Europska unija nalazi se pred izazovom balansiranja između zaštite privatnosti građana i poticanja inovacija u području umjetne inteligencije. Novi Digitalni omnibus zamišljen je kao alat koji bi startupe i tehnološke tvrtke mogao osloboditi pravne nesigurnosti, nudeći jasna pravila za obradu
podataka, tehničke standarde pseudonimizacije i stroge zaštitne mjere za slučajnu pojavu osjetljivih informacija. Digitalni omnibus kolokvijalni je naziv za zakonodavni paket Europske unije kojim su modernizirana i pooštrena pravila zaštite potrošača u digitalnom okruženju – njegov službeni naziv je Direktiva (EU) 2019/2161, a dio je zakonodavne inicijative New Deal for Consumers 2018. godine, kojom su modernizirana i ojačana pravila zaštite potrošača u EU, osobito u digitalnom okruženju. Njegov je cilj prilagoditi postojeće propise razvoju internetske trgovine i online platformi te osigurati veću transparentnost i poštenu praksu prema potrošačima. Cilj Digitalnog omnibusa je potaknuti inovacije, kontrolirati rizike za građane i smanjiti administrativni teret, posebno za male i srednje tvrtke koje žele konkurirati globalnim igračima, a dio je šire EU strategije digitalne regulative koja uključuje i promjene u pravilima za umjetnu inteligenciju. U okviru tog paketa predložene su konkretne izmjene Akta o umjetnoj inteligenciji (UI Act) koje bi, između ostalog, pojednostavnile obveze oko registracije sustava koji se smatraju visokorizičnim, omogućile bi tvrtkama da same procijene je li njihov sustav visokorizičan bez automatske obveze javne registracije i predlažu odgodu primjene nekih pravila o visokorizičnim sustavima kako bi se smanjio teret na tvrtke i dao im više vremena za prilagodbu. Takve promjene su izazvale kontroverze jer bi smanjenje transparentnosti i registracijskih obveza moglo oslabiti nadzor, otežati praćenje visokorizičnih AI sustava te smanjiti zaštitu građana, što su naglasile brojne nevladine organizacije i stručnjaci, uključujući Gong, koji upozoravaju na rizik od nereguliranih ili slabo nadziranih sustava. Odvjetnik Stefan Martinić, član Nadzornog odbora CroAI-ja, Hrvatske udruge za umjetnu inteligenciju, ističe da bi uvođenje jasnijih presumpcija legitimnog interesa, unaprijed definiranih situacija u kojima se obrada podataka smatra
zakonitom uz primjenu zaštitnih mjera, moglo istovremeno ojačati pravnu sigurnost i konkurentnost europske tech industrije, balansirajući između inovacija i zaštite temeljnih prava građana.

– Iako GDPR formalno dopušta oslanjanje na legitimni interes, u praksi je koncept previše „elastičan“ i ovisi o tumačenju regulatora ili suda, što povećava nesigurnost i troškove usklađivanja. Presumpcije bi bile posebno korisne u sektorima gdje je obrada nužna za funkcioniranje digitalnih usluga, poput cybersecurity aktivnosti, detekcije incidenata, vođenja logova te sprječavanja prijevara i zlouporaba, što je ključno za fintech, e-commerce i SaaS industriju, naveo je Martinić. Presumpcija legitimnog interesa za obrade usmjerene na poboljšanje funkcionalnosti i kvalitete UI sustava, poput testiranja, evaluacije modela, otkrivanja grešaka ili poboljšanja performansi, bila bi ključna za UI sektor, uz
jasne uvjete poput minimalnog korištenja podataka, pseudonimizacije i ograničenog razdoblja zadržavanja. Trenutno se takve obrade često nalaze u sivom području, zbog čega europske tvrtke moraju biti konzervativnije od globalnih konkurenata, iako se radi o obradi koja nije marketinška nego usmjerena na razvoj i sigurnost proizvoda, istaknuo je Martinić. Naveo je i kako bi presumpcija legitimnog interesa bila korisna i za legitimne aktivnosti poput analize korištenja proizvoda, poboljšanja korisničkog iskustva i vođenja evidencija radi regulatorne usklađenosti, uključujući zahtjeve UI Acta. Time bi se očuvao visok standard zaštite podataka prema GDPR-u, uz smanjenje
pravne neizvjesnosti i administrativnog opterećenja za europske inovacijske tvrtke.

– Prijedlog iznimke za incidentalnu i rezidualnu obradu posebnih kategorija podataka u razvoju AI sustava vidi se kao pragmatično rješenje tehničkih izazova, posebno kod velikih jezičnih modela koji uče iz otvorenih izvora gdje se osjetljivi podaci pojavljuju uzgredno, naveo je Martinić i naglasio da iznimka mora biti strogo ograničena na slučajeve slučajne pojave podataka, dok je namjerno prikupljanje osjetljivih kategorija neprihvatljivo. Pojam "nerazmjeran napor" treba precizno definirati kroz tehničke kriterije i praktične smjernice, a European Data Protection Board bi trebao pružiti konkretne primjere i pragove. Uz to, nužne su kompenzacijske mjere, poput izlaznih filtera, tehnika smanjenja memoriranja osjetljivih informacija, red teaming testiranja i detaljnog
dokumentiranja utjecaja na temeljna prava, s posebnom pažnjom na ranjive skupine koje bi mogle biti izložene zlostavljanju, diskriminaciji ili progonu. Tijekom cijelog životnog ciklusa umjetne inteligencije ključno je uspostaviti jasne tehničke i organizacijske mjere zaštite, kako bi se spriječile zlouporabe i osigurala zakonita obrada podataka.

– Već u početnoj fazi, pri prikupljanju i pripremi podataka, potrebno je provoditi deidentifikaciju ili pseudonimizaciju, filtrirati osjetljive zapise i primjenjivati načelo minimizacije podataka. Tijekom treniranja modela, važna je implementacija izlaznih filtera koji sprječavaju generiranje ili otkrivanje osjetljivih informacija. Podjednako su važne i organizacijske mjere: obvezna dokumentacija, procjena legitimnog interesa i procjena učinka na zaštitu podataka (DPIA), kontinuirano praćenje sustava, jasne interne politike, edukacija zaposlenika i redoviti auditi. Martinić upozorava da je rizik zlouporabe iznimki stvaran, osobito ako tvrtke zanemaruju ove mjere i svaku obradu pokušavaju prikazati kao “slučajnu”. Europska regulatorna tijela, poput European Data Protection Boarda i European Data Protection Supervisora, jasno naglašavaju da se iznimka ne smije primjenjivati kada su osjetljivi podaci namjerno korišteni kao temelj za razvoj ili treniranje modela. Opseg administrativnog tereta prema GDPR-u prvenstveno ovisi o tome obrađuje li UI sustav osobne podatke. Ako se rješenja razvijaju isključivo na neosobnim podacima – primjerice za analizu tržišta kapitala, optimizaciju logistike, praćenje onečišćenja, upravljanje energetskim sustavima ili industrijsku kontrolu kvalitete – regulatorni teret je znatno manji. S druge strane, obrada osobnih podataka donosi veće obveze koje rastu s razinom rizika. Posebne kategorije podataka, poput zdravstvenih, biometrijskih ili podataka o političkim i vjerskim uvjerenjima, automatski povećavaju pravne i financijske zahtjeve za usklađivanje. Dodatne obveze nastaju kod obrade velikih količina podataka, profiliranja, automatiziranog odlučivanja ili kontinuiranog praćenja, što često zahtijeva složenije interne procedure i procjene učinka. Međunarodni prijenosi podataka, osobito izvan EU, dodatno kompliciraju situaciju zbog ugovornih i sigurnosnih zahtjeva. Važno je ipak naglasiti da se dio percipiranog tereta može ublažiti već u fazi dizajna sustava – minimizacijom podataka, pseudonimizacijom i jasnim definiranjem svrhe obrade. Poseban izazov za UI industriju ostaje pitanje brisanja podataka nakon što su već korišteni za treniranje modela, jer je takvo „odučavanje” tehnički i financijski iznimno zahtjevno te stvara pravnu nesigurnost, osobito za startupe, kaže Martinić.

– Zato smatramo da je Digitalni omnibus važan pokušaj da se pronađe europski kompromis – zadržati visoku razinu zaštite prava građana, ali istodobno ukloniti nepotrebnu pravnu nesigurnost i administrativne troškove koji posebno pogađaju inovativne male i srednje tvrtke, naveo je i dodao da
Digitalni omnibus predstavlja snažan politički signal da je Europska komisija prepoznala kako pretjerana regulatorna složenost može oslabiti konkurentnost Europske unije, osobito u području umjetne inteligencije i digitalnih tehnologija. U tom smislu, inicijativa ide u pozitivnom smjeru jer
nastoji smanjiti administrativni teret i potaknuti inovacije. Ipak, postoji i rizik pravne nesigurnosti ako bi se preširoko ili prebrzo mijenjali temeljni pojmovi, poput definicije osobnih podataka, ili ako bi se previše ovlasti prepustilo provedbenim aktima bez jasnih kriterija. Industriji najveći problem nije
sama regulacija, nego nepredvidivost i mogućnost različitih tumačenja među državama članicama, što povećava troškove i odvraća ulaganja. Stoga je ključno pojednostavljenje provoditi uz očuvanje pravne sigurnosti i visokih standarda zaštite temeljnih prava – model „manje birokracije, više jasnoće”, u kojem poduzetnici točno znaju svoja prava i obveze. Pseudonimizacija je važan alat jer omogućuje razvoj i testiranje UI sustava uz znatno smanjen rizik za privatnost. No tehnički gledano, ona nije isto što i anonimnost – rizik se smanjuje, ali ne nestaje. U UI kontekstu, gdje se obrađuju velike količine podataka i povezuju različiti izvori, mogućnost reidentifikacije ostaje realna. Zato pseudonimizirani podaci u određenim okolnostima i dalje mogu predstavljati osobne podatke.

– Ideja da Europska komisija provedbenim aktom preciznije odredi kada se takvi podaci više ne smatraju osobnima može donijeti veću pravnu sigurnost. Industriji je potreban jasan i predvidljiv okvir, jer se danas pseudonimizacija potiče u teoriji, ali u praksi često ne donosi regulatorno rasterećenje. Rješenje bi trebalo uključivati jasne tehničke standarde i pragove rizika reidentifikacije, uz kombinaciju dodatnih mjera poput enkripcije, stroge kontrole pristupa i zabrane spajanja skupova podataka. Pseudonimizacija je snažna zaštita ako je pravilno provedena, ali pravila moraju ostati realistična i temeljena na procjeni stvarnog rizika, naveo je Martinić. Što se tiče promjena usmjerenih na smanjenje “cookie zamora” i uvođenje strojno čitljivih indikacija privole, njih načelno vidi kao pozitivan korak jer povećavaju pravnu jasnoću i smanjuju administrativno opterećenje. Istaknuo je kako je za UI sustave koji koriste internetske podatke važno razlikovati dvije situacije – kod treniranja na javno dostupnom sadržaju, bez autentifikacije i praćenja korisnika, pravila o kolačićima obično nisu presudna jer se ne pristupa podacima iz korisničkih uređaja. S druge strane, kada se koriste podaci temeljeni na praćenju, analitici ili personalizaciji, standardizirani i strojno čitljivi signali privole mogu znatno utjecati na način prikupljanja podataka, pojasnio je sugovornik. Automatizirano poštivanje korisničkih preferencija može smanjiti potrebu za bannerima, povećati povjerenje i
smanjiti pravne rizike.

– Iz perspektive UI industrije, ujednačeni tehnički standardi na razini EU mogu smanjiti fragmentaciju i troškove usklađivanja, osobito za startupe i mala poduzeća. Istodobno, ako velik broj korisnika automatski odbije praćenje, dostupnost određenih podataka za treniranje može se smanjiti, što je u skladu s europskim naglaskom na manjoj ovisnosti o praćenju pojedinaca. Dakle, smanjenje “cookie zamora” može poboljšati ravnotežu između zaštite privatnosti i praktične provedbe pravila, pod uvjetom da tehnički standardi budu jasni i interoperabilni, naveo je Martinić. Granica između zaštite temeljnih prava i poticanja inovacija nije u izboru jednog nad drugim, nego u proporcionalnoj regulaciji koja prati stvarni rizik, dodao je.

– U visokorizičnim područjima – poput zdravstva, zapošljavanja, kreditiranja, obrazovanja, javne sigurnosti i pravosuđa prava građana moraju imati prioritet, uz stroge standarde, transparentnost i ljudski nadzor. S druge strane, kod niskorizičnih primjena i obrade neosobnih podataka, pretjerana administrativna opterećenja ne povećavaju zaštitu, nego guše inovacije i konkurentnost, kazao je Martinić. Ključ je u pristupu temeljenom na riziku, uz jasna i predvidiva pravila. Stroga regulacija treba biti usmjerena na rizične sustave, dok se niskorizičnim tehnologijama mora omogućiti razvoj bez nepotrebnih birokratskih prepreka. Da bi Digitalni omnibus bio prihvatljiv i industriji i zaštiti prava građana, CroAI predlaže nekoliko dodatnih mjera.

– Najprije bi trebalo uspostaviti jasni europski „safe harbour” okvir za treniranje UI modela na javno dostupnim podacima, uz obavezne mjere poput filtriranja osjetljivih podataka i zabrane generiranja osobnih podataka u izlazima, čime bi se povećala pravna sigurnost, posebno za startupe. Također je važno jasno razgraničiti pravo na brisanje i povlačenje privole u kontekstu treniranja AI modela, pri čemu bi obveza brisanja iz datasetova trebala ostati, dok bi „odučavanje” modela moglo biti tehnički i
ekonomski neprovedivo, kako se trenutno navodi kao prepreka inovacijama. Osim toga, uvođenje EU standarda i tehničkih kriterija za pseudonimizaciju i anonimizaciju, primjerice kroz certificiranje ili standardizirane metode, omogućilo bi predvidljivije planiranje za industriju i veću razinu zaštite za građane smanjenjem pravne nesigurnosti. Konačno, potrebno je preciznije urediti zlouporabu prava ispitanika, poput masovnih ili očito pretjeranih zahtjeva, uz jasne proceduralne zaštite kako bi
legitimni zahtjevi građana uvijek ostali učinkoviti, a poslovanje ne bilo paralizirano, zaključio je Stefan Martinić.