Kontrolni seznam skladnosti z Aktom EU o UI: vodnik FAQ korak za korakom

Kontrolni seznam skladnosti z Aktom EU o umetni inteligenci v obliki vprašanj in odgovorov: področje uporabe, preostali roki, razvrstitev tveganja, prepovedane prakse, GPAI, skladnost visokotveganih sistemov ter razdelitev med ponudnika in izvajalca.

Ta vodnik odgovarja na vprašanja o skladnosti v vrstnem redu, v katerem se dejansko pojavijo: ali me uredba doseže, kaj me že danes zavezuje, kateri od mojih sistemov so visokotvegani, kaj moram pripraviti in koliko stane napaka. Vsak odgovor je zasidran v pravni podlagi, ki jo je mogoče navesti v internem zapisu.

Kdo mora prehoditi ta seznam?

Vsaka organizacija, ki razvija, uvaja, uvaža ali distribuira sistem UI, ki se uporablja v EU — ne glede na sedež. Člen 2 doseže ponudnike in izvajalce iz tretjih držav takoj, ko se rezultat sistema uporablja v Uniji: ameriški ponudnik SaaS z evropskimi strankami spada v področje uporabe enako kot slovenska banka.

Štiri vprašanja določajo vaš nabor obveznosti in vsa štiri so potrebna, preden seznam kaj pomeni:

Zadnja vrstica je tista, ki uide večini popisov. Obveznosti preglednosti zadenejo sisteme, ki sploh niso visokotvegani: klepetalnik za podporo strankam ima danes obveznost, ne da bi nosil karkoli od bremena skladnosti, ki mu je posvečen preostanek tega seznama.

Kaj vas zavezuje že danes in kaj šele prihaja?

Pet datumov uporabe je minilo; glavnina dela za skladnost pade v december 2027. Spodnji datumi sledijo zbirki podatkov o rokih, ki jo objavlja to spletišče in ki odraža zamike, uvedene z Uredbo (EU) 2026/1744.

Digitalni omnibus je premaknil štiri od teh datumov in prepisal člen 4; celoten register pred/po je objavljen na /changes/. Ni odpravil nobene obveznosti in ni ustvaril izjem, zato program, zgrajen na prvotnih datumih, ostaja pravi program — le več časa za zalet ima.

Korak 1 — Je vaš popis UI popoln?

Brez popolnega popisa nič od naslednjega ni zagovorljivo. Vzpostavite register vseh sistemov UI, ki se jih organizacija dotika:

• Sistemi, ki jih razvijate in prodajate ali licencirate (ste ponudnik)
• Sistemi, ki jih kupujete ali licencirate in uporabljate interno (ste izvajalec)
• Sistemi, vgrajeni v proizvode, ki jih izdelujete ali uvažate
• Sistemi, do katerih dostopate prek API tretjih oseb (UI v oblaku, API temeljnih modelov)

Za vsakega: ime, funkcija, vhodni in izhodni podatki, kontekst uporabe, vpliv odločitve in prizadete osebe. Označite sisteme z negotovo razvrstitvijo — ti terjajo pravno presojo, ne inženirskega odgovora.

Dve kategoriji sta sistematično podcenjeni: funkcije UI, dobavljene v orodjih SaaS, ki jih podjetje že plačuje, in modeli, ki so jih posamezne ekipe zgradile mimo nabavnega procesa. Od financ zahtevajte seznam dobaviteljev, od razvoja register modelov; unija obeh je bližje resnici kot vsak posebej.

Korak 2 — Ali že izvajate kaj nezakonitega?

Člen 5 preglejte pred vsako razvrstitvijo tveganja, saj prepovedanega sistema ni mogoče popraviti do skladnosti. Vsak sistem primerjajte s seznamom:

• Podpražne, manipulativne ali zavajajoče tehnike, ki bistveno izkrivljajo vedenje
• Izkoriščanje ranljivosti zaradi starosti, invalidnosti ali socialnega oziroma ekonomskega položaja
• Socialno točkovanje, ki vodi do škodljivega obravnavanja v nepovezanih okoliščinah
• Neciljno pridobivanje slik obraza za gradnjo zbirk za prepoznavanje
• Sklepanje o čustvih na delovnem mestu ali v izobraževanju
• Biometrična kategorizacija za sklepanje o občutljivih značilnostih
• Biometrična identifikacija na daljavo v realnem času na javnih mestih za odkrivanje kaznivih dejanj

→ Umakniti ali temeljito preoblikovati. Te prepovedi veljajo od 2. februarja 2025 in sodijo v sankcijsko raven 35 milijonov EUR / 7 %. Vodnik po prepovedanih praksah obravnava ozke izjeme pri vsaki.

Od 2. decembra 2026 se dodaja prepoved sistemov, ki ustvarjajo gradivo o spolni zlorabi otrok ali intimne posnetke brez privolitve.

Korak 3 — Ali ste ponudnik modela za splošne namene?

Če organizacija razvija in objavlja temeljni model, obveznosti poglavja V veljajo od 2. avgusta 2025. Trije testi:

• Ali se model uči s samonadzorom v znatnem obsegu?
• Ali zmore kompetentno opravljati širok nabor različnih nalog?
• Ali je dan na voljo drugim, namesto da bi se uporabljal zgolj interno?

Če da: dokumentacija modela za Urad za UI in za nadaljnje ponudnike, politika avtorskih pravic in dovolj podroben javni povzetek učnih vsebin. Nad 10²⁵ FLOPs učnega računanja se sistemsko tveganje domneva, kar dodaja ocenjevanje modela, nasprotniško testiranje, poročanje o incidentih in kibernetsko varnost. Glej vodnik po obveznostih GPAI.

Od 2. avgusta 2026 to poglavje neposredno izvršuje Komisija — in ne nacionalni organi — z globami do 15 milijonov EUR ali 3 %.

Korak 4 — Kateri od vaših sistemov so visokotvegani?

Razvrstite glede na Prilogo III in Prilogo I, uporabite filter člena 6(3) in rezultat zapišite. Priloga III našteva osem samostojnih kategorij: biometrija, kritična infrastruktura, izobraževanje in poklicno usposabljanje, zaposlovanje in upravljanje delavcev, dostop do bistvenih zasebnih in javnih storitev, odkrivanje kaznivih dejanj, migracije in nadzor meja ter izvajanje sodne oblasti. Priloga I zajema UI, ki deluje kot varnostna komponenta proizvoda, ki ga pravo EU o varnosti proizvodov že ureja.

Izjema iz člena 6(3) osvobodi sistem, ki sicer spada v kategorijo iz Priloge III, a ne predstavlja pomembnega tveganja: ozka postopkovna naloga, izboljšanje rezultata že opravljene človeške dejavnosti, zaznavanje vzorcev odločanja brez nadomeščanja človeške presoje ali povsem pripravljalno delo. Nikoli ne velja pri oblikovanju profilov fizičnih oseb. Oceno je treba dokumentirati pred dajanjem na trg, obveznost registracije pa ostane.

Odločitve o razvrstitvi so najbolj revidiran artefakt tega seznama. Zabeležite obravnavano kategorijo, razmislek, dokaze, datum in odgovorno osebo.

Korak 5 — Ste ponudnik ali izvajalec?

Vloga določa približno 80 % obremenitve in je nabavna pogodba ne zaklene. Člen 25 vas naredi za ponudnika visokotveganega sistema, ki ga niste zgradili, če nanj namestite svoje ime ali znamko, ga bistveno spremenite ali ga preusmerite tako, da postane visokotvegan. Fino nastavljanje dobaviteljevega modela na lastnih podatkih in dobava pod lastno znamko je običajna pot do podedovanih, nikoli načrtovanih obveznosti ponudnika.

Vodnik ponudnik proti izvajalcu obravnava mejne primere, vključno z uvozniki in distributerji, ki nosijo preverjevalne in ne skladnostnih obveznosti.

Koraki 6–10 — Kaj program za visoko tveganje pravzaprav ustvari?

Šest artefaktov po vrstnem redu odvisnosti. Vsak je vhod za naslednjega, zato program, ki se začne z dokumentacijo in se vrača k upravljanju, obtiči.

1. Sistem upravljanja kakovosti (člen 17) — politike, odgovornosti, upravljanje sprememb, upravljanje podatkov, spremljanje po dajanju na trg in postopki ob incidentih. To organ za nadzor trga vpraša prvo.
2. Zapisi o obvladovanju tveganj (člen 9) — iterativni cikel prepoznavanja, ocenjevanja in blaženja, voden skozi celoten življenjski cikel in ne potrjen enkrat.
3. Dokazi o upravljanju podatkov (člen 10) — izvor, reprezentativnost, pregled in blaženje pristranskosti za učne, validacijske in testne nabore.
4. Tehnična dokumentacija iz Priloge IV — gradivo, opisano v vodniku po tehnični dokumentaciji, vključno s preskusi glede na zahteve po točnosti, robustnosti in kibernetski varnosti iz člena 15.
5. Ugotavljanje skladnosti in izjava — lastna ocena po Prilogi VI ali priglašeni organ tam, kjer to zahteva biometrija oziroma proizvodna zakonodaja iz Priloge I. Glej vodnik po ugotavljanju skladnosti.
6. Registracija, oznaka CE in spremljanje — vpis v zbirko podatkov EU pred dajanjem na trg, oznaka CE na dokumentaciji, nato načrt spremljanja po dajanju na trg in poročanje o resnih incidentih po členu 73.

Ciljajte na 2. december 2027 za samostojne sisteme iz Priloge III in na 2. avgust 2028 za vgrajene sisteme iz Priloge I. Realističen program za en sam visokotvegani sistem traja od 12 do 24 mesecev: začetek konec leta 2026 se v okno umesti brez rezerve, zmogljivost priglašenih organov pa se bo z bližanjem datuma krčila.

Kaj pa, če uporabljate le tujo UI?

Ste izvajalec in vaš seznam je kratek, a ne prazen. Tu je večina organizacij: noben lasten model, ducat funkcij UI, uporabljenih prek SaaS in API.

• Pismenost (člen 4) velja zdaj, za vsakega izvajalca in na vsaki stopnji tveganja.
• Preglednost (člen 50) velja zdaj za to, kar vidijo vaši uporabniki: obvestilo o klepetalniku, označevanje globokih ponaredkov, označevanje ustvarjenih besedil, objavljenih za obveščanje javnosti.
• Obveznosti izvajalca (člen 26) bodo veljale od 2. decembra 2027 povsod, kjer primer uporabe spada v kategorijo iz Priloge III — izbor kandidatov, kreditne odločitve, upravljanje delavcev.
• Člen 25 je past: v trenutku, ko preoznačite ali bistveno spremenite, podedujete sklop ponudnika.

Praktični nadzorni ukrep je skrbni pregled dobavitelja: pridobite izjavo o skladnosti, navodila za uporabo in informacije, ki jih člen 13 nalaga ponudniku. Vodnik po UI tretjih oseb natančneje določa, kaj zahtevati pogodbeno.

Kaj se spremeni po panogah?

Obveznosti so enake; izidi razvrstitve in prekrivajoči se režimi ne.

• Finančne storitve — kreditno točkovanje in oblikovanje cen zavarovanj spadata v Prilogo III, izvajalec pa tam dolguje oceno učinka po členu 27. Obvladovanje tveganj IKT iz DORA delno izpolnjuje člen o obvladovanju tveganj, ne pokriva pa upravljanja podatkov, specifičnega za UI, niti človeškega nadzora. Zasnujte enoten tok poročanja, ki hkrati izpolnjuje člen 19 DORA in člen 73 Akta o UI. Glej vodnik za finančni sektor in vodnik po konvergenci DORA / NIS2.
• Zdravstvo in medicinski pripomočki — UI kot varnostna komponenta pripomočka po MDR/IVDR spada v Prilogo I, ki se uporablja od 2. avgusta 2028. Obstoječa tehnična dokumentacija in sistem kakovosti ISO 13485 sta podlaga in ju je treba razširiti na zahteve poglavja III; vaš priglašeni organ potrebuje ločeno imenovanje po Aktu o UI.
• Kadri in zaposlovanje — kategorija zaposlovanja iz Priloge III. Pregled pristranskosti po členu 10 je glavna izpostavljenost, preglednost do kandidatov je obveznost izvajalca, nobena dokončna zaposlitvena odločitev pa ne sme sloneti na sistemu brez človeka, ki jo lahko razveljavi.
• Javni sektor — ocena učinka je obvezna, izvajalci pa svojo uporabo sistemov iz Priloge III registrirajo v zbirki podatkov EU.

Panožni vodniki obravnavajo devet panog v enaki strukturi.

Koliko stane neskladnost?

Tri ravni, za običajno podjetje pa je najpomembnejša srednja. Člen 99 določa 35 milijonov EUR ali 7 % svetovnega prometa za prepovedi iz člena 5, 15 milijonov ali 3 % za večino drugih obveznosti — vključno s preglednostjo po členu 50 in celotnim sklopom visokega tveganja — ter 7,5 milijona ali 1 % za zavajajoče informacije, posredovane organom. Mala in srednja podjetja so omejena na nižji znesek.

Tretja raven si zasluži pozornost, nesorazmerno z njeno višino: kaznuje slab odgovor regulatorju neodvisno od kakršne koli temeljne kršitve. Prav dokumentacija spremeni zagovorljivo stališče v dokazljivo. Vodnik po sankcijah razdela izračun izpostavljenosti.

Kaj storiti v naslednjih 90 dneh

1. Zapreti vrzel v popisu — seznam dobaviteljev iz financ ∪ register modelov iz razvoja.
2. Ves nabor spustiti skozi filter člena 5. To je edini korak z že veljavno 7-odstotno ravnjo.
3. Uvesti obvestila po členu 50 na vsem, kar je obrnjeno k uporabniku; obveznost velja, ne prihaja šele.
4. Dokazati pismenost po členu 4: kdo je bil usposobljen, o čem in kdaj. Vodnik po pismenosti na področju UI natančneje pove, kaj zahteva prepisani člen.
5. Razvrstiti kandidate iz Priloge III in zapisati razmislek, vključno z odločitvami po členu 6(3).
6. Za vsak potrjeni visokotvegani sistem zagnati sistem upravljanja kakovosti. December 2027 je omejitev, vrsta pri priglašenih organih pa je pred vami, ne za vami.

Delovne predloge za popis, register tveganj, tehnično dokumentacijo in skrbni pregled dobaviteljev so v kompletih orodij za skladnost; Akademija Akta o UI pokriva isto področje kot strukturirano usposabljanje s certificiranjem.