Članak 99 — Kazne (Uredba EU o AI)

Članak 99 Uredbe (EU) 2024/1689 — Kazne. Službeni tekst, praktična interpretacija, ključne obveze i implikacije za usklađenost.

Sažetak službenog teksta

Članak 99 Uredbe (EU) 2024/1689 uspostavlja okvir administrativnih kazni za povrede Uredbe EU o AI. Utvrđuje trostupanjsku strukturu novčanih kazni kalibriranu prema težini povrede.

Najtežim povredama — kršenjima zabranjenih praksi AI navedenih u članku 5 — prijete kazne do 35 milijuna eura ili 7% ukupnog godišnjeg svjetskog prometa, ovisno o tome koji je iznos viši. Povrede ostalih obveza namijenjenih pružateljima, korisnicima koji ih primjenjuju, uvoznicima i distributerima — uključujući one koje se odnose na visokorizične AI sustave, obveze transparentnosti i GPAI modele — podliježu kaznama do 15 milijuna eura ili 3% godišnjeg svjetskog prometa. Dostavljanje netočnih, nepotpunih ili obmanjujućih informacija prijavljenim tijelima ili nadležnim nacionalnim tijelima kažnjava se do 7,5 milijuna eura ili 1% godišnjeg svjetskog prometa.

Za pružatelje GPAI modela, članak 99(3) upućuje na pragove kazni koji se primjenjuju na obveze iz Poglavlja V (članci 53–56), uključujući obveze u pogledu sustavnog rizika za pružatelje GPAI modela sa sustavnim rizikom. Kada je prekršitelju MSP ili startup, primjenjuje se postotak prometa kao gornja granica ako daje niži apsolutni iznos od fiksne gornje granice. Nadležna nacionalna tijela odgovorna su za izricanje i provedbu kazni u okviru svoje nadležnosti, dok Ured za AI ima provedbenu nadležnost nad pružateljima GPAI modela na razini Unije.

Što to znači u praksi

Članak 99 je provedbena okosnica Uredbe EU o AI. Njegova trostupanjska struktura izravno oblikuje način na koji organizacije trebaju odrediti prioritete svojih programa usklađenosti.

Za pružatelje visokorizičnih AI sustava, razina od 3%/15 milijuna eura primjenjuje se na propuste poput neodgovarajućih ocjena sukladnosti, nedostajuće tehničke dokumentacije, nesukladnih sustava upravljanja kvalitetom ili neregistriranja sustava u bazi podataka EU prema članku 71. Proizvođač medicinskih uređaja koji primjenjuje AI-potpomognuti dijagnostički alat bez završetka potrebne ocjene sukladnosti prema Prilogu VI, primjerice, suočava se s izloženošću u ovoj razini.

Za svakog operatera koji primjenjuje zabranjene AI aplikacije — kao što su identifikacija biometrijiskim podacima u stvarnom vremenu na javnim mjestima izvan uskih izuzetaka, društveno bodovanje od strane javnih tijela ili tehnike podsvjesne manipulacije — primjenjuje se razina od 7%/35 milijuna eura. To su tvrde zabrane Zakona, a razina kazni signalizira da nikakvo poslovno opravdanje ne može nadoknaditi povredu.

Za programere i korisnike GPAI modela, kazne u okviru razine od 3% vežu se za propuste u pogledu tehničke dokumentacije, transparentnosti autorskih prava te — za modele sa sustavnim rizikom — obveza izvještavanja o incidentima i adversarialnog testiranja.

Za sve operatere, dezinformiranje regulatora tijekom istraga nadzora tržišta pokreće razinu od 1%. To je operativno značajno: znači da interno upravljanje dokumentima, revizijski tragovi i protokoli suradnje s tijelima moraju biti robusni prije nego što regulatori pokucaju na vrata.

Čimbenici proporcionalnosti — uključujući trajanje povrede, stupanj suradnje i prethodne povrede — vode tijela pri određivanju stvarne kazne u okviru primjenjive gornje granice.

Ključne obveze

• Izbjegavanje zabranjenih praksi (članak 5): Svaka primjena ili stavljanje na tržište AI sustava koji se upuštaju u prakse navedene u članku 5 — uključujući identifikaciju biometrijskim podacima u stvarnom vremenu na javno dostupnim mjestima (izvan navedenih izuzetaka), društveno bodovanje, podsvjesnu manipulaciju i iskorištavanje ranjivosti — izlaže operatera najvišoj razini kazne.
• Ispunjavanje obveza pružatelja visokorizičnih AI sustava: Pružatelji moraju održavati ocjene sukladnosti, tehničku dokumentaciju, sustave upravljanja kvalitetom i praćenje nakon stavljanja na tržište. Propusti u bilo kojem od tih područja podliježu kazni srednje razine.
• Usklađenost s obvezama GPAI modela (Poglavlje V): Pružatelji AI modela opće namjene moraju ispuniti obveze transparentnosti, dokumentacije i politike autorskih prava; pružatelji GPAI modela sa sustavnim rizikom suočavaju se s dodatnim zahtjevima u pogledu izvještavanja o incidentima, evaluacija modela i mjera kibersigurnosti.
• Dostavljanje točnih informacija tijelima: Svi operateri moraju surađivati s nacionalnim tijelima za nadzor tržišta i Uredom za AI, te ne smiju dostavljati netočne ili obmanjujuće informacije tijekom istraga ili postupaka sukladnosti.
• Osiguravanje usklađenosti srazmjerne MSP-ovima: Iako MSP-ovi imaju korist od razmatranja proporcionalnosti pri određivanju kazni, nisu izuzeti od suštinskih obveza — i dalje moraju ispunjavati primjenjive zahtjeve i podliježu provedbi.
• Održavanje internih revizijskih tragova: S obzirom na to da kazne mogu biti modulirane stupnjem suradnje i poduzetim korektivnim mjerama, organizacije bi trebale voditi evidenciju koraka usklađenosti, postupaka odgovora na incidente i dobre vjere u angažmanu s regulatorima.

Odnos prema ostalim člancima

Članak 99 ne može se čitati izolirano — on je provedbeni izraz obveza definiranih kroz cijelu Uredbu.

Najizravniji veze su s člankom 5 (zabranjene prakse, koje pokreću najvišu razinu kazne) i člancima 8–15 (zahtjevi za visokorizične AI sustave, primarni izvor povreda srednje razine). Članci 53–56 (obveze GPAI) doprinose strukturi kazni za pružatelje temeljnih modela. Članak 71 (baza podataka EU za visokorizične AI sustave) je registracijska obveza čija povreda spada pod srednju razinu.

Članak 100 je srodna odredba za institucije i tijela Unije, koja primjenjuje paralelni kazneni režim kojim upravljaju Europski nadzornik za zaštitu podataka umjesto nacionalnih tijela.

Članak 98 (kazne za neusklađenost prijavljenih tijela) i članak 101 (delegiranje ovlasti u pogledu kazni za pružatelje GPAI) nalaze se neposredno uz kazneno poglavlje i trebali bi se čitati zajedno s člankom 99 radi potpune slike provedbene arhitekture Zakona. Članci 74–79 (nadzor tržišta i provedba) definiraju proceduralni okvir u okviru kojeg se izriču kazne prema članku 99.

Vremenski okvir usklađenosti

Uredba EU o AI stupila je na snagu 2. kolovoza 2024. (dvadeset dana nakon objave u Službenom listu). Članak 99 sam po sebi postao je primjenjiv 2. kolovoza 2025., nakon dvanaestomjesečnog prijelaznog razdoblja prema članku 113(2).

Postupni raspored primjene ključan je kontekst za razumijevanje kada izloženost kaznama nastaje za različite obveze:

• 2. veljače 2025. — Odredbe o zabrani (članak 5) postale su primjenjive, što znači da su povrede zabranjenih praksi AI podložne razini kazne od 7%/35 milijuna eura od tog datuma.
• 2. kolovoza 2025. — Opći datum primjenjivosti za većinu Zakona, uključujući sami članak 99, obveze GPAI modela (Poglavlje V) i okvir upravljanja. Razine kazni od 3%/15 milijuna eura i 1%/7,5 milijuna eura počele su funkcionirati od tog datuma.
• 2. prosinca 2026. — Visokorizični AI sustavi obuhvaćeni Prilogom I (postojeće usklađeno zakonodavstvo Unije) moraju ispunjavati pune visokorizične zahtjeve, čime obveze pružatelja prema člancima 8–15 postaju provedive s izloženošću kaznama.
• 2. kolovoza 2027. — Visokorizični AI sustavi navedeni u Prilogu III koji su bili na tržištu prije 2. kolovoza 2024. moraju se uskladiti, čime se završava postupno uvođenje za naslijeđene visokorizične primjene.

Organizacije bi trebale uskladiti svoj AI portfelj s tim datumima kako bi utvrdile trenutačnu i buduku izloženost kaznama prema članku 99.