AI bez kibernetičke sigurnosti postaje nova rupa u javnim sustavima

Najopasnija rečenica u digitalizaciji javnih sustava je ona koja zvuči najbezazlenije: to je samo alat. Umjetna inteligencija više nije samo dodatak u uredskom paketu, pomoćnik za pisanje ili zgodan chatbot na web stranici. Kada ulazi u procese koji dodiruju građane, novac, zdravlje, obrazovanje, promet ili javne odluke, AI postaje dio infrastrukture. A infrastruktura se ne smije uvoditi kao ukras.

Europski AI Act važan je upravo zato što pokušava napraviti razliku između niskorizičnih primjena i sustava koji mogu utjecati na temeljna prava, sigurnost ili pristup važnim uslugama. Komisija u opisu zakona navodi rizični pristup, obveze za visokorizične sustave, transparentnost za određene AI primjene i posebna pravila za modele opće namjene. To nije birokratski detalj, nego pokušaj da se razvoj uspori taman toliko da se ne pretvori u nevidljivu automatiziranu vlast.

Kibernetička sigurnost tu ulazi kao praktično pitanje. Ako AI sustav može donositi preporuke, obrađivati dokumente, prepoznavati obrasce ili pomagati službenicima, tada treba znati tko ga održava, na kojim podacima radi, što bilježi, kako se testira i tko vidi njegove izlaze. Slaba lozinka, loše konfiguriran API, netransparentan model ili neprovjeren dobavljač mogu stvoriti problem koji nije samo tehnički. Mogu stvoriti nepravdu, curenje podataka ili odluku koju nitko ne zna objasniti.

Za hrvatske institucije to znači da se AI ne bi smio kupovati kao još jedna softverska licenca iz katalogizirane nabave. Prije alata dolaze pitanja: koji problem rješavamo, koji se podaci koriste, tko snosi odgovornost, postoji li ljudski nadzor, kako građanin osporava rezultat i može li neovisna osoba razumjeti trag odluke. Ako tih odgovora nema, projekt možda zvuči moderno, ali upravljački je slab.

Posebno treba paziti na javne sustave u kojima se tehnologija uvodi tiho. Građani obično primijete tek sučelje, poruku ili odluku, ali ne vide nabavu, ugovor, model, sigurnosni test i interne procedure. Tu mediji imaju važnu ulogu: ne širiti paniku, ali ni gutati riječ inovacija kao dokaz kvalitete. Svaki ozbiljan AI projekt u javnom sektoru mora biti čitljiv kroz dokumente, rokove, sigurnosne procjene i jasne nadležnosti.

Crvena zastava nije sama činjenica da neka institucija koristi umjetnu inteligenciju. Crvena zastava je kada se ne zna što je kupljeno, tko je trenirao sustav, gdje su podaci, postoji li revizijski trag i može li građanin dobiti objašnjenje. Još veća crvena zastava je kada se sigurnost spominje tek nakon pitanja novinara ili nakon incidenta. U ozbiljnom sustavu sigurnosna procjena, ugovorne obveze, testiranje i plan izlaska iz dobavljačkog zaključavanja moraju postojati prije produkcije.

Zato AI nabave treba čitati drugačije od običnih IT kupovina. Ne traži se samo cijena licence, nego arhitektura odgovornosti. Tko može promijeniti model? Tko vidi zapisnike? Koliko dugo se čuvaju podaci? Smije li dobavljač koristiti javne podatke za vlastito treniranje? Postoji li ljudska provjera odluka koje mogu pogoditi građane? To su pitanja koja razlikuju modernizaciju od digitalnog zamagljivanja.

Dobra vijest je da se standardi mogu postaviti prije nego što šteta nastane. AI u javnom sektoru može biti koristan ako skraćuje čekanje, smanjuje administrativni nered i pomaže ljudima koji rade u sustavu. Ali koristi vrijede samo ako su vezane uz sigurnost, objašnjivost i odgovornost. U suprotnom, tehnologija koja je trebala ukloniti kaos samo proizvodi novu vrstu tame, ovaj put skriveno u modelima i ugovorima.