Akti i BE-së për Inteligjencën Artificiale (Rregullorja (BE) 2024/1689): Një Udhëzues Praktik për vitin 2026

Përditësuar për herë të fundit: 9 gusht 2026.

Që nga 2 gushti 2026, rregullat e transparencës të Aktit të BE-së për IA-në janë në fuqi. Chatbot-et, deepfakes, sistemet e njohjes së emocioneve dhe përmbajtja e gjeneruar nga IA-ja tani kanë detyrime konkrete zbulimi në të gjithë Bashkimin Evropian. Në të njëjtën kohë, detyrimet më të vështira - ato për IA-në me rrezik të lartë - nuk priten më në gusht 2026. Pas Omnibusit Dixhital të IA-së, ato tani janë planifikuar të mbërrijnë në dhjetor 2027. Ky udhëzues shpjegon, në terma të thjeshtë, se çfarë kërkon Akti i BE-së për IA-në, kë e detyron, çfarë zbatohet sot dhe si duhet të përgatiten organizatat.

Akti i BE-së për Inteligjencën Artificiale është Rregullorja (BE) 2024/1689. Ajo hyri në fuqi më 1 gusht 2024 dhe zbatohet në faza. Është ligji i parë gjithëpërfshirës dhe horizontal në botë për inteligjencën artificiale dhe — ashtu si GDPR — shtrihet përtej kufijve të BE-së. Nëse sistemet tuaja të Inteligjencës Artificiale prekin tregun evropian, kjo rregullore pothuajse me siguri ju prek.

Çfarë është ligji i BE-së për AI?

Akti i BE-së për Inteligjencën Artificiale është një rregullore e bazuar në risk. Në vend që ta trajtojë të gjithë inteligjencën artificiale në mënyrë identike, ai i rendëson sistemet në nivele sipas dëmit që mund të shkaktojnë dhe i ngarkon detyrime më të rënda riskut më të lartë. Qëllimi është i dyfishtë: të mbrojë shëndetin, sigurinë dhe të drejtat themelore, dhe t'u japë bizneseve siguri ligjore në mënyrë që Inteligjenca Artificiale e besueshme të mund të zhvillohet dhe të vendoset në të gjithë tregun e vetëm.

Akti e përcakton një sistem të inteligjencës artificiale në përgjithësi, në përputhje me qasjen e OECD-së: një sistem i bazuar në makinë që vepron me një farë shkalle autonomie, mund të përshtatet pas vendosjes dhe — nga të dhënat hyrëse që merr — nxjerr përfundime se si të gjenerojë rezultate të tilla si parashikime, përmbajtje, rekomandime ose vendime që ndikojnë në mjediset fizike ose virtuale. Ky përkufizim qëllimisht i gjerë kap modelet moderne të të mësuarit automatik, duke përfshirë inteligjencën artificiale gjeneruese dhe me qëllim të përgjithshëm.

Për kë zbatohet Ligji i Inteligjencës Artificiale?

Akti i Inteligjencës Artificiale ka shtrirje jashtëterritoriale. Ai zbatohet kur një ofrues vendos një sistem të Inteligjencës Artificiale në tregun e BE-së ose e vë atë në shërbim në BE, dhe — në mënyrë kritike — kur një ofrues ose zbatues është i vendosur jashtë BE-së, por rezultati i sistemit përdoret brenda BE-së. Prandaj, një kompani amerikane ose britanike që u shërben përdoruesve evropianë mund të bie plotësisht brenda fushëveprimit.

Akti dallon disa aktorë, secili me detyra të dallueshme:

• Ofruesit e — ata që zhvillojnë një sistem të inteligjencës artificiale (ose një model të inteligjencës artificiale për qëllime të përgjithshme) dhe e vendosin atë në treg ose e vënë në shërbim nën emrin ose markën e tyre tregtare. Ofruesit mbajnë barrën më të rëndë të pajtueshmërisë.
• Vendosësit — ata që përdorin një sistem të inteligjencës artificiale nën autoritetin e tyre në një kontekst profesional (për shembull, një punëdhënës që drejton një mjet punësimi të inteligjencës artificiale). Përdorimi thjesht personal, jo-profesional bie jashtë këtyre detyrave.
• Importuesit dhe distributorët — ata që sjellin një sistem të palës së tretë në tregun e BE-së ose e bëjnë atë të disponueshëm përgjatë zinxhirit të furnizimit, me përgjegjësi verifikimi dhe mbajtjeje të të dhënave.
• prodhuesit e produkteve, dhe në disa raste përfaqësues të autorizuar, të cilët mund të trashëgojnë detyrime në nivel ofruesi.

Një shpërndarës mund të riklasifikohet gjithashtu si ofrues — duke trashëguar detyrat më të rrepta — nëse modifikon në mënyrë thelbësore një sistem me rrezik të lartë ose i vendos emrin e vet.

Katër nivelet e rrezikut

Akti i Inteligjencës Artificiale është ndërtuar rreth katër niveleve të rrezikut.

1. Rrezik i papranueshëm (i ndaluar)

Disa përdorime konsiderohen të papajtueshme me vlerat e BE-së dhe janë të ndaluara plotësisht sipas Nenit 5. Këto përfshijnë teknika manipuluese ose mashtruese që shtrembërojnë materialisht sjelljen dhe shkaktojnë dëm; shfrytëzimin e dobësive (mosha, aftësia e kufizuar, situata socio-ekonomike); vlerësimin social nga autoritetet publike; mbledhjen e paqëllimshme të imazheve të fytyrës për të ndërtuar baza të dhënash njohjeje; njohjen e emocioneve në vendin e punës dhe në arsim (përveç arsyeve mjekësore ose të sigurisë); kategorizim të caktuar biometrik që zbulon tipare të ndjeshme; dhe - në varësi të përjashtimeve të ngushta dhe të mbrojtura - identifikimin biometrik në kohë reale në hapësira publike për qëllime të zbatimit të ligjit. Sipas Omnibusit Dixhital, një ndalim i mëtejshëm synon IA-në e përdorur për të gjeneruar imazhe intime jo konsensuale dhe materiale abuzimi seksual me fëmijë.

2. Rrezik i lartë

Sistemet me rrezik të lartë lejohen, por rregullohen rreptësisht. Ato ndahen në dy grupe. I pari (Shtojca I) mbulon IA-në që është një komponent sigurie i, ose është vetë, një produkt i rregulluar tashmë sipas ligjit të harmonizimit të BE-së - pajisje mjekësore, makineri, ashensorë, lodra e të ngjashme. I dyti (Shtojca III) liston raste përdorimi të pavarura në fusha të ndjeshme: biometrikë, infrastrukturë kritike, arsim, punësim dhe menaxhim të punëtorëve, qasje në shërbime thelbësore publike dhe private, zbatim të ligjit, migrim dhe kontroll kufitar, si dhe administrim të drejtësisë dhe proceseve demokratike. Këto sisteme duhet të plotësojnë kërkesat teknike dhe të qeverisjes të përshkruara më poshtë.

3. Rrezik i kufizuar (transparencë)

Disa sisteme nuk janë me rrezik të lartë, por mund t’i mashtrojnë njerëzit, prandaj ato kanë detyrime transparence sipas Nenit 50. Përdoruesve duhet t’u njoftohet kur bashkëveprojnë me një chatbot; audio, imazh, video dhe tekst i gjeneruar ose i manipuluar nga inteligjenca artificiale (përfshirë deepfakes) duhet të zbulohen dhe të shënohen; dhe njerëzit duhet të informohen kur i nënshtrohen sistemeve të lejuara të njohjes së emocioneve ose kategorizimit biometrik. Këto detyrime tani janë në fuqi (shih afatin kohor më poshtë).

4. Rrezik minimal

Pjesa më e madhe e inteligjencës artificiale — filtrat e spamit, motorët e rekomandimeve, inteligjenca artificiale në videolojëra — bie këtu. Ajo nuk përballet me detyrime të detyrueshme sipas Aktit, megjithëse inkurajohen kodet vullnetare të sjelljes.

Çfarë zbatohet kur: afati kohor i përditësuar i Aktit të Inteligjencës Artificiale (pas Omnibusit Dixhital)

Koha është ajo ku shumica e organizatave e gabojnë Aktin e IA-së, dhe është ajo ku ligji ka lëvizur së fundmi. Akti zbatohet në faza që nga hyrja e tij në fuqi më 1 gusht 2024. Në fillim të majit 2026, Omnibusi Dixhital i IA-së arriti një marrëveshje të përkohshme politike, të miratuar nga përfaqësuesit e shteteve anëtare më 13 maj 2026. Miratimi formal dhe botimi në Gazetën Zyrtare janë ende në pritje, por paketa tani është baza e planifikimit realist - dhe shtyu afatet me rrezik të lartë.

Datat e shtyra më sipër varen nga miratimi përfundimtar i Omnibus-it. Datat e kaluara tashmë janë ligj i përcaktuar.

Dy pika praktike. Së pari, detyrimet e transparencës nuk janë një shqetësim i së ardhmes - ato u bënë të zbatueshme më 2 gusht 2026, afërsisht një javë më parë. Ofruesit e sistemeve gjeneruese të IA-së që janë tashmë në treg kanë kohë deri më 2 dhjetor 2026 për të sjellë prodhimin ekzistues në përputhje me kërkesat e shënimit dhe filigranimit të lexueshëm nga makinat. Së dyti, hapësira shtesë për IA-në me rrezik të lartë është e mirëpritur, por është një shtyrje, jo një lehtësim: detyrimet thelbësore janë të pandryshuara dhe puna e gatishmërisë është më mirë të fillojë tani.

Detyrimet sipas rolit

Ofruesit e sistemeve me risk të lartë mbajnë barrën kryesore. Ata duhet të krijojnë një sistem menaxhimi të riskut gjatë gjithë ciklit jetësor; të zbatojnë masa të qeverisjes së të dhënave për të dhënat e trajnimit, validimit dhe testimit; të përgatisin dokumentacion teknik të detajuar dhe ta mbajnë atë të azhurnuar; të projektojnë sisteme për regjistrim automatik dhe gjurmueshmëri; të sigurojnë transparencë dhe udhëzime të qarta për përdorim; të mundësojnë mbikëqyrje efektive njerëzore; dhe të arrijnë saktësi, qëndrueshmëri dhe siguri kibernetike të përshtatshme. Para hyrjes në treg, ata duhet të kryejnë vlerësimin përkatës të konformitetit, të hartojnë një deklaratë të konformitetit të BE-së, të vendosin shenjën CE dhe ta regjistrojnë sistemin në bazën e të dhënave të BE-së. Monitorimi pas tregut dhe raportimi i incidenteve serioze vazhdojnë më pas.

Zbatuesit e sistemeve me rrezik të lartë duhet ta përdorin sistemin në përputhje me udhëzimet e ofruesit, të caktojnë mbikëqyrje njerëzore kompetente, të sigurohen që të dhënat e futura janë të rëndësishme, të monitorojnë funksionimin dhe të mbajnë regjistra, si dhe të informojnë personat e prekur kur është e nevojshme. Në disa kontekste të ndjeshme, zbatuesit duhet të kryejnë gjithashtu një vlerësim të ndikimit në të drejtat themelore. Punëdhënësit që përdorin inteligjencën artificiale që ndikon në punëtorë kanë detyrime shtesë për informacion.

Importuesit dhe shpërndarësit duhet të verifikojnë që ofruesi i ka përmbushur detyrimet e tij — vlerësimin e konformitetit, dokumentacionin, shenjën CE — përpara se të vënë në dispozicion një sistem, dhe duhet të veprojnë (dhe të njoftojnë autoritetet) nëse besojnë se një sistem nuk është në përputhje me standardet.

Në çdo nivel, detyrimi i Aktit për njohuritë mbi inteligjencën artificiale (Neni 4) kërkon që organizatat të sigurohen që stafi që merret me inteligjencën artificiale të ketë një nivel të mjaftueshëm të të kuptuarit. Omnibusi e zbuti formulimin e këtij detyrimi, por pritshmëria themelore për përdorim kompetent dhe të informuar mbetet e njëjtë.

Kërkesat teknike dhe të qeverisjes për IA-në me rrezik të lartë

Kërkesat për risk të lartë përkthejnë parimet abstrakte në praktikën e inxhinierisë dhe qeverisjes. Në përmbledhje, ofruesit duhet të jenë në gjendje të demonstrojnë: një proces të dokumentuar dhe përsëritës të menaxhimit të riskut; cilësi të të dhënave dhe qeverisje të përshtatshme për qëllimin e synuar, duke i kushtuar vëmendje paragjykimit dhe përfaqësimit; dokumentacion teknik gjithëpërfshirës të mjaftueshëm që autoritetet të vlerësojnë përputhshmërinë; mbajtjen e të dhënave përmes regjistrimit automatik të ngjarjeve; transparencë dhe udhëzime të përdorshme; mbikëqyrje njerëzore kuptimplote të projektuar në sistem; dhe saktësi, qëndrueshmëri dhe siguri kibernetike të demonstrueshme. Së bashku këto formojnë bazën e provave për vlerësimin e konformitetit - dhe, në praktikë, materialin që një rregullator do të kërkojë të shohë së pari.

Detyrimet e IA-së për qëllime të përgjithshme (GPAI)

Modelet e IA-së me qëllim të përgjithshëm - modelet e mëdha dhe të gjithanshme që mbështesin shumë aplikacione në rrjedhën e mëvonshme - kanë regjimin e tyre sipas neneve 51–55, të zbatueshme që nga 2 gushti 2025. Të gjithë ofruesit e GPAI-së duhet të mirëmbajnë dokumentacionin teknik, të publikojnë një përmbledhje mjaftueshëm të detajuar të përmbajtjes së trajnimit, të vendosin një politikë të të drejtave të autorit dhe të bashkëpunojnë në zinxhirin e vlerës me ata që ndërtojnë mbi modelin. Modelet që paraqesin rrezik sistemik përballen me detyra të shtuara: vlerësimin e modelit dhe testimin kundërshtar, vlerësimin dhe zbutjen e rrezikut sistemik, ndjekjen dhe raportimin e incidenteve serioze dhe sigurinë kibernetike të fuqishme. Respektimi i Kodit zyrtar të Praktikës është një rrugë e njohur për të demonstruar pajtueshmërinë.

Detyrimet për transparencë tani në fuqi (Neni 50)

Meqenëse Neni 50 hyri në fuqi më 2 gusht 2026, tre detyra tani kërkojnë vëmendje të menjëhershme. Chatbot-et dhe agjentët e bisedave duhet ta bëjnë të qartë se përdoruesi po merret me një makinë. Përmbajtja e gjeneruar ose e manipuluar nga inteligjenca artificiale - tekst mbi çështje me interes publik, plus audio sintetike, imazhe dhe video, duke përfshirë deepfakes - duhet të zbulohet dhe të shënohet në një format të lexueshëm nga makina, në mënyrë që të mund të zbulohet si artificiale. Dhe njerëzit e ekspozuar ndaj sistemeve të lejuara të njohjes së emocioneve ose kategorizimit biometrik duhet të informohen. Organizatat që tashmë operojnë me veçori të inteligjencës artificiale gjeneruese duhet ta trajtojnë periudhën e hirit të 2 dhjetorit 2026 për shënimin e rezultateve ekzistuese si një afat të brendshëm të vendosur.

Dënimet dhe gjobat

Zbatimi i ligjit mbart ekspozim serioz financiar, me penalitete të shkallëzuara në varësi të ashpërsisë së shkeljes:

• Praktikat e ndaluara (Neni 5): deri në 35 milionë euro ose 7% të xhiros totale vjetore në mbarë botën, cilado qoftë më e lartë.
• Shkeljet e detyrimeve me rrezik të lartë dhe shumicës së detyrimeve të tjera: deri në 15 milionë euro ose 3% të xhiros vjetore në mbarë botën.
• Dhënia e informacionit të pasaktë, të paplotë ose mashtrues autoriteteve: deri në 7.5 milionë euro ose 1% të xhiros vjetore në mbarë botën.

Për ndërmarrjet e vogla dhe të mesme dhe bizneset e reja, gjoba është më e ulëta midis shumës fikse ose përqindjes — një mbrojtje proporcionaliteti për organizatat më të vogla. Autoritetet kombëtare të mbikëqyrjes së tregut zbatojnë Aktin, të koordinuar në nivel të BE-së, dhe mund të pasojnë masa të mëtejshme juridike sipas ligjit kombëtar.

Si përputhet Akti i Inteligjencës Artificiale me GDPR dhe NIS2

Akti i Inteligjencës Artificiale nuk qëndron i vetëm. Kur një sistem i Inteligjencës Artificiale përpunon të dhëna personale, GDPR zbatohet plotësisht - baza ligjore, kufizimi i qëllimit, të drejtat e subjektit të të dhënave dhe, shpesh, një vlerësim i ndikimit në mbrojtjen e të dhënave. Vlerësimi i ndikimit të të drejtave themelore të Aktit të Inteligjencës Artificiale dhe DPIA e GDPR-së shpesh mbivendosen dhe është më mirë të drejtohen së bashku. Kur Inteligjenca Artificiale mbështet shërbime thelbësore ose të rëndësishme, Direktiva NIS2 shton detyrat e menaxhimit të riskut të sigurisë kibernetike dhe raportimit të incidenteve që përforcojnë qëndrueshmërinë dhe kërkesat e sigurisë të Aktit të Inteligjencës Artificiale. Trajtimi i këtyre regjimeve si një program i vetëm dhe i integruar i pajtueshmërisë - në vend të tre projekteve paralele - kursen përpjekje dhe zvogëlon rrezikun e kontrolleve kontradiktore.

Lista e kontrollit për pajtueshmërinë me Aktin e Inteligjencës Artificiale (IAA) është lista e kontrollit për pajtueshmërinë me Ligjin për Inteligjencën Artificiale.

• Inventarizoni çdo sistem IA që ofroni ose vendosni, duke përfshirë mjetet e integruara dhe të palëve të treta.
• Klasifikoni çdo sistem në një nivel rreziku (i papranueshëm, i lartë, i kufizuar, minimal).
• Konfirmoni rolin tuaj — ofrues, shpërndarës, importues ose shpërndarës — për secilin sistem.
• Kontrolloni për ndalime sipas Nenit 5 dhe ndaloni menjëherë çdo përdorim të ndaluar.
• Zbatoni tani masat e transparencës për chatbot-et, deepfakes dhe përmbajtjen e gjeneruar nga inteligjenca artificiale, dhe planifikoni shënimin e rezultateve përpara 2 dhjetorit 2026.
• Hartoni detyrimet me risk të lartë dhe ndërtoni dosjen teknike, kontrollet e menaxhimit të riskut dhe mbikëqyrjes njerëzore përpara afatit të dhjetorit 2027.
• Adresoni detyrat e GPAI-t nëse ofroni ose përsosni modele për qëllime të përgjithshme.
• Ofroni trajnime mbi njohuritë në lidhje me inteligjencën artificiale për stafin përkatës.
• Integrohuni me GDPR dhe NIS2 — harmonizoni DPIA-t, vlerësimet e ndikimit dhe kontrollet e sigurisë.
• Caktoni qeverisjen — pronësi të qartë, dokumentim dhe monitorim — dhe mbani të dhënat gati për auditim.

Pyetjet më të shpeshta

A është ende në fuqi Akti i BE-së për Inteligjencën Artificiale?

Po. Rregullorja (BE) 2024/1689 hyri në fuqi më 1 gusht 2024 dhe zbatohet në faza. Ndalimet dhe detyrimet për njohuritë mbi inteligjencën artificiale zbatohen nga 2 shkurti 2025, rregullat e GPAI-së dhe qeverisjes nga 2 gushti 2025, dhe detyrimet për transparencë nga 2 gushti 2026.

Kur fillojnë të zbatohen rregullat e rrezikut të lartë?

Pas Omnibusit Dixhital të IA-së, detyrimet me risk të lartë për sistemet e Shtojcës III priten tani më 2 dhjetor 2027, dhe për IA-në e integruar në produktet e rregulluara të Shtojcës I më 2 gusht 2028. Këto data të shtyra varen nga miratimi përfundimtar i Omnibusit.

A zbatohen rregullat e transparencës për chatbot-in tim sot?

Po. Që nga 2 gushti 2026, përdoruesve duhet t'u thuhet se po bashkëveprojnë me IA-në, dhe përmbajtja e gjeneruar ose e manipuluar nga IA duhet të zbulohet dhe të shënohet. Prodhimi ekzistues i IA-së gjeneruese duhet të përmbushë kërkesat e shënjimit deri më 2 dhjetor 2026.

Cilat janë gjobat maksimale?

Deri në 35 milionë euro ose 7% e xhiros vjetore globale për praktikat e ndaluara; deri në 15 milionë euro ose 3% për shkelje me risk të lartë; dhe deri në 7.5 milionë euro ose 1% për informacion të pasaktë ose të paplotë. Ndërmarrjet e vogla dhe të mesme paguajnë shumën më të ulët midis shumës fikse ose përqindjes.

A zbatohet Akti i Inteligjencës Artificiale për kompanitë jashtë BE-së?

Po, kur një sistem i inteligjencës artificiale vendoset në tregun e BE-së ose prodhimi i tij përdoret në BE - edhe nëse ofruesi ose zbatuesi është i vendosur diku tjetër.

Përtypjet kryesore

• Akti i BE-së për Inteligjencën Artificiale është Rregullorja (BE) 2024/1689, në fuqi që nga 1 gushti 2024 dhe zbatohet në faza.
• Detyrimet e transparencës (Neni 50) janë në fuqi që nga 2 gushti 2026; rezultatet ekzistuese të inteligjencës artificiale gjeneruese duhet të shënohen deri më 2 dhjetor 2026.
• Omnibusi Dixhital shtyu afatet e rrezikut të lartë deri më 2 dhjetor 2027 (Shtojca III) dhe më 2 gusht 2028 (Shtojca I) — në varësi të miratimit përfundimtar.
• Gjobat arrijnë në 35 milionë euro ose 7% të xhiros globale; ndërmarrjet e vogla dhe të mesme paguajnë shumën më të ulët.
• Akti funksionon paralelisht me GDPR dhe NIS2 — përputhshmëria me planin si një program i vetëm i integruar.

Merrni një skanim të gatishmërisë së Aktit të IA-së për skanimin e gatishmërisë së tij

Akti i Inteligjencës Artificiale shpërblen organizatat që veprojnë herët — dhe rregullat e tij të transparencës tashmë janë të papërshtatshme. Avokatët e teknologjisë dhe privatësisë në Law & More të ndihmojë ofruesit dhe zbatuesit të klasifikojnë sistemet e tyre, të korrigjojnë përdorimet e ndaluara ose jo në përputhje me rregullat, të përmbushin detyrimet e transparencës aktuale dhe të ndërtojnë një rrugë të mbrojtshme drejt afatit të rrezikut të lartë të vitit 2027, plotësisht në përputhje me GDPR dhe NIS2. Kontaktoni Law & More për një skanim të gatishmërisë së Aktit të Inteligjencës Artificiale dhe për ta shndërruar një objektiv rregullator në lëvizje në një plan veprimi të qartë dhe me përparësi.