Usklađenost i AI: upravljanje AI sistemima i korišćenje AI-ja u poslovima usklađenosti

AI usklađenost znači dve stvari: kontinuirani rad na tome da AI sistemi koje vaša organizacija razvija ili koristi ispunjavaju važeće zakone, standarde i interne politike, kao i korišćenje veštačke inteligencije za rutinske poslove usklađenosti velikog obima.

Ovaj članak obrađuje oba značenja: rizike kojima se bavi AI usklađenost, glavne okvire, kako izgraditi program usklađenosti, kontrole za AI agente i oblasti u kojima veštačka inteligencija pomaže timovima za usklađenost. Na kraju donosi pitanja koja treba postaviti pre kupovine alata za usklađenost.

Šta je AI usklađenost?

AI usklađenost se odnosi na dve stvari: na to da AI sistemi ispunjavaju pravila propisana regulativom o veštačkoj inteligenciji i na korišćenje veštačke inteligencije za poslove usklađenosti.

U prvom smislu, AI usklađenost obezbeđuje da AI sistem poštuje zakone, propise, etičke standarde i interne politike tokom celog životnog ciklusa AI sistema, od podataka za obuku do performansi i korišćenja.

Na primer, Lokalni zakon 144 grada Njujorka nalaže poslodavcima koji koriste automatizovani alat za donošenje odluka pri zapošljavanju da u roku od godinu dana od korišćenja sprovedu reviziju pristrasnosti tog alata, objave informacije o reviziji i obaveste zaposlene ili kandidate za posao.

Rad na usklađenosti AI sistema sa propisima je kontinuiran jer se AI aplikacije ažuriraju, podaci sa kojima rade se menjaju, a propisi se razvijaju.

U drugom smislu, timovi za usklađenost koriste veštačku inteligenciju za rutinske poslove velikog obima, kao što su praćenje transakcija, pregled dokumenata i praćenje regulatornih promena.

Neke finansijske institucije, na primer, koriste veštačku inteligenciju da pregledaju transakcije i smanje broj lažno pozitivnih upozorenja u praćenju transakcija pre nego što analitičari odluče za koja je potrebno podneti prijavu sumnjive aktivnosti.

AI usklađenost, AI upravljanje i upravljanje AI rizicima: u čemu je razlika

Ova tri pojma se preklapaju, ali obuhvataju različite oblasti: AI upravljanje postavlja pravila, upravljanje rizicima otkriva šta bi moglo da pođe po zlu, a usklađenost obezbeđuje da se pravila poštuju.

Zašto je AI usklađenost važna

Postizanje AI usklađenosti ograničava vašu izloženost kaznama, štiti privatnost ljudi čije podatke vaš AI sistem obrađuje i omogućava vašoj organizaciji da u slučaju revizije položi račun o korišćenju AI sistema.

• Regulatorne kazne: Prema Aktu EU o veštačkoj inteligenciji, korišćenje zabranjene AI prakse, kao što je zaključivanje o emocijama zaposlenih na radnom mestu, može koštati do 35 miliona evra ili 7% ukupnog godišnjeg prometa na svetskom nivou. Dobavljačima i subjektima koji uvode sisteme mogu se izreći kazne do 15 miliona evra ili 3% zbog kršenja Akta.
• Zaštita podataka: AI sistem koji obrađuje podatke o ličnosti podleže zakonima o zaštiti podataka, kao što je GDPR u EU. To uključuje podatke za obuku, upite i izlazne rezultate koji sadrže podatke o ličnosti.
• Spremnost za reviziju: Evidencija o tome koje AI sisteme koristite, ko ih je odobrio i kako ih nadzirete omogućava vam da odgovarate regulatorima, revizorima i klijentima.

Glavni rizici kojima se bavi AI usklađenost

AI usklađenost obuhvata pet glavnih rizika: algoritamsku pristrasnost, nedostatak objašnjivosti, halucinacije u regulisanim procesima, privatnost i curenje podataka i AI u senci.

Uvećaj

Evo kako se ispoljavaju glavni rizici, uz primere kontrola koje ih drže pod nadzorom:

• Algoritamska pristrasnost: Model reprodukuje obrasce iz podataka za obuku koji stavljaju određene grupe u nepovoljan položaj. Alat za zapošljavanje bi, na primer, mogao da rangira kandidate niže na osnovu posrednog pokazatelja starosti ili etničke pripadnosti, kao što su godina diplomiranja ili poštanski broj. Revizije pristrasnosti, koje porede ishode među demografskim grupama, pomažu u otkrivanju ovih obrazaca.
• Nedostatak objašnjivosti: Organizacija ne može da pokaže kako je model doneo odluku. Ako zajmodavac ne može da objasni zašto je model odbio zahtev za kredit, ne može ni da odbrani taj ishod. Organizacije to sprečavaju tako što dokumentuju ulazne podatke modela i logiku odlučivanja i biraju modele čiji se izlazni rezultati mogu pratiti.
• Halucinacije u regulisanim procesima: Alat generativne veštačke inteligencije sa sigurnošću iznosi nešto netačno. Na primer, advokat bi mogao da zatraži od AI alata sudsku praksu koja podržava neki argument i dobije pozive na sudske odluke koje ne postoje. Takve greške se otkrivaju kada se za svaki izlazni rezultat zahtevaju izvori i kada ih proveri kvalifikovana osoba.
• Privatnost i curenje podataka: Poverljive informacije ili informacije o klijentima dospevaju u alat izvan kontrole organizacije. Na primer, zaposleni bi mogao da nalepi evidenciju o klijentima u javni AI alat koji zadržava unose radi obuke budućih modela. Rizik se smanjuje korišćenjem isključivo odobrenih alata sa ugovornim ograničenjima u pogledu obuke i čuvanja podataka.
• AI u senci: Zaposleni koriste AI alate koje organizacija nije odobrila ili ne može da ih vidi. U anketi časopisa Compliance Week iz 2026. godine, 42% učesnika prijavilo je nekontrolisano korišćenje veštačke inteligencije od strane zaposlenih. Moguća rešenja uključuju listu odobrenih alata u kombinaciji sa brzim postupkom odobravanja AI alata, kao i veb gejtveje.

Ključni okviri za AI usklađenost

AI usklađenost se oslanja na obavezujuće okvire za AI upravljanje, kao što je Akt EU o veštačkoj inteligenciji, i na dobrovoljne okvire, kao što su NIST okvir za upravljanje AI rizicima i ISO/IEC 42001, koji pomažu organizacijama da ih ispune.

Akt EU o veštačkoj inteligenciji

Akt EU o veštačkoj inteligenciji (Uredba (EU) 2024/1689) primenjuje pristup regulisanju veštačke inteligencije zasnovan na riziku: neke prakse su potpuno zabranjene, sistemi visokog rizika podležu strogim ograničenjima, dok za ostale važe samo blaga pravila o transparentnosti. Primenjuje se na dobavljače i subjekte koji uvode sisteme bilo gde u svetu „ako se izlazni rezultati koje proizvodi sistem veštačke inteligencije koriste u Uniji“.

Obaveze prema Aktu EU o veštačkoj inteligenciji zavise od uloge organizacije:

• Oni koji razvijaju sistem veštačke inteligencije visokog rizika ili ga stavljaju na tržište pod sopstvenim imenom (dobavljači) moraju da sprovedu ocenjivanje usaglašenosti, postave CE oznaku, registruju sistem, vode tehničku dokumentaciju i prate ga nakon puštanja u rad.
• Oni koji koriste sistem koji je razvio neko drugi (subjekti koji uvode sistem) moraju da poštuju uputstva dobavljača, povere nadzor osobama koje imaju „potrebnu stručnost, obuku i ovlašćenja“, čuvaju zapise najmanje šest meseci i obaveste radnike i druge na koje utiču odluke sistema.

Uvećaj

Akt se uvodi u fazama. Pravila o zabranjenim praksama, AI pismenosti i AI modelima opšte namene primenjuju se od 2025. godine, dok obaveze za sisteme visokog rizika počinju da važe 2. decembra 2027, odnosno 2. avgusta 2028. za AI ugrađen u proizvode obuhvaćene propisima EU o bezbednosti proizvoda.

EN 18286:2026 o sistemima menadžmenta kvalitetom prvi je evropski standard koji podržava Akt. Za dobavljače koji ga primenjuju pretpostavlja se da ispunjavaju zahtev Akta u pogledu sistema menadžmenta kvalitetom.

NIST okvir za upravljanje AI rizicima

NIST AI RMF (okvir za upravljanje rizicima), objavljen u januaru 2023. godine, dobrovoljni je američki okvir zasnovan na četiri funkcije: Govern (upravljanje), Map (mapiranje), Measure (merenje) i Manage (rukovođenje).

Njegov Profil za generativnu veštačku inteligenciju, objavljen u julu 2024. godine, primenjuje okvir na rizike generativne veštačke inteligencije.

ISO/IEC 42001

ISO/IEC 42001 je međunarodni standard za sisteme menadžmenta veštačkom inteligencijom i obuhvata politike, uloge i procese koji uređuju odgovoran razvoj i korišćenje veštačke inteligencije. Sertifikacija je dobrovoljna i sprovode je nezavisna sertifikaciona tela, a ne sama organizacija ISO.

Sertifikat obuhvata sistem menadžmenta organizacije, a ne određeni AI proizvod.

Američka i sektorska pravila koja se primenjuju na veštačku inteligenciju

SAD nemaju jedinstveni savezni zakon o veštačkoj inteligenciji. Pravila potiču od gradova, saveznih država i postojećih zakona i propisa koji se primenjuju na veštačku inteligenciju.

Na primer, zakon savezne države Kolorado SB26-189, koji stupa na snagu 1. januara 2027, reguliše tehnologiju automatizovanog donošenja odluka, a zakoni o privatnosti, kao što su Kalifornijski zakon o privatnosti potrošača (CCPA) ili HIPAA, primenjuju se kad god AI obrađuje zaštićene podatke.

Kako izgraditi program AI usklađenosti

Izgradnja programa AI usklađenosti obuhvata šest koraka: popišite svoje AI sisteme, klasifikujte ih prema riziku, povežite kontrole sa pravilima koja se primenjuju, odredite odgovorne osobe, dokumentujte svaki sistem i pratite ga uz evidenciju koju revizor može da proveri.

Uvećaj

Svaki od koraka u nastavku završava se zapisom koji iz njega proizlazi:

1. Popišite svaki AI sistem. Navedite sisteme koje vaša organizacija razvija, kupuje ili koristi, uključujući AI funkcije u postojećem softveru i alate koje su zaposleni počeli da koriste bez odobrenja. Zabeležite šta svaki od njih radi, ko ga koristi i sa kojim podacima je u dodiru.
   Rezultat: Popis AI sistema.
2. Klasifikujte svaki slučaj upotrebe prema riziku. Ocenite svaki sistem prema šteti koju bi mogao da prouzrokuje, koristeći šemu kao što su nivoi rizika iz Akta EU o veštačkoj inteligenciji. Na primer, alat koji određuje premije životnog osiguranja je visokorizičan prema Aktu, dok alat koji sažima interne sastanke nije.
   Rezultat: Registar rizika.
3. Povežite kontrole sa pravilima koja se primenjuju. Navedite zakone, standarde i interne politike koji se odnose na svaki sistem, kao i kontrolu kojom se ispunjava svaki zahtev usklađenosti. Na primer, dokumentovani ljudski pregled pomaže u ispunjavanju zahteva Akta EU o veštačkoj inteligenciji u pogledu ljudskog nadzora nad sistemima visokog rizika, kao i zahteva NIST AI RMF-a za dokumentovanim procesima ljudskog nadzora.
   Rezultat: Mapa kontrola.
4. Odredite odgovorne osobe i tačke ljudskog nadzora. Imenujte odgovornu osobu za svaki sistem i odlučite gde čovek pregleda njegove izlazne rezultate. Na primer, pravna služba i služba za usklađenost odgovorne su za obaveze, tim za bezbednost za tehničke kontrole, poslovne jedinice za svoje slučajeve upotrebe, a jedan izvršni rukovodilac snosi ukupnu odgovornost. Pobrinite se da ljudi u celoj organizaciji budu upućeni i uspostavite jasne kanale komunikacije.
   Rezultat: Imenovane odgovorne osobe za svaki sistem.
5. Dokumentujte svaki sistem. Zabeležite namenu, podatke za obuku, testiranje i poznata ograničenja svakog sistema u formatima kao što su kartice modela i procene uticaja. Dobavljači sistema visokog rizika moraju da pripreme i tehničku dokumentaciju iz Aneksa IV Akta EU o veštačkoj inteligenciji.
   Rezultat: Skup dokumentacije sistema.
6. Pratite, beležite i čuvajte dokaze. Od samog početka osmislite zapise kao dokaz za reviziju koji pokazuje šta je sistem uradio i ko ga je pregledao. Akt EU o veštačkoj inteligenciji zahteva da sistemi visokog rizika automatski beleže događaje tokom celog svog životnog veka. Revizorski trag treba da obuhvati:
   • Model i verziju koji se koriste
   • Ulaze i izlaze ili njihov definisani uzorak
   • Podatke za obuku ili fino podešavanje
   • Tačke ljudskog pregleda i njihove ishode
   • Radnje koje je agent preduzeo i dozvole koje je koristio
   • Koliko dugo se čuva svaki zapis

Rezultat: Zapisi praćenja i revizorski trag.

Specijalizovani alati za AI usklađenost, kao što su IBM watsonx.governance i OneTrust AI Governance, mogu da preuzmu delove ovog programa, uključujući popis AI sistema, procene rizika u odnosu na Akt EU o veštačkoj inteligenciji i dokumentaciju.

Kako odobriti AI alate koje zaposleni mogu da koriste

Pre nego što odobrite AI alat, proverite četiri stvari:

• Pristup podacima: Koje datoteke, sisteme i povezane baze znanja alat može da čita i da li one sadrže podatke o ličnosti koje bi mogao da otkrije.
• Obuka na unosima: Da li dobavljač koristi upite, datoteke ili izlazne rezultate za obuku svojih modela i da li vaš ugovor sa dobavljačem to zabranjuje.
• Čuvanje podataka: Koliko dugo dobavljač čuva upite, datoteke i istoriju razgovora i da li taj period možete da skratite.
• Hosting i prenosi: Gde dobavljač skladišti i obrađuje podatke, uključujući prenose izvan vašeg regiona.

Kontrole usklađenosti za AI agente

AI agentima je potrebno više kontrola nego alatima za ćaskanje jer sami odlučuju o svojim koracima i deluju putem dodeljenih alata i dozvola. Tri kontrole ih drže pod nadzorom:

• Pristup po principu najmanjih privilegija: Dajte agentu samo alate i dozvole koji su potrebni za njegov zadatak. Prekomerna autonomija (Excessive Agency), kada agent može da uradi više nego što njegov zadatak zahteva, jedan je od najvećih bezbednosnih rizika prema listi OWASP Top 10 for LLM Applications 2026.
• Zapis svake radnje: Beležite svaki poziv alata, podatke kojima se pristupilo i korišćene dozvole kako biste mogli da utvrdite šta je agent uradio i za koga.
• Ljudsko odobrenje za radnje velikog uticaja: Zahtevajte da osoba potvrdi korake kojima se podaci šalju izvan organizacije ili prebacuje novac, kao i korake koji se ne mogu poništiti.

Kako se veštačka inteligencija koristi u poslovima usklađenosti

Timovi za usklađenost i upravljanje rizicima koriste veštačku inteligenciju za praćenje kontrola, procenu rizika, praćenje regulatornih promena, pregled dokumenata i trijažu upozorenja o finansijskom kriminalu.

U anketi časopisa Compliance Week iz 2026. godine, sprovedenoj među 193 rukovodioca u oblastima usklađenosti, etike, rizika i revizije, više od 83% je reklo da koristi veštačku inteligenciju, a skoro 40% da su je njihove kompanije uvele za procenu i praćenje rizika.

Uobičajeni slučajevi upotrebe veštačke inteligencije u oblasti usklađenosti uključuju:

• Kontinuirano praćenje usklađenosti i prikupljanje dokaza: AI sprovodi provere i prikuplja dokaze da kontrole funkcionišu (npr. zakasneli bezbednosni pregledi opreme u fabrici).
• Procena rizika i određivanje prioriteta: AI rangira poslovne jedinice ili treće strane prema riziku (npr. dobavljače koji su izloženi novim sankcijama ili sudskim sporovima).
• Praćenje regulatornih promena: AI prati objave regulatora i sažima promene (npr. revidirane smernice za borbu protiv podmićivanja koje snižavaju limit za poklone u politici troškova).
• Pregled dokumenata i politika: AI poredi ugovore i politike sa zahtevima (npr. ugovori sa dobavljačima bez klauzule o pravu na reviziju).
• Provera u vezi sa finansijskim kriminalom: AI vrši trijažu upozorenja iz praćenja transakcija i provere klijenata (npr. podudaranja imena sa listama sankcija za koja se ispostavi da se odnose na drugu osobu).

AI koji se koristi za usklađenost zahteva isto upravljanje kao i drugi AI sistemi. Kao što je britanski Organ za finansijsko poslovanje (Financial Conduct Authority) naveo u oktobru 2026. godine, „firme su odgovorne za AI sisteme koje razvijaju, nabavljaju i uvode – uključujući njihove izlazne rezultate i ishode“, i upozorio da ljudski pregled ne sme da se svede na „puko ‚štikliranje kućica‘“.

U praksi, AI alati mogu da obavljaju rutinske zadatke kao što su prikupljanje dokaza ili označavanje regulatornih promena, ali ne i da donose odluke koje nose pravnu odgovornost, kao što je odluka da li prijaviti sumnjivu aktivnost ili kako osmisliti politike.

Kontrole podataka u Perplexity Enterprise

Perplexity Enterprise daje administratorima kontrole koje obuhvataju obuku na unetim podacima, pristup podacima i čuvanje podataka:

• Bez obuke na vašim podacima: Perplexity nikada ne koristi sadržaj preduzeća za obuku svojih AI modela, a njegovi ugovori sa dobavljačima modela trećih strana zabranjuju im da taj sadržaj koriste za obuku.
• Kontrola pristupa: SSO, SCIM i dozvole zasnovane na ulogama određuju ko može da otprema datoteke i deli odgovore.
• Čuvanje podataka i evidencije revizije: Datoteke priložene sesijama brišu se nakon sedam dana. Organizacije sa 50 ili više licenci, ili sa najmanje jednom Enterprise Max licencom, mogu i da podese čuvanje sesija i dobijaju evidencije revizije o aktivnostima korisnika.
• Sertifikati: Perplexity ima sertifikat SOC 2 Type II, usklađen je sa GDPR-om i dozvoljava rad sa zaštićenim zdravstvenim informacijama samo uz potpisan ugovor sa poslovnim saradnikom (Business Associate Agreement).

Da biste videli kako ove kontrole funkcionišu, obratite se našem prodajnom timu i zakažite personalizovanu demonstraciju.

Često postavljana pitanja

Šta je usklađenost sa propisima EU o veštačkoj inteligenciji?

Usklađenost sa propisima EU o veštačkoj inteligenciji znači ispunjavanje obaveza iz Akta EU o veštačkoj inteligenciji (EU AI Act) koje važe za vašu ulogu (pružalac ili subjekat koji uvodi sistem) i za nivo rizika svakog sistema. Obaveze se primenjuju u fazama, a dužnosti za sisteme visokog rizika počinju da važe 2. decembra 2027. godine.

Šta je AI alat usklađen sa HIPAA propisima?

AI alat usklađen sa HIPAA propisima je alat koji se koristi u okviru HIPAA mera zaštite za zaštićene zdravstvene informacije. Ako dobavljač čuva ili obrađuje te informacije, Ministarstvo zdravlja i socijalnih službi SAD zahteva da se prethodno potpiše ugovor sa poslovnim saradnikom (Business Associate Agreement).

Da li se Akt EU o veštačkoj inteligenciji primenjuje na američke kompanije?

Da. Akt o veštačkoj inteligenciji obuhvata američke kompanije koje plasiraju AI sisteme na tržište EU, kao i one čiji se AI rezultati koriste u EU.

Može li AI da zameni službenike za usklađenost sa propisima?

AI ne može da zameni službenike za usklađenost sa propisima. Organizacije su odgovorne za svoj rad, a AI tehnologije mogu da greše, pa službenici za usklađenost i dalje moraju pažljivo da proveravaju i odobravaju rezultate koje generiše AI.