Usklađenost umjetne inteligencije: upravljanje sustavima umjetne inteligencije i korištenje umjetne inteligencije u poslovima usklađenosti

AI usklađenost znači dvije stvari: kontinuirani rad na tome da AI sustavi koje vaša organizacija razvija ili koristi ispunjavaju važeće zakone, standarde i interne politike te korištenje AI-ja za rutinske poslove usklađenosti velikog opsega.

Ovaj članak obuhvaća oba značenja: rizike kojima se bavi AI usklađenost, glavne okvire, izgradnju programa usklađenosti, kontrole za AI agente i područja u kojima AI pomaže timovima za usklađenost. Na kraju donosi pitanja koja treba postaviti prije kupnje alata za usklađenost.

Što je AI usklađenost?

AI usklađenost odnosi se na dvije stvari: osiguravanje da AI sustavi ispunjavaju pravila propisana regulativom o umjetnoj inteligenciji te korištenje AI-ja za obavljanje poslova usklađenosti.

U prvom smislu AI usklađenost osigurava da AI sustav poštuje zakone, propise, etičke standarde i interne politike tijekom cijelog životnog ciklusa AI-ja, od podataka za treniranje do performansi i korištenja.

Primjerice, Lokalni zakon 144 Grada New Yorka zahtijeva od poslodavaca koji koriste automatizirani alat za donošenje odluka o zapošljavanju da u roku od godinu dana od početka korištenja provedu reviziju pristranosti tog alata, javno objave informacije o reviziji te obavijeste zaposlenike ili kandidate za posao.

Rad na usklađenosti AI-ja s propisima kontinuiran je jer se AI aplikacije ažuriraju, podaci s kojima rade mijenjaju se, a propisi se razvijaju.

U drugom smislu timovi za usklađenost koriste AI za rutinske poslove velikog opsega, poput praćenja transakcija, pregleda dokumenata i praćenja regulatornih promjena.

Neke financijske institucije, primjerice, koriste AI za pregled transakcija i smanjenje broja lažno pozitivnih upozorenja u praćenju transakcija prije nego što analitičari odluče za koja je potrebno podnijeti prijavu sumnjive aktivnosti.

AI usklađenost u odnosu na upravljanje AI-jem i upravljanje AI rizicima

Ta se tri pojma preklapaju, ali obuhvaćaju različita područja: upravljanje postavlja pravila, upravljanje rizicima otkriva što bi moglo poći po zlu, a usklađenost osigurava poštivanje pravila.

Zašto je AI usklađenost važna

Postizanje AI usklađenosti ograničava vašu izloženost kaznama, štiti privatnost osoba čije podatke vaš AI obrađuje i omogućuje vašoj organizaciji da u slučaju revizije položi račun o korištenju AI sustava.

• Regulatorne kazne: Prema Aktu EU-a o umjetnoj inteligenciji korištenje zabranjene AI prakse, poput zaključivanja o emocijama zaposlenika na radnom mjestu, može stajati do 35 milijuna eura ili 7 % ukupnog svjetskog godišnjeg prometa. Dobavljači i subjekti koji uvode AI sustave mogu se suočiti s kaznama do 15 milijuna eura ili 3 % za kršenja Akta.
• Zaštita podataka: AI sustav koji obrađuje osobne podatke podliježe zakonima o zaštiti podataka, poput GDPR-a u EU-u. To uključuje podatke za treniranje, upite i izlazne rezultate koji sadrže osobne podatke.
• Spremnost za reviziju: Evidencija o tome koje AI sustave koristite, tko ih je odobrio i kako ih nadzirete omogućuje vam da odgovarate regulatorima, revizorima i klijentima.

Glavni rizici kojima se bavi AI usklađenost

AI usklađenost obuhvaća pet glavnih rizika: algoritamsku pristranost, nedostatak objašnjivosti, halucinacije u reguliranim procesima, privatnost i curenje podataka te AI u sjeni.

Povećaj

Evo kako se glavni rizici očituju i primjera kontrola koje ih drže pod nadzorom:

• Algoritamska pristranost: Model reproducira obrasce iz podataka za treniranje koji određene skupine stavljaju u nepovoljan položaj. Alat za zapošljavanje, na primjer, mogao bi kandidate rangirati niže na temelju posrednog pokazatelja dobi ili etničke pripadnosti, poput godine diplomiranja ili poštanskog broja. Revizije pristranosti, koje uspoređuju ishode među demografskim skupinama, pomažu u otkrivanju takvih obrazaca.
• Nedostatak objašnjivosti: Organizacija ne može pokazati kako je model donio odluku. Ako zajmodavac ne može objasniti zašto je model odbio zahtjev za kredit, ne može obraniti taj ishod. Organizacije to sprječavaju dokumentiranjem ulaznih podataka i logike odlučivanja modela te odabirom modela čiji se izlazni rezultati mogu pratiti.
• Halucinacije u reguliranim procesima: Generativni AI alat s uvjerenjem iznosi nešto netočno. Primjerice, odvjetnik bi mogao od AI alata zatražiti sudsku praksu koja podupire neki argument i dobiti citate sudskih presuda koje ne postoje. Takve se pogreške otkrivaju zahtijevanjem izvora za svaki izlazni rezultat i provjerom tih izvora od strane kvalificirane osobe.
• Privatnost i curenje podataka: Povjerljivi podaci ili podaci o klijentima dospiju u alat izvan kontrole organizacije. Primjerice, zaposlenik bi mogao zalijepiti evidenciju klijenata u javni AI alat koji zadržava unose radi treniranja budućih modela. Korištenje isključivo odobrenih alata s ugovornim ograničenjima treniranja i zadržavanja podataka smanjuje taj rizik.
• AI u sjeni: Zaposlenici koriste AI alate koje organizacija nije odobrila ili u koje nema uvid. Prema anketi časopisa Compliance Week iz 2026. godine, 42 % sudionika navelo je da zaposlenici koriste AI bez nadzora. Moguća rješenja uključuju popis odobrenih alata u kombinaciji s brzim postupkom odobravanja AI alata te web pristupnike.

Ključni okviri za AI usklađenost

AI usklađenost oslanja se na obvezujuće okvire za upravljanje AI-jem, poput Akta EU-a o umjetnoj inteligenciji, i na dobrovoljne okvire, poput okvira NIST AI Risk Management Framework i norme ISO/IEC 42001, koji organizacijama pomažu da ih ispune.

Akt EU-a o umjetnoj inteligenciji

Akt EU-a o umjetnoj inteligenciji (Uredba (EU) 2024/1689) temelji se na pristupu regulaciji AI-ja utemeljenom na riziku: neke su prakse potpuno zabranjene, visokorizični sustavi podliježu strogim ograničenjima, dok za ostale vrijede samo blaga pravila o transparentnosti. Primjenjuje se na dobavljače i subjekte koji uvode AI sustave bilo gdje „ako se izlazni rezultati koje proizvodi sustav umjetne inteligencije upotrebljavaju u Uniji“.

Obveze prema Aktu EU-a o umjetnoj inteligenciji ovise o ulozi organizacije:

• Oni koji razvijaju visokorizični AI sustav ili ga stavljaju na tržište pod vlastitim imenom (dobavljači) moraju provesti ocjenjivanje sukladnosti, postaviti oznaku CE, registrirati sustav, voditi tehničku dokumentaciju i pratiti sustav nakon stavljanja na tržište.
• Oni koji koriste sustav koji je razvio netko drugi (subjekti koji uvode sustav) moraju slijediti upute dobavljača, povjeriti nadzor osobama koje imaju „potrebne kompetencije, osposobljenost i ovlasti“, čuvati zapise najmanje šest mjeseci te obavijestiti radnike i druge osobe na koje utječu odluke sustava.

Povećaj

Akt se uvodi postupno. Zabranjene prakse, AI pismenost i pravila za AI opće namjene primjenjuju se od 2025., dok se obveze za visokorizične sustave počinju primjenjivati 2. prosinca 2027., odnosno 2. kolovoza 2028. za AI ugrađen u proizvode obuhvaćene propisima EU-a o sigurnosti proizvoda.

EN 18286:2026 o sustavima upravljanja kvalitetom prva je europska norma koja podupire Akt. Za dobavljače koji je primjenjuju pretpostavlja se da ispunjavaju zahtjev Akta u pogledu upravljanja kvalitetom.

NIST-ov okvir za upravljanje AI rizicima (AI Risk Management Framework)

NIST AI RMF (okvir za upravljanje rizicima), objavljen u siječnju 2023., dobrovoljni je američki okvir izgrađen oko četiri funkcije: Govern (upravljanje), Map (mapiranje), Measure (mjerenje) i Manage (postupanje).

Njegov profil za generativni AI (Generative AI Profile), objavljen u srpnju 2024., primjenjuje taj okvir na rizike generativnog AI-ja.

ISO/IEC 42001

ISO/IEC 42001 međunarodna je norma za sustave upravljanja AI-jem i obuhvaća politike, uloge i procese kojima se uređuju odgovoran razvoj i korištenje AI-ja. Certifikacija je dobrovoljna i provode je neovisna certifikacijska tijela, a ne sam ISO.

Certifikat obuhvaća sustav upravljanja organizacije, a ne određeni AI proizvod.

Američka i sektorska pravila koja se primjenjuju na AI

SAD nema jedinstveni savezni zakon o AI-ju. Pravila proizlaze iz propisa gradova i saveznih država te iz postojećih zakona i propisa koji se primjenjuju na AI.

Primjerice, zakon SB26-189 savezne države Colorado, koji stupa na snagu 1. siječnja 2027., uređuje tehnologiju automatiziranog donošenja odluka, a zakoni o privatnosti, poput kalifornijskog Zakona o privatnosti potrošača (CCPA) ili zakona HIPAA, primjenjuju se kad god AI obrađuje zaštićene podatke.

Kako izgraditi program AI usklađenosti

Izgradnja programa AI usklađenosti obuhvaća šest koraka: popišite svoje AI sustave, razvrstajte ih prema riziku, povežite kontrole s pravilima koja se primjenjuju, dodijelite vlasnike, dokumentirajte svaki sustav i pratite ga uz evidenciju koju revizor može provjeriti.

Povećaj

Svaki korak u nastavku završava evidencijom koju proizvodi:

1. Popišite svaki AI sustav. Navedite sustave koje vaša organizacija razvija, kupuje ili koristi, uključujući AI značajke unutar postojećeg softvera i alate koje su zaposlenici počeli koristiti bez odobrenja. Zabilježite što svaki od njih radi, tko ga koristi i s kojim podacima radi.
   Rezultat: Popis AI sustava.
2. Razvrstajte svaki slučaj upotrebe prema riziku. Ocijenite svaki sustav prema šteti koju bi mogao prouzročiti, koristeći shemu poput razina rizika iz Akta EU-a o umjetnoj inteligenciji. Primjerice, alat koji određuje premije životnog osiguranja prema Aktu je visokorizičan, dok alat koji sažima interne sastanke nije.
   Rezultat: Registar rizika.
3. Povežite kontrole s pravilima koja se primjenjuju. Navedite zakone, standarde i interne politike koji se primjenjuju na svaki sustav te kontrolu kojom se ispunjava svaki zahtjev usklađenosti. Primjerice, dokumentirani ljudski pregled pomaže u ispunjavanju zahtjeva Akta EU-a o umjetnoj inteligenciji u pogledu ljudskog nadzora visokorizičnih sustava i zahtjeva NIST AI RMF-a za dokumentiranim procesima ljudskog nadzora.
   Rezultat: Karta kontrola.
4. Dodijelite vlasnike i točke ljudskog nadzora. Imenujte vlasnika za svaki sustav i odlučite gdje osoba pregledava njegove izlazne rezultate. Primjerice, pravni tim i tim za usklađenost odgovorni su za obveze, sigurnosni tim za tehničke kontrole, poslovni vlasnici za svoje slučajeve upotrebe, a jedan izvršni rukovoditelj snosi ukupnu odgovornost. Pobrinite se da ljudi u cijeloj organizaciji budu upoznati s tim i uspostavite jasne komunikacijske kanale.
   Rezultat: Imenovani vlasnici za svaki sustav.
5. Dokumentirajte svaki sustav. Zabilježite svrhu, podatke za treniranje, testiranje i poznata ograničenja svakog sustava u formatima kao što su kartice modela i procjene učinka. Dobavljači visokorizičnih sustava moraju pripremiti i tehničku dokumentaciju iz Priloga IV. Akta EU-a o umjetnoj inteligenciji.
   Rezultat: Skup dokumentacije sustava.
6. Pratite, bilježite i čuvajte dokaze. Od samog početka osmislite zapise kao revizijske dokaze koji pokazuju što je sustav učinio i tko ga je pregledao. Akt EU-a o umjetnoj inteligenciji zahtijeva da visokorizični sustavi automatski bilježe događaje tijekom cijelog životnog vijeka. Revizijski trag trebao bi obuhvaćati:
   • Model i verziju koji se koriste
   • Ulazne i izlazne podatke ili njihov definirani uzorak
   • Podatke za treniranje ili fino podešavanje
   • Točke ljudskog pregleda i njihove ishode
   • Radnje koje je agent poduzeo i dopuštenja koja je koristio
   • Koliko se dugo čuva svaki zapis

Rezultat: Evidencija praćenja i revizijski trag.

Specijalizirani alati za AI usklađenost, poput IBM watsonx.governance i OneTrust AI Governance, mogu preuzeti dijelove ovog programa, uključujući popis AI sustava, procjene rizika u odnosu na Akt EU-a o umjetnoj inteligenciji i dokumentaciju.

Kako odobriti AI alate koje zaposlenici smiju koristiti

Prije odobravanja AI alata provjerite četiri stvari:

• Pristup podacima: Koje datoteke, sustave i povezane baze znanja alat može čitati te sadrže li osobne podatke koje bi mogao otkriti.
• Treniranje na unosima: Koristi li pružatelj usluge upite, datoteke ili izlazne rezultate za treniranje svojih modela te zabranjuje li to vaš ugovor s pružateljem usluge.
• Zadržavanje: Koliko dugo pružatelj usluge čuva upite, datoteke i povijest razgovora te možete li to razdoblje skratiti.
• Smještaj podataka i prijenosi: Gdje pružatelj usluge pohranjuje i obrađuje podatke, uključujući prijenose izvan vaše regije.

Kontrole usklađenosti za AI agente

AI agenti zahtijevaju više kontrola od alata za chat jer sami odlučuju o svojim koracima i djeluju putem dodijeljenih alata i dopuštenja. Tri kontrole drže ih pod nadzorom:

• Pristup s najmanjim ovlastima: Dajte agentu samo one alate i dopuštenja koja su potrebna za njegov zadatak. Prekomjerna autonomija (Excessive Agency), kada agent može učiniti više nego što njegov zadatak zahtijeva, jedan je od najvećih sigurnosnih rizika prema popisu OWASP Top 10 for LLM Applications 2026.
• Zapis svake radnje: Bilježite svaki poziv alata, podatke kojima se pristupilo i korištena dopuštenja kako biste mogli utvrditi što je agent učinio i za koga.
• Ljudsko odobrenje za radnje velikog učinka: Zahtijevajte da osoba potvrdi korake kojima se podaci šalju izvan organizacije, prenosi novac ili koji se ne mogu poništiti.

Kako se AI koristi u poslovima usklađenosti

Timovi za usklađenost i upravljanje rizicima koriste AI za praćenje kontrola, procjenu rizika, praćenje regulatornih promjena, pregled dokumenata i trijažu upozorenja o financijskom kriminalu.

U anketi časopisa Compliance Week iz 2026. provedenoj među 193 voditelja u području usklađenosti, etike, rizika i revizije više od 83 % izjavilo je da koristi AI, a gotovo 40 % navelo je da su ga njihova poduzeća uvela za procjenu i praćenje rizika.

Uobičajeni slučajevi upotrebe AI-ja u području usklađenosti uključuju:

• Kontinuirano praćenje usklađenosti i prikupljanje dokaza: AI provodi provjere i prikuplja dokaze da one funkcioniraju (npr. zakašnjeli sigurnosni pregledi opreme u pogonu).
• Procjena i određivanje prioriteta rizika: AI rangira poslovne jedinice ili treće strane prema riziku (npr. dobavljače s novim sankcijama ili izloženošću sudskim sporovima).
• Praćenje regulatornih promjena: AI prati publikacije regulatora i sažima promjene (npr. revidirane smjernice za borbu protiv podmićivanja kojima se snižava ograničenje vrijednosti darova u politici troškova).
• Pregled dokumenata i politika: AI uspoređuje ugovore i politike sa zahtjevima (npr. ugovore s dobavljačima bez klauzule o pravu na reviziju).
• Provjera radi sprječavanja financijskog kriminala: AI trijažira upozorenja iz praćenja transakcija i provjera klijenata (npr. podudaranja imena s popisima sankcija za koja se pokaže da se odnose na drugu osobu).

AI koji se koristi za usklađenost zahtijeva isto upravljanje kao i drugi AI sustavi. Kako je britansko Tijelo za nadzor financijskog poslovanja (Financial Conduct Authority) navelo u listopadu 2026., „poduzeća su odgovorna za AI sustave koje razvijaju, nabavljaju i uvode – uključujući njihove izlazne rezultate i ishode“ te je upozorilo da ljudski pregled ne smije postati „vježba ‚kvačenja kućica‘“.

U praksi AI alati mogu obavljati rutinske zadatke poput prikupljanja dokaza ili označavanja regulatornih promjena, ali ne i donositi odluke koje nose pravnu odgovornost, poput odluke o tome treba li prijaviti sumnjivu aktivnost ili kako osmisliti politike.

Kontrole podataka u usluzi Perplexity Enterprise

Perplexity Enterprise administratorima pruža kontrole koje obuhvaćaju treniranje na unosima, pristup podacima i zadržavanje podataka:

• Bez treniranja na vašim podacima: Perplexity nikada ne koristi poslovni sadržaj za treniranje svojih AI modela, a njegovi ugovori s pružateljima modela trećih strana zabranjuju im da ga koriste za treniranje.
• Kontrola pristupa: SSO, SCIM i dozvole temeljene na ulogama određuju tko može prenositi datoteke i dijeliti odgovore.
• Zadržavanje podataka i zapisnici revizije: Datoteke priložene sesijama brišu se nakon sedam dana. Organizacije s 50 ili više mjesta ili barem jednim mjestom Enterprise Max mogu postaviti i zadržavanje sesija te primati zapisnike revizije aktivnosti korisnika.
• Certifikati: Perplexity ima certifikat SOC 2 Type II, usklađen je s GDPR-om i dopušta rad sa zaštićenim zdravstvenim informacijama samo uz potpisani ugovor o poslovnom suradniku (Business Associate Agreement).

Za detaljno predstavljanje ovih kontrola obratite se našem prodajnom timu i rezervirajte personaliziranu demonstraciju.

Često postavljana pitanja

Što je usklađenost s propisima EU-a o umjetnoj inteligenciji?

Usklađenost s propisima EU-a o umjetnoj inteligenciji znači ispunjavanje obveza iz Akta EU-a o umjetnoj inteligenciji za vašu ulogu (dobavljač ili subjekt koji uvodi sustav) i za razinu rizika svakog sustava. Obveze se primjenjuju postupno, a obveze za visokorizične sustave počinju se primjenjivati 2. prosinca 2027.

Što je umjetna inteligencija usklađena s HIPAA-om?

Umjetna inteligencija usklađena s HIPAA-om alat je koji se koristi unutar zaštitnih mjera HIPAA-e za zaštićene zdravstvene informacije. Ako dobavljač pohranjuje ili obrađuje te informacije, Ministarstvo zdravstva i socijalnih usluga SAD-a zahtijeva da se prethodno potpiše ugovor o poslovnom suradniku (Business Associate Agreement).

Primjenjuje li se Akt EU-a o umjetnoj inteligenciji na američke tvrtke?

Da. Akt o umjetnoj inteligenciji obuhvaća američke tvrtke koje stavljaju sustave umjetne inteligencije na tržište EU-a, kao i one čiji se izlazni rezultati umjetne inteligencije koriste u EU-u.

Može li umjetna inteligencija zamijeniti službenike za usklađenost?

Umjetna inteligencija ne može zamijeniti službenike za usklađenost. Organizacije su odgovorne za svoj rad, a tehnologije umjetne inteligencije mogu griješiti, pa službenici za usklađenost i dalje moraju pomno provjeravati i odobravati rezultate umjetne inteligencije.