OBJAVLJENO 18.09.2026

Kdo odgovarja, ko aplikacija, ustvarjena z AI oziroma vibe codingom, odpove?

Ko AI-aplikacija odpove, odgovornosti ne prevzame model. Preverite pogodbeno verigo, vloge po GDPR, AI Actu in CRA ter dokaze, ki jih je treba zavarovati.

AI-ilustracija

AI lahko generira kodo, odločitev o uporabi, objavi in namenu pa sprejme človek ali organizacija.

Napaka AI-generirane aplikacije lahko razkrije podatke, ustavi proces ali povzroči škodo. Odgovor ni v tem, kdo je napisal posamezno vrstico kode, temveč kdo je sistem ponudil, odobril, upravljal in pogodbeno prevzel obveznosti.

1. GDPR: upravljavec ostane odgovoren za obdelavo

Člen 5(2) GDPR določa odgovornost upravljavca za skladnost z načeli obdelave. Člen 24 zahteva, da upravljavec izvede in je sposoben dokazati ustrezne ukrepe. Če uporablja zunanjega ponudnika kot obdelovalca, člen 28 zahteva ustrezno pogodbeno ureditev; člen 32 ureja varnost, člen 33 pa obveščanje o kršitvi varnosti osebnih podatkov. Oznaka »kodo je napisal AI« teh vlog ne spremeni.

Karlionovo sklepanje. Če podjetje aplikacijo uporablja za svoj poslovni namen in določa bistvene načine obdelave, se ob incidentu ne more razbremeniti samo s sklicevanjem na generator kode ali izvajalca.

2. AI Act: pomembna je vloga ponudnika oziroma uvajalca, ne avtorstvo posamezne vrstice kode

AI Act opredeljuje ponudnika tudi kot subjekt, ki sistem razvije ali ga da razviti ter ga trži ali začne uporabljati pod svojim imenom. Posebne obveznosti ponudnikov in uvajalcev so odvisne od razvrstitve sistema. Po Uredbi (EU) 2026/1744 se pravila za samostojne visokotvegane sisteme uporabljajo od 02.12.2027, za visokotvegane sisteme, vgrajene v proizvode, pa od 02.08.2028. Večina drugih pravil AI Acta se uporablja od 02.08.2026.

Navadna spletna aplikacija ni samodejno visokotvegan AI-sistem. Aplikacije, napisane z AI, zato ne smemo enačiti z AI-sistemom po AI Actu; odločilna je funkcija končnega sistema.

KDO JE LASTNIK KODE, USTVARJENE Z AI

3. Cyber Resilience Act: aktualen prehodni položaj na datum objave

CRA se na splošno uporablja od 11.12.2027. Poglavje o organih za ugotavljanje skladnosti se uporablja od 11.06.2026, obveznosti poročanja iz 14. člena pa od 11.09.2026. Ob načrtovani objavi 18. septembra bodo obveznosti iz 14. člena torej že veljale za subjekte in proizvode v področju uporabe CRA.

CRA ne zajame vsake notranje skripte ali vsake storitve. Pred trditvijo o obveznosti je treba preveriti, ali gre za proizvod z digitalnimi elementi, dan na trg v okviru komercialne dejavnosti, in kdo je njegov proizvajalec. Poročanje se nanaša na aktivno izkoriščane ranljivosti in hude incidente po besedilu 14. člena, ne na vsako programsko napako.

4. Nova Direktiva o odgovornosti za proizvode je prihodnja podlaga

Direktiva (EU) 2024/2853 izrecno vključuje programsko opremo v posodobljeni okvir odgovornosti za proizvode. Države jo morajo prenesti do 09.12.2026, uporablja pa se za proizvode, dane na trg ali v uporabo po tem datumu.

Pri objavi 18.09.2026 je ne smemo predstaviti kot že uporabljeno slovensko pravilo za sedanji primer. Sedanje zahtevke je treba presojati po trenutno veljavnem slovenskem obligacijskem, potrošniškem in področnem pravu.

5. Pogodba in potrošniško pravo ostajata praktična prva pot

ZVPot-1 ureja skladnost digitalne vsebine in digitalnih storitev ter zahtevke potrošnika. OZ ureja izpolnitev pogodbe in povrnitev škode. Natančna pot je odvisna od tega, ali gre za potrošnika, poslovnega naročnika, brezplačno storitev, poškodbo osebe ali stvari, izgubo podatkov oziroma čisto premoženjsko škodo.

Povračilo celotne škode ni avtomatično. Dokazati je lahko treba napako oziroma kršitev, škodo, vzročno zvezo in druge zakonske pogoje; pogodbe lahko zakonito razporedijo del tveganja, ne morejo pa izključiti vseh prisilnih pravil.

Kaj pomeni vibe coding in zakaj avtor kode ni isto kot odgovorna oseba?

AI lahko generira kodo, odločitev o uporabi, objavi in namenu pa sprejme človek ali organizacija. Pred uvedbo zato določite lastnika produkta, osebo, ki odobri objavo, in postopek za odziv na incident.

Komu se najprej obrne uporabnik, ko aplikacija odpove?

Praviloma svoji pogodbeni stranki oziroma ponudniku storitve, nato se presoja morebitni regres po dobavni verigi. Pogodba mora jasno urediti obseg storitve, jamstva, omejitve odgovornosti in možnosti povračila škode.

AI-ilustracija

Kdo odgovarja za osebne podatke, če je kodo napisal AI?

Upravljavec po GDPR ostane odgovoren za zakonitost, varnost in dokazovanje skladnosti. Podjetje mora preveriti pravno podlago, navodila obdelovalcem, varnostne ukrepe ter zmožnost dokazovanja odločitev.

Ali AI Act določa odgovornost za vsako AI-generirano aplikacijo?

Ne; najprej je treba ugotoviti, ali končni sistem sploh sodi v AI Act in katera vloga ter časovnica veljata. Ključni so namen, funkcije in dejanska uporaba sistema, ne samo dejstvo, da je bila pri razvoju uporabljena AI.

Kdaj sta pomembna CRA in odgovornost za proizvod?

Ko je aplikacija oziroma programska oprema proizvod z digitalnimi elementi ali proizvod po ustreznih pravilih, ob upoštevanju prehodnih datumov. CRA in pravila o odgovornosti za proizvode imajo lastne opredelitve in prehodna obdobja, zato je treba najprej razvrstiti konkretni izdelek.

AI-ilustracija

Ali lahko za napako osebno odgovarja zaposleni ali zunanji razvijalec?

Le po pravilih konkretnega delovnega ali pogodbenega razmerja; uporaba AI sama odgovora ne določi. Pri zaposlenem so pomembni navodila delodajalca, usposobljenost, pooblastila, stopnja krivde in vzročna zveza s škodo.

Kateri dokazi po incidentu pokažejo, kdo je sprejel odločitev?

Različice kode, odobritve, rezultati pregledov, register komponent, dnevniki uvedbe, pogodbe, navodila in zapis o znanih tveganjih. Dokaze je treba zavarovati takoj, še preden se sistem popravi ali ponovno namesti, saj se lahko ključni podatki prepišejo.

PREVERITE ODGOVORNOST DELAVCA ZA ŠKODO

DOGOVORITE SE ZA POSVET