Članak 2. — Područje primjene (Akt EU o umjetnoj inteligenciji)

Članak 2. Uredbe (EU) 2024/1689 — Područje primjene. Službeni tekst, praktično tumačenje, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 2. Uredbe (EU) 2024/1689 definira materijalno i teritorijalno područje primjene Akta EU o UI. Utvrđuje koji akteri, sustavi i okolnosti potpadaju pod okvir uredbe.

Ratione personae, Akt se primjenjuje na: (1) pružatelje koji stavljaju sustave UI na tržište Unije ili ih puštaju u upotrebu u EU, bez obzira na njihovo mjesto poslovnog nastana; (2) korisnike sustava UI koji imaju poslovni nastan ili se nalaze u EU; (3) pružatelje i korisnike s poslovnim nastanom u trećim zemljama gdje se izlaz sustava UI koristi u Uniji; (4) uvoznike i distributere sustava UI; te (5) proizvođače proizvoda koji stavljaju sustave UI kao sigurnosne komponente reguliranih proizvoda na tržište Unije.

Članak 2. dalje pojašnjava da se Akt ne primjenjuje na sustave UI razvijene ili korištene isključivo u vojne svrhe, svrhe nacionalne sigurnosti ili obrane, niti na sustave UI koje koriste javna tijela trećih zemalja ili međunarodne organizacije u kontekstu međunarodnih sporazuma o suradnji u provedbi zakona i pravosudnoj suradnji. Sustavi UI koji još nisu stavljeni na tržište i još su u fazi istraživanja i razvoja, prije nego što budu dostupni korisnicima, također su izvan područja primjene.

Kada korisnik ili pružatelj ima poslovni nastan izvan EU, ali se izlaz sustava UI koristi unutar EU, Akt se i dalje primjenjuje, uspostavljajući snažan izvnateritorijalni doseg usporediv s modelom GDPR-a.

Što to znači u praksi

Članak 2. određuje mora li vaša organizacija uopće uskladiti se s Aktom EU o UI — to je pragno pitanje koje svaki pravni tim i tim za usklađenost mora odgovoriti prije nego što se mogu procijeniti ikakve obveze.

Za tvrtke sa sjedištem u EU, analiza je jednostavna: ako razvijate, koristite, uvozite, distribuirate ili integrirате sustave UI u proizvode ili usluge dostupne u EU, nalazite se u području primjene. To uključuje SaaS pružatelje koji nude funkcionalnosti pokretane UI, poduzeća koja koriste alate UI u HR-u, kreditiranju ili zdravstvenoj zaštiti, te proizvođače koji ugrađuju UI u fizičke proizvode podložne postojećem zakonodavstvu EU o sigurnosti proizvoda.

Za tvrtke izvan EU, ključni test je dosežu li ili utječu li izlazi sustava UI na pojedince ili subjekte u EU. Američka tvrtka koja pruža alat za AI selekciju pri zapošljavanju koji koriste europske podružnice multinacionalnih kompanija, primjerice, unutar je područja primjene čak i ako sama tvrtka nema prisutnosti u EU. Takvi pružatelji moraju imenovati ovlaštenog zastupnika u Uniji.

U praksi, timovi za usklađenost trebali bi najpre popisati svaki sustav UI u upotrebi ili razvoju, zatim primijeniti kriterije članka 2. na svaki od njih. Sustavi koji se koriste isključivo za interno istraživanje i razvoj — koji nisu implementirani krajnjim korisnicima — mogu se dokumentirati kao izvan područja primjene, ali taj status mora se aktivno održavati i preispitivati pri implementaciji. Izuzeci za vojsku i nacionalnu sigurnost su uski i ne smije se pretpostavljati da se primjenjuju na sustave s dvojnom namjenom ili alate za provedbu zakona bez pažljivog pravnog pregleda.

Pružatelji modela otvorenog koda imaju koristi od nekih olakšanih obveza, ali ostaju u području primjene za zabranjene prakse i visokorizične klasifikacije.

Ključne obveze

• Određivanje područja primjene: Organizacije moraju potvrdno utvrditi spadaju li u jednu od definiranih kategorija aktera (pružatelj, korisnik, uvoznik, distributer ili proizvođač proizvoda) prije procjene koje razine obveza se na njih primjenjuju.
• Izvnateritorijalnost usklađenosti: Pružatelji izvan EU čiji se izlazi sustava UI koriste u Uniji moraju se uskladiti s Aktom i imenovati ovlaštenog zastupnika s poslovnim nastanom u EU.
• Jasnoća uloga: Kada ista organizacija istodobno djeluje kao pružatelj i korisnik, oba skupa obveza primjenjuju se kumulativno; organizacije moraju dokumentirati i upravljati svakom ulogom odvojeno.
• Dokumentacija granice istraživanja i razvoja: Organizacije koje se oslanjaju na izuzeće za istraživanje i razvoj moraju voditi jasnu evidenciju koja dokazuje da sustav nije stavljen na tržište ili pušten u upotrebu, te moraju preispitivati područje primjene u svakoj fazi razvoja.
• Usko tumačenje izuzeća: Vojni, nacionalnosigurnosni i obrambeni izuzeci moraju se primjenjivati strogo; sustavi UI s dvojnom namjenom ili oni koji se koriste u općim kontekstima provedbe zakona ne kvalificiraju se automatski za izuzeće.
• Imenovanje ovlaštenog zastupnika: Pružatelji iz trećih zemalja u području primjene moraju formalno imenovati i dokumentirati ovlaštenog zastupnika u EU kao dio svoje infrastrukture za usklađenost.

Veza s drugim člancima

Članak 2. ulazna je točka u cijeli regulatorni okvir i mora se čitati zajedno s nekoliko temeljnih odredbi. Članak 3. (Definicije) ključan je za tumačenje ključnih pojmova koji se koriste u članku 2., posebno definicija "sustava UI," "pružatelja" i "korisnika," koji određuju područje primjene. Članak 5. (Zabranjene prakse UI) primjenjuje se na sve aktere unutar područja primjene bez obzira na razinu rizika, što ispravno utvrđivanje područja primjene prema članku 2. čini preduvjetom za procjenu najozbiljnijih obveza. Članak 6. (Klasifikacija visokorizičnih sustava UI) i članak 51. (Klasifikacija modela GPAI) postaju relevantni tek nakon potvrde područja primjene prema članku 2. Za organizacije koje se oslanjaju na put pružatelja iz treće zemlje, članak 2. izravno je povezan s člankom 25. (Obveze uvoznika) i člankom 26. (Obveze distributera). Izvnateritorijalni doseg uspostavljen člankom 2. odražava logiku članka 3. GDPR-a, a regulatorna tijela potvrdila su da ove odredbe treba tumačiti dosljedno.

Vremenski okvir usklađenosti

Članak 2. stupio je na snagu 1. kolovoza 2024., dvadeset dana nakon objave Uredbe u Službenom listu EU. Međutim, njegove praktične obveze aktiviraju se prema faznom rasporedu primjene Akta:

• 2. veljače 2025.: Područje primjene članka 2. u potpunosti se primjenjuje na zabranjene prakse UI prema članku 5. — organizacije moraju dovršiti utvrđivanje područja primjene do ovog datuma kako bi procijenile padaju li neki od njihovih sustava u zabranjene kategorije.
• 2. kolovoza 2025.: Područje primjene odnosi se na pružatelje modela UI opće namjene (GPAI) prema Glavi VIII (članci 51.–56.), uključujući procjene sistemskog rizika i obveze transparentnosti.
• 2. kolovoza 2026.: Obveze za institucije i tijela EU koja koriste sustave UI prema članku 2. stavku 1. točki (h) postaju primjenjive.
• 2. prosinca 2026.: Područje primjene članka 2. odnosi se na visokorizične sustave UI navedene u Prilogu I. (sigurnosne komponente reguliranih proizvoda).
• 2. kolovoza 2027.: Potpuna primjena na visokorizične sustave UI navedene u Prilogu III. (samostalne visokorizične aplikacije u područjima poput zapošljavanja, obrazovanja, kritične infrastrukture i provedbe zakona).

Organizacije bi trebale kolovoz 2024. smatrati datumom od kojeg su trebale započeti vježbe mapiranja područja primjene, s tim da svaki naknadni rok pokreće odgovarajući radni tok usklađenosti.