AI усклађеност: управљање AI системима и кориштење AI-ја за послове усклађености

АИ усклађеност подразумијева двије ствари: континуиран рад на томе да АИ системи које ваша организација развија или користи испуњавају важеће законе, стандарде и интерне политике, као и коришћење АИ за рутинске послове усклађености великог обима.

Овај чланак обухвата оба значења: ризике којима се бави АИ усклађеност, главне оквире, начин изградње програма усклађености, контроле за АИ агенте и области у којима АИ помаже тимовима за усклађеност. На крају су наведена питања која треба поставити прије куповине алата за усклађеност.

Шта је АИ усклађеност?

АИ усклађеност се односи на двије ствари: на то да АИ системи испуњавају правила утврђена прописима о вјештачкој интелигенцији и на коришћење АИ за обављање послова усклађености.

У првом смислу, АИ усклађеност обезбјеђује да АИ систем поштује законе, прописе, етичке стандарде и интерне политике током цијелог животног циклуса АИ, од података за обуку до перформанси и начина коришћења.

На примјер, Локални закон 144 Града Њујорка захтијева од послодаваца који користе алат за аутоматизовано доношење одлука о запошљавању да у року од годину дана од коришћења спроведу ревизију пристрасности тог алата, јавно објаве информације о ревизији и обавијесте запослене или кандидате за посао.

Рад на регулаторној усклађености АИ је континуиран јер се АИ апликације ажурирају, подаци са којима раде се мијењају, а прописи се развијају.

У другом смислу, тимови за усклађеност користе АИ за рутинске послове великог обима, као што су праћење трансакција, преглед докумената и праћење регулаторних промјена.

Неке финансијске институције, на примјер, користе АИ за преглед трансакција и смањење броја лажно позитивних упозорења при праћењу трансакција, прије него што аналитичари одлуче за која је потребно поднијети извјештај о сумњивој активности.

АИ усклађеност наспрам АИ управљања наспрам управљања АИ ризицима

Ова три појма се преклапају, али обухватају различите области: управљање поставља правила, управљање ризицима утврђује шта може поћи наопако, а усклађеност обезбјеђује да се правила поштују.

Зашто је АИ усклађеност важна

Постизање АИ усклађености ограничава вашу изложеност казнама, штити приватност људи чије информације ваша АИ обрађује и омогућава вашој организацији да у случају ревизије положи рачун о коришћењу АИ система.

• Регулаторне казне: Према Акту ЕУ о вјештачкој интелигенцији, коришћење забрањене АИ праксе, као што је закључивање о емоцијама запослених на радном мјесту, може коштати до 35 милиона евра или 7% укупног годишњег промета на свјетском нивоу. Добављачи и субјекти који уводе АИ системе могу се суочити са казнама до 15 милиона евра или 3% због кршења Акта.
• Заштита података: АИ систем који обрађује податке о личности подлијеже законима о заштити података, као што је GDPR у ЕУ. То обухвата податке за обуку, упите и резултате који садрже податке о личности.
• Спремност за ревизију: Евиденција о томе које АИ системе користите, ко их је одобрио и како их пратите омогућава вам да одговорите регулаторима, ревизорима и клијентима.

Главни ризици којима се бави АИ усклађеност

АИ усклађеност обухвата пет главних ризика: алгоритамску пристрасност, недостатак објашњивости, халуцинације у регулисаним процесима, приватност и цурење података, као и АИ у сјенци.

Увећај

Ево како се главни ризици испољавају, уз примјере контрола које их држе под контролом:

• Алгоритамска пристрасност: Модел репродукује обрасце из података за обуку који одређене групе стављају у неповољан положај. Алат за запошљавање, на примјер, може кандидате рангирати ниже на основу посредног показатеља старости или етничке припадности, као што су година дипломирања или поштански број. Ревизије пристрасности, које упоређују исходе међу демографским групама, помажу у откривању ових образаца.
• Недостатак објашњивости: Организација не може да покаже како је модел донио одлуку. Ако зајмодавац не може да објасни зашто је модел одбио захтјев за кредит, не може ни да одбрани тај исход. Организације то спрјечавају документовањем улазних података модела и логике одлучивања, као и избором модела чији се резултати могу пратити уназад.
• Халуцинације у регулисаним процесима: Алат генеративне АИ са сигурношћу износи нешто нетачно. На примјер, адвокат може од АИ алата затражити судску праксу која поткрепљује аргумент и добити цитате судских одлука које не постоје. Такве грешке се откривају ако се за сваки резултат захтијевају извори и ако их провјерава квалификована особа.
• Приватност и цурење података: Повјерљиве информације или информације о клијентима доспијевају у алат ван контроле организације. На примјер, запослени може налијепити евиденцију о клијентима у јавни АИ алат који задржава унесене податке ради обуке будућих модела. Ризик се смањује коришћењем искључиво одобрених алата са уговорним ограничењима у погледу обуке и задржавања података.
• АИ у сјенци: Запослени користе АИ алате које организација није одобрила или их не може видјети. У анкети Compliance Week из 2026. године, 42% учесника пријавило је неконтролисано коришћење АИ од стране запослених. Могућа рјешења укључују листу одобрених алата у комбинацији са брзим процесом одобравања АИ алата, као и веб-пролазе (web gateways).

Кључни оквири за АИ усклађеност

АИ усклађеност се ослања на обавезујуће оквире за управљање АИ, као што је Акт ЕУ о вјештачкој интелигенцији, и на добровољне оквире, као што су NIST оквир за управљање АИ ризицима и ISO/IEC 42001, који помажу организацијама да их испуне.

Акт ЕУ о вјештачкој интелигенцији

Акт ЕУ о вјештачкој интелигенцији (Уредба (ЕУ) 2024/1689) примјењује приступ регулацији АИ заснован на ризику: неке праксе су потпуно забрањене, системи високог ризика подлијежу строгим ограничењима, док за остале важе само блага правила о транспарентности. Примјењује се на добављаче и субјекте који уводе АИ системе свуда гдје се „резултат који произведе АИ систем користи у Унији“.

Обавезе према Акту ЕУ о вјештачкој интелигенцији зависе од улоге организације:

• Они који развијају АИ систем високог ризика или га стављају на тржиште под својим именом (добављачи) морају спровести оцјењивање усаглашености, ставити ознаку CE, регистровати систем, водити техничку документацију и пратити систем након пуштања у употребу.
• Они који користе систем који је развио неко други (субјекти који уводе систем) морају поштовати упутства добављача, повјерити надзор особама које имају „неопходну стручност, обуку и овлашћења“, чувати евиденције најмање шест мјесеци и обавијестити раднике и друге особе на које утичу одлуке система.

Увећај

Акт се примјењује у фазама. Правила о забрањеним праксама, АИ писмености и АИ опште намјене примјењују се од 2025. године, док обавезе за системе високог ризика почињу да важе 2. децембра 2027. године, односно 2. августа 2028. године за АИ уграђену у производе обухваћене прописима ЕУ о безбједности производа.

EN 18286:2026 о системима управљања квалитетом први је европски стандард који подржава Акт. За добављаче који га примјењују претпоставља се да испуњавају захтјев Акта у погледу управљања квалитетом.

NIST оквир за управљање АИ ризицима

NIST AI RMF (оквир за управљање ризицима), објављен у јануару 2023. године, добровољни је амерички оквир заснован на четири функције: Govern (усмјеравање), Map (мапирање), Measure (мјерење) и Manage (управљање).

Његов Профил за генеративну АИ, објављен у јулу 2024. године, примјењује оквир на ризике генеративне АИ.

ISO/IEC 42001

ISO/IEC 42001 је међународни стандард за системе управљања АИ и обухвата политике, улоге и процесе којима се уређују одговоран развој и коришћење АИ. Сертификација је добровољна и додјељују је независна сертификациона тијела, а не сама организација ISO.

Сертификат обухвата систем управљања организације, а не конкретан АИ производ.

Прописи САД и секторска правила која се примјењују на АИ

САД немају јединствен савезни закон о АИ. Правила доносе градови и савезне државе, а на АИ се примјењују и постојећи закони и прописи.

На примјер, колорадски закон SB26-189, који ступа на снагу 1. јануара 2027. године, уређује технологију аутоматизованог доношења одлука, а закони о приватности, као што су Калифорнијски закон о приватности потрошача (CCPA) или HIPAA, примјењују се кад год АИ обрађује заштићене податке.

Како изградити програм АИ усклађености

Изградња програма АИ усклађености обухвата шест корака: попис АИ система, њихову класификацију према ризику, повезивање контрола са правилима која се примјењују, одређивање власника, документовање сваког система и његово праћење уз евиденцију коју ревизор може да провјери.

Увећај

Сваки од корака у наставку завршава се евиденцијом коју производи:

1. Направите попис свих АИ система. Наведите системе које ваша организација развија, купује или користи, укључујући АИ функције у постојећем софтверу и алате које су запослени почели да користе без одобрења. Забиљежите шта сваки систем ради, ко га користи и којим подацима приступа.
   Резултат: Попис АИ система.
2. Класификујте сваки случај коришћења према ризику. Оцијените сваки систем према штети коју би могао да проузрокује, користећи шему као што су нивои ризика из Акта ЕУ о вјештачкој интелигенцији. На примјер, алат који одређује премије животног осигурања према Акту спада у системе високог ризика, док алат који сажима интерне састанке не спада.
   Резултат: Регистар ризика.
3. Повежите контроле са правилима која се примјењују. Наведите законе, стандарде и интерне политике који се односе на сваки систем, као и контролу која испуњава сваки захтјев усклађености. На примјер, документовани људски преглед помаже у испуњавању захтјева Акта ЕУ о вјештачкој интелигенцији у погледу људског надзора над системима високог ризика, као и захтјева NIST AI RMF за документованим процесима људског надзора.
   Резултат: Мапа контрола.
4. Одредите власнике и тачке људског надзора. Именујте власника за сваки систем и одлучите гдје особа прегледа његове резултате. На примјер, правни тим и тим за усклађеност одговорни су за обавезе, безбједносни тим за техничке контроле, пословни власници за своје случајеве коришћења, а један руководилац сноси укупну одговорност. Побрините се да људи у цијелој организацији буду упознати са тим и успоставите јасне канале комуникације.
   Резултат: Именовани власници за сваки систем.
5. Документујте сваки систем. Забиљежите сврху, податке за обуку, тестирање и позната ограничења сваког система у форматима као што су картице модела и процјене утицаја. Добављачи система високог ризика морају припремити и техничку документацију из Анекса IV Акта ЕУ о вјештачкој интелигенцији.
   Резултат: Скуп документације о систему.
6. Пратите, евидентирајте и чувајте доказе. Од самог почетка осмислите евиденције као ревизорске доказе који показују шта је систем урадио и ко га је прегледао. Акт ЕУ о вјештачкој интелигенцији захтијева да системи високог ризика аутоматски биљеже догађаје током цијелог свог животног вијека. Ревизорски траг треба да обухвати:
   • Модел и верзију који се користе
   • Улазне и излазне податке или њихов дефинисани узорак
   • Податке за обуку или фино подешавање
   • Тачке људског прегледа и њихове исходе
   • Радње које је агент предузео и дозволе које је користио
   • Колико дуго се чува сваки запис

Резултат: Евиденција о праћењу и ревизорски траг.

Специјализовани алати за АИ усклађеност, као што су IBM watsonx.governance и OneTrust AI Governance, могу преузети дијелове овог програма, укључујући попис АИ система, процјене ризика у односу на Акт ЕУ о вјештачкој интелигенцији и документацију.

Како одобрити АИ алате које запослени могу да користе

Прије него што одобрите АИ алат, провјерите четири ствари:

• Приступ подацима: Које датотеке, системе и повезане базе знања алат може да чита и да ли оне садрже податке о личности које би могао да открије.
• Обука на унесеним подацима: Да ли пружалац услуге користи упите, датотеке или резултате за обуку својих модела и да ли ваш уговор са пружаоцем услуге то забрањује.
• Задржавање података: Колико дуго пружалац услуге чува упите, датотеке и историју разговора и да ли тај период можете да скратите.
• Хостовање и преноси: Гдје пружалац услуге чува и обрађује податке, укључујући преносе ван вашег региона.

Контроле усклађености за АИ агенте

АИ агентима је потребно више контрола него алатима за ћаскање јер сами одлучују о својим корацима и дјелују помоћу додијељених алата и дозвола. Три контроле их држе под надзором:

• Приступ са најмањим привилегијама: Дајте агенту само алате и дозволе који су потребни за његов задатак. Претјерана аутономија (Excessive Agency), када агент може да уради више него што његов задатак захтијева, један је од највећих безбједносних ризика према листи OWASP Top 10 for LLM Applications 2026.
• Евиденција сваке радње: Биљежите сваки позив алата, податке којима је приступљено и коришћене дозволе како бисте могли да утврдите шта је агент урадио и за кога.
• Људско одобрење за радње великог утицаја: Захтијевајте да особа потврди кораке којима се подаци шаљу ван организације, преноси новац или који се не могу поништити.

Како се АИ користи у пословима усклађености

Тимови за усклађеност и управљање ризицима користе АИ за праћење контрола, процјену ризика, праћење регулаторних промјена, преглед докумената и тријажу упозорења о финансијском криминалу.

У анкети Compliance Week из 2026. године, спроведеној међу 193 руководиоца у областима усклађености, етике, ризика и ревизије, више од 83% је изјавило да користи АИ, а скоро 40% да су њихове компаније увеле АИ за процјену и праћење ризика.

Уобичајени случајеви коришћења АИ у области усклађености укључују:

• Континуирано праћење усклађености и прикупљање доказа: АИ спроводи провјере и прикупља доказе да контроле функционишу (нпр. закашњеле безбједносне инспекције опреме у погону).
• Процјена и одређивање приоритета ризика: АИ рангира пословне јединице или треће стране према ризику (нпр. добављаче са новим санкцијама или изложеношћу судским споровима).
• Праћење регулаторних промјена: АИ прати публикације регулатора и сажима промјене (нпр. ревидиране смјернице за борбу против мита којима се снижава ограничење за поклоне у политици трошкова).
• Преглед докумената и политика: АИ упоређује уговоре и политике са захтјевима (нпр. уговоре са добављачима без клаузуле о праву на ревизију).
• Провјера у вези са финансијским криминалом: АИ врши тријажу упозорења из праћења трансакција и провјере клијената (нпр. подударања имена са листама санкција за која се испостави да се односе на другу особу).

АИ која се користи за усклађеност захтијева исто управљање као и други АИ системи. Како је британски регулатор Financial Conduct Authority навео у октобру 2026, „фирме су одговорне за АИ системе које развијају, набављају и уводе – укључујући њихове резултате и исходе” и упозорио да људски преглед не смије постати „пуко ‘штиклирање кућица’”.

У пракси, АИ алати могу обављати рутинске задатке као што су прикупљање доказа или означавање регулаторних промјена, али не и одлуке које носе правну одговорност, као што је одлука о томе да ли пријавити сумњиву активност или како осмислити политике.

Контроле података у оквиру Perplexity Enterprise

Perplexity Enterprise администраторима пружа контроле које обухватају обуку на унесеним подацима, приступ подацима и чување података:

• Без обуке на вашим подацима: Perplexity никада не користи садржај предузећа за обуку својих AI модела, а његови уговори са добављачима модела трећих страна забрањују им да тај садржај користе за обуку.
• Контрола приступа: SSO, SCIM и дозволе засноване на улогама одређују ко може отпремати датотеке и дијелити одговоре.
• Чување података и евиденције ревизије: Датотеке приложене сесијама бришу се након седам дана. Организације са 50 или више мјеста, или са најмање једним Enterprise Max мјестом, могу подесити и период чувања сесија и добијати евиденције ревизије о активностима корисника.
• Сертификати: Perplexity посједује сертификат SOC 2 Type II, усклађен је са GDPR-ом и дозвољава рад са заштићеним здравственим информацијама само уз потписан споразум о пословном сарадништву (Business Associate Agreement).

За детаљан приказ ових контрола контактирајте наш тим за продају и закажите персонализовану демонстрацију.

Често постављана питања

Шта је усклађеност са прописима ЕУ о вјештачкој интелигенцији?

Усклађеност са прописима ЕУ о вјештачкој интелигенцији значи испуњавање обавеза из Акта ЕУ о вјештачкој интелигенцији које важе за вашу улогу (добављач или субјект који уводи систем у употребу) и за ниво ризика сваког система. Обавезе се примјењују у фазама, а обавезе за системе високог ризика почињу важити 2. децембра 2027.

Шта је AI рјешење усклађено са HIPAA-ом?

AI рјешење усклађено са HIPAA-ом је алат који се користи у оквиру HIPAA мјера заштите за заштићене здравствене информације. Ако добављач чува или обрађује те информације, Министарство здравља и социјалних услуга САД захтијева да се претходно потпише споразум о пословном сарадништву (Business Associate Agreement).

Да ли се Акт ЕУ о вјештачкој интелигенцији примјењује на америчке компаније?

Да. Акт о вјештачкој интелигенцији обухвата америчке компаније које стављају AI системе на тржиште ЕУ, као и оне чији се AI резултати користе у ЕУ.

Може ли AI замијенити службенике за усклађеност?

AI не може замијенити службенике за усклађеност. Организације су одговорне за свој рад, а AI технологије могу гријешити, па службеници за усклађеност и даље морају пажљиво провјеравати и одобравати резултате које AI генерише.