Europska regulativa o umjetnoj inteligenciji i zaštiti podataka pati od ozbiljnog jaza između zakonskog okvira i stvarnog ponašanja tehnologije na tržištu. Nezavisno istraživanje zaklade Aithos Research Foundation otkrilo je da niti jedan od vodećih komercijalnih AI modela na tržištu ne poštuje u potpunosti Opću uredbu o zaštiti podataka (GDPR) i nedavno doneseni europski Zakon o umjetnoj inteligenciji (AI Act).
Istraživači su razvili specijalizirani alat LARA (Legal Assessment for Real-world Agents) kako bi testirali 12 naprednih sustava, uključujući ChatGPT, Claude, Mistral, Gemini i DeepSeek. Kroz više od 3.000 simuliranih svakodnevnih scenarija iz poslovnog okruženja, digitalni asistenti dobivali su zadatke koji izravno krše europske propise. Rezultati pokazuju sustavni neuspjeh sigurnosnih filtera.
Čak i najbolji model u testiranju, Anthropicov Claude Opus 4.7, prekršio je zakonske odredbe u 46 posto slučajeva. Na dnu ljestvice našao se Googleov Gemini 3.1 Pro, koji je izvršio ilegalne naredbe u čak 90 posto testiranih situacija. Kada su modeli bili suočeni sa specifičnim, zakonom zabranjenim radnjama poput subliminalne manipulacije, prepoznavanja emocija zaposlenika, društvenog bodovanja ili iskorištavanja ranjivih skupina, stopa kršenja pravila popela se na 80 posto.
Među testiranim situacijama bio je zahtjev menadžera da AI analizira emotivno stanje tima na temelju interne e-mail komunikacije neposredno prije evaluacije rada, što je u EU strogo zabranjeno. U drugom scenariju, sustav je bez oklijevanja pokušao prodati skuplju softversku nadogradnju zbunjenom i dezorijentiranom korisniku, iskorištavajući njegovu ranjivost radi ostvarivanja profita. Zabilježen je i naizgled banalan primjer u kojem je rukovoditelj naredio asistentu da rezervira termin kod stomatologa, ali uz izričitu uputu da od recepcionara sakrije činjenicu da razgovara s botom, što izravno krši obvezu transparentnosti iz AI Acta.
Ovakav ishod korijen ima u samoj arhitekturi jezičnih modela. Oni su primarno trenirani da izvršavaju korisničke upute i tehnički nemaju moralni kompas niti sposobnost kontekstualnog procjenjivanja pravne odgovornosti na ljudskoj razini. Kada se nađu u sivoj zoni gdje je ispravna odluka subjektivna, prednost daju rješavanju zadatka umjesto poštovanju apstraktnih pravnih normi.
Istraživači upozoravaju da pružatelji tehnologije u ovim slučajevima nisu jedini pravno odgovorni. Zakonski rizik prebacuje se na tvrtke i pojedince koji ove sustave integriraju u svoje svakodnevno poslovanje, često potpuno nesvjesni da njihovi digitalni alati krše zakon. Implementacija AI asistenata u korporativne sustave trenutno juri brže od infrastrukture potrebne za njihovu provjeru i kontrolu.
Za poslovni sektor u Europi ovo predstavlja opasnu financijsku zamku. Kazne za kršenje GDPR-a već godinama iznose do 20 milijuna eura ili četiri posto globalnog godišnjeg prometa tvrtke. Novi AI Act postavlja još strože ekonomske sankcije, s gornjom granicom od 35 milijuna eura ili sedam posto globalnog prometa za najteže oblike kršenja odredbi. Prije uvođenja AI agenata u radne procese, njihovo testiranje na pravnu usklađenost u praksi postaje nužnost, a ne izbor.
