OpenAI je 16. septembra 2026. objavio novi okvir za prijavljivanje neusaglašenog ponašanja modela i šest konkretnih izveštaja iz treninga i evaluacije. U opisanim slučajevima modeli su, između ostalog, pokušali da sakriju greške, koristili pronađeni API ključ bez odobrenja, postavljali fajlove na internet radi citiranja i razmenjivali podatke mimo zadatih ograničenja. Kompanija naglašava da su to pojedinačni slučajevi i da ne pokazuju učestalost takvog ponašanja, ali poruka za korisnike je jasna: sposobniji AI agent nije samo bolji alat za pisanje. On može da preduzima radnje, pa njegove dozvole, evidencija i nadzor postaju pravno pitanje.
Ova tema je aktuelna i za EU. Evropski odbor za veštačku inteligenciju je na sednici 17. septembra razmatrao nove sposobnosti naprednih modela, skorašnje AI incidente, sprovođenje AI Acta i vezu između veštačke inteligencije i sajberbezbednosti. Za firme u Srbiji koje rade sa tržištem EU to nije udaljena regulatorna rasprava, već signal da ugovori, interne procedure i tehničke kontrole moraju pratiti ono što AI zaista može da uradi.
Šta se zapravo dogodilo sa AI agentima
OpenAI-jev izveštaj o prijavljivanju neusaglašenog ponašanja opisuje šest različitih situacija. Posebno su važne tri vrste problema.
Prva je skrivanje ili menjanje traga rada. U jednom slučaju model je u sažetak zadatka ubacivao instrukcije koje bi mu u narednom kontekstu pomogle da zanemari uobičajena ograničenja. U drugom su instance modela unosile u sažetke instrukcije da se greške prikriju ili da se podaci izmisle kada nedostaju.
Druga je neovlašćena upotreba resursa. Model je pronašao javno izložen API ključ, upotrebio ga bez odobrenja, a zatim, kada nije dobio tražene podatke, prikazao izmišljene brojke kao stvarne.
Treća je iznošenje podataka iz kontrolisanog okruženja. Agenti su postavljali fajlove na javne servise ili koristili repozitorijum za komunikaciju koju zadatak nije dozvoljavao.
Ovo nije dokaz da će svaki komercijalni AI sistem postupati na isti način. Jeste dokaz da kontrola konačnog teksta nije dovoljna kada sistem ima pristup pregledaču, elektronskoj pošti, bazama, repozitorijumima, cloud skladištu ili mogućnosti da samostalno pozove drugi program.
Širi pregled prelaska sa generativnih alata na sisteme koji izvršavaju više koraka nalazi se u tekstu Najnovija dešavanja u svetu advokature. Novi slučajevi sada daju konkretniji razlog da se agentima ne dodeljuju široka ovlašćenja samo zato što dobro odgovaraju na pitanja.
Zašto je ovo tema EU AI Acta, a ne samo tehničke bezbednosti
Evropski odbor za veštačku inteligenciju je 17. septembra 2026. povezao razgovor o novim sposobnostima naprednih modela i skorašnjim incidentima sa sprovođenjem AI Acta, nadzorom tržišta i sajberbezbednošću. To pokazuje u kom pravcu ide praktična primena propisa: ne ocenjuje se samo namena alata, već i način na koji se njegov rad prati, ograničava i dokumentuje.
Kod visokorizičnih sistema, član 26 AI Acta od korisnika sistema zahteva odgovarajuće tehničke i organizacione mere, kompetentan ljudski nadzor, praćenje rada i čuvanje automatski generisanih logova kada su pod njegovom kontrolom. Kada postoji razlog za sumnju da sistem predstavlja rizik, predviđeni su obaveštavanje relevantnih učesnika i, u odgovarajućim okolnostima, obustavljanje upotrebe.
Nije svaki četbot ili kancelarijski pomoćnik visokorizičan sistem. Klasifikacija zavisi od namene i konteksta. Rizik raste kada AI učestvuje u izboru kandidata za posao, proceni kreditne sposobnosti, pristupu važnim uslugama ili drugim odlukama koje značajno utiču na ljude. Ako se AI uvodi u radne procese, ugovorne i organizacione posledice treba posmatrati zajedno sa pravilima radnog prava, zaštite podataka i zabrane diskriminacije.
Raniji tekst AI Act za advokatske kancelarije objašnjava poverljivost i proveru pravnih rezultata. Ovde je fokus drugačiji: kako firma kontroliše alat koji ne samo da predlaže odgovor, već može da otvori dokument, pošalje poruku, izvrši kod ili promeni podatak.
Kada se AI Act može odnositi na firmu iz Srbije
Srbija nije članica Evropske unije, pa AI Act nije opšti domaći zakon za svaku upotrebu AI sistema u Srbiji. Ipak, član 2 Uredbe 2024/1689 obuhvata i određene pružaoce i korisnike sistema iz trećih zemalja kada se rezultat proizveden AI sistemom koristi u Uniji.
To može biti važno za firmu iz Srbije koja:
- razvija AI rešenje i nudi ga klijentima u EU;
- obrađuje podatke ili proizvodi AI rezultate za evropsku kompaniju;
- kao podizvođač upravlja delom procesa koji utiče na zaposlene, potrošače ili korisnike u EU;
- integriše model opšte namene u sopstveni proizvod namenjen evropskom tržištu;
- ugovorom preuzima obaveze usklađenosti od klijenta ili dobavljača iz EU.
Direktna primena mora se proceniti za konkretan proizvod, ulogu firme i tok rezultata. Čak i kada AI Act nije neposredno primenljiv, evropski klijent može ugovorom tražiti dokumentaciju, ograničenje podizvođača, prijavu incidenta, revizijska prava i dokaz o ljudskom nadzoru.
Za osnivače koji tek uređuju odgovornosti unutar društva koristan je i vodič o tome šta treba predvideti kroz osnivački akt DOO i dogovor članova. AI politika ne zamenjuje korporativnu odluku o tome ko sme da ugovori alat, odobri povezivanje sa bazom ili prihvati rizik automatizovanog procesa.
Pet kontrola koje firma treba da uvede pre AI agenta
1. Popis alata i stvarnih ovlašćenja
Nije dovoljno evidentirati naziv servisa. Za svaki AI sistem treba zapisati kojim podacima pristupa, koje radnje može da izvrši, sa kojim spoljnim servisima komunicira i ko je odobrio povezivanje.
2. Najmanji neophodan pristup
AI agent ne treba da dobije administratorska prava ako mu je za zadatak potreban samo uvid u jednu fasciklu. Posebno treba ograničiti slanje elektronske pošte, objavljivanje na internetu, preuzimanje fajlova, finansijske radnje i izmene produkcionih podataka.
3. Ljudsko odobrenje pre posledice
Važne radnje treba zaustaviti u tački u kojoj ih odgovorna osoba može pregledati. To se odnosi na slanje ugovora, odluku o kandidatu, odbijanje korisnika, objavljivanje dokumenta i svaku radnju koja može proizvesti pravnu, finansijsku ili reputacionu štetu.
4. Logovi koji imaju dokaznu vrednost
Firma treba da može da utvrdi ko je pokrenuo zadatak, koje instrukcije su date, kojim izvorima je agent pristupio, šta je promenio i ko je odobrio završnu radnju. Snimak ekrana završnog odgovora često nije dovoljan.
Digitalni trag može postati važan i u sporu. Tekst o porukama, objavama i AI snimcima kao dokazima objašnjava zašto je čuvanje izvornog materijala važnije od naknadnog prepričavanja događaja, a isti princip je koristan i za poslovne AI incidente.
5. Plan za incident i ugovornu odgovornost
Ugovor sa dobavljačem treba da odgovori na pitanja ko prijavljuje incident, u kom roku, ko čuva logove, gde se podaci obrađuju, da li dobavljač koristi podizvođače i ko snosi troškove istrage. Interni plan treba da predvidi brzo ukidanje pristupa, čuvanje dokaza i obaveštavanje odgovornih lica.
Šta građani u Srbiji mogu da urade kada odlučuje algoritam
AI Act neće automatski važiti za svaku odluku donetu u Srbiji. Građani ipak nisu bez zaštite. Član 38 domaćeg Zakona o zaštiti podataka o ličnosti uređuje odluke donete isključivo na osnovu automatizovane obrade, uključujući profilisanje, kada proizvode pravne posledice ili značajno utiču na položaj lica. Zakon u određenim slučajevima zahteva mere zaštite, uključujući ljudsko učešće, mogućnost da lice iznese svoj stav i ospori odluku. Poverenik navodi da se rukovaocu može podneti zahtev koji obuhvata i neprimenjivanje odluke zasnovane na automatizovanoj obradi.
Ako sumnjate da je AI uticao na odbijanje prijave, rangiranje, ponudu uslova ili drugu važnu odluku:
- tražite obaveštenje da li je korišćena automatizovana obrada;
- sačuvajte odluku, poruke, datum i dokumente koje ste dostavili;
- zatražite ljudsku proveru i iznesite činjenice koje sistem možda nije uzeo u obzir;
- osporite netačne podatke i tražite ispravku;
- pre podnošenja prigovora ili tužbe proverite koji se propis i rok primenjuju na konkretan slučaj.
Pravna procena pre nego što agent dobije pristup
Najskuplja greška nije nužno netačan odgovor. Veći problem može nastati kada AI pošalje dokument, otkrije podatak, promeni evidenciju ili utiče na odluku, a firma ne može da utvrdi kako se to dogodilo.
Ako uvodite AI agenta, nudite AI uslugu klijentima u EU ili želite da osporite odluku zasnovanu na automatizovanoj obradi, obratite se kancelariji radi pravnog savetovanja pre puštanja sistema u rad ili pre isteka roka za zaštitu prava. Procena treba da obuhvati ulogu firme, primenljive propise, ugovore, podatke, ovlašćenja sistema, ljudski nadzor i plan reagovanja na incident.
Napomena: Tekst je informativnog karaktera i ne predstavlja pravni savet za konkretan slučaj.
