GDPR usklađenost AI čatbotova u Srbiji: Detaljna kontrolna lista za mala i srednja preduzeća

Uvod

Mala i srednja preduzeća (MSP) u Srbiji koja koriste AI čatbotove i glasovne agente suočavaju se sa složenim regulatornim okruženjem. Usklađenost sa Zakonom o zaštiti podataka o ličnosti Srbije, usklađenim sa GDPR-om, kao i predstojećim Nacrtom zakona o zaštiti podataka o ličnosti i zahtevima EU AI Akta, od ključnog je značaja. Ova usklađenost nije samo pravna formalnost — ona štiti vaše poslovanje od kazni, povećava poverenje korisnika i omogućava održivu primenu veštačke inteligencije.

Ovaj tekst pruža detaljnu kontrolnu listu za GDPR usklađenost prilagođenu srpskim MSP-ovima koji koriste AI čatbotove i glasovne agente, fokusirajući se na mehanizme dobijanja saglasnosti, politike čuvanja i brisanja podataka, lokalni hosting i upravljanje pravima korisnika u srpskom jeziku.

Razumevanje regulatornog okvira

Trenutni Zakon o zaštiti podataka o ličnosti u Srbiji prati principe GDPR-a, ali će uskoro biti proširen Nacrtom zakona sa 175 članova (sa sadašnjih 102). Novi zakon uvodi obavezne procene uticaja na zaštitu podataka (DPIA) za AI sisteme visokog rizika i zahteva jasnu ljudsku kontrolu kod automatizovanih odluka sa potencijalno štetnim posledicama. Očekuje se da će Nacrt biti usvojen ubrzo nakon javne rasprave koja se završava 10. septembra 2026.

Dodatno, obaveze transparentnosti iz EU AI Akta stupile su na snagu 2. avgusta 2026, zahtevajući eksplicitno obaveštenje korisnika da komuniciraju sa AI sistemom, što važi i za čatbotove i glasovne agente.

Ovi propisi zahtevaju da srpska MSP pažljivo usklade svoje AI implementacije sa GDPR i AI Aktom.

Mehanizmi saglasnosti za AI čatbotove i glasovne agente

1. Jasno obaveštenje o AI na početku interakcije: Korisnici moraju odmah biti informisani da komuniciraju sa AI sistemom, u skladu sa EU AI Aktom (član 50) i zahtevima Nacrta zakona. Ovo obaveštenje treba biti na srpskom radi jasnoće.

2. Detaljna saglasnost za upotrebu podataka: Potrebno je dobiti izričitu saglasnost za obradu ličnih podataka, posebno osetljivih kao što su glasovni biometrijski podaci ili prepoznavanje emocija. Saglasnost treba da pokriva upotrebu podataka za unapređenje AI modela, deljenje sa trećim stranama i prekogranične prenose.

3. Opcije za uključivanje i isključivanje: Korisnicima treba omogućiti da se uključe ili isključe iz obrade podataka za sekundarne svrhe poput treninga modela. Obezbediti jednostavne mehanizme unutar interfejsa čatbota ili glasovnog agenta.

4. Evidencija saglasnosti: Voditi detaljne zapise o saglasnostima korisnika, uključujući vremenske oznake i specifične svrhe saglasnosti, kako bi se ispunili zahtevi odgovornosti.

Politike čuvanja i brisanja podataka

1. Rasporedi čuvanja: Definisati i primenjivati jasne periode čuvanja podataka u skladu sa principom ograničenja čuvanja. Čat logovi i glasovni podaci ne smeju se čuvati neograničeno.

2. Sigurno čuvanje: Primena enkripcije i pseudonimizacije za zaštitu podataka. Osigurati tehničke i organizacione mere za sprečavanje neovlašćenog pristupa.

3. Protokoli za brisanje: Uspostaviti jednostavne procedure za brisanje podataka na zahtev korisnika ili po isteku perioda čuvanja. Korisnici moraju lako moći da zatraže brisanje, a zahtevi se moraju brzo obraditi.

4. Prekogranični transferi podataka: Kada se podaci prenose AI provajderima ili obrađivačima van Srbije ili EU, obezbediti pravne garancije (npr. standardne ugovorne klauzule) i transparentno informisati korisnike.

Lokalni hosting i razmatranja lokalizacije podataka

Iako srpski zakon ne zahteva eksplicitno lokalni hosting podataka, čuvanje podataka na lokalnim ili regionalnim serverima može smanjiti rizike povezane sa prekograničnim transferima. Lokalni hosting:

• Povećava kontrolu nad bezbednošću i usklađenošću.
• Olakšava odgovor na zahteve korisnika na srpskom jeziku.
• Smanjuje potencijalne probleme sa kašnjenjem u radu čatbota.

Međutim, MSP i dalje moraju poštovati pravila transparentnosti i pravnu osnovu kada podaci izlaze iz Srbije.

Postupanje sa pravima korisnika na srpskom jeziku

1. Obrada zahteva na srpskom: Zahtevi korisnika za pristup, ispravku ili brisanje podataka treba da se prihvataju i ispunjavaju na srpskom radi valjanosti i izbegavanja proceduralnih sporova.

2. Provere identiteta: Uvesti jasne korake za proveru identiteta podnosioca zahteva kako bi se sprečio neovlašćeni pristup podacima.

3. Šabloni odgovora: Razviti standardizovane šablone odgovora na srpskom za česte zahteve korisnika radi pravovremenosti i doslednosti komunikacije.

4. Evidencija zahteva: Voditi detaljne zapise o svim zahtevima i odgovorima, dokumentujući ispunjenje u zakonskim rokovima.

Ljudski nadzor i automatizovane odluke

Nacrt zakona zabranjuje potpuno automatizovane odluke sa potencijalno štetnim posledicama (npr. kod zapošljavanja ili kreditnog bodovanja) bez ljudskog nadzora. MSP treba:

• Dizajnirati radne tokove sa fazama ljudske provere.
• Obučiti zaposlene za razumevanje AI odluka.
• Informisati korisnike o ulozi ljudskog nadzora u procesu donošenja odluka.

Organizacione i tehničke mere

• Privatnost po dizajnu: Integrisati principe zaštite podataka u dizajn čatbotova i glasovnih agenata od samog početka.
• Imenovanje službenika za AI/zaštitu podataka: Odrediti odgovorne osobe za stalno praćenje usklađenosti.
• Sprovođenje DPIA: Za AI sisteme visokog rizika, obaviti procenu uticaja na zaštitu podataka radi identifikacije i smanjenja rizika.

Zaključak

Srpska MSP koja koriste AI čatbotove i glasovne agente moraju se prilagoditi dvostrukom regulatornom okviru koji obuhvata srpski zakon o zaštiti podataka i EU AI Akt. Prioritetno uspostavljanje transparentnih mehanizama saglasnosti, sigurno čuvanje i brisanje podataka, lokalni hosting i upravljanje pravima korisnika na srpskom jeziku ne samo da osiguravaju usklađenost, već i povećavaju poverenje korisnika i otpornost poslovanja.

Proaktivno ispunjavanje ovih zahteva pozicionira vaše preduzeće za brzu adaptaciju na promene zakona i održavanje konkurentske prednosti na digitalnom tržištu.

---

Reference

• Vranesevic Law on Draft Law
• Advokat Srdanovic on AI Act
• IT Network on Legal Challenges
• Law IT on Dual Compliance