EU AI Act i hrvatske male tvrtke - što se stvarno mijenja do 2027.

Ako imate firmu s 10, 20 ili 50 zaposlenih i koristite chatbot za podršku ili AI za sortiranje CV-jeva, vjerojatno ste čuli za EU AI Act i onda ga zaboravili jer zvuči kao nešto za Brisel, ne za vas. To je greška. Zakon se odnosi i na male firme, ne samo na Google i OpenAI, i dio obveza je već na snazi. Ovaj tekst prolazi kroz ono što stvarno morate znati, bez pravničkog žargona i bez panike.

Zašto biste uopće trebali znati što je EU AI Act

EU AI Act je prva sveobuhvatna regulativa umjetne inteligencije na svijetu, stupila je na snagu u kolovozu 2024. i primjenjuje se u fazama. Većina rasprave u medijima ide oko velikih kompanija koje razvijaju AI modele. Ali zakon jednako gleda i na vas ako AI samo koristite u svom poslovanju, ne razvijate ga. U regulativi se to zove uloga “deployer” - firma koja implementira tuđi AI sustav u svoje procese. Ako imate chatbot na webu, AI koji filtrira prijave za posao ili sustav koji procjenjuje kreditnu sposobnost klijenata, vi ste deployer i imate obveze.

Razlog zašto ovo nije samo teoretsko pitanje: kazne su ozbiljne. Za zabranjene prakse do 35 milijuna eura ili 7% globalnog prometa, za ostale prekršaje do 15 milijuna eura ili 3% prometa. Za male firme ti brojevi zvuče apstraktno, i s razlogom: članak 99. propisuje da se malim i srednjim poduzećima izriče niži od dva iznosa, dakle postotak prometa umjesto milijunske brojke (tekst članka 99.). To ne znači da vas se ne tiče. Nacionalna tijela za nadzor tržišta postoje i imaju ovlast tražiti dokumentaciju od bilo koje firme koja koristi AI u regulatorno osjetljivom kontekstu, a trošak tog dopisivanja plaćate i kad na kraju ispadne da je sve u redu.

Četiri razine rizika i gdje najvjerojatnije spadate

Zakon dijeli AI sustave na četiri kategorije, i vaše obveze ovise o tome gdje padnete.

Neprihvatljiv rizik - potpuno zabranjeno. Manipulacija ponašanjem koja zaobilazi svjesnu odluku, socijalno bodovanje građana, prepoznavanje emocija na radnom mjestu (uz par iznimaka za sigurnost). Većina hrvatskih SME-ova ovdje uopće nema dodirnih točaka, ali vrijedi znati da postoji ako netko predloži “AI koji prati raspoloženje zaposlenika preko kamere”.

Visoki rizik - AI koji utječe na značajne odluke o ljudima. Tipični primjeri za male firme: AI koji automatski odbija ili prihvaća kandidate za posao bez ljudskog pregleda, sustav koji ocjenjuje kreditnu sposobnost, AI koji odlučuje o cijeni osiguranja. Ako imate ovakav sustav, obveze uključuju vođenje dokumentacije, ljudski nadzor nad odlukama i mogućnost da čovjek preinači odluku AI-a.

Ograničeni rizik - transparentnost. Ovo pokriva najviše hrvatskih firmi koje koriste AI danas. Chatbot na webu, AI asistent koji odgovara na upite kupaca. Obveza je jednostavna: korisnik mora znati da razgovara s AI-em, ne s čovjekom. Ako već imate chatbot koji se predstavlja kao takav, vjerojatno ste već usklađeni.

Minimalni rizik - sve ostalo. AI za interne workflowove, generiranje izvještaja, automatizaciju emailova. Praktički bez posebnih obveza prema AI Actu, iako opća GDPR pravila i dalje vrijede za osobne podatke koje ti sustavi obrađuju.

Za većinu firmi s kojima radimo, veliki dio postojeće automatizacije spada u minimalni ili ograničeni rizik. Visoki rizik postaje relevantan tek kad AI sam donosi odluku o osobi, ne kad samo priprema podatke za čovjeka koji odlučuje. Razlika je često u jednom koraku procesa: AI koji predlaže tri kandidata i čovjek bira među njima je jedno, AI koji automatski šalje odbijenice bez ikakvog pregleda je nešto sasvim drugo, i ta razlika mijenja kategoriju rizika u kojoj se nalazite.

Rokovi koje vrijedi zapamtiti

Zakon se ne primjenjuje odjednom, nego u koracima, i to je dio zbog čega je toliko konfuzan.

• Veljača 2025. - zabrana neprihvatljivih praksi već je na snazi.
• Kolovoz 2025. - obveze za providere opće namjenskih AI modela (veliki jezični modeli poput GPT-a i Geminija) i uspostava nacionalnih nadzornih tijela.
• 2. kolovoza 2026. - obveze transparentnosti iz članka 50. Ako vaš chatbot razgovara s klijentima, od tog datuma mora biti jasno da je riječ o stroju. Ovo je rok koji stvarno pogađa najviše hrvatskih malih firmi, a najmanje se spominje.
• 2. prosinca 2027. - obveze za visokorizične AI sustave prema Prilogu III (zapošljavanje, kreditiranje, obrazovanje i slično). Izvorno je taj rok bio kolovoz 2026., pa je pomaknut za šesnaest mjeseci.
• 2. kolovoza 2028. - visokorizični AI ugrađen u proizvode koji su već regulirani drugim propisima (medicinski uređaji, strojevi). I taj je rok pomaknut, s kolovoza 2027.

Pomak nije glasina: Europski parlament ga je izglasao 16. lipnja 2026. u sklopu paketa Digital Omnibus, a razlog je kašnjenje tehničkih normi bez kojih se obveze ne mogu ispuniti (Morgan Lewis, Gibson Dunn). Formalno usvajanje i objava u Službenom listu očekivali su se prije 2. kolovoza 2026., pa do te objave pravno vrijede stari rokovi. Ako planirate budžet za usklađivanje, računajte s pomakom, ali nemojte ga tretirati kao amnestiju.

Ako danas koristite AI za sortiranje kandidata bez ljudskog pregleda, dobili ste godinu i pol više vremena, ali ne i drukčiju obvezu. Ako imate chatbot na webu, vaš rok je kolovoz 2026. i tu nema odgode.

Što to konkretno znači za vašu firmu

Praktičan popis, redoslijedom kojim bismo ga sami radili na auditu:

Popišite svoj AI. Ne mislite da vas se ovo ne tiče jer “nemamo AI strategiju”. Vjerojatno već koristite chatbot, alat za automatsku klasifikaciju emailova ili filter za prijave na natječaj. Svaki od tih alata treba proći kroz gornju podjelu rizika.

Označite gdje je AI vidljiv korisniku. Ako chatbot razgovara s klijentima, mora biti jasno da je riječ o AI-u. Ovo je najlakši dio i najčešće već ispunjen, ali provjerite formulaciju na svom webu i u WhatsApp/Telegram integraciji.

Zadržite ljudsku odluku tamo gdje je odluka o osobi ozbiljna. Ako AI predlaže kandidate, neka konačnu odluku donosi čovjek koji može objasniti zašto. Ovo nije samo pravna zaštita, nego i praktičan razlog da AI ne donosi loše odluke bez nadzora.

Pitajte svog AI dobavljača konkretna pitanja. Koji model koristite, gdje se podaci obrađuju, tko ima pristup. Ako dobavljač ne zna odgovoriti ili izbjegava pitanje, to je signal, ne detalj.

Vodite jednostavnu evidenciju. Ne treba vam pravni odjel. Dovoljna je tablica: koji AI alat, za što se koristi, tko je odgovoran, kad je zadnji put provjeren. Ovo je isto ono što biste trebali imati za GDPR, samo prošireno na AI kontekst.

Kad ima smisla razmišljati o on-premise rješenju

Ako radite u regulatorno osjetljivom sektoru - pravu, financijama, zdravstvu, javnom sektoru - i AI obrađuje osobne ili povjerljive podatke klijenata, on-premise implementacija rješava veliki dio compliance rizika prije nego što uopće mora postati pravno pitanje. Podaci ne napuštaju vaš ured, nema treće strane koja obrađuje vaše podatke na svom serveru, a dokumentacija o tome tko ima pristup postaje jednostavnija jer je sve na jednom mjestu.

Klapa nudi On-Premise AI paket upravo za ovaj scenarij - lokalna implementacija kod klijenta, s punom GDPR usklađenošću, za odvjetničke urede, zdravstvene ustanove, financijske institucije i državne institucije. Nije rješenje za svakoga - ako imate mali chatbot koji odgovara na upite o dostavi, on-premise je preskup za razinu rizika koju nosite. Ali za firmu koja obrađuje osjetljive podatke o strankama i istovremeno gleda u visokorizičnu kategoriju AI Acta, ušteda u compliance komplikacijama često nadmašuje razliku u cijeni prema cloud rješenju.

Kako platiti ovo iz EU fondova

Dio troška usklađivanja i implementacije može pokriti javni novac, ali s manje entuzijazma nego što se obično piše.

Vaučeri za digitalizaciju iz Nacionalnog plana oporavka pokrivaju postotak prihvatljivog troška, a ne cijeli iznos, i razlikuju se po vrsti. Prema uputama za prijavitelje, vaučer za složena digitalna rješenja, onaj pod koji potpada uvođenje AI alata, ide do 19.900 eura uz intenzitet potpore od 60 posto. Vaučer za digitalne vještine ide do 9.990 eura uz 90 posto, a onaj za dijagnostiku kibernetičke otpornosti do 14.500 eura uz 70 posto. Drugim riječima, na projektu od 10.000 eura realno računajte s otprilike 4.000 eura vlastitog novca, ne s nekoliko stotina.

Druga stvar koju vrijedi znati prije nego se oslonite na vaučer: pozivi se otvaraju u krugovima i nisu stalno otvoreni. U trenutku pisanja ovog teksta na popisu otvorenih poziva Ministarstva gospodarstva nema aktivnog vaučera za digitalizaciju, pa je prvi korak provjeriti otvorene pozive, a ne planirati budžet oko poziva koji je zatvoren.

Ono što je stvarno besplatno su europski digitalni inovacijski centri. Ministarstvo doslovno piše da EDIH-ovi svoje usluge pružaju u potpunosti besplatno, jer se financiraju iz programa Digitalna Europa i državnog proračuna. U Hrvatskoj ih radi četiri i nisu istog profila: CROBOHUB++ vodi FER u Zagrebu, EDIH Adria Sveučilište u Rijeci, AI4Health.Cro Institut Ruđer Bošković, a AI&GAMING sisačko-moslavačka regionalna koordinacija. Za procjenu u kojoj ste kategoriji rizika to je jeftiniji prvi razgovor od bilo kojeg konzultanta, uključujući nas.

Gdje dalje

EU AI Act nije razlog da prestanete koristiti AI, nego razlog da ga koristite pametnije - s jasnom evidencijom, ljudskim nadzorom tamo gdje treba i dobavljačima koji znaju odgovoriti na vaša pitanja. Ako niste sigurni gdje vaš trenutni AI setup pada u ovoj podjeli rizika, zakažite besplatni 30-minutni audit. Već na pozivu dobijete konkretnu procjenu u koju kategoriju rizika padaju vaši alati i što, ako išta, trebate napraviti prije kolovoza.

Za osnovne pojmove iz ovog teksta (GDPR, RAG, on-premise) pogledajte i naš pojmovnik.