безбедносните мерки со GDPR и Законот за сајбер заштита.
• Доделете сопственост, документација и следење и чувајте ја вашата евиденција подготвена за ревизија.

Вклучете го работничкиот совет во рана фаза доколку вештачката интелигенција влијае врз вработените. Може да биде потребна негова согласност, а доцното барање за согласност може да го одложи воведувањето на системот со месеци.

Во краток преглед

• Законот на ЕУ за вештачка интелигенција (Регулатива (ЕУ) 2024/1689) е во сила од 1 август 2024 година и се применува во фази.
• Забраните, писменоста за вештачка интелигенција, правилата за GPAI и должностите за транспарентност веќе важат; обележувањето на резултатите од постарите генеративни системи треба да се изврши до 2 декември 2026 година.
• Омнибусот за вештачка интелигенција (Регулатива (ЕУ) 2026/1744) ги одложи правилата со висок ризик за 2 декември 2027 година (Анекс III) и 2 август 2028 година (Анекс I).
• Казните достигнуваат до 35 милиони евра или 7% од светскиот промет; за малите и средни претпријатија се применува понискиот износ.
• Законот за вештачка интелигенција доаѓа покрај GDPR, Законот за сајбер-безбедност и законот за вработување; планирајте ја усогласеноста како една програма.

Најчесто поставувани прашања

Адвокатите за технологија и приватност во Law & More им помагаат на давателите на услуги и распоредувачите да ги класифицираат своите системи, да ги прилагодат забранетите или неусогласените употреби, да ги исполнат обврските за транспарентност и да се подготват за правилата со висок ризик, во согласност со GDPR. Можете да го прочитате целиот текст на Закон за вештачка интелигенција на EUR-Lex, и нашите индекс на холандски водичи за ИТ и закони за приватност наведува сè што сме напишале на оваа тема. Не сте сигурни каде се наоѓате? Кажете ни за вашата ситуација. Ќе ве известиме за вашите опции во рок од еден работен ден.

Како Law & More може да ви помогне со ова е објаснето на нашата ИТ адвокат страница.