U svetlu ubrzanog razvoja veštačke inteligencije, posebno je važno pratiti regulatorne promene na nivou EU. Najnovije predložene izmene EU Akta o veštačkoj inteligenciji (Digital Omnibus on AI), usaglašene početkom maja 2026. godine, donose pre svega pojednostavljenje i fazno odlaganje primene pojedinih obaveza, sa ciljem smanjenja administrativnog opterećenja za privredu i institucije. Najznačajnije izmene odnose se na pomeranje rokova za usklađivanje za visokorizične AI sisteme na kraj 2027. godine, čime se organizacijama ostavlja dodatno vreme za prilagođavanje tehničkim, organizacionim i dokumentacionim zahtevima. Paket istovremeno dodatno precizira zabrane i obaveze transparentnosti za određene osetljive oblike AI generisanog sadržaja, i precizira odnos EU Akta sa postojećim sektorskim propisima u EU. Za Srbiju, koja svoje regulatorne i institucionalne kapacitete razvija paralelno sa evropskim okvirom, ove izmene predstavljaju ne samo signal budućih standarda usklađivanja, već i praktičan okvir za kompanije i institucije koje već sada uvode AI alate u svoje poslovanje i procese odlučivanja.
Srbija poslednjih godina pokazuje ambiciju da aktivno prati globalne trendove u oblasti veštačke inteligencije. Usvojena je Strategija razvoja veštačke inteligencije za period od 2025. do 2030. godine, razvija se institucionalni i inovacioni ekosistem, a sve češće se najavljuje finalizacija zakonskog okvira za veštačku inteligenciju. Paralelno, AI alati već ulaze u svakodnevni rad kompanija, javne uprave, HR sektora, banaka, medija i pravnih službi, često bez jasnih internih pravila, procene rizika ili standarda odgovorne upotrebe. Istovremeno, raste i interesovanje šire stručne i društvene zajednice za razumevanje potencijala i rizika veštačke inteligencije. Kroz inicijative poput Serbian AI Society razvija se prostor za razmenu znanja između akademske zajednice, privrede, javnog sektora i civilnog društva, što dodatno potvrđuje da pitanje veštačke inteligencije više nije isključivo tehnološka tema, već i pitanje upravljanja, etike, obrazovanja i javne politike.
Međutim, pitanje možda nije da li je Srbiji potreban AI zakon, već šta treba da mu prethodi? Postojeća Strategija razvoja veštačke inteligencije ne sadrži operativne smernice za usklađenost. Iskustvo sa implementacijom Zakona o zaštiti podataka o ličnosti pokazalo je da formalno prepisivanje evropskih pravila bez dovoljno praktičnih smernica, institucionalne pripreme i sektorskog razumevanja može dovesti do pravne nesigurnosti, formalističkog pristupa ispunjenju regulatornih standarda i neujednačene primene. Mnoge organizacije godinama nakon usvajanja propisa i dalje nisu sigurne kako se pravila praktično primenjuju u svakodnevnim procesima.
U Srbiji trenutno u ovoj oblasti postoji svojevrsna regulatorna praznina. Nema propisa koji bi po strukturi, obimu i praktičnoj orijentaciji bio vodič za usklađenost i upravljanje organizacijama koje razvijaju ili koriste AI sisteme uz obradu podataka o ličnosti, povezujući pitanja zaštite podataka, upravljanja rizicima i odgovorne primene veštačke inteligencije.
Čini se da bi najracionalniji pristup bio postupnost u razvoju AI regulatornog okvira. Najpre opšte smernice nadležnih institucija, posebno u oblasti zaštite podataka, transparentnosti, automatizovanog odlučivanja i upravljanja rizicima. Zatim sektorske preporuke za oblasti visokog rizika poput bankarstva, zapošljavanja, javne uprave, zdravstva ili bezbednosti. Tek nakon toga, kada se razvije praksa, institucionalni kapaciteti i osnovni standardi odgovorne upotrebe, dolazi trenutak za sveobuhvatan zakonski tekst.
U suprotnom, postoji rizik da dobijemo propis koji će formalno izgledati usklađeno sa evropskim standardima, ali bez stvarne mogućnosti efikasne primene u praksi. Regulativa o veštačkoj inteligenciji nije samo pitanje zabrana i obaveza, već pitanje poverenja, institucionalne spremnosti i razumevanja tehnoloških rešenja koja pokušavamo da uredimo.
Ovakav postepeni pristup nije neuobičajen ni u uporednoj praksi. Pre donošenja ili paralelno sa razvojem AI regulative, više evropskih regulatora krenulo je upravo putem praktičnih smernica. Agencija za zaštitu osobnih podataka Hrvatske (AZOP) nedavno je objavila smernice za razvoj i upotrebu AI sistema koje povezuju zaštitu podataka o ličnosti, upravljanje rizicima i praktične korake za organizacije koje razvijaju ili koriste veštačku inteligenciju, nudeći koristan primer mogućeg regulatornog pristupa i za Srbiju. Information Commissioner’s Office u Velikoj Britaniji objavio je detaljne smernice o primeni veštačke inteligencije i zaštiti podataka o ličnosti, koje obuhvataju pitanja pravičnosti, transparentnosti i objašnjivosti AI sistema, kao i procene uticaja na zaštitu podataka prilikom njihove primene (DPIA). Slično tome, francuski regulator Commission nationale de l’informatique et des libertés već nekoliko godina objavljuje praktične smernice za razvoj i primenu AI sistema u skladu sa pravilima zaštite podataka o ličnosti, sa fokusom na čitav životni ciklus sistema, od dizajna i razvoja do implementacije, nadzora i kontinuiranog upravljanja rizicima.
Zajednički imenitelj ovih inicijativa jeste razumevanje da se veštačka inteligencija ne reguliše samo zakonom, već i kroz praksu, interpretaciju i postepeno građenje standarda.
Praktična vrednost ovakvog redosleda je višestruka.
Najpre, smernice omogućavaju organizacijama da odmah počnu sa usklađivanjem, bez čekanja na zakonodavni proces koji po pravilu traje duže i često ostavlja brojna otvorena pitanja u oblasti primene. Alati koji se oslanjaju na veštačku inteligenciju se već široko koriste što znači da regulatorni odgovor mora biti odmah upotrebljiv, a ne tek nakon usvajanja propisa.
Drugo, smernice omogućavaju neposredno testiranje standarda u praksi. Na taj način se može lakše uvideti gde su najveće dileme, kako tržište reaguje, šta je primenljivo, a šta previše opterećujuće. Na osnovu toga i sam tekst zakona može biti precizniji i realističniji.
Treće, ovakav pristup smanjuje rizik od tzv. „paper compliance“ pristupa, gde organizacije formalno usvajaju politike i procedure koje u praksi suštinski ne razumeju ili ne primenjuju. Upravo je to bila jedna od posledica donošenja Zakona o zaštiti podataka o ličnosti. Brojne organizacije su preuzele GDPR obrasce, obaveštenja o obradi podataka i interne akte gotovo bez prilagođavanja domaćem pravnom i poslovnom kontekstu. Rezultat je bio formalna usklađenost, ali bez jasne primene u operativnom radu.
Kod veštačke inteligencije rizik je potencijalno još veći. Ako se regulatorni okvir postavi prerano, bez prethodno razvijene prakse, postoji rizik da organizacije usvajaju interne akte, registre i procene uticaja samo kao administrativnu obavezu, bez stvarnog razumevanja kako da upravljaju podacima koji se koriste za razvoj sistema, greškama i netačnim rezultatima koje sistemi mogu da proizvedu, ljudskim nadzorom nad njihovim radom i odgovornošću prema korisnicima.
Zbog toga bi smernice bile više od privremenog rešenja. One bi predstavljale prostor za učenje, standardizaciju i dijalog između regulatora, privrede, javnog sektora i stručne zajednice. Tek kada se takva praksa razvije, zakon može doći kao njena kodifikacija, a ne kao njen početak.
