foto: rawpixel.com / Freepik

Pohvalno je što bi Srbija do 2027. mogla dobiti Zakon o veštačkoj inteligenciji. Ipak, problemi u primeni našeg Zakona o zaštiti podataka o ličnosti, čije se izmene najavljuju do 2027. godine predstavljaju nezaobilazno prethodno pitanje u donošenju i primeni propisa u oblasti VI.

Normativno regulisanje razvoja i upotrebe veštačke inteligencije (u daljem tekstu: VI) predstavlja ključnu oblast u donošenju propisa budućnosti. Uticaj VI na savremene globalne privredne tokove, javni i privatni sektor i društvene odnose uopšte, toliko je izražen da je neophodno na odgovarajući način regulisati kako se ista unapređuje i koristi. Razvoj proizvoda koji se zasnivaju na VI je neslućenih razmera, tako da isti, ponekad neprimetno, a ponekad uz znanje i svest korisnika, postepeno menjaju iskustva savremenog društva i pojedinaca u njemu.

Upotreba ove tehnologije ostvarila je neverovatan napredak u poslednjoj deceniji, što je dovelo do boljeg pružanja usluga, kvalitetnije alokacije resursa, ali i unapređenja kapaciteta pojedinca, kojem je pružena mogućnost da brže i efikasnije obavlja svoj posao, stiče nova znanja i veštine, kreativno se izražava, lako i brzo razume strane jezike. Međutim, ova tehnologija donela je i brojne rizike po pojedinca i društvo. Brze promene u oblasti primene VI, a posebno pojavljivanje novih oblika generativnih VI modela, te rizici koje isti nose sa sobom, pojačali su potrebu za donošenjem odgovarajućih zakonskih rešenja. Kao jedan od najznačajnijih izazova u oblasti VI prepoznata je zaštita podataka o ličnosti.

Evropska komisija je 2021. godine predložila donošenje Uredbe o VI (AI Act), da bi isti akt bio usvojen od strane Evropskog parlamenta i Saveta tri godine kasnije, a objavljen u julu 2024. godine.

Upravo u ovom periodu, krajem 2022. godine, u rad je pušten najpopularniji model generativne VI – ChatGPT, čija je pojava presudno uticala na pojačano interesovanje za ove tehnologije u svetskoj javnosti, pa i na sadržinu Uredbe o VI. U međuvremenu, generativni sistemi VI kontinuirano omogućuju nove vrste usluga, pa i sam ChatGPT danas pruža mogućnost razgovora, koji se dalje pohranjuje u vidu teksta, izrade slika i video zapisa, u kombinaciji sa zadavanjem upita tekstualnim ili govornim putem, izrade prezentacija i slično.

Brzina inovacija u ovoj oblasti je zapanjujuća, pa je nemoguće propisivati uslove za svaku od njih ponaosob. Iz tog razloga, Uredba o VI je propisala opšta pravila pod kojima se VI može razvijati i koristiti na teritoriji EU, propisujući obaveze za proizvođače, uvoznike, distributere, nabavljače i krajnje korisnike ovih sistema.

Uredba o VI  najpre opredeljuje zabranjene sisteme VI, da bi potom regulisala upotrebu visokorizičnih sistema VI, obavezu transparentnosti za određene sisteme VI, modele VI opšte upotrebe, mere za podršku inovacijama, uspostavljanje nadležnih organa na nivou EU i država članica, uspostavljanje posebne baze EU za visokorizične sisteme VI, praćenje i nadzor tržišta, deljenje informacija, pravilnike i smernice. Kazne propisane Uredbom o VI značajno prevazilaze poslovično visoke kazne propisane Opštom uredbom o zaštiti podataka (GDPR), pa se kreću i do 35.000.000 evra ili do 7% globalnog godišnjeg prihoda kompanije, zavisno od toga koji od ova dva iznosa je veći. Početak primene Uredbe o VI ima odloženo dejstvo, a pojedine odredbe, poput onih o zabranjenim sistemima VI su već u primeni. Primena određenih odredbi započeće tokom 2025. i 2026. godine, a puna primena ovog propisa očekuje nas od avgusta 2027. godine.

Uredba o VI sadrži brojne reference na oblast zaštite podataka o ličnosti i upućivanja na GDPR i „Policijsku direktivu“ (Law Enforcement Directive), bilo da se radi o ulozi evropskih i nacionalnih institucija u ovoj oblasti ili usklađenosti sa načelima i konkretnim obavezama korisnika sistema VI. U tom smislu, preduslov primene Uredbe o VI jeste puna primena propisa u oblasti zaštite podataka o ličnosti.

Razlog potenciranja propisa iz oblasti zaštite podataka o ličnosti je taj što VI uči iz velike količine podataka, od kojih se neki odnose upravo na ljudske karakteristike ili delovanje. U tom smislu, opšta pravila o obradi podataka o ličnosti moraju se primenjivati kako u odnosu na podatke koje VI koristi za učenje, tako i u odnosu na podatke koje obrađuje kao formiran proizvod.

Republika Srbija je, pre isteka Strategije razvoja VI za period 2020-2025. godine, donela novu strategiju za period 2025-2030. godine, u kojoj je prepoznata potreba uspostavljanja pravnog okvira primene VI. Kao ključni propis povezan sa ovom strategijom je apostrofiran Zakon o zaštiti podataka o ličnosti, a kao relevantan planski dokument je navedena Strategija zaštite podataka o ličnosti za period 2023-2030. godine. Nova strategija posebno ističe rizike u pogledu povrede prava na privatnost zbog prikupljanja i obrade velike količine podataka putem sistema nadzora, sa interneta, društvenih mreža i sl. što sve naglašava potrebu za jasnim normativnim okvirom.

U novoj strategiji navedeno je da je formirana radna grupa koja priprema Zakon o VI, kao i da se donošenje ovog zakona planira do kraja 2027. godine, a svih relevantnih podzakonskih akata do kraja 2030. godine. Donošenje ovog zakona jeste, bez sumnje, neophodan korak i veliki izazov za našu zemlju. U skladu sa međunarodno prihvaćenim obavezama, Republika Srbija će morati da vodi računa o usklađivanju ove normativne oblasti sa propisima EU, odnosno sa Uredbom o VI.

Ipak, problemi u primeni našeg Zakona o zaštiti podataka o ličnosti, čije se izmene najavljuju do 2027. godine Akcionim planom za sprovođenje Strategije zaštite podataka o ličnosti, predstavljaju nezaobilazno prethodno pitanje u donošenju i primeni propisa u oblasti VI. U istoj strategiji navedeno je da nejasne odredbe ovog zakona i preuzeti mehanizmi koji ne postoje u domaćem pravnom sistemu, dovode u pitanje njegovu punu primenljivost, što sve dovodi do pravne nesigurnosti.

Nadalje, drugi propisi koji regulišu obradu podataka o ličnosti nisu usklađeni sa odredbama Zakona o zaštiti podataka o ličnosti, iako je zakonski rok za ovo usklađivanje istekao još krajem 2020. godine. Na ovom mestu posebno je važno naglasiti neusklađenost propisa koji regulišu rad i zapošljavanje sa istim zakonom, jer je upliv VI u ovoj oblasti veoma značajan, a Uredba o VI svrstava sisteme VI u oblasti radnih odnosa i zapošljavanja u visokorizične.

Manjkavost Zakona o zaštiti podataka o ličnosti došla je do izražaja i kod teritorijalne primene ovog zakona, koje rešenje je mutatis mutandis preuzeto iz GDPR, zbog utvrđivanja odgovornosti rukovalaca koji nemaju sedište na teritoriji Republike Srbije. Ovo je veoma važno iz perspektive VI, jer mnogi inostrani pružaoci VI usluga, kao i mnoge kompanije koje koriste podatke svojih korisnika za razvijanje sopstvenih VI modela, nemaju predstavnika za zaštitu podataka u našoj zemlji. Propisane kazne za kršenje ove obaveze su minorne iz perspektive istih kompanija, što obesmišljava iste odredbe. Imajući u vidu da Uredba o VI sadrži slične odredbe, neophodno je prilikom donošenja domaće normative o VI posebno razmotriti odgovornost stranih pravnih lica u odnosu na domaći pravni okvir i iskustva u primeni Zakona o zaštiti podataka o ličnosti.

Normativno uređenje razvoja i upotrebe VI neraskidivo je vezano sa propisima u oblasti zaštite podataka o ličnosti, pa je neophodno razmotriti sve aspekte u ovoj oblasti, a posebno probleme u primeni, nedostatke i ograničenja, kako bi budući zakon o VI u punoj meri omogućio građanima da ostvare svoja fundamentalna ljudska prava, a što bi trebalo da bude istinski cilj normative u obe ove oblasti.

Autor: Zlatko Petrović,

v.d. pomoćnikа generalnog sekretara u Sektoru za izveštavanje i analitičke poslove u Službi Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti

Ovaj tekst nastao je u okviru projekta „Veštačka inteligencija pod zvezdama“ koju sprovodi Centar za istraživanje javnih politika.