AI Act: Τι αλλάζει για πολίτες και επιχειρήσεις στην Ελλάδα

Οι πρόσφατες παρεμβάσεις του επικεφαλής της Anthropic, Ντάριο Αμοντέι, αλλά και οι αποστάσεις που κράτησε ο Mark Zuckerberg της Meta από την προοπτική συντονισμένης επιβράδυνσης, δείχνουν ότι η συζήτηση για το ποιος θέτει τα όρια και ποιος ελέγχει την εφαρμογή τους είναι από τις πιο «καυτές» στον παγκόσμιο κλάδο των ψηφιακών τεχνολογιών.

Μέσα σε αυτό το περιβάλλον, ο AI Act, ο κανονισμός της Ευρωπαϊκής Ένωσης για την τεχνητή νοημοσύνη, ο οποίος τέθηκε πρόσφατα σε ουσιαστική εφαρμογή, αποκτά ιδιαίτερο ενδιαφέρον. Η συμβολή του βρίσκεται στη θέσπιση συγκεκριμένων κανόνων για την ανάπτυξη και τη χρήση του AI, ανάλογα με τους κινδύνους που δημιουργεί. Κανόνων που αφορούν τόσο τις εταιρείες που αναπτύσσουν μοντέλα και εφαρμογές όσο και τις επιχειρήσεις που τις χρησιμοποιούν, αλλά και την ενημέρωση και προστασία των πολιτών.

Στην Ελλάδα, το εθνικό πλαίσιο εφαρμογής διαμορφώθηκε με τον νόμο 5321/2026, ο οποίος δημοσιεύθηκε στις 20 Ιουλίου 2026. Ο ίδιος ο ευρωπαϊκός κανονισμός είχε τεθεί σε ισχύ την 1η Αυγούστου 2024 και εφαρμόζεται σταδιακά σε όλα τα κράτη μέλη.

Το πιο πρόσφατο ορόσημο ήταν η 2α Αυγούστου 2026, από την οποία εφαρμόζονται οι υποχρεώσεις διαφάνειας για ορισμένα συστήματα AI. Οι αρχικές απαγορεύσεις και οι απαιτήσεις κατάρτισης για τη χρήση της τεχνητής νοημοσύνης εφαρμόζονται ήδη από τις 2 Φεβρουαρίου 2025.

Τα επόμενα βήματα εκτείνονται έως το 2028. Στις 2 Δεκεμβρίου 2026 αρχίζουν να εφαρμόζονται οι νέες απαγορεύσεις για συστήματα που παράγουν μη συναινετικό σεξουαλικό περιεχόμενο ή υλικό σεξουαλικής κακοποίησης παιδιών. Με τις αλλαγές του AI Omnibus, οι κανόνες για συστήματα υψηλού κινδύνου σε συγκεκριμένους τομείς, όπως οι προσλήψεις και η εκπαίδευση, θα εφαρμοστούν από τις 2 Δεκεμβρίου 2027. Για συστήματα υψηλού κινδύνου που ενσωματώνονται σε ρυθμιζόμενα προϊόντα, η αντίστοιχη ημερομηνία είναι η 2α Αυγούστου 2028. Πρακτικά, η μετάθεση ορισμένων προθεσμιών δεν αποτελεί γενική αναβολή του AI Act.

«Το κρίσιμο ερώτημα είναι πώς θα την αξιοποιήσουμε με τρόπο ασφαλή, υπεύθυνο και προς όφελος της κοινωνίας και της οικονομίας. Σε αυτό ακριβώς απαντά ο AI Act», επισημαίνει στο CNN Greece ο Βασίλης Καρκατζούνης, Ειδικός Γραμματέας Τεχνητής Νοημοσύνης και Διακυβέρνησης Δεδομένων.

Η βασική αρχή του AI Act είναι ότι όσο μεγαλύτερη είναι η πιθανή επίπτωση στην υγεία, την ασφάλεια ή τα θεμελιώδη δικαιώματα, τόσο αυστηρότεροι είναι οι κανόνες. Κάτι που σημαίνει ότι ένα φίλτρο ανεπιθύμητης αλληλογραφίας δεν αντιμετωπίζεται με τον ίδιο τρόπο με ένα σύστημα που αξιολογεί την πιστοληπτική ικανότητα ενός υποψήφιου δανειολήπτη.

Τι αλλάζει για τον πολίτη

Η πρώτη αλλαγή που μπορεί να αντιληφθεί ένας πολίτης είναι ότι πρέπει να γνωρίζει πότε αλληλεπιδρά με τεχνητή νοημοσύνη. Όταν, για παράδειγμα, επικοινωνεί με ένα chatbot εξυπηρέτησης πελατών, πρέπει να ενημερώνεται ότι οι απαντήσεις προέρχονται από σύστημα AI, εκτός αν αυτό είναι ήδη προφανές από τις περιστάσεις.

Η ενημέρωση αυτή έχει πρακτική αξία. Ο καταναλωτής γνωρίζει με τι είδους σύστημα επικοινωνεί και μπορεί να αξιολογήσει ανάλογα τις απαντήσεις του. Η ύπαρξη μιας σχετικής ένδειξης, βέβαια, δεν αποτελεί από μόνη της εγγύηση ότι κάθε απάντηση είναι σωστή.

Αντίστοιχες απαιτήσεις διαφάνειας προβλέπονται για τα deepfakes: εικόνες, ήχους ή βίντεο που έχουν δημιουργηθεί ή αλλοιωθεί τεχνητά και μπορούν να εκληφθούν ως αυθεντικά. Ένα βίντεο που εμφανίζει ένα υπαρκτό πρόσωπο να προβαίνει σε δηλώσεις που δεν έκανε αποτελεί χαρακτηριστικό παράδειγμα.

Υποχρεώσεις γνωστοποίησης υπάρχουν και για κείμενα που παράγονται με AI και δημοσιεύονται για την ενημέρωση του κοινού σε θέματα δημόσιου ενδιαφέροντος. Εδώ υπάρχει μία ουσιαστική εξαίρεση: όταν έχει προηγηθεί ανθρώπινος έλεγχος ή συντακτική επιμέλεια και υπάρχει φυσικό ή νομικό πρόσωπο που αναλαμβάνει τη συντακτική ευθύνη, η συγκεκριμένη υποχρέωση γνωστοποίησης δεν εφαρμόζεται.

Μία ενδιαφέρουσα ελληνική προσθήκη αφορά την αφαίρεση των σημάνσεων διαφάνειας από deepfakes, για την οποία ο εθνικός νόμος προβλέπει ποινικές κυρώσεις. Η ρύθμιση αφορά, δηλαδή, και την απόπειρα απόκρυψης της τεχνητής προέλευσης ενός τέτοιου περιεχομένου.

Όσον αφορά τον πολίτη που χρησιμοποιεί μία εφαρμογή AI αποκλειστικά για προσωπικές, μη επαγγελματικές ανάγκες, ο κανονισμός δεν του επιβάλλει τις υποχρεώσεις του επαγγελματικού φορέα εφαρμογής. Αν, όμως, το ίδιο εργαλείο χρησιμοποιείται στο πλαίσιο επαγγελματικής δραστηριότητας ή για τη λειτουργία μιας επιχείρησης, τότε χρειάζεται να εξεταστεί ποιες υποχρεώσεις προκύπτουν.

Ποιες χρήσεις απαγορεύονται

Ο κανονισμός διακρίνει τις εφαρμογές ανάλογα με τον κίνδυνο που συνδέεται με τη χρήση τους. Στην αυστηρότερη κατηγορία βρίσκονται πρακτικές που απαγορεύονται. Μεταξύ αυτών περιλαμβάνονται η κοινωνική βαθμολόγηση και η μη στοχευμένη συλλογή εικόνων προσώπων από το διαδίκτυο ή κάμερες για τη δημιουργία ή την επέκταση βάσεων αναγνώρισης προσώπου.

Απαγορεύεται επίσης η αναγνώριση συναισθημάτων στον χώρο εργασίας και στην εκπαίδευση, με συγκεκριμένες εξαιρέσεις, όπως για ιατρικούς λόγους ή λόγους ασφάλειας. Πρόκειται για μία πρόβλεψη με άμεσο ενδιαφέρον για εργοδότες και εκπαιδευτικούς οργανισμούς που εξετάζουν την προμήθεια τέτοιων εργαλείων.

Διαφορετική είναι η κατηγορία των συστημάτων υψηλού κινδύνου. Εδώ εντάσσονται συγκεκριμένες χρήσεις στην απασχόληση, την εκπαίδευση, την πρόσβαση σε βασικές υπηρεσίες και άλλους ευαίσθητους τομείς. Η διαλογή βιογραφικών υποψηφίων και η αξιολόγηση της πιστοληπτικής ικανότητας είναι δύο χαρακτηριστικά παραδείγματα.

Η λογική είναι ότι ένα σφάλμα ή μία μεροληπτική αξιολόγηση σε τέτοιες εφαρμογές μπορεί να επηρεάσει ουσιαστικά τη ζωή κάποιου. Γι’ αυτό προβλέπονται αυξημένες απαιτήσεις για τα δεδομένα, την τεκμηρίωση, την αξιοπιστία και την ανθρώπινη εποπτεία, σύμφωνα με το χρονοδιάγραμμα εφαρμογής τους.

Ακολουθούν εφαρμογές για τις οποίες το κύριο ζήτημα είναι η διαφάνεια, όπως τα chatbots, και εφαρμογές ελάχιστου κινδύνου, όπως τα φίλτρα spam, που δεν υπάγονται στις ειδικές απαιτήσεις των συστημάτων υψηλού κινδύνου.

Αυτό δεν σημαίνει ότι μία εφαρμογή χαμηλού κινδύνου λειτουργεί εκτός κάθε νομοθετικού πλαισίου. Για παράδειγμα, οι κανόνες προστασίας προσωπικών δεδομένων εξακολουθούν να ισχύουν όταν γίνεται επεξεργασία τέτοιων δεδομένων.

Τα πρακτικά βήματα για τις επιχειρήσεις

Για μία ελληνική επιχείρηση, η αφετηρία είναι να γνωρίζει πού και για ποιον λόγο χρησιμοποιεί τεχνητή νοημοσύνη. Η απάντηση δεν είναι πάντοτε αυτονόητη, καθώς λειτουργίες AI μπορούν να περιλαμβάνονται σε λογισμικό που έχει ήδη προμηθευτεί.

Πρακτικά, για να προσδιορίσει μία επιχείρηση τις υποχρεώσεις της βάσει του AI Act και να προετοιμαστεί για την εφαρμογή τους, χρειάζεται να ακολουθήσει τα εξής βασικά βήματα:

• Καταγραφή των συστημάτων και του σκοπού τους. Δηλαδή, ποια εργαλεία χρησιμοποιούνται και τι ακριβώς κάνουν; Άλλο είναι ένα εργαλείο που βοηθά στη σύνταξη κειμένων και άλλο ένα σύστημα που αξιολογεί υποψηφίους για μία θέση εργασίας. Χρειάζεται επίσης να εξεταστεί αν πρόκειται πράγματι για σύστημα AI κατά την έννοια του Κανονισμού.
• Προσδιορισμός του ρόλου της επιχείρησης. Αυτό σημαίνει ότι η εταιρεία αναπτύσσει και διαθέτει το σύστημα με το δικό της όνομα ή χρησιμοποιεί μία έτοιμη λύση; Στην πρώτη περίπτωση μπορεί να έχει τον ρόλο του παρόχου, στη δεύτερη εκείνον του φορέα εφαρμογής. Διαφορετικοί ρόλοι προβλέπονται για εισαγωγείς και διανομείς.
• Έλεγχος για απαγορευμένες πρακτικές. Πριν από την προμήθεια ή τη χρήση ενός συστήματος, πρέπει να εξετάζεται αν ο σκοπός του εμπίπτει σε κάποια απαγόρευση. Η εμπορική διαθεσιμότητα ενός προϊόντος δεν αρκεί ως απόδειξη ότι κάθε χρήση του επιτρέπεται.
• Αξιολόγηση της κατηγορίας κινδύνου. Η επιχείρηση πρέπει να προσδιορίσει σε ποια κατηγορία εμπίπτει κάθε σύστημα, με βάση τη συγκεκριμένη χρήση του. Από αυτή την αξιολόγηση εξαρτάται μεγάλο μέρος των απαιτήσεων συμμόρφωσης.
• Εφαρμογή των κατάλληλων μέτρων. Ανάλογα με την κατηγορία και τον ρόλο της επιχείρησης, μπορεί να απαιτούνται ενημέρωση των χρηστών, ανθρώπινη εποπτεία, τεχνική τεκμηρίωση, διαδικασίες διαχείρισης κινδύνων ή αξιολόγηση συμμόρφωσης. Σε συγκεκριμένες περιπτώσεις προβλέπεται και εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα.
• Κατάρτιση του προσωπικού που χρησιμοποιεί AI. Οι εργαζόμενοι χρειάζεται να κατανοούν τις δυνατότητες, τους περιορισμούς και τους κινδύνους των εργαλείων που αξιοποιούν. Ο λεγόμενος γραμματισμός στην τεχνητή νοημοσύνη συνδέεται με την πραγματική χρήση των συστημάτων μέσα στην επιχείρηση.

Μία σημαντική διευκρίνιση είναι ότι οι υποχρεώσεις δεν μεταφέρονται όλες αυτομάτως στον προμηθευτή του λογισμικού. Μία εταιρεία που χρησιμοποιεί έτοιμο σύστημα διαλογής βιογραφικών μπορεί να έχει υποχρεώσεις ως φορέας εφαρμογής, ακόμη και αν δεν έχει γράψει ούτε μία γραμμή κώδικα.

Από την άλλη πλευρά, δεν απαιτείται από κάθε επιχείρηση που χρησιμοποιεί ένα chatbot να ακολουθήσει όλες τις διαδικασίες που προβλέπονται για έναν πάροχο συστήματος υψηλού κινδύνου. Η διάκριση έχει σημασία, ιδιαίτερα για μικρότερες εταιρείες που προσπαθούν να καταλάβουν από πού πρέπει να ξεκινήσουν.

Για παράδειγμα, σε ένα ηλεκτρονικό κατάστημα που χρησιμοποιεί chatbot για πληροφορίες σχετικά με παραγγελίες, ένα βασικό ζήτημα είναι η σαφής ενημέρωση του πελάτη ότι επικοινωνεί με AI. Σε μία επιχείρηση που χρησιμοποιεί σύστημα αξιολόγησης υποψηφίων, χρειάζεται να εξεταστεί το αυστηρότερο πλαίσιο για την απασχόληση και να προγραμματιστούν οι απαραίτητες ενέργειες ενόψει της εφαρμογής του. Τα δύο παραδείγματα δείχνουν γιατί η συμμόρφωση ξεκινά από τη χρήση και τον σκοπό του συστήματος.

Όπως σημειώνει ο κ. Καρκατζούνης, το εθνικό πλαίσιο επιδιώκει να δημιουργήσει ασφάλεια και προβλεψιμότητα για επιχειρήσεις και επενδυτές. «Γιατί κανόνες δεν σημαίνει περιορισμός της καινοτομίας. Σημαίνει εμπιστοσύνη στην καινοτομία», επισημαίνει.

Πού απευθύνεται ο πολίτης και ποιος ελέγχει

Στην Ελλάδα, κεντρικό ρόλο αναλαμβάνει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Στις αρμοδιότητές της περιλαμβάνονται η εποπτεία των απαγορευμένων πρακτικών, των συστημάτων υψηλού κινδύνου του Παραρτήματος ΙΙΙ και των υποχρεώσεων διαφάνειας.

Η Αρχή είναι επίσης αρμόδια για την υποβολή και τη διαχείριση καταγγελιών σχετικά με παραβάσεις του Κανονισμού. Πρόκειται για ένα πρακτικό σημείο ενδιαφέροντος για τον πολίτη που θεωρεί ότι μία χρήση AI παραβιάζει τους σχετικούς κανόνες. Ο ελληνικός νόμος προβλέπει τη δημιουργία ενιαίου συστήματος υποβολής καταγγελιών.

Οι κυρώσεις είναι σημαντικές, αλλά διαφοροποιούνται ανάλογα με την παράβαση. Για μη συμμόρφωση με τις απαγορεύσεις, προβλέπονται πρόστιμα έως 35 εκατ. ευρώ ή, για επιχειρήσεις, έως το 7% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της προηγούμενης οικονομικής χρήσης. Το γενικό πλαίσιο χρησιμοποιεί το υψηλότερο από τα δύο όρια, με ειδικές προβλέψεις για μικρότερες επιχειρήσεις.

Αυτό δεν σημαίνει ότι κάθε παράβαση επιφέρει ένα τέτοιο πρόστιμο. Το ύψος της κύρωσης εξαρτάται από παράγοντες όπως η σοβαρότητα, η διάρκεια, οι συνέπειες και οι ενέργειες για την αντιμετώπισή της.

Δοκιμές νέων εφαρμογών με υποστήριξη

Το εθνικό πλαίσιο περιλαμβάνει και μέτρα για την υποστήριξη της ανάπτυξης εφαρμογών. Μεταξύ αυτών είναι το ρυθμιστικό δοκιμαστήριο, το λεγόμενο AI Regulatory Sandbox, με αρμόδιες την Αρχή Προστασίας Δεδομένων και την Εθνική Επιτροπή Τηλεπικοινωνιών & Ταχυδρομείων (ΕΕΤΤ).

Πρόκειται για ένα ελεγχόμενο περιβάλλον στο οποίο επιχειρήσεις, startups και ερευνητικοί φορείς θα μπορούν να αναπτύσσουν και να δοκιμάζουν εφαρμογές με υποστήριξη από τις αρμόδιες αρχές. Για μία μικρή εταιρεία, η δυνατότητα να εντοπίζει εγκαίρως τα ζητήματα συμμόρφωσης μπορεί να έχει ουσιαστική σημασία για τον χρόνο και το κόστος ανάπτυξης ενός προϊόντος.

«Δημιουργείται χώρος για να καινοτομήσουμε γρήγορα, χωρίς να κάνουμε εκπτώσεις στην ασφάλεια», αναφέρει ο κ. Καρκατζούνης.

Το πρακτικό ενδιαφέρον βρίσκεται στη δυνατότητα επίλυσης προβλημάτων όσο μία εφαρμογή βρίσκεται ακόμη υπό ανάπτυξη: ποια δεδομένα μπορεί να χρησιμοποιεί, ποιοι κίνδυνοι χρειάζεται να αντιμετωπιστούν και τι πρέπει να τεκμηριωθεί πριν από την ευρύτερη διάθεσή της στην αγορά.